NIS2 und KRITIS-Dach: Neun Bausteine für sichere industrielle Steuerungs- und Automatisierungssysteme

Illustration Absmeier foto freepik ki-generiert

Zahl der durch NIS2 und KRITIS-Dach regulierten Organisationen erweitert sich auf über 30.000: eco Verband gibt 9 Tipps zur Steigerung der Cyberresilienz industrieller Steuerungsanlagen.

 

Mit der zunehmenden Vernetzung von Maschinen werden Industrieanlagen verwundbarer gegenüber Cyberangriffen. Zudem ändert sich die Regulierung dieses Jahr deutlich mit dem KRITIS-Dachgesetz und NIS2-Umsetzungsgesetz: Die Anzahl künftig regulierter Unternehmen erweitert sich auf über 30.000. Wie Unternehmen auch in ihrer OT (Operational Technology) die strengeren Vorgaben erfüllen, dafür gibt die Kompetenzgruppe KRITIS im eco Verband neun Tipps.

Industrielle Steuerungs- und Automatisierungssysteme, kurz häufig unter dem englischen Begriff OT bekannt, werden mit langfristiger Perspektive entwickelt: 30 Jahre lang Produktionsanlagen mit derselben Software zu steuern und zu überwachen ist keine Seltenheit. Viele OT-Systeme wurden deshalb schon in Betrieb genommen, ohne moderne Cybersecurity-Methoden berücksichtigen zu können. Und weil sie nicht ohne erheblichen Aufwand auf den notwendigen Stand der Sicherheitstechnik gebracht werden können, sind sie beliebte Ziele krimineller Cyberattacken. Auch vor dem Hintergrund der sich ändernden Regulierung durch KRITIS-Dachgesetz und NIS2-Umsetzungsgesetz ist es dringend geboten, Sicherheitsstrategien zu überdenken und zu stärken, um die Integrität und Zuverlässigkeit kritischer Infrastrukturen zu gewährleisten.

»Jetzt ist die Zeit, in der Betreiber kritischer Anlagen gut beraten sind, für mehr Cyber-Resilienz zu sorgen«, sagte Ulrich Plate, nGENn GmbH und Leiter der eco Kompetenzgruppe KRITIS. »Das klingt leichter als es ist, und für industrielle Steuerungsanlagen wird es manchmal besonders kompliziert: Wartungsfenster für ein Softwareupdate kann man dort nicht einfach mal für nächste Woche einplanen, sondern vielleicht erst im nächsten Jahr.«

Wenn NIS2 und KRITIS-DachG auch in Deutschland in Kraft treten, werden zahlreiche neue Organisationen unter die Regulierung fallen, die bislang noch nicht zu den Betreibern kritischer Infrastrukturen gezählt wurden, und auch Produktionsanlagen mit ausgeprägter Operational-Technology-Umgebung werden davon erstmals betroffen sein. An sie werden die Anforderungen an ihre Cybersicherheit dadurch deutlich anspruchsvoller. »Bei Verstößen gegen Pflichten wie mangelnder Umsetzung von Sicherheitsmaßnahmen oder versäumten Melde- und Registrierungsfristen drohen empfindliche Bußgelder und vor allem persönliche Haftungsrisiken für die Geschäftsleitungen«, sagt Plate und gibt neun konkrete Tipps für mehr OT-Sicherheit:

  1. Identifizieren Sie Schwachstellen und Bedrohungen in Ihren OT-Systemen. Führen Sie regelmäßige Risikoanalysen durch, um aktuelle und potenzielle Sicherheitslücken zu erkennen und zu bewerten.
  2. Netzwerksegmentierung: Trennen Sie IT- und OT-Netzwerke voneinander, um die Angriffsfläche zu minimieren. Segmentieren Sie OT-Netzwerke weiter, um den Schaden im Falle eines Angriffs zu begrenzen.
  3. Härtung von OT-Systemen: Deaktivieren Sie unnötige Dienste und Ports auf OT-Geräten. Stellen Sie sicher, dass nur autorisierte Anwendungen und Benutzer auf diese Systeme zugreifen können.
  4. Sicherheitsupdates und Patch-Management: Halten Sie alle OT-Systeme und -Geräte auf dem neuesten Stand, indem Sie regelmäßig Sicherheitsupdates und Patches anwenden. Entwickeln Sie Verfahren, um kritische Updates zeitnah zu installieren.
  5. Zugangskontrolle und Authentifizierung: Implementieren Sie starke Zugangskontrollmechanismen. Verwenden Sie mehrstufige Authentifizierung (MFA) und sorgen Sie dafür, dass nur autorisierte Benutzer Zugang zu OT-Systemen haben.
  6. Schulung und Sensibilisierung der Mitarbeiter: Schulen Sie Ihre Mitarbeiter regelmäßig in Bezug auf Cybersecurity-Best Practices. Stellen Sie sicher, dass alle Mitarbeiter, die mit OT-Systemen arbeiten, über die aktuellen Bedrohungen und Schutzmaßnahmen informiert sind.
  7. Überwachung und Incident Response: Implementieren Sie kontinuierliche Überwachungs- und Erkennungsmechanismen für OT-Netzwerke. Entwickeln und testen Sie Incident-Response-Pläne, um schnell auf Sicherheitsvorfälle reagieren zu können
  8. Sicherheitsrichtlinien und -verfahren: Erstellen und implementieren Sie klare Sicherheitsrichtlinien und -verfahren für den Betrieb und die Wartung von OT-Systemen. Stellen Sie sicher, dass alle Mitarbeiter diese Richtlinien verstehen und befolgen.
  9. Zusammenarbeit und Informationsaustausch: Fördern Sie die Zusammenarbeit und den Informationsaustausch mit anderen Unternehmen und Behörden. Nutzen Sie Informationsplattformen, um über aktuelle Bedrohungen und Sicherheitsvorfälle informiert zu bleiben.

 

 

Welche Schwachstellen und Bedrohungen gibt es in OT-Systemen?

Operational Technology (OT)-Systeme, die in industriellen Steuerungs- und Automatisierungsprozessen eingesetzt werden, sind zunehmend Ziel von Cyberangriffen. Hier sind einige der häufigsten Schwachstellen und Bedrohungen:

  1. Veraltete Systeme: Viele OT-Systeme laufen auf älteren Softwareversionen, die nicht mehr unterstützt werden und daher anfällig für Sicherheitslücken sind.
  2. Mangelnde Netzwerksegmentierung: Oft sind IT- und OT-Netzwerke nicht ausreichend voneinander getrennt, was die Angriffsfläche vergrößert.
  3. Schadsoftware: OT-Systeme können durch Schadsoftware infiziert werden, die über Wechseldatenträger, mobile Geräte oder das Internet eingeschleust wird.
  4. Menschliches Fehlverhalten: Fehler oder Sabotage durch Mitarbeiter können zu erheblichen Sicherheitsrisiken führen.
  5. Social Engineering und Phishing: Angreifer nutzen oft Social Engineering und Phishing, um Zugang zu sensiblen Informationen oder Systemen zu erhalten.
  6. Fehlende Sicherheitsupdates: Regelmäßige Sicherheitsupdates und Patches werden oft nicht zeitnah installiert, was die Systeme verwundbar macht.
  7. Schwache Zugangskontrollen: Unzureichende Zugangskontrollen und Authentifizierungsmechanismen können es unbefugten Personen ermöglichen, auf OT-Systeme zuzugreifen.

Um diese Schwachstellen zu minimieren, sollten Unternehmen regelmäßige Risikoanalysen durchführen, ihre Netzwerke segmentieren, Sicherheitsupdates zeitnah installieren und ihre Mitarbeiter in Cybersecurity-Best Practices schulen.

Genki Absmeier

 

Wie kann man OT-Systeme vor Cyberbedrohungen besser schützen?

Operational Technology (OT)-Systeme sind für viele Industrien von entscheidender Bedeutung, da sie physische Prozesse steuern und überwachen. Der Schutz dieser Systeme vor Cyberbedrohungen ist daher unerlässlich. Hier sind einige bewährte Maßnahmen, um OT-Systeme besser zu schützen:

  1. Netzwerksegmentierung:
    Trennen Sie OT-Netzwerke von IT-Netzwerken und anderen externen Netzwerken. Dies minimiert die Angriffsfläche und verhindert, dass Bedrohungen sich leicht ausbreiten können.
  2. Zugriffskontrollen:
    Implementieren Sie strenge Zugriffskontrollen und stellen Sie sicher, dass nur autorisierte Personen Zugang zu OT-Systemen haben. Verwenden Sie Multi-Faktor-Authentifizierung (MFA) für zusätzlichen Schutz.
  3. Schwachstellenmanagement:
    Führen Sie regelmäßige Schwachstellenbewertungen und Penetrationstests durch, um potenzielle Sicherheitslücken zu identifizieren und zu beheben.
  4. Überwachung und Erkennung:
    Setzen Sie Intrusion-Detection-Systeme (IDS) und Sicherheitsinformations- und Ereignismanagement-Systeme (SIEM) ein, um verdächtige Aktivitäten in Echtzeit zu überwachen und darauf zu reagieren.
  5. Sicherheitsrichtlinien und Schulungen:
    Entwickeln Sie umfassende Sicherheitsrichtlinien und schulen Sie Ihre Mitarbeiter regelmäßig in Bezug auf Cybersecurity-Best-Practices. Sensibilisieren Sie sie für die spezifischen Bedrohungen, die OT-Systeme betreffen können.
  6. Patch-Management:
    Stellen Sie sicher, dass alle OT-Systeme regelmäßig mit den neuesten Sicherheitsupdates und Patches versorgt werden, um bekannte Schwachstellen zu schließen.

Durch die Implementierung dieser Maßnahmen können Unternehmen ihre OT-Systeme besser vor Cyberbedrohungen schützen und die Kontinuität ihrer Betriebsabläufe sicherstellen.

Genki Absmeier

 

121 Artikel zu „Sicherheit OT-Systeme“

Was ist OT-Cybersicherheit und wie unterscheidet sie sich von IT-Cybersicherheit?

Die fortschreitende Digitalisierung und Vernetzung verändern den Betrieb kritischer Infrastrukturen grundlegend. Herkömmliche Systeme werden zunehmend durch moderne Technologien erweitert, wodurch sie jedoch auch anfälliger für neuartige Cyberangriffe werden. Bisher haben sich Unternehmen auf die IT-Cybersicherheit verlassen, um ihre Daten und IT-Netzwerksysteme vor Cyberangriffen zu schützen. IT-Netzwerke werden in Bereichen wie Finanzen, Gesundheit und Bildung zur…

OT-Security im Überblick – Grundlagen der Sicherheit bei Betriebstechnik

OT-Sicherheit nutzt Technologien zur Überwachung und Erkennung von Veränderungen an der Betriebstechnologieinfrastruktur, etwa bei kritischen Infrastrukturen – worauf kommt es hierbei an? Palo Alto Networks erläutert Grundlagen und Aspekte der OT-Security.   OT (Operational Technology) steht in der englisch dominierten Ingenieurssprache für Betriebstechnik oder -technologie. Der Begriff bezieht sich auf Hardware- und Softwaresysteme zur Überwachung…

Cybersicherheit darf nicht nur die klassischen Endpunkte im Blick haben

Vier Argumente für einen »Sicherheitsweitblick« auf das Internet der Dinge. IP-Kameras, Gebäudezugriffslösungen, Sensoren an Fließbändern oder auch an das Web angebundene Drucker gestalten die Frontlinie von Unternehmen zum Internet immer unübersichtlicher und erhöhen die Angriffsfläche. Wer sich gegen die Hacker aus dem Internet der Dinge schützen will, benötigt vor allem mehr Information und Zugriff auf…

Cybersicherheit: Vier Eckpfeiler zur Absicherung digitaler Innovationen in der Produktion

Heute ist nahezu jeder stark digitalisierte oder automatisierte Industriezweig mit dem Risiko einer Cyberbedrohung konfrontiert. Ein gutes Beispiel, dass die möglichen Auswirkungen auf eine Lieferkette in der Fertigung zeigt, ist die Halbleiterbranche. Ein Cyberangriff auf eine Halbleiter-Fertigungsstätte (Fab) kann in weniger als einem Tag Schäden von mehreren Millionen Euro verursachen. TXOne Networks, Spezialist für OT-Sicherheitslösungen,…

Fünf Tipps, wie User Experience und Sicherheit in Einklang gebracht werden können

Nutzer stellen hohe Anforderungen an Anwendung, die sie täglich nutzen: Sie müssen leicht zu handhaben sein und schnell reagieren. Darüber hinaus können sich Nutzeranforderungen sehr schnell verändern. Während Anbieter versuchen, diesen Erwartungen zu entsprechen, steigt die Herausforderung, sich gleichzeitig vor sicherheitsrelevanten Bedrohungen und böswilligen Eingriffen zu schützen. User Experience und Sicherheit gehen daher Hand in Hand.…

ISO 27001: Informationssicherheit in Unternehmen und Organisationen – Von Anfang an einfach richtig machen

Mit der internationalen Norm ISO 27001 soll die Informationssicherheit in Unternehmen und Organisationen gewährleistet werden. Sie beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Mit der GAP-Analyse von CONTECHNET steht den Verantwortlichen ein kostenfreies Tool zur Verfügung, mit dem sie den groben Ist-Stand einer geplanten ISO-27001-Umsetzung in ihrem Unternehmen prüfen können.

Fünf fundamentale Sicherheitsprobleme für kritische Infrastrukturen

Digitale Bedrohungen für kritische Infrastrukturen nehmen weiter zu. Angreifer haben es zunehmend auf betriebliche (Operational Technology, OT) und industrielle Steuerungssysteme (Industrial Control Systems, ICS) abgesehen. Das zeigt auch der Lagebericht zur IT-Sicherheit vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Betreiber der kritischen Infrastrukturen sehen sich allerdings mit großer Mehrheit »gut« (57 Prozent) oder »sehr…

IT-Sicherheit 2021: Vier Trends

Durch die drastischen Veränderungen im Jahr 2020 wurde die Digitalisierung stark forciert, Netzwerkinfrastrukturen änderten sich und Clouds konnten weitere Zugewinne verzeichnen. Gerade, was Home Office angeht, musste zunächst einiges improvisiert werden, jetzt geht es darum, diese neuen Architekturen nachhaltig zu konsolidieren, wozu auch ein umfassendes Sicherheitskonzept gehört. Gleichzeitig setzen sich auch langfristige Trends, wie neue…

Die fünf größten Sicherheitsgefahren für Smart Cities

Immer mehr Kommunen verfolgen Smart-City-Initiativen, etwa um Ressourcen besser zu verwalten oder die Bürgerservices zu optimieren und generell die Lebensqualität zu steigern. Durch die dafür notwendige Erfassung entsprechender Daten, deren Vernetzung und Verarbeitung steigen aber auch die Sicherheitsgefahren. NTT Ltd., ein weltweiter Technologie-Dienstleister, nennt die fünf größten Bedrohungen für Smart Cities. Die Smart City, also…

Sicherheitsfragen 2021 – und die Antworten darauf

Für das Jahr 2021 stellen sich eine Menge Fragen in Zusammenhang mit der Sicherheit:   Lassen sich mit einer Zero-Trust-Architektur Cyberangriffe für den Angreifer schwieriger gestalten? Werden strengere Auditing-Praktiken umgesetzt? Wird das mangelnde Bewusstsein von möglichen RPA-Sicherheitsauswirkungen im Jahr 2021 zu einem schwerwiegenden RPA-Hack führen? Wird 2021 das Jahr der »Customizable Cloud«? Wird die scheinbare…

Verantwortung für ausreichende Sicherheit: Cyberhygiene und das Internet der Dinge

Das Internet der Dinge (IoT) hat unser Leben und Arbeiten drastisch verändert, und das weltweit. Vom Babyphone, zur Überwachungskamera für zu Hause, über den tragbaren Fitness-Tracker bis hin zu intelligenten Fahrzeugen, Stromnetzen und dem Entstehen intelligenter Städte. Was früher das Internet der Dinge war, ist heute eher das Internet von Allem, wenn man bedenkt wie…

Sicherheit bis in den letzten Winkel des industriellen IoT

Moderne Sicherheitslösungen nutzen Analytik, um auch industrielle Anlagen innerhalb des industriellen IoTs überwachen zu können. IoT-Lösungen haben in den letzten Jahren nicht nur unser Zuhause erobert, auch in der Industrie kommen die smarten Geräte immer häufiger zum Einsatz. Das industrielle IoT (IIoT) bietet Unternehmen mannigfaltige Möglichkeiten und die Anwendungsfälle erstrecken sich über alle Branchen. Zu…

Darum ist eine automatisierte Verwaltung wichtig für die Netzwerksicherheit – Die Automatisierung des Sicherheitsmanagements

Eine Studie des Netzwerksicherheitsanbieters AlgoSec aus dem Jahr 2019 ergab, dass über 42 Prozent der Unternehmen einen Anwendungs- oder Netzwerkausfall erlebten, den ein menschlicher Fehler oder eine falsche Konfiguration verursachte. Warum ist diese Zahl so hoch und wie kann Automatisierung hier Abhilfe schaffen?

Fünf Regeln zur Bewältigung einer Cybersicherheitskrise: Vorstände und Verantwortliche unter Druck

Das aktuelle Allianz Risk Barometer 2020 – als weltweit größte Risikostudie – hat kritische Geschäftsunterbrechungen, die durch Cybersicherheitsverletzungen verursacht werden, als das größte Risiko für Unternehmen erkannt [1]. »Wann man von einer Cybersicherheitskrise betroffen sein wird, lässt sich nie vorhersagen. Unternehmen können aber Zeit gewinnen, indem sie einen gut einstudierten und effektiven Cyber-Resiliency-Plan aufstellen, der…

Der Quantencomputer gefährdet schon heute die Sicherheit von Daten

Die nächste IT-Ära lässt noch lange auf sich warten. Dennoch müssen Unternehmen handeln. Wann der Quantencomputer kommerziell zur Verfügung stehen wird, weiß niemand. Unternehmen müssen aber schon heute Vorkehrungen treffen, sonst gefährden sie den Schutz ihrer Daten, warnt die Security Division von NTT.   Es erscheint widersprüchlich: Der Quantencomputer ist unermesslich schnell, steckt aber noch…

Sicherheit braucht mehr Geschwindigkeit

Unternehmen und Behörden sind einfach zu langsam. Sie brauchen im Durchschnitt ganz sechs Tage einen Eindringling in ihren Netzwerken zu entdecken, die Schwere des Angriffs auszuwerten und die Schäden zu beheben. Die Folge: Vier von fünf Unternehmen waren im letzten Jahr nicht in der Lage Cyberangreifern den Zugriff auf die Zieldaten zu verwehren. Es gibt…

Welche Cyberattacken Unternehmen besonders fürchten müssen – Bedrohte IoT-Systeme

Cyberkriminelle und politisch movierte »Hacktivisten« haben dazugelernt. Mittlerweile sind sie in der Lage, innerhalb von fünf Tagen Angriffe auf neu entdeckte IT-Sicherheitslücken zu starten. IoT-Systeme (Internet of Things) werden bereits sogar innerhalb von fünf Minuten nach ihrer Inbetriebnahme attackiert. Dies sind zwei Erkenntnisse des Threat Intelligence Report des IT-Security-Spezialisten Netscout.