Es ist höchste Zeit, die IT-Sicherheit in Unternehmen aufzurüsten

Seit dem 14. Januar 2020 erhalten Nutzer des Windows-7-Betriebssystems keine Updates mehr. Das reißt Lücken in der IT-Sicherheit auf. Umso mehr ist das produzierende Gewerbe gefordert, seine Sicherheitsmaßnahmen schleunigst zu erhöhen.

Hans-Peter Bauer
Vice President Central Europe bei McAfee

Die fortschreitende Digitalisierung vieler Branchen bietet Unternehmen eine Fülle von Vorteilen und Chancen. Dazu zählen unter anderem: Die Steigerung von Effizienz, Produktivität und Mitarbeiterzufriedenheit, eine höhere Innovationsbereitschaft, die Beschleunigung der Time-to-Market, neue Geschäftsmodelle sowie eine bessere Konnektivität und Kommunikation. Eine durch Bitkom durchgeführte Studie zeigt dennoch: Dieser Fortschritt bringt Schattenseiten mit sich. Der Report Wirtschaftsschutz in der digitalen Welt macht deutlich, dass die Anzahl der von Sabotage, Spionage und Cyber-Kriminalität betroffenen Wirtschaftsunternehmen innerhalb von zwei Jahren gestiegen ist. Die Summe der Schäden, die durch derartige Aktionen entstanden, schätzt der Branchenverband Bitkom auf rund 103 Mrd. Euro.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hebt in seinem Lagebericht der IT-Sicherheit hervor, dass die finanziellen Einbußen durch Produktionsausfälle, Beschädigung von Anlagen, Patentdiebstähle und Erpressung entstehen. Nach Einführung der DSGVO kämen sogar noch Bußgelder in Folge von datenschutzrechtlichen Maßnahmen hinzu. Dass sogar beschädigte Produktionsanlagen in diese Rechnung fallen, liegt vor allem an der Verschmelzung der Informations- und operationellen Technologie (IT und OT). Die Vernetzung bringt Vorteile (Effizienz, Produktivität, finanzielle Einsparungen) und ermöglicht eine zentrale und umfassende Überwachung sämtlicher Systeme in Realtime. Gleichzeitig macht dies Produktionsunternehmen jedoch auch anfälliger und öffnet Cyber-Kriminellen Tür und Tor.

Cyber-Kriminelle und ungeschulte Mitarbeiter

Das Unternehmensnetzwerk – sowohl lokal als auch in der Cloud – gilt als anfällig, da es von zwei Seiten angegriffen werden kann: von außen und innen. Die Zentralisierung aller Prozesse resultiert in der ebenso zentralen Verfügbarkeit und dem vereinfachten Transfer von Daten – unter anderem mit sensiblen und/oder unternehmenskritischen Inhalten. McAfee schätzt, dass etwa ein Fünftel solcher Daten ihren Weg in die Cloud findet – ein gefundenes Fressen für Cyber-Kriminelle und Hacker. Diese finden ihren Weg über Malware direkt in die Unternehmensnetzwerke, die über externe Hardware eingeschleust oder von unaufmerksamen Mitarbeitern aus infizierten E-Mail-Anhängen oder Website-Inhalten versehentlich heruntergeladen wurden. Dort angekommen, sind sie in der Lage, den gesamten Betrieb eines Unternehmens zum Stillstand zu bringen, Produktionsvorgänge zu sabotieren, wertvolle Daten abzugreifen oder mithilfe von Ransomware, die Datensätze verschlüsselt, Lösegeld für deren Freigabe zu fordern.

Die Tücken veralteter IT-Systeme

Diese Sicherheitslücken werden durch den Einsatz von im Industriesektor nicht selten anzufindender Legacy-IT – also veralteter Systeme – nur noch verstärkt. Das verwundert nicht, immerhin wurden viele dieser Systeme vor mehr als zehn Jahren in Betrieb genommen und laufen seitdem zuverlässig – von Industrie 4.0 und Cyber-Security im Produktionsbereich war zu dieser Zeit noch gar nicht die Rede.

Was ihnen fehlt, ist die nötige Absicherung gegen Eindringlinge und unautorisierte Nutzung. Sobald ein Provider – wie bei Microsoft – den Support einstellt, entstehen Sicherheitslücken aufgrund fehlender Patches. Eine umfangreiche Systemumstellung versuchen die Inhaber von Wirtschaftsunternehmen jedoch zu vermeiden, da eine solche Aktion nicht nur generell sehr kostspielig wäre, sondern auch Produktausfälle und finanzielle Einbußen nach sich ziehen würde.

Umfassender IT- und OT-Lösungsansatz muss her

Auf nichttechnologischer Ebene kann sich der Fertigungsbereich von der Automobilindustrie in Sachen Sicherheitsprävention eine Scheibe abschneiden: 2017 wurde der Trusted Information Security Assessment Exchange (TISAX) eingeführt. Diese Zertifizierung, die McAfee 2019 erhielt, soll das Risiko auf ein Minimum reduzieren, innerhalb der Supply Chain Opfer von Industriespionage zu werden – und zwar vom Hersteller über Zulieferer bis hin zum Dienstleister. Eine solche Grundlage in Form einer Sicherheitszertifizierung könnte auch in der industriellen Fertigung potenzielle Vorfälle vorbeugen – noch bevor die Technik zum Einsatz kommen muss.

Auf der technologischen Seite stehen den Unternehmen mehrere Lösungen zur Verfügung, durch die eine Komplettumstellung auf moderne Systeme umgangen werden kann. Neben der regelmäßigen Erneuerung von starken Passwörtern, werden mit dem Whitelisting Anwendungen und Codes aufgelistet, die eine Ausführgenehmigung erhalten. Zusätzlich überwachen Data Loss Prevention (DLP)-Lösungen das gesamte System. Sobald diese eine unbefugte Aktivität identifizieren – zum Beispiel das Anschließen eines nicht genehmigten USB-Sticks – schlagen sie in Echtzeit Alarm, so dass IT-Sicherheitsverantwortliche schnell und flexibel mit Gegenmaßnahmen reagieren können.

Im Rahmen der Digitalisierung werden auch Unternehmen aus der Fertigungsbranche nicht um eine Einführung von Cloud-Services kommen. Die Cloud gilt mittlerweile als Standardtool, um die Zukunfts- und Wettbewerbsfähigkeit von Unternehmen aufrecht zu erhalten. Daher verwundert es nicht, dass es einen deutlichen Anstieg bezüglich des Wechsels hin zum flexibleren und effizienteren Cloud Computing zu verzeichnen gab. Unternehmen müssen dann auch für die Cloud robuste Sicherheitsvorkehrungen treffen. Ist ein DLP-Tool bereits im lokalen Netzwerk aktiv, greifen dessen Sicherheitsregeln nicht automatisch auch in der Cloud. Zur Erweiterung der Compliance in sämtliche Cloud-Services dienen Cloud Access Security Broker (CASB). Diese erkennen ebenfalls widerrechtliche und potenziell schadhafte Aktivitäten in Echtzeit und melden diese umgehend dem IT-Sicherheitspersonal.

Grundsätzlich müssen für einen umfassenden Schutz des „Industrial Networks“ Mensch und Maschine eng zusammenarbeiten: Es braucht aufmerksame Mitarbeiter, die ihre Umgebung stets kritisch betrachten, und technische Lösungen, die automatisiert Bedrohungen erkennen und so zur Sicherheit beitragen. Bei 103 Mrd. Euro, die mit einer unzureichenden IT-Security riskiert werden, lohnt es sich allemal, in zuverlässige, modernisierende Sicherheitsmaßnahmen zu investieren.