Anzeige
Anzeige
Beitrag drucken

Sicherheit in der Fertigungsindustrie

Schutzschild für Roboter

Stuxnet, Duqu, Nitro – eine neue Dimension von Malware hat Industrienetzwerke erreicht. Anders als im Rechenzentrum gestaltet sich der Schutz industrieller Anlagen schwierig: Höchste Verfügbarkeit für Produktionsanlagen, lange Lebenszyklen für Maschinen und Steuerungssysteme und ungenaue Vorstellungen über schützenswerte Komponenten erschweren die Implementierung von Security-Konzepten. Dennoch führt kein Weg mehr daran vorbei.




Bild: Symantec

Als im Jahre 2010 ein Computerwurm Siemens-Steuerungssysteme attackierte, gingen Branchenbeobachter noch von einem seltenen Phänomen aus: Doch nach Stuxnet folgten weitere Angriffe wie zum Beispiel mit dem Trojaner Duqu, einer Stuxnet-Mutation, der seinen Weg in Industrieanlagen über vernetzte Office-Rechner fand oder mit Nitro. Letztgenannte Malware hatte es auf das Ausspionieren von Geschäftsgeheimnissen in der chemischen Industrie abgesehen. Spätestens seitdem ist klar: Das Risiko für Industrieanlagen, durch Computerschadcode manipuliert zu werden, ist gewachsen.

Es stellt sich die Frage, weshalb diese Anlagen getroffen werden konnten. Die Gründe hierfür sind vielfältig: Im industriellen Umfeld herrschen andere Anforderungen an die Systemsicherheit als in der Bürowelt. Kaum ein Unternehmensbereich mit IT-Unterstützung ist für gewöhnlich schlechter geschützt als ein Schweißroboter im Automobilbau oder das Hochregal eines Maschinenbauers. Hinzu kommt die für die Fertigung typische Situation mit Anlagen-Laufzeiten von bis zu 20 Jahren. Das gilt entsprechend auch für den vorgeschalteten Steuerrechner.

Verfügbarkeit geht vor Vertraulichkeit

Das größte Hindernis für eine adäquate Sicherheit nach Vorbild eines Rechenzentrums ist jedoch die zwingend benötigte hohe Verfügbarkeit der Anlagen. Hier genießt nicht die Vertraulichkeit der Daten oder die Integrität von Informationen höchste Priorität, sondern der unterbrechungsfreie Betrieb der Produktionsanlagen. Jede größere Einschränkung der Verfügbarkeit, sei es durch Störfälle oder Wartungsarbeiten, verursacht möglicherweise Kosten im sechsstelligen Bereich. In der Folge sind auch Latenzzeiten beim Einsatz gängiger Antivirus-Technologien, etwa für Updates und Aktualisierungen, inakzeptabel.

Hinzu kommt ein strukturelles, historisch bedingtes Problem: Während Industrie- und Rechenzentrumsnetze vor Jahren isoliert betrieben wurden, sind sie heute oft eng mit den Businessprozessen aus betriebswirtschaftlichen Systemen wie etwa Enterprise Resource Planning Lösungen (ERP) verknüpft. Diese Verzahnung aus Produktions- und Office-Netzen mit Backend-Systemen erhöht die Flexibilität des Geschäfts, erlaubt wesentlich reibungslosere Arbeitsabläufe – und führt im Umkehrschluss dazu, dass Kontrollsysteme, wie etwa das einer Robotersteuerung, mitunter nahezu so angreifbar werden wie ein offenes WLAN.

Zudem sind viele der verwendeten Kommunikationsschnittstellen nicht ausreichend gesichert. Auch tragen die aus der klassischen IT übernommenen Betriebssysteme, adaptierte Anwendungen und Standards selbst zu einem erhöhten Risiko bei. So sorgen heute in der Regel Betriebssysteme wie Windows NT, XP oder Linux und Netztechnologien wie TCP/IP und Ethernet für die Steuerung von industriellen Anlagen auf der Feldebene. Durch die ‚veralteten‘ Betriebssystemversionen sind industrielle Netzwerke allerdings anfällig für bösartige Attacken von Viren, Würmern und Trojanern – schon deshalb, weil aufgrund der hohen Verfügbarkeit selten Patches und Updates greifen. Hinzu kommen Aspekte wie ein fehlender physikalischer Zugriffsschutz, etwa für USB-Ports oder das Problem der Abstrahlung von Geräten.

Ganzheitliches Sicherheits- konzept unumgänglich

Diese Faktoren führen dazu, dass sich ein umfassendes Schutzszenario in der Fertigung nicht mit bewährten Methoden aus der IT umsetzen lässt. Entscheidend bei einer Implementierung nachhaltiger Sicherheitsstandards ist zunächst ein strikt systematisches Vorgehen: Dazu bewerten in der Regel Spezialisten zusammen mit Verantwortlichen des Unternehmens den Ist-Zustand der Betriebsprozesse in Produktion und IT und entwickeln auf dieser Basis konkrete Empfehlungen. Der Maßnahmenkatalog ISO 27000, ISA99 oder das BSI-Grundschutzhandbuch dienen hier häufig als Grundlage.

An erster Stelle steht in der Regel ein Asset-Management, mit dem einzelne Anlagen, Prozesse und Datenpools beispielsweise mit einer Configuration-Management-Datenbank (CMDB) inventarisiert werden. Dabei gilt es, sämtliche Automatisierungsprozesse gründlich zu analysieren, um Bedrohungsszenarien aufzuzeigen und eine aussagekräftige Risikobewertung vornehmen zu können. Dazu gehört die Beantwortung typischer Fragen etwa nach dem Aufbau des Ethernet-Netzwerks und als Folge die Frage, welche Systeme und Geräte in die Bewertung einfließen müssen, beispielsweise Roboter oder Hochregale. Erst nach diesem Schritt lässt sich eine geeignete Gesamtlösung implementieren. Diese muss nicht aus einem einzelnen Produkt bestehen, sondern kann sich auch aus dem Zusammenspiel unterschiedlicher Strategien ergeben.


Das könnte Sie auch interessieren:

Telefónica Tech erwirbt BE-terna und will damit seine Position als Technologie-Dienstleister stärken.‣ weiterlesen

Tim van Wasen tritt die Nachfolge von Stéphane Paté an und wird Geschäftsführer von Dell Technologies Deutschland.‣ weiterlesen

Überwachungssysteme, die vor Einbrüchen schützen sollen und sich per Smartphone-App steuern lassen, sollen die Nutzer in Sicherheit wiegen. Dass dieses Gefühl trügen kann, haben Studierende aus dem Studiengang Informatik an der Hochschule Emden/Leer im Rahmen eines Forschungsprojektes aufgedeckt.‣ weiterlesen

Das IT-Unternehmen Checkmarx hat das Tool Supply Chain Security vorgestellt. Das Programm zielt aber nicht auf die physische Lieferkette eines Produktionsunternehmens ab, sondern überwacht im Zusammenspiel mit Checkmarx Software Composition Analysis (SCA) den Health- und Security-Status von Open-Source-Projekten mit Blick auf mögliche Anomalien.‣ weiterlesen

Unternehmen haben bezüglich der Digitalisierung ihrer Qualitätsprozesse heute mehr Möglichkeiten denn je. Beim Blick auf klassische Produktionsunternehmen und deren Systemlandschaften kommen ERP- und CRM-Systeme, MES-Software und CAQ-Lösungen zum Vorschein, die durch offene Schnittstellenkonzepte wie OpenAPI in Summe wesentlich mehr Integrationsmöglichkeiten als früher mitbringen.‣ weiterlesen

Mit der weltgrößten Spaltrohrmotorpumpe mit Explosionsschutz konnte Hermetic-Pumpen für Aufsehen sorgen. Um bei der Entwicklung und Fertigung der Spezialpumpen erforderliche Normen und Vorgaben möglichst effizient umzusetzen, setzt der Hersteller aus Gundelfingen auf ein Integriertes Managementsystem.‣ weiterlesen

Mit einem Manufacturing Execution System (MES) können mittelständische Fertigungsbetriebe ihre Produktion digitalisieren und sie so auf komplexere Marktanforderungen ausrichten. Auf welche Funktionalitäten Fertiger achten sollten, zeigt der folgende Beitrag.‣ weiterlesen

Das Maschinenbauunternehmen Schenck Process hat die serverlose, modulare IoT-Plattform Coniq Cloud auf den Markt gebracht. Das System ist als IoT-Backbone für die eigenen Maschinen gedacht und bietet Anwendungsprogramme etwa zu Optimierung von Produktionszeiten und für Datenauswertungen.‣ weiterlesen

Komplexe Fertigung in Kombination mit hohem Termindruck führten beim Maschinenbauer Knoll dazu, dass lediglich 53 Prozent der Liefertermine zu halten waren. Nach der Einführung der PPS-Lösung von LF Consult liegt die Termintreue bei über 90 Prozent - bei kürzeren Durchlaufzeiten.‣ weiterlesen

Wenn sich am 30. Mai die Hallentore zum Flagschiff der Deutschen Messe öffnen, kann das als Startschuss für das postpandemische Messegeschehen gelten. Denn die Hannover Messe nimmt traditionell eine Sonderrolle unter den Industrieausstellungen ein. Grund dafür ist auch das hochkarätige Begleitprogramm, das diesmal mit 600 Vorträgen auf sechs Bühnen die Angebote der 2.500 Aussteller einrahmt.‣ weiterlesen

In diesem Jahr findet die Intralogistikmesse Logimat wieder in Präsenz statt. Und laut Veranstalter bewegen sich die Buchungen wieder auf Vor-Pandemie-Niveau. 1.500 Aussteller werden vom 31. Mai bis zum 2. Juni in Stuttgart erwartet.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige