Cybersicherheit : Vernetzte Produktion ist bei Cybersecurity weit hinterher

Die Zahl der Cyber-Attacken nimmt kontinuierlich zu, die Bedrohungen werden gravierender und somit auch die Auswirkungen. Schon im Jahr 2014 gab es laut „Verizon Data Breach Report“ rund 80.000 gezielte Cyber-Angriffe. Forschernde des Fraunhofer-Instituts für Produktionstechnologie IPT untersuchen, wie groß das Risiko einzelner vernetzter Unternehmen ist, Opfer eines Cyber-Angriffs zu werden. Das erschreckende Ergebnis: Die wenigsten Unternehmen sind darauf vorbereitet.

In einer weitgehend vernetzten Produktion sind Maschinen und Anlagen, Netzwerk- und Computertechnik verschiedener Generationen in einer gemeinsamen IT-Umgebung miteinander verknüpft. Doch während es für die gängigen Betriebssysteme in der Unternehmens-IT regelmäßige Sicherheitsupdates gibt, bleiben Maschinen in der Regel mehrere Jahrzehnte weitgehend unverändert im Einsatz und werden dadurch leicht angreifbar. Nicht selten sitzt die Gefahrenquelle sogar vor der Tastatur. Die Folge: Schadsoftware, Exploitkits und Insider-Angriffe bedrohen das gesamte Unternehmensnetzwerk.

Das Fraunhofer IPT untersuchte 28 Unternehmen verschiedener Industriezweige und Größe. Nachdenklich macht, dass kein einziges der untersuchten Unternehmen alle Anforderungen der Cybersecurity erfüllt. Doch während knapp die Hälfte der Unternehmen mit mehr als 250 Mitarbeitenden zumindest teilweise die notwendigen Maßnahmen zur Cybersecurity umsetzen, erreicht die Mehrheit der kleinen und mittleren Unternehmen nicht einmal diese Marke.

Die Forscher stellen zudem fest, dass Unternehmen sehr unterschiedlich mit dieser Bedrohungslage umgehen. Während große Unternehmen eigens Experten für IT-Sicherheit einstellen können, fällt diese Aufgabe in kleinen Unternehmen bestenfalls dem IT-Support zu. Doch nicht nur die eigene Organisation, sondern auch das Verhalten der Maschinenhersteller macht produzierenden Unternehmen das Leben schwer: Während PC-Komponenten einem aktiven Patch-Management unterliegen, liefern die Anbieter für SPS-Steuerungen in der Regel keine aktiven Sicherheitsupdates und kommunizieren auch nicht, wie Maschinen und Anlagen im Netzwerk zu überwachen sind. Der eigene Maschinenpark wird so für Unternehmen zur Blackbox, auf deren Sicherheit und Integrität blind vertraut werden muss. Begünstigt wird dieser Mangel dadurch, dass es keine einheitlichen Normen und Gesetze für die IT-Sicherheit von Produktionsanlagen gibt.

Für die Untersuchung hat das Forschungsteam des Fraunhofer IPT den „Production Security Readiness Check“ (PSRC) entwickelt. Den Test stellt es nun auch weiteren Unternehmen, die nicht an der Untersuchung teilgenommen haben, zur Verfügung. Auch kleine und mittlere produzierende Unternehmen sollen mithilfe des Fragebogens ihr aktuelles Sicherheitsniveau besser einschätzen und Verbesserungen erkennen und umsetzen können.

Der Test kann von produzierenden Unternehmen jeder Branche, Struktur und Größe genutzt werden. Er besteht aus neun Teilgebieten, die jene Themen abbilden, die für einen ganzheitlichen Sicherheitsansatz betrachtet werden müssen. Dabei konzentriert sich der PSRC auf die Einführung und das Management von Methoden zur Sicherung der Unternehmens-IT, der Betriebstechnik und der Umgebungen, in denen beide eingesetzt werden.