IT-SICHERHEIT DOSSIER - AKTUELLES UND FUNDIERTES FACHWISSEN FÜR IHRE BRANCHE - IT&Production
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
AKTUELLES UND FUNDIERTES FACHWISSEN FÜR IHRE BRANCHE
Bild: ©SolisImages
/Fotolia.de
DOSSIER
IT-SICHERHEIT 1
Bild: ©your123/Fotolia.com
IT-SICHERHEIT
IT-Sicherheit:
Mission Critical
M
eldungen zu den teils dramati- den Technologien wie Managementsys-
schen Folgen `erfolgreicher‘ teme, Verschlüsselung und Firewalls. Es
Hacks auf industrielle Infra- braucht aber auch IT-Spezialisten, die
strukturen erreichen uns Redakteure bei- diese Systeme einrichten und pflegen, in-
nahe täglich. Viele dieser Schreiben sollen tern oder extern. Doch das reicht nicht.
mit bedrohlichen Statistiken oder konkre- Jeder Mitarbeiter muss die Regeln kennen
ten Beispielen anregen, sich mit der IT-Si- und sie einhalten. Das fängt beim sagen-
cherheit auseinanderzusetzen – und haften USB-Stick auf dem Parkplatz an
natürlich zu investieren. Jedenfalls: Die Be- und hört beim Zuschieben einer Tür im
drohungslage ist ernst, die Folgen eines Werk, R&D und Rechenzentrum noch
Cyberangriffs sind manchmal gravierend – lange nicht auf. All das macht es so
und können Unternehmen etwa nach schwierig, sich als Firma wirkungsvoll Patrick C. Prather
einem Datendiebstahl ins Taumeln oder gegen Hacker abzusichern. pprather@it-production.com
gar zu Fall bringen. Warum ich Ihnen an
dieser Stelle Schilderungen über die jüngs- Die Arbeit derjenigen, die diese missi-
ten Vorfälle dennoch erspare? Erstens onskritische Aufgabe übernommen
werden diese Nachrichten mittlerweile haben, wollen wir mit diesem Online-
schneller von neuen verdrängt, als Sie Dossier ein wenig erleichtern. Im Grunde
diese Zeilen lesen dürften. Und zweitens sollten das zwar alle Mitarbeiter sein.
befassen Sie sich ja bereits mit dem Aber bis diese so weit sind, unterstützen
Thema IT-Sicherheit, sonst würden Sie wir diese Weichensteller mit einem breit
nicht gerade durch unser Dossier scrollen. gefächerten Informationsan gebot von
der Prävention über Normen und Stan-
In industrielle IT-Infrastrukturen gehören dards bis hin zur IT-Forensik.
Hacker allenfalls auf Einladung, etwa für
Penetrationstests. Klingt logisch, ist aber in Inhalt
Wirklichkeit bockschwer zu erreichen. Für
hundertprozentigen Schutz eines Netz- Vorwort . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2
werkes müssten Mensch und Technik stets Informative Lektüre wünscht Ihnen IT-Sicherheit: Cloud vs. Firmennetz . . . . . . . . . . . . . . . . . . . . . . . .3
perfekt funktionieren. Doch an beidem IIoT-Dienste überwachen und absichern . . . . . . . . . . . . . . . . . .6
hakt es oft genug. Insofern bleibt den Fir- Notfallplanung via Software . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8
men nur, ein Niveau an IT-Sicherheit anzu- Mikrosegmentierung in der Produktion . . . . . . . . . . . . . . . . . . .10
peilen, das dem (bestenfalls gut kalkulier- Public Key Infrastructure auch für kleine IoT-Geräte . . . . .12
ten) Risiko entspricht – und planvoll darauf Patrick C. Prather Anlagensoftware versioniert und protokolliert . . . . . . . . . . .14
hinzuarbeiten. Dazu braucht es die passen- Leitender Redakteur, IT&Production Lernen aus WannaCry und Co.: . . . . . . . . . . . . . . . . . . . . . . . . . . .16
Privileged-Access-Lösungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . .18
Netzwerk-Monitoring: Anomalieerkennung . . . . . . . . . . . . .20
Götterdämmerung für die moderne Krypthographie? . . .22
IT&Production – DOSSIER Schutz vor Distributed-Denial-of-Service-Attacken . . . . .25
Blockchain und Datensicherheit . . . . . . . . . . . . . . . . . . . . . . . . . .27
In unserem Format IT&Production Dossier fokus- tem Industriemedien-Portfolio des TeDo Verlages. Sicherer Datentransfer rund um den Globus . . . . . . . . . . . . .29
sieren wir auf die zentralen Themen aus der Welt Der Vorteil für Sie: Auf einen Blick sehen sie den Maschinendaten in der Kapsel . . . . . . . . . . . . . . . . . . . . . . . . . . . .32
der industriellen IT und Fertigungstechnik. Mit die- Toptrend aus der Perspektive der industriellen IT, Sichere Daten im digitalen Zeitalter . . . . . . . . . . . . . . . . . . . . . .34
sem Informationsangebot wollen wir es Ihnen so der Automatisierer und IoT-Designer, der Gebäu- Mehr als Zeit erfassen und Zutritt kontrollieren . . . . . . . . . .36
leicht wie möglich machen, sich schnell einen um- deautomation und der industriellen Bildverarbei- Zutritt zu 18 Standorten zentral gesteuert . . . . . . . . . . . . . . .38
fassenden Überblick über jeweils einen Toptrend tung. Zwei Tipps, wenn Sie mögen: Schicken Sie Handeln zwischen Spectre und Watering-Hole . . . . . . . . . .40
der Branche zu verschaffen. Dazu liefern wir kürz- unser Dossier an Ihre Kolleginnen und Kollegen –
lich veröffentlichte und exklusive Inhalte nicht nur und schauen Sie gelegentlich wieder hinein.
aus der IT&Production, sondern ggf. dem gesam- Wir aktualisieren in regelmäßigen Abständen. ■
2
IT-SICHERHEIT
Bild: ©scanrail/iStockphoto.com
IT-Sicherheit:
Cloud vs. Firmennetz
Noch immer fürchten einige Unternehmen, dass der Betrieb einer ERP- oder CRM-Lösung
in der Cloud unsicher ist. Doch die Cloud-Rechenzentren haben als wahre Spezialisten der
Datenverarbeitung einige grundlegende Vorteile gegenüber firmeneigenen Infrastruktu-
ren, ein umfassendes Sicherheitskonzept aufzustellen und zu erhalten.
ür eine umfassende Sicherheits-Stra- Zusätzlich zu den hier genannten Aspek- Objektsicherheit
F tegie müssen Unternehmen mehrere
Aspekte berücksichtigen - gleich
ob sie Daten lokal speichern oder mit einer
ten gehören auch das Rechte-Manage-
ment (Access Control) sowie ein Daten-
schutzkonzept in die Betrachtung eines
Laut polizeilicher Kriminalstatistik wird in
Deutschland durchschnittlich alle fünf Mi-
Cloud-Lösung arbeiten. Diese sind: vollständigen Sicherheitskonzeptes. Da es nuten ein Einbruch verübt. Der Schutz der
sich hierbei aber um konzeptionelle Fragen eigenen IT-Infrastruktur schließt daher phy-
• Objektsicherheit (Intrusion Protection) handelt, bei denen es keinen signifikanten sikalischen Objektschutz mit ein - sei es
• Ausfallsicherheit (High Availability) Unterschied macht, wo Software und vor Diebstahl, Vandalismus oder Sabotage.
• Backup-Strategie (Disaster Recovery) Daten gehostet werden, sind Rechte-Ma- Denn gelangt ein Angreifer erst einmal in
• Sicherheit vor verschiedenen digita- nagement und Datenschutz nicht Thema einen Serverraum - und somit hinter die Fi-
len Angriffen (Security) der nun folgenden Gegenüberstellung. rewall - sind Angriffe auf die IT-Infrastruk-
3
IT-SICHERHEIT
Bild: ©matejmo/iStockphoto.com
Die Werkzeuge zur IT-Sicherheit entfalten nur bei sachkundigem Betrieb ihre bestmögliche Wirkung.
Diese Pflege auszulagern, kann dringend benötigte IT-Ressourcen für andere Projekte freisetzen.
tur einer Firma wesentlich einfacher zu be- auch der Image-Schaden größer. Beeinflusst Backup-Strategie
werkstelligen, etwa durch Einspielen von solch ein Szenario den laufenden Betrieb
Schadsoftware oder dem Mitschneiden nicht, spricht man von einem hochverfüg- Wenn im Produktivsystem plötzlich Daten
von Netzwerk-Traffic. Moderne Cloud Re- baren, ausfallsicheren System. In der Praxis korrumpieren, etwa nach einem Virus,
chenzentren haben für ihre Serverräume müssen dafür alle Komponenten sowie die einem falsch eingespielten Update oder
ein Sicherheitskonzept in puncto Zutritts- gesamte IT-Infrastruktur mindestens dop- einem Hardware-Fehler, hilft eine gespie-
kontrolle und Einbruchschutz. Mechani- pelt vorhanden sein. Das heißt: sämtliche gelte IT-Infrastruktur nicht weiter. In die-
scher Schutz, Videoüberwachung, Vier- Hardware gibt es zwei Mal und sie ist räum- sem Szenario sollte die IT-Administration
Augen-Prinzip, Sicherheitspersonal rund lich voneinander getrennt aufgebaut, zwei möglichst schnell ein vollständiges Ba-
um die Uhr, Kontrolle an neuralgischen Zu- Stromleitungen zu unterschiedlichen Tras- ckup zurückspielen. Das Backup kommt
gängen: All das ist in den großen Rechen- sen sind verlegt und es gibt zwei Verbin- dabei wahlweise aus der Cloud oder -
zentren in der Regel umgesetzt. Hinzu dungen ans Netz. Aktuelle Rechenzentren heute immer noch üblich - über Bandlauf-
kommen eine permanente Kontrolle der sind so geplant, dass Sie dem Grundsatz werke und Magnetbänder, die etwa in
Raumtemperatur in Serverräumen, Über- von hochverfügbarer IT-Infrastruktur Rech- Bankschließfächern gelagert werden. Je
spannungsschutz der Hardwarekomponen- nung tragen. Redundanzen gehören zum nach entstandenem Schaden lässt sich
ten, Schutz vor Schäden durch Feuer, Was- Standard und zudem stehen Administrato- ein Restore für Unternehmen kaum inner-
ser, CO2 und so weiter. Hier kann jede ren für den Fall einer Panne rund um die Uhr halb von ein bis zwei Tagen bewerkstelli-
Firma für sich selbst beantworten, ob der zur Verfügung. Darüber hinaus sind solche gen, wie es wünschenswert wäre. Bei
Schutz des eigenen Rechenzentrum den Rechenzentren in Brandabschnitte unter- Schäden an wichtiger Hardware muss
genannten Maßnahmen ebenbürtig ist. teilt, um selbst bei einem Feuer noch ver- sogar oft erst nachbestellt werden. Viele
fügbar zu bleiben. Einen Schritt weiter Komponenten haben sehr lange Lieferzei-
Ausfallsicherheit gehen Betreiber, wenn sie die IT-Infra- ten oder benötigen teure Wartungsver-
struktur an zwei komplett unterschiedli- träge mit Ersatzteilgarantien und entspre-
Stromausfall, Netzausfall, Hardwarecrashs chen Standorten betreiben. Geo-Redun- chenden Reaktionszeiten. Außerdem ist
oder Feuer: Die Gefahr, dass eines dieser Er- danz sichert Verfügbarkeit auch dann, auch hier umfangreiches technisches
eignisse ein Unternehmen irgendwann ein- wenn ein Cloud-Rechenzentrum einmal Know-How notwendig. Eine Disaster Re-
mal trifft, ist nicht zu unterschätzen. Sicher- komplett ausfallen sollte. Für die meisten covery in unter 48 Stunden im eigenen
heit bedeutet deshalb auch, auf diese Sze- Unternehmen ist Hochverfügbarkeit folg- Rechenzentrum ist für Unternehmen eine
narien vorbereitet zu sein. Was passiert, lich über die Cloud wesentlich einfacher enorme Herausforderung. In Cloud-Re-
wenn an einem Montagmorgen nach einem und günstiger zu realisieren, als im eige- chenzentren gibt es Hardware-Redundanz
Stromausfall oder einem Hardwareausfall nen Haus. Alleine das notwendige Know- ohnehin, sowie auf Disaster Recovery
das ERP-System eines Unternehmens weg- How für Konzeption und Betrieb ist spezialisierte Systemadministratoren.
bricht? Der Webshop ist offline, die Produk- enorm anspruchsvoll. Spätestens die Um- Daten werden hier aktuell und Geo-Re-
tion steht still und mit jeder Stunde setzung von Geo-Redundanz ist definitiv dundant synchronisiert. So ist es im Scha-
Downtime wird sowohl der finanzielle als zu aufwändig und zu teuer. densfall oft nur ein Routine-Eingriff, ein
4
IT-SICHERHEIT
Backup von dem Zeitpunkt vor besagtem der ungewöhnliche Datenströme oft kontinuierlich sensibilisieren, sind die Er-
kritischen Ereignis einzuspielen. Speziali- schneller erkennen und unterbinden. Zu- folgsaussichten von Social Engineering-
sierte Rechenzentren sichern ihren Nut- griffe per VPN von externen Netzwerken Angriffen extrem hoch. Experimente zei-
zern eine Wiederherstellungszeit von werden in Rechenzentren eher restriktiv gen immer wieder, dass Schadcode auf
rund zehn Stunden zu - mithilfe weiterer gehandhabt - oder es werden User-spezifi- einem herumliegenden USB-Stick erschre-
Cloud-Services noch weniger. sche Firewalls eingerichtet und gepflegt. ckend oft den Weg ins Firmen-Netzwerk
Zwar können Unternehmen, die eine On- findet. In Cloud-Rechenzentren ist dieses
Schutz vor digitalen Angriffen Premise Lösung bevorzugen, diesen Schutz Szenario möglich, aber unwahrscheinli-
auch mit anderen Dienstleistern erreichen. cher: Das Wissen um die gängigen Social-
Anders als bei den ersten drei Szenarien, Die Erfolgsaussicht eines digitalen Angriffes Engineering-Tricks und sonstige Angriffs-
die sich eher selten ereignen, erfolgen di- auf die Firewall eines Cloud-Rechenzen- vektoren wird in Schulungen und Trainings
gitale Angriffe auf Unternehmen und trum dürfte jedoch geringer ausfallen. vermittelt. Nimmt man alle hier genannten
deren IT-Infrastruktur mehrmals pro Tag. Sicherheitsaspekte zusammen, ist die Si-
Schutz vor dieser Gefahr bieten: Sicherheitsupdates und cherheit in Cloud-Rechenzentren über-
Social Engineering durchschnittlich hoch. Hier schlägt der N-
• Ein sicheres Netzwerk und eine Firewall Vorteil zu buche, denn Cloud-Rechenzen-
• Schnelles Schließen von Sicherheitslü- Um Gefahren zu vermeiden, müssen Un- tren schützen nicht nur die eigenen Daten,
cken via Updates ternehmen sehr diszipliniert sein und sondern die einer sehr großen Zahl an Un-
• Maßnahmen gegen Social Engineering sämtliche Updates für alle Programme re- ternehmen. So profitieren alle Anwender
gelmäßig einspielen. In Rechenzentren ge- von einmalig hohen Anschaffungskosten
Entscheidend ist bei einer Firewall die rich- schieht dies automatisch. Die Zero-Day- für Sicherheitstechnik und sämtlichen er-
tige Konfiguration. Dies setzt viel Erfahrung Gap für Cloud-Anwendungen ist somit ge- forderlichen Redundanzen. ■
voraus, besonders wenn Mitarbeiter eines ring. Social Engineering sind Angriffe, die
Unternehmens auch von unterwegs oder einen PC-Anwender als Einfallstor identi- Die Autoren: Torben Nehmer ist
von zu Hause aus per VPN arbeiten. In fiziert und ausnutzt. Etwa vermeintliche Entwicklungsleiter und Marco Niecke ist
Cloud-Rechenzentren sind Netzwerktech- Handwerker, die sich Zugang beispiels- Technischer Redakteur bei Inway Systems.
niker und System-Administratoren rund um weise zu Serverräumen verschaffen. Bei
die Uhr zur Stelle. So kann ein Cloud-Provi- Unternehmen, die Ihre Mitarbeiter nicht www.inway.de 5
IT-SICHERHEIT
Bild: ©John Carlisle / unsplash.com
Die geringeren Latenzzeiten sind einer der größten Vorteile des Edge Computings gegenüber dem Cloud Computing.
IIoT-Dienste überwachen und absichern
Rechnen ‘on the Edge’
IT-Infrastruktur, Plattformdienste und Software flexibel und bedarfsgerecht beziehen – auf
diese Vorteile setzt bereits jedes fünfte Unternehmen aus dem produzierenden Gewerbe.
Die Rede ist von cloudbasierten Anwendungen und Diensten. Müssen Daten jedoch quasi
in Echtzeit und mit einer geringen Bandbreite übertragen werden, wird der Cloud per Edge
Computing eine dezentrale Infrastruktur vorgeschaltet. Um den Betrieb dieser sensiblen IT-
Ebene im Werk abzusichern, gibt es spezialisierte Service-Assurance-Lösungen.
ür Anwendungen, die verschie- sen in der Smart Factory – übertragen Edge- oder Cloudlösung?
F dene Daten aus unterschiedlichen
Quellen benötigten und ver-
gleichsweise wenig Bandbreite brauchen,
und analysiert werden müssen. Geht es
etwa um Maschinen, die schnell und
selbstständig Entscheidungen treffen
Wenn Daten also nahezu in Echtzeit oder
bei geringer Bandbreite übertragen werden
können Cloudlösungen sinnvoll sein. Müs- müssen, erweist sich die Verarbeitung müssen, ist Edge Computing das Mittel der
sen Datenmengen jedoch schnell oder ihrer Daten in der Cloud oft als Flaschen- Wahl. Im Gegensatz zur Cloud zeichnet sich
gar in Echtzeit, mit geringer Latenzzeit hals oder Nadelöhr. Beispielsweise darf es Edge Computing dadurch aus, dass Infor-
und bei wenig Bandbreite, verarbeitet bei autonomen Fahrzeugen nur zu äußerst mationen für ihre Verarbeitung nicht erst
werden, ist Cloud-Computing nicht die geringen Latenzzeiten kommen, damit das von der intelligenten Maschine oder dem
optimale Lösung. Dies gilt besonders Auto jederzeit auf unvorhergesehene Er- Netzwerk in die Wolke und wieder zurück
dann, wenn Informationen aus dem in- eignisse reagieren kann. Die Zeit, um die transferiert werden müssen. Die Daten wer-
dustriellen internet of Things (IIoT) – sei Fahrzeugdaten zur Verarbeitung in die den dezentral und damit direkt am Entste-
es im Rahmen von Machine-to-Machine- Cloud und wieder zurück zu übertragen, hungsort, also am Rande des Netzwerks
Kommunikation (M2M) oder bei Prozes- ist oft schlicht nicht vorhanden. (Edge), verarbeitet. Auf diese Weise verrin-
6
IT-SICHERHEIT
gern sich Übertragungsstrecke und damit gabe zukommen, Daten zu bündeln und samte Servicebereitstellungsinfrastruktur
Übertragungszeit. Auch mögliche Fehler- zumindest ausgewählte Datenteile zur ermöglichen – vom Rand des Netzwerks
quellen, die während der Übertragung zur Weiterverarbeitung an die Cloud weiter- über das Kernnetz bis in die Cloud. Über
Cloud auftauchen können, können durch zuleiten. Laut Analystenhaus IDC könnten Monitoring-Daten und Analysen von Traf-
Edge Computing reduziert werden. die IT-Ausgaben für Edge-Infrastrukturen fic-Daten aus dem hybriden Netzwerk
bis 2020 fast 18 Prozent der Gesamtaus- können Unternehmen zudem in Echtzeit
Nicht nur Vorteile gaben für IoT-Infrastrukturen ausmachen. sehen, ob Dienste und Maschinen ein-
wandfrei funktionieren und die Daten-
Doch auch Edge Computing hat gewisse Belastung für die IT-Struktur übertragung gewährleistet ist. Unterneh-
Nachteile. So benötigt das Konzept zahl- men sind somit in der Lage, ein besseres
reiche Technologien wie Sensornetze, Doch mit jeder Veränderung – egal ob Verständnis dafür zu entwickeln, wie IIoT-
mobile Datenerfassung, mobile Signatur- Update, eine neue Verbindung oder eine Geräte und Verbindungen mit dem Netz-
analyse, Peer-to-Peer- und Ad-hoc-Ver- zu integrierende Drittanwendung – er- werk interagieren. Mögliche Anomalien
netzung. Dies macht es für Unternehmen höht sich die Komplexität eines hybriden wie Stör- und Fehlerquellen, die den Ge-
schwierig, die komplette Anwendungs- Systems. Zugleich bedeutet die hohe Ab- schäftsbetrieb beeinträchtigen, können
und Servicekette im IIoT zu überwachen. hängigkeit einzelner Prozesse im IIoT von- schneller identifiziert und isoliert werden.
Doch dies ist wichtig, damit Unternehmen einander, dass ein Ausfall einer Kompo-
jederzeit Einblick haben, ob Daten von nente weitaus gravierendere Auswirkun- Latenzzeit erfolgskritisch
Maschinen und Sensoren im IIoT von Pro- gen zur Folge hat. Dadurch steigt der
duktions- und Steuerungssystemen kor- Druck, jederzeit die ungestörte Übertra- Die deutlich verkürzte Latenzzeit ist der
rekt verarbeitet und fristgerecht für wei- gung und Verarbeitung von Daten zu ge- größte Vorteil des Edge Computings ge-
tere Anwendungen und Maschinen be- währleisten. Die Bedeutung von Service genüber Cloud Computing. Doch um diese
reitgestellt werden. Außerdem benötigen Assurance, also der Absicherung von IIoT- Potenziale voll nutzen zu können, müssen
Maschinen und Endgeräte beim Edge Diensten durch genaue Überwachung der IT- und Netzwerk-Experten einen transpa-
Computing einen höheren Schutz vor Servicebereitstellungsinfrastruktur, kann renten Einblick in die Datenverarbeitung
möglichen Ausfällen und Missbrauch. so zu einem erfolgskritischen Faktor wer- am Rande des Netzwerkes sicherstellen.
Denn sie verarbeiten Daten eben den. Doch gängige Tools zur Netzwerk- Durch den Einsatz einer Service-Assurance-
direkt und erfordern oft eine hohe Ver- überwachung reichen oft nicht mehr aus: Lösung können Unternehmen ihre hybriden
fügbarkeit für weitere systemabhängige Monitoring-Tools für einzelne Infrastruk- Systeme aus Cloud- und Edge-Komponen-
Komponenten. Darüber hinaus erschwe- tur-Komponenten bieten meist zu wenig ten vollständig überwachen und poten-
ren hybride Strukturen, also die gleichzei- Informationen über das gesamte Edge- zielle Störquellen identifizieren. ■
tige Nutzung von Cloud und Edge Com- und Cloud-Computing-System und die
puting, die Überwachung der Datenverar- Abhängigkeiten zwischen den einzelnen Der Autor Martin Klapdor ist
beitung. Experten gehen allerdings davon Elementen sowie zwischen internen und Senior Solutions Architect
aus, dass beide Formen in Unternehmen externen Ressourcen. Genau dort setzt bei Netscout.
auch mittelfristig koexistieren werden. Service Assurance an. Das Konzept soll 7
Dem Edge Computing wird dann die Auf- einen ganzheitlichen Blick auf die ge- www.netscout.com
IT-SICHERHEIT
Vorbereitet auf den IT-Angriff
Notfallplan in Software gießen
Bild: Contechnet Ltd.
Was passiert, wenn die IT-Systeme eines Unternehmens einem Hackerangriff zum Opfer
fallen? Es gilt, den Überblick zu behalten und so die Folgen möglichst gering zu halten –
also den Notfallplan zu befolgen. Die Regeln für diesen Plan hält die Firma Oetinger
Aluminium in einer softwarebasierten Notfallplanung fest.
ie Firma Oetinger produziert wendigen IT-Strukturen immer komple- konnten“, sagt Ralf Vögeli, IT-Leiter bei
D und transportiert pro Jahr rund
180.000 Tonnen Aluminium-
gusslegierungen in fester und flüssiger
xer werden, steigt gleichzeitig die An-
fälligkeit von Fehlern oder Systemaus-
fällen. Auch die Anzahl der Cyberan-
Oetinger Aluminium WH GmbH.
Kein Plan für den Notfall
Form. Insbesondere die Just-in-Time-Be- griffe nimmt zu – 2016 wurden bereits
lieferung mit Flüssigmetall erfordert 69 Prozent der Industrieunternehmen in Anderen Industrieunternehmen geht es
eine genaue Einhaltung der Termin- und Deutschland Opfer von Cyberattacken. ähnlich, denn noch immer hat die Hälfte
Temperaturvorgaben. „Inzwischen häufen sich insbesondere von ihnen keine betriebliche IT-Notfall-
die Meldungen über digitale Angriffe planung zur Hand. Neben Cyberangriffen
Mehr Angriffsfläche auf Industrieunternehmen. Auch wenn ist eine solche Notfallplanung auch für
wir bis jetzt verschont wurden, haben den Datenschutz relevant. Im Zuge der
Im Zuge der Digitalisierung der Industrie wir es zum Anlass genommen, uns in- Datenschutz-Grundverordnung (DSGVO)
spielen auch bei Oetinger Aluminium IT- tensiver mit unserem IT-Notfallmanage- sind Unternehmen dazu verpflichtet, per-
Systeme eine immer größere Rolle: Ma- ment auseinanderzusetzen. Dabei ist sonenbezogene Daten angemessen zu
schinen sind vernetzt, Produktionspro- uns bewusst geworden, dass wir im schützen. Dazu müssen die Verantwort-
zesse laufen automatisiert, und ge- Ernstfall weder auf eine zweckmäßige lichen wissen, welche Daten gespeichert
schäftskritische Daten sind vor Ort oder Dokumentation noch auf eine geeig- werden, wie diese verarbeitet werden
in der Cloud gespeichert. Da die not- nete Notfallplanung zurückgreifen und wo sich die Daten befinden. Vorran-
8
IT-SICHERHEIT
gig geht es bei einem Notfallplan selbst-
verständlich darum, sich auf den Ernstfall
einer Cyberattacke vorzubereiten. Die IT-
Abteilung von Oetinger Aluminium ver-
schaffte sich dazu einen Überblick über
die unterschiedlichen Möglichkeiten der
Notfallplanung und entschied sich am
Ende für eine softwarebasierte Lösung.
Die Wahl fiel auf die Lösung Indart Pro-
fessional von Contechnet: „Letztendlich
hat uns das Preis-Leistungs-Verhältnis
und die kompetente Beratung über-
zeugt“, beschreibt der IT-Leiter das Aus-
wahlverfahren.
Nicht bei Null beginnen
Bild: Contechnet Ltd.
Obwohl Oetinger vorher über kein Not-
fallhandbuch verfügte, musste das Un-
ternehmen nicht ganz von vorn begin-
Oetinger musste bei dem Projekt nicht bei Null beginnen, da viele Daten bereits vorlagen.
nen, da die meisten Daten bereits vor-
handen waren. Es mussten jedoch die
Kernprozesse definiert werden. Nachdem satzbereit. Um den Notfallplan auf dem zudem ein- bis zweimal jährlich eine
sich Oetinger Aluminium für die Lösung aktuellen Stand zu halten, muss das Tool Notfallübung durch. Dabei wird gleich-
entschieden hatte, wurde R. Bücker EDV- zur regelmäßigen Dokumentation in die zeitig auch das Notfallhandbuch auf
Beratung Datentechnik GmbH als Partner Unternehmenskultur und die täglichen seine Alltagstauglichkeit geprüft.
für die Umsetzung mit ins Boot geholt. Arbeitsabläufe integriert werden. Um die
Die Herausforderung bestand zunächst IT-Abteilung dabei zu entlasten, ent- Einsatz ausweiten
darin, alle notfallkritischen Elemente der schied sich Oetinger zusätzlich für das
zwei Standorte Weißenhorn und Neu- Scan- und Importer-Tool Iscan aus der Die softwarebasierte IT-Notfallplanung
Ulm zu identifizieren. Nach der Einteilung Contechnet-Suite. Die Lösung ermöglicht bietet Oetinger Aluminium die nötige
in Prozesse, Services, Basisservices sowie das Auslesen von Informationen der ein- Dokumentation und Handlungssicherheit
Ausfallszenarien wurden das Schadens- gesetzten Hard- und Software im Unter- im Ernstfall. Insbesondere für die IT-Mit-
ausmaß sowie mögliche Folgeschäden nehmen. Außerdem liefert es eine detail- arbeiter ist diese Lösung ein Hilfsmittel,
betrachtet. Nachdem Oetinger mithilfe lierte Übersicht über die genaue Anzahl um den Anforderungen eines kontinuier-
des Dienstleisters wichtige Dokumente der PCs, Server und Netzwerksysteme. lichen, stabilen und performanten IT-Be-
wie Lizenzen, Verträge und Handbücher Da die Daten vollständig in die Indart- triebs gerecht zu werden. „Das Projekt
in die Software aufgenommen und auch Software übertragen werden, unter- hat uns viel gebracht, da der Mehrwert
das Personal bestimmten Rollen zuge- stützt das Tool die Mitarbeiter gleichzei- nicht nur darin besteht, dass am Ende
wiesen hatte, war die IT an der Reihe. Die tig bei der fortlaufenden Datenpflege ein fertiges Notfallhandbuch zur Verfü-
IT-Infrastruktur des Unternehmens ihrer Notfallplanung. gung steht. Auch die gesamten Vorar-
wurde aufgenommen, ihrem Standort beiten, wie die Dokumentation und das
zugeordnet und anschließend mit den Schulungsaufwand minimieren Befassen mit den installierten Systemen,
unternehmenskritischen Prozessen ver- Wiederherstellungszeiten etc., haben
knüpft. An diesem Punkt erkannte das Um den Schulungsaufwand zu minimie- uns dazu bewogen, unsere Prozesse im
Team von Oetinger erst im Detail die ren und jedem Mitarbeiter seine ent- Detail auf den Prüfstand zu stellen“,
Vielschichtigkeit der IT-Infrastruktur des sprechenden Aufgaben ohne direkten fasst Ralf Vögeli das Projekt zusammen.
Unternehmens, und es wurde deutlich, Zugriff auf die Software anzeigen zu las- Zukünftig soll das Notfallhandbuch auf
welche Rolle die einzelnen Systeme für sen, wurde zusätzlich das Webmodul In- weitere fertigungskritische Prozesse
die Geschäftsprozesse spielen. forweb eingeführt. Damit können sich ausgeweitet werden. ■
die Mitarbeiter mit persönlichen Zu-
In Arbeitsabläufe integrieren gangsdaten einloggen und sehen nur die
für sie hinterlegten Aufgaben bzw. die
Nachdem die IT-Abteilung mit R. Bücker Unternehmenswerte wie Prozesse, Per- Die Autorin Samira Liebscher
EDV die acht Planungsschritte durchlau- sonal oder Infrastruktur, für die sie ver- ist freie Journalistin.
fen hatte, war die betriebliche IT-Notfall- antwortlich sind. Um die Sinne der Mit-
planung von Oetinger Aluminium ein- arbeiter zu schärfen, führt Oetinger www.contechnet.de
9
IT-SICHERHEIT
Mikrosegmentierung in der Produktion
Gekapselt bis zur
Maschinenebene
Mit der Vernetzung der Produktion entstehen neue Angriffs-
flächen für Cyberkriminelle. Ein vielversprechender Ansatz
zur Risikobegrenzung ist die Trennung der Office-IT von der
Produktionsumgebung per Mikrosegmentierung.
T-Systeme wachen über die automa- Die VMs sorgen für das Einhalten detail-
I
Bild: Axians IT Solutions GmbH
tisierten Abläufe in der vernetzten lierter Richtlinien und führen Netzwerk-
Produktion und greifen beim Unter- kontrollen durch. Auf diese Weise lässt
oder Überschreiten bestimmter Parame- sich die Workload absichern, wobei eine
ter ein, um die Qualität und Effizienz zu attackierte VM nicht die nächste VM in-
wahren oder Wartungsarbeiten anzusto- fizieren kann. Die Mikrosegmentierung
ßen. Doch was passiert, wenn sich Mal- setzt die Sicherheitsregeln auch inner-
ware über das Unternehmensnetzwerk halb eines virtuellen Netzwerks durch,
verbreitet, mit dem die Produktion ver- was in traditionellen Umgebungen meist
bunden ist? In diesem Fall ist es die Auf- nicht effektiv gelingt. Dort trennen Fire-
gabe der IT, Automatismen zur Abwehr walls meist bloß das öffentliche vom in-
des Angriffs zu starten, denn die Ferti- ternen Netz, ohne dass innerhalb der
gungstechnik ist durch die Vernetzung beiden Teilnetze eine Reglementierung Mit Mikrosegmentierung lässt sich jede
ähnlichen Bedrohungen ausgesetzt wie stattfindet. Im Gegensatz zu einem kon- Maschine einzeln absichern.
die Office-IT. Zu dieser Einschätzung ventionellen Firewall-Regelwerk bietet
kommt das Bundesamt für Sicherheit in die Mikrosegmentierung nun die Mög- ren und umzusetzen. Das Unternehmen
der Informationstechnik (BSI) in seinem lichkeit, Identitäten über IP-Adressen befand sich in einer Ausgangssituation,
Ranking über die Top-Bedrohungen für oder Hostnamen hinaus zu definieren. die anderen Vertretern der Fertigungs-
Industrieanlagen. Demnach führen Social Die Technologie sichert die Netzwerke branche vertraut vorkommen dürfte. So
Engineering und Phishing die Liste der im Rechenzentrum daher wesentlich ef- wird in der Produktionsstraße über das
potenziellen Angriffsszenarien an. Idea- fektiver ab. Dieser Sicherheitsgewinn Protokoll TCP/IP kommuniziert. Nach dem
lerweise sind die Mitarbeiter so sensibi- lässt sich vom Rechenzentrum auf die Identifizieren über die IP-Adresse erfolgt
lisiert und geschult, dass sie nicht auf Produktionsstraßen übertragen. Im der Transport der Datenpakete. Den An-
verdächtige E-Mail-Anhänge klicken, Alarmfall greift dann ein Automatismus, lagen- und Maschinenpark fasst ein Sub-
welche den Angreifern Zutritt verschaf- der Datenpakete blockiert oder die Ver- netz zusammen. Aufgabe der Mikroseg-
fen könnten. Dennoch muss die Ferti- bindung unterbricht. Die Maschinen lau- mentierung ist es, dieses Produktionsnetz
gungsbranche ihre Produktionsstraßen fen derweil weiter. von der Office-IT zu trennen. Zusätzlich
auch technologisch vor Cyber-Attacken muss es möglich sein, jede Maschine ein-
schützen. Ziel muss eine Lösung sein, die Die passende Architektur zeln abzusichern und im Bedarfsfall zu
automatisiert handelt, wenig kostet und isolieren. Eine große Herausforderung ist
gleichzeitig effektiv schützt. Wie sich der Ansatz in die Praxis überfüh- hierbei die Beibehaltung der bestehen-
ren lässt, verdeutlicht das Beispiel eines den IP-Adress-Struktur. Da Änderungen
Sicherheit im Netz weltweit agierenden Zulieferbetriebes der IP-Adressen im Produktionsumfeld
für die Automobilindustrie. Dieser suchte zum Teil unvorhergesehenen Folgeauf-
Diese Anforderungen erfüllt auch für vir- nach einer Lösung, um im Fall einer Cybe- wand nach sich ziehen, sollten sie nach
tuelle Netzwerke die Mikrosegmentie- rattacke einen Produktionsstopp zu ver- Möglichkeit beibehalten werden. Zudem
rung, die direkt an der Netzwerkkarte meiden. Axians bekam den Auftrag, die sollte die Lösung skalieren, um sie auch
einer virtuellen Maschine (VM) ansetzt. Mikrosegmentierung für ihn zu konzipie- an anderen Standorten weltweit ausrol-
10IT-SICHERHEIT
len zu können. Dieses Anforderungsprofil
lässt sich mit einer integrierten Cisco-Se-
curity-Architektur erfüllen – mit Cisco
Identity Services Engine (ISE) für die Ad-
ministration, der Cisco Firepower NGFW
(Next Generation Firewall) sowie den
Cisco Catalyst Switchen der neuesten
Bild: Axians IT Solutions GmbH
Generation. Die Segmentierung findet in
diesem Fall auf Layer 2 statt und mini-
miert somit den administrativen Aufwand
bei der Migration. Die Identity Services
Engine stellt in diesem Szenario die Platt-
form für das Richtlinienmanagement zur
Verfügung und liefert Benutzer- und Ge-
Ohne Mikrosegmentierung trennt meist nur eine Firewall Office IT und Produktionsnetz voneinander.
rätetransparenz. Zudem bietet sie unein-
geschränkte Mobilität bei kontrolliertem
Zugriff. Die verwendete Lösung hatte
zudem ein Intrusion Prevention System fest, wer innerhalb einzelner Netzwerks- Eine große
(IPS) sowie eine Advanced Malware Pro- egmente Regeln einführen und ändern Sorge weniger
tection mit an Bord. darf. Unter den Voraussetzungen leitet der
Cisco Catalyst 3650X-Switch die Datenpa- Über eine Mikrosegmentierung lässt sich
Mechanismen und kete so weiter, wie es die Security-Regeln ein Unternehmensnetzwerk einschließlich
ihre Effekte vorsehen. Die Segmentierung zur Office-IT der Produktion detailliert absichern. Diese
und eine allgemeine Layer-3-Segmentie- Technologie lässt sich lokal oder an allen
Rein Software-definiert erfolgt die Mikro- rung übernimmt die Firewall. Im Betrieb Standorten einer Unternehmensgruppe im-
segmentierung innerhalb eines Subnetzes. äußert sich der Sicherheitsgewinn in plementieren. Ein weltweites Ausrollen
Die Cisco-Technologie Trustsec, verein- mehrfacher Hinsicht. So sichert der Au- stellt jedoch hohe Anforderungen an den
facht über Secure Group Tagging (SGT) thentifizierungs-Standard 802.1x im Zu- ausführenden Netzwerkspezialisten. Denn
den Netzwerkzugriff, beschleunigt Sicher- sammenspiel mit den Secure Group Tag Planung, Installation und Betrieb der Lösun-
heitsvorgänge und stellt sicher, dass Si- Access Control Lists (ACL) der Cisco ISE gen müssen aufeinander abgestimmt sein.
cherheitsaktionen konsistent angewendet den Netzwerkzugang ab. Bei einer Bedro- Wer sich jedoch für diesen Weg entschei-
werden – und zwar im gesamten Netz- hung reagiert das Netzwerk selbständig. det, muss sich kaum noch Sorgen machen,
werk. Dessen Datenverkehr wird über den Z.B. wird ein infizierter Rechner automa- dass ein unbeabsichtigter Klick eine kom-
Endpunkt identifiziert – und nicht anhand tisch vom Netz getrennt und in einen plette Produktionsstraße lahmlegt, denn in
der IP-Adresse oder bestimmter Zugriffs- Quarantäne-Cluster verschoben. Als Kon- diesem Bereich verbreiten sich Schadsoft-
kontrolllisten. Die Sicherheitsarchitektur sequenz verringert sich die Angriffsfläche. ware und andere Gefahren nicht mehr. ■
wird so installiert und remote freigeschal- Außerdem läuft nun vieles im Netzwerk
tet, dass die Produktion auch während der transparenter ab als vorher. Ein Adminis-
Migration weiterlaufen kann. Für den Be- trator kann leichter nachvollziehen, wie Der Autor Frank Greisiger ist Vertriebsleiter
trieb definiert ein Administrator über die eine Malware ins Netz gelangt ist. Das Re- Südwest bei Axians Networks & Solutions.
Identity Services Engine die Security-Re- porting-Feature dokumentiert zusätzlich 11
geln. Mit den Security Group Tags legt er Sicherheitsvorfälle. www.axians.deIT-SICHERHEIT
Public Key Infrastructure
Sichere Protokolle auch
für kleine IoT-Geräte
Die Zahl der Geräte im In-
ternet of Things wächst
stetig, doch noch immer
mangelt es an verbindli-
chen Standards für die Si-
Bild: Nexus Technology GmbH
cherheit bei der Datenüber-
tragung. Eine der größten
Herausforderungen des IoT
ist die Bereitstellung ver-
trauenswürdiger Identitä-
ten für Geräte mit begrenz-
ten Ressourcen. Mit Public-
Key-Factor-basierten Proto- Automatisierte Zertifikate Was ist ein gutes IoT-Protokoll?
kollen ließe sich das lösen.
Möchte man auf einem Smartphone ein Ein gutes IoT-Protokoll sollte folgende drei
digitales Zertifikat nutzen, beispielsweise Anforderungen erfüllen:
er Branchenverband Cloud Secu- für die E-Mail-Verschlüsselung oder für das
D rity Alliance hat in seinem Report
‘Future Proofing the Connected
World’ einen Katalog konkreter Maßnah-
digitale Signieren von Dokumenten, so
wird das Zertifikat zunächst auf einem si-
cheren Weg auf das Telefon übertragen
• PKI-basiert: Im Netzwerk ausgetauschte
Information wird mittels asymmetrischer
Kryptographie verschlüsselt
men veröffentlicht, um die Sicherheit ver- bzw. direkt auf dem Smartphone erzeugt. • Automatisierte Zertifikatsverteilung: Zer-
netzter Geräte zu verbessern. Eine zentrale Um die Identität des Zertifikats zu schüt- tifikate können in Sekundenschnelle an
Rolle spielt dabei die Implementierung von zen, wird es mit einem PIN versehen. Die- Tausende Geräte verteilt werden, ohne
Funktionen für die starke Authentifizie- ser muss bei jeder Verwendung angege- dass sie manuell bestätigt werden müssen
rung, Autorisierung sowie für die Zugriffs- ben werden. Alternativ zum PIN ist die Be- • Leichtgewichtig: Das Protokoll funktio-
kontrolle. Für die Authentifizierung benö- stätigung des Zertifikats auch per Finger- niert auch für Geräte mit geringer Re-
tigt jedes Gerät eine vertrauenswürdige abdruck möglich. Bei einem Sensor funk- chenleistung und begrenzter Energie
Identität. Im Bereich Netzwerkkommunika- tioniert dies nicht, da keine Benutzerober-
tion ist dabei eine Public Key Infrastructure fläche vorhanden ist. Daher muss die Zerti- Das EST-Protokoll
(PKI) der De-Facto-Standard, um vertrau- fikatsverteilung auf diese Geräte automa-
enswürdige Identitäten in Form von digi- tisiert werden. Zwar existieren bereits Pro- Das sogenannte Enrollment over Secure
talen Zertifikaten bereitzustellen. Die Zer- tokolle, die dafür genutzt werden. Aller- Transport (EST)-Protokoll wurde 2013 stan-
tifikate werden von einem vertrauenswür- dings sind sie zu komplex, um auch für Ge- dardisiert und von Cisco in Zusammenar-
digen Dritten (in der Regel eine soge- räte mit begrenzten Ressourcen, wie bei- beit mit der Internet Engineering Taskforce
nannte Certificate Authority) ausgestellt spielsweise batteriebetriebene Geräte, ge- entwickelt. Mit dem Protokoll können Zer-
und sorgen dafür, dass Geräte oder auch eignet zu sein. Häufig verwenden Herstel- tifikatsverteilungsprozesse beschleunigt
Menschen, die bislang nichts voneinander ler anstelle der PKI-Technologie geteilte und automatisiert werden – ein großer Vor-
wussten, sicher miteinander kommunizie- Schlüssel (symmetrische Verschlüsselung) teil in komplexen IoT-Umgebungen. Das äl-
ren können. Die Herausforderung dabei ist oder PINs und Passwörter für die Kommu- tere SCEP-Protokoll (Simple Certificate En-
die Zertifikatsverteilung. nikation zwischen vernetzten Geräten. rollment Protocol) wiederum unterstützt
12IT-SICHERHEIT
keine Erstellung und Verteilung von Schlüs- speziell für die Anforderungen des IoT ent-
seln auf Server-Seite und ist daher nur be- wickelt. Die Funktionsweise ist einfach: Beim Identitäten verwalten
dingt geeignet, Zertifikate für Clients und Kauf einer smarten LED-Lampe hat der Her- seit 20 Jahren
Certificate Authorities (CA) zu erneuern. Au- steller beispielsweise bereits ein Zertifikat Der IT-Sicherheitsspezialist hat bereits seit 20
ßerdem ist SCEP nicht standardisiert und er- auf der Lampe installiert. Sobald diese ange- Jahren eine eigene PKI-Identitätsplattform auf
zeugt daher oft Probleme beim Zusammen- schlossen wird, verbindet sie sich automa- dem Markt, die für IoT-Anwendungen genutzt
spiel verschiedener Implementierungen. tisch mit der Certificate Authority, um das wird. Mit 10.000 Zertifikaten pro Sekunde ist das
Auch CMP (Certificate Management Proto- Zertifikat bestätigen zu lassen. Für diese System nach Angaben des Anbieters sogar dazu
col) und CMS (Certificate Management Kommunikation sorgt Cebot. Das Protokoll geeignet, die nächste Generation der vernetz-
over CMS) sind weit verbreitete Protokolle, löst damit das Problem, Zertifikate auch für ten Fahrzeugkommunikation V2X (auch als
die zwar standardisiert sind, bei denen es Geräte mit begrenzten Ressourcen automa- Car2X bezeichnet) zu unterstützen.
aber schwieriger ist, sie auf Clients zu im- tisch bereitzustellen. Cebot soll in einem
plementieren. Für Geräte mit begrenzten nächsten Schritt der Internet Engineering
Ressourcen sind sie daher ungeeignet. Als Task Force (IETF) vorgelegt werden, um als
als Anbieter von Identity- und Security-Lö- Standardprotokoll anerkannt zu werden. men von Horizon 2020 gefördertes Projekt.
sungen war Nexus Anfang 2017 unter den Das Ziel ist, eine Lösung für die Sichereit und
ersten Unternehmen, die das EST-Protokoll EU investiert in IoT-Sicherheit den Datenschutz vernetzter und automati-
in einem kommerziellen Produkt unterstüt- sierter Fahrzeuge sowie anderer automati-
zen. Allerdings fehlt dem EST-Protokoll die Um PKI noch skalierbarer und leichtgewich- sierter Systeme zu finden. Im Rahmen des
Funktionalität für die automatische Zertifi- tiger für das IoT zu machen, hat sich Nexus Projekts soll eine Softwarelösung zur Vali-
katserneuerung. Dies wurde mittels einer mit verschiedenen Partnern aus Forschung dierung von Architekturmethoden, Referen-
REST API (Representational State Transfer, und Wirtschaft zusammengetan. Das Se- zarchitekturen, Komponenten und Integra-
Application Programming Interface) für die cure IoT-Projekt wird von Eurostars geför- tionen entwickelt, die auch die sichere Kom-
Nexus PKI gelöst, die es für Kunden und dert, einem gemeinsamen Programm der munikation zwischen verschiedenen auto-
Entwickler einfacher machen soll, entspre- europäischen Forschungsinitiative Eureka matisierten Systemen ermöglicht.
chende Funktionen für die Zertifikatser- und der Europäischen Kommission. Ziele Secredas soll damit Vertrauenswürdigkeit in
neuerung zu implementieren. des Projekts sind u.a. eine Lösung für das IoT-Netzwerke bringen, insbesondere um
automatische erstmalige Verteilen und Wi- die europäische Auto- und Medizinindustrie
Das Cebot Protokoll derrufen von Zertifikaten für batteriebetrie- in dieser Hinsicht zu stärken. Das For-
bene IoT-Geräte zu finden sowie die Ent- schungsprojekt bringt ein Konsortium von
Das EST-Protokoll ist zwar besser geeignet wicklung eines IoT-Gateways, das sowohl Partnern aus 15 Ländern zusammen, das die
als seine Vorgänger, dennoch bietet es moderne Protokolle für die IoT-Sicherheit gesamte Wertschöpfungskette der Auto-
keine wirklich praktikable Lösung für das als auch ältere Protokolle unterstützt. Das mobilindustrie, Schlüsselakteure im medizi-
erstmalige Verteilen und Widerrufen von Projekt wurde im September 2016 gestar- nischen Bereich, eine Reihe von Akteuren in
Zertifikaten auf vielen verteilten Geräten. Ein tet und ist auf 36 Monate ausgelegt. anderen Verkehrsbereichen (Eisenbahnen,
wichtiger Schritt in diese Richtung ist das Luft- und Raumfahrt) und Forschungsinsti-
Cebot-Protokoll (Certificate Enrollment for Datenschutz tute umfasst. ■
Billions of Things). Cebot ist ein Projekt des autonomer Fahrzeuge
schwedischen Forschungsinstituts Rise SICS Der Autor Thorsten Gahrmann ist Head
und Nexus, das mit den Unternehmen Secredas steht für ‘Product Security for of Software Sales bei Nexus.
Ericsson, Saab, Intel und Scypho bereits ei- Cross Domain Reliable Dependable Automa-
13
nige Unterstützer hat. Das Protokoll wurde ted Systems’ und ist ein von der EU im Rah- www.nexusgroup.comIT-SICHERHEIT
Verzahnte Entwicklung bei Elwema Automotive
Anlagensoftware versioniert
und protokolliert
jektspezifische Versionen der Anwendung
für die Anlagensteuerung ein. Diese bein-
halten beispielsweise Netzwerk- oder EA-
Listen. Etwa 35 Mitarbeiter haben Zugriff
auf diese Daten. Die Lösung versioniert und
dokumentiert Änderungen und verwaltet
Projektdaten im Sinn eines Lifecycle Ma-
nagements. Das aktuell geladene Pro-
gramm, die verwendeten Parameter und
Sollwerte, wie auch die eindeutige Versi-
Bild: Auvesy GmbH
onszuordnung sind stets aktuell abrufbar.
„Durch das Arbeiten mit Versiondog haben
wir uns weiterentwickelt und Prozesse
standardisiert“, sagt Büchel. „Wir haben
SPS-Programmierung, Human Machine Interfaces, Konnek- jetzt eine zentrale Stelle für die Datenab-
tivität – die Softwareentwicklung für moderne Anlagen lage, eine klare Rechtestruktur, die Ände-
rungsgründe sind ersichtlich, die Transpa-
wird immer aufwendiger. Um diese Arbeiten zu unterstüt-
renz wer, wo, wann, was geändert hat, die
zen und abzusichern, nutzt der Zulieferer Elwema Automo- Source-Code-Verwaltung ist möglich und
tive speziell angepasste Versionierungsanwendungen von der Versionsvergleich nützt der Standardi-
sierung. Änderungen folgen einem einheit-
Auvesy. Bei der Produktion behalten die Mitarbeiter so alle
lichen Muster: Datei auschecken, Sperrsta-
Arbeitsfortschritte und Änderungen im Blick. Doch auch tus setzen, ändern, einchecken. Alles ist do-
nach der Inbetriebnahme protokollieren die Programme kumentiert und jederzeit nachvollziehbar.“
Anlagenänderungen sicher und nachvollziehbar.
Die Anlage lebt weiter
ie Elwema Automotive GmbH aus Auf Projektarbeit ausgelegt Der Versionierungsprozess ist jedoch nicht
D Ellwangen und Monschau reali-
siert Fertigungslösungen in der
Reinigungs-, Prüf- und Montagetechnik,
Vor dem Einsatz des Tools kam es immer
wieder zu Missverständnissen beim Um-
mit der Fertigstellung einer Anlage been-
det. Nach der Montage und Inbetrieb-
nahme erfolgt vor Auslieferung zunächst
insbesondere für die Bereiche Motoren, gang mit Daten. „Es war keine klare File- die Vorabnahme durch den Kunden. Dann
Lenkung und Getriebe vornehmlich für die struktur vorhanden. Simple Dinge wie die wird sie demontiert und vor Ort beim
Automobilindustrie. Entsprechend an- Namensgebung von Files wurden unter- Kunden wieder aufgebaut. Dabei ist die In-
spruchsvoll sind die gefertigten Anlagen schiedlich gehandhabt, oder Modifikatio- tegration der Komponenten nach einer
und die Anforderungen an das Daten- und nen wurden nicht abgeglichen. Das alles CNC-Maschine keine Seltenheit. Denn
Programmmanagement für Steuerungen, führte zu Suchvorgängen und verursachte nach der Bearbeitung (z.B. eines Kurbel-
Human Machine Interfaces, Robotik und unnötigen Zeitaufwand“, berichtet Karl- wellengehäuses) erfolgen die Reinigung
Konfigurationsdaten. Die Versions- und Da- Heinz Büchel, Leiter der Steuerungstechnik der gefertigten Teile, die Montage und an-
tenmanagementlösung Versiondog des IT- und der Automatisierung bei Elwema. Auf schließend die Prüfung auf Dichtheit, z.B.
Herstellers Auvesy hilft dem Maschinen- der Suche nach einer Lösung stieß man auf der Öl- und Wasserräume. Damit diese In-
bauer Elwema im Engineering und in der Versiondog, das in einer dreimonatigen tegration funktioniert, müssen die jeweili-
Anlagenfertigung dabei, die Programme im Testphase überzeugen konnte. Seit rund gen Daten- Und Programmstände versio-
Blick zu behalten. drei Jahren setzt der Maschinenbauer pro- niert werden. Dieser Auslieferungsstand
14IT-SICHERHEIT
Bilder: Auvesy GmbH
wird auch an den Kunden übermittelt.
Nach der Auslieferung kann die Anlage
weiter überarbeitet, umgebaut oder er-
weitert werden. Bei allem muss die ak-
tuelle Daten- und Software-Version
festgehalten und abgeglichen werden,
was mit Versiondog recht einfach fällt.
Es ist unter technischen sowie Sicher-
heits- und Gewährleistungsaspekten
wichtig, dass alle Beteiligten auf dem
gleichen Informationsstand sind und mit
gleichen Programmversionen arbeiten.
Deshalb wird der Prozess über den ge-
samten Lebenszyklus einer Anlage hin-
durch geführt. So ist dokumentiert, was
der Kunde nach der Übergabe der An-
lage mit ihr gemacht hat. Durch den
Zeitstempel ist auch festgehalten, wann
Übersicht der Komponentenstatus in einem Elwema-Projektverzeichnis etwas verändert wurde.
Mitarbeiter geschult
Um das Bewusstsein bei den Mitarbei-
tern zu verankern, dass Anlass, Zeitpunkt
und Verantwortlichkeit für jede Anpas-
sung von Programmen und Daten doku-
mentiert werden muss, setzte der Ma-
schinenbauer Schulungen für die rund 35
Nutzer an. Denn wie so häufig steht und
fällt der Nutzen leistungsfähiger Anwen-
dungen mit der Bereitschaft der Beleg-
schaft, die Programme konsequent und
wie vorgesehen zu benutzen. ■
Die Autoren sind Karl-Heinz Büchel, Leiter
Steuerungstechnik & Automatisierung bei
Elwema sowie Silke Glasstetter, Head of
Marketing bei Auvesy GmbH.
Versiondog-Versionshistorie einer S7-Softwarekomponente mit 15
Änderungsdarstellung in Version 3 im Fenster rechts unten www.elwema.deIT-SICHERHEIT
Lernen aus WannaCry und Co.
Das IT-Sicherheitsgesetz
als starkes Argument
Bild: © Peter Eggermann / Fotolia.de
Trotz der aufsehenerregenden Cyberangriffe wie mit der Ransomware WannaCry im letzten
Jahr ist die IT-Sicherheit auf der Prioritätenliste vieler Unternehmen noch immer nicht weit
genug oben. Doch zumindest bei versorgungskritischen Infrastrukturen fordert der Gesetz-
geber mittlerweile ein Bündel von Sicherheitsmaßnahmen. Diese könnten künftig auch Pro-
duzenten umsetzen müssen, die Kritis-Betreiber mit wichtigen Komponenten versorgen.
n der Transformation hin zur Indus- zung und Überwachung ermöglichen in- räte und Apps zum Einsatz. Meist wer-
I trie 4.0, beziehungsweise zur Inte-
grated Industry, nimmt die IT eine
tragende Rolle innerhalb der Produkti-
novative Anwendungen und Geschäfts-
modelle. So lassen sich Effizienzsteige-
rungen unter anderem realisieren, indem
den diese zum Monitoring der Produkti-
onsanlagen genutzt, doch einige davon
gestatten bereits weiterführende Ein-
ons- und Wertschöpfungskette ein. Denn Produktionsabläufe digital simuliert oder griffsoptionen: Werks- und Produktions-
die Vernetzung aller Gegenstände und Stillstände in der Fertigung durch vo- leiter können zu jeder Zeit von jedem
Systeme sowie deren Ausstattung mit rausschauende Wartung minimiert wer- Standort die Produktionsprozesse kon-
zusätzlicher Intelligenz zur besseren Nut- den. Zunehmend kommen mobile Endge- trollieren und Einfluss auf Steuerungspa-
16IT-SICHERHEIT
rameter nehmen. Nachweislich bringt die wie Upgrades im Einsatz, für die es wendung finden soll. Dies erscheint aus
hochgradige Vernetzung viele Vorteile zudem teilweise bereits seit längerem dem Grund akut, da oftmals schlecht
für den Betriebsablauf, andererseits je- keine Sicherheitspatches mehr gibt, weil gewartete, veraltete und ungesicherte,
doch ebenso viele Angriffspunkte, die der Hersteller die Wartung eingestellt aber dennoch innerhalb einer Wert-
ausgenutzt werden können. Dies basiert hat. Mittlerweile haben sich bestimmte schöpfungskette hochgradig vernetzte
zum einen auf den immer komplexer Angreifer darauf spezialisiert, direkt nach OT-Systeme für Angriffe leicht nutzbar
werdenden IT-Landschaften sowie den Sicherheitslücken zu suchen, sobald Pro- sind. Das derzeitig vorzufindende IT-Si-
immanenten Schwachstellen von Kom- duktionsanlagen mit dem Internet – also cherheitsniveau der OT entspricht bei
ponenten der OT und zum anderen auf in einem TCP/IP Netz – verbunden sind. weitem nicht den gestiegenen Anforde-
dem Fehlen adäquater Schutzkonzepte. Dass dies keine theoretische Gefahr ist, rungen. Von daher ist es an der Zeit, Si-
belegen diverse Studien – bereits im Jahr cherheitsstrategien im industriellen Um-
Genug offene Flanken 2016 erfolgte jeder vierte Cyberangriff feld zu entwickeln.
auf industrielle Systeme. Dafür gibt es
Die fortschreitende Digitalisierung und verschiedene Gründe: Der Datentransfer Rat liefert der Gesetzestext
die daraus resultierende Entwicklung zwischen den Systemen der Produktion
neuer Geschäftsmodelle wie Predictive läuft vermehrt über offene Standards – Im Grunde geht es bei der Diskussion be-
Maintenance auf Basis von Internet- zur Absicherung der OT sind jedoch teils züglich der erweiterten Einführung des
technologien bringen einen massiven völlig andere Konzepte und Lösungen IT-Sicherheitsgesetzes darum, Unterneh-
Anstieg der Gefahrenpotentiale mit sich. notwendig, als im klassischen IT-Umfeld, men dahingehend zu sensibilisieren, dass
Ungeachtet dieses Fakts finden jedoch die dort vorherrschenden Ansätze sind sie die bestehenden Probleme aktiv an-
die unsicheren Basistechnologien wie nur sehr bedingt übertragbar. Zudem er- gehen. Dazu gehört ein Verständnis
Web-Sprachen, Kommunikationsproto- fordert jede weitere Anbindung von Ap- dafür zu schaffen, dass IT-Sicherheit ein
kolle, Datenbanken oder Betriebssys- plikationen sowie Vernetzung von Gerä- kontinuierlicher Prozess ist. Hilfreich bei
teme im Produktionsumfeld Verwen- ten und Systemen neue Schnittstellen, der Ausgestaltung einer effizienten Vor-
dung und stoßen auf Produktionsnetze die per se ein Risiko darstellen – hier gehensweise ist das gemeinsame The-
und -komponenten, die hochsensibel werden ständig neue Schwachstellen senpapier von Teletrust und dem Bun-
sind und meist für solche Szenerien nicht entdeckt. Die Ausführung der zumeist desverband der IT-Anwender (VOICE)
konzipiert wurden. Aufgrund der langen systematischen Attacken erfolgt mit re- aus dem Jahr 2017. In diesem Leitlinien-
Lebenszyklen der Systeme im Produkti- gelmäßig aktualisierten Angriffsmetho- dokument werden Defizite und Problem-
onsumfeld sind sehr häufig noch IT-Kom- den; hierfür gibt es unter anderem Stan- bereiche im IT-Sicherheitsumfeld darge-
ponenten ohne spezifische IT-Wartung dardwerkzeuge, die inzwischen auf spe- stellt, die es dringend zu beheben gilt.
ziellen Plattformen im Internet frei zur Dazu haben Teletrust und Voice gemein-
Verfügung stehen. sam sechs Thesen erarbeitet, „die jeweils
spezifische ‘Gemeinsame Aufgaben’ in-
IT-Sicherheitsgesetz
Schlecht programmierte Apps nerhalb jeder These skizzieren, wie vor-
für die Industrie gefordert
handene Herausforderungen erfolgreich
Auch schlecht programmierte Apps und bewältigt werden können“, etwa in der
Mit Inkrafttreten des IT-Sicherheitsgesetzes in ohnehin unsichere Endgeräte bieten eine ersten These ‘Ohne IT-Sicherheit gelingt
2015 müssen die Betreiber kritischer Infrastruktu- große Angriffsfläche, beispielsweise bei keine nachhaltige Digitalisierung’ oder
ren (Kritis) im wesentlichen zwei Vorgaben erfül- deren Einsatz zur Maschinensteuerung: der vierten: ‘Security-by-Design, Privacy-
len: Die definierten Organisationen und Institutio- Die Eingriffsmöglichkeiten reichen hier by-Design und nachvollziehbare Quali-
nen mit relevanter Bedeutung für das Gemeinwe- von Manipulation der Produktionspro- tätssicherung sind unabdingbar’. Mit zu-
sen sind fortan verpflichtet binnen zwei Jahren zesse, was unter Umständen die Produk- nehmender Digitalisierung sollten auch
nachzuweisen, dass sie wirksame Vorkehrungen tions- und Produktqualität stark beein- mittelständische Unternehmen nicht
zum Schutz der Daten getroffen haben, um deren trächtigen kann, bis hin zum Abschalten mehr den Standpunkt vertreten, dass
Verfügbarkeit, Integrität, Vertraulichkeit und Au- einer kompletten Produktionslinie. sich kein Angreifer für sie interessieren
thentizität zu wahren. Zudem stehen sie in der wird. Was aber andererseits nicht zu der
Pflicht, die qua Definition kritischen Sicherheits- Kritis auch für Zulieferer fatalistischen Einstellung führen sollte,
vorfälle unverzüglich zu melden sowie eine Kon- dass aufgrund der hohen Komplexität ein
taktstelle für das Bundesamt für Sicherheit in der Mittlerweile ist erkennbar, dass Zuliefe- Absichern der eigenen Infrastruktur per
Informationstechnik (BSI) anzugeben. Relevante rer von Anlagen und Komponenten, die se unmöglich sei. ■
Bedeutung haben dem Gesetz zufolge Organisa- wesentlich für eine Kritis-Umgebung
tionen in den Bereichen Staat und Verwaltung, sind, zumindest für die gelieferten Kom- Der Autor Wolfgang Straßer ist
Energie, Gesundheitswesen, Finanz- und Versi- ponenten Kritis-Anforderungen stand- Gründer und Geschäftsführer der
cherungswesen, Transport und Verkehr, IT und TK, halten müssen. Heute steht zur Diskus- @-yet GmbH.
Medien und Kultur sowie Wasser und Ernährung. sion, dass das IT-Sicherheitsgesetz ana-
log im Kontext von Industrie 4.0 An- www.add-yet.de
17Sie können auch lesen
