15 Jahre nach Stuxnet: Die Lehren
Kai Thomsen, Director of Global Incident Response Services bei Dragos, zieht Lehren für die OT-Cybersicherheit.
Die folgenden Punkte fassen die Lehren zusammen, die sich seit Stuxnet herausgebildet haben und die heute wichtiger für die OT sind als je zuvor:
- OT ist das Rückgrat kritischer Infrastrukturen
Stuxnet hat deutlich gemacht, dass Angriffe auf industrielle Steuerungs- und Automatisierungssysteme (ICS/OT) direkte Auswirkungen auf physische Prozesse haben können.
Während IT-Systeme vor allem die Integrität und Verfügbarkeit von Daten schützen sollen, steht in der OT die sichere und zuverlässige Steuerung industrieller Abläufe im Mittelpunkt. Ein erfolgreicher Angriff kann Maschinen beschädigen, Anlagen stilllegen und im schlimmsten Fall Menschenleben gefährden. Trotzdem fließt der Großteil der Cybersicherheitsbudgets noch immer in IT-Systeme. Dieses Ungleichgewicht besteht bis heute.
- Die Bedrohung ist real, vielschichtig und nimmt weiter zu
Stuxnet blieb kein Einzelfall. Inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind. Über 25 staatliche und nichtstaatliche Gruppen haben ihren Fokus auf OT-Umgebungen ausgerichtet. Einige sammeln Informationen, andere stören bereits aktiv die Stromversorgung, Wassersysteme oder die Rüstungsproduktion. Besonders gefährlich ist PIPEDREAM. Dieses modulare Angriffstool lässt sich flexibel in verschiedenen Branchen einsetzen und skalieren.
Auch nichtstaatliche Akteure erlangen inzwischen Fähigkeiten, die bislang nur staatlich geförderten Akteuren vorbehalten waren. Durch weltweite Vernetzung und zunehmende Professionalisierung von Ransomware- und Hacktivisten-Gruppen steigt das Risiko groß angelegter, koordinierter Angriffe deutlich.
- ‚Defense is Doable‘, wenn die Grundlagen stimmen
Trotz der komplexen Bedrohungslage zeigt sich eine klare Erkenntnis: Angriffe auf OT-Systeme lassen sich abwehren. Analysen belegen, dass bereits fünf grundlegende Schutzmaßnahmen einen Großteil aller Vorfälle verhindern können.
Besonders wichtig ist Sichtbarkeit im Netzwerk. Ohne ein klares Bild von den Assets und Bedrohungen im eigenen System bleiben selbst professionelle Angriffe oft über lange Zeit unentdeckt. Aus der Praxis gibt es zahlreiche Beispiele. Selbst kleinere Versorger haben sich erfolgreich gegen hochentwickelte Angriffe behauptet, wenn ihre Sicherheitsstrategien klar definiert und konsequent umgesetzt waren.
- Der öffentliche und private Sektor müssen zusammenarbeiten
Staatliche Stellen, Nachrichtendienste, CERTs und Unternehmen müssen eng zusammenarbeiten, um OT-Systeme wirksam zu schützen. Damit solche Kooperationen Erfolg haben, braucht es klare Zuständigkeiten, abgestimmte Abläufe und ein gemeinsames Verständnis der Bedrohungslage.
Einzelne Initiativen wie das Electricity Information Sharing and Analysis Center (E-ISAC) gelten als gute Beispiele. Viele Partnerschaften bleiben jedoch zu unkonkret, schlecht koordiniert oder zu breit angelegt, um Wirkung zu entfalten. Ohne klare Schwerpunkte und gegenseitige Verpflichtung bleibt das Potenzial ungenutzt.
- Regulierung muss verständlich und praxisnah sein
Die größte Hürde beim Schutz kritischer OT-Infrastrukturen ist nicht der Mangel an Know-how oder technischen Lösungen. Viel schwerer wiegen unklare, widersprüchliche oder überfrachtete Vorgaben.
Betreiber sehen sich häufig mit einer Vielzahl an Regelwerken verschiedener Stellen konfrontiert. Diese sind oft doppelt, unkoordiniert oder nicht auf OT-Systeme zugeschnitten. Was fehlt, ist eine abgestimmte Regulierung, die von der Industrie mitgestaltet wird, sich an realen Bedrohungen orientiert, klare Ziele vorgibt und dabei genug Spielraum für konkrete, unternehmensspezifische Umsetzungen lässt.
Kritische Infrastrukturen lassen sich nur dann wirksam absichern, wenn auch die vorgelagerten Bereiche zuverlässig geschützt sind. Die Risiken entstehen oft nicht erst beim Betreiber, sondern bereits bei den Zulieferern. Ungeprüfte Technik oder unsichere Hersteller können ganze Systeme gefährden.
Links:
Anzeige
