Security for Safety Vorsorge ist die beste Verteidigung: So schützen Sie ihr Unternehmen vor Hackern

Anbieter zum Thema

Endress+Hauser (Deutschland) GmbH+Co. KG

asecos GmbH

Cyperangriffe sind der Gau für jedes Unternehmen der Prozessindustrie. Doch man kann sich schützen. Welche Security-Maßnahmen Sie ergreifen sollten, beleuchtet unser Gastbeitrag.

Der Risiko-Report der Allianz aus dem Jahr 2023 analysiert, dass Cyberangriffe neben Betriebsunterbrechungen seit Jahren als das größte Risiko für Unternehmen gelten. Tatsächlich sind Betriebsunterbrechungen wiederum oft Folgen von Cybervorfällen, da diese selten lediglich digitale, nicht-betriebsrelevante Prozesse beeinträchtigen.

Der TÜV erklärt auf seiner Webseite den Unterschied zwischen Safety, der Unfallvermeidung, und Security, der Kriminalprävention. Ein Grund für Betriebsunterbrechungen kann der Einfluss eines Cybervorfalls (Security) auf Themenbereiche der Unfallvermeidung im Produktionsablauf (Safety) sein.

Aus diesem Grund lohnt es sich, einen Blick auf die Risiken für Safety-Mechanismen durch Cybervorfälle zu werfen und die Möglichkeiten, sich durch Security-Maßnahmen vor diesen Risiken zu schützen.

Praxisbeispiel Tankabfüllung

Ein einfaches, ganz konkretes Beispiel für ein Risiko durch den Verlust der Vertraulichkeit von Informationen zeigen wir anhand eines Tanks, der zur Abfüllung potenziell gefährlicher Medien (bspw. Flüssigkeiten) in einen Tankwagen genutzt wird

Beschreibung des Beispielaufbaus

Der Tank B001 dient zum Puffern von gefährlichem Medium (bspw. Flüssigkeit). Sein Füllstand wird durch Bodendruckmessung LT6213 überwacht. Bei Überschreiten des oberen Grenzwertes wird das Ventil V-617 im Zulauf des Tank B001 geschlossen.

Zusätzlich wird ein kritischer Füllstand in B001 durch eine Schwinggabel LZA101 überwacht. Bei Erreichen des kritischen Füllstandes wird das zusätzliche Sicherheitsventil V(Z)-104 im Zulauf geschlossen. Des Weiteren existiert eine mechanische Überfüllsicherung, die bei vollständig gefülltem Tank B001 ein Überlaufen in den Behälter B002 ermöglicht.

Der Tank kann durch einen Schlauch entleert werden, der durch das Ventil V-620 verschlossen ist. Dieses Ventil kann durch eine Handbedienung vor Ort geöffnet werden, unter der Voraussetzung, dass der Zufluss geschlossen ist.

Warum sind die Informationen in diesem System schützenswert?

Das Risiko eines physischen Ausfalls oder der Einschränkung der Verfügbarkeit - beispielsweise der Sensoren LZA101 oder LT6213 - ist intuitiv und wird unter anderem gut durch den physischen Überlauf in Behälter B002 mitigiert. Aber warum sollten Informationen über das System und die Konfiguration der Komponenten schützenswert sein und vertraulich behandelt werden?

Zunächst kann die reine Kenntnis über die Architektur eine Basis für Angriffe darstellen:

Die Information, dass der Tank B001 als Puffer für gefährliche Medien dient, könnte einen Anreiz für einen Angreifer darstellen, durch gezielte Manipulation oder Sabotage des Tanks das gefährliche Medium freizusetzen oder anderweitig Schaden anzurichten.

Die Existenz einer mechanischen Überfüllsicherung und eines Überlaufbehälters (B002) mit begrenztem Volumen könnte für einen Angreifer von Interesse sein. Durch gezielte Manipulation oder Sabotage könnte der Angreifer das Überlaufsystem umgehen oder überladen, um ein potenzielles Umwelt- oder Sicherheitsrisiko zu schaffen.

Die Tatsache, dass der Tank durch einen Schlauch entleert werden kann und ein Ventil dafür existiert, könnte ein potenzielles Ziel für einen Angreifer darstellen. Durch unbefugtes Öffnen des Ventils oder Manipulation des Entleerungssystems könnte er das Medium unkontrolliert freisetzen oder eine unerwünschte Entleerung verursachen.

Neben der Architektur kann die Kenntnis von Parametern ein mittelbares Risiko darstellen:

Wenn ein Angreifer beispielsweise weiß, bei welchem Grenzwert der Bodendrucksensor LT6213 das Ventil V-617 schließt, kann ein Angriff auf die Verfügbarkeit des Tanks gezielt auf die Veränderung des entsprechenden Parameters durchgeführt werden.

Gerade in modernen Anlagen, in denen die Sensoren vernetzt sind und Parameter in digitalen Systemen gespeichert werden, sind ebendiese Parameter auch ausles- bzw. angreifbar.

Wie kann ich diese Informationen schützen?

Ganz konkret müssen die oben genannten Informationen zunächst gemäß der Klassifikationsrichtlinie des Unternehmens bewertet und eingestuft werden. Damit geht oft ein bestimmtes, vorgeschriebenes Schutzniveau einher.

Im Falle der Informationen zur Architektur des Systems sollten die entsprechenden Informationen in zugriffsgeschützten Bereichen des Netzwerkspeichers liegen und gemäß des Need-to-know-Prinzips ausschließlich den Personen zugänglich sein, die Kenntnis zur Verrichtung ihrer Arbeit dauerhaft benötigen. Je nach Kritikalität ist eine zusätzliche Verschlüsselung der jeweiligen Daten zu empfehlen.

Auch der Schutz der Informationen während der Kommunikation ist zu beachten: ein verschlüsselter Transport via Schnittstelle oder E-Mail sollte bei schützenswerten Informationen Standard sein. Zudem können in Systemen, in denen ein Datentransfer zum Beispiel nur für das Auslesen von Parametern in eine Richtung notwendig ist, Datendioden implementiert werden.

Auf die Parameter der Anlage bezogen, ist ein Zugangsschutz des Systems und ein konsekutiver Zugriffsschutz zur Verhinderung der unbefugten Änderung der entsprechenden Parameter notwendig.

Zur Prävention des Netzwerkszugriffs auf die Anlagen selbst ist eine möglichst engmaschige Netzwerksegmentierung die absolute Basis. So können bereits auf Netzwerkebene Zugriffe blockiert werden. Durch Mikrosegmentierung kann bereits auf dieser Ebene ein hohes Maß an Sicherheit erreicht werden.

Dies sind nur einige konkrete Beispiele für Maßnahmen, welche zur Mitigation der oben beschriebenen Risiken zu empfehlen sind.

Wie funktioniert so ein Angriff überhaupt?

Im Kontext der Informationssicherheit unterscheidet man bei Angriffen drei unterschiedliche Schutzziele und deren Verletzung:

• Vertraulichkeit: Informationen sind lediglich den Personen und Systemen zugänglich, die dazu berechtigt sind.

• Integrität: Informationen, Parameter und Prozessabläufe können nicht unbemerkt und ausschließlich durch berechtigte Personen und Systeme verändert werden.

• Verfügbarkeit: Informationen und Systeme sind genau dann funktionssicher verfügbar, wenn diese benötigt werden.

Jede Verletzung eines oder mehrerer Schutzziele kann unmittelbaren Einfluss auf Geschäftsprozesse und damit mittelbar auf die Wertschöpfung eines Unternehmens haben. Genau wie bei einem physischen Einbruch in Infrastrukturen, gehen Angreifer in der Regel nach einem Muster vor, um an geschützte Informationen zu gelangen oder empfindliche Geschäftsprozesse zu stören. Die Cyber Kill Chain von Lookheed Martin repräsentiert beispielhaft den Ablauf eines solchen Angriffs.

Viele Angriffe starten mit der Ausspähung und Sammlung von Informationen, zum Beispiel durch Phishing oder Social Engineering. Dabei werden zunächst Informationen über das Ziel gesammelt, welche für initiale Angriffe genutzt werden können. Gelingen Phishing-Angriffe, können hier bereits erbeutete Zugangsdaten für den komfortablen Zugang zum Zielsystem genutzt werden.

Diese Informationen liefern Angreifern einen Ausgangspunkt für den eigentlichen Angriff und die Möglichkeit zur Ausnutzung von Sicherheitslücken der Systemen des Ziels. Nach dem Eindringen in die Systeme, wird sich der Angreifer eine „Hintertür“ für den weiteren Zugriff einrichten und seine Position durch eine laterale Ausbreitung stärken.

Zuletzt beginnt der eigentlich schädliche Akt, indem Systeme ferngesteuert oder manipuliert sowie Daten abgezogen oder verschlüsselt werden.

Auch wenn Daten häufig erst im letzten Schritt eines professionell vorbereiteten Cyberangriff abfließen, lassen sich für jeden einzelnen Schritt der gezeigten Angriffsfolge geeignete Gegenmaßnahmen ergreifen.

Regulatorische Anforderungen an Informationen mit Bezug zur Safety

Gesetzliche und behördliche Anforderungen spielen eine wichtige Rolle bei der Gewährleistung der Vertraulichkeit von Daten in Prozessanlagen. Viele Branchen, wie z. B. die Öl- und Gasindustrie, die chemische und die pharmazeutische Industrie, unterliegen strengen Vorschriften, die den Schutz sensibler Informationen, einschließlich funktionaler Sicherheitsparameter und -daten, regeln. Besonders an Störfallbetriebe und Betriebe der Kritischen Infrastruktur werden durch das IT-Sicherheitsgesetz und die Störfallverordnung Vorgaben zum Schutz der Anlagen vor und zur Erkennung von Cyberangriffen gemacht.

Kritis-Dachgesetz

Gesetz für besseren Schutz kritischer Infrastruktur nimmt Gestalt an

Das IT-Sicherheitsgesetz schreibt vor, dass Betreiber Kritischer Infrastrukturbetriebe Systeme zur Angriffserkennung einsetzen (BSIG §8a 1a). Dies beinhaltet auch eine Überwachung der Vertraulichkeit von Daten, da wie zuvor dargestellt, bereits das Ausspähen von Zielen Bestandteil des initialen Angriffs sein kann.

In der aktuellen Auslegung der Störfallverordnung wird unter §8 „Konzept zur Verhinderung von Störfällen” auch die Pflicht verstanden, dass ein Anlagenbetreiber Maßnahmen zum Schutz der Anlage vor Cyberangriffen ergreift. Konkretisiert werden diese Maßnahmen in behördlichen Leitfäden, wie zum Beispiel dem Leitfaden KAS-51 der Kommission für Anlagensicherheit im Bundesministerium für Umwelt, Naturschutz und nukleare Sicherheit. In diesem wird konkret die Vertraulichkeit bezüglich verwendeter Schutzmaßnahmen als Basismaßnahme gefordert. Zudem sind Anlagen so zu sichern, dass Störfälle ohne interne Kenntnisse nicht ausgelöst werden können. Diese Vorgaben zielen explizit auf die Vertraulichkeit von Sicherheitsparametern als Schutzziel ab.

Wie wirken Datenlecks auf Aspekte der Safety?

Nicht zuletzt durch die Digitalisierung physischer Geschäftsprozesse und die digitale Steuerung von Anlagen und Maschinen sowie die Nutzung von erzeugten Daten, haben die Schutzziele der Informationssicherheit eine erhöhte Relevanz auch für die Arbeitssicherheit und Unfallvermeidung erhalten.

Neben offensichtlichen Auswirkungen einer eingeschränkten Verfügbarkeit von Systemen oder Mechanismen an Anlagen zum Schutz des Menschen, hat auch die Verletzung der Vertraulichkeit bestimmter Informationen Auswirkungen auf Aspekte der Safety.

Mögliche Auswirkung von Vertraulichkeitsverlust auf die Safety

Die Risiken, die mit der Verletzung der Vertraulichkeit von Informationen in prozesstechnischen Anlagen verbunden sind, insbesondere in Bezug auf Parameter und Daten der funktionalen Sicherheit, können schwerwiegende Folgen haben. So kann das Bekanntwerden von Sicherheitsparametern, wie zum Beispiel Grenzwerten für Temperatur oder Druck, Aufschluss über gefährliche Zustände der Anlage geben. Dies kann bei einem Angriff die Erfolgsaussichten für den Angreifer erhöhen und so zu einer Beeinträchtigung der betrieblichen Integrität und erhöhten Sicherheitsrisiken sowie potenziellen Unfällen oder Störfällen führen.

Darüber hinaus können Datenverletzungen in Prozessanlagen zum Diebstahl von geistigem Eigentum, zum Verlust von Wettbewerbsvorteilen und zur Schädigung von Geschäftsbeziehungen führen. Dies ist dann der Fall, wenn Informationen über verwendete Rezepte aus den gestohlenen Daten gewonnen werden können. Daher ist die Gewährleistung zuverlässiger Maßnahmen zur Wahrung der Vertraulichkeit von Daten in Anlagen von entscheidender Bedeutung, um Risiken zu mindern und potenziell verheerende Folgen zu verhindern.

Alle Sicherheitsparameter, die direkt mit dem sicheren Betrieb der Prozessanlage verbunden sind oder erhebliche Auswirkungen auf die Prozesssicherheit haben, sollten folglich auch gegen eine Verletzung der Vertraulichkeit geschützt werden. Dazu können Parameter im Zusammenhang mit Notabschaltsystemen, sicherheitsgerichtete Funktionen oder kritische Prozessvariablen gehören.

Angenommen, es handelt sich um eine chemische Störfallanlage, die gefährliche Chemikalien verarbeitet. Die Prozessdaten umfassen Informationen über die Handhabung, Lagerung und Entsorgung dieser Chemikalien sowie die Sicherheitsmaßnahmen zum Schutz der Umwelt. Wenn diese vertraulichen Prozessdaten in die falschen Hände geraten, beispielsweise durch ein Datenleck oder einen unbefugten Zugriff auf das System, könnte dies zu einem unsicheren Zustand führen.

Vertrauliche Prozessdaten enthalten oft Informationen über Sicherheitsvorkehrungen wie Überwachungssysteme, Alarme und Notfallpläne. Bösartige Akteure können mit dieser Kenntnis gezielt Sicherheitssysteme manipulieren oder umgehen, beispielsweise indem sie Schwellwerte für Alarme verändern oder Sensorkonfigurationen manipulieren, um ein Abschalten zu verzögern. Dies könnte zu einer unerkannten Freisetzung gefährlicher Chemikalien führen, wenn Ventile unerwartet geöffnet werden oder Füllstände nicht korrekt erfasst werden, was wiederum zu Umweltverschmutzungen und Gefahren für Mensch und Tier führt.

Dieses Vorgehen, also das gezielte Abschalten von industriellen Notfallsystemen, insbesondere von Steuerungen, ist eine der Hauptfunktionen der modernen Malwarepakete „Industroyer2“, welches 2022 in der Ukraine mit dem Ziel eingesetzt wurde Versorgungsnetze zu stören, und „Pipedream“/“Incontroler“, einem in den USA entdeckten Malwarepaket unbekannter Herkunft.

Feststellung des Schutzbedarfs mit Fokus auf Safety

Um beurteilen zu können, welche Informationen und Kommunikationsflüsse schützenswert sind, muss zunächst klar sein, welche Auswirkungen ihrer Kenntnis oder Veröffentlichung hätte. Eine sogenannte Schutzbedarfsfeststellung hilft dabei, das nötige Niveau von Schutzmaßnahmen zu ermitteln.

Dabei muss zunächst die Identifizierung von relevanten Informationen stattfinden. Diese trivial klingende Aufgabe ist meist mit einer intensiven Analyse der am Prozess beteiligten Systeme sowie der Geschäftsprozesse selbst verbunden und involviert zwingend Personal aus den Fachabteilungen, wobei eine gute Systemdokumentation sowie ausgereiftes Geschäftsprozessmanagement eine sehr gute Basis sind. Zusätzlich ist speziell bei der Schutzbedarfsfeststellung von Sicherheitsparametern in einer verfahrenstechnischen Anlage, ein umfassendes Verständnis der Prozesssicherheit und der Konzepte der funktionalen Sicherheit nötig. Einschlägigen Industrienormen und -vorschriften geben hier teilweise bereits Anforderungen vor.

Sind die relevanten Daten und Informationen bekannt, kann die jeweilige Auswirkung eines Verlustes eines der Schutzziele bewertet werden. Wie bei der Identifizierung ist hier wieder die Fachabteilung im Fokus, da nur durch sie eine valide Folgenabschätzung (Business Impact Analyse) erfolgen kann. Sind die Auswirkungen bewertet, kann der nötige Schutzbedarf individuell definiert werden.

Aus dem Schutzbedarf ergeben sich Anforderungen, deren Umsetzung nun durch IT-Fachpersonal überprüft werden kann. Zugrunde liegen hier in der Regel regulatorische Vorgaben oder anerkannte Standards, wie der BSI IT-Grundschutz. Da die Umsetzung von Maßnahmen meist nicht kostenneutral vonstattengeht, empfiehlt es sich immer Risiko-basiert vorzugehen, sodass eine Priorisierung der notwendigen Maßnahmen möglich ist.

Maßnahmen zum Schutz der Vertraulichkeit relevanter Systeme

Um erkannte Risiken durch die Verletzung der Vertraulichkeit von Informationen und Parametern zu mitigieren, sollten passende Maßnahmen identifiziert und priorisiert werden. Diese können dabei unterschiedlichen Kategorien zugeordnet werden: technische, infrastrukturelle, organisatorische und personelle Maßnahmen.

Technische und infrastrukturelle Maßnahmen zum Schutz der Vertraulichkeit

Unter technischen und infrastrukturellen Maßnahmen werden Aktionen, Verfahren oder Instrumente verstanden, welche auf physischer sowie auf Hard- oder Software-Basis Vertraulichkeit von Daten und Informationen schützen. Maßgeblich sind hier Systeme des Zutritts-, Zugangs und Zugriffsschutz.

Welchen Status haben die Daten?

Um geeignete Schutzmaßnahmen zu identifizieren, muss unterschieden werden, in welchem Zustand sich die zu schützenden Daten und Informationen befinden: handelt es um Informationen und Parameter auf einer Festplatte oder einem Datenträger, also „data at rest“, oder werden sie bewegt bzw. kommuniziert und sind damit „data in transit“.

Für die Vertraulichkeit von „data at rest“ steht der Zugriffschutz durch Berechtigungsvergabe sowie die Möglichkeit der Verschlüsselung der einzelnen Informationen oder gesamter Festplatten im Vordergrund. Basis ist hier ein Berechtigungskonzept, welches in den organisatorischen Maßnahmen beschrieben wird.

Bei „data in transit“ hat der Schutz der Kommunikation oberste Priorität. Ist ein Informationstransfer nötig und vorgesehen, kann hier ebenfalls auf die Verschlüsselung der Daten und Informationen zurückgegriffen werden. Darüber hinaus kann die Kommunikation automatisiert über Security Gateways und Datendioden auf bestimmte Inhalte, Datentypen oder Kommunikationsrichtungen beschränkt werden. Durch diese Art der Filterung sind auch nicht-verschlüsselbare Steuerungssignale oder Parameter im Kontext industrieller Anwendungen möglich.

Auch infrastrukturelle Maßnahmen können eine Rolle für die Vertraulichkeit von Informationen spielen. Beispiele sind Sicht- und Abhörschutz, wie verspiegelte Fensterfronten in relevanten Bereichen, und Sicherheitssysteme zum Zutrittsschutz, wie Vereinzelungsanlagen um unbefugten Zutritt zu verhindern.

Die notwendige Stärke der Maßnahmen basiert auf dem Schutzbedarf der einzelnen Daten und Informationen und kann und sollte risikobasiert priorisiert werden.

Organisatorische und personelle Maßnahmen zum Schutz der Vertraulichkeit

Häufig sind technische Maßnahmen aufgrund der Rahmenbedingungen nicht möglich oder verhindern den reibungslosen Ablauf von Geschäftsprozessen in einem nicht tragbaren Maße. Obwohl technische Maßnahmen den verlässlicheren Schutz bieten, kann in diesem Fall auf organisatorische Maßnahmen zurückgegriffen werden.

Zu den organisatorischen Maßnahmen gehören vor allem Konzepte, welche Sicherheitsmaßnahmen und deren Umsetzung beschreiben sowie Leit- und Richtlinien, welche den relevanten Stakeholdern die Einhaltung bestimmter Verhaltensweisen vorschreiben.

Die grundlegendsten – und auch für das Design späterer, technischer Maßnahmen notwendigen – Richtlinien beschäftigen sich dabei mit der Einstufung und Klassifikation von Informationen sowie dem Umgang mit eben diesen unterschiedlich klassifizierten Daten und Informationen. Ein ausgereiftes Berechtigungskonzept definiert darauf aufbauend, wer auf welche Daten und Informationen zugreifen und diese verändern oder löschen darf.

Da auch die beste technische Maßnahme und optimale organisatorische Rahmenbedingungenunbedeutend sind, wenn Mitarbeiter Informationen freiwillig oder aus Versehen freigeben, ist die zielgruppenspezifische Sensibilisierung und Awareness aller Mitarbeiter essentiell. Dies beinhaltet - neben dem Bewusstsein für die Relevanz von Daten und Informationen - auch das Wissen darüber, warum die Einhaltung organisatorischer Maßnahmen tatsächlichen Schutz gewährleistet.

Wiederholte Schulungen und Awareness-Kampagnen können dabei zu einer Art „Security-Hygiene“ beitragen. Mitarbeiter beherrschen dann im (Arbeits-)Alltag ganz intuitiv sicherheitsrelevante Maßnahmen und tragen so aktiv zum Schutz der Vertraulichkeit von Daten und Informationen bei.

Security for Safety, nicht nur für Compliance

Verantwortliche für kritische Sicherheitsparameter und Daten in Prozessanlagen müssen sich der großen Bedeutung der Vertraulichkeit für die Sicherheit unserer Betriebe bewusst sein. Es darf dabei nicht in erster Linie um die Compliance zu bestimmten Gesetzen oder Regulatorien gehen, sondern vor allem darum, die Sicherheit – Security und Safety –zu erhöhen.

Denn die schlechte Nachricht ist: Datenabflüsse und Vertraulichkeitsverletzungen können sowohl Gefahr für Leib und Leben und Sicherheitsvorfälle als auch Betriebsunterbrechungen zur Folge haben.

Die gute Nachricht ist: es gibt Möglichkeiten, diese Risiken zu minimieren und die Auswirkungen zu dämpfen: Eine solide Basissicherheit und individuelle Analyse der eigenen Prozesse und Systeme bildet hier einen grundlegenden Schutz und ermöglicht einen ressourcenschonenden Fokus auf die “Kronjuwelen” des Unternehmens. Je nach Unternehmen kann diese Analyse intern oder mit externer Unterstützung durchgeführt werden.

So können gezielt geplante Maßnahmen an die individuellen Anforderungen des einzelnen Unternehmens angepasst werden – und somit einen wirtschaftlichen Beitrag zum Unternehmenserfolg leisten. Und ganz nebenbei erfüllen Sie auch noch die gesetzlichen Vorgaben.

(ID:49758037)