Eugen Giesbrecht, Industrial Security & Network Services, Competence Center Services, Phoenix Contact Deutschland GmbH, Blomberg
Jeder Einzelne bewertet täglich Risiken und leitet daraus Maßnahmen ab. Der Regenschirm wird mitgenommen, wenn eine vermehrte Wolkenbildung zu beobachten ist. Sämtliche Insassen legen nach dem Einsteigen in das Auto den Gurt an. Beim Verlassen des Hauses schließen die Bewohnenden die Tür ab. Derartige Handlungen werden nur dann unterlassen, weil die Akteure mehr oder weniger bewusst entschieden haben, mit den möglichen Konsequenzen für sich und andere Personen leben zu können. Entschlüsse laufen also nach dem folgenden Muster ab: Was kann passieren? Ist dies akzeptabel? Falls nicht: Welche Maßnahmen – Regenschirm, Gurt, Schloss – sollten umgesetzt werden? Nicht über mögliche Bedrohungen nachzudenken, ändert nichts an den Risiken. Es bewirkt lediglich, dass Konsequenzen in Kauf genommen werden, mit denen der Akteur und sein Umfeld unter Umständen nicht einverstanden sind.
Bei den zahlreichen Cyberangriffen, die in den letzten Jahren auf deutsche Unternehmen stattgefunden haben, drängt sich die Frage auf: Sind die Angreifer so gut oder wurden Gegenmaßnahmen gar nicht erwogen? Die kurze Antwort: beides. Doch der Reihe nach. Geht es im Bereich industrieller Kommunikationsnetzwerke um das Thema Security, ist eine Norm – oder besser: Normenreihe – in der näheren Vergangenheit in den internationalen Fokus gerückt: die IEC 62443. Zwar gibt es in der allgemeinen IT schon seit längerer Zeit etablierte Rahmenwerke – beispielsweise die ISO-27000er-Serie –, die Maßnahmen der klassischen Büro-IT lassen sich jedoch aufgrund unterschiedlicher Rahmenbedingungen nicht immer direkt auf die industriellen Netzwerke übertragen. Ein Beispiel: Software-Updates können in der Regel problemlos und zeitnah auf die Bürorechner aufgespielt werden. Nur um ein Update zu installieren, möchten es allerdings die wenigsten Betreiber auf einen Anlagenstillstand ankommen lassen, sofern für die teils über 20 Jahre alte Hardware überhaupt noch Updates erhältlich sind.
Rollen der Protagonisten
Die Normenreihe IEC 62443 gliedert sich in verschiedene Kategorien und setzt in den jeweiligen Teilen die Schwerpunkte für die Rollen, die im Lebenszyklus einer Automatisierungsanlage wesentlich sind. Da wäre zunächst der Betreiber einer Anlage oder eines Systems, der die notwendigen Sicherheitsaktivitäten etablieren muss. Die entsprechenden Anforderungen und Empfehlungen findet er zumeist im Normenteil 62443-2-1. Dazu gehören verfahrenstechnische, personelle und technologische Fähigkeiten, die so zu realisieren und aufrechtzuerhalten sind, dass sich die individuellen IT-Risiken auf ein für ihn akzeptables Maß reduzieren lassen. Die oberste Devise lautet folglich: Risikominimierung. Das Thema Risikomanagement kann der Betreiber somit nicht vermeiden, weil sich die konkreten Maßnahmen aus einer individuellen Analyse des Scopes ableiten. Genau beschriebene Handlungsanweisungen und Schritt-für-Schritt-Anleitungen enthält die Norm (verständlicherweise) nicht. Die zu berücksichtigenden Themengebiete werden jedoch aufgeführt.
