Die moderne IT-Technologie ist heute auch aus den klassischen Produktionsbereichen vieler Industrieunternehmen nicht mehr wegzudenken. In der Automatisierungs- und Prozessleittechnik, die hier die zentralen Produktions- und Versorgungsprozesse steuert und kontrolliert, werden immer häufiger Systeme und Technologien aus dem klassischen IT-Umfeld eingesetzt:

Automatisierungskomponenten wie SPSen (Speicherprogrammierbare Steuerungen) kommunizieren über TCP/IP und Industrial Ethernet, Prozessleitsysteme laufen auf Windows- oder Unix-Systemen, Maschinen beziehen ihre Produktionsaufträge aus SQL-Datenbanken oder direkt aus SAP. Neben den erwünschten positiven Effekten, wie Kostenreduktion und erhöhte Produktivität führt diese Entwicklung allerdings auch dazu, dass sensible Produktionsprozesse nun in zunehmendem Maße direkt von IT-Sicherheitsbedrohungen betroffen sind, die man bisher auf das Gebiet der klassischen „Office-IT“ beschränkt glaubte – wie beispielsweise Schadsoftwarebefall, Datenverlust oder gar Zugriffe durch Unbefugte. Die Schäden, die hier durch IT-Sicherheitsvorfälle verursacht werden, können leicht weitreichende Ausmaße annehmen, wenn z.B. als Folge eines Virenbefalls die Produktion für mehrere Stunden oder Tage stillsteht. Je nach Art der gesteuerten Prozesse kann es unter Umständen sogar zu Gefährdungen der Umwelt oder zu Personenschäden kommen.

Besonders problematisch ist, dass sich viele bewährte Standard-Sicherheitsmaßnahmen aus der Büro-IT häufig im Prozess- oder Produktionsbereich nicht anwenden lassen. Antivirus-Software oder aktuelle Sicherheitspatches können nicht installiert werden, weil Hersteller dann die Lauffähigkeit ihrer Systeme nicht mehr garantieren oder weil sehr aufwändige Tests und Revalidierungen nötig wären. Meistens ist auch eine kurzzeitige Außerbetriebnahme von Komponenten zum Einspielen und Testen eines Sicherheitsupdates nicht möglich, da der Produktionsprozess rund um die Uhr aufrecht erhalten werden muss. Häufig scheitern Sicherheitsmaßnahmen auch schlicht daran, dass – bedingt durch die im Vergleich zur Standard-IT sehr langen Systemlebenszeiten – oft noch veraltete Betriebssysteme wie Windows NT oder Solaris 8 genutzt werden, für die vom Hersteller kein Support mehr geleistet wird und für die auch keine Updates mehr zur Verfügung gestellt werden. Ein weiteres Problem ist, dass viele Systeme ursprünglich nicht mit dem Design-Ziel „IT-Sicherheit“ entwickelt und projektiert wurden – so stürzen einzelne Automatisierungskomponenten oder gar ganze Leitsysteme häufig schon bei einfachsten Sicherheitstests, wie sie z.B. ein Port-Scanner durchführt, nach kurzer Zeit ab. Zudem sind die im industriellen Umfeld eingesetzten Kommunikationsprotokolle wie z.B. Modbus-TCP oder die verschiedenen, proprietären SPS-Protokolle nicht gegen unberechtigtes Auslesen von Informationen oder Daten-Manipulationen geschützt.

Konsequenz: mit frei verfügbaren Tools ist es möglich über das Netzwerk Steuerungen zu stoppen, laufende Programme zu manipulieren, Merker zu löschen oder SPS-Ausgänge anzusteuern. Erschwerend kommt hinzu, dass durch den stark wachsenden Bedarf nach Datenintegration und zeitnahem Datenzugriff immer mehr Schnittstellen zwischen den produktionsnahen Systemen und der klassischen Büro-Welt geschaffen werden – sowohl innerhalb des Unternehmens aber auch zu externen Partnern wie Zulieferern oder Kunden. Auch durch Fernwartung von Systemherstellern und Lieferanten über Modem oder VPN-Verbindungen wird die Abschirmung kritischer Produktionsnetze gegenüber externen Systemen immer weiter aufgeweicht.

Die hier nur kurz beschriebene, vielschichtige Problematik macht deutlich, dass zur Sicherung produktionsnaher Systeme gegen IT-Security-Bedrohungen durchdachte und individuelle Schutzkonzepte nötig sind. Im Folgenden soll anhand des Pilot-Projekts „Sicheres Produktionsnetz“ in einem großen, internationalen Unternehmen der Nahrungs- und Genussmittelindustrie gezeigt werden, wie eine systematische Herangehensweise entwickelt und mit grundlegenden IT-Sicherheitsmaßnahmen erste erfolgreiche Schritte zur Absicherung einer Produktionsumgebung unternommen werden konnten.

Ausgangssituation und Projektziele

Das Pilotprojekt „Sicheres Produktionsnetz“ soll als Teil eines konzernweiten IT-Security-Projekts die Umsetzbarkeit organisatorischer und technischer Sicherheitsmaßnahmen im Produktionsbereich des international tätigen Unternehmens überprüfen. Die Ergebnisse und Erfahrungen fließen in das übergeordnete, länderübergreifende Security-Projekt ein – langfristiges Ziel ist hierbei ein konsistenter Schutz und einheitliche Regularien für alle Produktionsstandorte weltweit. Das Pilotprojekt wurde mit der Unterstützung unseres Unternehmens an einem der europäischen Hauptproduktionsstandorte realisiert, dessen Produktionsnetz mit Hinblick auf die Heterogenität der eingesetzten Anlagen, Systeme und Technologien repräsentativ für die Fertigungsumgebungen vieler anderer Konzernstandorte ist.

Im Werk werden mehrere unterschiedliche Produkte hergestellt: die Fertigung umfasst dabei jeweils den vollständigen Produktionsprozess von der Anlieferung der Rohstoffe bis hin zur Endverpackung. Im betrachteten Produktionsnetzwerk sind über tausend Komponenten aus den unterschiedlichsten Bereichen installiert. Das Spektrum reicht hierbei von einfachen Office- und Engineering-PCs, Wartungs-Laptops, Touchpanel-HMIs über Programmiergeräte, Handscanner, Etikettierer und Waagen bis hin zu proprietären Leitsystemen und Automatisierungskomponenten. Das Netzwerk war zu Projektbeginn logisch in einzelne Segmente unterteilt, eine Einschränkung der Kommunikation zwischen den Einzelnetzen, z.B. mittels Firewalls, fand allerdings nicht statt. Des Weiteren war die standort-übergreifende Kommunikation innerhalb des Konzernnetzes auch nur geringfügig limitiert. Die Ethernet-Vernetzung war – wie in vielen ähnlichen Unternehmen – über die Zeit historisch gewachsen, was dann eine enge betriebliche Vermischung von Systemen aus der Office-Welt und reinen Produktionskomponenten zur Folge hatte. Als problematisch stellte sich auch die Tatsache heraus, dass viele Systeme und Anlagen durch externe Projektierer entwickelt worden waren und das deshalb nicht alle Kommunikationsbeziehungen, insbesondere über die Grenzen einer Anlage, ausreichend dokumentiert bzw. bekannt waren. Wartung durch Fremdfirmen wurde bisher nur vor Ort durchgeführt, wobei der Anschluss von Fremdgeräten der Wartungsfirmen (z.B. Programmiergeräte oder Wartungslaptops) möglichst eingeschränkt, aber nicht komplett unterbunden werden konnte. Fernwartung oder Remotezugriffe auf das Netzwerk finden bisher nur durch eigenes Personal statt. Es wird aber erwartet, dass in Zukunft auch externe Dienstleister vermehrt Fernwartungszugänge und Teleservice-Dienste nutzen werden. Durch einige kleinere Sicherheitsvorfälle, wie versehentliche Programmier- und Parametrierzugriffe auf die „falsche“ SPS, Abstürze von Automatisierungskomponenten durch Ethernet-Überlast oder die Infektion von Maschinensteuerungen mit Viren waren die verantwortlichen Netzwerkbetreiber schon für die IT-Sicherheitsproblematik im Produktionsumfeld sensibilisiert.

• Verwandte Themen
• Sicherheit im elektronischen Geschäfts- und Behördenverkehr (2)
• Juristische Fallstricke bei Scan-/Pentests?
• Probleme im Zertifikatsmanagement der elektronischen Gesundheitskarte
• Sicherheit von Web-Applikationen – Therapieren von Symptomen oder Schaffung einer gesunden (sicheren) Basis?
• GAI NetConsult: Sicherheitsfragen zum Einsatz von Skype
• adMERITia: SCADA-Systeme kommen in sogenannten Prozessdatennetzen (PDN), Prozessnetzen (PZN) oder Prozesssteuerungsnetzen (PSN) zum Einsatz.
• Angriffe auf die Festplattenverschlüsselung