OT-Sicherheit für kritische Infrastrukturen

In der Reihenfolge der Schutzziele und in den Mitteln, die erlaubt sind. In der IT steht die Vertraulichkeit der Daten vorn, in der OT die Sicherheit von Menschen und Anlage. Ein Schwachstellenscan, der in einem Büronetz unauffällig bleibt, kann eine Steuerung aus dem Takt bringen. Deshalb wird in der OT zuerst passiv gearbeitet.

Ein echter Air Gap ist selten. Und er hält selten. Der Weg hinein führt über die Fernwartung des Herstellers, über den Servicelaptop im Schaltschrank, über USB-Medien bei der Inbetriebnahme, über Funkstrecken zu Außenstandorten und über die Produktionsdaten, die nach außen gehen. Stuxnet hat eine getrennte Anlage erreicht. Wir prüfen zuerst, ob die Trennung im Betrieb tatsächlich besteht. In den meisten Anlagen findet sich mindestens ein Pfad, den niemand auf dem Schirm hatte.

Betreiber kritischer Infrastrukturen über das BSIG, inzwischen in der Fassung des NIS2-Umsetzungsgesetzes. § 31 Absatz 2 BSIG verlangt von ihnen Systeme zur Angriffserkennung. Der Nachweis gegenüber dem BSI steht in § 39 BSIG und ist alle drei Jahre fällig. Über NIS2 kommen weitere Sektoren und kleinere Unternehmen hinzu. OT-Systeme sind darin ausdrücklich eingeschlossen. Ob Ihr Unternehmen betroffen ist, hängt an Sektor, Größe und Umsatz.

Bei der Sichtbarkeit. Solange nicht feststeht, welche Geräte im Anlagennetz miteinander sprechen und über welche Wege, ist jede Maßnahme eine Vermutung. Ein Assessment nimmt die tatsächliche Kommunikation passiv auf und liefert daraus das Bild, auf dem Segmentierung, Erkennung und Übung aufsetzen.

Der größte Teil ja. Architekturanalyse, Konfigurationsprüfung und die Auswertung mitgeschnittener Kommunikation laufen im Betrieb. Aktive Tests laufen nur in abgestimmten Fenstern, an Ersatz- oder Laboraufbauten, mit vorher festgelegten Abbruchkriterien. Wo eine Aussage nur durch Eingriff zu bekommen wäre, bilden wir sie an eigener Hardware nach.

In der Anlage nicht. Ein IT-IDS kennt Web-, Mail- und Windows-Verkehr und bringt Signaturen dafür mit. Modbus TCP, S7comm oder IEC 60870-5-104 löst es nicht auf, es sieht dort eine TCP-Verbindung und sonst nichts.

Dazu kommt das eigentliche Problem. Ein Angriff auf eine Steuerung sieht aus wie ein gültiger Befehl, weil es einer ist. Auffällig wird er erst daran, dass er zur falschen Zeit kommt, vom falschen Gerät oder mit einem Wert, den der Prozess nicht hergibt. Das erkennt nur, wer den Normalbetrieb kennt.

Und eine Warnung zur Betriebsart. Ein IPS, das selbständig blockiert, kann in einem Prozessnetz eine Störung auslösen. In der OT wird mitgelesen, nicht eingegriffen.

Eine Kombination aus Sensorik im Anlagennetz, einer Auswertung und den Regeln dazwischen. Die Sensorik liest den Verkehr mit. Die Auswertung vergleicht ihn mit dem Normalbetrieb. Die Regeln sagen, was ein Alarm ist. Für Betreiber kritischer Anlagen ist das eine Pflicht nach § 31 Absatz 2 BSIG. Den Nachweis gegenüber dem BSI regelt § 39 BSIG, alle drei Jahre. Verlangt ist dabei nicht nur Technik, sondern auch die Dokumentation dessen, was tatsächlich erkannt und wie darauf reagiert wird.