In einem Produktionsbetrieb, in dem es vor allem auf Betriebsverfügbarkeit ankommt, verdient sich eine Maschine, die seit Jahren denselben physikalischen Prozess nahezu störungsfrei ausführt, etwas, worüber seltener gesprochen wird als über ihre Durchsatzbilanz: institutionelles Vertrauen. Mit der Zeit führt diese stille Zuverlässigkeit dazu, dass eine bestimmte Art der Überprüfung als unnötig empfunden wird – bis zu dem Punkt, an dem die Anlage zu einem blinden Fleck der IT-Sicherheit werden kann.
Lange Zeit galt die Logik: „Was gut läuft, lässt man so, wie es ist.“ Ein Großteil der Betriebstechnik (OT) in der Fertigung war darauf ausgelegt, den physikalischen Prozess stabil zu halten. Und solange die Produktionslinie funktionierte, war es sinnvoll, die Anlage in gutem Zustand zu halten, damit sie ihre Aufgabe weiterhin erfüllen konnte.
Im Laufe der Jahre hat sich jedoch der Boden unter den Maschinen verschoben, und gerade die Anlagen, die sich am wenigsten für Veränderungen eignen, benötigen heute oft den größten Schutz. Viele Fertigungsumgebungen stehen heute vor drängenden Fragen, darunter: Wer kann über das Netzwerk auf die Anlagen zugreifen? Wie anfällig sind die Systeme, auf die die Maschinen angewiesen sind? Und ist die alte Devise – „Finger weg, solange es funktioniert“ – mittlerweile Teil des Risikos geworden?
Ausgedient?
Vor zwei oder drei Jahrzehnten machten sich in der Fertigungsindustrie nur wenige wegen Angriffen über das Internet Sorgen. Die Bedrohung existierte entweder gar nicht oder beschränkte sich auf eine Handvoll staatlicher Ziele. Die Tatsache, dass die industriellen Protokolle keine integrierten Sicherheitsvorkehrungen hatten, spielte keine große Rolle – die Maschinen waren von der IT isoliert, und nichts Unzuverlässiges konnte sie erreichen. Sie funktionierten einfach, und es gab keinen zwingenden Grund, sie anzufassen.
Bis es doch einen gab. Die „Verbindung“ von IT und OT, ein Kennzeichen der Digitalisierung und von Industrie 4.0, veränderte die Situation, da industrielle Steuerungssysteme (ICS) an Netzwerke angeschlossen wurden, für die diese Systeme nie konzipiert worden waren. Natürlich bringt die Anbindung von Produktionssystemen an Unternehmensnetzwerke greifbare Vorteile mit sich, doch die sicherheitstechnischen Auswirkungen – dass einst sichere Systeme plötzlich nicht mehr sicher waren – traten eher unbemerkt ein. Die verschiedenen Sicherheitsmängel – darunter schwache Authentifizierung, begrenzte Protokollierung, unsichere Standardeinstellungen und Update-Prozesse, die kostspielige Ausfallzeiten erfordern können – wurden plötzlich zu Risiken.
Nach Angaben des SANS Institute gehen fast 60 % der OT-Angriffe in verschiedenen Branchen vermutlich auf Kompromittierungen in den IT-Umgebungen der Unternehmen zurück. Darüber hinaus ergab eine aktuelle Umfrage des Instituts, dass 22 % der Unternehmen in systemrelevanten Branchen im vergangenen Jahr einen Cybersicherheitsvorfall meldeten, wobei 40 % der Vorfälle zu Betriebsstörungen führten und die Behebung bei fast 20 % der Fälle über einen Monat dauerte.
Das Ausmaß der Bedrohung zeigte sich letztendlich in verheerenden Cyberangriffen, wie beispielsweise dem Angriff auf Jaguar Land Rover im Jahr 2025, der heute als der verheerendste Cyberangriff in der britischen Geschichte gilt. Da Lieferketten zudem nach engen Zeitplänen ablaufen und kaum bis gar keine Fehlertoleranz zulassen, führt die Unterbrechung der Lieferkette bei einem Lieferanten mit Just-in-Time-Lieferverpflichtungen zu einer ausgewachsenen Produktionskrise, die eine lange Liste weiterer Unternehmen in Mitleidenschaft zieht.
Die Kosten einer Unterbrechung einer laufenden Produktionslinie
Eine laufende Produktionslinie zu unterbrechen, um die Infrastruktur zu modernisieren, obwohl keine offensichtlichen betrieblichen Probleme vorliegen, ist in der Regel schwer zu begründen. Die Anlagen sind zu tief in den physischen Prozess eingebettet; tatsächlich sind sie oft in dem gefangen, was die weltweit führenden Cybersicherheitsbehörden treffend als „selbst verursachte Veralterung“ bezeichnen.
Unterdessen haben Ransomware-Banden begonnen, der Fertigungsindustrie ernsthafte Aufmerksamkeit zu schenken und entdeckten eine Angriffsfläche, die sich seit Jahren ausdehnt, ohne dass entsprechende Sicherheitsinvestitionen getätigt wurden. Die Verursachung von Schäden, die sich auf eine Betriebsumgebung auswirken, unterscheidet sich zudem von einem reinen IT-Sicherheitsverstoß. Ransomware-Betreiber, von denen einige spezielle OT-Fähigkeiten entwickeln, verstehen diese Dynamik und passen ihre Forderungen entsprechend an. Manchmal reicht es aus, in die Unternehmens-IT einzudringen und den Abhängigkeiten den Rest zu überlassen.
Zweifellos verschiebt sich die wirtschaftliche Gleichung, wenn auch oft von außen nach innen. Lieferantenverträge enthalten zunehmend sicherheitsbezogene Bestimmungen, während Cyberversicherer Nachweise für Sicherheitskontrollen verlangen – und zwar so weit, dass Unternehmen, die diese nicht vorlegen können, hohe Prämien in Kauf nehmen müssen oder gar keinen Versicherungsschutz erhalten. Auch die regulatorischen Anforderungen verschärfen sich in einer Reihe von Rechtsräumen; so schreibt beispielsweise NIS2 strengere Cybersicherheitsanforderungen für Europas kritische Branchen vor, während das umfassende regulatorische Umfeld in den USA ebenfalls spezifische Maßnahmen vorschreibt, die die Sicherheitsreife in kritischen Branchen vorantreiben.
Die größten Cyberbedrohungen unter der Lupe
Nur wenige Sicherheitsanbieter waren den Bedrohungen für kritische Infrastrukturen so nah auf der Spur wie ESET. Im Laufe der Jahre hat das Bedrohungsforschungsteam des Unternehmens einige der bedeutendsten Vorfälle der Geschichte unter die Lupe genommen – darunter BlackEnergy, das 2015 in der Ukraine einen vier- bis sechsstündigen Stromausfall für 230.000 Menschen auslöste, dessen Nachfolger GreyEnergy sowie Industroyer, die hochgradig anpassbare Malware, die mehrere industrielle Kommunikationsprotokolle beherrscht, die weltweit in kritischen Infrastruktursystemen verwendet werden, und 2016 einen Stromausfall in Kiew verursachte. Im Jahr 2022 identifizierten ESET-Forscher zudem Industroyer2, das erneut auf die Energieinfrastruktur der Ukraine abzielte. Darüber hinaus dokumentierte die Analyse von NotPetya durch ESET, wie ein Angriff ohne spezifisches OT-Ziel dennoch Unternehmen, die in großem Umfang Betriebstechnologie einsetzen – darunter auch Hersteller –, schwer schädigen kann.
(Wieder-)Aufbau der Sicherheit rund um Ihre kritischen Anlagen
Natürlich können Sie nicht schützen, was Sie nicht sehen können, und eine angemessene Transparenz der Anlagen bleibt die Grundlage jeder ernstzunehmenden Strategie zur Risikominderung. Beginnen Sie damit, zu erfassen, welche Systeme in einer Umgebung vernetzt sind und keinen Sicherheitsschutz genießen, wo sich IT- und OT-Netzwerke überschneiden, welche Segmente nicht überwacht werden und welche Produktionssysteme nicht mehr unter einen Supportvertrag mit dem Hersteller fallen. Angesichts der Komplexität cyber-physischer Systeme gibt es offensichtlich keinen einheitlichen Ansatz für die Bestandsaufnahme von Anlagen und andere Aufgaben.
Auch die tatsächliche Bereitstellungsarchitektur muss frühzeitig geklärt werden. Ob nun aus Konstruktionsgründen oder aufgrund von Kundenverträgen, regulatorischen Verpflichtungen oder anderen Gründen – manche Fertigungsumgebungen unterliegen Air-Gap-Anforderungen. Sicherheitsplattformen, die in erster Linie auf Cloud-Konnektivität ausgelegt sind, entsprechen daher möglicherweise weder den Anforderungen noch dem Budget.
Gleichzeitig erfüllen handelsübliche Sicherheitstools oft nicht effizient die Unternehmensanforderungen in älteren OT-Systemen, die auf veralteter Hardware und veralteten Betriebssystemversionen laufen. Die Tools müssen stabil und unauffällig genug sein, um auf Systemen mit begrenzten Ressourcen zu laufen, ohne die Produktion zu beeinträchtigen. Der Netzwerkschutz wiederum bewährt sich gerade auf Geräten, auf denen überhaupt kein Sicherheitsagent ausgeführt werden kann – was in den meisten Fertigungsumgebungen keineswegs eine Ausnahme darstellt.
Langfristiger Support schließt die Lücken, die die anderen Schichten nicht vollständig schließen können. Wenn ein ICS-Anbieter die Entwicklung einer Plattformversion einstellt, werden die Updates irgendwann eingestellt. Die Produktionssysteme, auf denen diese Version läuft, sind noch jahrelang in Betrieb und sind dadurch immer mehr Bedrohungen ausgesetzt. Supportzusagen, die über den ursprünglichen Supportzeitraum des Anbieters hinausgehen, sind im Bereich der Cybersicherheit vergleichbar mit dem Abschluss eines langfristigen Ersatzteilvertrags für ein Auto, dessen Produktion schon vor Jahren eingestellt wurde. Die Maschine bleibt „fahrtauglich“.
Für einen jahrelangen Betrieb ausgelegt
Die Fertigungsindustrie blickt auf eine lange Geschichte zurück, in der sie sich durch technische Lösungen aus Krisen befreit hat. Sie hat dabei auch eine Reihe harter Lektionen gelernt, darunter die Erkenntnis, dass das Ignorieren eines bekannten Problems dazu führt, dass sich die damit verbundenen Kosten verlagern – und oft vervielfachen. Die Cyberbedrohung für die OT-Infrastruktur ist mittlerweile gut dokumentiert, und die Werkzeuge zu ihrer Bekämpfung sind vorhanden. In dieser Branche sollte dies ausreichen, um Dinge in Gang zu bringen – und letztendlich Cyber-Resilienz in die Betriebsabläufe der Branche zu integrieren.
