Cybersecurity Wenn virtuelle Risiken real werden

Anbieter zum Thema

TÜV SÜD Industrie Service GmbH

Klinkhammer Intralogistics GmbH

COSCOM Computer GmbH

LRQA Deutschland GmbH

Safety und Cybersecurity sind in der automatisierten Produktion nur durch ein erweitertes Risikomanagement zu gewährleisten. Für Produktionsabläufe mit vernetzten Systemen, Anlagen und Maschinen lassen sich damit höhere Reaktionsgeschwindigkeit und mehr Flexibilität erreichen.

Angriffe durch Hacker bedrohen die produzierende Industrie nicht erst seit Beginn des russischen Angriffskrieges auf die Ukraine. Sie sind deswegen aber noch stärker im Fokus als bislang. Nicht nur die Versorgungssicherheit und der wirtschaftliche Erfolg von Unternehmen, sondern auch die Gesundheit und Sicherheit von Mitarbeitenden steht auf dem Spiel, wenn Anlagen aus dem Netz angegriffen werden. Deshalb wird es immer wichtiger, die IT- und OT-Umgebungen durch ein neues, verbessertes Risikomanagement zu schützen. OT steht dabei für Operational Technology und meint den Teil der Informationstechnologie, der automatisierte Prozessabläufe ermöglicht.

Wird ein Unternehmen gehackt, drohen zudem Bußgelder von Behörden. Und die können in Millionenhöhe liegen, vor allem wenn die möglichen vier Prozent des Jahresumsatzes bei der Festsetzung der Strafe ausgereizt werden. Innerhalb von 72 Stunden nach Beginn des Angriffes müssen betroffene Unternehmen oder Institutionen eine Cyberattacke dem Datenschutzbeauftragten ihres jeweiligen Bundeslandes melden. Wird diese Frist verletzt, ist in der Regel ein Bußgeld fällig. Und falls sich herausstellt, dass Unternehmen Mitarbeiter-, Kunden- und Geschäftspartnerdaten zusätzlich unzureichend geschützt haben, wirken sich diese Verstöße gegen europaweit gültige Datenschutzvorgaben in der Regel ebenfalls negativ aus.

Europäische Maschinenrichtlinie als regulatorische Richtschnur

Die europäische Maschinenrichtlinie gibt ein Risk Assessment für Maschinen und Anlagen vor, das neben der Identifikation von Gefahren und der Bewertung der daraus resultierenden Risiken auch verlangt, Gegenmaßnahmen zu entwickeln. Auch Situationen, in denen keine unvorhersehbaren Fehler die Gefahrenquelle sind, sind dabei interessant. Welche mechanischen oder elektrischen Gefahren können bei vorgeschriebener Verwendung entstehen? Welche ergonomischen Aspekte sind zu beachten? Wie hoch ist das Risiko von Bränden oder gar Explosionen?

Die heutzutage gängigen Risikoanalysen berücksichtigen normalerweise keine externen Angriffe oder intendierte Fehlbedienungen. Dennoch ist es wichtig für die funktionale Sicherheit, wenn bestimmte zur OT-Security zählende Elemente auch unter dem Aspekt der Cybersicherheit beurteilt werden. Denn den Gefahren, die aus einer unbewussten oder gar aus einer bewussten Manipulation in Form eines Hacks entstehen, kann ansonsten nicht adäquat begegnet werden. Werden sie dagegen frühzeitig in die Analyse einbezogen, entstehen keine Lücken im Sicherheitskonzept und Betreiber wie Nutzer einer Anlage sind bestmöglich vorbereitet. Gegen diese Verknüpfung von IT- und OT-Risiken ist ein gesamtheitlicher, interdisziplinärer Blick auf die Risiken die wirksamste Vorsorge.

Zulieferer

Cyberattacke auf SAF Holland

Verschiedene Arten von Cyberattacken

Ein Beispiel für beabsichtigte oder unbeabsichtigte Manipulationen sind Veränderungen an Warnsystemen, Notabschaltungen oder Warnanlagen, sodass diese im Ernstfall nicht anforderungsgerecht funktionieren. Fernzugriffe während Wartungspausen oder Cyberattacken können hinter solchen Fehlfunktionen stecken und dazu führen, dass ungewöhnliche und nicht erwartbare Bewegungen einer Maschine oder Funktionsstörungen einer Anlage zu einer Gefahrenquelle für die im Umfeld arbeitenden Mitarbeiter werden.

Nicht immer muss das betroffene Unternehmen oder die Institution selbst das Ziel einer Cyberattacke sein. Es kommt trotz der in der Regel präzisen Planung solcher Attacken auch vor, dass sie fehlgeleitet werden, wie vor einiger Zeit das Uniklinikum Düsseldorf erfahren musste. Obwohl eigentlich die Universität das Ziel eines Cyberangriffs war, war das Krankenhaus gezwungen, wegen IT-Problemen die Notaufnahme zu schließen und Patienten umzuleiten.

Durch die Manipulation von Produktionsanlagen können weitere unerwartete Folgen entstehen, die gegebenenfalls erst später bemerkt werden. Denkbar ist zum Beispiel, dass Bestandteile einer Fertigung oder ein Rezept für ein Produkt von den Angreifern verändert werden, ohne dass dies auffällt– auch weil es ohne sichtbare oder gar kritische Fehlfunktionen der Anlage passiert. Im Ergebnis erfüllt das Endprodukt dann nicht mehr die Anforderungen des Herstellers und der Nutzer oder Konsumenten. Aus einer fehlerhaften Zusammensetzung können auch Gefahren entstehen, zum Beispiel für die Gesundheit der Konsumenten. Außerdem wird das Vertrauen in die Produkte des Herstellers möglicherweise langfristig beschädigt.

DDoS-Angriff

Rheinmetall wehrt Cyberattacke weitgehend ab

Daten und geistiges Eigentum als besonders schützenswerte Güter

Nicht zuletzt spielt der Schutz von Daten und geistigem Eigentum eine wesentliche Rolle für die Cybersicherheit. Werden diese besonders schützenswerten immateriellen Güter kopiert oder gestohlen, mag das möglicherweise später bemerkt werden als ein Stillstand oder ein Funktionsfehler an der Anlage, die Auswirkungen können aber ebenso gravierend oder sogar noch folgenreicher sein. Wenn Baupläne, Rezepte oder Steuerungsalgorithmen in falsche Hände geraten, entstehen Firmen immer wieder immense Nachteile bis hin zum Verlust ihrer Position am Markt. Die Corona-Pandemie hat in dieser Hinsicht neue Sicherheitsrisiken entstehen lassen. Vor allem durch den Fernzugriff auf Maschinen, z. B. aus dem Homeoffice, entstehen zusätzliche Zugriffsmöglichkeiten für Hacker.

Insgesamt lässt sich aber beobachten, dass die steigenden Anforderungen an die IT-Sicherheit für einen Großteil der Unternehmen einschließlich ihrer Lieferanten und Dienstleister sehr präsent sind. Etwas anders sieht es bei der operativen Sicherheit aus: OT-Security wird gegenüber der Cybersicherheit häufig als weniger relevant beurteilt. Das sogenannte Enhanced Risk Assessment von TÜV Süd vereint die Anlagen- und Cybersicherheit, um zu einer ganzheitlichen Beurteilung von Safety und Security zu gelangen. Die Expertenteams integrieren Cybersecurity-Bewertungen, wie auf Basis der IEC 62443 Normen, in die Risikoanalyse nach der DIN EN ISO 12100 und ermöglichen damit die umfassende Bewertung von Safety und Security in einem aufwandsoptimierten Prozess.

Im Mittelpunkt eines Enhanced Risk Managements steht der Dialog zwischen den Teams aus der IT- und OT- sowie aus der Maschinensicherheit. Diese funktionsübergreifende Zusammenarbeit ist unerlässlich für ein hohes Sicherheitsniveau.

* Michael Pfeifer ist Experte für Maschinensicherheit und Industrie 4.0. Josef Güntner ist Cybersecurity Senior Experte. Beide arbeiten beim TÜV Süd Industrie Service.

(ID:49437711)