Die vierte industrielle Revolution bietet die Möglichkeit, seine Produktion vom fein durchgeplanten papiergestützten Ablauf hin zu einem dezentral sich selbst organisierenden Produktionsprozess umzustellen. Hierbei sind die Grenzen, ebenso wie der Begriff Industrie 4.0 selbst, sehr unterschiedlich zu deuten.

Für diese Umstrukturierung ist es jedoch immer notwendig die IT-Landschaft zu überdenken, anzupassen und neue Technologien zu etablieren. All diese Komponenten und Konzepte, Cyber-Physical Systems (CPS), Internet of Things und Smart Sensors, bedeuten auch neue Herausforderungen für die IT-Sicherheit.

Allein die Tatsache, dass industrielle Komponenten, welche nicht oder nur selten auf Sicherheit getestet wurden, Zugang zum Internet erlangen, vergrößern den Schutzbedarf innerhalb eines Unternehmens. Das zuvor für sicher gehaltene „Air Gap“ als Mittel zur Trennung zweier Rechnernetze, um beide Systeme voneinander zu isolieren, ist nicht mehr zeitgemäß, da der Grad der Vernetzung innerhalb der Produktion stetig steigt [1]. Auch klassische Schutzkonzepte aus der Büro-IT können nicht ohne Weiteres auf Industriesysteme angewendet werden. Das BSI sowie Homeland Security zeigen in einem Vergleich von Standard-IT und Industrial Control Systems (ICS), welche neuen Herausforderungen es zu bewältigen gibt [2,3]. Innerhalb von ICS ist die Echtzeitfähigkeit entscheidend. Nicht geplante Veränderungen der Latenz können sich gravierend auf die Produktion auswirken. Sind Prozesse automatisiert und haben ein physikalisches Feedback, muss gewährleistet sein, dass die Anlage den Anforderungen der Betriebssicherheit nachkommt. Dieses auch als Safety bezeichnete Merkmal ist zum einen notwendig, zum anderen auch ein Potenzial für neue Angriffe. Sind Safetyprozesse erst einmal gestartet, können diese nicht oder nur mit Aufwand gestoppt werden. Wird beispielsweise ein Sensormesswert so manipuliert, dass er außerhalb seiner Spezifikation ist, kann sich die Anlage zum Schutz ausschalten bzw. die Produktion anhalten. Da die in der Industrie eingesetzten Kommunikationsprotokolle oft im Klartext übertragen werden, muss ein Angreifer lediglich Zugang zum ICS-Netz haben, um die Daten zu manipulieren [2]. Durch den zuvor erwähnten stetig steigenden Grad der Vernetzung, wird es immer schwieriger Systeme ausreichend vor unautorisiertem Zugang zu schützen.

Eine weitere Besonderheit stellen die langen Einsatzzeiten der Steuerungskomponenten sowie die dafür speziell erstellten Sicherheitstools dar. ICS wurden ursprünglich speziell für ihren Einsatzzweck konzipiert und eventuelle Änderungen müssen mit hohem Aufwand getestet werden, bevor diese implementiert werden. Hier ist jedoch ein Trend zur Standardisierung bzw. der Einsatz von Standardkomponenten zu erkennen. Funktionsbausteine werden wiederverwendet und die zuvor speziell für genau diesen Anwendungsfall konzipierten Steuerungen werden durch universellere ersetzt. Durch diese kostensenkende Maßnahme steigt jedoch das Risiko für einen Cyberangriff, da nicht nur ein spezielles System angegriffen wird, sondern ganze Serien von Steuerungen betroffen sind.

Handlungsbedarf im Mittelstand

Gerade im Bereich der Klein- und Mittelstandsunternehmen (KMU) wurden enorme Defizite bezüglich der IT-Sicherheit festgestellt. Eine aktuelle Studie von „Deutschland sicher im Netz“ zeigt unter anderem auf, dass ca. ein Drittel aller befragten KMU keine allgemeine Absicherung ihrer EDV-Anlagen hat [4]. Auch das Ergebnis, dass über die Hälfte keinen Schutz beim Umgang mit mobilen Datenträgern hat, verdeutlicht den Handlungsbedarf. Ein ganzheitliches und vor allem aktiv gelebtes Sicherheitskonzept ist notwendig, um sich durch die neuen Möglichkeiten die Industrie 4.0 mit sich bringt nicht selbst zu schaden.

Weiche Sicherheitsfaktoren

Gerade der Faktor Mensch sollte bei der Umstellung im Fokus stehen. Alle Mitarbeiter im Unternehmen, auch jene, die keinen direkten Interaktionspunkt zur IT haben, müssen für Sicherheitsprobleme sensibilisiert werden. Da sich der Arbeitsablauf durch Industrie 4.0 stark verändern kann und oftmals ein stärkerer Einsatz von Human Maschine Interaction (HMI) auf den Arbeiter zukommt, sollte dieser Wandel gleich zur Etablierung von Sicherheitsmaßnahmen genutzt werden [5]. Durch die Steigerung der Komplexität von Maschinen und Steuerungssystemen steigen auch die Anforderung an das technische Personal. Der sichere Umgang mit den neuen Systemen ist zur Verdeutlichung der Zusammenhänge notwendig, um die Folgen eines Cyberangriffs für jeden Einzelnen erkennbar zu machen.

Vier unter den ersten fünf der BSI Industrial Control System Security – Top 10 Bedrohungen gehen vom Menschen aus [6]. Der sorglose Umgang von Wechseldatenträgern in Verbindung mit Bring-your-own-Device stellt die Sicherheitsexperten vor neue Herausforderungen. Ähnlich wie bei Stuxnet werden USB-Sticks mit ihrer gefährlichen Payload immer häufiger. Speziell präparierte Datenträger werden an Orten, die das Personal aufsucht ausgelegt und auf die Neugier der Angestellten gesetzt. Auch Social Engineering spielt zunehmend eine Rolle. Nicht sensibilisierte Mitarbeiter geben oft unbeabsichtigt unternehmensrelevante Daten weiter. Für sie harmlose Informationen ergeben in ihrer Gesamtheit jedoch wertvolle Fakten für den potentiellen Angreifer. Als Beispiel dient hier die Auskunft eines Werkers über die eingesetzte Steuerung in der Produktion. Auf dieser Basis können bekannte Sicherheitslücken recherchiert oder aber auch Vertrauen gegenüber Anderen geweckt werden. Als Grundlage für die Beeinflussbarkeit kann man wie auch Kevin Mitnick, einer der Pioniere des Social Engineerings, das Standardwerk von Robert B. Cialdini „The Science of Persuasion“ verwenden. Dort werden sechs Prinzipen (Autorität, Zuneigung, Revanchieren, Konsequenz, soziale Bestätigung und Mangel) erläutert, die die Grundlage für eine Manipulation einer Person schaffen.

Bild 1: Musteraufbau einer Defense in Depth Strategie [3]

Für die richtige Abwehr solcher Angriffe auf der menschlichen Ebene sind organisatorische Regeln notwendig. Diese müssen zum einen einfach sein, damit sie leicht verinnerlicht werden, aber auch weitreichend, um die Anzahl der Regeln gering zu halten. Beispielsweise ist eine Uniform recht einfach zu erwerben und strahlt meist genug Autorität aus um Menschen zum Handeln zu bewegen. Um diese Facette des Angriffs abzuwehren, reicht eine simple Kontrolle von Ausweispapieren bzw. die Erkundigung über den Vorgesetzten aus.

Vielschichtige Verteidigungslinien

Natürlich bleibt die technische Absicherung eines der wichtigsten Handlungsräume für die IT-Sicherheit. Hierbei wird bereits seit 2006 von Homeland Security aktiv an einem für die Industrie einsetzbaren Konzept erarbeitet. [3] Es geht im Wesentlichen um eine Trennung der Netze in verschiedene Zonen, wobei die Granularität der jeweiligen Segmente variieren kann. Diese Strategie wird als Defense in Depth bezeichnet. Es werden mehrere Verteidigungsmaßnahmen, auch als Abwehrlinien bezeichnet, kombiniert und so Risiken eingegrenzt. Sämtliche Kommunikation erfolgt in separierten Netzsegmenten, welche zusätzlich durch Intrusion Detection Systeme ausgestattet sind, um eventuelle Angriffe schnell aufzuzeigen und rechtzeitig Gegenmaßnahmen zu ergreifen.

Die Herausforderung liegt nun bei der Integration von CPS in die Defense in Depth Strategie. CPS sind mit Sensoren zur Umwelterkennung ausgestattet und haben eine Kommunikationsmöglichkeit (Aktoren) mit dem Produktionssystem. Als Aufgabe geht nun nicht nur die Absicherung des CPS hervor, um dieses an sich zu schützen, sondern auch des Systems mit dem es interagiert. Unternehmensübergreifende Produktionsobjekte und die damit verbundenen Daten die das Unternehmen verlassen, bilden wiederum ein neues Handlungsfeld. Hier geht es im Wesentlichen um Sicherheitskonzepte, die die Daten während des ganzen Produktlebenszyklus sichern. Bei Industrie 4.0 spielt auch die Rückkopplung der gewonnenen Daten auf die Produktion eine wichtige Rolle um das Qualitätsmanagement zu verbessern. Somit entstehen wiederum neue Angriffspotenziale, denn manipulierte Qualitätsdaten können nun die Qualität des Produktes verschlechtern, indem die rückgewonnenen Daten die Produktion negativ beeinflussen. Werden Parameter für die Fertigung durch autonome Systeme optimiert, so können gezielte Angriffe auf die Integrität der Daten die Systeme aus dem Gleichgewicht bringen. Es zeigt sich, dass auch hier Vertrauen eine der Schlüsselanforderungen an die Technik ist.

Ein Identitätsmanagement ist hier genauso notwendig, wie der Ansatz, Sicherheitsaspekte bereits bei der Konzeption der neuen Systeme mit einfließen zu lassen (Security by Design) [7].

Es bleibt zu hoffen, dass der Bereich IT-Sicherheit im industriellen Umfeld weiter gründlich erforscht wird, da die investierenden Unternehmen diese Sicherheit brauchen, um Industrie 4.0 zum Erfolg zu führen [8].

Die Hersteller bauchen Gewissheit, dass ihre Systeme den Anforderungen der Betriebssicherheit, IT-Sicherheit und Standards für die Kommunikation von CPS nachkommen. Nur so besteht die Möglichkeit gezielt zu investieren und die Marktposition zu sichern.

Schlüsselwörter:

IT-Sicherheit, Cyber-Physical Systems, CPS, Schutzkonzepte

Literatur:

[1] Eric Byres: Unicorns and Air Gaps – Do They Really Exist?, The Automation Conference 2013
[2] Bundesamt für Sicherheit in der Informationstechnik: ICS-Security-Kompendium, 2013
[3] David Kuipers Mark Fabro: Control Systems Cyber Security: Defense in Depth Strategies, Idaho National Laboratory, 2006
[4] Deutschland sicher im Netz e.V.: DsiN-Sicherheitsmonitor Mittelstand – IT-Sicherheitslage 2014 in Deutschland, 2014
[5] Constanze Kurz: Bessere Arbeit in der Industrie 4.0?! Risiken, Chancen & Gestaltungsbedarf, IG Metall, 2013
[6] Bundesamt für Sicherheit in der Informationstechnik: Industrial Control System Security -Top 10 Bedrohungen und Gegenmaßnahmen, 2014
[7] Plattform Industrie 4.0: Umsetzungsempfehlungen für das Zukunftsprojekt Industrie 4.0 – Abschlussbericht des Arbeitskreises Industrie 4.0, 2013
[8] Peter Welchering: Industrie – 4.0 – Entwickler verlangen mehr Sicherheitsforschung, 2014