Hilfe beim Umgang mit dem Zielkonflikt bei Safety & Security
Je mehr Produkte digitalisiert und vernetzt werden, desto wichtiger wird die Sicherheitsbewertung im Sinne von Safety & Security. Ein digitales Nachschlagewerk soll nun branchenübergreifend für mehr Klarheit sorgen.
Schutzzäune und Notaus-Taster für die Industrie: Meist gibt es Zielkonflikte zwischen funktionaler Sicherheit (Safety) und dem Schutz vor unautorisiertem Zugang (Security). Das gilt für die Industrie ebenso wie für Infrastruktur und Verkehr. Der VDI-Fachbereich Safety & Security will mit einem Wiki für mehr Klarheit sorgen.
Foto: M. Ciupek
Zwei Begriffe für Sicherheit und dennoch ist die Bedeutung unterschiedlich. Zudem hat Security nicht zwangsweise etwas mit IT zu tun. Kai-Dietrich Wolf hat zur Differenzierung eine einfache Umschreibung: „Safety bezieht sich auf zufällige Ereignisse, die oft von technischen Systemen ausgelöst werden. Diese können Leben, Gesundheit oder Wohlbefinden der Menschen beeinträchtigen. Security bezieht sich auf gewollte Angriffe, die dieselben Beeinträchtigungen für Menschen hervorrufen können.“
Wolf ist Professor am Institut für Sicherungssysteme an der Bergischen Universität Wuppertal und Vorsitzender des VDI-Fachausschusses „Safety & Security“. IT-Security ist für ihn ein äußerst wichtiger und dynamischer neuer Ableger. Denn der Aspekt zum Schutz z. B. gegen physische Einbrüche und Sabotage findet in der Infrastruktur schon lange Beachtung. Mit einer digitalen Plattform, einem VDI-Wiki, will der Fachausschuss künftig für mehr Transparenz sorgen sowie Parallelen und Unterschiede verdeutlichen. Gleichzeitig will das Expertengremium damit den Einstieg in die Thematik vereinfachen.
Sicherheit: Safety und Security lassen sich kaum von einander trennen
Denn wer sich näher mit dem Thema beschäftigt, merkt schnell, dass sich die Aspekte von Safety und Security nicht immer klar voneinander trennen lassen. Oft gibt es Überschneidungen. Es ergeben sich aber auch Unterschiede in der Risikomodellierung. Die verantwortlichen Menschen müssen sich also über die dadurch entstehenden Interessenkonflikte Gedanken machen.
Wolf macht es an einem Beispiel deutlich: „In Gebäuden begünstigen verriegelte Außentüren die Security – behindern allerdings die Flucht im Brandfall. Es gibt technische Systeme, die diese Widersprüche auflösen können, zum Beispiel Panikschlösser.“ Ähnlich verhält es sich bei der Safety: „Systeme der funktionalen Sicherheit – zum Beispiel der Airbag im Auto – müssen im Ernstfall sehr schnell auslösen. Jegliche Sicherheitsüberprüfung einer solchen Anforderung könnte die Safety einschränken, wenn es dadurch zu Verzögerungen kommt“, erklärt der Fachmann.
Die Tücken der Sicherheit: Der Germanwings-Absturz in den Alpen
Sicherheitsmaßnahmen können dabei auch einem Wandel unterworfen sein. Ein Beispiel ist für Wolf der Germanwings-Absturz 2015 in den französischen Alpen. Nach den Terroranschlägen am 11. September 2001 in New York wurden Cockpit-Türverriegelungen Pflicht. Das Eindringen durch Unbefugte musste verhindert werden. Zur Sicherheit gab es für das Kabinenpersonal einen Notfallcode, um den Piloten in einer Notlage helfen zu können. Allerdings konnte die Öffnung per Code durch einen Schalter im Cockpit unterbunden werden. Das nutzte der Co-Pilot, um das Flugzeug in Selbstmordabsicht zum Absturz zu bringen.
„Sie haben also eine Security-Maßnahme, die durch eine Safety-Maßnahme zu überschreiben ist, die wiederum durch eine Security-Maßnahme zu überschreiben ist“, stellt Wolf fachlich fest. „Das sind einfach widersprüchliche Anforderungen. Das Ergebnis ist dieser Flugzeugabsturz.“
IT-Sicherheit: Deshalb braucht jedes Safety-System eine Security-Ausstattung
„Grundsätzlich können Anforderungen in den Domänen Safety und Security auf unterschiedliche Art und Weise widersprüchlich sein“, hält der Sicherheitsexperte fest. Insbesondere mit der fortschreitenden Digitalisierung und Vernetzung sowie der zunehmenden Bedrohungslage wächst die Notwendigkeit, solche Bedrohungen regelmäßig zu bewerten. „Überall, wo Sicherheitsfunktionen elektronisch, also IT-basiert realisiert werden, sind diese Systeme angreifbar.“ Wolf folgert daraus: „Die Systeme sind durch Cyberattacken angreifbar. Das heißt, jedes Safety-System braucht damit eine angemessene Security-Ausstattung.“
Die widersprüchlichen Anforderungen an Safety und Security durch technische Funktionen zu erfüllen, bleibt schwierig. „Da versuchen wir Struktur reinzubringen. Es gibt Beispiele, wo es gut funktioniert, aber die Lösung gibts nicht. Vieles muss man sich im Detail angucken“, erklärt Wolf den Ansatz hinter dem VDI-Wiki. Dort gilt es dann die jeweiligen Normen und Richtlinien zu berücksichtigen.
Safety beim Automobil: Elektronik hat einiges verändert
Stefan Kriso von der Robert Bosch GmbH, ebenfalls Mitglied im Fachausschuss, macht die Veränderungsprozesse am Beispiel von Kraftfahrzeugen deutlich. „Autos waren früher rein mechanisch. In den letzten zehn bis 20 Jahren hat sich der Elektronikanteil aber massiv erhöht. Damit reichten die Regularien und Standards, die man für Safety hatte, nicht mehr aus. 2011 wurde deshalb die ISO 26262 veröffentlicht, für die funktionale Sicherheit für Straßenfahrzeuge in Bezug auf elektrische und elektronische Systeme.“ Mit der digitalen Technik im Fahrzeug seien dann Security-Fragestellungen aufgekommen und die ISO SAE 21434 wurde geschrieben.
Kriso kennt die Herausforderungen gut, vor denen die Automotive-Branche steht. „Man kann dem Hardware- und Softwareentwickler ja nicht sagen: ‚Lies den einen Standard und mach das und lies den anderen und mach jenes.‘ Dann müsste jeder einzelne Entwickler die Widersprüche für sich auflösen. Das geht so nicht. Der will einen Prozess haben, der alles adressiert.“ Daraus ergebe sich die zentrale Aufgabe, die Prozesse so zu gestalten, dass beide Themen adressiert werden. Der fachliche Austausch zwischen Safety- und Security-Leuten muss institutionalisiert werden, sodass ein systematischer Austausch über unterschiedliche technische Herausforderungen stattfindet. „Wir suchen immer nach Synergien. Ich will nichts doppelt machen und gleichzeitig spezifische Aspekte adressieren“, so der Automobilspezialist.
Risikobewertung: Darauf kommt es immer an
Trotz unterschiedlicher Begrifflichkeiten in den verschiedenen Domänen sieht Kriso eine zentrale Gemeinsamkeit: „Im Prinzip ist es immer das Gleiche. Das ist das Risiko. Ich bewerte immer die Eintretenswahrscheinlichkeit und Auswirkungsschwere.“ Je nach Disziplin unterscheiden sich dabei die konkreten Vorgehensweisen und das Ergebnis falle unterschiedlich aus.
Außerdem gehe es darum, spezifische Fehlerbilder zu adressieren. Das könnten beispielsweise zufällige Hardwarefehler, systematische Fehler in der Softwareentwicklung, aber auch die Manipulation von außen sein. „Wenn sich jemand in mein Autoradio reinhackt, dann darf er darüber nicht versehentlich den Airbag auslösen können. Das wäre dann hochgradig Safety-relevant“, verdeutlicht der Experte von Bosch. Deswegen ist es wichtig, auch solche ungewollten Nebenaspekte im Blick zu haben.
Nachweise für Safety und Security
Wolf verweist noch auf einen anderen Aspekt. Während funktionale Sicherheit (Safety) sich in der Regel quantitativ nachweisen und in verschiedenen Sicherheitsniveaus unterteilen lasse, sei das bei der Security schwieriger. Angriffe seien keine zufälligen Ereignisse, sondern bewusste Entscheidungen. „Das nennen wir dann epistemische Unsicherheit. Das erschwert die Bestimmung von Eintrittswahrscheinlichkeiten.“ Der Königsweg bestehe darin, Safety- oder Security-Szenarien im System zu erkennen und entsprechend zu reagieren. So lassen sich schwache Kompromisse zwischen Safety und Security vermeiden.
Kriso ergänzt, dass im Gegensatz zu der Eintrittswahrscheinlichkeit im Bereich der Safety, die im Produktleben in der Regel konstant bleibt, dies im Bereich der IT-Security nicht der Fall ist, da sich die Fähigkeiten von Angreifern im Laufe der Zeit weiterentwickeln. „Das heißt, in der Security habe ich sehr viel höhere Anforderungen.“
Das „Safety & Security“-Wiki: Wissensspeicher mit KI-Option
Schon jetzt hat der VDI-Fachausschuss Safety & Security eine beachtliche Auflistung zu den Aspekten rund um die Sicherheitsbewertung aufgelistet. Ausschussleiter Wolf sagt: „Wir sehen unser Wiki als Wissensspeicher, in dem wir die verschiedenen Disziplinen zusammenführen. Das wird immer eine Baustelle bleiben, die kontinuierlich überarbeitet und erweitert wird.“
Damit soll auch deutlich werden, warum es zwischen Disziplinen wie Automotive, Industrie und Luftfahrt unterschiedliche Bewertungsergebnisse gibt. Er sieht in den kuratiertem Inhalten künftig eine gute Basis für KI-generierte Zusammenfassungen. „Wir setzen mit dem gebündelten Expertenwissen Leitplanken für die KI und liefern überprüfbare Informationen.“
Das „Safety & Security“-Wiki vom VDI finden Sie unter:
Ein Beitrag von:
