IT-Sicherheit Security in der Fabrik muss man leben

Über Netzwerksicherheit in der Produktion und Automation diskutierten Experten in einem Round-Table-Gespräch in Berlin. Eingeladen hatte der Lenkungskreis Security, ein Gremium der Industrieverbände ZVEI, VDMA, SecIE sowie Namur, PNO und VDI/VDE. Fazit der Runde: Security im Unternehmen muss man leben. Sicherheit muss im Kopf der Mitarbeiter stattfinden.

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

ELMEKO GmbH + Co. KG

Siemens AG Sector Industry

VDMA Verband Deutscher Maschinen- und Anlagenbau e.V.

Nestle Deutschland AG

mehr weniger

Bayer AG

PROFIBUS Nutzerorganisation e.V. (PNO)

weniger

Dr. Kurt Bettenhausen weiß, wo es beim Thema Security in der Fabrik am meisten klemmt: „ ... die größten Probleme gibt es zwischen Rückenlehne und Tastatur“, verrät der Leiter des Geschäftssegments Engineering & Consulting der Siemens AG. Der Mensch in Büro und Fabrik muss sensibel mit dem Thema Datensicherheit umgehen, denn in beiden Bereichen bestehen ähnliche Gefahren: Der unerwünschte Zugriff von außen soll unterbleiben. Die Industrie muss ihre wertvollen Datenbestände vor dem Ausspionieren schützen, sensible Daten dürfen weder verlustig gehen, noch an unbefugte Dritte gelangen.

Sicherheit muss im Kopf der Mitarbeiter stattfinden

Was im Büro gang und gäbe ist, die Produktion tut sich manchmal schwer, Security umzusetzen. „Sicherheit muss im Kopf der Mitarbeiter stattfinden“, fordert Manfred Speck, Beauftragter für den Datenschutz bei der Nestle AG in Frankfurt. Man müsse dem einzelnen Mitarbeiter deshalb die Tragweite dieses Themas verdeutlichen. Auch für ihn steht fest: „Der Mensch ist die Schwachstelle.“ Nestle setzt auf Standards, aus denen man Sicherheit ableiten kann. Das Unternehmen ist deshalb mit einem einheitlichen System ausgestattet, um die Abläufe in den Griff zu bekommen.

Verfügbarkeit ist wichtige Security-Aufgabe

Security soll nicht allein den Datenklau verhindern, sondern sie trägt auch wesentlich zum Thema Verfügbarkeit der Fertigungsanlagen bei. In modernen Produktionsanlagen fällt täglich eine Riesenmenge an Daten an, die es zu archivieren gilt, die man verfügbar halten muss. Was passiert, wenn ein unbedacht eingeschleppter Virus Daten löscht und damit eine Anlage stillsetzt, lässt sich leicht ausmalen. Wenn im Karosseriebau bei BMW ein einfacher Virus den Schweißroboter beim Abarbeiten des Schweißstromprofils „zittern“ lässt, können die Schäden rasch in die Millionenhöhe gehen.

Ein Problem, das sich mit dem Einspielen eines Patches ganz leicht beseitigen lässt. „So etwas darf deshalb einfach nicht passieren“, bekräftigt Dr. Heinz Brunner, Leiter Technologie Karosseriebau bei BMW, dort zuständig für alle Planungsaktivitäten im Karosseriebau weltweit. Ob Viren, Würmer oder Trojaner, das Ausspionieren ist jedoch für den BMW-Mann weniger das Problem der Produktion als das der Forschung und Entwicklung. „Die Produktionszahlen stehen im Geschäftsbericht, die Forschungsthemen eher nicht“, warnt denn auch Dr. Heinz Brunner.

Security ist nicht nur ein Problem von außen

Dass die Security-Probleme nicht nur von außen kommen können, das weiß Dr. Bernd Hohler, Leiter der Informations- und Kommunikationstechnik der Lenze AG in Hameln und Lehrbeauftragter für Software-Qualitätsmanagement der Universität Hannover. Um in der Elektronik-Fertigung die Verfügbarkeit zu sichern, setzt er bei Lenze darauf, sogar die SAP-Systeme redundant auszulegen und das Fertigungsnetz durch eine Firewall abzutrennen.

Anlagen in der Prozesstechnik lassen sich noch weniger anhalten, als Fertigungsanlagen in der Fabrik. Verfügbarkeit ist hier noch eine Spur härter: „Es ist das zentrale Thema“, bekräftigt Dr. Hasso Drathen, Mitarbeiter von Bayer Technology Services und ehemals Geschäftsführer der Namur, dem internationalen Verband der Anwender von Automatisierungstechnik in der Prozessindustrie. Weil aber Sabotage nie auszuschließen ist, fordert Dr. Hasso Drathen, eine entsprechende Sicherheitsanalyse sowie organisatorische Maßnahmen zu entwickeln und zu installieren, entsprechend der Richtlinie VDI/VDE 2182 „Informationssicherheit in der industriellen Automatisierung“. Davon ist Blatt 1 „Allgemeine Vorgehensweisen“ schon verfügbar. Sein praktischer Rat: „Nur das an Software zu installieren, was unbedingt erforderlich ist. Was nicht da ist, bildet auch keinen Angriffspunkt.“

Schadenshöhe lässt sich nicht beziffern

Bei allen Bestrebungen, das Thema Security technisch in den Griff zu bekommen, es hat auch einen wichtigen versicherungstechnischen Aspekt. Sehr schwierig sei es, Security-Schäden in ihrer genauen Höhe zu beziffern, erklärt Norbert Mlotek, Leiter Vermögensschadenhaftpflicht der Regionaldirektion Mannheim der Victoria Versicherungs AG: „Im Gegensatz zu Schadensfällen im Haftpflichtbereich lassen sich hier die Schäden nämlich nicht berechnen.“ Er mahnt, dass man die Security-Problematik nicht hoch genug im Unternehmen aufhängen könne: „Die Probleme sind existenziell für ein Unternehmen.“

(ID:242645)