Industrielle Cybersicherheit zum Schutz der Produktion

Eine Produktionslinie steht nicht still, weil jemand unbedingt ein schlechtes Passwort gewählt hat. Oft ist das erste Anzeichen ein unerklärlicher Kommunikationsfehler: Der Wartungstechniker kann den Controller nicht erreichen, die Produktionsdaten gelangen nicht ins ERP, der Etikettendrucker funktioniert nicht, oder der Schichtleiter kann plötzlich nur noch auf Papier verfolgen, was fertiggestellt wurde. Dann stellt sich heraus, dass die industrielle Cybersicherheit nicht nur Angelegenheit der IT-Abteilung ist. Es geht um die Kontinuität der Produktion, die Qualität, die Liefertermine und die Informationen, die für betriebliche Entscheidungen notwendig sind.

Ein Ausfall eines Bürosystems kann ebenfalls ein ernstes Problem darstellen. In einer industriellen Umgebung kann ein falsch behandelter Vorfall jedoch zu Stillstand, Ausschuss, Maschinenschäden oder sogar zu Arbeitssicherheitsrisiken führen. Daher lautet die richtige Frage nicht „Haben wir eine Firewall?“, sondern welche betrieblichen Prozesse genau beeinträchtigt werden, wenn ein System, eine Verbindung oder ein Gerät nicht wie erwartet funktioniert.

Warum ist die industrielle Cybersicherheit anders?

In Geschäftsinformationssystemen steht oft die Vertraulichkeit im Vordergrund: Wer hat Zugang zu Finanzdaten, Kundendaten oder Verträgen? In der industriellen Technologie - in der Umgebung von SPS, SCADA-Systemen, Produktionsanlagen, Sensoren, Roboterzellen und Überwachungslösungen - stehen oft die Verfügbarkeit und die Betriebssicherheit im Vordergrund.

Ein Neustart eines Bürocomputers aufgrund eines Sicherheitsupdates kann unangenehm sein. Ein Neustart eines Produktionscontrollers oder eines mit einer älteren Maschine verbundenen Industriecomputers kann jedoch einen Vorgang unterbrechen, einen Produktionsauftrag beeinflussen oder einen längeren Neustartprozess auslösen. Daher können bewährte Maßnahmen aus der Büro-IT nicht automatisch auf den Betrieb übertragen werden.

Das bedeutet nicht, dass industrielle Systeme unverändert bleiben müssen. Es bedeutet, dass jede Änderung unter Berücksichtigung des Produktionsprozesses, der Maschinenlieferantenvorgaben, der Wartungsmöglichkeiten und der geschäftlichen Kosten eines Stillstands geplant werden muss. Das Ziel des Schutzes ist nicht, möglichst viele Technologien ins Netzwerk zu integrieren, sondern zu verhindern, dass ein Fehler oder Angriff unkontrolliert weiterverbreitet wird.

Das größte Risiko ist oft die Intransparenz

In vielen Betrieben haben sich das Netzwerk und die Produktionsumgebung über Jahre hinweg entwickelt. Eine neue Maschine kam hinzu, ein externer Partner erhielt Fernzugriff, später wurde eine Datenerfassungslösung integriert und schließlich eine Berichtverbindung zu den Bürosystemen. Diese waren einzeln betrachtet gerechtfertigte Entscheidungen. Zusammen können sie jedoch Abhängigkeiten schaffen, die niemand mehr vollständig überblickt.

Die Schicht weiß, welche Maschine für welches Produkt kritisch ist. Die Wartung weiß, welcher Controller seltene Fachkenntnisse erfordert. Die IT weiß, wo die Server laufen und welche Zugriffe existieren. Wenn dieses Wissen nicht verknüpft ist, sieht bei einem Vorfall oder einer geplanten Entwicklung jeder nur seinen eigenen Teil.

Dies schafft auch aus geschäftlicher Sicht Unsicherheit. Wenn die Fernverbindung eines Lieferanten kompromittiert wird, ist bekannt, auf welche Systeme zugegriffen werden kann? Wenn eine alte Windows-basierte Maschine nicht mehr aktualisiert werden kann, kann sie sicher von den anderen Netzwerken getrennt werden? Wenn die Produktionsdaten nicht ankommen, welche Entscheidung, Lieferung oder Rechnung verzögert sich dadurch?

Der erste Schritt zur industriellen Cybersicherheit besteht daher in der Regel nicht im Erwerb eines neuen Produkts, sondern in der Aufdeckung der tatsächlichen Situation. Nicht die idealisierte Version des Netzwerkplans, sondern das, was tatsächlich im Werk funktioniert.

Zuerst muss der kritische Betrieb identifiziert werden

Eine gute Erhebung beginnt mit betrieblichen Fragen. Welcher Produktionsschritt darf nicht für einige Stunden stillstehen? Welche Systeme übergeben sich gegenseitig die Daten? Wo erfolgt noch manuelle Dateneingabe, USB-Datenübertragung oder telefonische Abstimmung? Wer kann in eine Steuerung eingreifen und mit welcher Genehmigung?

Aus diesen Antworten kann sich eine Prioritätenliste entwickeln, die auf geschäftlicher Basis verwaltet werden kann. Nicht jedes Gerät stellt dasselbe Risiko dar. Eine isolierte Messstation, deren Ausfall eine Schicht Nacharbeit verursacht, erfordert einen anderen Schutz als der Ausfall eines zentralen SCADA-Servers, der mehrere Produktionslinien betrifft.

Die minimale, aber brauchbare Grundlage deckt in der Regel vier Bereiche ab:

• genaue Geräte- und Verbindungsdokumentation,
• rollenbasierte, überprüfbare Zugriffe,
• bewusste Trennung von Büro- und Betriebsnetzwerken,
• getestete Backup- und Wiederherstellungsverfahren.

Diese Maßnahmen sind nicht spektakulär, aber oft entscheidet sich hier, ob ein Problem zu einer handhabbaren Betriebsstörung oder einem mehrtägigen Stillstand wird. Ein Backup bietet beispielsweise nur dann Schutz, wenn die notwendigen Konfigurationen, Produktionsrezepte und kritischen Systeme innerhalb der verfügbaren Zeit realistisch wiederhergestellt werden können.

Netzwerksegmentierung ist nicht gleich Isolation

Produktionsdaten werden von der Geschäftsführung, der Qualitätssicherung, der Logistik und oft auch vom Kundenservice benötigt. Daher ist es kein realistisches Ziel, das Betriebsnetzwerk vollständig von allen Geschäftssystemen zu trennen. Die Daten müssen in vielen Fällen bewegt werden: aus einer Bestellung wird ein Produktionsbedarf, aus der Produktion werden Bestandsinformationen, aus dem Bestand wird Versand und Rechnungsstellung.

Die Frage ist, wie diese Informationen bewegt werden. Wenn die Verbindungen ein einziges gemeinsames Netzwerk, geteilte Benutzerkonten und alte, undokumentierte Fernzugänge darstellen, kann ein Bürovorfall leicht die Betriebsumgebung erreichen. Wenn die Verbindungen jedoch auf festgelegten, notwendigen und protokollierbaren Datenströmen basieren, kann das Risiko erheblich reduziert werden.

Auch hier gibt es Kompromisse. Eine zu strenge Segmentierung kann die Fehlersuche und Wartung verlangsamen. Ein zu offener Zugang ist bequemer, kann aber unvorhersehbare Folgen haben. Das richtige Maß hängt davon ab, wie kritisch der Prozess ist, wie oft externe Unterstützung benötigt wird und welche Wiederherstellungsfähigkeiten der jeweilige Betrieb hat.

Fernzugriff benötigt betriebliche Regeln

Die Fernunterstützung durch Maschinenlieferanten und Integratoren ist in vielen Unternehmen unerlässlich. Bei einem seltenen Steuerungsfehler können wertvolle Stunden gespart werden, wenn der richtige Fachmann schnell eine Diagnose durchführen kann. Das Problem ist nicht der Fernzugriff selbst, sondern der unbegrenzte, dauerhafte und schwer nachvollziehbare Zugang.

In einem kontrollierten Modell wird der Zugang nur bei berechtigtem Bedarf und für einen bestimmten Zeitraum geöffnet. Es ist klar, welcher Partner auf welches System zugreifen kann, wer die Verbindung genehmigt hat und was während der Arbeit passiert ist. Das ist keine Bürokratie. Nach einem Betriebsstörfall ermöglicht dies dem Team, nicht auf Vermutungen, sondern auf protokollierte Ereignisse zurückzugreifen.

Dasselbe gilt für interne Berechtigungen. Wenn mehrere Schichten, Wartungstechniker, Systemadministratoren und externe Partner dasselbe gemeinsame Konto verwenden, ist der Zugang zwar schnell, aber die Verantwortung und die Nachvollziehbarkeit verschwinden. Der personenbezogene, rollenbasierte Zugang erfordert anfangs mehr Disziplin, verursacht langfristig jedoch weniger Risiko und weniger Streitigkeiten.

Die Wiederherstellungsfähigkeit ist wichtiger als ein auf Papier existierender Plan

Viele Organisationen haben ein Dokument zur Vorfallbehandlung. Weniger Organisationen könnten eindeutig sagen, wer über eine kontrollierte Abschaltung einer Produktionslinie entscheidet, wo das Steuerungsprogramm wiederhergestellt wird oder wie die Auftragsabwicklung weiter funktioniert, wenn die Produktionsdaten vorübergehend nicht verfügbar sind.

Der funktionierende Plan wird für konkrete Situationen erstellt. Zum Beispiel dafür, dass ein Dateiserver aufgrund eines Ransomware-Angriffs unzugänglich wird, während die Produktionszellen noch funktionieren. In diesem Fall muss geklärt werden, ob die Produktion sicher fortgesetzt werden kann, wo die notwendigen Rezepte zugänglich sind, wie die Produktion dokumentiert wird und wer mit der Logistik kommuniziert.

In der Praxis werden oft keine technologischen, sondern Prozessprobleme aufgedeckt: Es gibt keinen klaren Verantwortlichen für die Entscheidung, die kritische Konfiguration befindet sich auf einem einzigen Laptop, oder der manuelle Umgehungsprozess ist nur einem erfahrenen Kollegen bekannt. Diese Probleme werden nicht durch ein neues Sicherheitswerkzeug gelöst, sondern durch dokumentierte Verantwortlichkeiten, kontrollierten Informationsfluss und regelmäßige Tests.

Industrielle Cybersicherheit als betriebliche Disziplin

Cybersicherheit wird nachhaltig, wenn sie nicht als separates Projekt, sondern als Teil des Betriebs betrachtet wird. Bei der Anschaffung einer neuen Maschine sind die Netzwerkbedürfnisse, die Fernunterstützung, das Backup und die Verantwortlichkeiten ebenso Planungsfragen wie die Leistung oder der Wartungsvertrag. Bei einer Systemintegration reicht es nicht aus, dass die Daten von Punkt A nach Punkt B gelangen: Es muss auch bekannt sein, was bei fehlerhaften, fehlenden oder verspätet eintreffenden Daten passiert.

Im CGAT-Ansatz sollten solche Fragen immer zusammen mit dem Betriebsprozess betrachtet werden. Der technische Schutz bietet dann einen echten Mehrwert, wenn gleichzeitig die Transparenz verbessert wird, das Wissen, das an eine einzelne Person gebunden ist, abnimmt und die Führung ein zuverlässigeres Bild vom Zustand der Produktion erhält.

Ein gut geschützter Betrieb ist nicht dadurch stark, dass nie etwas schiefgeht. Sondern dadurch, dass er weiß, was kritisch ist, wer entscheidet, auf welche Daten er sich stützt und wie er kontrolliert zum normalen Betrieb zurückkehrt, wenn doch ein Fehler auftritt.