Sicherheit für die Automatisierung

Report: In welcher Weise wurde Security bislang bei vernetzten Maschinen und Anlagen wahrgenommen?

Erich Kronfuss: Auf Ebene der Office-Netzwerke in Unternehmen ist in Sicherheitsfragen in der IT die Vertraulichkeit von Daten das große Thema. In der Industriewelt dagegen, der Operational Technology – OT –, ist dies historisch eher kein Schwerpunkt. Dort ist Datendiebstahl ein geringeres Risiko, denn mit tausenden Wiegedaten oder etwa Sensordaten aus einem Windrad wird man vergleichsweise wenig anfangen können. Geschützt werden müssen Netzwerke aber sehr wohl vor Manipulation und Belastung von außen, um die Verfügbarkeit und das Funktionieren einer Anlage und aller Prozesse abzusichern.

Der Maschinenbau per se bräuchte eigentlich kein Schutzkonzept – es ist ja stets der Betreiber einer Anlage oder Maschine, der sich je nach Anwendungsart schützen muss. Hier geht es immer um die Art der Nutzung von Technik. So wird ein Betreiber eines Fuhrparks die Ortungssysteme bei seinen Fahrzeugen entsprechend vor Manipulation absichern wollen. Ein Privater dagegen wird das gleiche Fahrzeug auch ohne besondere Absicherungen verwenden – er braucht ja auch nicht die Funktionalität eines Ortungssystems.

Genauso ist es im Maschinenbau: Wenn es der Unternehmenskunde nicht nutzt, wird es der Hersteller nicht einbauen. Glücklicherweise gibt es aber bereits einige Kunden, die auch auf Ebene des Maschinenbaus einen Eigennutzen bei Sicherheit und auch der sauberen Konfigurierbarkeit von Netzwerken sehen. »Security by Design« in allen Komponenten soll das sicherstellen.

Bild: Erich Kronfuss über die Heirat von IT und OT: »Wir brauchen für die Werte, die geschützt werden sollen, einen Ehevertrag.«

Report: Vor welchen Herausforderungen steht die Automatisierungsbranche in Sicherheitsfragen?

Kronfuss: Die Nutzer von industriellen Automatisierungs- und Steuerungssystemen – IACS – kommen mehr und mehr auch mit den Risiken aus der IT in Berührung. Im Internet of Things, in der Vernetzung von Sensoren außerhalb des abgeschlossenen Fabriksgeländes etwa, treffen unterschiedliche Modelle der Datenkommunikation aufeinander.

Das Internetprotokoll TCP/IP funktioniert prinzipiell paketbasiert. Geht ein Datenpaket verloren, wird es ersatzweise nochmals gesendet. SPS-Systeme in der speicherprogrammierbaren Steuerung dagegen senden und empfangen Messwerte, Sensordaten, Regelgrößen oder Steueranweisungen in zyklischer, starrer Reihenfolge. Eine Flexibilität, wie sie bei TCP/IP herrscht, wäre kontraproduktiv – nötig sind absolute Robustheit und Verlässlichkeit. Wenn bei einer Anlage ein Druckwert nicht ankommt und ein Ventil nicht öffnet oder Maschinenteile kollidieren, dann wird es kritisch.

Daher versteht die Automatisierungsindustrie unter dem Begriff Sicherheit in der OT in erster Linie Verfügbarkeit auf IACS-Ebene ebenso wie auf der Prozess­ebene SCADA.

Report: Und trotzdem ist es ein Wunsch vieler, jederzeit auch von außen auf Betriebsdaten zugreifen zu können.

Kronfuss: Hier soll nun OPC-UA – die »Open Platform Communications Unified Architecture« – alle Ebenen IACS, SCADA und die IT inklusive Cloud-Services über IP verknüpfen. Die Idee birgt einen Widerspruch in sich, da OPC-UA die Interoperabilität für Industrie 4.0 und das Internet der Dinge liefert und damit vieles ermöglicht, gleichzeitig aber aus Sicherheitsgründen trotzdem nichts erlauben soll.  In dem Verheiraten von IT und OT zu einem OPC-Netzwerk ist ein neues Regulativ notwendig. Wir brauchen für die Werte, die geschützt werden sollen, einen Ehevertrag. Ein solcher Vertrag in der Automatisierung zwischen Betreiber von Anlagen, Systemintegrator, Geräte- und Maschinenhersteller ist nun die Normenreihe IEC 62443. Darin sind alle Pflichten für die unterschiedlichen Akteure im Lebenszyklus von Maschinenkomponenten und industriellen Kommunikationsnetze angeführt. Mit der IEC 62443 können Unternehmen auch potenzielle Schwachstellen ihrer Steuerungs- und Leittechnik überprüfen und Schutzmaßnahmen entwickeln.

Report: Welches Sicherheitskonzept wird darin für Anlagenbetreiber empfohlen und was bedeutet die Norm für die Entwicklung von Produkten?

Kronfuss: Wesentlich ist eine klare Segmentierung eines Netzwerks in Zonen, die Verbindungselemente, sogenannte »Conduits«, haben. Mit diesen wird der Zugriff auf Anlagen grundsätzlich unterbunden und nur gezielt auf einzelne Systeme und Komponenten zugelassen. Die jeweilige Ausprägung nach Stand der Technik leitet sich aus der Norm dann je nach Security-Level ab und betrifft beispielsweise Zugangsbeschränkungen und die Authentifizierung eines Nutzers an einer Maschine.
Die graduelle Unterscheidung von Sicherheitsstufen muss allerdings dem übergeordneten Management einer Anlage obliegen und nicht dem einzelnen Maschinenführer. Denn die Security-Level sind eine politische Entscheidung und nicht zwingend eine technische: Wo verdiene ich wirklich mein Geld? Welche Ausfälle kann ich mir begrenzt leisten? So muss etwa eine Verpackungsmaschine vielleicht nicht hochverfügbar sein, wenn das produzierte Gut zwischenzeitlich auch in einem Container gelagert und zu einem anderen Zeitpunkt verpackt werden kann.

Der Abschnitt 4 der Norm beschäftigt sich mit den Anforderungen an den Lebenszyklus für eine sichere Produktentwicklung, also bereits auch damit, wie eine Entwicklungsumgebung gestaltet werden muss. Die IEC 62443-4-1 macht deutlich, dass IT-Sicherheit nur erreicht werden kann, wenn sie über den kompletten Lebenszyklus eines Produkts beachtet wird.

Mehr zur IEC 62443-Zertifizierung von Phoenix Contact im Artikel "Security by Design" in der Automatisierung (Link)