OT-Sicherheit erfordert eine Änderung der Einstellung

Zur Betriebstechnik gehören elektronische Komponenten wie Sensoren und Aktoren, SCADA-Server (Supervisory Control and Data Acquisition) sowie Industrial Control Systems (ICS), die für die Steuerung und Überwachung in Industrieanlagen und sensibler Infrastruktur zuständig sind. Fehler, wie sie durch Cyberangriffe ausgelöst werden können, haben häufig physische Folgen – vom Ausfall einer Produktionslinie über die Unterbrechung der Energieversorgung bis hin zur unmittelbaren Gefahr für Menschenleben. Klar ist: OT-Umgebungen müssen besonders gut abgesichert sein, was in der Praxis leider viel zu selten der Fall ist.

OT versus IT

OT unterscheidet sich in vielerlei Hinsicht von IT. OT-Netzwerke bestehen aus einer Vielzahl von Hardwarekomponenten mit eingebetteter Firmware, proprietären Betriebssystemen sowie OT-spezifischen oder sogar herstellerspezifischen Protokollen, die schwieriger zu katalogisieren bzw. zu überwachen bzw. zu aktualisieren sind. OT-Systeme bergen zudem größere Risiken als IT-Systeme, da sie auf eine lange Lebensdauer (bis zu mehreren Jahrzehnten) ausgelegt sind.

OT-Netzwerke sind auch weniger segmentiert, da sie ursprünglich für den eigenständigen Betrieb konzipiert waren und nicht für die Integration in eine größere Umgebung. Daher wurde der Zugangskontrolle traditionell wenig Aufmerksamkeit geschenkt. Bei Steuerungssystemen haben OT-Installationshersteller wie Siemens oder ABB der Cybersicherheit in der Vergangenheit wenig Aufmerksamkeit geschenkt.

Heutzutage basieren alle Computersysteme auf IP. Es gibt einen riesigen Markt für Cybersicherheitslösungen für Computernetzwerke. In der IT sind wir seit langem an strikte Zugriffskontrolle und -segmentierung, Bedrohungsschutz auf Basis umfassender Threat Intelligence, verschlüsselte Kommunikation und Gesamttransparenz durch Inventarisierung, Monitoring und systemübergreifende Administrationslösungen gewöhnt. Bisher sind die gängigen IT-Cybersicherheitslösungen jedoch nicht auf die spezifischen Anforderungen der OT vorbereitet.

OT-Sicherheitsanforderungen

OT-Sicherheitslösungen müssen Funktionalitäten bieten, die mit denen von IT-Sicherheitslösungen vergleichbar sind, ergänzt um die Besonderheiten von OT-Umgebungen. Dazu müssen sie OT-spezifische Protokolle beherrschen und in der Lage sein, OT-Komponenten einschließlich Firmware-Status und Schwachstellen zu inventarisieren und zu überwachen. Volle Transparenz und Sichtbarkeit über die gesamte Infrastruktur sind ebenso wichtig wie eine zuverlässige Zugangskontrolle für die Kommunikation zwischen der IT- und OT-Umgebung.

Ebenso wie das IT-Netzwerk muss auch das OT-Netzwerk hinsichtlich der Sicherheit sinnvoll segmentiert werden. Zur Absicherung einzelner OT-Komponenten kann durch individuelle Mikrosegmentierung genau definiert werden, mit welchen anderen Systemen und Geräten eine Komponente kommunizieren kann.

IT-Sicherheitshersteller auf dem Weg zu OT

Immer mehr Netzwerk- und Sicherheitshersteller haben die Bedeutung von OT erkannt und ihre Lösungen in unterschiedlichem Maße OT-fähig gemacht. Nahezu alle namhaften Cybersecurity-Anbieter, darunter Fortinet, Palo Alto Networks oder Kaspersky, haben mittlerweile ihre Lösungen um OT-spezifische Funktionalitäten ergänzt oder zusätzliche Lösungen auf den Markt gebracht. Ganz zu schweigen von anderen Herstellern, die sich ausschließlich auf OT konzentrieren, wie Claroty.

Grundsätzlich kommen in der OT die gleichen Produkte zum Einsatz wie in der IT: Firewalls, Switches, Access Points und Softwarelösungen zur Netzwerkverwaltung und -überwachung sowie zur Bedrohungsabwehr. Und auch in puncto Hardware bieten einige Hersteller neben den in der IT üblichen Geräten auch „rugged“-Varianten für raue Umgebungen mit erweitertem Temperaturbereich und zur Montage in branchenspezifischen Szenarien (DIN-Schiene) an.