Sicherheit in der Industrie 4.0

Schöne neue Produktionswelt: Maschinen, Systemkomponenten und Sensoren werden in der Industrie 4.0 miteinander vernetzt, um Daten austauschen. Der Automatisierungsgrad erhöht sich, und die Fertigung wird dadurch effizienter, flexibler und individueller. Ob Statusmeldungen, Anforderungen von Rohstoffen, Steuerbefehle, Konstruktionsdaten oder Informationen über Energieverbrauch und Wartungsstand, all das wird in den Netzen zirkulieren, oft in Echtzeit und über Firmengrenzen hinaus. Ziel ist die intelligente Fabrik im Internet der Dinge.

Industrie 4.0 braucht neue Sicherheitsstandards

Doch die durchgreifende Digitalisierung bringt erhebliche und neuartige Sicherheitsrisiken mit sich, auf die sich die deutsche Wirtschaft einstellen muss. Hartmut Pohl, Sprecher des Präsidiumsarbeitskreises "Datenschutz und IT-Sicherheit" der Gesellschaft für Informatik, schlägt Alarm: "Das Thema Sicherheit wird für die Industrie 4.0 immer noch unterschätzt.

Man vertraut gegen die Internet-Risiken auf Abwehrmittel aus dem letzten Jahrhundert. Es muss dringend Neues entwickelt werden, statt auf kalten Kaffee wie Firewalls, Identitäts-Management und Angriffserkennung zu setzen. Wir bekommen Industrie 4.0, haben aber momentan Sicherheit 0.1." Pohls Sicherheitsberatung Softscheck testete einige Firewalls, die in der Fertigung der Zukunft marktüblich sind. Das Ergebnis: Alle wiesen eklatante Lücken auf. Durch die Manipulation von Berechtigungen und Filtern konnte beispielsweise die Identität gefälscht werden.

Neue Bedrohung à la Stuxnet, Duqu und Flame

Nicht nur klassische Gefahren wie Viren oder Trojaner bedrohen die zunehmend via Internet vernetzten Produktionsanlagen, sondern auch neuartige und auf industrielle Kontrollsysteme maßgeschneiderte Attacken à la Stuxnet, Duqu und Flame. Da sie unbekannte Sicherheitslücken ausnutzen, können sie von Intrusion-Detection-Systemen nicht erkannt werden. Die sich aus der Komplexität der Vernetzung von Systemen ergebenden Risiken sind aber gravierend. Durch die Verknüpfung über Abteilungs-, Unternehmens- und sogar Ländergrenzen hinaus können Sicherheitslücken auf Kunden und Lieferanten durchschlagen. Die Motive hinter Manipulationsversuchen sind häufig Industriespionage sowie Produktpiraterie. Auch die organisierte Kriminalität setzt zunehmend online auf Betrugsmaschen und Erpressungsmethoden durch Sabotage. Das BSI hat die wichtigsten Bedrohungen für industrielle Kontrollsysteme in einer Top-10-Liste zusammengestellt.

Security by Design als neuer Lösungsansatz

Doch gibt es mehrere Schutztechniken dagegen. Ein elementares Prinzip für die Abwehr ist nach einstimmiger Ansicht von Fachleuten Security by Design, wonach Sicherheitsanforderungen von Beginn der Produktentwicklung an berücksichtigt werden. "Das ist kostengünstiger und einfacher als das Patchen", sagte Thorsten Henkel, Hauptabteilungsleiter für Industrie 4.0 im Fraunhofer-Institut für Sichere Informationstechnologie (SIT). Zunächst, so der Experte, müsse man überlegen, wie die Komponenten zusammenspielen sowie getrennt werden und wie die Datenflüsse deshalb zu verschlüsseln seien.

Ein weiterer Ausgangspunkt für das Modellieren von Sicherheit sei, sich in die Rolle des Angreifers zu versetzen, um Schwachstellen in der Verteidigung ausfindig zu machen. Laut Henkel entwickelt die Industrie auch bereits Konzepte für Security by Design. Allerdings sei es schwer, Techniken aus der kommerziellen IT in die industrielle Fertigungswelt zu übertragen, weil die Lebenszyklen in der IT (drei bis fünf Jahre) und Industrie (teilweise Jahrzehnte) völlig unterschiedlich seien. Das zeige sich bei den Softwareaktualisierungen. Kritik in Sachen Security by Design äußert Pohl: "Security by Design ist ein erster Schritt. Das ist auch durch ISO 27034 geregelt. Die Norm gibt es seit zwei Jahren, aber leider hält sich keiner daran."

Whitelistening schützt vor Malware

Der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bevorzugte Schutz vor Schadsoftware ist Whitelisting. Es bietet sich der Behörde zufolge für die Industrie der vierten Dimension geradezu an, denn im Unterschied zur geschäftlichen IT ist die Zahl der erwünschten Operationen in einer Produktionsumgebung überschaubar klein. Die erlaubten Befehle können festgeschrieben werden, so dass es im Gegensatz zu Antivirenprogrammen auch vor unbekannter Malware einen Schutz gibt. Zudem untersagen Hersteller oft die Aktualisierung des Virenschutzes. Gerade in der Arbeitswelt des Bring your own Device (ByoD) ist es ein großer Vorteil, per Whitelisting festzulegen, welche Apps zugelassen werden und welche Standards sie erfüllen müssen. Da das Verfahren aber mittels Firewalls funktioniert, kann es durch deren Manipulation umgangen werden.

Authentifizierung mit Trusted Computing

Ein weiterer Sicherheitsanker ist Trusted Computing. Trusted-Platform-Module-Chips dienen der Authentifizierung. An die Steuerung können nur vom Betreiber oder Hersteller zugelassene Elemente angeschlossen werden. Das ermöglicht eine sichere Fernwartung. "Es kostet einen enormen Aufwand, TPM zu kompromittieren", sagt Henkel. Das Fraunhofer SIT hat auch bereits eine modulare IT-Sicherheitslösung zum Schutz von Produktionsumgebungen entwickelt mit folgender Fragestellung und Vorgehensweise entwickelt: Wie werden Daten schon bei der Erzeugung verschlüsselt und bleiben durchgängig in der Produktion verschlüsselt? Wie schafft man es, dass nur an der Produktion beteiligte Geräte auf die Daten zugreifen? Die Lösung besteht darin, dass TPM den Maschinen eine digitale Identität gibt. Alle Geräte kennen die Identitäten ihrer Nachbarn. Sobald eine Maschine von der Norm abweicht, erkennen das die anderen Knoten und schließen die auffällige Maschine von der Kommunikation aus. Ein industrielles Rechte-Management sichert dabei die Fabrikationsdaten und ermöglicht die kryptografisch basierte Kontrolle über Produktionsort und Stückzahl.

Branchenspezifische Ausprägung der Protokolle

Elementar für Industrie 4.0 sind Standards. Unklar ist jedoch noch, welche Standards sich durchsetzen werden. "Die unterschiedlichen Anforderungen produzierender Industrien werden dafür sorgen, dass wir uns verstärkt mit branchenspezifischen Ausprägungen von Protokollen und Netztechniken konfrontiert sehen", prognostiziert Dieter Wegener, Technologiechef für Industrie bei Siemens. Auch hier entsteht eine neue Problematik, wenn alte industrielle Protokolle mit solchen des Internet vernetzt werden.

Von einigen Unternehmen wird das Protokoll OPC UA stark gepusht. "Noch ist es zu früh zu sagen, ob es sich durchsetzt. Die Diskussion ist noch im Gange. Wir stehen durch internationale Wettbewerber aber unter Zeitdruck", erklärt Wolfgang Dorst, Bereichsleiter Industrie 4.0 im Bitkom. Als Verbandsvertreter ist er Mitglied in den entsprechenden Gremien. Holger Junker, Referatsleiter für Cyber-Sicherheit im BSI, sieht in OPC UA eine "starke Verbesserung". Das BSI prüft seine Spezifikation und Beispielimplementierung bis Jahresende. "Entscheidend ist die Umsetzung. Die Protokolle müssen sorgfältiger geschrieben werden als das heute üblich ist", betont Pohl.

In der Gesamtbeurteilung der Risiken und ihrer bisherigen Eindämmung setzen die Experten unterschiedliche Akzente. "Ich sehe eine gute Entwicklung. Die Hersteller erkennen zunehmend die Notwendigkeit der Absicherung. Industrieanlagen kann man aber nicht auf das gleiche Sicherheitsniveau wie den Server eines Cloud-Anbieters bringen", meint Junker. "Es kommt immer auf die Implementierung an", weiß Pohl. Er rät daher zu Sicherheitstests. "Bisher gab es alleinstehende Systeme mit einem Medienbruch. Das hat Angriffe verhindert. Jetzt gibt es die Gefahr des schwächsten Glieds. Angreifer werden wochenlang versuchen, es zu finden."

Fazit

Neben aller Technik ist auch der Mensch gefordert. Hierfür muss die Sensibilität der Mitarbeiter durch Schulungen geschärft werden. Die Sicherheit der Zukunft fußt also auf vielen Säulen. Zu ihrem Bau müssen alle Unternehmensabteilungen zusammenwirken, vom Personal über die Entwicklung bis zur Technik. Gelingt es der deutschen Wirtschaft, die Industrie der vierten Dimension sicher in die Spur zu bringen, bietet sich die große Chance, das erworbene Know-how weltweit als Wettbewerbsvorteil zu nutzen. (pg)