Security : So schützen Sie sensible Produktionsdaten!

Von einem Laissez-faire-Stil hält auch Christian Ott nicht viel. "Egal, ob Datenklau oder unerlaubtes Eindringen in Firmennetzwerke – wir nehmen die Sache ernst", sagt der CIO des Batterieherstellers Banner. Das glaubt man ihm aufs Wort, denn Ott stellt zum Drüberstreuen ein paar Eckpfeiler der IT-Gesamtrisikostrategie des Unternehmens vor. Dank Ansätzen wie der Datenklassifizierung – einer peniblen Bewertung des Datenmaterials – ist Sicherheit gewährleistet. "Auch wenn sich Hacker für Batterieaufbaudaten vielleicht weniger interessieren als für die Rezeptur einer Arznei", schmunzelt Ott. Nicht nur um firmeneigene Daten legt der Leondinger Produktionsbetrieb freilich seine schützende Hand. Ott denkt vor allem an Kundenda- ten, die es gilt, nach allen Regeln der Kunst zu schützen. Es sei nur "eine Frage der Zeit", bis die Automotive-Industrie von Lieferanten ähnlich wie im Qualitätsbereich auch im Sicherheitsbereich ihre Anforderungen diktiere. "Die IT-Sicherheitszertifizierung wird kommen", damit rechnet Ott felsenfest. Die Ursache ist so simpel wie beunruhigend: Hacker hielten nach dem schwächsten Glied der Kette Ausschau – und das seien zunehmend Zulieferbetriebe, bestätigt auch Gerhard Dürauer, Security-Experte bei Siemens Österreich.

Jahrelang wurde das Thema "Sichere Produktion" von IT-Lösungsanbietern hochgespielt. Betriebe reagierten goldrichtig: Sie setzten die kritische Brille auf und stuften viele der Gefährdungspotenziale als für sie unkritisch ein. Doch Zeiten ändern sich. Mit einer Standard-WLAN-Verschlüsselung oder Firewall ist man heute, wo auf einschlägigen Seiten automatisierte Angriffe von der Stange um 500 Euro erhältlich sind, "nicht mehr unbedingt auf der sicheren Seite", erzählt ein IT-Leiter eines Produktionsbetriebs mit ironischem Unterton. Die Vorstellung, dass ein Industriespion ins Firmenetz einsteigt, da herumschnüffelt und Datenpakete ihren Besitzer wechseln, ist heute mindestens ebenso präsent wie die Sorge vor einem Produktionsausfall. Dass ein Spionage-Trojaner unlängst im Netzwerk eines Virenherstellers wütete, half nicht wirklich. "Außerdem steht die Industrie vor einer massiven Umwälzung durch die Digitalisierung und Vollvernetzung", erläutert Thomas Usländer, Leiter der Abteilung Informationsmanagement und Leittechnik am Fraunhofer IOSB. Produktionsanlagen würden schleichend, aber unaufhaltsam über gängige Internettechnologien vernetzt. Das brächte eine Fülle neuer Zugänge, für die es derzeit nicht immer "Kontrollmechanismen" gebe. Trotzdem ist die Situation nicht ausweglos und eine (fast) lückenlos sichere und zugleich wandlungsfähige Fertigung kein flüchtiges Ideal.

Zapfen Sie das Wissen moderner Sicherheitslabore an: Welche Gefährdungen gibt es für Ihre Produktion wirklich? Was im Tresor des IOSB-Sicherheitslabors liegt, wünscht man keinem Produktionsbetrieb als Aggressor: Bösartigste Schadsoftware, sicher verwahrt hinter dickem Metall. Doch die Malware auf Unternehmensnetze loszulassen, ist genau der Charme des Karlsruher Ansatzes. Allerdings mit einer gewaltigen Einschränkung: "Wir sprechen von simulierten Unternehmensnetzen", erläutert Wissenschaftler Thomas Usländer. Die Deutschen also besuchen mit den Datenschädlingen nicht deutsche Produktionen, "es wird bei uns deren Produktion nachgestellt und etwa in einer Cloud-Umgebung getestet", so Usländer. Hoch im Kurs: Anomalieerkennungen oder Verwundbarkeitsanalysen. Ausdrücklich erwünscht: Dass Unternehmen ihre Produktionsdaten zur Verfügung stellen. Die Dienstleistung der Fraunhofer-Experten ist noch ganz jung – trotzdem ist ihr Erfolg quasi vorprogrammiert. Auf der Hannover Messe im April war die Resonanz auf die vor Ort simulierten Life-Hacks einer Maschinensteuerung groß. So groß, dass die deutschen Forscher ihr Plädoyer nach außen tragen konnten: "Nutzt moderne Schnittstellen und Sicherheitsstandards, die Funktionalitäten wie Logging, Authentifizierung oder Identitätsmanagement beherrschen – dafür sind sie doch da".

Sicherheit geht meist auf Kosten der Wandlungsfähigkeit Ihrer Produktion. Finden Sie das richtige Mittelmaß. Laut Studien wollen zwei von drei Produktionsbetrieben nach einem Hack Maßnahmen ergreifen – "das Bewusstsein ist also da", freut sich Usländer. Mitgrund sei, dass heute auch ganz klassische Betriebssysteme aus dem Büroumfeld in der Produktion heimisch werden. Auch die Lösungen gibt es. Laut Fraunhofer sei es möglich, den richtigen Kompromiss zwischen Sicherheit und Offenheit zu schaffen – denn soviel ist klar: "Wer sein System komplett abschottet, wird Schwierigkeiten mit dem Aufspielen neuer Versionen und der Instandsetzung bekommen", sagt Usländer. Wer sich selbst nicht zutraut, das System sicher zu machen, könnte also bei Fraunhofer Rat suchen. Die Wahl des Dienstleisters wäre wohl nicht die schlechteste. Das IOSB verantwortet seit Jahrzehnten die Internetzugänge der gesamten Fraunhofer-Gesellschaft für 66 Institute. Für die Versprechungen von Cloud-Dienstleistern würde Thomas Usländer jedenfalls nicht die Hand ins Feuer legen, sofern IT-Sicherheit als Anforderung in einem Dienstleistungsvertrag nicht vertraglich geregelt ist: So sicher Rechnerwolken den Beteuerungen der Anbieter zufolge auch sein sollen – "eine gesunde Skepsis sollte man sich bewahren."

Schon in den Neunzigern bastelte die Industrie an einem kryptografischen Zertifikat. Jetzt feiert es in Robotern und Werkzeugmaschinen seinen Durchbruch. Die Idee entstammt bereits dem Ende der neunziger Jahre, trotzdem hat sie Charme: Mit einer digitalen Identität ausgestattete Maschinen, die so unerlaubte Manipulation verhindern helfen können. "Kryptochips erfahren gerade eine Renaissance", schildert Thorsten Henkel, Abteilungsleiter am Fraunhofer-Institut für Sichere Informationstechnologie. Ihnen könnte in diesen Jahren tatsächlich mehr Erfolg als in den Neunzigern beschieden sein. "Das Sicherheitsbewusstsein nimmt allerortes massiv zu, natürlich auch in der Produktion", beobachtet Henkel. Damals goutierte man gegen Systemeingriffe geschützte Computer mit kryptografischem Zertifikat nicht unbedingt, "Eingriffe wie der Tausch einer Grafikkarte konnten dazu führen, dass das Betriebssystem nicht mehr startete, da es sich auf einem anderen Rechner wähnte", erinnert sich Henkel. Doch in der Produktion, wo vieles ohnedies über Sicherheitsroutinen läuft, hätte ein solcher Ansatz Potenzial: Jede Werkzeugmaschine, jeder Roboter könnte besser vor fremder Manipulation geschützt werden. Immerhin: Ein deutscher Hersteller – der Switches-Hersteller Hirschmann

– setzt bereits auf die Technologie.

Machen Sie sich mit den Methoden professioneller Datenklauer vertraut. Und finden Sie so eigene Datenlecks. Ein Internetzugang reicht aus, um die erste Neugierde zu stillen: Wer auf der Suchmaschine Shodan – unlängst als schrecklichste Suchmaschine des Internets bezeichnet – ein paar Stunden seiner Zeit investiert, ist jedenfalls schlauer als zuvor. Vielleicht weiß er hinterher auch mehr über den Mitbewerb – im Idealfall identifiziert er so etwa die ans Internet angebundenen speicherprogrammierbaren Steuerungen diverser Fremdanlagen "oder vielleicht sogar deren Pachtlevel-Status", berichtet Thorsten Henkel, Abteilungsleiter am Fraunhofer-Institut für Sichere Informationstechnologie. Was nach einer Räuberpistole klingt, ist Realität: "Das machen eine Menge Leute, nicht nur theoretisch", ist er überzeugt. Auch er sieht das Zusammenwachsen von IT und Produktion als Einfallstor neuer Gefährdungen – manche davon massiver Natur. Etwa, wenn sich Schadsoftware bis in die Serverlandschaft vorarbeitet. Doch derartige Tools sind nicht nur dazu gut, fremde Produktionen auf Zugriffspunkte abzutasten. Sie sind auch hervorragend dafür geeignet, seiner eigenen Produktion samt Sicherheitsnetz auf den Puls zu fühlen. "Es schadet nicht, sich selber den Spiegel vorzuhalten", heißt es in der Branche. Ähnlich arbeiten auch Dienstleister, die sich auf IT-Sicherheit verschrieben haben. Siehe Banner Batterien. Dort testet ein Partner nicht nur, wie weit eine betriebsfremde Person sich physisch ins Werk vorarbeiten kann. "Gleiches gilt natürlich auch für das Netzwerk, das gezielt Testattacken ausgesetzt wird", schildert CIO Christian Ott.

Prüfen Sie die Angebote der Hersteller und Industriedienstleister sorgsam. Viele Bedrohungsszenarien sind frei erfunden. Die Rechnung ist einfach: Jeder Hersteller von Sicherheitssystemen oder IT-Dienstleistungen benötigt erst einmal ein Bedrohungsszenario. Ohne dem läuft nichts. Und so überrascht es nicht, dass die Marketingabteilungen auch renommierter Anbieter die vergangenen Jahre als Durchlauferhitzer wirkten: Jede noch so kleine Bedrohung, jeder noch so kleine Hack wurde ausgeschlachtet, aus Mücken wurden Elefanten. Nicht immer machen IT-Projekte also soviel Sinn wie etwa jenes bei einem heimischen Produktionsbetrieb, wo in der Produktion durchgängig von XP auf Windows 7 und 8 umgestellt wurde, "um die Unsicherheit aufgrund auslaufender Softwarewartungsfunktionalität zu beseitigen", heißt es dort. Manche Dienstleister spielen mit der Sorge von Betriebsleitern, dass ohne baldige Investition in neue IT "Rückschlüsse auf die Wirtschaftlichkeit des Unternehmens bis hin zur Auslastung der Produktionsanlagen durch Dritte" möglich seien. Lösung gibt es dafür nicht, außer, sich seinen künftigen Partner genau anzuschauen. Oder wie es ein Experte mit Hinblick auf frei erfundene Bedrohungsszenarien schärfer formuliert: "Es kann auch sein, dass der Psychiater verrückt ist."