Softwareplattform: Geprüfte Sicherheit nach IEC 62443. (Quelle: Ing. Punzenberger GmbH Copa-Data)
Herr Plonus, der Begriff Security zählt im industriellen Umfeld sicherlich zu den am häufigsten verwendeten. Bitte geben Sie zunächst eine kurze Einschätzung: Wie kritisch ist die aktuelle Bedrohungslage für Fertigungsbetriebe tatsächlich?
F. Plonus: Die Bedrohungslage ist angespannt bis kritisch. Insbesondere Fertigungsbetriebe, Industrieanlagen und Kritis-Unternehmen stehen vermehrt im Fokus – sowohl von staatlich unterstützten Akteuren als auch von Cyberkriminellen, die auf Erpressung mit Ransomware setzen. Cyberangriffe führen längst nicht mehr nur zu Imageschäden, sondern direkt zu Produktionsstillständen, Lieferausfällen und finanziellen Verlusten. Deshalb muss Cybersecurity heute integraler Bestandteil der Unternehmensstrategie sein – nicht als reaktive Maßnahme, sondern als proaktive Resilienzstrategie.
Können Sie Zahlen nennen – auch hinsichtlich der größten Schwachstellen?
F. Plonus: Das BSI meldet im Lagebericht 2024 täglich rund 309 000 neue Schadprogrammvarianten. Das ist ein Anstieg um 26 % gegenüber dem Vorjahr. Besonders auffällig war die Zunahme von Malware, die gezielt Schwachstellen in 64-bit-Windows-Systemen ausnutzt (+256 %). Bei den größten Schwachstellen zeigt sich ein bekanntes Muster: Der menschliche Faktor, Zero-Day-Exploits, unsichere VPN-Zugänge, veraltete Systeme und falsch konfigurierte Firewalls bleiben die Hauptangriffsflächen. Fehlendes Patch-Management und mangelhafte Netzwerksegmentierung begünstigen diese Angriffsvektoren erheblich.
Der Gesetzgeber hat reagiert und Gesetze sowie Regularien auf den Weg gebracht. Bitte geben Sie eine kurze Einordnung der wesentlichen Regularien.
F. Plonus: Mit NIS-2, CRA, RED und CSA etabliert die EU ein verbindliches Rahmenwerk für Cybersecurity. NIS-2 nimmt Betreiber kritischer und wichtiger Einrichtungen in die Pflicht, umfassende Sicherheitsmaßnahmen und Meldeprozesse zu implementieren. Der CRA verpflichtet Hersteller, IT-Sicherheit über den gesamten Produktlebenszyklus hinweg sicherzustellen. Der RED-Delegated Act ergänzt dies für drahtlose Produkte. CSA wiederum schafft die Grundlage für ein EU-weites Cybersecurity-Zertifizierungssystem. Zusammen sorgen diese Regularien für mehr Transparenz und einheitliche Standards.