Steigendes Cyberrisiko Bei immer mehr IoT-Geräte bleibt der Schutz auf der Strecke

Anbieter zum Thema

TRACO ELECTRONIC GMBH

Schneider Electric GmbH

MTM Power Messtechnik Mellenbach GmbH

Trotz massiven Zuwachses von vernetzten IoT-Geräten und einer zunehmenden Digitalisierung in der Industrie bleibt die Cybersicherheit weit hinter den Anforderungen zurück. Obwohl weltweit Milliarden neuer Geräte online gehen, fehlen oftmals die nötigen Schutzmaßnahmen. Das belegen die Zahlen einer aktuellen Cybersecurity-Studie.

Laut einer Studie von IoT Analytics waren im Jahr 2020 weltweit etwa 12,3 Mrd. IoT-Geräte vernetzt. Diese Zahl stieg bis 2023 auf über 15,1 Mrd. und soll bis 2025 auf rund 27 Mrd. anwachsen, was einem jährlichen Wachstum von etwa 18 Prozent entspricht. Trotz dieser Zahlen hinkt der Schutz der vernetzten Systeme gegenüber Cyberangriffen deutlich hinterher. Industrielle Steuerungssysteme (Operational Technology, OT) und vernetzte Geräte (Internet of Things, IoT) geraten zunehmend in den Fokus von Cyberkriminellen.

Eine aktuellen Befragung von IT-Verantwortlichen aus der deutschen Industrie zeigte sich nicht einmal die Hälfte (46 Prozent) davon überzeugt, dass die Wirtschaft ausreichend vor Cyberangriffen geschützt ist. Weniger als ein Drittel (29 Prozent) sind eigenen Angaben zufolge mit den für ihre Branche relevanten Vorschriften und Standards zur Cybersicherheit wirklich vertraut; ein Viertel kennt diese gar nicht. Das sind Schlüsselergebnisse aus dem „OT+IoT Cybersecurity Report 2024“ des Düsseldorfer Cybersicherheitsunternehmens Onekey.

Kaum Bewusstsein für Cyberrisiken

Obwohl sich die industrielle Digitalisierung seit Jahren beschleunigt und immer mehr Software in Steuerungssystemen verwendet wird, scheint das Bewusstsein für die damit verbundenen Cyberrisiken bei vielen Herstellern und Betreibern deutlich unterentwickelt. „Dies ist bereits heute eine konkrete Gefahr für Hersteller und damit alle Betreiber von industriellen Geräten und Infrastrukturen“, formuliert der CEO von Onekey, Jan Wendenburg.

Die Gründe erklärt er wie folgt: „Für viele Hersteller ist es schwierig die wirklich relevanten Compliance-Vorschriften zu identifizieren. International ist viel in Bewegung, der neue Cyber Resiliance Act in der EU, der PSTI in England, der Biden Act in USA und viele andere. Daher haben wir einen Compliance Wizard entwickelt, der in einer Kombination aus automatisierter Cyber-Sicherheitsprüfung und virtuellem Assistenten Unternehmen durch ein vereinfachtes Assessment der organisatorischen Compliance führt. Die daraus resultierende Dokumentation kann unmittelbar für die künftige Nachweispflicht in Cybersicherheitsfragen und zusätzliche Zertifizierungen genutzt werden.“

Industrielle Steuerungen und IoT-Geräte werden vernachlässigt

Bei herkömmlichen Cybersicherheitsanalysen stehen vor allem Computersysteme und Netzwerke im Vordergrund, während industrielle Steuerungen in Maschinen und Anlagen sowie IoT-Geräte (Internet of Things) häufig weniger Beachtung finden, so die Ergebnisse des Onekey-Report. Die Mehrheit der Befragten (51 Prozent) ist jedoch überzeugt, dass die Hackerszene schon einen Fokus auf den Missbrauch von Maschinen- und Anlagensteuerungen sowie IoT-Geräten gelegt hat. Sie vermuten, dass Cyberkriminelle diese bereits aktiv als Einfallstor in Firmennetzwerke nutzen. Ein weiteres knappes Viertel (23 Prozent) erwartet, dass sich künftig immer mehr Hacker bei ihren digitalen Beutezügen auf Industriesteuerungen und das Internet of Things konzentrieren werden.

„Somit gehen beinahe drei Viertel der kontaktierten Führungskräfte aus der Industrie davon aus, dass Hacker zunehmend industrielle Steuerungen und IoT-Geräte angreifen. Für die Hersteller dieser Steuerungen und Geräte ist es daher von höchster Dringlichkeit, ihre Produkte vor Cyberangriffen zu schützen“, mahnt Wendenburg zur Eile.

Fast die Hälfte (46 Prozent) der Betroffenen kann die Frage, welche technischen Standards für die Cybersicherheit in Geräten, Maschinen und Anlagen von Bedeutung sind, nicht beantworten, ist dem „OT+IoT Cybersecurity Report 2024“ zu entnehmen. Weniger als ein Viertel (23 Prozent) hält den neuen Cyber Resilience Act (CRA) der Europäischen Union für relevant, obwohl nach aktuellem Zeitplan ab 2027 in der Europäischen Union keine Geräte und Industriesteuerungen mehr verkauft werden dürfen, die nicht dem CRA entsprechen.

„Wenn Steuerungssysteme ab 2027 nicht den CRA-Anforderungen entsprechen, stellt das nicht nur die Hersteller von Geräten, Maschinen und Anlagen vor erhebliche Probleme, sondern auch die industriellen Anwender. Es liegt daher im Interesse aller an der Industrie 4.0 Beteiligten, die Cybersicherheit im OT- und IoT-Bereich zügig auf das gesetzlich geforderte Mindestmaß aufzurüsten.“

OT und IoT werden vernachlässigt

Die weit verbreitete Unkenntnis über Cybersicherheit bei OT und IoT hängt laut Report damit zusammen, dass die meisten Unternehmen andere Unternehmensbereiche als stärker gefährdete Angriffsziele für Hacker einstufen und die industriellen Komponenten daher vernachlässigen. So halten 42 Prozent der befragten Führungskräfte die Zahlungs- und Finanzsysteme für besonders schützenswert vor Cyberangriffen.

39 Prozent (Mehrfachnennungen waren möglich) sehen die größte Gefahr in Angriffen auf Unternehmens¬netzwerke und Rechenzentren. 36 Prozent glauben, dass es Hacker auf Kundendaten abgesehen haben. Gut ein Viertel (26 Prozent) befürchtet, dass die E-Mail-Kommunikation von Unbefugten abgefangen wird. Genau ein Viertel befürchtet den Abfluss von Geschäftsgeheimnissen und Patent¬unterlagen. Gut ein Fünftel (22 Prozent) stuft Cloud-Dienste als ein Einfallstor für Hacker ein.

Weitere besonders schützenswerte Bereiche sind laut Umfrage: personalisierte Arbeitsplatzsysteme (16 Prozent), Überwachungs- und Sicherheitssysteme (16 Prozent), kritische Infrastrukturen und Gesundheitsdaten (15 Prozent), Telekommunikations¬anlagen (12 Prozent), Webapplikationen und Webseiten (9 Prozent) sowie Big Data und Systeme mit künstlicher Intelligenz (8 Prozent).

Unterschätztes Risiko bei OT- und IT-Systemen

Bei OT und IoT wird das Bedrohungspotenzial vergleichsweise gering eingestuft, ergab die Umfrage. Nur 11 Prozent der Befragten halten Produktions- und Lieferkettenmanagementsysteme für ein primäres Ziel von Cyberkriminellen. Nur 12 Prozent gehen von Hackerangriffen auf Geräte und Systeme aus dem Internet der Dinge aus. Produktionsanlagen und industrielle Steuerungen (OT-Systeme) hält nicht einmal ein Zehntel (9 Prozent) einer ernsthaften Gefahr durch Angreifer aus dem Internet ausgesetzt. Nur bei mobilen Anwendungen und Geräten wird das Risiko als noch geringer eingestuft (5 Prozent).

Der Onekey-Chef appelliert an die Industrie, bei ihren Zulieferern auf die notwendige Cybersicherheit von Geräten, Maschinen und Anlagen zu drängen. Er erklärt: „Natürlich müssen die Hersteller sicherstellen, dass ihre Produkte CRA-konform sind. Aber ein Unternehmen, das keine CRA-konformen Produkte im Einsatz hat, ist ebenfalls nicht optimal aufgestellt. Es liegt daher im Interesse aller Beteiligten bei Industrie 4.0, dem Thema Cybersicherheit über Computer und Netzwerke hinausgehend auch bei industriellen Steuerungssystemen und dem Industrial Internet of Things die Aufmerksamkeit zu widmen, die ihm gebührt.“ (heh)

Sicherheit im OT-Netzwerk

OT-Security muss von Anfang an eingeplant werden

Cybersicherheit in Unternehmen

Jetzt müssen IT und OT enger zusammenarbeiten

(ID:50183898)