Sicherheitslücken erkennen
Auf technischer Seite bildet die exakte Analyse des Ist-Zustands die Grundlage eines Sicherheitskonzeptes. Die wichtigste Frage ist dabei die nach der Verknüpfung von Office-IT und Fertigungsanlagen. Häufig erfolgt sie über das ERP-System. Die meisten Sicherheitslücken entstehen an diesen Schnittstellen. Einmal aufgedeckt, ist das Schließen dieser Lücken jedoch eine Herausforderung. Maßnahmen, die einen Produktionsstillstand erfordern, kommen in der Regel nicht infrage. Eine Option ist in diesem Fall das Bilden von Zonen gleichen Schutzbedarfs. Restriktive Firewall-Regelwerke begrenzen diese Zonen. Der Übergang zwischen ihnen ist ebenfalls reglementiert. Lassen sich diese Schutzbedarfe nur schwer durchsetzen, ist der Einsatz einer eigenen Hardware mit Firewall für jede Komponente der Fabrik eine Option. Aber auch diese Vorgehensweise bietet keinen ganzheitlichen Schutz. Den IT-Verantwortlichen ist diese Tatsache durchaus bewusst, weshalb es oberste Priorität ist, die Schnittstellen zwischen den Komponenten so gering wie möglich zu halten.
Unterschiedliche Systeme
Die Fertigungskomponenten innerhalb einer Fabrik stammen in der Regel von unterschiedlichen Herstellern. Ein Einkäufer hat bei der Beschaffung der Maschinen jedoch nicht die Kompatibilität der Komponenten im Blick, sondern legt Wert auf Durchsatzzahlen und Wirtschaftlichkeit. Dementsprechend wenig Einfluss hat die IT bei der Wahl der Gerätschaften, was den heterogenen Charakter der Anlagen auf die IT ausweitet. Das erschwert das Absichern der Schnittstellen. Diese sind jedoch die häufigste Schwachstelle, über die Malware in ein Unternehmen gelangt – etwa bei der Wartung, bei der über fremde Hardware Schadcode mitgebracht wird. Im schlimmsten Fall führt der Virus zu einem Ausfall der Produktion und gefährdet Menschen sowie Maschinen. Unternehmen können sich helfen, indem sie die Schnittstellen durch Einwahlrouter absichern. Sie umgehen eine direkte Verbindung zwischen externer Hardware und den Fertigungskomponenten.
Gefährdete Unternehmen
Diese etwas umständliche Sicherheitsmaßnahme sind vor allem für KRITIS-relevante Unternehmen sinnvoll, also Einrichtungen, deren Ausfall zu Versorgungsengpässen führen kann. Manche Cyberkriminelle motiviert gerade die mediale Aufmerksamkeit, die ihnen etwa ein flächendeckender Stromausfall verschaffen würde. Um den Sicherheitsrisiken im Bereich der IT adäquat zu begegnen, brauchen Unternehmen neben fachlichem Know-how vor allem ein Risikomanagement. Diese Anforderungen gehen in einer Doppelspitze aus Risikomanager und IT-Spezialisten auf, die direkt der Geschäftsführung unterstehen können. Letztlich ist die IT-Sicherheit auch eine Frage des Bewusstseins der Mitarbeiter. Je besser diese informiert sind, desto weniger Angriffsfläche haben Kriminelle.
