IT-Security für Büro und Produktion

Eine Maschine ist was die IT-Security betrifft längst keine abgekapselte Insel mehr, sondern gleicht eher einer Metropole mit zig verschiedenen Zugangs­wegen.Fotolia.com

Eine perfekte Lösung für IT-Security existiert nicht. Und eine Garantie für eine absolute IT-Sicherheit wird es auch nie geben. Ein Grund dafür ist, dass sich die Informationstechnik und der Umgang mit ihr ständig verändern. Neue Trends brauchen auch neue Sicherheitslösungen. Durch die zunehmende Vernetzung und Mobilität sind die zu schützenden Informationen nicht mehr statisch, sondern befinden sich auf verschiedenen Systemen.

Beim Thema zunehmende Vernetzung spielt das Cloud Computing eine wichtige Rolle. Damit stehen Informationen und Systeme aber nicht mehr unter direkter Kontrolle des Unternehmens. Die Konsequenz: Sicherheit wird in fremde Hände gelegt. Das dafür nötige Vertrauen kann zum Beispiel durch anerkannte Zertifizierungen, transparente Sicherheitskonzepte und entsprechende vertragliche Vereinbarungen aufgebaut werden. Auch die Rechneridentitäten ohne menschliche Benutzer nehmen zu. So entstehen Informationsflüsse zwischen technischen Komponenten (Machine to Machine), die genau definiert sein müssen. Gerade wenn solche Informationsflüsse auch autonome Entscheidungen zur Folge haben sollen, müssen sie umfassend abgesichert werden. Nur dann ist der Mensch als Kontrollinstanz überflüssig.

Auch die Vernetzung zwischen der IT im Produktionsumfeld und der Office-IT nimmt weiter zu. Die Vernetzung von Produktions-IT und die Internetanbindung der Anlagen eröffnet Unternehmen neue Möglichkeiten Kosten einzusparen, zum Beispiel durch Fernwartung, Fernüberwachung oder das zentrale Sammeln und Aufbereiten von Produktionsdaten. Sie geht aber einher mit neuen potenziellen Schwachstellen und macht die Infrastruktur angreifbar. Unter dem Schlagwort Big Data entsteht hier ein Zielkonflikt zwischen umfassender Datensammlung mit flexibler Auswertbarkeit einerseits und Zugriffsbeschränkungen und Datensparsamkeit andererseits.

Die Consumerization der IT führt außerdem dazu, dass auch im Unternehmensumfeld immer mehr verschiedene Endgeräte und Apps zum Einsatz kommen. Der Umgang mit Unternehmensinformationen ist oft durch die privaten Erfahrungen und Vorgehensweisen der Mitarbeiter geprägt, wobei die Freiheiten und Einflussmöglichkeiten der Benutzer zunehmen. Last but not least wird auch die Cyberkriminalität immer professioneller, Angriffe im Auftrag nehmen zu. Sie konzentrieren sich auf gezielte, ökonomisch sinnvolle Attacken.

Sichere Fernwartung auf dem Stand der Technik

Um Kosten zu sparen und Reaktionszeiten zu verkürzen, möchte die abfüllende Industrie künftig mehr Remote Service, Fernwartung, in Anspruch nehmen. Krones entwickelt derzeit die Global Remote Service Plattform (GRS), eine einheitliche und sichere Plattform für den Zugriff der Servicetechniker auf die Kundenanlagen. Sicherheit spielt dabei eine wichtige Rolle. Eine sichere technische Ausgestaltung der Anlage, aber auch ein effektives Information Security Management (ISM) im Unternehmen schaffen Vertrauen für eine Zusammenarbeit bei der Fernwartung. Dass bei Krones Kundendaten in geprüft sicheren Händen sind und auch das eigene Know-how des Konzerns von einem Informationssicherheits-Managementsystem (ISMS) geschützt wird, untermauert die jüngst vom TÜV Süd ausgestellte Zertifizierung für die Information Security. Der Standard ISO/IEC 27001 ist als Best Practice für systematisches Informationssicherheits-Management etabliert und von den meisten Praktikern akzeptiert.

Die Abfüllanlagen von Krones müssen harten Echtzeitbedingungen genügen. Eine Aspekt mehr, der den Aufbau von Sicherheitsmaßnahmen erschwert.Krones

Ein Baustein der Absicherung der Fernwartung ist der Aufbau einer verschlüsselten VPN-Verbindung. Dies schützt die Datenverbindung zum Kunden nach dem aktuellen Stand der Technik vor Zugriffen von außen. Die Anlage darf eben nicht für jeden Externen aus dem Internet erreichbar – und damit angreifbar – sein, sondern ist nur über diesen Kanal für die autorisierten Techniker zugänglich. Ein weiterer Baustein ist die Nachvollziehbarkeit, wer wann bei welchem Kunden zugegriffen hat. Verbindungen werden nur entsprechend der Absprache mit dem Kunden aufgebaut und jede Verbindung wird protokolliert. Krones kiefert die Servicesysteme außerdem immer mit einem aktuellen Betriebssystem und virenfrei aus. Ein klarer vertraglicher Rahmen und definierte Mechanismen zur Anforderung von Remote Support schaffen auch auf prozessualer Ebene einen stabilen Rahmen.

Einzelne Komponenten absichern

Krones hat erkannt, dass IT-Security nur interdisziplinär zu lösen ist und arbeitet in einem fachbereichsübergreifenden Team daran. So sind bei Krones Bestrebungen im Gange auch in der Anlage selbst die Sicherheit der einzelnen Komponenten zu verbessern. Dabei werden alle Ebenen, von der einzelnen Steuerung über Netzwerkkomponenten bis hin zum Touchdisplay oder zum MES optimiert. Wichtige Themen sind dabei die Wahl geeigneter Protokolle für die sichere Kommunikation zwischen den einzelnen Komponenten, die sichere Entwicklung von Software sowie die Verbesserung des Passwortschutzes und Passwort-Handling auf allen beteiligten Systemen. Der Zugriff auf die Bedienoberfläche ist heute schon über ein abgestuftes Berechtigungskonzept abgesichert. Einen guten Schutz vor einer dauerhaften Infektion mit Schadcode bewirkt der Schreibschutz. Im Gegensatz zu einem herkömmlichen PC lässt sich der Systembereich nicht dauerhaft verändern. Eine Vireninfektion kann so durch einfaches Ausschalten und wieder Einschalten beseitigt werden.

Darüber hinaus arbeitet Krones auch an weiteren Sicherheitstechniken insbesondere für den Virenschutz und das Patchmanagement. Denn automatisierte Updates sind bei den allermeisten industriellen Anlagen nicht möglich. Beim Virenschutz kommt eine andere Problematik noch hinzu. Eine Abfüllanlage muss normalerweise Echtzeitanforderungen erfüllen; wenn der Bediener einen Knopf drückt, muss der Befehl sofort ausgeführt werden. Herkömmliche Virenscanner verzögern den Ablauf, das passt nicht zu einem Echtzeitsystem. Deswegen können die aus dem PC-Bereich bekannten Virenscan-Mechanismen nicht einfach transferiert werden. Krones testet derzeit zusammen mit Herstellern von Anti-Virus-Software Lösungen für dieses Problem. Gerade in heterogenen Anlagen erfordert das Implementieren solcher Technik eine gute Kenntnis des Zusammenwirkens der einzelnen Komponenten. Sie ist zudem nur zielführend, wenn sie auf die Sicherheitsstrategie des Anlagenbetreibers abgestimmt ist.

Hauptproblem: Die IT älterer Anlagen modernisieren

Maschinen und Anlagen wie die von Krones laufen deutlich länger als ein durchschnittlicher Computer. Als sie installiert wurden war IT-Sicherheit noch kein wichtiges Kriterium. Diese älteren Anlagen sind mit Blick auf den Stand der Technik nicht sicher. Das systematische Upgrade veralteter IT-Komponenten wird daher künftig immer wichtiger. Es verspricht dabei neben einem Sicherheitsgewinn auch zusätzliche Features für einen effizienteren Anlagenbetrieb. Hier müssen Anwender und Anlagenhersteller gemeinsam Lösungen erarbeiten.

Ähnliches gilt auch für Anlagen mit Maschinen verschiedener Hersteller. Der Anwender vernetzt die Maschinen und bindet sie gegebenenfalls an sein eigenes Manufacturing Execution System (MES) an. Damit übernimmt er auch die Verantwortung für die IT-Sicherheit. Deutlich einfacher ist es, die IT-Sicherheit bei einer Komplettanlage herzustellen, weil hier die Schnittstellenproblematik zwischen verschiedenen Lieferanten entfällt. Beispielsweise benötigt der Kunde bei einem Fernzugriff nur einen Zugang zu seiner Anlage. Hat er Maschinen von drei verschiedenen Herstellern installiert, muss er auch mit drei verschiedenen Anbietern den Datenzugang zu seinen Maschinen regeln. Und hat dann die dreifache Anzahl an angreifbaren Punkten. Zusätzlich erfordert eine heterogene Maschinenlandschaft auch mehr Schnittstellen in der IT. Gerade Schnittstellen sind aber oft der wunde Punkt von IT-Systemen und damit ein Einfallstor für Angreifer. In jedem Fall muss also ein datentechnisches Gesamtkonzept geschaffen werden.

Ebenso entstehen Gefährdungen, wenn der Kunde nicht den Originalservice des Herstellers für Reparatur oder Wartung in Anspruch nimmt, sondern selbst ausführt oder Dritte damit beauftragt. Vireninfektionen durch den unvorsichtigen Umgang mit USB-Datenträgern kommen in der Praxis immer wieder vor. Krones beugt dem durch technische Maßnahmen, aber auch durch eine Schulung und Sensibilisierung der Mitarbeiter vor.

Mitarbeiter schulen ist das A und O

Ohnehin sind sensible Mitarbeiter der beste Schutz für Informationen und IT-Systeme. Das gilt sowohl für die Mitarbeiter beim Kunden als auch für die Mitarbeiter des Anlagenbauers. Wichtig ist es deshalb, die Mitarbeiter regelmäßig zu schulen und für Gefährdungen der IT zu sensibilisieren. Hier helfen einprägsame Maßnahmen wie eine Live-Hacking-Vorführung. Datensicherheit hat heutzutage aufgrund des rasanten technologischen Wandels hin zum vernetzten Individuum vor allem auch eine personelle Komponente. Zentrale Kontrolle ist zwar notwendig, eine ausschließlich zentrale Steuerung aber schon lange nicht mehr möglich, gerade für einen global agierenden Konzern. Vor zwanzig Jahren konnte sich ein Unternehmen noch digital nach außen abschotten. Mit Tausenden vernetzter Mitarbeiter gleicht ein großes Unternehmen mittlerweile aber weniger einer Festung mit Burggraben und Zugbrücke, sondern vielmehr einer Metropole mit Unmengen von Zufahrten und Datenwegen. Informationssicherheit liegt deshalb in der Verantwortung aller Mitarbeiter.

Vorausschauende Wartung ermöglichen

Der Remote Service spielt auch eine wichtige Rolle bei dem Thema Industrie 4.0. Eine Facette davon ist die Möglichkeit, regelmäßig aus dem laufenden Betrieb der Kundenanlage Daten über eine Fernwartungslösung zu übermitteln, um dadurch Mehrwert für den Kunden zu generieren. Im Sinne einer Predictive Maintenance könnten dann notwendige Wartungen oder ein Ersatzteiltausch rechtzeitig vorausgesagt werden, bevor eine Maschine oder Anlage ausfällt. Dazu sind große Mengen an Daten nötig, die übermittelt werden müssten. Big Data heißt hier das Schlagwort. Das setzt aber voraus, dass sich der Kunde sicher sein kann, dass seine Daten auch in guten Händen sind. Mit der Zertifizierung nach ISO/IEC 27001 kann Krones nachweisen, dass intern nach diesem international anerkannten Standard für Informationssicherheit gearbeitet wird. Mit sogenannten Penetrationstests versuchen externe Spezialisten regelmäßig das System zu hacken, um mögliche Schwachstellen aufzuzeigen. Informationssicherheit funktioniert aber nur, wenn die Verantwortung dafür im Unternehmen klar definiert ist und das Einhalten der Vorgaben regelmäßig kontrolliert wird und diese immer wieder an den aktuellen Stand der Technik angepasst werden.

(mf)