Cybersicherheit in der Zeitenwende Digitale Identitäten: Basisanforderung zum Schutz vor Cyberattacken

Anbieter zum Thema

Klinkhammer Intralogistics GmbH

Conductix-Wampfler GmbH

Shining 3D Tech Co., Ltd

Stillgelegte Produktionslinien von Automobilzuliefern, verschlüsselte Datenbanken von Behörden und komprimierte Windkraftanlagen – die Anzahl der Cyberangriffe steigt rasant. Trotzdem setzt die Industrie Vorgaben nur schleppend um. Was passiert als nächstes?

Durch die Nutzung öffentlich zugänglicher Suchmaschinen und bestimmter Begriffe können unverschlüsselte IP-Adressen von aktiven Steuerungen von Solaranlagen, Windrädern oder Pumpen schnell gefunden werden. Innerhalb weniger Minuten lassen sich so wichtige Informationen wie Standort und Leistung von Wind- und Solarparks ermitteln. Eine Studie der RWTH Aachen und des Fraunhofer FKIE hat das Internet nach Steuerungen auf Basis des Standards OPC UA durchsucht. 92 Prozent waren unsicher eingerichtet. Gleiches gilt für das MQTT-Protokoll. Eine andere Untersuchung zeigt, wie seitlich zwischen Geräten auf der Controller-Ebene von OT-Netzwerken gewechselt werden kann. Dies bedeutet, dass Hacker nun in anfällige Netzwerke und Geräte auf der Steuerungsebene kritischer Infrastrukturen eindringen können und wichtige Anlagen beschädigen können. Es ist also kein Wunder, dass sich der durch Cyberattacken im Jahr 2022 verursachte Schaden in der deutschen Wirtschaft auf 203 Milliarden Euro beläuft.

In einem typischen Angriff verschaffen sich Hacker über die IT auch Zugriff auf die OT. Durch Schadsoftware wird die Produktion lahmgelegt. Oft werden Datenbanken verschlüsselt, die den Angreifern Lösegelder einbringen soll. Nach der Attacke müssen die Systeme durch Forensiker detailliert untersucht werden. Die Kosten für den Produktionsausfall und die Wiederherstellung der Systeme sind hoch, der Vertrauensverlust und die Reputationsschäden ebenso.

Während sich Hackergruppen immer weiter professionalisieren, agieren deutsche Unternehmen nicht agil genug. Abhilfe sollen Regularien und Standards wie NIS 2, der Cyber Resilience Act und die Industrienorm IEC 62443 schaffen. Neben Betreibern kritischer Infrastrukturen (kurz: Kritis) müssen nun auch Unternehmen wesentlicher Sektoren mit mindestens 50 Mitarbeitenden und zehn Millionen Euro Jahresumsatz die entsprechende Maßnahme für ein hohes Cyber-Sicherheitsniveau, sprich NIS2, bis Herbst 2024 umsetzen.

Bildergalerie

Digitale Identitäten als Basis der IT-Sicherheit

Ein fundamentales Ziel für Maschinen- und Anlagenbauer ist es, IT-Sicherheit in der gesamten Automatisierungspyramide zu gewährleisten. Ein ganzheitliches Konzept wird in der IEC 62443 beschrieben. Die Umsetzung ist jedoch nicht trivial. Maschinenhersteller liefern meistens ein Komplettpaket. Vom Feldgerät über die Steuerung bis zum Scada und der Datenplattform für Entscheidungsunterstützungssysteme soll die IT-Sicherheit gewährleistet werden. Das erreicht man, indem man beim Transport der Daten durch die unterschiedlichen Ebenen bei jedem einzelnen Schritt die Identität und Authentizität der betreffenden Entitäten überprüft. Gleichzeitig sollte dafür Sorge getragen werden, dass die Daten vertraulich behandelt werden und ihre Integrität gewahrt bleibt. Beide Voraussetzungen können durch digitale Identitäten auf Basis von Zertifikaten gewährleistet werden. Dabei handelt es sich um ein anerkanntes Konzept zur Authentifizierung und Verschlüsselung.

Eine digitale Identität ist ein Nachweis, mit dem sich erkennen lässt, wer ein Gerät, eine Anwendung oder eine Person im Netzwerk ist. Ein Zertifikat erlaubt es die Echtheit und Herkunft einer Komponente zu kontrollieren. Dabei belegt das Zertifikat die Identitätsinformationen des Geräts kryptografisch. Mit diesen Zertifikaten erhalten Geräte eine eindeutige Kennung, die das Gerät im Produktionssystem authentifiziert und vor Angriffen schützt. Digitale Zertifikate ermöglichen die gegenseitige Authentifizierung via TLS zwischen zwei beliebigen Entitäten, die eine gemeinsame Vertrauensbasis haben. Die meisten IIoT-Geräte kommunizieren über Protokolle, die mit TLS gesichert werden können, darunter HTTP, MQTT, AMQP und OPC UA.

Cyberkriminalität

Cybersicherheit für Industrieanlagen: So lassen sich alle Angriffe von außen abwehren

Lieferketten brauchen Vertrauensketten

Gemäß IEC 62443 müssen Gerätehersteller für die höheren Sicherheitsstufen, das heißt Stufe 3 und 4, ein Gerätezertifikat in der Produktion ausstellen und sicher speichern, um die Identität des Geräts zu schützen und zu verifizieren. Dafür können sichere Kryptoprozessoren wie ein Secure Element (kurz: SE) oder ein Trusted Platform Module (kurz: TPM) genutzt werden. Um die Ausstellung skalierbar durchzuführen, ist eine Public Key Infrastructure (kurz: PKI) notwendig. Die PKI liefert kryptografisch sichere, verlässliche und diebstahlsichere Identitäten.

Anschließend gilt es eine Vertrauenskette entlang der Lieferkette zu erstellen, damit Integratoren und Betreiber das Gerät sicher verwenden können. Dazu muss die Identität des Geräts angefragt, überprüft und bestätigt werden können. Schließlich gilt es, die Geräteidentität vertrauenswürdig im Betreibernetzwerk einzubetten und zu verwalten, da Zertifikate eine begrenzte Gültigkeitsdauer haben sollten. Zudem sollten gesperrte Zertifikate aufgelistet werden. In der OPC UA Spezifikation Teil 12 wird ein sogenannter Global Discovery Server (kurz: GDS) beschrieben. Mit dieser Technologie wird die Aktualisierung von Zertifikaten und Sperrlisten automatisiert. Durch die Kopplung eines GDS an eine PKI erübrigen sich manuelle Schritte zur Zertifikatsverwaltung.

Anforderungen – Auswirkungen – Eckdaten

NIS2-Richtlinie – Was bedeutet die neue Vorschrift für Ihre Cybersecurity?

IT-Sicherheit als Teil des Designs

Digitale Identitäten unterstützen an vielen Stellen auch das Security-by-Design-Prinzip, indem sie Sicherheitsfunktionen und -maßnahmen bereits während des Designs der Geräte integrieren. So ist auf Basis von digitalen Identitäten ein authentisiertes Starten mit Secure Boot möglich. Dadurch wird gewährleistet, dass die Firmware und ausgeführter Code sicher sind.

Die ausgestellten Zertifikate dienen auch zur Gewährleistung der Sicherheit beim Update-Management, indem sie garantieren, dass Updates keine unzulässigen Modifikationen oder Schadsoftware enthalten. Eine robuste TLS-basierte Verschlüsselung der Kommunikation zwischen Geräten trägt dazu bei, dass sensible Daten sicher übertragen werden und unbefugte Zugriffe durch Man-in-the-Middle-Angriffe verhindert werden. Darüber hinaus können digitale Identitäten für eine sicheres Zero-Touch-Provisionierung verwendet werden, um Komponenten sicher und skalierbar in das Betreiber- oder Maschinennetzwerk einzubinden und zu konfigurieren. So werden wesentliche Anforderungen für Zero-Trust-Konzepte automatisiert erfüllt.

Mit digitalen Identitäten werden komplexe, sichere Prozesse möglich, die Hersteller, Zulieferer und Betreiber weltweit miteinander verbinden. So lassen sich Ursprung und Authentizität von Geräten stets eindeutig nachweisen und Plagiate identifizieren. Auch sind neue Geschäftsmodelle denkbar, beispielsweise ein nutzungsbasiertes Pay-per-Use-Modell für Roboter oder das Freischalten von lizenzbasierten Features für einzelne Komponenten.

* Sven Uthe ist Geschäftsführer und CTO des Paderborner Start-ups Devity.

(ID:49720089)