Industrial-IoT-Sicherheit bedeutet, die Sensoren, Steuerungen, Gateways und Cloud-Plattformen zu schützen, die physische Anlagen mit Netzwerken verbinden, damit man den Messwerten vertrauen kann und niemand ohne Berechtigung einen physischen Prozess verändern kann. Sie umfasst die Fertigungsebene und das Steuerungssystem ebenso wie die Cloud-Dienste, zu denen Anlagendaten heute übertragen werden.

Anlagen mit der Cloud zu verbinden, lohnt sich, und es verändert zugleich, wer diese Anlagen erreichen kann. Wer als OT- oder IT-Verantwortlicher diese Verbindung plant, braucht ein klares Bild davon, was Angreifer in industriellen Umgebungen tun, welche Schwachstellen sie ausnutzen und welche Maßnahmen tatsächlich etwas bewirken. Dieser Artikel geht alle drei Punkte durch, vom SCADA-Netz bis hinaus zur Cloud-Plattform.

Kurz erklärt

  • Die häufigsten Vorfälle in der Industrie beginnen in der IT, durch Phishing, gestohlene Zugangsdaten für den Fernzugriff oder Ransomware, und erreichen den Betrieb, weil die Netze nicht getrennt sind.
  • SCADA-Systeme sind verwundbar wegen alter Protokolle ohne Authentifizierung, flacher Netze, gemeinsam genutzter Konten und Software, die sich nicht schnell patchen lässt.
  • Die Absicherung eines SCADA-Systems beginnt mit einer Asset-Inventur und einer Netzwerksegmentierung; danach werden Fernzugriff, Konten und Backups unter Kontrolle gebracht.
  • IEC 62443 und NIST SP 800-82 sind die wichtigsten Rahmenwerke; auf der Cloud-Seite zählen vor allem personenbezogener Zugriff, eingeschränkte Schlüssel und ein Zugriffsprotokoll.

Was sind die größten Bedrohungen für die Industrial-IoT-Sicherheit?

Vorfälle in der Industrie erregen Aufmerksamkeit, wenn sie spektakulär sind, doch die Bedrohungen, die den meisten Schaden anrichten, sind gewöhnlich. Für jede der folgenden Bedrohungen der Industrial-IoT-Sicherheit gibt es einen realen Präzedenzfall.

Ransomware, die in der IT beginnt, ist das häufigste Problem. Im Mai 2021 traf Ransomware die Geschäftssysteme von Colonial Pipeline in den USA. Über verschlüsselte Steuerungssysteme der Pipeline wurde nicht berichtet, dennoch legte das Unternehmen den Pipelinebetrieb vorsorglich für mehrere Tage still, weil es nicht sicher sein konnte, dass sich der Angriff nicht ausbreiten würde, und die Abrechnung nicht normal durchführen konnte. Es folgten Treibstoffengpässe entlang der US-Ostküste, alles ausgehend von einem Vorfall in der Büro-IT.

Gestohlener oder schwach gesicherter Fernzugriff folgt dicht dahinter. Hersteller und Integratoren müssen oft auf Anlagen zugreifen, und ein Remote-Desktop-Tool oder ein VPN-Konto mit einem gemeinsam genutzten Passwort wird auch für Angreifer zum einfachsten Weg hinein.

Standard-Zugangsdaten auf vernetzten Geräten sind ein weiterer häufiger Einstiegspunkt. 2016 übernahm das Mirai-Botnetz Hunderttausende Kameras, Router und andere IoT-Geräte, indem es einfach die werkseitigen Benutzernamen und Passwörter ausprobierte, und nutzte sie dann für massive Denial-of-Service-Angriffe. Industrielle Gateways und Sensoren, die mit Standard-Logins ausgeliefert werden, bergen dasselbe Risiko.

Gezielte Angriffe auf Steuerungssysteme sind seltener und schwerwiegender. Stuxnet, 2010 entdeckt, manipulierte Siemens-SPS, um Zentrifugen zur Urananreicherung im Iran zu beschädigen, während den Bedienern normale Werte angezeigt wurden. Triton, 2017 in einer petrochemischen Anlage in Saudi-Arabien gefunden, zielte auf ein sicherheitsgerichtetes System (Safety Instrumented System) vom Typ Triconex von Schneider Electric, also auf die Ebene, die einen Prozess sicher herunterfahren soll.

Und schließlich gibt es Innentäter und Unfälle: einen Dienstleister mit mehr Zugriff als nötig oder einen Ingenieur, der einen Laptop ans Steuerungsnetz anschließt, um „nur kurz etwas zu prüfen“.

Vernetzte Geräte bringen noch eine weitere Kategorie mit: den physischen Zugang. Ein Gateway in einem unverschlossenen Schaltschrank im Freien oder ein Sensor, dessen Konfigurationsschnittstelle mit einem Schraubendreher erreichbar ist, kann zurückgesetzt, ausgetauscht oder als Weg ins Netz genutzt werden. Abgelegene Standorte wie Pumpstationen und Umspannwerke werden selten besucht, sodass Manipulationen dort wochenlang unbemerkt bleiben können, wenn keine Türkontakte oder Schrankschalter sie melden.

Häufige Sicherheitslücken in SCADA-Systemen

Die Sicherheit von SCADA-Systemen ist aus strukturellen Gründen schwierig, nicht weil Betreiber nachlässig wären. Dieselben Schwachstellen tauchen branchenübergreifend immer wieder auf.

Protokolle ohne Authentifizierung sind die älteste Schwachstelle. Klassisches Modbus und das ursprüngliche DNP3 wurden für geschlossene serielle Netze entwickelt; jedes Gerät, das eine Steuerung erreichen kann, kann ihr einen gültigen Befehl senden. Sichere Varianten gibt es, aber ältere Geräte können sie oft nicht nutzen.

Flache Netze verschärfen das. In vielen Werken liegen Büronetz, SCADA-Server und SPS in einem einzigen Netz ohne Firewall dazwischen, sodass ein einziger infizierter Laptop alles erreichen kann.

Gemeinsam genutzte Konten auf HMIs und Engineering-Arbeitsplätzen bedeuten, dass sich jeder Bediener als „operator“ anmeldet, und damit lässt sich nicht mehr nachvollziehen, wer was getan hat.

Patchen dauert lange. SCADA-Server laufen oft auf älteren Betriebssystemen, weil die SCADA-Software oder ein Treiber nur für diese Version zertifiziert ist, und ein Werk kann einen laufenden Prozess nicht jeden Monat für einen Neustart anhalten.

Erreichbarkeit aus dem Internet ist ein wiederkehrender Befund. Suchmaschinen, die das Internet scannen, etwa Shodan, finden regelmäßig HMIs, SPS und Fernzugriffs-Gateways, die von überall direkt erreichbar sind.

Wechseldatenträger und Engineering-Laptops sind ein unauffälligerer Weg. Engineering-Arbeitsplätze enthalten die Software, mit der sich jede Steuerung im Werk umprogrammieren lässt, und oft sind es genau die Rechner, an die Dienstleister ihre eigenen Laptops und USB-Sticks anschließen. Man geht davon aus, dass Stuxnet sein isoliertes Zielnetz über Wechseldatenträger erreicht hat, weshalb viele Werke USB-Geräte heute an einer Prüfstation scannen, bevor sie in die Nähe eines Steuerungssystems dürfen.

Der Angriff auf ukrainische Stromverteiler im Dezember 2015 nutzte mehrere dieser Schwachstellen gleichzeitig. Die Angreifer drangen über Phishing-E-Mails in die Büronetze ein, sammelten Zugangsdaten, bewegten sich in die Steuerungsumgebung und öffneten aus der Ferne Leistungsschalter, wodurch rund 225.000 Kunden mehrere Stunden lang ohne Strom waren.

Wie sichert man ein SCADA-System ab?

Kein einzelnes Produkt sichert ein SCADA-System ab. Die folgenden Schritte folgen der Reihenfolge, die die meisten Rahmenwerke empfehlen, weil jeder Schritt den nächsten erleichtert.

  1. Eine Asset-Inventur erstellen. Listen Sie jede Steuerung, jeden Server, jeden Arbeitsplatz, jedes Gateway und jede Netzwerkverbindung mit Firmware-Versionen auf.
  2. Das Netz segmentieren. Trennen Sie das Unternehmensnetz vom Steuerungsnetz, mit einer DMZ (einer Pufferzone) dazwischen für alles, was beide Seiten brauchen, etwa eine Kopie des Historians. Lassen Sie nur den Datenverkehr zu, der nötig ist, und nur in der Richtung, in der er nötig ist.
  3. Direkte Erreichbarkeit aus dem Internet beseitigen. Nichts im Steuerungsnetz sollte aus dem Internet erreichbar sein. Daten für Cloud-Dienste sollten über ausgehende Verbindungen eines Gateways in der DMZ hinausgehen.
  4. Fernzugriff kontrollieren. Nutzen Sie einen einzigen verwalteten Zugangspunkt mit Multi-Faktor-Authentifizierung, individuelle Konten für Hersteller und einen Zugang, der nur bei Bedarf freigeschaltet wird.
  5. Jedem ein eigenes Konto geben. Ersetzen Sie gemeinsam genutzte Logins durch persönliche Konten mit den geringsten Rechten, die die jeweilige Aufgabe braucht.
  6. Patchen, wo möglich, ausgleichen, wo nicht. Testen Sie Updates auf einem Ersatzsystem; wo sich eine Maschine nicht patchen lässt, beschränken Sie, was mit ihr kommunizieren darf.
  7. Das Netz überwachen. Industrielle Intrusion-Detection-Werkzeuge lernen den normalen Datenverkehr zwischen Steuerungen und melden neue Geräte oder ungewöhnliche Befehle.
  8. Sichern und die Wiederherstellung üben. Bewahren Sie Offline-Kopien von SPS-Programmen, SCADA-Konfigurationen und Server-Images auf und testen Sie deren Wiederherstellung.

Die Cybersicherheit von SCADA-Systemen hängt auch von Menschen ab. Bediener und Ingenieure sollten wissen, wie sie eine verdächtige E-Mail oder einen auf dem Parkplatz gefundenen USB-Stick melden, und der Notfallplan sollte festlegen, wer entscheidet, ob der Prozess weiterläuft.

Bei begrenztem Budget ist die Reihenfolge wichtiger als die Vollständigkeit. Ein Werk mit einer Asset-Inventur, einer Firewall zwischen Büro- und Steuerungsnetz, ohne direkte Erreichbarkeit aus dem Internet und mit persönlichen Konten und Multi-Faktor-Fernzugriff hat die Wege beseitigt, die bei den meisten der oben beschriebenen Vorfälle genutzt wurden. Netzwerküberwachung und formale Sicherheitsstufen lohnen sich danach als Ergänzung, nicht als Ersatz.

Standards für die Industrial-IoT-Sicherheit

Zwei Rahmenwerke prägen die Standards der Industrial-IoT-Sicherheit. IEC 62443 ist eine Reihe internationaler Normen für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie führt Zonen (Gruppen von Assets mit denselben Sicherheitsanforderungen) und Conduits (die kontrollierten Verbindungen zwischen ihnen) ein, definiert Sicherheitsstufen von 1 bis 4 gegen zunehmend fähige Angreifer und hat eigene Teile für Betreiber, Systemintegratoren und Produkthersteller.

NIST SP 800-82, herausgegeben vom US-amerikanischen National Institute of Standards and Technology, ist ein Leitfaden zur Sicherheit von Operational Technology. Revision 3, veröffentlicht im September 2023, erweiterte den Geltungsbereich von industriellen Steuerungssystemen auf OT allgemein und ordnet die Empfehlungen dem NIST Cybersecurity Framework zu.

Auch die Regulierung bewegt sich. In der Europäischen Union umfasst die NIS2-Richtlinie Energie, Wasser, Fertigung und weitere Sektoren; die Mitgliedstaaten müssen sie seit Oktober 2024 anwenden. Der EU Cyber Resilience Act ergänzt Sicherheitsanforderungen an Produkte mit digitalen Elementen, wobei die meisten Pflichten ab Dezember 2027 gelten, und das betrifft auch vernetzte Sensoren und Gateways, die in der EU verkauft werden.

Hilfreich ist auch zu wissen, wie sich diese zur ISO/IEC 27001 verhalten, der verbreiteten Norm für Informationssicherheits-Managementsysteme. ISO/IEC 27001 beschreibt, wie eine Organisation Sicherheitsrisiken allgemein steuert, während IEC 62443 die technischen und organisatorischen Anforderungen ergänzt, die speziell für Steuerungssysteme gelten. Viele Industrieunternehmen nutzen beide: 27001 für das Unternehmen und seine IT, 62443 für die Werke.

Best Practices für die Industrial-IoT-Sicherheit

Die Cloud-Seite einer Industrial-IoT-Verbindung braucht dieselbe Disziplin wie die Werksseite. Einige Best Practices der Industrial-IoT-Sicherheit gelten auf jeder Plattform. Daten sollten das Werk über ausgehende, verschlüsselte Verbindungen verlassen, die das Gateway aufbaut, sodass kein eingehender Port offen ist. Funksensornetze bringen ihren eigenen Schutz mit: LoRaWAN zum Beispiel verschlüsselt jede Nachricht mit AES-128-Sitzungsschlüsseln, was aber nur hilft, wenn die Schlüssel, mit denen die Sensoren provisioniert werden, sorgfältig behandelt werden. Jedes Gateway und jede Verbindung braucht eigene Zugangsdaten statt gemeinsamer Zugangsdaten für alle Standorte. Diese Provisionierungsschlüssel sollten verschlüsselt gespeichert und nur für die Personen sichtbar sein, die sie brauchen. Die Firmware von Gateways verdient dieselbe Aufmerksamkeit beim Patchen wie die einer SPS, denn das Gateway sitzt genau an der Grenze zwischen Werk und Internet.

Auf der Plattformseite wirken die Zugriffsrechte von Kilo pro Person und pro Seite, als Bearbeiten, Ansicht oder Kein Zugriff, sodass ein Dienstleister Dashboards ansehen kann, ohne Regeln oder Konnektoren anfassen zu können. API-Schlüssel sind pro Bereich eingeschränkt, mit getrennten Lese- und Schreibrechten, können ein Ablaufdatum tragen und funktionieren nach einer Rotation sofort nicht mehr. Das Audit-Protokoll erfasst Einladungen, Rechteänderungen und Entfernungen, sodass Sie nachweisen können, wer wann Zugriff hatte.

Häufige Fragen zur Industrial-IoT-Sicherheit

Worin unterscheidet sich Industrial-IoT-Sicherheit von IT-Sicherheit?

In der IT steht meist die Vertraulichkeit an erster Stelle; in industriellen Systemen sind es Verfügbarkeit und Betriebssicherheit (Safety), denn einen Prozess anzuhalten, kann gefährlich oder teuer sein. Industrielle Anlagen bleiben außerdem oft 10 bis 15 Jahre in Betrieb, manchmal mehr als 20, weit länger als Büro-IT, sodass die Sicherheit mit Geräten zurechtkommen muss, die sich nicht schnell ersetzen lassen.

Wer ist für die Cybersicherheit von SCADA-Systemen verantwortlich?

Der Betreiber, also die Organisation, die das Werk betreibt, trägt die Verantwortung dafür. IEC 62443 verteilt die Arbeit: Produkthersteller bauen sichere Geräte, Integratoren konfigurieren sie sicher, und der Betreiber betreibt und wartet das System über seine gesamte Lebensdauer sicher.

Was bedeutet Zero Trust in der Industrial-IoT-Sicherheit?

Zero Trust ist ein Ansatz, beschrieben in NIST SP 800-207, bei dem keinem Benutzer und keinem Gerät aufgrund seines Netzwerkstandorts vertraut wird. Jede Anfrage wird authentifiziert und autorisiert. In Werken wird der Ansatz meist schrittweise eingeführt, beginnend mit dem Fernzugriff und der Grenze zwischen IT und OT.

Bevor Sie etwas von einer Produktionslinie anbinden, probieren Sie das Zugriffsmodell an einem harmlosen Signal aus. Binden Sie einen Temperatursensor aus einem Technikraum im kostenlosen Tarif von Kilo an, für den keine Zahlungsdaten nötig sind, laden Sie eine Kollegin oder einen Kollegen nur mit Ansicht-Rechten ein und erstellen Sie einen API-Schlüssel mit Leseberechtigung und Ablaufdatum. Rotieren Sie diesen Schlüssel dann und prüfen Sie, dass ein Skript mit dem alten Wert nicht mehr funktioniert.