Mens sana in frigidarium – gefroren. Die Risiken des Fernzugriffs auf Industrieanlagen

Was ist passiert?

In der Lebensmittelbranche hat sich gerade ein schwerwiegender Vorfall ereignet.

Am 11. Oktober griffen unbekannte (vermutlich iranische) Angreifer  die Kühlanlagen mehrerer französischer Supermärkte an. Anschließend traf eine zweite Angriffswelle am 1. und 2. November solche Anlagen in Supermärkten sieben weiterer EU-Länder. Auch mehrere französische Blutbanken wurden angegriffen. Mithilfe der Fernzugriffsfunktionen dieser Anlagen war es den Angreifern gelungen, die Einstellungen der Kühlschränke so zu ändern, dass sich ihre Temperatur auf 50 °C erhöhte: Eine beträchtliche Menge an Lebensmitteln verdarb und musste entsorgt werden. Damit wurde die Fähigkeit der Betreiber, die Ernährungssouveränität zu gewährleisten, in Frage gestellt.

Wie konnte das geschehen?

Tatsächlich verdeutlichte dieser Vorfall ein nur allzu bekanntes Risiko für die „OT-Cybersicherheit“ – also für die Cybersicherheit von Betriebstechnik – das Systeme betrifft, die auch in zahlreichen anderen Branchen zur Unterstützung industrieller Aktivitäten herangezogen werden.

OT-Systeme weisen einen anderen Lebenszyklus als IT-Dienste auf. Sie sind für den Betrieb rund um die Uhr an 365 Tagen im Jahr ausgelegt, sodass bei ihnen Zuverlässigkeit, Sicherheit sowie einfache Bedienung und Wartung Vorrang vor der Cybersicherheit haben. Ihre Inbetriebnahme kann Monate oder Jahre dauern; bei Aktualisierungen kann es erforderlich sein, Teile des OT-Systems auszutauschen oder zu erneuern. Möglicherweise wurden sie also bereits vor vielen Jahren entwickelt und basieren auf Technologien, die damals zuverlässig und umfassend erprobt waren, mittlerweile jedoch veraltet sind und möglicherweise von moderneren, aber weniger erprobten Technologien überholt wurden. Daher sind manche Anlagen bereits bei ihrer Inbetriebnahme in gewisser Weise veraltet oder veralten noch vor Ende ihrer Betriebsdauer. So kann es vorkommen, dass sich im Bestand der OT-Systeme im Betrieb neuere Geräte mit solchen vermischen , die in den 1970er-, 1950er-Jahren oder noch früher installiert wurden.

Die in IT-Diensten übliche Strategie des Patchens und Aktualisierens bringt in OT-Systemen verschiedene Schwierigkeitenmit sich. Dabei obliegt es dem Hersteller, die erforderlichen Patches sorgfältig zu erstellen. Zum Aufspielen von Patches muss das OT-System eventuell abgeschaltet werden und nach der Installation kann es zu unerwarteten Verhaltensweisen kommen – beides Aspekte, die sich auf die unverzichtbare Betriebskontinuität auswirken. Das operative Management dieser Risiken erfordert Planung über mittel- bis langfristige Zeiträume, so dass die Umsetzung von Notlösungen langwierig ist und oft zu Verzögerungen und Aufschüben führt.

Das größte Risiko ist jedoch die bloße Verfügbarkeit von Fernverbindungen. In der Regel wurden OT-Geräte nicht dafür konzipiert, Fernzugriffe von externen Netzwerken aus zu ermöglichen. Die Vorteile dieser Fähigkeit liegen jedoch auf der Hand. Die Fernüberwachung und/oder Fernwartung durch Dienstleister, Hersteller und das eigene technische Personal verkürzt die Zeiten für die Erkennung, Diagnose und Behebung von Problemen sowie die Ausfallzeiten erheblich. Die Kosten für die damit verbundenen Wartungsverträge werden gesenkt. Aus diesem Grund haben sich viele Unternehmen dazu entschlossen, diesen Fernzugriff anzubieten. Dabei werden operative Kriterien (allgemeiner Zugriff, große Anzahl von Technikern mit Zugriffsrechten und weitreichende Zugriffsberechtigungen für den Fall der Fälle) gegenüber anderen klassischen Prinzipien der Cybersicherheit vorrangig behandelt. Es gibt keine strengen Einschränkungen, wer auf welche Inhalte zugreifen darf. Um den Anmeldevorgang zu automatisieren und zu beschleunigen wird die Benutzerauthentifizierung vereinfacht. Temporäre Zugriffsrechte werden nicht überprüft, sodass sie schließlich ständig gewährt werden.  Manche Verbindungen werden nicht korrekt verschlüsselt. Zugriff wird ohne geografische Einschränkungen gestattet. 

Das Ergebnis dieser Entscheidungen ist eine Konfiguration, die den Zugriff auf diese Geräte über das Internet mittels unsicherer Fernverbindungen ermöglicht und es erleichtert, dass sie erfolgreich angegriffen werden können. So etwas lieben Angreifer.

Und … könnte das noch einmal passieren?

Auf jeden Fall. Also können wir davon ausgehen, dass es zu weiteren Vorfällen dieser Art kommen wird. De facto lässt sich eine dritte Angriffswelle in den kommenden Wochen nicht ausschließen. Somit ist dieser Angriff ein „Warnsignal“, das eine gemeinsame Herausforderung verdeutlicht, der sich auch andere Industriezweige wie Fertigung, Wasserwirtschaft, Energie, Verkehr, Raumfahrt usw. stellen müssen, die OT-Systeme einsetzen. Die Folgen unterscheiden sich zwar jeweils, sind aber stets erheblich. 

Damit sind nicht unbedingt alle vernetzten Systeme anfällig, wobei die Vorsicht jedoch gebietet, erst einmal davon auszugehen und sofort Maßnahmen zu ergreifen – noch bevor ein Vorfall diese Anfälligkeit bestätigt und die Umsetzung von Notfallmaßnahmen erforderlich macht, während gleichzeitig daran gearbeitet wird, den betroffenen Betrieb wiederherzustellen.

Was können Unternehmen tun?

Kurzfristig müssen Unternehmen sich darauf konzentrieren, das Risiko für mögliche Angriffe zu verringern.

Zunächst sind dabei unnötige Zugriffe auf OT-Geräte zu unterbinden. Zwar mag es verlockend sein, diese Geräte als Sofortmaßnahme vom Internet zu „trennen“. Dadurch könnten aber auch andere Verbindungen unterbrochen werden, die für die Überwachung oder die zentralisierte Verwaltung durch globale Unternehmenssysteme erforderlich sind. Bevor man sich also dazu entschließt, muss man alle bestehenden Verbindungen analysieren. Und das muss so schnell wie möglich geschehen. Gegebenenfalls ist Unterstützung durch die Hersteller oder OT-Fachleute anzufordern.

Außerdem müssen Unternehmen ihre Angriffsfläche genau und vollständig kennen, d. h. jedes einzelne Gerät und jeden einzelnen Zugangspunkt identifizieren, das bzw. der von externen Netzwerken aus zugänglich ist. Dabei wäre es keineswegs verwunderlich, dass man auf Wartungsanschlüsse stößt, die weder genehmigt noch erfasst sind. Sowohl bereits bekannte als auch neu entdeckte Verbindungen müssen erfasst und bewertet werden, um sicherzustellen, dass es in den OT-Systemen keine unkontrollierten Hintertüren gibt. Dabei muss ermittelt werden, wer welche Verbindung zu welchem Zweck benötigt, um so die geeigneten Sicherheitsmaßnahmen festlegen zu können.

Außerdem muss die Installation der für die OT-Systeme verfügbaren Patches gemäß den Anweisungen des Herstellers geplant werden, und es muss sichergestellt werden, dass diese Aktualisierungen und Schutzmaßnahmen den festgelegten betrieblichen Einschränkungen und Sicherheitsanforderungen entsprechen. Die Updates sollten zunächst auf den Geräten installiert werden, die auf einen Internetzugang angewiesen sind, sowie auf den zu diesem Zweck genutzten Gateway- oder Proxy-Diensten .

Unternehmen müssen zudem darauf vorbereitet sein, mit Zwischenfällen und Betriebsunterbrechungen umzugehen. Dazu sind  Penetrationstests durchzuführen, um die Sicherheit von Fernzugriffen einschätzen zu können. Außerdem ist ein Plan zum Vorfallmanagement zu erstellen, der bei der Bewältigung von Vorfällen als Leitfaden dient. Cyberübungen sind durchzuführen, um zu simulieren, wie bei Vorfällen, Abschaltungen oder der Trennung konkreter OT-Systeme vorzugehen ist. Wenn möglich ist ebenfalls der Neustart bzw. die Wiederherstellung von OT-Diensten mithilfe zuverlässiger Konfigurationen zu simulieren, die die Aufrechterhaltung eines ausreichenden Betriebsniveaus gewährleisten. Zu diesen Verfahren muss eine  Schulung der Mitarbeitenden erfolgen. Für diese Maßnahmen ist eine regelmäßige Überprüfung festzulegen. Und natürlich gilt: Je früher diese Maßnahmen ergriffen werden, desto effizienter und wirksamer werden sie sein.

Langfristig darf eine umfassende Neubewertung bzw. Neugestaltung der derzeitigen OT-Architektur nicht ausgeschlossen werden, damit Netzwerke, Anlagen und Einrichtungen bereits bei der Konzeption und standardmäßig abgesichert und/oder isoliert werden können.

Das bei GMV tätige Fachpersonal hat  diese Herausforderungen in der Raumfahrt-, Transport- und Industriebranche erfolgreich in Angriff genommen  und unterstützt Unternehmen dabei, ihre Risikoexposition zu erfassen und ihre Anlagen und Betriebsabläufe zu schützen. Um diese Herausforderung bewältigen zu können, bringt das Unternehmen sowohl seine technische Kompetenz  als auch praktische Erfahrungen ein.

Autor: Mariano Benito