Viele Unternehmen haben bereits Maßnahmen ergriffen, um das Problem einzudämmen und ihr Know-how zu schützen. Dazu zählen bewährte Lösungen wie Wachpersonal und Wachhund, abschließbare Türen oder Zäune, Geräte zur Personenkontrolle oder IT-Lösungen wie Firewalls. Im Zeitalter von Industrie 4.0 - der individualisierten, jedoch flexiblen Produktion - wollen Hersteller die Vorteile der intelligenten Produktion nutzen. Dazu zählt die bedarfsgerechte Produktion bis hin zur Losgröße 1. Weitere Merkmale von Industrie 4.0 sind die wachsende Vernetzung der einzelnen Maschinen und die Kommunikation einzelner Maschinen oder Sensoren innerhalb einer Fabrik.
Foto: Mopic, Fotolia.com
Was eine Maschine oder Anlage kann, wird nicht mehr alleine von Aufbau, Form und Material bestimmt, sondern mehr und mehr von der eingesetzten Embedded-Software. Damit wandert das wertvolle Know-how des Maschinen-Herstellers gewissermaßen von der Hardware in die Software. Industrie 4.0 bietet Herstellern Chancen wie den nachträglichen Verkauf von Maschinenfunktionen (Feature-on-Demand). Sie birgt aber auch Risiken, denn der Schutz aus der Office-IT passt nicht automatisch für die Schutzbedürfnisse in der Produktion. Beispielsweise könnten Fernwartungszugänge, die nicht ausreichend gesichert sind, von Angreifern als offenes Tor ins Firmennetzwerk genutzt werden.
Foto: Protect-Ing
Checkliste
Was können Hersteller tun, um sich vor Sicherheitsrisiken zu schützen? Sie können ihre Ausgangslage und den Markt analysieren, die für sie geeigneten Lösungen identifizieren und umsetzen. Zu betrachten sind:
ob sich der Angreifer außerhalb oder innerhalb des Unternehmens befindet,
wie rechtliche oder technisch-präventive Maßnahmen wirken,
ob eine Lösung gegen Produktpiraterie oder gegen Manipulation helfen soll.
Die neueste Umfrage des Verband Deutscher Maschinen- und Anlagenbauer, VDMA, zum Thema Produktpiraterie, die im April 2014 vorgestellt wurde, ergab, dass neun von zehn Herstellern mit mehr als 500 Mitarbeitern betroffen sind (siehe nachfolgende Grafik) und dabei über die Hälfte vom Nachbau ganzer Maschinen. Der Gesamtschaden durch Produktpiraterie beträgt mehr als 7 Milliarden Euro im Jahr.
Im VDMA gibt es eine Arbeitsgemeinschaft Produkt- und Know-how-Schutz, Protect-ing, die unterschiedliche Schutzmechanismen aufzeigt und auch einen Leitfaden zu dem Thema erstellt hat. Hier ist eine Auswahl verschiedener Maßnahmen:
Rechtliche Maßnahmen
Hersteller können das Wesentliche, das einzigartige Neue ihrer Geschäftsidee als Patent oder Geschmackmuster/Design-Patent bei nationalen oder internationalen Behörden beantragen. Die einzelnen rechtlichen Möglichkeiten unterscheiden sich in der Laufzeit, den Kosten und den Anforderungen an die Erfindungshöhe. Daneben gibt es noch das Urheberrecht, das jeder Entwickler ohne weitere Anmeldung genießt.
Jedoch wirken diese rechtlichen Maßnahmen erst, wenn der Schaden bekannt wurde, bereits entstanden ist und der Verursacher vor ein Gericht gestellt werden kann. Einfluss auf die Entscheidung, welche rechtliche Maßnahme am besten passt, hat auch die Patent- und Urheberrechtslage in den Zielmärkten.
Sensibilisierung der Mitarbeiter
Menschliches Fehlverhalten und Sabotage sowie das direkte Einschleusen von Schadcode zählen zu den Top-Bedrohungen im Maschinen- und Anlagenbau. Der Täter kann als Mitarbeiter das Firmengelände betreten und das Vertrauen des Unternehmens missbrauchen. Einerseits können unzufriedene Mitarbeiter als Innentäter Sabotage betreiben oder Betriebsinterna an Unberechtigte weitergeben. Andererseits können ehrliche Mitarbeiter aus Ahnungs- oder Sorglosigkeit zu "Tätern" werden und so eine Lücke für das Eindringen der Produktpiraten öffnen.
- Industriespionage in Deutschland
Die Security-Firma Corporate Trust hat zusammen mit Brainloop und dem TÜV Süd knapp 600 Unternehmen zu ihren Erfahrungen mit Industriespionen befragt. Zumeist antwortete der Geschäftsführer oder ein Vorstandsmitglied. Die Autoren der Studie "Industriespionage 2012 Aktuelle Risiken für die deutsche Wirtschaft durch Cyberwar" werten das als Indiz dafür, dass Security heutzutage Chefsache ist. - Jedes fünfte Unternehmen war bereits Spionageziel
Gut jedes fünfte Unternehmen wurde in den vergangenen drei Jahren zumindest einmal Opfer von Industriespionage. Gegenüber der vergangenen Erhebung aus dem Jahr 2007 hat sich der Wert leicht erhöht. Damals gaben 18,9 Prozent der Befragten mindestens einen Vorfall zu Protokoll. - Viele Verdachtsfälle
Ein erklecklicher Teil der Firmen hat die Vermutung, dass es bereits einen Fall von Industriespionage gab. Unterm Strich hat sich demnach mehr als jedes zweites Unternehmen in den vergangenen drei Jahren mit Industriespionage auseinandersetzen müssen. - Mittelstand ist besonders betroffen
Wird die Zahl der Spionagefälle mit der Zahl der Befragten aus kleinen, mittelständischen und großen Unternehmen korreliert, dann zeigt sich, dass verhältnismäßig oft werden mittelständische Firmen angegriffen werden. - Spionageziel Fertigung
Gefährdet sind insbesondere Unternehmen aus den Fertigungsbranchen und Finanzdienstleister. - Angriffe lassen sich orten
Die meisten Unternehmen können die Vorfälle lokalisieren, nur weniger blieben diesbezüglich ratlos zurück. Bei der Auswertung zeigt sich, dass große Gefahr vor allem in Europa und Nordamerika besteht. - Zumeist Schäden bis zu 100.000 Euro
Das Groß der Schäden beläuft sich auf Beträge zwischen 10.000 und 100.000 Euro. Sehr große finanzielle Verlust gibt es insbesondere in Konzernen zu beklagen. - Immenser Gesamtschaden
Wenngleich die einzelnen Vorfälle selten Riesensummen verschlingen, summiert sich der Gesamtschaden zu der imposanten Zahl von jährlich rund 4,2 Milliarden Euro. Im Vergleich zur Studie 2007 (2,8 Milliarden Euro) entspricht dies einem Anstieg um 50 Prozent. - Die Gefahr lauert im eigenen Haus
Oft sind die eigenen Mitarbeiter die Industriespione, wenngleich sie oft unbewusst Informationen weitergeben. Doch insgesamt zeigt sich, dass überall Gefahrenquellen lauern. - Die Einfallstore
Ein beliebtes Mittel der Spione sind Hackerangriffe. Während 2007 nur bei 14,9 Prozent aller Fälle ein Hackerangriff als konkrete Spionagehandlung zugrunde lag, waren es 2012 bereits 42,4 Prozent. - Die Folgekosten
Die finanziellen Schäden entstehen in der Regel durch Rechtstreitigkeiten und Imageschäden. Mehr als ein Drittel der Befragten berichtet von konkreten Umsatzeinbußen. - Mitarbeiter werden ausgespäht
Meistens sitzt der Täter im eigenen Haus. Externe Hacker arbeiten zudem häufig mit internen Mitarbeitern zusammen oder spähen Angestellte im Internet aus (Social Engineering) aus. - Sicherheit ist Chefsache
In vielen Firmen werfen die Geschäftsführer einen kritischen auf die Prozesse und Einrichtungen. Erwartbar war, dass auch die IT-Abteilungen eine bedeutende Rolle spielen, verfügen sie doch über das erforderliche technische Know-how. - Passwortschutz ist Standard
Passwort-geschützten IT-Systeme sind heute Standard in vielen Unternehmen, anders sieht es bei der Verschlüsselung aus. - Defizite werden nicht behoben
Obwohl den meisten Unternehmen bekannt ist, dass mobile Datenträger und Geräte besonders gefährdet sind, treffen wenige Firmen entsprechende Vorkehrungen. - Attacken Steueranlagen
Angriffe auf Steuerungsanlagen gefährden die Produktion. Der bekannteste Fall ist der Wurm Stuxnet, doch auch abseits der öffentlichkeitswirksamen Angriffe gibt es offenbar viele vergleichbare Vorfälle. - Umweltschäden drohen
Attacken auf die Steueranlagen können enorme Folgen zeigen. Fast immer ziehen sie finanzielle Verluste nach sich, häufig drohen bei entsprechenden Angriffen aber auch Umweltschäden. - Die gefährliche Seite der Mobility
Der Job der Security-Verantwortlichen wird nicht einfacher. Der Trend zum mobilen Endgerät erschwert die Absicherung der Installationen, und mit der Verbreitung leistungsstarker Smartphones sinkt zudem das Bewusstsein der Mitarbeiter für die IT-Sicherheit. - Was tun gegen Social Engineering?
Nacharbeiten sind in allen Segmenten erforderlich. Auf die relativ neue Bedrohung durch geschicktes Ausspähen von Mitarbeiter in sozialen Netzen habe viele Unternehmen noch keine Antwort gefunden.
Unternehmen können mit Mitarbeitern gleich zum Arbeitsbeginn Vereinbarungen zur Schweigepflicht abschließen, verschiedene Angriffsszenarien durchspielen, die Mitarbeiter entsprechend passender Abwehrmaßnahmen schulen und Sorgfalt fordern.
Schutz vor Sabotage
Eine wichtige Frage ist, welche Politik (Policy) ein Unternehmen hinsichtlich USB-Sticks einnimmt, um das absichtliche oder unabsichtliche Einschleusen von Schadcode zu verhindern. Beispielsweise können Unternehmen den Mitarbeitern verbieten, dass als Köder verteilte USB-Sticks mit Schadsoftware am Arbeitsplatzrechner aufgesteckt werden dürfen.
Heise Online berichtete mehrfach über Angriffsversuche, wobei die Angreifer USB-Sticks, präpariert mit einer Demo-Software, "zufällig" auf dem Firmenparkplatz verstreut hatten, was auch zum Ziel führte: die USB-Sticks wurden tatsächlich im Unternehmensnetzwerk aufgesteckt. Technisch lassen sich die Arbeitsplatzrechner auch so konfigurieren, dass nur bestimmte USB-Geräte benutzt werden können und damit das Risiko etwas reduzieren.
Verschlüsselung digitaler Dokumente
Betriebsinterna wie Rezepte, technische Zeichnungen oder Serviceunterlagen enthalten Know-how, mit denen Mitarbeiter oder externe Partner arbeiten. Sinnvoll ist es, wenn Hersteller diese Dokumente mit Hilfe technisch-präventiver Maßnahmen verschlüsseln. Nur die zuvor definierte Personengruppe wird durch den Besitz eines Schlüssels, den sie nicht vervielfältigen können, zur Nutzung berechtigt. Auf diese Weise werden unberechtigte Personen vom Expertenwissen ausgeschlossen.
Verschlüsselung der Software
Wird die Embedded-Software verschlüsselt, können Produktpiraten diese nicht analysieren (kein Reverse Engineering, die mit Abstand beliebteste Angriffsmethode - siehe auch nachfolgende Grafik). Nur der jeweils benötigte Teil wird zur Laufzeit entschlüsselt, der Rest bleibt weiterhin geheim. Piraten werden folglich am Nachbau der Maschine gehindert, da sie nicht wissen, wie die Software die Maschine steuert. Der Käufer der Maschine bekommt die Nutzungsrechte in Form eines nicht-klonbaren Schlüssels.
Verschlüsselung digitaler Produktionsdaten
Unternehmen beauftragen Maschinenbetreiber und müssen dafür ihre Produktionsdaten weitergeben. Damit diese nicht verändert oder kopiert werden können, werden die Nutzungsrechte mit einer Stückzahl verknüpft. Beispielsweise stellt die Fabrik des Betreibers T-Shirts in einer definierten Stückzahl auf seinen Maschinen her. Eine Nacht- oder Sonderschicht, in der unerkannt weitere T-Shirts in hochwertiger Qualität für den Graumarkt bestickt werden und zwar ohne Wissen des Auftraggebers, ist unmöglich. Nur der Auftraggeber kann den Zähler für den nächsten Produktionsauftrag wieder hochsetzen.
Schutz vor Manipulation
Wer erfolgreich mittels einer Cyberattacke Einblick in Produktionsgeheimnisse gewonnen hat, wird sich vielleicht nicht mit der Informationsgewinnung begnügen, sondern versuchen, darüber hinaus Schaden zu verursachen. Medizingeräte oder Produktionsmaschinen beispielsweise müssen vor Unbefugten geschützt werden, um Manipulationen zu verhindern. Angreifer könnten versuchen, einzudringen und die Produktion zu stoppen, die Mischverhältnisse oder Bestandteile eines Rezepts zu verändern oder eine Maschine zu überhitzen und zu beschädigen.
Hersteller können den Schutz so aufbauen, dass ein System nur startet, wenn es als vertrauenswürdig gilt. Technisch funktioniert dies über eine elektronische Signatur. Damit stellt das Schutzsystem fest, ob die ausgeführte Software manipuliert oder verändert wurde. Prüft der Hersteller die Signatur gegen eine Zertifikatskette, kann er sicherstellen, dass der Programmcode von einem berechtigten Herausgeber kommt und kein Schadcode untergeschoben wurde.
Gesamte Produktionskette absichern
Firmengeheimnisse bleiben nur geheim, wenn die Verschlüsselung der unterschiedlichen Daten durchgängig vom ersten bis zum letzten Glied der Kette erfolgt. Blickt man beispielsweise auf die Textilindustrie, bedeutet dies, dass die CAD-Software für die Stickmuster, die Designs, die Steuerungen, die Embedded-Software in den Stickmaschinen und die Produktionsdaten beim Auftraggeber geschützt werden müssen. Beim 3D-Druck wird ganz offensichtlich, dass das komplette Produkt-Know-how, die Bauanleitung, vollständig in den Produktionsdaten steckt.
Es gibt professionelle Anbieter, die mit Schutzlösungen erfolgreich auf dem Markt sind und Herstellern ihre Unterstützung anbieten. Anstatt als Hersteller eine selbstgestrickte Lösung als Maßnahmen zu nutzen, helfen diese Anbieter mit ihrem Expertenwissen über die neuesten Technologien der Abwehrmaßnahmen und wie Angreifer vorgehen, um einen bestmöglichen und kostengünstigen Schutz zu realisieren. (sh)