Cybersicherheit in der Industrie Konvergenz von IT und OT und neue gesetzliche Vorgaben

Anbieter zum Thema

Infinigate Deutschland GmbH

Heitec AG

MES Electronic Connect GmbH & Co. KG

Shanghai Yongming Electronic Co., Ltd.

Industrieunternehmen mit vernetzten Produktionsumgebungen sehen sich zunehmend mit IT- und OT-Netzwerken und deren Verschmelzung konfrontiert. Insbesondere OT-Systeme, die nicht auf Cybersicherheit ausgelegt sind, vergrößern die Angriffsfläche. Hinzu kommen regulatorische Anforderungen.

Die traditionellen Grenzen zwischen IT- und OT-Netzwerken brechen auf. Hinzu kommt die zunehmende Komplexität der Lieferkette und die Tatsache, dass viele Produktionsanlagen nicht für eine vernetzte Umgebung konzipiert wurden und dementsprechend auch nicht für moderne Sicherheitsanforderungen ausgelegt sind, was die Angriffsfläche für Cyberangriffe erhöht und übergreifende Sicherheits- und Security-Konzepte erforderlich macht. Was die Lage nochmals verschärft, ist der Mangel an OT-spezifischem Security-Know-how – gerade zu einem Zeitpunkt, an dem das Inkrafttreten neuer gesetzlicher Regularien die Unternehmen vor die Herausforderung stellt, ihre OT-Systeme kontinuierlich an neue Security-Standards anzupassen und gleichzeitig die Funktionalität und Effizienz ihrer Produktionsprozesse zu gewährleisten.

97 Prozent der Unternehmen meldeten IT-Vorfälle

Dass sich die Bedrohungslage der industriellen Fertigung sowie der kritischen Infrastruktur drastisch verschärft hat, belegen auch die Ergebnisse einer Reihe von Studien und Analysen, wie beispielsweise der TXOne Networks Report „The Crisis of Convergence: OT/ICS Cybersecurity 2023“ [1]. Demnach haben im vergangenen Jahr weltweit 97 Prozent der Unternehmen IT-Vorfälle gemeldet, die sich auf die OT auswirkten. 59 Prozent sehen sich aufgrund der hohen Komplexität der Cybersicherheit mit großen Herausforderungen konfrontiert. Wie der „2024 State of Operational Technology and Cybersecurity Report” [2] des Lösungsanbieters Fortinet nahelegt, verbessert sich die OT-Sicherheitslage in wichtigen Bereichen zwar zunehmend, allerdings ist die Entwicklung hier noch längst nicht abgeschlossen, gerade im Hinblick auf die steigende Zahl von Angriffen in Zeiten der Post-IT/OT-Konvergenz.

In der Tat verändert die Konvergenz von Informations- und Betriebstechnologie das gesamte Ökosystem einer Organisation. Die zunehmende Interaktion zwischen dem Internet of Things, den OT-Netzwerken und kritischen Infrastrukturen in Kombination mit relevanten Safety-Maßnahmen und teilweise mangelnder Gerätesicherheit sorgt für eine höhere Brisanz der Entwicklung. Auch die neuen gesetzlichen Cybersicherheitsanforderungen, die die Einführung von Industrie 4.0-Konzepten mit sich bringt, sorgen für eine zusätzliche Dynamik, insbesondere in Bezug auf Datenintegrität und -verfügbarkeit.

Hinzu kommt zudem, dass es für viele Unternehmen einen enormen Kraftakt darstellt, den Mix aus Alt- und Neusystemen zu schützen oder zu ersetzen, ohne dabei den Produktionsprozess, wenn auch nur kurzfristig, außer Betrieb zu setzen. OT-Systeme haben oft strikte Echtzeit- und Safetyanforderungen, die durch Securitymaßnahmen nicht beeinträchtigt werden dürfen. Und Produktionsanlagen können nicht einfach für Updates oder Wartungsarbeiten heruntergefahren werden, was die Implementierung von Cybersicherheitsmaßnahmen zusätzlich erschwert.

NIS2 treibt Investitionen in OT-Sicherheit voran

Die bloße Einhaltung von IT-Cyberhygiene-Regeln wird hier also kaum ausreichen. Vielmehr ist ein robuster Securityansatz gefragt, der Strategien für Governance sowie der Identifizierung von Cyberangriffen, dem Schutz, der Reaktion und der Wiederherstellung umfasst. Vor dem Hintergrund der stetigen Weiterentwicklung der Taktiken von Cyberkriminellen ist es nur folgerichtig, dass, den Recherchen von TXOne zufolge, 68 Prozent der Unternehmen ihre OT-Security-Budgets erhöhen, um sich vor den Bedrohungen Dritter zu schützen.

Um die Cyberresilienz der Produktionen schon von Gesetzes wegen zu erhöhen und auszuweiten, wird NIS2, die Richtlinie zur Netz- und Informationssicherheit in Kraft gesetzt. Auch wenn sich die für Oktober 2024 geplante Frist in Deutschland voraussichtlich ins Frühjahr 2025 verschieben wird, steht fest: die Risikomanagementmaßnahmen sowie Meldepflichten für Cybersicherheitsvorfälle werden verschärft sowie strengere Aufsichtsmaßnahmen und Durchsetzungsvorschriften eingeführt.

Betroffen sind Organisationen in 18 Sektoren ab 50 Mitarbeitern und zehn Millionen Euro Umsatz, die als „wesentlich“ und „wichtig“ eingestuft sind. Zudem sollen auch einige Einrichtungen unabhängig von ihrer Größe reguliert werden – insbesondere in den Bereichen digitale Infrastruktur und öffentliche Verwaltung. Wichtig zu beachten ist jedoch auch, dass die NIS2-Vorschriften nicht nur für jene Unternehmen gelten, die an vorderster Front stehen, sondern auch für deren Auftragnehmer.

Im Spagat zwischen betrieblicher Effizienz und Sicherheit

Ein ganzheitlicher Security-Ansatz stellt viele Unternehmen insbesondere in OT-Umgebungen auch deshalb vor große Herausforderungen, weil hier traditionelle Herangehensweisen aus der IT oft nicht anwendbar sind, da die spezifischen Anforderungen und Einschränken der OT-Systeme berücksichtigt werden müssen. Während in IT-Umgebungen beispielsweise die Vertraulichkeit oberste Priorität hat, spielen im OT-Umfeld Verfügbarkeit und Integrität der Systeme eine entscheidende Rolle, denn Ausfälle können direkte physische Auswirkungen auf Mensch und Umwelt haben.

Regelmäßige Updates und Patches, wie sie in der IT üblich sind, sind oft nicht praktikabel, obwohl OT-Systeme Lebenszyklen von mindestens 15 oder sogar mehr als 20 Jahren haben. Hinzu kommt, dass standardmäßige IT-Securitytools in OT-Systemen, die spezielle, proprietäre Protokolle verwenden, vielerorts nicht kompatibel sind oder sogar eine permanente Verbindung in die Cloud benötigen. OT-Umgebungen bestehen außerdem in der Regel aus einer Vielzahl unterschiedlicher Systeme und Technologien, so dass ein ausgeweiteter IT-Cybersicherheitsansatz schwer umzusetzen ist.

Gerade vor dem Hintergrund, dass in vielen Netzwerken die Transparenz über alle verbundenen Geräte (Assets) und Datenflüsse fehlt, ist die Implementierung geeigneter Sicherheitsmaßnahmen daher nicht einfach umzusetzen. Zudem sind einige kritische OT-Systeme bewusst vom Netzwerk isoliert, mit der Konsequenz, dass traditionelle netzwerkbasierte Security-Maßnahmen nicht greifen. Fehlt hier den Beteiligten das Bewusstsein für Cybersicherheit oder hakt es bei der Zusammenarbeit zwischen IT- und OT-Teams, ist es schwer, Cybersicherheitslösungen zu entwickeln, die einerseits effektiv und andererseits auch praktikabel sind.

NIS2 und IEC 62443: Ein starkes Duo für OT-Sicherheit

Eine fundierte Risikoanalyse beispielsweise gemäß der Norm IEC62443 auf Basis der vorhandenen OT-Assets und ein daraus resultierendes Risikomanagement sind die Basis für eine gute Verteidigungslinie und spielen auch im Kontext der NIS2-Richtlinie eine zentrale Rolle. So fordert NIS2 eine umfassende und regelmäßig zu bewertende Risikoanalyse, die sowohl die IT– als auch die OT-Systeme miteinbezieht. Aufgabe der Unternehmen ist es, systematisch jene Bedrohungen und Schwachstellen zu identifizieren, die ihre Netzwerk- und Informationssysteme betreffen könnten.

Gerade aus dem Blickpunkt von NIS2 heraus liegt ein weiterer Fokus auf der Bewertung von Risiken in der Lieferkette: Es gilt, die Cybersicherheitsmaßnahmen aller Zulieferer und Dienstleister zu bewerten und in das Risikomanagement zu integrieren. Des Weiteren fordert NIS2 detaillierte Pläne zur Reaktion auf Cybersicherheitsvorfälle, basierend auf den identifizierten potenziellen Gefährdungen. Eine weitere wichtige Aufgabe ist die Dokumentation von Risikobewertungen und -managementmaßnahmen, dies bedeutet: Unternehmen müssen in der Lage sein, ihre Risikomanagementprozesse gegenüber den Aufsichtsbehörden nachzuweisen. Eines der zentralen Anliegen der NIS2-Direktive ist der proaktive Schutz vor Ransomware. Dieser verlangt zwingend Mitarbeiterschulungen, um ein Bewusstsein für die bestehenden Risiken zu schaffen und alle Beteiligten in die Lage zu versetzen, Cyberangriffe frühzeitig zu erkennen und adäquat zu reagieren. Weitere wichtige Faktoren sind die Überwachung privilegierter Konten über ein gutes Zugriffsmanagement sowie das Durchsetzen einer Null-Toleranz-Strategie mit eines Zero-Trust-Konzeptes, da perimeterbasierte Architekturen wie die Segmentierung von IT-DMZ-OT gerade im Hinblick auf importierte Cyberbedrohungen aus der Lieferkette heraus allein längst nicht mehr ausreicht.

DiD steigert die Widerstandsfähigkeit von OT-Systemen

Ein elementares Konzept, das eine zentrale Rolle im Kontext der OT-Security spielt, ist Defense in Depth (DiD), denn: DiD bietet einen umfassenden, stufenweisen und effektiven Rahmen für die Implementierung von Cybersicherheitsmaßnahmen. Es wird sichergestellt, dass multiple Schutzebenen vorhanden sind, um potenzielle Angriffe Dritter zu erschweren und einzudämmen. DiD fördert die Unterteilung von Netzwerken in separate Zonen, um kritische Systeme isolieren zu können, und unterstützt redundante Systeme und Backups zur Gewährleistung der Betriebskontinuität.

Vor diesem Hintergrund rücken immer mehr ganzheitliche Ansätze für die Erkennung von und die Reaktion auf Bedrohungen in den Blickpunkt, der für die OT-Sicherheit zielführend ist: So ist es möglich, die Sicherheitsmaßnahmen auf die Leistung der Anlagen abzustimmen, Abweichungen vom Normalbetrieb zu erkennen sowie diesen durch frühzeitige Warnungen entgegenzuwirken, um eine Systeminstabilität zu verhindern. Gleichzeitig werden bewährte Endpoint Detection- and Response- (EDR-)Lösungen für den Schutz vor operativen Bedrohungen angewendet.

Dieser Fokus ermöglicht es den Sicherheitsverantwortlichen, das Risiko von Cyberangriffen zu minimieren, während die OT-Teams Konfigurationen sperren können, um sicherzustellen, dass sich jeder auf seine Kernaufgaben konzentrieren kann, ohne die Betriebskontinuität zu gefährden. Damit ist diese Strategie entscheidend für die Aufrechterhaltung der Systemstabilität und -leistung. Zudem berücksichtigt sie die enge Verflechtung von digitalen und physischen Komponenten und bietet damit einen umfassenderen Schutz als traditionelle IT-Sicherheitslösungen.

Die Kombination solcher Konzepte ermöglicht daher einen robusten Sicherheitsansatz, der sowohl proaktive als auch reaktive Elemente umfasst und gut auf die spezifischen Herausforderungen in OT-Umgebungen zugeschnitten ist. (heh)

Referenzen

[1] The Crisis of Convergence: OT/ICS Cybersecurity 2023. (abgerufen am 24.10.2024)

[2] PDF-Dokument des Reports „2024 State of Operational Technology and Cybersecurity Report“.

Cybersicherheit in Unternehmen

Jetzt müssen IT und OT enger zusammenarbeiten

OT-Sicherheit in der Industrie

„Der Schutz industrieller Anlagen muss höchste Priorität haben“

* Patrick Scholl ist Head of OT bei Infinigate Deutschland.

(ID:50111647)