Die „Heirat“ von IT und OT ist eine fixe Sache, zumindest in weiten Teilen der Industrie. © Adobe Stock/besjunior

Mit Digitalisierung, Smart Factories, Industrie 4.0 und Co. rücken OT und IT immer näher zusammen. Daraus ergeben sich zahlreiche Vorteile ...

... Andererseits könnte man auch behaupten, die beiden Welten seien viel zu nah miteinander verwandt, als dass eine Hochzeit ratsam wäre.

Auf der einen Seite Systeme, die auf Zuverlässigkeit getrimmt sind, aber ebenso auf eine lange Lebensdauer ohne große nutzerseitige Eingriffe. Auf der anderen Seite Technologie, die mit schnellen Innovationszyklen immer neue nützliche Funktionen bietet, mit der ganzen Welt vernetzt ist und durch Updates ständig auf dem neuesten Stand gehalten wird. Zwei Konzepte – „never change a running system“ und „fail fast, learn fast“ –, die lange lieber jedes für sich geblieben sind, und das aus gutem Grund. Denn ihre „Hochzeit“ vergrößert die Angriffsfläche in Industrieunternehmen markant.

Doch in den Fabrikanlagen rund um den Globus hält langsam, aber sicher ein neues Motto Einzug. Es lautet „best of both worlds“. Und das hat ebenfalls sehr gute Gründe. Trotzdem gibt es Stolpersteine zu überwinden, damit aus „das Beste beider Welten“ nicht ein Planetencrash wird. Und einer der größten, den es auf dem Weg zur „Smart Factory“ noch aus dem Weg zu räumen gilt, hat einen wohlbekannten Namen und in diesem Zusammenhang nicht den besten Ruf: Cybersecurity.

Keine Frage des „ob“, sondern des „wann“
So ergab beispielsweise eine diesen Sommer von Trend Micro veröffentlichte Studie, dass in den vorangegangenen zwölf Monaten 89 Prozent der Unternehmen in den Bereichen Strom-, Öl- und Gasversorgung sowie Fertigung von Cyberangriffen betroffen waren. Für Unternehmen, deren OT und industrielle Steuerungssysteme von Cyber­an­griffen betroffen waren, belief sich nach eigenen Angaben der finanzielle Schaden im Durchschnitt auf etwa 2,6 Millionen Euro.

Den größten Verlust verzeichnete dabei die Öl- und Gasindustrie. Bei 89 Prozent der Unternehmen war zusätzlich zum Kernbetrieb auch die Lieferkette betroffen, sodass sie Lieferungen vorübergehend reduzieren bzw. die Lieferplanung umstellen mussten. Fast drei Viertel (72 Prozent) der Befragten gaben an, dass sie im Laufe eines Jahres sogar mindestens sechsmal von Cyberangriffen auf ihre Industrieum­gebungen betroffen waren.

Trend Micro ist mit seiner Einschätzung nicht allein. Die fast gleichzeitig veröffentlichte Studie mit dem Titel „2022 State of Operational Technology and Cybersecurity Report“ von Fortinet, einem weiteren Anbieter von Cybersicherheits­lösungen, kommt sogar zu dem Ergebnis, dass in demselben Zeitraum in 93 Prozent der OT-Unternehmen eingedrungen wurde. Das Unternehmen listet auch Begründungen dafür auf.

Zentraler Überblick fehlt
So fehle es bei den OT-Aktivitäten etwa an zentra­lisierter Sichtbarkeit, was die Sicherheitsrisiken erhöht. Nur 13 Prozent der Befragten haben einen zentralen Überblick über alle OT-Aktivitäten. Darüber hinaus sind nur 52 Prozent der Unternehmen in der Lage, alle OT-Aktivitäten von einem Security Operations Center (SOC) aus zu verfolgen. Gleichzeitig sehen 97 Prozent der Unternehmen weltweit OT als einen moderaten oder wichtigen Faktor ihres gesamten Sicherheitsrisikos.

Nach 90 Prozent der erfolgreichen Angriffe hätten die Betroffenen mehrere Stunden oder länger gebraucht, um den Betrieb wiederherzustellen. Darüber hinaus sorgten Sicherheitsverletzungen bei einem Drittel der Befragten für Umsatzeinbußen, Datenverluste sowie eine negative Beeinträchtigung der Compliance und des Markenwerts.

Auf die Frage nach dem Reifegrad ihres OT-Sicherheitsprofils stuften sich nur 21 Prozent der Unternehmen auf Stufe vier ein, dem gezielten Einsatz von Orchestrierung und Management. Bemerkenswert ist, dass ein größerer Anteil der Befragten in Lateinamerika (LATAM) und im asiatisch-pazifischen Raum (APAC) die Stufe vier erreicht hat als in anderen Regionen. Mehr als 70 Prozent der Unternehmen befinden sich Fortinet zufolge etwa auf dem halben Weg zu einem ausgereiften OT-Sicherheitsprofil.

Dazu kommt, dass zum Beispiel laut den Ergebnissen einer Smart-Manufacturing-Umfrage des Marktforschungs- und Beratungsunternehmens Information Services Group (ISG) Fertigungs­unternehmen weiterhin mehr in die Cybersicherheit ihrer IT-Systeme als in die der eigentlichen Produktionssysteme investieren. Die Befragung zeigt weiter, dass es häufig nicht die IT-Abteilung ist, die Smart-Manufacturing-Initiativen vorantreibt, sondern vielmehr Führungskräfte, die für die Lieferketten, die Produktion und die Produktentwicklung zuständig sind, sowie der Chief Technology Officer (CTO).

Ein riskanter Schritt
Das wiederum deckt sich mit den Schlussfolgerungen des Capgemini Research Institute in ­seiner im Juli veröffentlichten Studie „Smart & Secure: Why smart factories need to prioritize cybersecurity“. Darin gibt fast jeder zweite Hersteller (47 Prozent) an, dass die Cybersicherheit der eigenen intelligenten Fabriken nicht im Fokus der höchsten Managementebene steht. Rund 53 Prozent der Unternehmen weltweit denken jedoch, dass Smart Factories in Zukunft Hauptziele von Cyberangriffen sein werden. In der Schwerindustrie gehen davon sogar 60 Prozent aus, im Pharma- und Life-Sciences-Sektor 56 Prozent.

Ein ausgeprägtes Gefahrenbewusstsein führt also allem Anschein nach nicht automatisch dazu, dass Unternehmen entsprechend vorbereitet sind. Unzureichende Aufmerksamkeit des obersten Managements, knappe Budgets und menschliche Faktoren werden als die größten Hürden für Cybersicherheit genannt, die sie zu überwinden haben.

„Hersteller kennen die Vorteile der digitalen Transformation und investieren entsprechend massiv in Smart Factories – ein riskanter Schritt, wenn Cybersicherheit nicht von Beginn an integriert ist. Die wachsende Angriffsfläche, die Vernetzung und die Menge an Betriebstechnologie sowie IIOT-Geräten machen Smart Factories zu einem leichten Ziel für Cyberkriminelle“, sagt Torsten Jüngling, Head of Cybersecurity bei Capgemini in Deutschland. „Solange dies keine Priorität des Vorstands ist, wird es Unternehmen schwerfallen, der Gefahr effektiv zu begegnen, ihre Mitarbeitenden und Zulieferer fortzubilden sowie die Kommunikation zwischen den Cybersecurity-Teams und der C-Suite zu verbessern.“

Hürden für sichere Smart Factories 
Die Studie zeigt, dass Cybersicherheit für viele Unternehmen kein Grundstein ihrer Strategie ist. Nur 51 Prozent integrieren standardmäßig Cybersicherheitspraktiken in ihre Smart Factories. Anders als bei IT-Plattformen sind möglicherweise nicht alle Unternehmen in der Lage, die Maschinen in einer Smart Factory im laufenden Betrieb zu überprüfen. Die Sichtbarkeit von Betriebstechnologie (OT) und IIOT-Geräten auf Systemebene ist notwendig, um zu erkennen, wenn sie kompromittiert wurden. 77 Prozent der Unternehmen sind besorgt darüber, dass zur Reparatur oder Aktualisierung von OT-/IIOT-Systemen regulär nicht-standardkonforme Prozesse angewandt werden. 

Diese Problematik ist zum Teil auf die geringe Verfügbarkeit der richtigen Tools und Prozesse zurückzuführen. Allerdings denkt die Hälfte der Unternehmen, dass Cyberrisiken für Smart Factories in erster Linie von den Netzwerken ihrer Partner und Zulieferer ausgehen. 28 Prozent haben zudem beobachtet, dass die Zahl der Mitarbeiter oder Zulieferer, die infizierte Geräte wie Laptops und Mobilgeräte zur Installation oder zum Patchen von Smart-Factory-Anlagen mitbringen, seit 2019 um 20 Prozent gestiegen ist.

Menschen, nicht Technologien bleiben größte Gefahr für Cybersicherheit
Nur wenige der von Capgemini befragten Unternehmen gaben an, dass ihre Cybersicherheitsteams über die erforderlichen Kenntnisse und Fähigkeiten verfügen, um bei Vorfällen dringende Sicherheits-Patches ohne externe Unterstützung durchzuführen. Eine häufige Ursache für diese verbreitete Schwachstelle besteht darin, dass Cybersecurity-Manager fehlen, um die erforderlichen Weiterbildungs­programme einzuführen.

In Verbindung mit dem weiterhin in unzähligen Sparten vorhandenen Fachkräftemangel wird dies zu einer Herausforderung: 57 Prozent der Unternehmen halten den Mangel an Fachkräften für die Cybersicherheit von Smart Factories für weitaus akuter als für den Bereich der IT-Sicherheit. Viele Unternehmen berichten, dass ihre Cybersicherheitsanalysten überlastet sind von der Vielzahl an OT- und IIOT-Geräten, die sie überwachen müssen, um Angriffe zu erkennen und zu verhindern. Darüber hinaus sehen sich 43 Prozent der Cybersicherheitsmanager nicht in der Lage, auf Angriffe in ihren Smart Factories und Produktionsstandorten zu reagieren.

Zu wenig Zusammenarbeit zwischen den Leitern von Smart Factories und dem Chief Security Officer ist für über die Hälfte der Befragten (53 Prozent) ebenfalls ein bedenklicher Umstand. Diese Kommunikationslücke beeinträchtigt die Fähigkeit von Unternehmen, Cyberangriffe frühzeitig zu erkennen, was zu einem größeren Ausmaß der Schäden führen kann. 

Cybersecurity-Vorreiter sichern sich Wettbewerbsvorteile
Es gibt Vorreiter unter den Herstellern – sechs Prozent, in der Studie von Capgemini als „Cybersecurity Leaders“ bezeichnet –, die in ihren Smart Factories schon ausgereifte Konzepte für die entscheidenden Dimensionen der Cybersicherheit umsetzen: Sensibilisierung, Reaktionsfähigkeit und Implementierung. Aus der Studie geht hervor, dass sie ihren Wettbewerbern dadurch in mehreren Aspekten überlegen sind: 72 Prozent können sich gegen Cyberangriffe schützen und deren Auswirkungen minimieren, und 74 Prozent sind in der Lage, bekannte Angriffsmuster frühzeitig zu erkennen. Dies ist nur bei 41 bzw. 46 Prozent der anderen Unternehmen der Fall.

Basierend auf der Auswertung und den Erfahrungen der ermittelten „Cybersecurity Leaders“ empfehlen die Studienautoren einen sechsstufigen Ansatz für die Ausarbeitung einer effektiven Cybersicherheitsstrategie für Smart Factories:

• Durchführung eines umfassenden Cyber­security-Assessments
• Sensibilisierung des gesamten Unternehmens für Cybergefahren für Smart Factories
• Definition der Verantwortlichkeiten für die Risiken von Cyberangriffen
• Einführung von Frameworks für Cybersicherheit in Smart Factories
• Entwickeln von auf Smart Factories zugeschnittenen Cybersicherheitspraktiken
• Aufbau einer Governance-Struktur und eines Frameworks zur Kommunikation mit der Unternehmens-IT

Tipps zur Verbesserung des Sicherheitsprofils
Auch in der Fortinet-Studie werden Ratschläge genannt, um das Sicherheitsprofil von smarten Fabriken zu verbessern. Der Anbieter geht dabei ein bisschen mehr ins Detail:

• Zero Trust Access einführen, um Sicherheits­verletzungen zu verhindern: Zero-Trust-Ac­cess-Lösungen können sicherstellen, dass Benutzer, Geräte oder Anwendungen ohne richtige Anmeldeinformationen und Berechtigungen keinen Zugriff auf kritische Anlagen erhalten. Um die OT-Security zu verbessern, können Zero-Trust-Access-Lösungen den Schutz vor internen und externen Bedrohungen erhöhen.

• Lösungen für eine zentrale Sichtbarkeit aller OT-Aktivitäten einführen: Eine zentrale, durchgängige Sichtbarkeit aller OT-Aktivitäten ist laut Fortinet der Schlüssel, um sicherzustellen, dass Unternehmen ihr Sicherheitsprofil verbessern.

• Security-Tools und -Anbieter ­konsolidieren, um eine vollumfängliche Integration zu er­mög­lichen: Um die Komplexität zu verringern und einen zentralen Überblick über alle Geräte zu erhalten, sollten Unternehmen ihre OT- und IT-Technologien bei wenigen Anbietern bündeln. Die Einführung integrierter Security-Lösungen hilft Unternehmen, ihre Angriffsfläche zu verringern und ihr Sicherheitsprofil zu verbessern.

• Network-Access-Control-­Technologie (NAC) einführen: Unternehmen, die alle Einbruchsversuche abwehren können, verfügen dem Anbieter zufolge mit höherer Wahrscheinlichkeit über ein rollenbasiertes NAC. Das stellt sicher, dass nur autorisierte Personen auf Systeme zugreifen können, die zur Sicherung digitaler Ressourcen entscheidend sind.

Drum prüfe, wer sich ewig bindet?
Um wieder zum Anfang zurückzukommen: Die „Heirat“ von IT und OT ist eine fixe Sache, zumindest in weiten Teilen der Industrie, und vielerorts stehen die beiden auch schon vor dem Altar. Man sollte sich nur vielleicht nicht schon zu früh auf die Hochzeitstorte freuen, denn die Zeremonie ist langwierig. Vor allem sollte nicht auf den „Ehrengast“ vergessen werden. Denn wer nicht daran gedacht hat, Cybersecurity zum Fest einzuladen, für den wird die Trauung mit hoher Wahrscheinlichkeit in einem Fiasko enden. Und ob eine spätere Scheidung überhaupt möglich ist, das steht auf einem ganz anderen Blatt. (RNF)