Cybersicherheit für kritische Infrastruktur
Wasser, Verkehr, Gesundheitsversorgung und andere wichtige Dienste, die OT und IT zusammen betreiben, oft mit Fernzugriff für Dienstleister.
Wichtige Dienste, die nicht ausfallen dürfen.
Wasserversorgung, Verkehr, Gesundheitsversorgung und öffentliche Dienste betreiben IT und OT nebeneinander, oft mit Fernzugriff für Dienstleister. Fällt etwas aus, merken es die Bürger innerhalb von Stunden.
NIS2 und die deutschen KRITIS-Regeln machen die Geschäftsleitung für Risikomanagement und Meldungen verantwortlich. Zulieferer kritischer Betreiber treffen heute über Verträge und Audits dieselben Erwartungen.
Für wen
- Betreiber von Wasser-, Abwasser- und Fernwärmeanlagen
- Verkehrsunternehmen und Infrastrukturbetreiber
- Öffentliche Verwaltungen und kommunale IT-Dienstleister
- Zulieferer und Dienstleister kritischer Betreiber
Wo kritische Infrastruktur heute angreifbar ist
Die Angriffswege, die wir bei Betreibern wichtiger Dienste und ihren Zulieferern am häufigsten sehen.
Fernzugriff
Zugang von Dienstleistern
Viele Hersteller warten Systeme aus der Ferne. Jeder Zugang ist eine Tür, die kontrolliert und protokolliert werden muss.
Lieferkette
Kritische Zulieferer
Betreiber hängen von Software- und Dienstleistern ab. Ein Angriff auf einen Zulieferer kann den Dienst selbst stoppen.
Identitäten
Konten ohne Multi-Faktor-Authentifizierung
Ein einziges gestohlenes Passwort für VPN oder E-Mail ist noch immer der häufigste Weg ins System.
Altsysteme
Alternde Leitsysteme
SCADA- und Prozessleitsysteme laufen jahrzehntelang, oft auf Systemen, die sich nicht mehr patchen lassen.
IT und OT
Gemeinsame Infrastruktur
Teilen sich Abrechnung, Planung und Steuerung eine Infrastruktur, legen Betreiber nach einem IT-Angriff vorsorglich auch den Betrieb still.
Wiederherstellung
Erreichbare Datensicherungen
Sicherungen, die aus demselben Netz erreichbar sind, werden mit verschlüsselt. Die Wiederherstellung dauert dann Monate statt Tage.
Standorte
Abgelegene Standorte
Pumpstationen, Umspannwerke und Stellwerke sind weit verteilt und physisch schwer zu schützen.
Menschen
Phishing und Social Engineering
Betriebspersonal wird gezielt angegriffen. Schulungen und klare Abläufe senken das Risiko.
Wenn es schiefgeht
Drei dokumentierte Fälle aus wichtigen Diensten. Sie zeigen, wie ein gestohlenes Passwort oder ein kompromittierter Zulieferer einen Dienst stoppen kann, auf den Millionen angewiesen sind.
Mai 2021, Ransomware
Colonial Pipeline: Treibstoffversorgung der US-Ostküste stoppt
Angreifer nutzten das Passwort eines alten VPN-Kontos ohne Multi-Faktor-Authentifizierung, um in das IT-Netz von Colonial Pipeline einzudringen, und setzten am 7. Mai 2021 Ransomware ein. Vorsorglich legte das Unternehmen seine rund 8.850 Kilometer lange Pipeline still.
Folgen
Die Pipeline, die rund 45 Prozent des Treibstoffs der US-Ostküste transportiert, stand fünf Tage still. Hamsterkäufe führten zu Engpässen an Tankstellen, und das Unternehmen zahlte ein Lösegeld von 4,4 Millionen US-Dollar.
Quellen: Aussage von Colonial Pipeline vor dem US-Senat, Juni 2021; US-Justizministerium
Juli 2021, Ransomware
Anhalt-Bitterfeld: Deutschlands erster Cyber-Katastrophenfall
Am 6. Juli 2021 verschlüsselte Ransomware die IT-Systeme der Kreisverwaltung Anhalt-Bitterfeld. Drei Tage später rief der Landkreis den Katastrophenfall aus, den ersten in Deutschland nach einem Cyberangriff.
Folgen
Sozialleistungen konnten mindestens eine Woche lang nicht ausgezahlt werden, und Dienste wie die Kfz-Zulassung standen still. Der Katastrophenfall dauerte mehr als sechs Monate, die Kosten wurden auf rund 2 Millionen Euro geschätzt.
Quellen: dpa; MDR; Volksstimme
Oktober 2022, Angriff auf einen Zulieferer
Dänische Bahn: alle Züge stehen still
Angreifer kompromittierten eine Testumgebung von Supeo, einem Anbieter von Betriebssoftware für die dänische Bahn. Supeo schaltete seine Server ab, und die Lokführer verloren die App mit sicherheitskritischen Informationen.
Folgen
Am Morgen des 29. Oktober 2022 standen alle DSB-Züge in Dänemark still. Der Nahverkehr lief am Nachmittag wieder an, der Fernverkehr erst am nächsten Tag.
Quellen: DSB; Reuters; International Railway Journal
So sieht ein funktionierender Sicherheitsansatz für wichtige Dienste aus
Sechs Bausteine, die NIS2 und die KRITIS-Regeln erfüllen und den Betrieb am Laufen halten.
1
Risikomanagement durch die Geschäftsleitung
Die Geschäftsleitung billigt und überwacht die Maßnahmen gegen Cyberrisiken, wie NIS2 es verlangt.
2
Sicherheit bei Zulieferern
Sicherheitsanforderungen in Verträgen, Bewertungen kritischer Zulieferer und Ausstiegspläne.
3
Sicherer Fernzugriff
Persönlicher, freigegebener und protokollierter Zugang für jeden Dienstleister.
4
Getrennte IT und OT
Segmentierte Netze, damit ein IT-Vorfall nicht zur Abschaltung des Betriebs zwingt.
5
Reaktion auf Vorfälle und Meldung
Rollen, Leitfäden und Meldungen innerhalb der NIS2-Fristen von 24 Stunden, 72 Stunden und einem Monat.
6
Getestete Wiederherstellung
Offline-Sicherungen und Übungen, die zeigen, dass Sie wichtige Dienste wiederherstellen können.
So helfen wir
Von der NIS2-Einstufung bis zu einem geprüften Sicherheitsmanagement und einer getesteten Wiederherstellung.
Regulatorik und Compliance
Klarheit zu NIS2, den KRITIS-Regeln und Ihren Branchenanforderungen.
Was wir tun
- NIS2-Betroffenheit und Einstufung als Einrichtung
- Gap-Analyse gegen NIS2- und BSI-Anforderungen
- Roadmap und Unterstützung bei der BSI-Registrierung
Sie erhalten
Einstufung, Lückenliste, Roadmap
Sicherheitsmanagement und Audits
Ein ISMS, das im Audit besteht und im Alltag funktioniert.
Was wir tun
- ISO 27001, auch auf Basis von IT-Grundschutz
- Vorbereitung auf KRITIS-Nachweisprüfungen
- Sicherheitsprogramm für Zulieferer
Sie erhalten
ISMS-Dokumentation, Auditplan
OT- und Anlagensicherheit
Leitsysteme, die weiterlaufen, wenn die IT angegriffen wird.
Was wir tun
- Bewertung nach IEC 62443 und dem ICS-Kompendium des BSI
- Konzept für Zonen und Fernzugriff
- Planung der Wiederherstellung
Sie erhalten
Zonenmodell, Maßnahmenplan, Wiederanlaufplan
Tests und Vorbereitung auf Vorfälle
Schwachstellen finden, bevor Angreifer es tun, und wissen, was im Ernstfall zu tun ist.
Was wir tun
- Penetrationstests von IT, OT und Fernzugriff
- Notfall-Leitfäden und Übungen
- Meldeprozess nach NIS2
Sie erhalten
Testbericht, Leitfäden, Meldeprozess
So arbeiten wir
Schritt 1
Umfang
Wir legen Dienste, Standorte und Regeln fest.
Schritt 2
Bewerten
Interviews, Standortbesuche und eine Prüfung der Unterlagen zeigen, wo Sie stehen.
Schritt 3
Umsetzen
Wir setzen Maßnahmen und Dokumentation mit Ihrem Team um.
Schritt 4
Nachweisen
Übungen, Tests und Audit-Vorbereitung schließen die Lücken, auf die es ankommt.
Normen und Vorschriften
NIS2-Richtlinie (EU) 2022/2555
Risikomanagementmaßnahmen, Verantwortung der Geschäftsleitung und Meldung von Vorfällen innerhalb von 24 Stunden, 72 Stunden und einem Monat. In Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025.
BSI-Gesetz und KRITIS-Verordnung
Betreiber kritischer Anlagen müssen Sicherheit nach dem Stand der Technik umsetzen und dem BSI regelmäßig Nachweise vorlegen.
CER-Richtlinie (EU) 2022/2557
Resilienz kritischer Einrichtungen, einschließlich physischer Sicherheit und Betriebskontinuität, als Ergänzung zu NIS2.
ISO/IEC 27001
Die Grundlage für ein Informationssicherheits-Managementsystem, auch als ISO 27001 auf Basis von IT-Grundschutz.
IEC 62443
Sicherheit für die industriellen Steuerungssysteme in Wasserversorgung, Energie und Verkehr.
Passende Leistungen und Module
Die Beratungsleistungen und AITIGRITY-Module, die Betreiber und ihre Zulieferer am häufigsten nutzen.
Unsicher, wo Sie anfangen sollen?
Ein kurzes Gespräch zeigt, ob NIS2 für Sie gilt und welche Schritte zuerst kommen.
Mit einem Experten sprechenHäufige Fragen
Fallen wir unter NIS2?
Das hängt von Ihrer Branche und Größe ab. Viele Betreiber und oft auch ihre Zulieferer sind heute wesentliche oder wichtige Einrichtungen. Wir prüfen Ihre Einstufung und die Pflichten, die daraus folgen.
Was muss die Geschäftsleitung nach NIS2 tun?
Die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. In Deutschland kann die Geschäftsleitung für Verstöße haften.
Wie schnell müssen wir einen Vorfall melden?
Eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. In Deutschland gehen die Meldungen an das BSI.
Wir beliefern kritische Betreiber. Was bedeutet das für uns?
Ihre Kunden müssen Risiken in der Lieferkette steuern und werden deshalb Nachweise Ihrer Sicherheit verlangen. Wir helfen Ihnen, sie vorzubereiten.
Wo steht Ihr Produkt?
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.