OT-Security: So schützen Sie Ihre Industrieanlagen

Foto: Blue Planet Studio – shutterstock.com

Die digitale Transformation hat auch vor Industrieanlagen nicht Halt gemacht. Maschinen und Anlagen sind heute standandardmäßig vernetzt. Doch diese Entwicklung bringt auch Risiken mit sich. Denn durch fehlende IT-Sicherheit können Anlagenausfälle oder sogar Sicherheitslücken entstehen, die gravierende Folgen haben können.

Operational Technology (OT) umfasst die Technologien und Systeme, die für den Betrieb industrieller Anlagen eingesetzt werden. Im Gegensatz zur Informationstechnologie (IT), die sich mit der Verarbeitung von Informationen befasst, dreht sich bei OT alles um die Steuerung und Überwachung von Produktionsanlagen und -prozessen. Die OT ist ein wichtiger Bestandteil von Industrie 4.0 und ermöglicht es, flexibler zu produzieren und Anlagen besser zu warten.

Die IT-Sicherheitsziele sind die Basis für ein erfolgreiches Sicherheitskonzept. Dabei geht es vor allem um die Verfügbarkeit, Integrität und Vertraulichkeit der Daten und Systeme. In der OT-Security müssen zusätzlich noch Aspekte wie Betriebssicherheit, Zuverlässigkeit und Verfügbarkeit der Anlagen berücksichtigt werden. Ziel ist es, mögliche Angriffe auf das OT-System frühzeitig zu erkennen und zu verhindern.

Lesetipp: Sechs-Punkte-Plan für die OT-Sicherheit

OT-Komponenten und Terminologie

Die OT hat sich in den letzten Jahren stark weiterentwickelt. Ursprünglich wurden die Systeme vor allem für die Steuerung von Produktionsanlagen eingesetzt. Heute ermöglichen moderne OT-Systeme eine flexible Produktion, Energieoptimierung und vorausschauende Wartung. Die Vernetzung von Anlagen und Maschinen spielt hierbei eine wichtige Rolle.

Zu den Komponenten der OT zählen beispielsweise Sensoren, Aktoren, Steuerungen und Überwachungssysteme. Diese Komponenten werden durch Kommunikationsnetzwerke miteinander verbunden. Die Terminologie der OT unterscheidet sich von der der IT: Statt von Clients und Servern wird hier von Endgeräten und Steuerungen gesprochen

OT Incidents

Immer wieder kommt es zu Vorfällen in der OT. Diese können beispielsweise durch menschliches Versagen, technische Defekte oder auch Cyberangriffe ausgelöst werden. Je nach Schweregrad können solche Vorfälle zu Produktionsausfällen oder sogar Unfällen führen. Es ist daher wichtig, OT-Systeme sorgfältig abzusichern.

IT vs. OT Security

Die Security-Anforderungen von IT und OT unterscheiden sich grundlegend. Während in der IT vor allem die Vertraulichkeit der Daten im Fokus steht, geht es bei der OT-Security in erster Linie um die Sicherheit von Personen und Anlagen.

Ein weiterer Unterschied besteht in der eingesetzten Technologie: Während in der IT vor allem Standard-Software zum Einsatz kommt, werden in der OT oft proprietäre Systeme eingesetzt, die nur schwer abzusichern sind. Sicherheitslücken in der OT können daher schwerwiegende Folgen haben, etwa wenn Produktionsanlagen ausfallen.

Safety vs. Security

Ein weiterer wichtiger Unterschied zwischen IT und OT besteht in der Unterscheidung von Safety und Security. Während es bei der Security um den Schutz von Daten und Systemen geht, steht bei der Safety (etwa: Betriebssicherheit) die Sicherheit von Personen und Anlagen im Vordergrund. In der OT müssen daher sowohl Security- als auch Safety-Aspekte berücksichtigt werden, um ein ganzheitliches Sicherheitskonzept zu gewährleisten.

Charakteristik von OT Systemen vs. IT Systemen

OT-Systeme unterscheiden sich von IT-Systemen auch in ihrer Charakteristik. Während IT-Systeme in der Regel zentralisiert sind und von wenigen Administratoren betreut werden, sind OT-Systeme oft dezentralisiert und von vielen verschiedenen Personen bedienbar. Zudem sind OT-Systeme oft älter und daher schwerer abzusichern als moderne IT-Systeme.

Security Bedrohungen

Die Bedrohungen für die OT-Security sind vielfältig. Dazu zählen etwa Hackerangriffe, Malware-Infektionen oder auch Insider-Bedrohungen. Angriffsvektoren können beispielsweise Schwachstellen in den OT-Systemen oder auch ungesicherte Kommunikationsverbindungen sein. Zudem kann menschliches Versagen ein Risiko darstellen.

OT-Angreifer

Die Angreifer in der OT-Security sind oft professionelle Hacker, die gezielt nach Schwachstellen in den Systemen suchen. Dabei kann es sich um Cyberkriminelle oder auch um staatlich gesteuerte Akteure handeln. Auch Insider können ein Risiko darstellen, etwa wenn Mitarbeiter unberechtigt auf sensible Daten zugreifen.

OT-Angriffsvektoren

Zu Angriffsvektoren in der OT-Security zählen etwa Schwachstellen in der Software oder Hardware, ungesicherte Netzwerkkommunikation oder auch mangelnde Zugangskontrollen. Auch Social Engineering kann ein Risiko darstellen, wenn Angreifer versuchen, Mitarbeiter zu manipulieren und so Zugriff auf das System zu erhalten.

OT-Risikofaktoren

Die Risikofaktoren in der OT-Security sind oft ähnlich wie in der IT-Security. Dazu zählen etwa unzureichende Zugangskontrollen, veraltete Systeme oder auch mangelnde Schulungen der Mitarbeiter. Hinzu kommen jedoch noch spezifische Risikofaktoren wie etwa die Abhängigkeit von bestimmten Systemen oder fehlende Redundanzen

OT-Standards im Überblick

Um eine einheitliche und angemessene Sicherheit für OT-Systeme zu gewährleisten, gibt es verschiedene Standards und Richtlinien, an denen sich Unternehmen orientieren sollten. Hier sind einige der wichtigsten Standards für OT-Security im Überblick:

• NIS-Richtlinie: Die EU-Richtlinie über Netz- und Informationssicherheit (NIS-Richtlinie) ist eine Verordnung, um IT-Sicherheit in Europa zu erhöhen. Sie verpflichtet Betreiber von kritischen Infrastrukturen (KRITIS) dazu, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die IT-Sicherheit zu gewährleisten.

• IEC 62443: Die internationale Normenreihe IEC 62443 beschäftigt sich speziell mit der IT-Sicherheit für industrielle Automatisierung und Steuerungssysteme. Sie definiert verschiedene Sicherheits-Level und gibt Anweisungen, wie Sicherheitsmaßnahmen zu implementieren sind.

• ISO 27000 & ISO 27019: Die ISO 27000-Serie ist ein internationaler Standard für IT-Sicherheitsmanagement, der auch für OT-Sicherheit relevant ist. Die ISO 27019 ist ein spezieller Leitfaden für die Sicherheit von Industriesteuerungssystemen.

• NIST 800-82 und CSF: Die US-amerikanische Cybersecurity Framework (CSF) ist ein Rahmenwerk für die Organisation von IT-Sicherheit, das auch für OT-Security geeignet ist. Die NIST 800-82 ist ein Leitfaden für die Sicherheit von industriellen Steuerungssystemen.

Erprobte Security-Maßnahmen für OT

Es gibt verschiedene bewährte Maßnahmen, die Unternehmen ergreifen können, um die Sicherheit ihrer OT-Systeme zu erhöhen. Hier sind einige Beispiele:

• Defense in Depth: Diese Strategie sieht vor, dass mehrere Sicherheitsebenen implementiert werden, um eine umfassende Sicherheit zu gewährleisten. Dazu können beispielsweise Firewalls, Intrusion-Detection-Systeme und Zugriffskontrollen gehören.

• Organisatorische Sicherheitsmaßnahmen: Hierzu gehört beispielsweise, Mitarbeiter im Umgang mit OT-Systemen zu schulen und eine klare Verantwortlichkeitsstruktur für die IT-Sicherheit einzurichten.

• Security Assessments und Reviews: Regelmäßige Bewertungen der IT-Sicherheit können Schwachstellen aufdecken und Verbesserungen anstoßen.

• Konfigurationsmanagement: Die Konfiguration von OT-Systemen genau zu dokumentieren und zu überwachen kann dazu beitragen, Fehler und Angriffsmöglichkeiten zu minimieren.

• Netzwerk- und Kommunikationssicherheit: Sichere Netzwerkarchitekturen und Verschlüsselungstechnologien zu implementieren kann die Kommunikation zwischen OT-Komponenten absichern.

• Komponentensicherheit: OT-Komponenten regelmäßig zu warten und zu überprüfen kann Ausfälle und Sicherheitsprobleme vermeiden.

• Benutzer- und Identitätsmanagement: Eingerichtete Zugriffskontrollen und Identitätsmanagement können unautorisierte Zugriffe auf OT-Systeme vermeiden. (jm)

Lesetipps: Maßnahmen gegen den Fachkräftemangel in der OT-Sicherheit