Cybersicherheit für Industrieautomation und OT
SPS, Antriebe, Roboter, Industrie-PCs, Gateways und Engineering-Software, verbunden mit IT-Netzen, Clouds und Fernwartung.
Eine Produktion, die laufen muss, gebaut aus Komponenten, denen man vertrauen muss.
Die Industrieautomation verbindet SPS, Antriebe, Roboter, Bediengeräte und Engineering-Stationen mit IT-Netzen, Cloud-Diensten und Fernwartung. Anlagen laufen jahrzehntelang, und viele Geräte wurden für abgeschottete Netze entwickelt.
Zwei Gruppen tragen das Risiko. Hersteller von Automatisierungskomponenten müssen heute die Produktsicherheit nach CRA und IEC 62443 nachweisen. Betreiber erleben Stillstände, wenn Ransomware aus dem Büro in die Anlage gelangt.
Für wen
- Hersteller von SPS, Antrieben, Sensoren, Bediengeräten und Industrie-PCs
- Maschinenbauer und Systemintegratoren
- Betreiber von Produktions- und Prozessanlagen
- Anbieter von Fernwartung und Industriesoftware
Wo Anlagen und Komponenten heute angreifbar sind
Die Angriffswege, die wir in der Industrieautomation und der Betriebstechnik am häufigsten sehen.
Fernzugriff
Fernwartung
VPNs und Fernwartungs-Tools von Integratoren und Herstellern sind oft dauerhaft aktiv, mit gemeinsamen Konten. Sie sind der häufigste Weg in Anlagennetze.
Netzwerk
Flache Anlagennetze
Büro und Produktion teilen sich ein Netz. Ransomware, die mit einer E-Mail beginnt, erreicht SPS und Bediengeräte.
Engineering
Engineering-Stationen
Wer die Engineering-Station kontrolliert, kann SPS-Programme ändern. Diese PCs werden selten gepatcht und kaum überwacht.
Protokolle
Protokolle ohne Authentifizierung
Viele Industrieprotokolle nehmen Befehle von jedem im Netz an. Ein einziger kompromittierter Rechner kann den Prozess stoppen oder verändern.
Altsysteme
Systeme ohne Patches
Steuerungen und Betriebssysteme bleiben jahrzehntelang im Einsatz. Wo Patches nicht möglich sind, braucht es ausgleichende Maßnahmen.
Funktionale Sicherheit
Sicherheitssteuerungen
Sicherheitssteuerungen sind die letzte Verteidigungslinie. Teilen sie das Netz mit allem anderen, können auch Angreifer sie erreichen.
Lieferkette
Firmware und Bibliotheken von Dritten
Geräte werden mit Software vieler Hersteller ausgeliefert. Eine Schwachstelle in einer verbreiteten Bibliothek trifft viele Produkte und Anlagen zugleich.
Cloud
IIoT- und Cloud-Verbindungen
Gateways senden Maschinendaten in Clouds und Dashboards. Schlecht gesicherte Verbindungen öffnen einen Weg zurück in die Anlage.
Wenn es schiefgeht
Drei dokumentierte Fälle aus der Industrie. Sie zeigen, wie ein Angriff von der IT in die Produktion gelangt und warum auch Komponentenhersteller Ziele sind.
März 2019, Ransomware
Norsk Hydro: Aluminiumproduktion läuft im Handbetrieb
Die Ransomware LockerGoga traf den norwegischen Aluminiumhersteller am 19. März 2019 und breitete sich im weltweiten Netz aus. Viele Werke stellten auf Handbetrieb um, um weiterzuproduzieren.
Folgen
Das Unternehmen schätzte den finanziellen Schaden allein der ersten Woche auf 300 bis 350 Millionen norwegische Kronen. Einige Geschäftsbereiche standen tagelang fast still.
Quellen: Mitteilungen von Norsk Hydro, März 2019; Al Circle
2017, Angriff auf ein Sicherheitssystem
Triton: Schadsoftware gegen die letzte Verteidigungslinie
In einer petrochemischen Anlage in Saudi-Arabien setzten Angreifer Schadsoftware ein, die Triconex-Sicherheitssteuerungen manipulieren sollte, also die Steuerungen, die einen Prozess sicher herunterfahren.
Folgen
Ein Fehler im Angriff löste das Sicherheitssystem aus und fuhr die Anlage herunter, dadurch wurde er entdeckt. Es war die erste bekannte Schadsoftware, die gezielt Sicherheitssysteme zum Schutz von Menschenleben angreift.
Quellen: Mandiant (FireEye), Dezember 2017; CISA
Oktober 2019, Ransomware
Pilz: ein Automatisierungshersteller weltweit offline
Das deutsche Automatisierungsunternehmen wurde am 13. Oktober 2019 von Ransomware getroffen. Alle Server und PC-Arbeitsplätze weltweit waren betroffen, auch die Kommunikationssysteme, und das Unternehmen nahm seine Systeme vom Netz.
Folgen
Eine Woche später war die Lieferfähigkeit erst in einigen Bereichen zurück. Auch Komponentenhersteller sind Ziele, und ihr Ausfall trifft jeden Kunden, der auf Teile wartet.
Quellen: Mitteilung von Pilz, Oktober 2019; ZDNet; Bitdefender
So sieht ein funktionierender OT-Sicherheitsansatz aus
Sechs Bausteine aus IEC 62443, die für Komponentenhersteller und Anlagenbetreiber gleichermaßen funktionieren.
1
Asset-Inventar
Jedes Gerät, seine Firmware und seine Verbindungen sind bekannt. Was man nicht sieht, kann man nicht schützen.
2
Zonen und Conduits
Die Anlage wird in Zonen aufgeteilt, und jede Verbindung dazwischen wird kontrolliert, wie IEC 62443-3-2 es beschreibt.
3
Sicherer Fernzugriff
Persönlicher, zeitlich begrenzter Zugang für Hersteller und Integratoren, mit Freigabe und Protokollierung.
4
Sichere Entwicklung
Ein Produktsicherheitsprozess für Komponentenhersteller, abgestimmt auf IEC 62443-4-1 und den CRA.
5
Schwachstellen- und Patchmanagement
Sicherheitshinweise werden bewertet, Patches wo möglich eingespielt, und Systeme ohne Patches werden geschützt.
6
Erkennung und Wiederanlauf
Überwachung des OT-Netzes, getestete Sicherungen und ein Plan für den Neustart der Produktion nach einem Angriff.
So helfen wir
Für Komponentenhersteller und Anlagenbetreiber, von der ersten Bewertung bis zum getesteten Schutz.
OT- und Anlagensicherheit
Eine Anlage, die weiterläuft, wenn die IT angegriffen wird.
Was wir tun
- Bewertung nach IEC 62443-2-1 und 62443-3-3
- Modell aus Zonen und Conduits mit Risikobewertung
- Konzept für Fernzugriff, Datensicherung und Wiederanlauf
Sie erhalten
Zonenmodell, Risikobewertung, Maßnahmenplan
Produktsicherheit in der Entwicklung
Konformität mit IEC 62443 und CRA für Ihre Automatisierungskomponenten.
Was wir tun
- Bedrohungsanalyse pro Produktlinie
- Sicherheitsanforderungen auf Basis von IEC 62443-4-2
- Sicherer Entwicklungsprozess nach IEC 62443-4-1
Sie erhalten
Bedrohungsanalyse, Anforderungskatalog, Prozessdokumentation
Regulatorik und Compliance
Klarheit zu CRA, NIS2 und Maschinenverordnung für Ihre Produkte und Standorte.
Was wir tun
- Prüfung der Anwendbarkeit und Einstufung nach dem CRA
- Gap-Analyse gegen die grundlegenden Anforderungen
- Roadmap mit Prioritäten und Aufwand
Sie erhalten
Einstufung, Lückenliste, Roadmap
Tests und Umgang mit Schwachstellen
Der Nachweis, dass Ihre Produkte und Anlagen echten Angriffen standhalten.
Was wir tun
- Penetrationstests von Komponenten und Anlagennetzen
- Reaktion auf Sicherheitsvorfälle bei Produkten und koordinierte Offenlegung
- Vorbereitung auf die Meldepflichten des CRA
Sie erhalten
Testbericht, Reaktionsprozess, Meldeleitfaden
So arbeiten wir
Schritt 1
Umfang
Wir legen Produkte, Anlagen und Normen fest.
Schritt 2
Bewerten
Standortbesuche, Workshops und eine Prüfung der Unterlagen zeigen, wo Sie heute stehen.
Schritt 3
Umsetzen
Wir erstellen die Arbeitsergebnisse mit Ihren Ingenieuren oder erzeugen sie mit AITIGRITY.
Schritt 4
Nachweisen
Tests, Reviews und Audit-Vorbereitung schließen die Lücken, auf die es ankommt.
Normen und Vorschriften
IEC 62443
Die internationale Normenreihe für industrielle Automatisierungs- und Steuerungssysteme: Sicherheitsprogramm (2-1), Risikobewertung mit Zonen und Conduits (3-2), Systemanforderungen (3-3), sichere Entwicklung (4-1) und Anforderungen an Komponenten (4-2).
Cyber Resilience Act (EU) 2024/2847
Gilt für Automatisierungskomponenten mit digitalen Elementen. Die Meldepflichten gelten seit dem 11. September 2026, die vollständigen Anforderungen ab dem 11. Dezember 2027.
NIS2
Viele Industrieunternehmen sind heute wesentliche oder wichtige Einrichtungen mit Pflichten zu Risikomanagement und Meldung von Vorfällen. In Deutschland ist das NIS2-Umsetzungsgesetz seit Dezember 2025 in Kraft.
Maschinenverordnung (EU) 2023/1230
Ab dem 20. Januar 2027 müssen Maschinen gegen Korrumpierung geschützt sein, auch über angeschlossene Geräte und Fernzugriff.
IEC 61508 und IEC 61511
Funktionale Sicherheit für elektrische Systeme und die Prozessindustrie. IEC 61511 verlangt eine Bewertung der Security-Risiken für sicherheitstechnische Systeme.
Passende Leistungen und Module
Die Beratungsleistungen und AITIGRITY-Module, die in der Industrieautomation am häufigsten genutzt werden.
Unsicher, wo Sie anfangen sollen?
Ein kurzes Gespräch zeigt, welche Anforderungen für Ihre Produkte oder Anlagen gelten und was zuerst kommt.
Mit einem Experten sprechenHäufige Fragen
Wir stellen Automatisierungskomponenten her. Welche Teile von IEC 62443 sind für uns wichtig?
Vor allem 62443-4-1 für den Entwicklungsprozess und 62443-4-2 für die technischen Anforderungen an Ihre Komponenten. Zusammen mit dem CRA legen sie fest, was Kunden und Behörden verlangen werden.
Unsere Anlage läuft auf Systemen, die sich nicht patchen lassen. Was können wir tun?
Teilen Sie sie in Zonen auf, kontrollieren Sie die Verbindungen, beschränken Sie den Fernzugriff und überwachen Sie das Netz. IEC 62443 nennt das ausgleichende Maßnahmen.
Gilt NIS2 für unser Unternehmen?
Viele Branchen der Industrie sind ab einer bestimmten Unternehmensgröße erfasst. Wir prüfen, ob Sie eine wesentliche oder wichtige Einrichtung sind und was daraus folgt.
Können Sie mit unseren Integratoren und Zulieferern arbeiten?
Ja. Wir legen Anforderungen an Integratoren und Zulieferer fest und prüfen ihre Arbeit, damit die Anlage das Ziel-Sicherheitslevel erreicht.
Wo steht Ihr Produkt?
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.