Bild 1: Kontrolle über den Prozess auf Basis eines Risikomanagements (Quelle: Videc)
Man stelle sich einmal vor, wir würden heute Produkte in prozesstechnischen Anlagen ohne Leit- oder Scada-System herstellen wollen: keine Sichtbarkeit, keine Kontrolle über den Prozess. Die Automatisierung läuft zwar, jedoch kann man nichts über den Zustand der Anlage aussagen. Solch eine Situation wäre heute kaum noch denkbar, im Bereich OT-Security ist sie allerdings Stand der Dinge.
Die Folgen der zunehmenden Vernetzung
Im Zuge der Digitalisierung streben Unternehmen einen immer höheren Grad der Vernetzung mit der Automatisierung im Zusammenhang stehenden Geräte und Systeme an. Die Folge ist eine zunehmende Abhängigkeit von deren Verfügbarkeit. Die Anzahl der Teilnehmer am Ethernet erhöht sich signifikant, ebenso die Kommunikation selbst. Wer jedoch mit wem kommuniziert – berechtigt oder auch nicht, ist kaum jemandem bekannt. Erschwerend kommt noch hinzu, dass mehrere Anlagenteile oft von unterschiedlichen Lieferanten installiert werden. Die steigende Komplexität im Netzwerk und die Implementierung von nicht immer vollständig IP-standardkonformen Geräten führt immer wieder zu Seiteneffekten im Netzwerk, die zunächst nicht bemerkt werden und irgendwann zu einem Störfall werden können. Dies wäre mit einer kontinuierlichen Überwachung des Netzwerkverkehrs aufgefallen und vermeidbar gewesen.
Im Bereich der OT-Security fließen die meisten Investitionen allerdings in Netzwerksegmentierungen und in Firewalls; der Blick auf die Anlage und die Kontrolle über die Kommunikation bleiben so verwehrt. Sicherlich sind die Investitionen im klassischen Sinn der Security notwendig, jedoch in keinem Fall ausreichend. Denn wenn erst einmal ein Netzwerk zum Beispiel über einen infizierten Programmierrechner unbemerkt befallen ist, kann sich der Angreifer weiter austoben. Sogar das Nachladen von Schadcode würde von einer Firewall nicht verhindert werden, da der Verbindungsaufbau ins Internet aus der internen Zone erfolgt. Hier hat das BSI aus Sicht der IT Sicherheit mit dem BSI CS 134 dem Hase-und-Igel-Spiel zwischen dem Angreifer und dem Schützenden einen wichtigen Impuls zugunsten des Betreibers gegeben.