Wie gut ist die Industrie auf Schadsoftware vorbereitet?

Anbieter zum Thema

DMB RGB Quadrat Online.jpg (DMB Technics AG)

Einige Experten kritisieren schon seit längerem, dass im Bereich der industriellen Software zu wenig für die Software-Security der Systeme getan wird. Wie sehen Sie die Situation?

Ralph Langer: Das ist absolut richtig, die Security-Thematik wurde über Jahre verdrängt. Industrial Ethernet und moderne Softwaretechnologie schienen mehr Komfort und Leistung bei gleichzeitig niedrigeren Kosten zu bieten. Das war eine naive Illusion. Wie überall gilt: Es gibt nichts geschenkt.

Tino Hildebrand: Die Sensibilität bei IT Security war schon bisher vorhanden, wird jetzt durch Stuxnet aber einen neuen Aufschwung nehmen. IT-Sicherheit ist kein fertig kaufbares Produkt, sondern mehr eine Frage der Wahrnehmung und Prozesse und nicht alleine der Technologie. Dazu gehören die Ausbildung und Verantwortung sowie das Risikobewusstsein der Mitarbeiter, klare Strukturen der Kommunikationsverbindungen, das Erstellen eines IT-Sicherheitskonzeptes mit Verhaltensregeln und technischen Maßnahmen, die laufende Suche von Schwachstellen und deren Beseitigung sowie Kontrolle.

In heutigen Sicherheitskonzepten für PC- und Rechnernetzwerke in industriellen Lösungen spielt der Betreiber die entscheidende Rolle. Dieser ist gefordert, entsprechend den Anforderungen der jeweiligen Branche oder Anlage, für die relevante IT-Sicherheit zu sorgen. Zum Beispiel kann er den Zugang zu PC- oder Rechnernetzwerken sichern – und zwar mit Zugangskontrollen, Firewalls und der Authentifizierung berechtigter Nutzer.

Weitere Maßnahmen können regelmäßig ausgeführte Sicherheits-Updates oder etwa der Einsatz aktueller Virenscannerversionen sein. Auch einfache Maßnahmen wie die Abschaltung nicht benötigter Dienste und Verbindungen, können effizient zur IT-Sicherheit beitragen. Zudem stehen den Betreibern auch spezielle Komponenten mit Sicherheitsfunktionen zur Verfügung, etwa für die Kommunikation innerhalb von Automatisierungsnetzen.

Eberhard Wildermuth: Industrie und Politik haben in der Vergangenheit in schöner Einigkeit immer wieder Maßnahmen beschlossen und implementiert, welche vordergründig Aktionismus ausstrahlen, real aber keinen Sicherheitszuwachs bedeuten. Wenn man heute sieht, dass einerseits Fluggäste keine Wasserflaschen mehr mit in die Flugzeuge nehmen dürfen, andererseits aber die sicherheitskritischen Anlagen von Flughäfen und Stromversorgungsunternehmen über das Internet erreichbar und manipulierbar sind, kann man diesem Vorwurf nur zustimmen.

Es sieht so aus, als ob sich erst ein größerer Zwischenfalls mit gravierenden Folgen ereignen muss, bevor die Politik und die Industrie aufwachen und bessere echte Sicherheitsmaßnahmen vorschreiben und realisieren. Dass ein Virus seine Reise auf einem Windowsrechner beginnen kann und letztendlich auf einer Uranzentrifuge ankommt ist erschreckend.

Albrecht Liebscher: Höhere Betriebskosten sind immer ein gutes Argument einen so „unwichtigen“ Teil wie Sicherheitslücken auszuklammern. Außerdem kommen Ausfallzeiten für das Durchführen von Updates hinzu. Schlussendlich wird man abwägen müssen, wie hoch der finanzielle Verlust bei einem Komplettausfall ist - im Vergleich zum monetären Einsatz für Sicherheitssysteme und damit einhergehende Dienstleistungen von Sicherheitsexperten.

Manche sehen insbesondere die weite Verbreitung von Windows-Betriebssystemen in sicherheitskritischen Anwendungen wie Fabriken, Kraftwerken etc. skeptisch. Wie ist Ihre Meinung dazu?

Ralph Langer: So merkwürdig das auch klingen mag: MS Windows ist gar nicht das Kernproblem. Im Vergleich zur heute gängigen Automatisierungs- und Leittechnik ist ein Windows-PC so etwas wie ein Hochsicherheitstrakt für Daten. Außerdem geht es gar nicht vorrangig um Technik und Produkte, sondern in erster Linie um Menschen, die mit der Technik arbeiten.

Eberhard Wildermuth: Der Einsatz von Consumerprodukten wie Windows, Mac OSX oder Linux in einer sicherheitskritischen Anwendung grenzt an Fahrlässigkeit. Dies gilt umso mehr für die Betriebssysteme der Steuerungscomputer, aber auch für die Servicerechner, welche zur Aufdatierung der Anlagensteuerungssoftware verwendet werden.

(ID:24177220)