IT-Sicherheit OT-Anlagen im Fadenkreuz der Hacker

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Sinequa

Insider Research

mod IT Services GmbH

OT-Systeme sind anfällig für Cyberattacken. Einfallstore werden von Hackern benutzt, um Daten abfließen zu lassen oder Systeme lahmzulegen. Das neue IT-Sicherheitsgesetz 2.0 bringt deshalb einige Veränderungen mit sich und soll dem entgegenwirken.

Cyberattacken finden in Deutschland überdurchschnittlich häufig statt. Das liegt nicht an den generell schlechten Sicherheitsvorkehrungen, sondern vielmehr an der Attraktivität des Landes als lukratives Ziel. Für die Industrie in Gänze ist das ein großes Problem. Besonders Ransomware-Angriffe können Unternehmen Tausende bis hin zu mehreren Millionen Euro täglich kosten. Denn nicht selten muss die Produktion in Folge solch eines Angriffs Tage oder schlimmstenfalls mehrere Wochen stillgelegt werden. Seit dem von Russland geführten Krieg gegen die Ukraine ist darüber hinaus zu beobachten, dass verstärkt die Kritische Infrastruktur (KRITIS) ins Visier gerät. Hier handelt es sich um Unternehmen, die von großer Bedeutung für das gesellschaftliche und staatliche Gemeinwesen sind. Ausfälle oder Beeinträchtigungen können zu Versorgungsengpässen bis hin zur Gefährdung der öffentlichen Sicherheit führen.

Fast doppelt so großer Schaden durch Hackangriffe

Den diesjährigen Schaden aufgrund von Diebstahl von IT-Ausrüstung und Daten, Spionage und Sabotage beziffert Bitkom hierzulande auf rund 203 Milliarden Euro. Im Vergleich dazu lag der Betrag im Jahr 2019 noch bei 103 Milliarden Euro. Und die Serie der Cyberangriffe reißt nicht ab. Im Oktober 2022 wurde Europas größte Kupferhütte Aurubis hierzulande Opfer eines Hackerangriffs. Präventiv mussten alle IT-Systeme des deutschen Unternehmens runtergefahren und vom Internet getrennt werden. Während die Produktions- und Umweltschutzanlagen weiterlaufen konnten, musste der Warenein- und -ausgang manuell aufrechterhalten werden. Die IT-Systeme sind in solchen Fällen häufig mehrere Wochen nicht funktionsfähig. Diese Entwicklungen machen deutlich, wie bedrohlich die Sicherheitslage im Cyberraum hierzulande ist.

OT-Systeme und ihre Schwachstellen

Vor der Digitalisierung liefen Produktionssysteme abgekapselt im Inselbetrieb, also ohne jegliche Verbindung zum Internet. Gegen Ende der 90er-Jahre änderte sich dieser Umstand. Um Leistungsdaten abrufen zu können oder Optimierungen vorzunehmen, wurden diese Systeme im Zuge der eintretenden Digitalisierung an die IT angeschlossen. Die Folge: Eine zunehmende Vernetzung der OT und IT. Dadurch entstanden immer mehr Schnittstellen zwischen diesen beiden Bereichen. Als problematisch hat sich hierbei das Hinterherhinken der Patchzyklen erwiesen, wodurch der Zugriff von außen erleichtert und die Systeme anfälliger wurden. Viele OT-Systeme können zum Beispiel noch von außerhalb des Betriebsgeländes über den Funkbereich angezapft werden, da der Funk weiter als nötig reicht.

Angriffe über VPN- und Homeoffice-Lösungen sind ebenfalls möglich. Denn viele OT-Techniker und -Technikerinnen oder Systemintegratoren arbeiten mittlerweile remote. Gelangen Hacker an die Zugangsdaten eines Mitarbeitenden, können diese zum Beispiel Informationen über patentgeschützte Verfahren oder über den Aufbau von Produktionsanlagen abfließen lassen. Inzwischen werden aktiv gültige oder alte Mitarbeiterzugängen im Darknet angeworben und aufgekauft. Hierzu nutzen Kriminelle gerne Plattformen wie Meta, Instagram, LinkedIn und Xing, um Personen ausfindig zu machen und mit ihnen in Kontakt zu treten. Beinahe alle benötigten Informationen sind über Open Source Intelligence (OSINT) verfügbar, wie Firma, Position, Verantwortlichkeiten, teilweise Gehalt sowie Urlaubszeiten. Angriffe werden mitunter über Monate geplant.

eBook

Die Wahl einer sicheren KI-Infrastruktur

IT-Sicherheitsgesetz 2.0: Was verändert sich?

Die sich verschärfende generelle Sicherheitslage im Cyberraum hat dazu geführt, dass das Bundesministerium für Sicherheit in der Informationstechnik (BSI) mit dem IT-Sicherheitsgesetz 2.0 entsprechend reagierte. Das Gesetz wurde im Mai 2021 veröffentlicht und trat im selben Monat in Kraft. Damit einhergehend wurden diverse Neuerungen und Maßnahmen ins Leben gerufen. So ist beispielsweise das BSI nun die zentrale Meldestelle für Schwachstellen, was dazu führt, dass es Auskünfte von den Herstellenden von IT-Produkten verlangen kann. Eine wichtige Neuerung ist der Einsatz von Systemen zur Angriffserkennung, wie die Intrusion Detection Systeme (IDS) und die Langzeit Aufzeichnung von Ereignissen, wie das Security Incident & Event Management (SIEM). Unternehmen sind somit verpflichtet, Software einzusetzen, die Angriffe und Schadsoftware durch die permanente Überwachung sämtlicher Netzwerk- und Systemaktivitäten erkennen kann. Um IDS und SIEM-Lösungen effektiv einsetzen zu können, müssen diese von qualifizierten IT-Administratoren eingerichtet und kontrolliert werden. Im Fall eines Angriffs können diese adäquat reagieren und den Störfall an das BSI melden. Das BSI setzt dann weitere Spezialisten ein, die diese Daten anschließend auswerten und bei der Wiederinbetriebnahme unterstützen.

Die Relevanz der Kritischen Infrastruktur

Besonders für den Sektor der Kritischen Infrastruktur (KRITIS) ändert sich im Zuge der neuen KRITIS-Verordnung 2021 viel durch das neue Gesetz. Zu den bisherigen Sektoren Energie, Wasser, Gesundheit, Transport und Verkehr, Informationstechnik und Telekommunikation, Finanz- und Versicherungswesen, Medien und Kultur wird nun ebenfalls die Kategorie Siedlungsabfallentsorgung dazugezählt. Für die Bereiche IT, Energie, Transport und Finanzen gelten darüber hinaus neu angepasste Schwellenwerte. Durch die sinkenden Schwellenwerte steigt die Zahl der zu KRITIS zählenden Unternehmen und Einrichtungen auf rund 1.870 Betreibende. Ein Beispiel: Ein Strom produzierender Energieversorger wird nun ab 36 Megawatt (MW) produziertem Strom pro Jahr als KRITIS eingestuft. Zuvor lag der Wert bei 420 MW. Für die neuen dazugehörenden Betriebe gelten somit die strengeren Vorgaben, da sie nun zur Kategorie der Unternehmen mit hoher volkswirtschaftlicher Bedeutung gehören. Sie sind verpflichtet, sich innerhalb von zwei Jahren beim BSI zu registrieren und schwere Störungen dort zu melden. Darüber hinaus müssen sie in einer alle zwei Jahre abzuliefernden Selbsterklärung zur IT-Sicherheit darlegen, welche Sicherheitsmaßnahmen, Zertifizierungen und Audits in diesem Zeitraum durchgeführt worden sind. Die Einführung und der Einsatz der Systeme zur Angriffserkennung müssen beispielsweise innerhalb der ersten zwei Jahre nach Inkrafttreten des Gesetzes, also spätestens zum 26. Mai 2023, nachgewiesen werden.

Meldepflichtige Komponenten

Eine weitere Neuerung betrifft den Einsatz kritischer Komponenten, wenn deren Herstellende sich nicht als vertrauenswürdig erweisen. Kritische Komponenten sind zum Beispiel IT-Produkte, Software und Hardware, die in KRITIS eingesetzt werden. Deren Ausfall kann unter Umständen dazu führen, dass die öffentliche Sicherheit erheblich beeinträchtigt oder sogar gefährdet wird. KRITIS-Betreibende sind deshalb verpflichtet, dem BSI den Einsatz der Komponenten zu melden. Die Garantie-Erklärung des Herstellenden, dass die Komponenten nicht missbräuchlich eingesetzt werden können, muss ebenfalls mitgeliefert werden.

eBook

Warum Compliance im Internet der Dinge immer wichtiger wird

So schützen sich Unternehmen

Aufgrund der voranschreitenden Vernetzung der OT und IT müssen Unternehmen sicherstellen, dass das gegenseitige Verständnis beider Bereiche sowie die Kommunikation betriebsintern gut funktioniert. Ebenfalls von Bedeutung ist die Überprüfung der Schnittstellen zwischen IT und OT sowie damit verbundene etwaige Einfallstore. Darauf aufbauend müssen entsprechende Sicherheitsstandards nachweisbar etabliert werden.

Eine wichtige Maßnahme ist die Schwachstellenanalyse: Dabei werden die OT-Systeme sowie das gesamte Netzwerk gescannt. Dadurch kann der allgemeine Sicherheitsstatus der Produktions- und Steuerungsanlagen ermittelt werden. Da die Tests nicht direkt auf den Prozessoren geschehen können – diese würden nämlich ausfallen und den Betrieb erheblich stören – bedarf es eines speziellen Scanners, der das Protokoll sowie die Sprache der Controller versteht. Der Scanner erkennt ungewollte Veränderungen in Form von Modifikationen, wie zum Beispiel Anpassungen der Grenzwerte am Wochenende oder ein ungeplantes Hochfahren der Turbinenlast. Besonders für Betreibende Kritischer Infrastrukturen ist es wichtig, Normen wie die ISO 27001 oder die IEC 62433 für industrielle Sicherheit umzusetzen. Hierfür können zertifizierte Experten und Expertinnen bei der Umsetzung kompetent unterstützen.

eBook

Big Data und Datenschutz

Zahl der Angriffe steigt weiterhin

Im Hinblick auf die weiterhin bedrohliche Lage im Cyberraum müssen sich Unternehmen jeglicher Größe und besonders KRITIS-Betreibende darauf gefasst machen, dass die Angriffe nicht abreißen werden. Im Gegenteil: Die Tendenz in den letzten drei Jahren hat gezeigt, dass sich die Situation stetig zuspitzt. Demzufolge wird die Intensität der Angriffe zunehmen. Investitionen zur Umsetzung von Sicherheitsmaßnahmen und dem damit verbundenen Know-how zahlen sich somit langfristig aus.

* Patrick Latus ist OT-Experte für Cybersecurity und Migrationen bei Mod IT Services GmbH.

Dieser Artikel stammt von unserem Partnerportal Industry of Things.

(ID:49229255)