Sicherer IT-Einsatz in der Produktion will gelernt sein

Seit dem Auftreten des Computerwurms Stuxnet sind die Ansichten über die Sicherheit von IT-Systemen in der Industrieautomatisierung ins Wanken geraten. Das wurde kürzlich auch bei einer Diskussion von IT-Experten in Hannover deutlich. Denn: Galten solche Systeme lange Zeit als nur wenig gefährdet, sehen inzwischen sowohl Hersteller als auch Anwender ein zunehmendes Bedrohungspotenzial durch die wachsende Vernetzung in der Fabrik.

„Durch Stuxnet ist das Problem für unser Management greifbarer geworden. Die Bereitschaft in IT-Security zu investieren hat deutlich zugenommen“, brachte Enrico Puppe, Systemanalytiker in der produktionsnahen IT im VW-Werk für Nutzfahrzeuge in Hannover, die Stimmung bei den Anwendern auf den Punkt. Siemens-Manager Georg Trummer räumte in der einstündigen Diskussion ein, dass das Thema IT-Security nun auch aus der Industrie definitiv nicht mehr wegzudiskutieren sei.

Trummer ist als Entwicklungsleiter von Produktionsmaschinen im Bereich „Automation and Drives“ auch für die IT-Sicherheit der Siemens-Steuerungen verantwortlich. Der Münchener Konzern war von den Meldungen über Stuxnet in besonderem Maße betroffen. Unbekannte hatten das Schadprogramm speziell für ein System zur Überwachung und Steuerung technischer Prozesse (Scada) geschrieben, das Siemens entwickelt hatte.

Bis zu diesem Vorfall im Sommer vergangenen Jahres war die Welt in der Automatisierungstechnik noch in Ordnung. Hersteller und Anwender von IT-Systemen in Industrieanlagen gingen davon aus, dass das Problem von Hackerangriffen für sie keine Rolle spielen und auf die Unternehmens-IT beschränkt bleiben würde. Solange die einzelnen Systeme zentral und getrennt voneinander gesteuert wurden, stimmte das auch noch. „Mit der Dezentralisierung der Automatisierungsfunktionen aber müssen die Steuerungen nun untereinander kommunizieren“, brachte der Kölner Professor Frithjof Klasen das Problem auf den Punkt. „Bislang getrennte Kommunikationsbereiche wachsen zusammen, Störungen und Bedrohungen bleiben nicht mehr lokal begrenzt.“

Klasen ist Leiter des Instituts für Automation & Industrial IT am Campus Gummersbach der Fachhochschule Köln. Neben der Forschung im Bereich Automatisierungstechnik und industrieller Kommunikation unterstützt das Institut als Profinet Competence Center Unternehmen bei der herstellerübergreifenden Integration von Profinet-Anlagen. Darüber hinaus hat Klasen in Zusammenarbeit mit Industriepartnern ein Prüflabor aufgebaut, das Sicherheitsschwachstellen an Automatisierungsgeräten aufzeigt.

Eine vorherige Untersuchung von Risiken und Gefahrenpotenziale bei der Zusammenstellung einzelner Komponenten sei ratsam, weil jede Automatisierungslösung so individuell sei, dass weder Hersteller noch Anwender die Komplexität der Interaktion beurteilen könnten, sagte der Automatisierungsexperte. „Die Hersteller entwickeln ihre Produkte, ohne zu wissen, wo diese später überall eingesetzt werden, und die Anwender kennen nicht alle Eigenschaften, um zu erkennen, wo sich Gefahren bei deren Kombination mit anderen Komponenten ergeben könnten“, erläuterte Klasen das Problem.

Durch die Vernetzung könnten sich nicht nur Viren ungehindert ausbreiten. „Nicht selten kommt es vor, dass sich wichtige funktionale Eigenschaften von Automatisierungskomponenten in neuen Umgebungsbedingungen plötzlich als Schwachstelle für die Informationssicherheit herausstellen“, stellte Klasen fest. Einer seiner Kunden ist VW.

Es sei schon erstaunlich, wie sehr sich das Verständnis von IT-Sicherheit einzelner Hersteller von Automatisierungskomponenten unterscheide, sagte Puppe von VW, in Hannover. Um bei der Integration der Bausteine keine bösen Überraschungen zu erleben, lasse der Nutzfahrzeugbauer diese im Vorfeld in Klasens Prüflabor testen. Das sei aber eher eine Notlösung. Um das Verhalten der Automatisierungsbausteine in komplexen Systemen verständlicher zu machen, forderte Puppe die Hersteller auf, ihre Dokumentation zu verbessern. Dann könnten auch Systemintegratoren ihren Beitrag zu einer Verbesserung der IT-Sicherheit leisten. „Sie wissen oft zu wenig über die Komponenten, die sie in den Automatisierungsprojekten verknüpfen sollen“, verdeutlichte der IT-Sicherheitsexperte.

Am Ende der Diskussionsrunde waren sich alle Teilnehmer einig, dass nur Hersteller und Anwender gemeinsam die IT-Sicherheit in der industriellen Umgebung verbessern könnten. „Nur ein ganzheitliches Vorgehen führt zum Ziel“, sagte Siemens-Entwicklungsleiter Georg Trummer. Und der Automatisierungsexperte Klasen ergänzte: „Die Betriebe müssen ihre Anforderungen definieren und die Hersteller die Eigenschaften ihrer Produkte offenlegen.“

Darüber hinaus müssten die Anwender dafür sorgen, dass sich IT-Verantwortliche aus Produktion und den anderen Unternehmensbereichen an einen Tisch setzen und gemeinsam nach angepassten Lösungen suchen.

Versuche, Security-Konzepte aus der Office-Umgebung auf die Produktion zu übertragen, seien gescheitert, stellte Hans Honecker vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zur Übertragbarkeit auf die Industrie fest. „Die Sicherheitskonzepte, -maßnahmen und -technologien sind zu unterschiedlich.“ Als mittelfristige Lösung empfahl er Insellösungen, mit ihnen ließen sich kritische Bereiche besser schützen. HANS SCHÜRMANN