Cybersicherheit mit System: Interview zu Security in Industrie und Operational Technology

Die zunehmende Vernetzung von technischen Infrastrukturen, Anlagen und produktionswirtschaftlichen Systemen eröffnet faszinierende neue Möglichkeiten für Automatisierung, Effizienz und Fernwartung. Die Kehrseite der Medaille: Anforderungen an die Cybersicherheit in Industrie und Operational Technology (OT) steigen immer weiter an. Es gilt die alte Regel: Was vernetzt ist, ist angreifbar. Zur Herausforderung wird aktuell, dass sich klassische IT-Sicherheitskonzepte nicht ohne Weiteres auf industrielle Steuerungs- und Leitsysteme übertragen lassen, da zusätzlich zum Schutz von Informationen und Systemen auch die Aspekte Verfügbarkeit, Betriebssicherheit und Integrität physischer Prozesse adressiert werden müssen. Einen strukturierten Rahmen für all das bietet die Normenreihe IEC 62443.

In unserem exklusiven Interview geht Dr. Uwe Schröer, Fachbereichsleiter und HDT-Themen-Experte unter anderem für Produktion und Maschinenbau, auf die Folgen der wachsenden Cybergefahren und nicht zuletzt auf die praktische Umsetzung der IEC 62443 im Unternehmenskontext ein.

HDT-Insights: Herr Schröer, Cybersicherheit in Industrie und Operational Technology ist ein Thema von besonders hoher Relevanz, um nicht zu sagen: Brisanz. Der KI-Boom scheint das zusätzlich zu verstärken. Wie blicken Sie auf die Entwicklung?

Uwe Schröer: Die industrielle Cybersicherheit hat in den vergangenen Jahren tatsächlich erheblich an Bedeutung gewonnen. Ein Grund dafür ist der Wandel der Architektur industrieller Systeme. Produktionsanlagen, speicherprogrammierbare Steuerungen (SPS), Prozessleitsysteme, Sensoren, Aktoren und industrielle Netzwerke waren früher zumeist weitgehend isoliert. Heutzutage sind sie zunehmend mit Unternehmensnetzwerken, Fernwartungslösungen, Cloud-Diensten und übergeordneten Produktionssystemen verbunden. Die immer weitreichendere Vernetzung bietet einerseits natürlich große wirtschaftliche Vorteile. Andererseits erweitert sich die potenzielle Angriffsfläche erheblich. Cyberangriffe können heute nicht nur Daten und IT-Systeme kompromittieren, sondern bei Angriffen auf OT-Systeme auch unmittelbar physische Prozesse beeinflussen.

Und weil Sie es angesprochen haben: Im Zuge der immer schnelleren Entwicklungssprünge bei künstlicher Intelligenz nimmt – vorsichtig formuliert – die Angriffswahrscheinlichkeit nicht gerade ab. Zur Wahrheit gehört allerdings auch, dass zeitgleich mit all den zusätzlichen Möglichkeiten für Cyberangriffe viele neue Ansätze zur Erkennung und Abwehr von Bedrohungen entstehen.

HDT-Insights: Bleiben wir kurz bei den vergrößerten Angriffsflächen. Über welche möglichen Folgen reden wir hier?

Uwe Schröer: Denken Sie beispielsweise an von außen provozierte Produktionsausfälle. Diese können erhebliche wirtschaftliche Schäden nach sich ziehen. Je nach Anlage und Angriffsszenario sind zudem Auswirkungen auf die übergeordnete Versorgungssicherheit denkbar. Werden durch fehlerhafte Prozessabläufe Maschinen und Anlagen beschädigt, drohen überdies sogar Gefahren für Leib und Leben sowie mitunter Folgen für die Umwelt. Worauf man sich hier einstellen muss, geht also weit über das hinaus, was man früher als IT-Sicherheitsvorfall kannte.

HDT-Insights: Das hat definitiv eine andere Qualität. Ein passendes Motto wäre vielleicht: Aus virtuell wird Ernstfall. Wie sollten sich Betreiber hierzu verhalten?

Uwe Schröer: Ein sehr wichtiger Punkt! Industrielle Cybersicherheit ist sehr viel mehr als IT-Schutz: Sie ist ein wesentlicher Faktor für einen zuverlässigen und gefahrlosen Anlagenbetrieb. Für Betreiber kann die Schlussfolgerung daher nur lauten: Cybersicherheit ist nicht länger alleinige Aufgabe von IT-Abteilungen. Vielmehr muss sie als integraler Bestandteil des Anlagenbetriebs gedacht und gelebt werden. Die Verantwortung für IT-Sicherheit verlagert sich, involviert Verantwortliche für Automatisierungstechnik, Instandhaltung, Engineering, Betrieb und Management, was wiederum organisatorische Umstellungen und Schulungsbedarfe nach sich zieht.

HDT-Insights: Welche wesentlichen Unterschiede sehen Sie vor diesem Hintergrund zwischen IT-Security und OT-Security?

Uwe Schröer: Bezogen auf die grundlegenden Sicherheitsprinzipien herrscht hier durchaus Vergleichbarkeit. Wichtige Unterschiede gibt es bei der praktischen Umsetzung. In klassischen IT-Umgebungen lassen sich Systeme häufig kurzfristig aktualisieren, neu starten, aufsetzen oder sogar ersetzen. In der industriellen Produktion ist das meist nur innerhalb von eng begrenzten – geplanten – Wartungsfenstern möglich. Ungeplante Unterbrechungen sind bisweilen sehr teuer. Und dann haben wir noch nicht über mögliche Folgen für Lieferketten oder kritische Versorgungsprozesse gesprochen.

Etwas anderes darf hier übrigens nicht übersehen werden: Industrielle Steuerungen und Geräte haben teils deutlich längere Lebenszyklen als IT-Hardware. Manche Komponenten unterstützen keine modernen Sicherheitsmechanismen oder lassen sich nur mit erheblichem Aufwand aktualisieren. Und was die Umsetzung von Sicherheitsmaßnahmen zusätzlich erschwert, sind proprietäre Protokolle, Echtzeitanforderungen sowie die Abhängigkeit von wenigen hoch spezialisierten Firmen.

HDT-Insights: Nicht eben wenige Herausforderungen für Betreiber. Inwieweit kann ihnen die IEC 62443 helfen und zur Erhöhung der industriellen Cybersicherheit beitragen?

Uwe Schröer: Bei der IEC 62443 handelt es sich um eine international etablierte Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Betreibern hilft die Normenreihe vor allem aufgrund ihres ganzheitlichen Ansatzes. Es werden nicht nur einzelne technische Komponenten betrachtet, sondern auch Prozesse, Systemarchitekturen, organisatorische Verantwortlichkeiten und der gesamte Lebenszyklus. Dabei bildet die IEC 62443 keine starre Checkliste, die blind abgearbeitet wird. Welcher Teil der Norm relevant ist, ergibt sich individuell aus den spezifischen Aufgaben, Verantwortlichkeiten und Risiken – ob man beispielsweise in der Rolle des Herstellers, Systemintegrators oder Betreibers ist.

HDT-Insights: Was kann man Unternehmen empfehlen, die mit der Umsetzung der IEC 62443 beginnen wollen?

Uwe Schröer: Man sollte die Umsetzung als ein strukturiertes Programm begreifen. Falsch wäre es etwa, unkoordiniert mit dem Einkauf einzelner Sicherheitsprodukte zu beginnen. Viel wichtiger ist zu Beginn, ein gemeinsames Verständnis der Risiken, der Schutzziele und der Verantwortlichkeiten zu schaffen.

Ein gut geeigneter, pragmatischer Ansatz ist die Gliederung des Vorgehens in fünf Schritte, angefangen beim Geltungsbereich und den Verantwortlichkeiten, die bezogen auf Standorte, Anlagen, Systeme und Prozesse festzulegen sind. Es folgt zweitens die Ist-Zustand-Erfassung der vorhandenen Anlagen- und Systemlandschaft inklusive der genauen Kommunikationsbeziehungen und Sicherheitsmaßnahmen inklusive der bekannten Schwachstellen, Einschränkungen und externen Abhängigkeiten.

Drittens sind auf Basis einer nachvollziehbaren Risikobewertung Schutzbedarfe und erforderliche Sicherheitsmaßnahmen zu definieren. Schritt vier wiederum betrifft die Priorisierung der zu ergreifenden Maßnahmen, wobei die Umsetzung sich an Risiken, möglichen Schäden und der praktischen Machbarkeit orientieren sollte. Selbstverständlich müssen Maßnahmen stets so geplant werden, dass sie den sicheren Anlagenbetrieb nicht gefährden.

Und fünftens ist die Wirksamkeit zu überprüfen und kontinuierlich zu verbessern. Insbesondere können neue Anlagen und Komponenten sowie Veränderungen bei der Software, zusätzliche Fernwartungsverbindungen oder veränderte Bedrohungen eine plötzliche Neubewertung erforderlich machen.

HDT-Insights: Wie lässt sich der Fortschritt dieser einzelnen Schritte und Maßnahmen in der Praxis verfolgen respektive evaluieren?

Uwe Schröer: Der Fortschritt lässt sich anhand konkreter Kennzahlen verfolgen, beispielsweise durch den Anteil vollständig inventarisierter OT-Assets, die Abdeckung dokumentierter Kommunikationsbeziehungen, die Zahl kontrollierter privilegierter Zugänge, die Bearbeitungsdauer kritischer Schwachstellen oder die erfolgreiche Durchführung von Wiederherstellungstests.

Solche Kennzahlen sollten jedoch immer im Kontext der jeweiligen Anlagenrisiken interpretiert werden. Eine hohe Anzahl umgesetzter Maßnahmen ist nicht automatisch ein Beleg für ein angemessenes Sicherheitsniveau.

Mein wichtigster Rat lautet daher: Unternehmen sollten die IEC 62443 als Rahmen für ihr dauerhaftes Sicherheitsmanagement verstehen. Die Norm entfaltet ihren größten Nutzen, wenn sie technische Schutzmaßnahmen, betriebliche Abläufe und organisatorische Verantwortung miteinander verbindet. So wird industrielle Cybersicherheit langfristig zu einem nachvollziehbaren Bestandteil eines sicheren, zuverlässigen und resilienten Anlagenbetriebs.

HDT-Insights: Lassen Sie uns zum Schluss kurz auf die Anforderungen aus KRITIS-Verordnung, NIS-2-Richtlinie und dem Cyber Resilience Act eingehen. Wie lassen sich die Regelungen in einer industriellen OT-Umgebung zielgerichtet umsetzen und worin unterscheiden sie sich überhaupt?

Uwe Schröer: Fangen wir mit dem leichteren Teil der Frage an: Bei den drei von Ihnen angesprochenen Regelwerken handelt es sich um wichtige Bausteine der europäischen und deutschen Cybersicherheitsregulierung. Sie ergänzen sich gegenseitig, verfolgen aber unterschiedliche Ansätze. NIS-2 und KRITIS regulieren, wie sicher Organisationen und Betreiber zu arbeiten haben. Konkret geht es um Anforderungen an das Cybersicherheitsrisikomanagement, um Sicherheitsmaßnahmen sowie um die Meldung von Sicherheitsvorfällen. Mit dem CRA (Cyber Resilience Act, Anm. d. Red.) werden auf der anderen Seite die Cybersicherheitsanforderungen für Produkte mit digitalen Bestandteilen festgelegt.

Kommen wir zur Umsetzung: Wie sich aus dem bereits Gesagten ergibt, ist selbstverständlich zunächst einmal im Hinblick auf die eigene Rolle zu prüfen, welche Pflichten gelten. Daran schließen sich Dinge wie Risikoanalysen und Inventarisierung von Anlagen an. Netzwerke werden gegebenenfalls segmentiert, je nach Risiko werden Zugriffe kontrolliert, Wiederherstellungsprozesse getestet und so weiter. Mithilfe von klaren, einheitlichen Verantwortlichkeiten, dokumentierten Maßnahmen, belastbaren Notfall-, Wiederanlauf- oder Wiederherstellungsplänen sowie regelmäßigen Wirksamkeitsprüfungen werden Compliance und Betriebssicherheit in Einklang gebracht.

Hinzu kommen Dinge wie ein Schwachstellenmanagement oder klare Lieferantenanforderungen. Ein weites Feld, bei dem es im Sinne der Effizienz auch darauf ankommt, Doppelarbeiten zu vermeiden und flexibel auf Veränderungen zu reagieren.

HDT-Insights: Herr Schröer, wir danken Ihnen für die wichtigen Einordnungen. Es zeichnet sich ab, dass uns dieses Thema und verwandte Fragen künftig noch häufiger beschäftigen werden.

Die Fragen stellte Michael Graef, Chefredakteur HDT-Insights.

Bildhinweis: Unser Titelbild entstand unter Zuhilfenahme von künstlicher Intelligenz.

Allen Leserinnen und Lesern, die sich mit den hier diskutierten Fragen schon heute intensiver befassen möchten, sei an dieser Stelle das HDT-Seminar Security in der Industrie und OT – Grundlagen IEC 62443 empfohlen.