Wie gut ist die Industrie auf Schadsoftware vorbereitet?

Anbieter zum Thema

DMB RGB Quadrat Online.jpg (DMB Technics AG)

Der Einsatz von Windows ist allerdings aufgrund seiner mangelhaften Sicherheitsarchitektur als besonders kritisch zu sehen. Schließlich werden die Eingangstore von nuklearen Anlagen auch nicht mit Fahrradschlössern gesichert. Als Betriebssysteme für sicherheitskritische Anlagen kommen ausschließlich Systeme in Frage, die konsequent auf Sicherheit ausgelegt sind. Argumente wie Bedienungsfreundlichkeit und Vertrautheit verkehren sich hier vom Vorteil zum gravierenden Nachteil.

In der Steuerungszentrale eines Kernkraftwerkes erwartet man schließlich einen Bediener der umfassend ausgebildet wurde und nicht jemanden, der sich die Bedienung einfach nur zutraut, da er die Oberfläche von seinem PC zu Hause her kennt.

Albrecht Liebscher: Je mehr Menschen oder Systeme eine korrekte Funktionsweise eines Systems einschätzen können, desto eher werden Veränderungen am und im System sichtbar. „Im System“ gibt es bei proprietären Lösungen wie Windows nicht. Eine andere Gefahr sehe ich aber durch unsensibilisiertes Personal an den Anlagen.

Welche Konsequenzen müssten Ihrer Meinung nach die Betreiber solcher Anlagen und Zulieferer aus dem Fall Stuxnet allgemein ziehen?

Ralph Langer: Die Konsequenzen aus Stuxnet für die Automatisierungs- und Leittechnik können gar nicht überschätzt werden. Hier ist ein extremer Handlungsbedarf bei den Betreibern entstanden, weil es in der Nachfolge von Stuxnet Schadsoftware geben wird, die die hier verwendeten Angriffsroutinen kopiert, ohne dabei so zielgerichtet vorzugehen wie Stuxnet selbst.

Auf diese Bedrohung ist die deutsche Industrie in keiner Weise vorbereitet. Ob wir diesen Wettlauf mit der Zeit gewinnen, ist gegenwärtig völlig offen.

Eberhard Wildermuth: Spätestens jetzt müsste eine umfassende Diskussion darüber entstehen, welche Vorgaben bei sicherheitskritischen Anwendungen einzuhalten sind. Hier ist nicht zuletzt auch der Gesetzgeber gefordert. Im industriellen Umfeld wird allzu gern nach Kostenlage entschieden. Flankierende gesetzliche Maßnahmen könnten einen Sinneswandel hier sicher unterstützen.

Aber auch die Betreiber der Anlagen müssten sich im Klaren sein, dass der Preis einer Anwendung erst das letzte Kriterium bei der Beschaffung sein kann. Mangelhafte Sicherheit kostet auf lange Sicht gesehen wesentlich mehr als ein etwas teueres aber dafür durchdachteres Produkt.

Meiner Meinung nach sind sich die Zulieferer aber auch nicht bewusst, dass schon die derzeitige Gesetzeslage umfassende Haftungsregeln vorsieht, welche im Anwendungsfall gravierende Konsequenzen nach sich ziehen können. Hier wird sowohl in technischer aber auch in betriebswirtschaftlicher Hinsicht ein gefährlicher Kurs eingeschlagen. Dass diese Regeln bisher äußerst lax gehandhabt wurden ist kein Empfehlungsschreiben für das Fortführen der bisherigen Praxis.

Albrecht Liebscher: Es sollte jeder Betreiber seine aktuelle Sicherheitslage selbst einschätzen oder einschätzen lassen und auch die noch so kleinste Bedrohung mit einem Szenario in seiner Anlage durchspielen. Dies führt erst einmal vor Augen, was im Worst Case passieren kann. Und es kann gemeinsam mit Experten über mögliche Vorkehrungen entschieden werden.

Welche Konsequenzen zieht Ihr Unternehmen aus dem Fall Stuxnet bzw. welche Strategien verfolgen Sie zum Thema Software-Security?

Tino Hildebrand: Bisher wurde de facto keine unserer Steuerungen vom Stuxnet-Virus beeinträchtigt. Unsere Analysen zeigen, dass der Virus gezielt Sicherheitslücken in dem Teil der IT-Konfiguration genutzt hat, der mit der Automatisierung gar nichts zu tun hat. Aber eines lässt sich bereits heute sagen: Wir werden die Expertise aus allen Feldern der IT und Automatisierungstechnik noch intensiver vernetzen, um die Anlagen unserer Kunden wirksam zu schützen.

Eberhard Wildermuth: Wir versuchen schon seit längerem unsere Kunden vom rein reaktiven Ansatz des bloßen Systemupdates hin zu einer proaktiveren Sicherheitspolicy zu beraten. Das bloße Hinterherlaufen hinter der Hackergemeinde indem man lediglich schon bekannte Sicherheitslücken schließt, reicht einfach nicht mehr aus.

(ID:24177220)