Industrie & Produktion
Produktionsanlagen sind auf Verfügbarkeit gebaut, nicht auf Wartbarkeit. Der häufigste Befund ist eine flache Netzstruktur: Wer im Bürobereich Fuß fasst, erreicht die Fertigung.
Ransomware trifft die IT und legt die Produktion still
2019 traf eine Verschlüsselungswelle einen norwegischen Aluminiumkonzern. Betroffen war zunächst die Büro-IT, doch die Werke mussten auf manuellen Betrieb umstellen, weil ohne die übergeordneten Systeme keine Aufträge, Rezepturen und Chargendaten mehr in die Fertigung kamen. Der Schaden lag im hohen zweistelligen Millionenbereich, verursacht durch Stillstand, nicht durch beschädigte Steuerungen.
2021 stoppte ein Pipeline-Betreiber in den USA die Förderung vorsorglich, obwohl der Angriff die Abrechnungssysteme getroffen hatte und nicht die Prozesstechnik. Wer nicht sicher sagen kann, wie weit ein Angreifer gekommen ist, schaltet ab. Genau diese Unsicherheit ist der eigentliche Schaden.
Beide Fälle brauchten keine ICS-Schadsoftware. Sie brauchten nur zweierlei: ein Netz ohne wirksame Trennung zwischen Büro und Produktion sowie eine Organisation, die im Ernstfall die Reichweite nicht bestimmen konnte.
Trennung, Nachweis, Handlungsfähigkeit
Die erste Frage ist immer dieselbe: Wer kommt wie weit und würde es jemand bemerken.
Segmentierung tatsächlich prüfen
Nicht das Zonenkonzept auf dem Papier, sondern die Übergänge zwischen Büro-IT, Fertigungsleitebene und Anlagennetz. Dazu die Fernwartungszugänge der Maschinenlieferanten: Wer kommt wie weit und wird es bemerkt.
Nachweise aufbauen
Ein Zonen- und Conduit-Konzept nach IEC 62443, das der Realität entspricht. Für Maschinenbauer kommt der Cyber Resilience Act dazu, beginnend mit der Meldefähigkeit für ausgenutzte Schwachstellen.
Personal befähigen
Instandhaltung, Anlagenfahrer und IT arbeiten im Ernstfall zusammen, ohne es je geübt zu haben. Training und eine moderierte Notfallübung schließen diese Lücke.
Wie geprüft wird, ohne die Produktion zu berühren
Passive Verfahren zuerst. Die Analyse der tatsächlichen Kommunikation, die Auswertung der Firewall-Regeln an den Übergängen und die Prüfung von Konfigurationen laufen im Betrieb und liefern den größten Teil der Aussage.
Aktive Tests an Steuerungen gehören in ein abgestimmtes Wartungsfenster oder an einen Laboraufbau. Abbruchkriterien stehen vorher fest. Der Bericht trennt die Befunde für die sofortige Behebung von denen, die bis zum nächsten Stillstand warten können.
Auf der Steuerungs- und Bedienebene sind die Befunde selten spektakulär: Standardzugänge, offene Dienste, fehlende Authentisierung an Bedienpanels. Ihre Wirkung ergibt sich erst aus der Frage, von wo aus sie erreichbar sind.
Eine echte Anlage, an der Angriffe erlaubt sind
In unserem Labor steht eine echte Siemens-Anlage: Steuerungen der Reihen S7-1500 und S7-300, ein angetriebener Motor und ein KTP400-Bedienpanel, verdrahtet wie in einer Fertigungszelle.
Der Unterschied zu einer Simulation ist der Motor. Wenn eine manipulierte Botschaft ankommt, dreht er anders und das sieht man. An diesem Aufbau entwickeln wir Erkennungsregeln, testen Prüfvorgehen vor dem Einsatz beim Kunden und führen Trainings durch, bei denen Teilnehmende selbst angreifen dürfen.
Training für Instandhaltung, Engineering und IT
Ein Produktionsleiter, der nicht versteht, warum Segmentierung wichtig ist, wird sie umgehen. Ein Analyst, der noch nie industriellen Datenverkehr gesehen hat, klickt den Alarm weg. Beides sind Wissenslücken, keine Charakterfragen.
Wir trainieren beide Seiten: Verständnis für Verantwortliche, Handwerk für technisches Personal und eine gemeinsame Notfallübung, in der die Abwägung zwischen Stillstand und Weiterbetrieb einmal unter Zeitdruck getroffen wird.
NIS2 trifft die Einrichtung, der CRA das Produkt
Die Rollenfrage entscheidet über die Pflichten. NIS2 adressiert die Einrichtung, also den Betrieb. Der Cyber Resilience Act adressiert den Hersteller eines Produkts mit digitalen Elementen. Wer Maschinen baut und selbst produziert, ist beides, mit zwei verschiedenen Pflichtenkatalogen und zwei verschiedenen Fristen.
Für die Betriebsseite ist IEC 62443 der praktische Rahmen: Zonen, Conduits und Security Levels geben der Segmentierung eine überprüfbare Form. Für die Herstellerseite beginnt der CRA nicht bei der Produktzertifizierung, sondern bei der Meldefähigkeit für aktiv ausgenutzte Schwachstellen.
Was Betreiber und Maschinenbauer fragen
In der Regel nicht. Passive Analyse, Konfigurationsprüfung und die Auswertung der Segmentierung laufen im Betrieb. Aktive Tests an Steuerungen gehören in ein Wartungsfenster oder an einen Laboraufbau.
Gerade dann. Bei Systemen, die nicht gepatcht werden können, verlagert sich die Sicherheit auf Segmentierung, Zugriffskontrolle und Erkennung. Das lässt sich unabhängig vom Alter der Steuerung umsetzen.
Bei der Meldefähigkeit. Die Pflicht, aktiv ausgenutzte Schwachstellen zu melden, greift vor den übrigen Anforderungen. Danach folgen Update-Weg, Umgang mit Schlüsselmaterial und die Dokumentation der Produktsicherheit.
Über die realen Kommunikationspfade. Wir arbeiten heraus, was von der betroffenen Zone aus tatsächlich erreichbar war. Danach grenzen wir ein, welche Bereiche der Fertigung ausgeschlossen werden können.