Franz Köbinger, Marketing Manager Industrial Security, Division Digital Industries, Factory Automation, Siemens AG
1. Nachholbedarf in der Automatisierungstechnik 2. Steigende Risiken durch neue Angriffsmethoden 3. Gegenmaßnahmen zur Abwehr von Cyberangriffen 4. Fazit: Krise oder Chance?
Bezüglich des Themas Cybersecurity war mindestens jedes zweite Unternehmen in Deutschland innerhalb von 2 Jahren von Datendiebstahl, Industriespionage oder Sabotage betroffen, wie Studien etwa des Verbandes der Informations- und Telekommunikationsbranche Bitcom bereits 2017 zeigten. Vermutlich liegt die Dunkelziffer sogar deutlich höher, da nicht jeder Angriff als solcher erkannt wird. Die Schäden liegen jährlich jedenfalls im hohen zweistelligen Milliardenbereich.
Doch trotz dieser beeindruckenden und erschreckenden Zahlen erlangen zumeist nur Angriffe auf kritische Infrastrukturen sowie auf staatliche Einrichtungen größere öffentliche Aufmerksamkeit oder Schadsoftware-Infektionen mit weltweiter Verbreitung wie etwa die Erpresser-Software „WannaCry“, die 2017 Furore machte. Sie verschlüsselt Daten, die man nur gegen Bezahlung mit Bitcoins wieder entschlüsseln kann – wenn überhaupt. Auch hier zeigte sich, dass davon nicht nur klassische IT-Systeme betroffen waren, sondern auch Industrie- und Produktionsanlagen. Schadsoftware und Hackerangriffe unterscheiden schon längst nicht mehr zwischen IT und OT (Operational Technology), also der klassischen Automatisierungstechnik.
Nachholbedarf in der Automatisierungstechnik
„WannaCry“ hat aber noch mehr aufgezeigt: Es gibt noch gewaltigen Nachholbedarf bei der OT, was Cybersecurity anbelangt. Denn selbst Jahre nachdem es wirksame Sicherheitsupdates und Patches gegen diese Schadsoftware gibt, tauchen immer noch weitere Fälle in diesem Umfeld auf. Während bei IT-Systemen schon lange Prozesse etabliert sind, um schnellstmöglich Sicherheitslücken zu schließen, scheint das bei der OT noch keine Selbstverständlichkeit zu sein und Schutzmaßnahmen werden nur punktuell eingesetzt. Dabei ist in der Industrie das Schadenspotenzial sicher nicht geringer einzuschätzen. Jeder Betreiber weiß, was eine Stunde oder ein Tag Produktionsausfall bedeuten können oder Image-Schäden durch sabotierte Produkte und nicht zuletzt der Diebstahl geistigen Eigentums durch direkte Konkurrenten kosten können.
Wo sind aber die Gründe für diese offensichtliche Diskrepanz zu suchen? Ein Grund mag der Historie geschuldet sein, denn für OT ist das Thema Cybersecurity viel neuer verglichen mit der IT. Auch die Lebenszyklen der Automatisierungskomponenten und Systeme sind deutlich länger als bei den IT-Systemen. Erst bei der neuesten Generation von Automatisierungssystemen werden konsequent Security-by-Design-Ansätze berücksichtigt. Vorher war das schlichtweg keine Anforderung und nach wie vor sind noch viele Automatisierungssysteme im Einsatz, die vor über 10 Jahren oder vor noch längerer Zeit entwickelt worden sind.
