Warum Segmentierung und Zugriffskontrolle entscheidend sind

In der europäischen Bedrohungsstatistik für Cyberkriminalität spielt die Fertigungsindustrie eine vergleichsweise geringe Rolle. Allerdings ist Bewegung in die Zahlen gekommen, wie der ENISA Threat Landscape Report belegt: Gemessen am Anteil der gemeldeten Vorfälle pro Sektor ist die Branche binnen eines Jahres von Platz sieben auf Platz vier vorgerückt. Damit gehört die Fertigungsindustrie erstmals zu den fünf am stärksten betroffenen Sektoren in der EU.

Einer der wichtigsten Gründe für diesen Anstieg ist die zunehmende Vernetzung: Produktionssysteme sind heute vielfach mit IT-Netzwerken und externen Systemen verbunden, wodurch zusätzliche Eintrittspunkte für Angreifer entstehen. Je enger IT und OT technisch zusammenwachsen, desto größer wird die Angriffsfläche für Cyberkriminelle. Der ENISA Report bestätigt, dass neben mobilen Geräten insbesondere Systeme der Betriebstechnik (OT) ein attraktives Ziel für Cyberattacken sind.

Die Folgen eines Angriffs können gravierend sein. Eine Unterbrechung des Betriebs zählt zu den häufigsten unmittelbaren Auswirkungen. Hinzu kommen finanzielle Schäden, Reputationsverluste sowie der Abfluss oder Verlust von Daten. (Quelle: ZEW, Leibniz-Zentrum für Europäische Wirtschaftsforschung). Für produzierende Unternehmen kann bereits der Ausfall einzelner Systeme erhebliche Auswirkungen auf Lieferketten und Produktionsprozesse haben.

Netzwerksegmentierung ist eine wichtige Maßnahme, um die Auswirkungen von Cyberangriffen zu begrenzen. Dabei werden Netzwerke in viele kleine Segmente unterteilt. Das Prinzip gleicht den Schotten auf einem Schiff, die bei Wassereinbruch verhindern können, dass das gesamte Schiff vollläuft und sinkt. Übertragen auf die IT- und OT-Infrastruktur bedeutet das: Sollte eine Schadsoftware, etwa über eine infizierte E-Mail oder einen kompromittierten USB-Stick in ein Unternehmensnetzwerk gelangen, so unterbindet die Netzwerksegmentierung auch die ungebremste Ausbreitung über das gesamte Netzwerk.

Ausgangpunkt für eine erfolgreiche Netzwerksegmentierung ist eine gründliche Analyse, um den Schutzbedarf der unterschiedlichen Bereiche definieren zu können. Die Netzwerksegmente können dabei beliebig klein konzipiert werden, selbst ein einzelner, besonders kritischer Sensor kann ein einzelnes Segment darstellen.

Anschließend werden die einzelnen Segmente über Security-Gateways voneinander abgetrennt. Die Endian 4i Gateways sind dabei speziell für den Einsatz in industriellen Umgebungen konzipiert und kommen auch mit robusten Bedingungen zurecht. Die Gateways sind mit mehreren Cybersicherheitsfunktionen ausgestattet. Dazu gehört auch ein Intrusion Detection & Prevention System, das per Deep-Packet-Inspection-Technologie selbst komplexe Bedrohungen erkennen und automatisch stoppen kann.

Doch die Segmentierung löst das Problem nicht, solange der Zugriff auf die einzelnen Segmente unsicher bleibt. Jeder Fernzugriff sollte reglementiert sein und strengen Richtlinien unterliegen.

Endian Switchboard bietet deshalb ein zentrales Rechte- und Berechtigungsmanagement nach dem Least-Privilege-Prinzip. Jeder Benutzer erhält nur Zugriff auf die Bereiche, die für ihn relevant sind und kann dort auch nur Aktionen durchführen, die für die Erfüllung seiner Aufgaben notwendig sind. Bei besonders kritischen Bereichen besteht die Möglichkeit, vorab eine Berechtigung für einen Fernzugriff einzufordern. Das ist auch aus dem Safety-Blickwinkel ein Vorteil, denn so entscheidet die jeweilige Produktionsstätte, zu welchem Zeitpunkt eine Fernwartung ohne Risiken möglich ist.

Die Verbindung zwischen dem Endgerät, das für den Fernzugriff verwendet wird und der OT-Komponente erfolgt dabei verschlüsselt, so dass Daten weder mitgelesen noch manipuliert werden können.

Zur zusätzlichen Absicherung lassen sich Fernwartungssitzungen über Endian Switchboard aufzeichnen. Diese Funktion gewinnt auch durch den zunehmenden regulatorischen Druck an Bedeutung, denn NIS2 sowie derCyber Resilience Act verlangen Transparenz und Dokumentation. Durch die Aufzeichnungen von Fernzugriffen haben Unternehmen bereits einen wichtigen Compliance-Nachweis, ohne ein zusätzliches Produkt etablieren zu müssen.