Gemeinsam besser geschützt

Der Effekt war enorm: Colonial Pipeline stellte umgehend den Betrieb ein und zahlte das von DarkSide geforderte Bitcoin-Lösegeld von umgerechnet rund 4,4 Millionen US-Dollar – im Tausch gegen ein Software-Tool, um das IT-System wieder online zu bringen. Erst sechs Tage später konnte der Pipelinebetrieb wieder starten. In der Zwischenzeit kam es in den betroffenen Bundesstaaten zu akuter Benzinknappheit, Panikkäufen und Preiserhöhungen. US-Präsident Joe Biden rief für 17 Bundesstaaten den regionalen Notstand aus.

Der Cyberangriff auf Colonial Pipeline war der bislang aufsehenerregendste und folgenreichste in einer immer schneller wachsenden Folge vergleichbarer Attacken. Ransomware (deutsch: Erpressersoftware) hat sich längst zur globalen Bedrohung für Unternehmen entwickelt – sei es durch System-, Auftrags- und Produktionsausfälle, massive Wettbewerbsnachteile, hohe Wiederherstellungskosten oder den nachhaltigen Vertrauensverlust bei Geschäftspartnern. 

Nach Einschätzung des US-Softwareherstellers McAfee hat sich der weltweite Ransomware-Schaden allein zwischen 2018 bis 2020 mehr als verdoppelt – auf insgesamt rund 1,1 Billionen US-Dollar (zur Studie).

Das Heimtückische – und damit besonders Gefährliche – an den jüngsten Angriffen à la Colonial Pipeline ist: Sie erfolgen nicht direkt, sondern über den gehackten Zugriff auf das Netzwerk eines Drittunternehmens – oft eines IT-Anbieters, der die Software von Colonial Pipeline & Co. steuert. 

Diese sogenannten "Supply Chain Attacks" boomen seit Jahren und erhöhen gerade in der Fertigungsindustrie mit ihren oft hochkomplexen Lieferketten das Bedrohungspotenzial. Der Vorteil für die Kriminellen: Hacken Sie einen Softwareanbieter, verschafft ihnen das auf einen Schlag Zugang zu zahlreichen Unternehmens-Netzwerken.

"Die steigende Konvergenz von Information Technology (IT) und Operational Technology (OT) setzt die Infrastrukturen in der Fertigung einem besonderen Risiko aus", sagt Dr. Christian Schlögel, Chief Digital Officer (CDO) des Körber-Konzerns. Im Zuge der Digitalisierung nehme das Bedrohungspotenzial weiter zu: "Der boomende Software-Einsatz in der Industrie, die Vernetzung mit Partnern und Drittherstellern sowie Remote-Unterstützung infolge der Covid-19-Pandemie erhöhen die Angriffsflächen immer weiter." 

Zugleich sei gerade ein transparenter Datenaustausch für eine fortschrittliche, intelligente und effiziente Fertigung von entscheidender Bedeutung. "Die Zukunft der Fertigungsindustrie ist digital und hypervernetzt", so Schlögel. 

Gaetjes Team erarbeitet dabei Schutzsysteme basierend auf dem Cyber Incident Response Cycle (CIRS) – ein fünfstufiges Modell, das im Sicherheitsbereich weltweit in ähnlicher Form Anwendung findet. "Unser erstes Augenmerk liegt auf der systematischen Vorbereitung und Vermeidung, der Prepare- und Prevent-Stufe", sagt Andreas Gaetje. Hier gehe es darum, Schwachstellen schnell zu finden und auszubessern und sukzessive ein konsistentes Security Design aufzubauen, das dem Wandel heutiger Produktionslandschaften entspreche. 

"Hinzu kommt, dass im Maschinenbau oft lange Lebenszyklen gelten und die Softwaresteuerung einen großen Altersunterschied zwischen den Maschinen überbrücken muss. Das gilt es beim Sicherheitskonzept einzubeziehen."

Mechanismen, die nicht zuletzt für Körber selbst gelten. "Wir speichern und transportieren hohe Datenmengen für unsere Kunden", sagt Andreas Gaetje, "insofern ist es für sie fundamental, ihre Daten bei uns in sicheren Händen zu wissen." Bei Körber sorgt ein zentrales Kontrollsystem – SIEM genannt – dafür, dass die Logs aller Geschäftsfelder zentral überwacht werden. Dabei werden die Technologien im Cyber Defense Bereich stetig weiterentwickelt. "Die Gefährdungslage ändert sich ständig", erklärt Andreas Gaetje. 

"Was heute sicher scheint, kann morgen ein Einfallstor sein. Gerade im OT-Bereich besteht ein riesiger Nachholbedarf, um diese Anforderungen gemeinsam zu meistern."