Cyberangriffe nehmen zu: Angreifer werden immer professioneller

Herr Rudolf, ist es wichtiger als je zuvor, sich gegen Angriffe aus dem Netz zu wappnen?
Ja, weil Angreifer inzwischen professioneller geworden sind. Manche wollen sich nur ausprobieren, andere haben kriminelle Absichten, von gezielter Sabotage bis Datendiebstahl. Auch setzen Unternehmen vor allem bei Automatisierungssystemen verstärkt auf IT-Standards, die allgemein bekannte Schwachstellen aufweisen. Gleichzeitig sind durch die Digitalisierung Systeme zunehmend miteinander vernetzt, sodass ein einzelner Angriff deutlich mehr Schaden anrichten kann als früher.

Wie reagieren Unternehmen auf diese Herausforderungen?
Größere Unternehmen haben bereits länger eine Strategie, verfügen über ein Budget für Schutzmaßnahmen und Fachabteilungen. Kleine Unternehmen und Mittelständler sind da noch meist anders aufgestellt. Vor allem in der Produktion und bei automatisierten Prozessen ist das Thema noch recht neu. Viele Firmen nutzen bis zu 40 Jahre alte Maschinen, die an alte Betriebssysteme gekoppelt sind. Um das Bewusstsein für die Gefahr aus dem Netz zu schärfen, kooperieren wir zum Beispiel mit der International Society of Automation (ISA) und halten Webinare. Auch hat der Virus WannaCry viele Unternehmen wachgerüttelt, der im Mai 2017 zahlreiche alte Windows-Geräte infiziert hat. Er legte ganze Betriebssysteme lahm, betroffene Unternehmen bekamen Lösegeldforderungen.

Alte Betriebssysteme können Softwareupdates nicht mehr installieren – das macht sie angreifbarer. Wie können Unternehmen diese Sicherheitslücken schließen?
In manchen Fällen lassen sich Schwächen alter Systeme noch reparieren. Sonst können sogenannte Härtungsmaßnahmen helfen: Siemens bietet zum Beispiel seinen Kunden an, nicht benötigte Softwaresysteme bewusst zu deinstallieren. Dazu kommt das Whitelisting: eine Einstellung, die verhindert, dass sich unbekannte Software auf einem Gerät aktiviert. Sollte der Speicher für solche Veränderungen nicht ausreichen, lassen sich die veralteten Systeme auch von anderen abschotten, sodass ein Angriff weniger Schaden anrichtet.

Was bietet Siemens darüber hinaus in Sachen Cybersecurity an?
Unser Konzept „Defense in Depth“ ist ein vielschichtiges Abwehrsystem, und vereint mehrere Schutzmaßnahmen. Hackern fällt es damit schwerer, Betriebssysteme in Unternehmen anzugreifen, weil sie die Barrieren hintereinander überwinden müssen – ähnlich einem Schatz, der durch einen Burggraben, ein verschlossenes Tor und eine Falltür geschützt ist. Über eine Schutzfunktion zum Beispiel lässt sich erkennen, ob ein Hacker einen veränderten Code in ein Automatisierungssystem einspielt. Dieser Vorstoß löst einen Alarm aus, damit das Unternehmen schnell reagieren kann. Neben dem genannten Whitelisting sind auch Firewalls vorgesehen, damit sich Schadsoftware nicht über die Systemgrenzen hinaus verbreitet.

Das hört sich teuer an. Wie bleiben die Kosten für ein Unternehmen vertretbar?
Der Schutz und die Investitionen in Cybersicherheit müssen immer dem Risikograd angemessen sein. Dafür sollte ein Unternehmen bewerten, wie schutzbedürftig das eigene Produkt, die Daten oder das Know-how ist, welchen Einfluss es auf den Umsatz hat und wie hoch das Potenzial ist, dass Angreifer das Produkt angreifen. Davon ausgehend legt die Firma ein Schutzniveau fest, das sogenannte Protection Level. Wir analysieren dann zehn bis 15 Maßnahmen, die diesem Level gerecht werden.

Warum sind ausgerechnet Investitionen in Cybersecurity eine große Geschäftschance?
Wer sein Unternehmen besser vor Angriffen aus dem Netz schützt, hat bei Kunden einen Vertrauensvorschuss. Das funktioniert sowohl im B2C- als auch im B2B-Geschäft. Zum Beispiel verlangen die Käufer von Speicherchips zunehmend, dass Zulieferer ihre Produkte vor Hackerangriffen schützen. So kann Cybersecurity zum Qualitätsmerkmal werden.

Angenommen, ein Unternehmen will sich künftig besser gegen Hackerangriffe wappnen. Wie sollte der erste Schritt aussehen?
Transparenz schaffen. Für Unternehmen wird es immer wichtiger, einen Überblick über die eingesetzten Maschinen und Software zu haben – und über die damit verbundenen Risiken. Bisher müssen viele unserer Kunden noch mit Papier und Bleistift durch ihre Anlagen gehen und aufschreiben, welche Systeme verbaut sind. Ich denke, dass Unternehmen ihren Bestand zunehmend automatisch registrieren werden, um Schwachstellen schneller ausfindig zu machen.

Auch wenn man es Angreifern künftig schwermacht – einen unüberwindbaren Schutz gibt es trotzdem nicht. Oder?
Im Hochsicherheitsbereich kommt die sogenannte Datendiode diesem Anspruch schon sehr nah. Sie funktioniert ähnlich wie eine Firewall – mit dem Unterschied, dass man bei einer Firewall verändern kann, in welche Richtung die Daten fließen. Bei der Diode ist der Datenrückfluss physikalisch unmöglich. Ein Angreifer müsste vor Ort sein, um die Richtung der Daten zu verändern, und das ist sehr unwahrscheinlich. Zwar lassen sich hier Updates nicht so einfach vornehmen, für Hochsicherheitssysteme wie im Zugverkehr eignen sich Datendioden allerdings sehr gut. In der Industrie mit geringeren Sicherheitsansprüchen lohnen sich die Kosten eher nicht. In diesem Bereich bieten wir andere Lösungen an.

Technische Maßnahmen allein tun es aber nicht?
Richtig. Um den besten Cyberschutz zu erreichen, müssen alle im Unternehmen mitmachen. Viele Angriffe lassen sich schon dadurch verhindern, dass Mitarbeiter sichere Passwörter verwenden.