Die Zahl der Cyberangriffe auf Unternehmen steigt. Sensible Daten, egal ob Kundendaten oder Kreditkarteninformationen, sind lohnenswerte Ziele von potenziellen Cyberkriminellen im Netz. Und durch die engmaschige Vernetzung von Industrieanlagen wird zunehmend auch die „digitale“ Fabrik Ziel solcher Angriffe.
Vollautomatische Produktionsanlagen, automatisierte Dispositionsabwicklung, Maschine-zu-Maschine-Kommunikation, digitaler, verschlüsselter und vollautomatisierter Austausch von Konstruktionsdateien beziehungsweise anderen sensiblen Geschäftsdaten: In der vernetzten Themenwelt der Segmente Internet of Things (IoT) und Industrie 4.0 steckt enormes Potenzial; verlangt aber auch ein erhöhtes Maß an Sicherheitsvorkehrungen.
Ich will mit diesem Artikel auf keinen Fall die Herausforderungen bei kritischen Infrastrukturen wie Wasser- und Energieversorgung aufgreifen. Dort sind die erwähnten Sicherheitsvorkehrungen bereits Standard und werden stetig den neuen Gefahrenpotenzialen angepasst. Ich schreibe von den Fabriken, den Produktionsstätten, die in Deutschland nun mal zum Mittelstand dazugehören, wie das Weißbier zum Weißwurst-Frühstück. Dabei ist es egal, ob der Mittelstand gegebenenfalls den Zukunftstrend „Industrie 4.0“ verpasst.
Warum IT-Sicherheit ein Thema der digitalen Fabrik/Industrie ist
Weltweit führen die zunehmende Digitalisierung von Produktionsstätten und die Vernetzung der Industrieanlagen mit den Märkten zu neuen automatisierten Fertigungsprozessen. Neben den Chancen, die mit dem Internet der Dinge und Industrie 4.0 einhergehen, bestehen auch Risiken, die von Beginn an minimiert werden müssen. IT-Sicherheit ist ein immanentes Thema der digitalen Fabrik.
Vielleicht am Rande: Die digitale Fabrik beschreibt grundsätzlich ein simuliertes Modell der vernetzten industriellen aber realen Welt. Ich möchte dennoch den Begriff aufnehmen und diesen für die Zukunftsszenarien wie vollautomatisierte Konfiguration im Internet, Bestellung, Produktionsplanung sowie Produktion und Auslieferung ohne menschliches Zutun im operativen Prozess nutzen.
Es gilt: Die „Digitale Fabrik“ kann nur mit angepasster Informationssicherheit gelingen, um Manipulationen oder Störungen der Wertschöpfungskette zu verhindern. „Deutschland will bei der Modernisierung der Produktion die Nase vorn haben und nach Ansicht von Politik und Wirtschaft sind die Voraussetzungen ideal, um deutsche Unternehmen als Leitanbieter für sogenannte Cyber-Physical-Systems zu entwickeln. Wir und die Deutsche Akademie der Technikwissenschaften, acatech, rechnen daher damit, dass die neuen Fertigungsverfahren zu einer Produktivitätssteigerung der Industrie von 30 Prozent führen werden“, so das Siemens-Magazin Pictures of the Future – im Oktober 2014. 2015 sind die Voraussetzung noch ein ganzen Stück besser.
Starre Wertschöpfungsketten werden dynamisch
„Für die digitale Transformation brauchen wir eine umfassende Veränderung: die durchgehende Vernetzung aller Wirtschaftsbereiche. Starre Wertschöpfungsketten werden zu dynamischen Netzwerken. Schlüsselfaktoren dafür sind begeisterte Menschen, hinreichend digitale Daten zur verbesserten Vorhersage und gezielteren Prozesssteuerung, synchronisierte Lieferketten, verkürzte Produktions- und Innovationszyklen“, so Professor Raimund Klinkner auf dem 32. Deutschen-Logistik-Kongress in Berlin.
Einzelne Prozessketten, einzeln agierende Maschinen und andere Produktionssysteme werden flexibel und können in Zukunft individuelle Produkte fertigen beziehungsweise bewegen. Vorausgesetzt, sämtliche Systemebenen werden netzwerktechnisch miteinander verknüpft. In der Praxis: „Produktdaten müssen nahtlos zwischen Product-Lifecycle-Managment (PLM), Manufacturing-Execution-System (MES) und Automatisierungssoftware ausgetauscht werden. Dabei handelt es sich letztendlich um ein offenen Netzwerk, was wiederum offen für jede Art von Angriffen ist: Sprich, durch die wachsenden Grad an Vernetzung und dem sich daraus ergebenden Volumen an Produktionsdaten steigt auch die Bedrohung von innen wie auch von außen“, so die beiden Siemens-Manager Oliver Narr und Wolfgang Schroeder gegenüber dem Magazin Hightech & Innovation.
Mehr Sicherheit in Industrieanlagen
Gegenmaßnahmen, die für mehr Sicherheit in Industrieanlagen sorgen, können unter anderem sein:
- Nur autorisierte Personen erhalten Zugang zu Anlagen und IT-Systemen.
- Mitarbeiter dürfen keinerlei Fremdhardware mit ins Unternehmen bringen – dazu gehört auch ein privater USB-Stick.
- Kontrollierte Schnittstellen sind ein Muss: Office- und Industrieanlagen müssen mittels Firewalls und ähnlichem voneinander getrennt werden. Zumindest muss die Verschmelzung beider unterschiedlicher Netzwerke erschwert werden. Man spricht auch von einer Segmentierung des Anlagennetzwerks.
- Nicht zu unterschätzen sind Maßnahmen zur Sensibilisierung von Mitarbeitern für mögliche Gefahren durch den zunehmenden Einsatz von Informationstechnik in allen Bereichen der Wertschöpfungskette. Nur gut informierte Mitarbeiter können Angriffsversuche erkennen, richtig reagieren und somit dazu beitragen, weiteren Schaden abzuwenden.
- Auch sogenannte Zellenkonzepte, gesicherte IT-Insellösungen, sorgen für mehr Sicherheit. Dahingehend arbeitet die Industrie gerne mit demilitarisierten Zonen, über die Datenübertragungen in eine Art Pufferzone zwischengespeichert werden – und erst nach entsprechender Überprüfung an die entsprechenden Netzwerke beziehungsweise Empfänger übergeben werden.
Irismuster, Fingerabdruck: Biometrie wird alltagstauglich
Hinsichtlich der vernetzten Industrieanlagen ist es mit Firewalls und Insellösungen allerdings nicht getan. Es sollte grundsätzlich ein separater Schutzring um jede einzelne Produktionsmaschine gelegt werden – inklusive dessen Komponenten. Dieser Ring öffnet sich erst dann, wenn mehrere digitale Schleusen überwunden wurden; natürlich im Millisekunden-Bereich. Eine Benutzerauthentifizierung kann dabei zusätzlichen Schutz bieten.
In Zukunft werden die Sicherheitsbestimmung wesentlich personalisierter. So wird die Biometrie alltagstauglich. Schon ein kurzer Blick/Druck in/auf den entsprechenden Sensor genügt, um die individuellen Merkmale (Irismuster, Fingerabdruck) zu erfassen, zu kontrollieren und bei Bedarf die jeweilige Person abzuweisen/anzuzeigen. Spezifische Zugangskontrollen würden ausschließlich personenbezogen funktionieren. Herausforderung dabei wird sein, den passenden Aufbau des IT-Systems (Sensor, Signal, Processing-Subsystem, Comparison-Subsystem sowie Decision-Subsystem) von Beginn an einzuplanen.
Es bleibt dabei: Deutschland als Industrieland muss sich gegen die „feindlichen“ Außenwelt schützen. Ohne eine ausreichende und verbindliche Absicherung aller verwendeten Systeme, Produktionslandschaften wird Deutschland nicht nur aus Sicht der Cyberkriminellen volkswirtschaftlich erpressbar; vielmehr würden wir unsere industrielle Spitzenposition verlieren. Der BSI hat dahingehend bereits mit der entsprechenden Planung begonnen. Und dass selbst die Hightech-Welt angreifbar ist, zeigen jüngst die Hacker-Beispiele rund ums autonome Fahren.
Teaserbild-Lizenz: minato OE / CC BY-NC 2.0
