ANDREA SPIEGEL: Dann schauen wir uns vielleicht noch das ganze Thema Maßnahmen mal genauer an. Du hast jetzt immer wieder Praxisbeispiele erwähnt. Ich glaube, das wäre ein ganz cooler Punkt: Vielleicht kannst du uns mal anhand eines Kunden mitnehmen und sagen, was waren deren Themen, was habt ihr rausgefunden in der Assess-Phase und welche Maßnahmen habt ihr konkret ergriffen? Wie sieht es heute bei denen aus? Vielleicht kannst du uns da mal so eine Kette mitnehmen. Das wäre ganz spannend.
PATRICK SCHOLL: Wie ich immer gesagt habe: Wenn man in die Risikoanalyse hineingeht, wird man sehr schnell feststellen, wo Schwachstellen und Gefahrenpunkte liegen.
In der Produktion hat es meistens damit zu tun, dass dort Services an Anlagen und Maschinen durchgeführt werden. Wie ich schon gesagt habe: Gerade durch die Corona-Zeit hatten wir es mit einer starken Zunahme von Fernzugriffslösungen zu tun.
Wenn man das Thema Security in der Produktion betrachtet, ist das ein komplett neuer Betrachtungswinkel. Früher war von den Protokollen angefangen bis über die Fernzugriffslösungen Security nie ein Betrachtungsfeld. Bisherige Konzepte wurden nie auf Security hin designt.
Das ändert sich jetzt durch eine weitere Gesetzgebung. Neben der NIS 2 gibt es den sogenannten Cyber Resilience Act, der die Hersteller von digitalen Elementen per Gesetz dazu zwingt – und das wird 2027 in Kraft treten – diese digitalen Elemente gegenüber Cyberangriffen zu schützen. Und zwar sehr frühzeitig, angefangen von den Entwicklungsprozessen über das Produkt selbst bis hin zum Lifecycle-Prozess.
Ich muss proaktiv meine Abnehmer darüber informieren, wenn es entsprechende Zero-Day-Exploits und Schwachstellen gibt, und gleichzeitig Patches zur Verfügung stellen. Wenn ich das noch ausweite über den Cyber Resilience Act, dann kommt die Maschinenverordnung dazu.
Das bedeutet gerade für den Anlagen- und Maschinenbau in Deutschland, dass er sich auch Richtung Cybersecurity komplett neu erfinden muss. Es wird ein Zwang für ihn sein, Sicherheitssysteme mitzuliefern.
ANDREA SPIEGEL: Von vornherein mitzudenken und mitzubringen.
PATRICK SCHOLL: Richtig, genau. Ich kann mich als Automobilist nicht hinstellen und sagen: Ich liefere keinen Sicherheitsgurt und keinen Airbag mit, weil es mich Geld kostet und ich das Auto damit günstiger produzieren kann. Es ist per Gesetz vorgegeben, dass ein Anlagen- und Maschinenbauer Security-Maßnahmen mitliefert. Die werden schon mit in das Produkt, in seine Anlagen und Maschinen hineindesignt. Und er muss die Schwachstellen an seine Abnehmer kommunizieren und die Möglichkeit bieten, diese zu beheben. Stichwort Patch-Management.
Und genau das ist der Punkt, wo wir auch gestartet sind: Was tue ich? Ich analysiere, ich finde heraus, wo meine Schwachstellen im System liegen. Ich bin über die Fernwartung eingestiegen. Wenn man wieder auf die Norm zurückspringt, gibt es im Grunde genommen fünf Kriterien, die ich mir überlege, zu segmentieren und in Zonen einzuteilen.
Erstens: Die grundsätzliche Trennung von IT und OT. Der gesamte Datenstrom aus der Produktion in die IT, in die Office-Welt, wird entsprechend reguliert. Da habe ich schon zwei wesentliche Bereiche voneinander getrennt.
Zweitens: Gerade in Safety-relevanten Umgebungen und Prozessen die Safety-Systeme, die Leib, Leben und Umwelt schützen, gesondert zu segmentieren und zu schützen.
Drittens: Das Thema Fernzugriffe gesondert zu behandeln, weil sie einen Zugriff von außen darstellen. Wenn ich als Unternehmen aus IT-Security-Sicht versuche, alles zu reglementieren und die Zugriffe von außen zu kontrollieren, ist es natürlich fahrlässig, wenn ich auf der anderen Seite Zugriffe von außen zulasse, die als Schatten-IT an der IT und der IT-Security vorbeidesignt wurden.
Viertens: Der typische USB-Stick oder der Laptop. Alles, was mit Wechselmedien zu tun hat, was mal schnell an einer Anlage oder Maschine durch den Servicetechniker angestöpselt wird und wo sich Gefahrenpotenziale finden lassen.
Und fünftens: Alles, was mit kabelloser Kommunikation zu tun hat – WLAN, Access Points in der Produktion.
Das sind die fünf Bereiche, die ich mir anschaue, wie ich entsprechende Zonen schaffe. Und dann gegenfahre: Was habe ich für Assets, Anlagen, Maschinen, welche Betriebssysteme laufen darauf, sind die patchbar oder nicht?
ANDREA SPIEGEL: Was heißt das, Patchbar oder nicht?
PATRICK SCHOLL: Gibt es dafür noch Sicherheitsupdates? Der Klassiker: Windows XP oder noch älter. Da werden von Microsoft überhaupt keine Sicherheitsupdates mehr zur Verfügung gestellt. Das bedeutet, die sind seit Jahren, Jahrzehnten entsprechend offen. Die Schwachstellen können jederzeit ausgenutzt werden.
Und jetzt habe ich so viel gesprochen über das, was wir bei vielen Unternehmen gemacht haben: Den sicherheitsrelevanten, den securityrelevanten Aufbau von Netzwerken genauer betrachtet. Unter Anbetracht dessen, dass es ja gewachsene Strukturen sind. Und der zweite wichtige Punkt: Wer betreibt denn das Ganze? Es muss sichergestellt sein, dass diese Systeme beherrschbar sind und entsprechend ihrer Konfiguration bestmöglich konfiguriert. Die beste Technologie bringt nichts, wenn ich sie nicht beherrsche und entsprechend konfiguriere.
Das sind Fragestellungen, die ganz am Anfang geklärt gehören – im Netzwerkdesign und Konzept. Und so haben wir, um es kurz zu machen, bei einigen Unternehmen wirklich smarte Lösungen implementiert. Noch in meiner Vorrolle, bevor ich zur Infinigate gekommen bin, als ich noch auf der Integrationsseite saß, habe ich für Unternehmen gearbeitet, deren größtes Problem war: Ein transparentes Netzwerk zu schaffen mit Security-Lösungen, möglichst mit wenig Herstellern, die es möglich machen, sehr einfach Fernwartungen freizuschalten auf einzelne Anlagen und Maschinen.
Und jetzt wird es ein bisschen süffisant: Wir haben auf der einen Seite digitale Technologie genutzt, um in diesem konkreten Fall eine Fernzugriffslösung auf Basis eines Schlüsselschalters zu entwickeln. Ein Gesamtkonzept, das sehr einfach zu bedienen war: Der Anlagenführer konnte über einen Schlüsselschalter den VPN-Zugang über das Gesamtnetzwerk freischalten. In der IT-Leitwarte wurde genau gesehen, wo ein Fernzugriff besteht. Von dort konnte man den Zugriff entweder selbst freischalten, unabhängig vom Schlüsselschalter, oder auch selbst wieder unterbinden.
Beim Thema Fernzugriffe gibt es viele Stilblüten, die ich in der Praxis kennengelernt habe: Dass nicht sichere Lösungen eingesetzt wurden oder die Fernwartung eigentlich 24/7 offen war.
ANDREA SPIEGEL: Vergessen abzuschalten oder wie auch immer.
PATRICK SCHOLL: Richtig, genau. Ein permanenter Fuß nach außen und damit ein permanentes Risiko.
