Cybersicherheit in der Fertigung : IT-Experte Michael Freyny: "Auch alte Geräte können gut in eine Fertigung integriert und geschützt werden"

Jeder kennt das Verfahren: Unsere elektronischen Helfer wie Smartphones, PCs oder Smartwatches bitten uns regelmäßig, Updates durchzuführen. Diese Aktualisierungen adressieren neu identifizierte Sicherheitsrisiken, korrigieren kleinere Fehler und fördern eine bessere Gerätekompatibilität. Während solche Praktiken in der Informationstechnologie (IT) gang und gäbe sind, ist dies in der Operations Technology (OT) eher ungewöhnlich. Im Gegensatz zur IT, die sich primär auf die Datenverarbeitung, -speicherung und -übertragung konzentriert, regeln und überwachen OT-Softwaresysteme materielle Ausrüstungen und Verfahren, beispielsweise die Apparaturen in Fabriken.

>>> Großer VR-Brillen-Test 2024: Der große Datenbrillen-Check

OT-Systeme sind für eine ausgedehnte Nutzung konzipiert. Während IT-Systeme typischerweise eine Nutzungsdauer von etwa fünf Jahren haben, können OT-Systeme in Anlagen und Gerätschaften bis zu 30 Jahre lang in Betrieb sein. Häufig existieren für diese Systeme keine Updates mehr, und in manchen Fällen ist sogar unklar, welche Software genau auf den Maschinen installiert ist. Viele OT-Systeme wurden ohne Berücksichtigung moderner Cybersicherheitsstandards entwickelt. Dies war bisher nicht problematisch, da OT-Netzwerke traditionell von IT-Netzwerken und dem Internet isoliert waren, womit sie vor Hackern und Malware geschützt waren.

Mit der wachsenden Verbindung und Integration von IT- und OT-Systemen, um Effizienz und Datenanalyse zu verbessern, wandelt sich die Lage: Die Häufigkeit von Cyberangriffen auf industrielle Steuerungssysteme und OT-Umgebungen hat in jüngerer Vergangenheit erheblich zugenommen. 61 Prozent der intelligenten Fabriken waren bis Ende 2023 zumindest einmal von Cybersicherheitsvorfällen betroffen. OT-Sicherheitsdienstleister schätzen, dass fast zwei Drittel aller Smart Factories in den letzten Jahren von Cybersicherheitsvorfällen in der OT betroffen waren. Immerhin: 90 Prozent dieser Sicherheitsvorfälle könnten durch bekannte Maßnahmen verhindert werden.

Industriemagazin: Wir wissen, dass die OT-Systeme in Österreichs Fabriken in vielen Fällen heillos veraltet sind. Weder gibt es so genannte Patches (also Softwareupdates), noch weiß man oft überhaupt was da damals für Software installiert wurde. Wie kann man solche Altsysteme überhaupt sicher machen?

Michael Freyny: Wenn man die IT und OT vergleicht, sind die Innovationszyklen sehr unterschiedlich. In der IT haben wir Innovationszyklen von sechs Monaten, vielleicht einem Jahr. In der OT hingegen sind die Innovationszyklen deutlich länger: drei Jahre, fünf Jahre, manchmal zehn oder noch mehr Jahre. Alt muss aber nicht gleich schlecht sein.

Wenn ich eine neue Fertigung habe und dort sowohl alte als auch neue Geräte verwende, sollte eine erste Grundlage ein gutes Asset Management sein: Man muss sich bewusst machen, welche Geräte man eigentlich in der Fertigung nutzt. Im nächsten Schritt kann man dann nach den Backup-Systemen schauen. Werden für die älteren Geräte in der Fertigung überhaupt Backup-Systeme genutzt und - sollte es zu einem Angriff kommen - können die alten Backups wieder auf die Geräte gespielt werden? Man sollte sich dann auch anschauen, wo eventuell Cluster oder Zellen gebildet werden können, die dann gemeinsam von einer Firewall geschützt werden können. So können auch alte Geräte gut in eine Fertigung integriert und geschützt werden.

Industriemagazin: Die Möglichkeit, Software-Updates einzuspielen, stellt ein Risiko für die Produktionssteuerung dar. Systeme, die für die Produktion wichtig sind, könnten durch ein Software-Update in ihrer Funktion beeinträchtigt werden. Kleine Änderungen könnten dann zu Produktionsausfällen führen. Welche Maßnahmen sind dann möglich?

Michael Freyny: Also ich glaube, die wichtigste Maßnahme ist eine sogenannte "Application Control". Dies kennt man auch aus der IT: Wenn es beispielsweise keine Updates mehr gibt für eine bestimmte Software, dann muss man im Grunde erstmal mit dem Status leben und auch mit diesem Status weiterarbeiten. Wenn ich nun so ein System habe, dann lasse ich nur diese Anwendungen auch weiter laufen, die wirklich notwendig sind. Die sonstige Software wird gelöscht und geblockt. So kann sichergestellt werden, dass nur noch die Applikationen genutzt oder ausgeführt werden, die auch innerhalb des Netzwerkes bestimmt und zentral verwaltet werden. Wenn nun jemand eine andere Applikation einspielt, kann diese einfach nicht ausgeführt werden.

Industriemagazin: Kann man eigentlich erkennen, ob jemand in meiner OT ist?

Michael Freyny: Natürlich kann man das erkennen: Und zwar mit einer sogenannten Anomalie-Erkennung. In einer Fertigung haben Sie ja bestimmte Kommunikationen zwischen Ihren Produktionsmaschinen. Die kann man überwachen, die ist wiederholend. Man kann erkennen, wer mit wem kommuniziert und kann dabei Kommunikation erkennen, die ungewöhnlich ist. Mithilfe der Anomalie-Erkennung kann erkannt werden, ob jemand im Netzwerk ist, der dort nicht sein sollte und beispielsweise Nachrichten absetzt. Diese können dann entsprechend gemeldet werden. Aber: Das muss nicht immer ein Fehler sein sondern es kann sich dabei auch um eine Wartung handeln. Bei einer Wartung werden auch andere Kommunikationswege benutzt oder andere Geräte sind eingebunden.

Stellen Sie sich vor, Sie sind eine Bank und Sie werden angegriffen. Was tun Sie in der Situation? Sie schalten wahrscheinlich erstmal alles ab. Der Bankomat wird für 20 Minuten runtergefahren. Die Apps sind nicht benutzbar. Alles gut. Nervt vielleicht den Kunden in diesem Moment, wenn der nicht an sein Geld kommt. Aber dadurch sind eben auch die Daten des Kunden geschützt. Jetzt stellen Sie sich vor, Sie sind in der Fertigung und haben einen kontinuierlichen Prozess - eine Eisenschmelze, eine Aluminiumschmelze. Die können Sie nicht einfach abschalten. Wenn Sie die abschalten, hat das wahrscheinlich ziemlich große Konsequenzen. Da ist es dann eben wichtig, dass Sie mit der Anomalie-Erkennung genau wissen, ob bestimmte Teilbereiche autonom weiterlaufen können. Bei einer Eisenschmelze oder Aluminiumschmelze, um bei dem Beispiel zu bleiben, ist es ja wichtig, dass die für einen Zeitraum heiß bleibt und eben nicht erkaltet. Die Daten, welche Temperaturen dort herrschen, können Sie später auch wieder erheben. Also wichtig bei der Anomalie-Erkennung und Reaktion darauf sind die nächsten Schritte. Und die Entscheidung dahinter muss ein Mensch treffen. Das kann schlecht automatisiert werden.

Industriemagazin: Wie kann man eigentlich den Datenfluss, also den Übergang von der IT zur Maschinensoftware sicher machen?

Michael Freyny: Ganz wichtig ist, dass man eben IT und OT über einen geregelten Prozess laufen lässt. Das nennt man eine demilitarisierte Zone: Das ist ein Netzwerk oder ein Serverteil, wo eine direkte Verbindung besteht. Die IT sollte nie direkt auf verschiedene Stellen der OT zugreifen können. Es kann dann protokolliert werden, was passiert. Und Sie erhalten Informationen dazu, ob jemand im Netzwerk ist, der da gar nicht angemeldet ist oder der eine andere IP-Adresse hat.

Industriemagazin: Im Gegensatz zu anderen Anbietern im Cybersecurity-Bereich ist Siemens auch ein Industrieunternehmen, eines der größten der Welt. Wie alt ist eigentlich die älteste OT, die in einer Ihrer Fabriken läuft?

Michael Freyny: Das kann ich Ihnen gar nicht so genau sagen, weil wir haben so viele Fertigungen. Im Siemens Museum können Sie sich aus über 175 Jahren verschiedene Applikationen angucken, die heute teilweise bestimmt auch noch funktionieren würden. Aber wenn ich so nachdenke: In Wien haben wir ja auch eine Fertigung für Stromversorgung.
Und ich glaube, da gibt es einen Röntgenapparat in der Qualitätssicherung, der eben checkt, ob die PCB-Boards richtig gemacht sind. Der ist, glaube ich, schon über zehn Jahre alt. Aber alt heißt nicht gleich schlecht.