Cyber-Sicherheit So schützen Sie sich vor Hackerangriffen

Anbieter zum Thema

Haus der Technik e.V.

Beamex GmbH

Mit Hackerangriffen hat zunehmend auch die Chemie- und Pharmabranche zu kämpfen. Wie können sich Unternehmen schützen und wie sieht der Weg zur Cyberresilienz aus?

Das Risiko, Opfer eines Cyberangriffs zu werden, ist größer denn je. Schwere und Häufigkeit der Angriffe nehmen zu – nach Angaben der EU findet inzwischen alle elf Sekunden ein Ransomware-Angriff statt, dessen Kosten sich auf rund 20 Milliarden Euro jährlich belaufen.

Die Chemie- und Pharmaindustrie ist nicht immun gegen solche Risiken, wie Vorfälle bei deutschen Branchenführern wie Bayer, Lanxess oder dem Schweizer Pharmaunternehmen Novartis gezeigt haben. Die Corona-Krise hat enorme Digitalisierungslücken in dieser Branche offenbart, wobei große Summen in die Entwicklung von digitalen Geschäftsmodellen und Ökosystemen investiert wurden. Umfragen zeigen jedoch, dass die Cybersicherheit mit der schnellen digitalen Transformation nicht Schritt hält. Dabei ist die IT-Sicherheit für den Chemie- und Pharmasektor von größter Bedeutung. Das geistige Eigentum vieler Unternehmen macht sie zu bevorzugten Zielen für Angriffe, während die Vernetzung durch die vierte industrielle Revolution und die intelligenter werdenden Fabriken mehr Einfallstore für Angreifer bietet.

Bildergalerie

Was ist überhaupt Cyberresilienz?

Das U.S. National Institute of Standards and Technology (NIST) definiert Cyberresilienz als die Fähigkeit, Cyberangriffe frühzeitig zu erkennen, den Schaden zu minimieren oder während des gesamten Zeitraums funktionsfähig zu bleiben, sich zu erholen und sich schließlich an die neue Situation anzupassen.

#gesponsert

Cybersicherheit in der Prozessindustrie

OT-Cybersecurity – Ein dreistufiger Ansatz

Während es bei der Cybersicherheit eher darum geht, Angriffe zu verhindern, geht es bei der Cyberresilienz vielmehr darum, sie zu überstehen. Wichtig ist, dass sie durch ein Assume-breach-Mantra untermauert wird. Letztlich geht es nicht darum, ob ein IT-System angegriffen wird, sondern wann und mit welcher Intensität. Das Ziel ist es dann, sicherzustellen, dass jeder Angriff die geringsten Auswirkungen auf das Unternehmen und seine Abläufe hat.

Neue Rechtsvorschriften schaffen zusätzlichen Druck

Die Vernetzung von Organisationen bedeutet heute, dass Cyberangriffe schwerwiegende Störungen und Schäden verursachen und die Gesundheit oder sogar Menschenleben gefährden können. Die europäischen Regulierungsbehörden reagieren entsprechend und entwickeln neue Gesetze und Strategien, um die Cyberresilienz zu erhöhen - insbesondere für Sektoren, die als kritisch und wesentlich für die Wirtschaft und Gesellschaft der EU gelten.

So trat 2021 das IT-Sicherheitsgesetz 2.0 in Kraft, das Betreiber kritischer Infrastrukturen (KRITIS) und Unternehmen von besonderem öffentlichem Interesse (UBIs) verpflichtet, hohe IT-Sicherheitsstandards einzuhalten und kontinuierlich nachzuweisen. Bei Systemstörungen besteht eine Meldepflicht an die Behörden. Verstöße können zu Bußgeldern in Millionenhöhe führen.

Im Januar 2023 ist die NIS2-Richtlinie EU-weit in Kraft getreten. Sie verpflichtet KRITIS und UBIs ab Oktober 2024 zur Umsetzung von Cybersicherheitsmaßnahmen wie die systematische Datensicherung sowie ebenfalls zur Meldepflicht bei Sicherheitsvorfällen und regelmäßige Mitarbeiterschulungen. Darüber hinaus verlangt NIS2 ein Konzept zur Sicherung von Lieferketten und die Einführung von Risikomanagement- und Notfallplänen. Nach Schätzungen sind in Deutschland rund 20.000 Unternehmen und öffentliche Einrichtungen von der Richtlinie betroffen. Zu den kritischen Sektoren gehören z.T. auch die Chemie- und Pharmaindustrie.

Die genannten rechtlichen Maßnahmen zielen alle darauf ab, Unternehmen so resilient wie möglich gegen Cyberkriminalität zu machen bzw. ihnen diese Cyberresilienz abzuverlangen. Wie können Unternehmen also so schnell wie möglich Cyberresilienz aufbauen und so das Risiko vermeiden, dass ein Angriff zu einem partiellen Ausfall der IT führt oder wegen Nichteinhaltung sanktioniert zu werden?

Wie werden Unternehmen cyberresilient?

Einen effektiven Weg umfassender Cyberresilienz bietet zum Beispiel das NIST Cybersecurity Framework. Dieser Leitfaden dient Führungskräften weltweit beim Aufbau oder der Optimierung einer widerstandsfähigen IT. Die Kernelemente des Frameworks sind: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Die Reihenfolge kann je nach Fall variieren.

In erster Linie ist die Sichtbarkeit im Netz entscheidend, denn man kann nur das schützen, was man sehen kann. Der erste Schritt besteht also darin, alle Daten zu identifizieren, die schutzbedürftig oder besonders wichtig sind – zum Beispiel Kundendaten oder geistiges Eigentum.

Grundlagen sicherer OT/IT-Konvergenz in Bestandsanlagen

Cybersecurity: Wie Sie die Prozessautomatisierung absichern

Um eine Bedrohung zu neutralisieren, ist es wichtig, sie zu erkennen. Hierfür gibt es spezielle Lösungen wie Endpoint Detection and Response (EDR) und Next-Gen Anti-Virus (NGAV), die Computersysteme überwachen und nach „Indicators of Compromise” (IOCs) suchen. Da jede Anomalie verheerende Folgen haben kann, ist es wichtig, auf jede Abweichung sofort zu reagieren.

Der Zero-Trust-Ansatz

Zum Schutz vor möglichen Produktionsstopps oder gar einer Gefährdung der Sicherheit müssen die Unternehmen einen neuen Ansatz für ihre Sicherheit wählen. Die Einführung eines Zero-Trust-Modells, bei dem nur verifizierte Einheiten miteinander kommunizieren können, ermöglicht es Unternehmen, genau zu kontrollieren, wer und was mit einer Anlage kommunizieren kann und vor allem wie. Zero Trust bedeutet, dass man nicht mehr versucht zu erkennen, was eine Bedrohung darstellt und diese zu stoppen, sondern dass man erkennt, was keine darstellt, und dies zulässt.

Ein wichtiger Bestandteil von Zero Trust ist die Zero-Trust-Segmentierung (ZTS). Dabei wird nur die Kommunikation zwischen Systemen erlaubt, die auch benötigt wird. ZTS unterteilt Unternehmensnetzwerke, Rechenzentren, Cloud-Umgebungen oder Endgeräte in mehrere Segmente oder Subnetzwerke, wobei die Zero-Trust-Prinzipien den Austausch zwischen den Bereichen regeln. Unternehmen profitieren dadurch von einem besseren Einblick in den Datenverkehr in ihren Umgebungen, einem geringeren Risiko und einer schnelleren Wiederherstellung im Falle eines Angriffs. So können sie die Ausbreitung von Sicherheitsverletzungen schnell stoppen und Millionen an Downtime-Kosten sparen.

Schutz von IT und OT

Um die Effizienz und auch die Sicherheit zu erhöhen, setzen Chemie- und Pharmaunternehmen zunehmend intelligente Technologien ein, um jeden Aspekt der Produktion zu überwachen und zu steuern und verbinden so IT und OT. Durch die Optimierung jedes Prozessschritts wird die Produktion beschleunigt und gleichzeitig die Effizienz erhöht.

Der Übergang zu dem, was als Industrie 4.0 bekannt ist, bringt jedoch neue Risiken mit sich. Dieser Wandel bricht das traditionelle Purdue-Modell auf und bringt die IT näher an die physischen Geräte heran, was die potenzielle Gefährdung kritischer Systeme durch Cyberangriffe erhöht.

Während also ein Gateway in der industriellen Produktion herkömmliche IT-Protokolle für die Kommunikation mit einem ERP-System verwenden kann, kann die Kommunikation mit einem Ventil oder einer Pumpe auf ICS-Protokolle beschränkt werden. Durch die Anwendung von Zero-Trust-Segmentierung könnte so beispielsweise verhindert werden, dass sich ein Angriff von der IT-Umgebung auf die OT-Umgebung ausbreitet.

Viele verwenden bereits den Zero-Trust-Ansatz

Viele Unternehmen befinden sich bereits auf dem Weg zu Zero Trust. Laut dem Zero Trust Impact Report der Enterprise Strategy Group (ESG) geben 86 Prozent der deutschen Unternehmen an, dass Zero Trust zu ihren drei Hauptprioritäten in puncto Cybersicherheit gehört.

Das australische Unternehmen Ixom setzt Zero-Trust-Segmentierung erfolgreich ein, um die Cyberresilienz zu erhöhen. Der Hersteller von Industriechemikalien musste seine Legacy-Anwendungen sichern und gleichzeitig die Sicherheit für kritische IT- und Cloud-Infrastrukturen erhöhen und Risiken minimieren. Ixom entschied sich für die Implementierung von ZTS, um Zero Trust in allen Umgebungen durchzusetzen, anfällige Anwendungen von anderen Systemen zu isolieren und Transparenz und Kontrolle in der Cloud zu gewinnen. Das Unternehmen ist nun in der Lage, umfängliches Risiko-Management zu betreiben und erhält Einblicke, die es nicht für möglich gehalten hätte.

Alte Cybersicherheitsansätze sind nicht mehr tragfähig

Cyberresilienz wird heute zunehmend von den Regulierungsbehörden gefordert und wird früher oder später zum einzigen Maßstab für die Beurteilung des Erfolgs oder Misserfolgs einer IT-Sicherheitsstrategie. Traditionell haben viele Unternehmen der Chemie- und Pharmaindustrie große Summen in Sicherheitslösungen investiert, die ein Eindringen in ihre IT-Systeme verhindern sollen. Da es aber immer noch zu Angriffen kommt, muss sich etwas ändern.

Unternehmen müssen erkennen, dass die bloße Verhinderung von Angriffen nicht funktioniert und ein „Assume Breach“ Mindset annehmen. Erkennungs- und Reaktionstechnologien sind nach wie vor wertvoll, aber die Investitionen müssen auch Technologien zur Eindämmung von Angriffen umfassen, die die Auswirkungen von Angriffen verringern, die Vorschriften erfüllen und die Cyberresilienz erhöhen.

(ID:49329536)