"Leibwächter für Maschinen": Sichere IT in der Produktion

Andreas Beierer

Synergien und verbesserte Zugriffsmöglichkeiten auf Produktionssysteme sind die gewünschten Effekte, eine durchgängige Sicherheitspolitik die daraus folgende Notwendigkeit. Denn mit den "Sprachgrenzen" verschwinden auch die natürlichen Barrieren für Schadprogramme oder Fehlbedienungen von innerhalb des Unternehmens. Dedizierte Lösungen sind gefragt, um die neuen Lücken zu schließen.

Industrial Ethernet - Chancen und Risiken

6,7 Millionen Industrial Ethernet-Devices - das prognostizieren die Marktforscher der ARC Advisory Group - werden im Jahr 2009 weltweit ausgeliefert ("Industrial Ethernet Market Outlook Study", April 2005). 2004 lag die Menge noch bei weit unter einer Million Geräte. Im Zuge der stetigen Prozessoptimierung treiben immer mehr produzierende Unternehmen die vertikale Integration ihrer Netzwerke voran. Wachstumsraten von jährlich über 50 Prozent spiegeln den Wunsch nach nahtlosen Zugriffsmöglichkeiten auf Produktionsdaten und einer effizienten zentralen Produktionssteuerung wider. Industrial Ethernet führt durch standardbasierte Komponenten zu Synergieeffekten und Kosteneinsparungen. Ein verbessertes Supply-Chain-Management wird durch unternehmensweit effizientere Prozesse in Planung, Logistik, Fertigung und Vertrieb erreicht.

Doch die schöne, neue vernetzte Welt hat auch ihre Schattenseiten. Nicht nur geplante und erlaubte Zu- und Eingriffe auf und in Produktionsprozesse werden über das gemeinsame Ethernet-Protokoll vereinfacht, auch die Gefahr von Fehlbedienungen steigt. Dort, wo früher die Inkompatibilität der Protokolle Produktionsnetze wie Inseln innerhalb der Unternehmens-IT geschützt hat, sind nun neue Kontrollinstanzen notwendig, die Zugriffe regeln und überwachen. Maschinenausfälle, die durch versehentliche - oder auch mutwillige - Fehlbedienungen an Wartungs- oder Steuerungssystemen verursacht werden, führen schnell zu sehr hohen Kosten. Die Vorfälle werden selten bekannt, doch Szenarien wie dieses entstammen der Realität:

Ein Wartungstechniker versucht, die Verbindung zwischen seinem Notebook und der Steuerung eines Industrieroboters herzustellen. Bei der Eingabe der 12-stelligen IP-Adresse unterläuft ihm ein Zahlendreher. Der Techniker schickt die neue Konfigurationsdatei über das interne Netzwerk nicht an den zu wartenden Rechner, sondern an einen Roboter einer anderen Fertigungslinie des Unternehmens. Da dieser Roboter mit der neuen Konfiguration nichts anfangen kann, geht er in Störung, die ganze Linie steht still. Kein Einzelfall: 70 bis 80 Prozent aller Störfälle werden nicht durch Angriffe von Außen, sondern durch unerlaubte, fahrlässige oder einfach nur unachtsame Zugriffe und Handlungen an Systemen von innerhalb des Netzwerks verursacht.

Dedizierte Sicherheitslösungen gefragt

Nicht von Außen - hier schützt in den meisten Fällen die zentrale Unternehmensfirewall - sondern von innerhalb des Unternehmensnetzwerks stammen auch die meisten Schadprogramme, die Automationsanlagen lahm legen. Der durchschnittliche Schaden, den ein Sicherheitsvorfall durch Viren oder Würmer anrichtet, liegt bei etwa 1,5 Millionen Euro pro Vorfall. Dies berichten die Management-, System- und Technologieberater der PA Consulting Group in einem aktuellen Report. Ihrer Ansicht nach zieht die Prozessautomatisierung außerdem zunehmend die Aufmerksamkeit von Hackern auf sich. Bereits 13% der Sicherheitsvorfälle in diesem Umfeld von 2002 bis 2005 können als Sabotage klassifiziert werden.

Die Bedrohungen sind real und müssen in der Sicherheitsstrategie produzierender Unternehmen berücksichtigt werden. Office-Lösungen wie Software-Firewalls eins zu eins auf die Produktion zu übertragen funktioniert nur bedingt. Die Anforderungen sind zu verschieden, spezialisierte Lösungen gefragt. Entscheiden sich Unternehmen für den Einsatz dedizierter Lösungen zum Schutz der Einzelnetze, müssen sie außerdem darauf achten, dass ein einfaches und unternehmensweites Management aller Zugriffsrechte und Regeln immer noch möglich ist.

Produktionsspezifische Anforderungen an Security

Ein grundlegendes Verständnis der Rahmenbedingungen in der Automatisierung ist die Voraussetzung für die richtige Wahl einer effizienten, unternehmensweiten Sicherheitslösung.

• Zum Teil werden in der Produktion - aus Kostengründen und weil sie verlässlich die benötigte Performance bieten - ganz bewusst ältere Prozessortechnologien oder Betriebssysteme eingesetzt. Allein dieser Umstand schließt bereits den Einsatz von Software-Sicherheitslösungen aus, weil für sie die vorhandenen Systemeigenschaften und -leistungen nicht ausreichen oder sie vom älteren Betriebssystem nicht unterstützt werden.
• Eine rein softwarebasierte Sicherheitslösung, die von zentraler Stelle auf alle IT-Systeme aufgespielt wird, eignet sich für manche Branchen ohnehin nicht. In Chemie- oder Pharma-Industrie müssen bestimmte Maschinen validiert werden, bevor sie überhaupt den Betrieb aufnehmen dürfen. Jede Veränderung - beispielsweise durch regelmäßig notwendige Sicherheits-Patches - zöge erneut den Zertifizierungsprozess nach sich, während dessen die Maschine zwei Wochen oder länger nicht einsatzfähig wäre.
• Entscheiden sich Unternehmen für Hardware-Lösungen, so gilt es, die speziellen Rahmenbedingungen zu beachten: die notwendige Robustheit und Ausstattung um Vibrationen, Hitze und Staub zu widerstehen, eine Versorgungsspannung von meist 24 Volt, anstatt von 220 Volt im Büro - diese Bedingungen machen den Einsatz von Security-Lösungen aus der Bürowelt unmöglich.

Der Logik dieses Ausschlussverfahrens folgend, erscheinen Hardware-Lösungen, die direkt vor die einzelne Maschine oder die Maschinengruppe geschaltet werden können, als geeignete Lösung zur Absicherung hochsensibler und teurer Produktionsanlagen.

Industrial Ethernet Security

Mittlerweile sind sogenannte Security Appliances am Markt, die den Datenverkehr auch in Produktionsnetzen absichern können. Die Hardware-Firewall mGuard industrial wurde beispielsweise speziell für den Einsatz im industriellen Umfeld konzipiert. Sie kombiniert die Eigenschaften einer Stateful Inspection Firewall, die eingehende und ausgehende Datenpakete an Hand vordefinierter Regeln überwacht, mit der Möglichkeit einer sicheren und vertraulichen Kommunikation über Virtual Private Network-Verbindungen (VPN) und Virenschutz. Ihre besondere Tauglichkeit für industrielle Anwendungen wird auch in der Erfüllung relevanter Industriestandards, der Hutschienenmontage und der einfachen Bedienbarkeit deutlich.

Die Industrie-Firewall kann als eigenständiges System in das Netzwerk integriert werden und schützt ein Teilnetz, die Produktionszelle oder das einzelne Automatisierungsgerät. Eine entscheidende Komponente des Konzepts ist die völlige Rückwirkungsfreiheit der Firewall auf das System selbst. Die patentierte "Stealth Mode"-Firewall des Berliner Sicherheitsspezialisten Innominate wird transparent der Maschine vorgeschaltet und nutzt die IP-Adresse der Maschine - für mögliche Angreifer ist die Firewall dadurch unsichtbar. Die Stealth-Firewall kann ihren Schutz entfalten, ohne dass sie das zu schützende System berührt. Eingriffe in das Betriebssystem oder Konfigurationen an der Maschine sind auch bei Sicherheitsupdates nicht notwendig. Deshalb ist auch eine Nachrüstung bestehender Systeme problemlos möglich.

Gesicherte Maschinen können über DSL direkt an Fernwartungs- und Fernwirkanwendungen angeschlossen, Automatisierungsgeräte durch einen sicheren VPN-Tunnel über das Intranet erreicht werden. Wartungstechniker können nun über das Internet die Fernwartung eines Systems bei einem Kunden durchführen, ohne dass die Gefahr der Ausspähung, des Angriffs oder des Missbrauchs besteht. Die sichere Datenübertragung kann über den gebräuchlichen Standard IPsec - optional getunnelt über HTTPS und Proxy Server - realisiert werden.

Fazit

Über Ethernet werden Maschinen und Produktionssysteme mit der Außenwelt vernetzt. Durch die Schnittstellen und die gemeinsame Sprache werden sie angreifbar, weshalb ihnen "Leibwächter" zur Seite gestellt werden müssen. Damit die erweitere Sicherheits-Infrastruktur keinen höheren Verwaltungsaufwand nach sich zieht, sind zusätzlich einfach zu bedienende, zentrale Management-Systeme zur Administration und Rechtevergabe gefragt.

Der Markt für Industrial Ethernet ist ein junger, aber stetig wachsender Markt. Es ist wichtig, gerade zu Anfang, parallel zur Phase der Planung und Implementierung der neuen Netzwerkinfrastrukturen, ein unternehmensweites Sicherheitskonzept zu verwirklichen und kostspielige Vorfälle von Anfang auszuschließen. Nur so können alle Entscheiderebenen im Unternehmen Vertrauen in die neuen Möglichkeiten fassen.

Andreas Beierer ist Director Marketing & Alliances Innominate Security Technologies AG, www.innominate.com