Sicherheitsempfehlungen – Einführung Industrie 4.0

Für die Umsetzung des Industrie-4.0-Konzeptes ist Sicherheit von kritischer Bedeutung. Insbesondere Angriffe gegen die Faktoren Integrität und Verfügbarkeit können im Zusammenhang mit Produktionsumgebungen dramatische Konsequenzen nachsichziehen. Zudem liegt in derartigen Zusammhängen die Verwandtschaft von Betriebs- und Angriffssicherheit sehr nah beieinander.

Folgende Empfehlungen sollten daher bei der Industrie 4.0 – Umsetzung unbedingt berücksichtigt sein:

Definieren Sie den Begriff für sich!

Derzeit werden eine Vielzahl von Ideen und Ansätzen unter dem Begriff Industrie 4.0 gefasst. Definieren Sie den Begriff für sich selbst und füllen Sie Ihn selbst aus. Schaffen Sie sich eigene Deutungshoheit, denn nur dann sind sie kurzlebigen Trendprodukten gegenüber unempfänglich und schaffen es das Thema in seiner strategischen Tragweite zu erfassen!

Sehen Sie Sicherheit nicht als Add-on

Sicherheit ist kein Add-on, dass sich an einer beliebigen Stelle im Projektablauf zukaufen lässt. Eine derartige Sichtweise wird sich bitter rächen und hohe Folgekosten nachsichziehen. Sicherheit ist integralen Bestandteil und übergeordnetes Ziel von höchster Priorität und sollte schon von Projektbeginn an ganzheitlich in sämtliche Bestrebungen miteinbezogen werden.Führen Sie von Anfang an IT-Risiko- und Bedrohungsanalysen durch und begleiten Sie alle Changeprozesse mit Security-Milestones, oder kurz: Setzen Sie auf Defence-in-depth! Dies ist zwar teurer, aber Sie wollen niemandem erklären, warum ein Facebookwurm zu Fehlern in der Fertigung führen konnte.

Business-IT und Industrial-IT müssen in einen Dialog finden

Ein nur allzu oft unterschätztes Thema in Bezug auf Industrie 4.0 ist Interkulturalität. Wenngleich man bei dem Begriff auch zunächst geneigt ist, eher an das Auslandsengagement eines Unternehmens in China zu denken als an das Werk in der süddeutschen Provinz, so ist das Thema doch von erheblicher Bedeutung. Business-IT und Industrial-IT sind jeweils durch eine Berufskultur geprägt, die sich von der anderen in weiten Teilen unterscheidet. Während die Business-IT die klassische Spielwiese der Informatik und Wirtschaftsinformatik ist, ist es bei der Industrial-IT eine Ingeneurskultur die dem Bereich sein Gepräge gibt.

In beiden Einheiten herrschen somit völlig andere Vorstellungen hinsichtlich grundsätzlicher Begriffe wie Investionszyklus, Schutzzielpriorisierung, Bedrohung und eben auch Sicherheit vor, die es bei der Umsetzung von Industrie 4.0 auszugleichen gilt. Erschwert wird die Situation oft noch dadurch, dass aufgrund der meist unterschiedlichen organisatorischen Aufhängung in der Unternehmensstruktur hier erhebliche Machtkämpfe und Berührungsängste bestehen.

Industrie 4.0 geht jedoch nur durch das Zusammenspiel beider Welten. Holen Sie beide Seiten an einen Tisch und achten sie auf einen unabhängigen Vermittler! Verfahren wie Konfliktmoderation oder Mediation können hier ihre Stärken ausspielen.

Sicherheitsanalysen

Industrie 4.0 lässt sich nur dann sicher realisieren, wenn Sicherheitsanalysen für alle Komponenten durchgeführt werden. Nur so können Sie sicher sein, dass eingesetzte Komponenten keine unerfreulichen Nebenwirkungen haben. Bei den Sicherheitsanalysen sollten sie jedoch berücksichtigen, dass normale Penetrationstests nur bedingt auf das industrielle Umfeld angewendet werden können. Testumgebungen bestehen oft nicht und Unterbrechungen im Betriebsverlauf sind aufgrund der hohen Verfügbarkeitsanforderungen der eingesetzten Systeme nur selten möglich. Zudem können Breitbandscans zu unabsehbaren physischen Folgen führen. Setzen Sie daher verstärkt auf manuelle Tests sowie Source-Code und Whitebox-Audits.

Zeigen Sie Mut

Kaum etwas ist schwerer als sich einem Trend entgegen zu stellen, solten Sie jedoch feststellen, dass durch die Einführung von Industrie 4.0 die Komplexität ihrer Infrastruktur aus dem beherrschbaren Bereich laufen sollte, verzichten Sie auf die Umsetzung, zumindest in der avisierten Weise, denn schon jetzt haben viel zu viele Unternehmen, die Kontrolle über Business-IT im Grunde schon verloren.

Industrie 4.0 – Eine Frage der IT-Sicherheit

Das Industrie-4.0-Konzept ist das neue Thema der produzierenden Wirtschaft. Ziel des Konzeptes ist es starre Produktionsstrukturen in modulare Systeme aufzulösen und somit flexibler und effizienter zu gestalten. Doch was zunächst verführerisch klingt, birgt erhebliche Sicherheitsrisiken und Kosten.

Die Idee klingt zunächst schlüssig: Im Rahmen komplexer Fertigungsprozesse sollen zunehmend stark vernetzte Komponenten eingesetzt werden und somit zu einem „Internet der Dinge“ führen. Die Produktionsprozesse gewinnen damit an Flexibilität und Effizienz. Der Automatisierungsgrad wird weiter erhöht und mittelfristig soll anstatt einer zentralen Steuerung das Produkt die Produktion weitgehend autonom steuern. Zudem soll auch die horizontale Integration über Firmengrenzen hinweg erlaubt werden.

Was für Ingenieure und Wirtschaftswissenschaftler wie ein wahr gewordener Traum klingt, führt auf Seiten derer, die die Kommunikationsprozesse zwischen den einzelnen Komponenten herstellen und absichern sollen, zu schlaflosen Nächten.

Schon jetzt gelingt es nur den wenigsten Unternehmen ihre Netzwerke effektiv gegen das Eindringen von Unbefugten zu schützen. Produktionsanlagen sind zumeist noch verwundbarer, was überwiegend daran liegt, dass im Hinblick auf Sicherheitsfragen die Produktions-IT weit hinter der kommerziellen IT hinterher hinkt. Die Steuerungssysteme von Industrieanlagen sind häufig sogar derartig veraltet, dass zahlreiche Unternehmen dazu übergegangen sind, vor jeden Steuerrechner eine eigene Firewall zu hängen, um zu vermeiden, dass ein falsch adressiertes Datenpaket, die ganze Produktionsstraße lahmlegt. Problematisch ist in diesem Zusammenhang vor allem, dass Steuerungssysteme häufig nicht verändert werden dürfen, da diese verschiedenen Abnahmekriterien und Zertifizierungen unterliegen, was ein vernünftiges Patch-Management nahezu unmöglich macht Derartige Systeme wären somit in hochvernetzten Umgebungen einfache Ziele für Angriffe jeglicher Art.

Trotzdem ist bislang die Absicherung der Kommunikationswege noch in den Griff zu bekommen, sprich: Noch weiß ich, welche Kommunikationswege es abzusichern gilt, welche Regeln die Firewall benötigt und an welchen Schnittstellen Angriffsvektoren bestehen. In dem Moment jedoch, wo die Komponenten beginnen hochvernetzt untereinander zu kommunizieren, bekomme ich das Problem, dass die Zahl der zu überwachenden Verbindungen und Schnittstellen dramatisch ansteigt und die Komplexität des Systems damit eine Größenordnung erreicht, die kaum noch zu verwalten geschweige denn abzusichern ist. Zwar soll dies im Zuge einer gesteigerten Autonomie der Systeme eigenständig erfolgen, jedoch besteht dadurch ebenfalls die Gefahr, dass lediglich weitere Einfallstore für Angreifer geschaffen werden.

Ein weiteres Problem ist, dass sich in den letzten Jahren das in der IT-Sicherheit bislang dominierende Fortress-Paradigma als unzureichend erwiesen und sich stattdessen das Defence-in-Depth-Paradigma durchgesetzt hat. Während man beim Fortress-Ansatz noch davon ausging, dass es für die Gewährleistung der IT-Sicherheit ausreicht, das Netzwerk gegenüber Bedrohungen von außen abzusichern und Bedrohungen von innen einfach per Definition auszuschließen, fordert der Defence-In-Depth-Ansatz das Zwiebelschalen-Prinzip, bei dem alle Komponenten ihrer Kritikalität entsprechend vollständig abgesichert werden.

In Bezug auf Industrie 4.0 hat das eine Kostenexplosion zur Folge, da im Zweifel jeder Kommunikationsweg, jede Kommunikationsschnittstelle, die direkt in den Produktionsprozess eingegliedert ist, als kritisch angesehen und somit vollständig abgesichert werden muss.

Zudem steigt mit der Anzahl der Schnittstellen, die ein Prozess nach außen hat, auch immer die Wahrscheinlichkeit, dass dieser Prozess angegriffen wird. Die Sicherheitsauswirkungen von Wartungsdefiziten, beispielsweise verspätet eingespielten Sicherheitspatches, wie sie bei Produktionsanlagen leicht entstehen können, potenzieren sich dadurch ebenfalls.

Ein weiteres Problem stellen die hohen Anforderungen an die Verfügbarkeit der Systeme dar, bei hochverfügbaren Systemen steht zu erwarten, dass die Anforderungen an die Verfügbarkeit zulasten von Integrität und Vertraulichkeit der Daten umgesetzt werden, da schützende Verfahren wie Verschlüsselung und Authentifizierungschecks im Zweifel wertvolle Zeit kosten und daher nicht ausreichend umgesetzt werden.

Darüber hinaus muss in eine Sicherheitsbewertung von Industrie 4.0 einbezogen werden, dass IT-Prozesse, die von einer Sensorik abhängig sind,  völlig neue Angriffsvektoren bieten. Da durch die Veränderung von Umweltvariablen, nun die Funktionalität der IT-Systeme viel stärker manipuliert werden kann.

Zusammenfassend lässt sich also feststellen, dass schon allein vom Konzept her betrachtet, völlig neue Bedrohungsszenarien zu erwarten sind, deren betriebswirtschaftliche Auswirkungen unbedingt Teil der Debatte werden müssen.

Diese Herausforderungen stellen sowohl in technischer als auch organisatorischer Hinsicht weitgehende Anforderungen an Industrieunternehmen. Zum einen wird kein Weg an umfangreichen technischen Test- und Sicherheitsmaßnahmen vorbeiführen und die Kosten dafür müssen einkalkuliert werden, zum anderen sind auch die erforderlichen organisatorischen Sicherheitsmaßnahmen nicht zu unterschätzen. So wird eine bislang noch in den meisten Unternehmen existierende Trennung zwischen IT und Produktions-IT nicht mehr länger durchzuhalten sein, sondern einem ganzheitlichen Ansatz weichen müssen.

Es bleibt also festzustellen, dass es sich bei Industrie 4.0 zwar um ein interessantes Konzept handelt, dies jedoch schon vom Design her so viele technische und organisatorische Problemstellungen zu Tage fördert, dass fraglich bleibt inwieweit eine kosteneffiziente Umsetzung bei verantwortungsvoller Einbeziehung der Risiken möglich sein wird.

Industrie 4.0 ?

Trends sind immer Wetten und so ist es auch bei Industrie 4.0 fraglich, ob sich das Konzept letztendlich durchsetzen wird. Was jedoch dafür spricht, ist die Tatsache, dass der Gedanke in der Wirtschaft geboren wurde und von zahlreichen Unternehmen inzwischen getragen wird. Zudem ist es weniger der Begriff als vielmehr der dahinterstehende Gedanke, Verfahren aus der IT in einem noch breiteren Maße in der Produktion einzusetzen, als dies ohnehin schon geschieht, der das Potential dieses Ansatzes erkennen lässt.

So will ich im Rahmen dieses Blogs auch nicht bewerten, ob die vor der deutschen Industrie liegenden Umwälzungen, unter dem Begriff „Industrie 4.0“ zu fassen sind, noch ob es sich dabei um eine Revolution, eine Evolution oder ganz etwas anderes handelt, mein Ziel ist vielmehr die auf diesem Gebiet zu erwartenden Entwicklungen mit der Sicherheitsbrille zu begleiten und zu bewerten. Ich möchte den momentanen Hype kritisch hinterfragen und herausarbeiten an welcher Stelle auch neue Sicherheitskonzepte erforderlich werden.