Bildergalerie

Bildergalerie mit 8 Bildern

Die Betriebssicherheit ist zwar durch Normen und Standards für die Herstellung von Produkten und den Betrieb von Produktionsanlagen stark geregelt. Was bisher fehlt oder nur langsam oder lediglich in Teilaspekten realisiert wird, sind Maßnahmen, die mehr Angriffssicherheit bieten.

Welche Security-Probleme im Produktionsumfeld gibt es, welche sind im Hinblick auf Industrie 4.0 vermehrt zu erwarten und welche Ursachen haben sie?

Sven Goldstein: Um diese Frage zu beantworten, ist es sinnvoll, zwei Arten von Security-Problemen zu unterscheiden. Zum einen gibt es das Problem der Angriffe, gegen welche überhaupt die Security-Maßnahmen entwickelt werden; zum anderen gibt es Probleme, die aus den besonderen Anforderungen an die Security-Maßnahmen in der Produktion resultieren. Die ständig steigende Leistungsfähigkeit der Angreifer führt zu einer zunehmenden Bedrohung. Weil die Produktionsanlagen und die damit verbundene Software immer mehr untereinander vernetzt sind, haben die Angriffe ein größeres Schadensausmaß. Deshalb werden Security-Maßnahmen installiert, die die Integrität der Daten und Funktionen sowie die Verfügbarkeit und Vertraulichkeit von Informationen sichern: Die Integrität von Funktionen und Daten ist gegeben, wenn deren Spezifikation erfüllt ist bzw. sie korrekt sind. Um diese Integrität aufrechtzuerhalten, werden durch Security-Maßnahmen Manipulationen durch Unbefugte erkannt und abgewehrt. Die Verfügbarkeit, Availability, von Funktionen und Information beinhaltet, dass diese zu einem definierten Zeitpunkt nutzbar sind, das heißt, sie müssen nicht permanent verfügbar sein, sondern dann, wenn sie planmäßig benötigt werden. Die Vertraulichkeit, Confidentiality, von Funktionen und Informationen liegt dann vor, wenn unautorisierte Parteien kein Wissen über sie ableiten können. Es ist wichtig hervorzuheben, dass Vertraulichkeitsmaßnahmen nicht vor einer Datenverkehrsanalyse (Traffic Analysis) schützen, das heißt die Information, welche Kommunikationspartner wann und wie viel kommunizieren, bleibt nach wie vor erhalten und kann für einen Angreifer wertvoll sein, auch wenn kein Datum ableitbar ist. Weitere häufig genannte Schutzziele, sind Authentizität (Authenticity), Nicht-Abstreitbarkeit (Non-Repudiation), Zurechenbarkeit (Accountability) und Zuverlässigkeit (Reliability).

Herausforderungen, die aus den Anforderungen in der Produktion im Vergleich zur Office-IT resultieren, sind zum einen die langen Innovationszyklen; das heißt es können nicht ständig neue Komponenten entwickelt, vertrieben und professionell betreut werden. Zum anderen hat man eine lange Betriebsdauer der Komponenten – bis zu 15 Jahren – das heißt eine einmal installierte Komponente kann nur begrenzt mit neuen Funktionen versehen werden. Daraus ergibt sich, dass auch eine neue Infrastruktur notwendig ist, mit deren Hilfe vertrauliches Material wie Schlüssel verwaltet und Security-Vorfälle behandelt werden können (Incident Response). Eine weitere Besonderheit im Vergleich zur Office-IT ist die Kombination mit Safety-Maßnahmen. Deren nachweisliche Wirksamkeit darf nicht beeinträchtigt werden. Was einleuchtend und einfach erscheint, kann dann kritisch sein, wenn durch die Einführung von Security-Maßnahmen wichtige Modellannahmen für den Safety-Nachweis nicht mehr vorliegen. Eine weitere Schwierigkeit in diesem Umfeld ist, dass an den Normen für Industrial Security (IEC 62443) derzeit noch intensiv gearbeitet wird. Wegen der relativ hohen Investitionen muss es auch Lösungen geben, mit denen sich bereits existierende Produktionsanlagen schützen lassen.

David Heinze: Mit der zunehmenden Digitalisierung, Vernetzung und Durchdringung mit Technologien der Informations- und Kommunikationsbranche hat sich im Produktionsumfeld über die letzten 40 Jahre das Angebot an Schnittstellen und die Vielzahl an Softwareprodukten gleichermaßen erhöht. Damit diese Schnittstellen und Softwareprodukte nicht zu Schwachstellen und damit zu einem Security-Problem werden, bietet Siemens seit langem umfangreiche Konzepte zur Erhöhung der Industrial Security an. Da sich durch den Weg hin zu Industrie 4.0 der geschilderte Trend über die nächsten 20 Jahre fortsetzen wird, kommt auch der nachhaltigen Sicherung der Industrial Security unverändert große Bedeutung zu. In diesem Zusammenhang ist wichtig zu realisieren, dass Industrial Security kein Produkt ist, das man von der Stange kaufen kann, Industrial Security ist vielmehr eine Managementaufgabe, die konsequent verfolgt werden muss.

Rainer Schmidt: Industrie 4.0 schöpft ihre Vorteile primär aus der Optimierung und dem Ineinandergreifen von Prozessen. Das wird über Datennetzwerkprotokolle und darüber liegende Anwendersoftware gesteuert. Diese Software ist sehr komplex und bietet damit auch Angriffsfläche für Fehler bzw. unbeabsichtigte oder sogar bewusst herbeigeführte Eingriffe von außen. Anwender, die auf Industrie 4.0 setzen fangen ja nicht von Null an. Vielmehr wachsen ihre Anlagen und damit auch die Automatisierungslösungen stetig. Genauso verhält es sich mit möglichen Security-Problemen. Somit sind alle Anwender gut beraten, wenn sie ihre Security-Politik auch konsequent weiterentwickeln. Dazu gehören eine sichere und stabile Hardware – nicht nur die Elektronik, auch die Verkabelung muss dazu langfristig betriebssicher ausgelegt sein - die Auswahl der richtigen, für die jeweiligen Aufgaben am besten geeigneten Automatisierungsprofile und die professionelle Implementierung bis hin zur Nutzung von Security Modulen und-Prozeduren.

Horst Kalla: Mittlerweile ist der Gedanke der vierten industriellen Revolution – Industrie 4.0 – in der Industrie angekommen. Moderne Informations- und Kommunikationstechnologien wie Cyber-Physical Systems, Big Data und Cloud Computing versprechen der produzierenden Industrie mehr Produktivität, Qualität und Flexibilität. In dieser Welt bildet das Internet als Kommunikationsplattform die Basis von Industrie 4.0 sowie der Smart Factory mit ihrem Produktionsnetzwerk. Dieses Netzwerk gegen unbefugte Eingriffe jeglicher Art abzusichern ist eine besondere Herausforderung. Denn: Die neuen Automatisierungskonzepte werden gekennzeichnet sein durch signifikant mehr Interaktionen, also durch eine deutlich stärkere autonome Steuerung der Produktionseinrichtungen und des weltweiten Datenaustausches sowie Fernzugriffs für standortunabhängige Service und Wartungsarbeiten. Industrielle Gigabit Security Router mit integrierten Firewall- und Security-Funktionen stellen eine ideale Sicherung des Netzwerkes dar, denn sie eröffnen nur legitimierten Nutzern und ihren Daten den Zugang zum Produktionsnetzwerk. Ein weiteres Security-Problem bzw. Funktionsproblem kommt aus dem Produktionsumfeld selbst, der Grund sind weitläufige Anlagen. In diesen Anlagen sind Leitungs- und Kabellängen von 100 m und mehr anzutreffen, auf denen Einkopplungen und Potenzialunterschiede die angeschlossenen sensiblen Steuerungssysteme der Cyber-Physical Systems und Netzwerke beeinträchtigen. Die großen Distanzen sorgen mit den damit verbundenen Übergangswiderständen für Potenzialunterschiede bis zu mehreren Volt zwischen den weit entfernten Punkten. Die Folge: bedingt durch den Ausgleichsstrom, liegt auf der Leitung ein Strombelag, der keinerlei Funktion erfüllt, Energie verbraucht und zudem ein eigenes elektrisches Feld erzeugt. Hier bietet Weidmüller mit dem Schirmbügel mit integriertem Frequenzfilter eine Lösung.

Armin Glaser: Das Bundesamt für Sicherheit in der Informationstechnik weist im Zusammenhang mit den TOP 10 Bedrohungen klar darauf hin, dass in Zukunft mit einem Anstieg der Angriffe auf das Produktionsumfeld zu rechnen ist. Aktuell vor allem noch im Bereich des Know-how- und Produktschutzes. Die Vorfälle werden aber von den betroffenen Unternehmen bedauerlicherweise oft nicht erkannt. Besonders bei den klein- und mittelständischen Unternehmen ist das Bewusstsein für Sicherheitsmaßnahmen im Sinne von Security im Produktionsumfeld kaum vorhanden. Häufigste Ursache für Sicherheitslücken ist also Unwissenheit: Um zwischen vermeintlichen und tatsächlichen Risiken unterscheiden zu können und auch weniger offensichtliche Gefahren zu erkennen, sind Expertise in den Bereichen Produktion, IT und Automatisierung unverzichtbar. Denn nur wer die Prozesse versteht, kann einschätzen, wie sich die einzelnen Komponenten bei einer Bedrohungslage bewähren.

Jörg Neumann: Ja, wir müssen leider davon ausgehen, dass sich die Anzahl der Security-Probleme erheblich steigern wird. Die Gründe dafür sind vielfältig. Zum einen haben wir bisher, also in den existierenden Industrie 3.0-Anwendungen, die Sicherheitsproblematik noch nicht umfassend gelöst – denn unzählige Industrial Control Systeme (ICS) in vernetzten Produktionsanlagen lassen sich nach wie vor relativ einfach angreifen. Viele 3.0-Schwachstellen werden wir in den ersten Industrie 4.0-Anwendungen sicherlich wiederfinden. Zum anderen wird sich die Aufmerksamkeit in Bezug auf mögliche Cyberangriffe weiter steigern. Bis heute wurden viele Attacken von den Zielobjekten ja noch nicht einmal bemerkt. Hinzu kommt, dass die Anzahl der Bedrohungen und möglicher Cyberangreifer ständig zunimmt und dass die Angriffe immer professioneller werden. Der Vernetzungsgrad von Industrie 4.0 wird sicherlich auch neue Geschäftsmodelle für Cyberkriminelle eröffnen.

Mike Hannah: In der Fertigungsindustrie vollzieht sich ein radikaler Wandel und die Vision von intelligenteren Betriebsabläufen verbreitet sich dank des Internet of Things – IoT - sowie der raschen technischen und organisatorischen Konvergenz von Betriebstechnik und Informationstechnologie schnell. Die Folge ist die Umwandlung von Daten in aufschlussreiche Informationen, die den Entscheidern im gesamten Unternehmen neue Einsichten in Betriebsabläufe, neue Möglichkeiten zur Reaktion auf Markt- und Geschäftsherausforderungen und neue Gelegenheiten zum Abschaffen von unwirtschaftlichen Prozessen aus ihrem Betrieb geben. Sowohl die deutsche als auch die US-amerikanische Regierung haben sich IoT-Technologie als Schlüsselelement auf die Fahne ihrer jeweiligen Initiativen, Industrie 4.0 und Smart Manufacturing Leadership Coalition, geschrieben. Rockwell Automation bezeichnet diese Vision als Connected Enterprise – das verbundene Unternehmen. Alle diese Initiativen verfolgen dasselbe Ziel, nämlich ‚Smart Things‘, sprich intelligente Dinge, über Unternehmen, Wertschöpfungsketten und Kunden hinweg miteinander zu verbinden und das verknüpfte Feedback in Betriebsdatenkapital umzuwandeln und dadurch bessere Leistungen zu erzielen. Es liegt auf der Hand, dass diese betrieblichen Vorteile umfassend sind; doch mit ihnen sind zugleich neue Herausforderungen zu erwarten. Die Risiken internen und auch externen Ursprungs steigen mit jeder neuen Verbindung von „Smart Things“ und schaffen Angriffsflächen, die den Betrieb von Steuerungssystemen sowie die Sicherheit, Produktivität und die Fähigkeit zum Schutz von Anlagen, Maschinen und Informationen beeinträchtigen können. Diese Bedrohungen können den Ruf eines Unternehmens schädigen. Und doch betrachten heute viele Industrieunternehmen Sicherheit als nebensächlich, was zu fragmentierten Sicherheitsrichtlinien und -programmen führen kann, die Lücken zwischen Werks- und Geschäftsebene und externen Partnern reißen können. Das limitiert die Produktivität und erhöht das Risiko. Wenn man den Nutzen eines vollständig verbundenen Unternehmens effektiv ausschöpfen möchte, benötigt man ein stimmiges gesamtheitliches Konzept für industrielle Sicherheit, das über das eigentliche industrielle Steuerungssystem hinaus geht und Leitlinien, Grundsätze und Verfahren zur Bewältigung personen-, prozess- und technologiebezogener Risiken enthält. Sicherheit sollte eine nachhaltige Investition sein, die sich ständig weiterentwickelt. Firmen, die nicht fortlaufend in sichere industrielle Steuerungssysteme investieren, welche Risiken im Zusammenhang mit Menschen, Prozessen und Technologie berücksichtigen, setzen sich unnötigen Gefahren aus, wenn sie aus den Chancen, die das Connected Enterprise bietet, Kapital schlagen möchten.

Oliver Puls: Im Produktionsumfeld hat sich die Ethernet-basierte Kommunikation in den letzten Jahren rasant entwickelt. Mit dem zunehmenden Vernetzungsgrad steigen natürlich auch die Sensibilität respektive die Anfälligkeit des Netzwerks. Hier muss der Anwender durch eine geeignete Netzwerkplanung gegensteuern. Rein technisch sind heute viele Technologien sowie industrietaugliche Komponenten – beispielsweise zur Segmentierung und Filterung von Netzwerken - bis hin zu dezentral einsetzbaren Routern und Firewalls verfügbar. Risikoanalysen zeigen jedoch, dass die professionelle Planung von Produktionsnetzwerken derzeit eher die Ausnahme ist. Als Folge sind die Fertigungsanlagen nur unzureichend gegen unerwünschte Zugriffe geschützt. Das gilt sowohl für unbeabsichtigt durchgeführte Zugriffe – zum Beispiel Fehleingaben bei IP-Adressen – als auch für gezielte Angriffe. Nach wie vor liegt ein hohes Gefährdungspotential im Bereich von Wartungs- und Service-Einsätzen, insbesondere wenn diese durch externes Personal erfolgen. Durch die wachsende Vernetzung in Industrie-4.0-Applikationen ist mit einem Anstieg der Bedrohungen aufgrund von Schad-Software und Überlast – wie Broadcast-Stürmen – zu rechnen. Zudem werden die angedachten Service-orientierten Architekturdienste von Komponenten und Anlagenteilen angeboten, die es abzusichern gilt. Insofern muss die Security integraler Bestandteil einer jeden Industrie-4.0-Applikation werden. Die Methoden zur Bewertung und Umsetzung geeigneter Security-Maßnahmen sind aus dem Office-Umfeld bekannt. Sie werden im Rahmen der von ZVEI, VDMA und BITKOM ins Leben gerufenen Plattform Industrie 4.0 in einer eigenen Arbeitsgruppe auf die speziellen Anforderungen des Industrie-4.0-Produktionsumfelds angepasst.

(ID:42859677)