Industrielle Cybersicherheit zum Schutz der Produktion

Eine Produktionslinie steht nicht still, weil jemand unbedingt ein schlechtes Passwort gewählt hat. Oft ist das erste Anzeichen ein unerklärlicher Kommunikationsfehler: Der Wartungstechniker kann den Controller nicht erreichen, die Produktionsdaten gelangen nicht ins ERP, der Etikettendrucker funktioniert nicht oder der Schichtleiter kann plötzlich nur noch auf Papier verfolgen, was produziert wurde. Dann stellt sich heraus, dass die industrielle Cybersicherheit nicht nur Angelegenheit der IT-Abteilung ist. Es geht um die Kontinuität der Produktion, die Qualität, die Liefertermine und die Informationen, die für betriebliche Entscheidungen erforderlich sind.

Ein Ausfall eines Bürosystems kann ebenfalls ein ernstes Problem darstellen. In einer industriellen Umgebung kann ein falsch behandelter Vorfall jedoch zu Stillstand, Ausschuss, Maschinenschäden oder sogar zu Arbeitssicherheitsrisiken führen. Daher ist die richtige Frage nicht, ob wir eine Firewall haben, sondern welche betrieblichen Prozesse genau beeinträchtigt werden, wenn ein System, eine Verbindung oder ein Gerät nicht wie erwartet funktioniert.

Warum ist industrielle Cybersicherheit anders?

In geschäftlichen IT-Systemen steht oft die Vertraulichkeit im Vordergrund: Wer hat Zugriff auf Finanzdaten, Kundendaten oder Verträge? In der industriellen Technologie - in der Umgebung von SPS, SCADA-Systemen, Produktionsanlagen, Sensoren, Roboterzellen und Überwachungslösungen - stehen oft die Verfügbarkeit und die Betriebssicherheit im Vordergrund.

Ein Neustart eines Bürocomputers aufgrund eines Sicherheitsupdates kann unangenehm sein. Ein Neustart eines Produktionscontrollers oder eines mit einer älteren Maschine verbundenen Industriecomputers kann jedoch einen Vorgang unterbrechen, eine Produktionseinheit beeinflussen oder einen längeren Neustartprozess auslösen. Daher können bewährte Maßnahmen aus der Büro-IT nicht automatisch auf den Betrieb übertragen werden.

Das bedeutet nicht, dass industrielle Systeme unverändert bleiben sollten. Es bedeutet, dass jede Änderung unter Berücksichtigung des Produktionsprozesses, der Maschinenlieferantenvorgaben, der Wartungsmöglichkeiten und der betrieblichen Kosten eines Stillstands geplant werden muss. Das Ziel des Schutzes ist nicht, möglichst viele Technologien ins Netzwerk zu integrieren, sondern zu verhindern, dass ein Fehler oder Angriff unkontrolliert weiterverbreitet wird.

Das größte Risiko ist oft die Intransparenz

In vielen Betrieben haben sich das Netzwerk und die Produktionsumgebung über Jahre hinweg entwickelt. Eine neue Maschine kam hinzu, ein externer Partner erhielt Fernzugriff, später wurde eine Datenerfassungslösung integriert und dann eine Berichtsverbindung zu den Bürosystemen. Diese Entscheidungen waren einzeln gerechtfertigt. Zusammen können sie jedoch Abhängigkeiten schaffen, die niemand mehr vollständig überblickt.

Die Schicht weiß, welche Maschine für welches Produkt kritisch ist. Die Wartung weiß, welcher Controller seltene Fachkenntnisse erfordert. Die IT weiß, wo die Server laufen und welche Zugänge existieren. Wenn dieses Wissen nicht verknüpft ist, sieht bei einem Vorfall oder einer geplanten Entwicklung jeder nur seinen eigenen Teil.

Dies schafft auch aus geschäftlicher Sicht Unsicherheit. Wenn die Fernverbindung eines Lieferanten kompromittiert wird, ist bekannt, auf welche Systeme zugegriffen werden kann? Wenn eine alte Windows-basierte Maschine nicht mehr aktualisiert werden kann, kann sie sicher von den anderen Netzwerken getrennt werden? Wenn die Produktionsdaten nicht ankommen, welche Entscheidung, Lieferung oder Rechnung verzögert sich dadurch?

Der erste Schritt zur industriellen Cybersicherheit besteht daher in der Regel nicht im Erwerb eines neuen Produkts, sondern in der Aufdeckung der tatsächlichen Situation. Nicht die idealisierte Version des Netzwerkplans, sondern das, was tatsächlich im Werk funktioniert.

Zuerst muss der kritische Betrieb identifiziert werden

Eine gute Erhebung beginnt mit betrieblichen Fragen. Welcher Produktionsschritt darf nicht einmal für ein paar Stunden stillstehen? Welche Systeme übergeben sich gegenseitig die Daten? Wo erfolgt noch manuelle Dateneingabe, USB-Datenübertragung oder telefonische Abstimmung? Wer kann in eine Steuerung eingreifen und mit welcher Genehmigung?

Aus diesen Antworten kann sich eine Prioritätenliste entwickeln, die auf geschäftlicher Basis verwaltet werden kann. Nicht jedes Gerät stellt dasselbe Risiko dar. Eine isolierte Messstation, deren Ausfall eine Schicht Nacharbeit verursacht, erfordert einen anderen Schutz als der Ausfall eines zentralen SCADA-Servers, der mehrere Produktionslinien betrifft.

Die minimale, aber nutzbare Basis deckt in der Regel vier Bereiche ab:

• genaue Geräte- und Verbindungsdokumentation,
• rollenbasierte, überprüfbare Zugänge,
• bewusste Trennung von Büro- und Betriebsnetzwerken,
• getestete Backup- und Wiederherstellungsverfahren.

Diese Maßnahmen sind nicht spektakulär, aber oft entscheidet sich hier, ob ein Problem zu einer handhabbaren Betriebsstörung oder zu einem mehrtägigen Stillstand wird. Ein Backup bietet zum Beispiel nur dann Schutz, wenn die erforderlichen Konfigurationen, Produktionsrezepte und kritischen Systeme innerhalb der verfügbaren Zeit realistisch wiederhergestellt werden können.

Netzwerktrennung ist nicht gleich Isolation

Produktionsdaten werden von der Geschäftsführung, der Qualitätssicherung, der Logistik und oft auch vom Kundenservice benötigt. Daher ist es kein realistisches Ziel, das Betriebsnetzwerk vollständig von allen Geschäftssystemen zu trennen. Die Daten müssen in vielen Fällen bewegt werden: Aus der Bestellung wird ein Produktionsbedarf, aus der Produktion eine Bestandsinformation und aus dem Bestand Versand und Abrechnung.

Die Frage ist, wie diese Informationen bewegt werden. Wenn die Verbindungen durch ein einziges gemeinsames Netzwerk, geteilte Benutzerkonten und alte, undokumentierte Fernzugriffe dargestellt werden, kann ein Bürovorfall leicht auch die Betriebsumgebung erreichen. Wenn jedoch die Verbindungen auf festgelegten, notwendigen und protokollierbaren Datenströmen basieren, kann das Risiko erheblich reduziert werden.

Auch hier gibt es Kompromisse. Eine zu strenge Trennung kann die Fehlersuche und Wartung verlangsamen. Ein zu offener Zugang ist bequemer, kann aber unvorhersehbare Folgen haben. Das richtige Niveau hängt davon ab, wie kritisch der Prozess ist, wie oft externe Unterstützung benötigt wird und welche Wiederherstellungsfähigkeiten der betreffende Betrieb hat.

Fernzugriff benötigt betriebliche Regeln

Die Fernunterstützung durch Maschinenlieferanten und Integratoren ist in vielen Unternehmen unerlässlich. Bei einem seltenen Steuerungsfehler können wertvolle Stunden gespart werden, wenn der richtige Fachmann schnell eine Diagnose durchführen kann. Das Problem ist nicht der Fernzugriff selbst, sondern der unbegrenzte, ständige und schwer nachvollziehbare Zugang.

In einem kontrollierten Modell wird der Zugang nur in begründeten Fällen und für eine bestimmte Zeit geöffnet. Es ist klar, welcher Partner auf welches System zugreifen kann, wer die Verbindung genehmigt hat und was während der Arbeit passiert ist. Das ist keine Bürokratie. Nach einem Betriebsstörfall ermöglicht dies dem Team, nicht auf Annahmen, sondern auf protokollierte Ereignisse zu reagieren.

Dasselbe gilt für interne Berechtigungen. Wenn mehrere Schichten, Wartungstechniker, Administratoren und externe Partner dasselbe gemeinsame Konto verwenden, ist der Zugang zwar schnell, aber die Verantwortung und die Nachvollziehbarkeit gehen verloren. Der personenbezogene, rollenbasierte Zugang erfordert anfangs mehr Disziplin, verursacht langfristig jedoch weniger Risiken und weniger Streitigkeiten.

Die Wiederherstellungsfähigkeit ist wichtiger als ein auf Papier existierender Plan

Viele Organisationen haben ein Incident-Management-Dokument. Weniger Organisationen könnten jedoch eindeutig sagen, wer über einen kontrollierten Stillstand einer Produktionslinie entscheidet, wo das Steuerungsprogramm wiederhergestellt wird oder wie die Auftragsabwicklung weiter funktioniert, wenn die Produktionsdaten vorübergehend nicht verfügbar sind.

Ein funktionierender Plan wird für konkrete Situationen erstellt. Zum Beispiel dafür, dass ein Dateiserver aufgrund eines Ransomware-Angriffs unzugänglich wird, während die Produktionszellen noch funktionieren. In solchen Fällen muss geklärt werden, ob die Produktion sicher fortgesetzt werden kann, wo die erforderlichen Rezepte verfügbar sind, wie die Produktion dokumentiert wird und wer mit der Logistik kommuniziert.

In der Praxis werden oft keine technologischen, sondern Prozessprobleme aufgedeckt: Es gibt keinen klaren Verantwortlichen für die Entscheidung, die kritische Konfiguration befindet sich nur auf einem Laptop oder der manuelle Umgehungsprozess ist nur einem erfahrenen Kollegen bekannt. Diese Probleme werden nicht durch ein neues Sicherheitswerkzeug gelöst, sondern durch dokumentierte Verantwortlichkeiten, kontrollierten Informationsfluss und regelmäßige Tests.

Industrielle Cybersicherheit als betriebliche Disziplin

Cybersicherheit wird nachhaltig, wenn sie nicht als separates Projekt, sondern als Teil des Betriebs betrachtet wird. Bei der Anschaffung einer neuen Maschine sind Netzwerkbedarfe, Fernunterstützung, Backup und Verantwortlichkeiten ebenso Planungsfragen wie die Leistung oder der Wartungsvertrag. Bei einer Systemintegration reicht es nicht aus, dass die Daten von Punkt A nach Punkt B gelangen: Es muss auch bekannt sein, was bei fehlerhaften, fehlenden oder verspätet eintreffenden Daten passiert.

In der CGAT-Philosophie sollten solche Fragen immer im Zusammenhang mit dem Betriebsprozess betrachtet werden. Der technische Schutz bietet dann echten Wert, wenn gleichzeitig die Transparenz verbessert wird, das Wissen, das an eine einzelne Person gebunden ist, reduziert wird und die Führung ein zuverlässigeres Bild vom Zustand der Produktion erhält.

Ein gut geschützter Betrieb ist nicht dadurch stark, dass nie etwas schiefgeht. Sondern dadurch, dass er weiß, was kritisch ist, wer entscheidet, auf welche Daten er sich stützt und wie er kontrolliert zum normalen Betrieb zurückkehrt, wenn doch ein Fehler auftritt.