Cyberangriffe als Bedrohung für Maschinenbauunternehmen

Dieser Beitrag wurde unter Allgemein, News abgelegt am von .


Die Bedrohungen aus der Office-Welt sind in den Produktions- und Fertigungsumgebungen angekommen“

Interview mit Dr. Tim Sattler, CISO der Jungheinrich AG mit Sitz in Hamburg, über die Gefahren von Cyberangriffen für die Industrie 4.0

Redaktion: Gerhard Walter, Solutions by HANDELSBLATT MEDIA GROUP GMBH

Welche zusätzlichen Herausforderungen sind durch die Corona-Pandemie in Ihrem Arbeitsalltag entstanden?

Die erste Herausforderung nach Verhängen der Kontaktbeschränkungen war die schlagartige Verlagerung tausender Arbeitsplätze ins Homeoffice und die dafür erforderliche Kapazitätssteigerung beim Fernzugriff. Diese konnten wir aber technisch hervorragend meistern, ohne Kompromisse bei der Sicherheit eingehen zu müssen. Danach ging es für mich und mein Team zunächst darum, eine neue, effiziente Form der Zusammenarbeit zu finden. Durch die Einschränkungen waren die Kollegen ja nicht mehr in der gewohnten Weise verfügbar, was im Falle eines Cyberangriffs zu einer besonderen Herausforderung geworden wäre. Auch unsere Sensibilisierungsmaßnahmen mussten zügig den veränderten Gegebenheiten angepasst werden: zum einen gab es erhöhten Informationsbedarf, was die Regeln für das sichere Arbeiten von zuhause betraf, zum anderen sahen wir eine Zunahme der Phishing-Kampagnen mit COVID-19-Bezug. Weniger eine Herausforderung, als eine Fleißaufgabe war schließlich die Risikobewertung der vielen unterschiedlichen Videokonferenz-Lösungen, die von unseren Kunden, Partnern und Lieferanten genutzt werden.

Cyberangriffe stellen eine ernsthafte Gefahr für Maschinenbauunternehmen dar. Welche digitalen Bedrohungen sind realistisch?

Zunächst einmal sieht sich der Maschinen- und Anlagenbau den gleichen digitalen Bedrohungen gegenüber– vom CEO Fraud bis zur Cyberspionage – wie die meisten anderen Branchen. Die größte Gefahr für Unternehmen geht aktuell aber von den diversen Ransomware-Gangs aus, die ihre Taktiken immer mehr verfeinert haben und in diesem Jahr erfolgreicher denn je agieren. Wenn peinliche Datenleaks, anhaltende Betriebsunterbrechungen oder irreversible Datenverluste drohen, sind leider viele Unternehmen am Ende bereit, das geforderte Lösegeld zu zahlen. Dadurch zieht diese Erpressungsmasche immer weitere Nachahmer an und die bestehenden Akteure verfügen über immer mehr Mittel und Erfahrung – ein Teufelskreis.

Es gibt aber auch spezifische Herausforderungen für unsere Branche: Durch die Umsetzung von Industrie 4.0 werden die industriellen Anlagen und Systeme zunehmend vernetzt, so dass die Bedrohungen aus der Office-Welt nun in den Produktions- und Fertigungsumgebungen angekommen sind. Für einen zuverlässigen und dauerhaft sicheren Betrieb dieser Anlagen und Systeme kommt es daher nicht mehr nur auf „Safety“, also funktionale Sicherheit, sondern eben auch auf „Security“ an. Die Unternehmen des Maschinen- und Anlagenbaus stehen daher vor der gewaltigen Aufgabe, als Betreiber für die sichere Vernetzung der eigenen Anlagen und Systeme und als Hersteller für die Widerstandsfähigkeit der eigenen Produkte über den gesamten Lebenszyklus sorgen zu müssen.

Inwieweit erhöht der Einsatz von Künstlicher Intelligenz (KI) das Angriffsrisiko?

Ich glaube, dass es noch einige Zeit dauern wird, bis wir auf der Angreiferseite einen Einsatz von KI im großen Stil sehen werden. Wir erleben ja gerade beim Thema Ransomware, wie einfach es für die Angreifer ist, ganze Unternehmensnetze zu kapern – eine erfolgreiche Phishing-Mail hier, ein fehlender Sicherheitspatch oder ein schlecht gesichertes Administrationskonto dort. Dafür brauchen diese Gruppen gewiss keine KI, warum sollten Sie also den Aufwand treiben? Eine Ausnahme bildet vielleicht das Social Engineering, wo sich beispielsweise „Deepfake“-Algorithmen nutzen lassen, um beim CEO Fraud einen Anruf mit der Stimme des Chefs zu fälschen.

Auf der Verteidigerseite sieht das natürlich anders aus: Da die zu bewältigenden Datenmengen riesig und gute Sicherheitsexperten rar und teuer sind, kann KI hier echte Vorteile durch Entlastung der Security-Analysten bieten. Das Problem mit KI ist jedoch, dass diese Systeme nur so gut sind wie die Daten, mit denen sie gefüttert wurden. Von kommerziellen Gesichtserkennungssystemen ist zum Beispiel bekannt, dass diese für bestimmte demografische Gruppen einen starken Bias haben. Wie das bei einem KI-System für die Bedrohungsanalyse aussieht, kann ich als Anwender kaum prüfen, da ich über keine repräsentative Stichprobe aller Bedrohungen verfüge. Der Angreifer hingegen kann seine Methoden und Werkzeuge je nach Schwäche des eingesetzten Systems anpassen.

Verraten Sie uns noch: Nutzen Sie die „Corona-App“ der Bunderegierung?

Ja, ich nutze die Corona-Warn-App und würde mir wünschen, dass möglichst viele Menschen dies tun. Jungheinrich hat sich auch als Unternehmen frühzeitig für die freiwillige Nutzung ausgesprochen. Jede Maßnahme, die dazu beitragen kann, die gesundheitlichen und wirtschaftlichen Auswirkungen der Pandemie zu reduzieren, findet zunächst einmal meine Unterstützung. Zudem wurde im Falle der Corona-Warn-App trotz des Zeitdrucks und der Anlaufschwierigkeiten vieles richtig gemacht: der dezentrale, datenschutzfreundliche Ansatz, die Bereitstellung als Open-Source-Code und das Nutzen der standardisierten Schnittstellen von Apple und Google. Wieviel die App schließlich gebracht hat, wird man naturgemäß erst nach Ende der Corona-Pandemie wissen. Mindestens haben wir aber wertvolle Erkenntnisse für die Bewältigung der nächsten Pandemie gewonnen.

Dr. Tim Sattler ist CISO der Jungheinrich AG mit Sitz in Hamburg. Seit acht Jahren verantwortet der promovierte Physiker das Informationssicherheitsmanagement des Konzerns. Dr. Sattler verfügt über 20 Jahre Berufserfahrung in den Themenfeldern Informationssicherheit, IT-Risikomanagement und IT-Compliance. Aufgrund seines beruflichen Werdegangs vom IT-Sicherheitsberater zum Informationssicherheitsmanager ist er sowohl mit den technischen als auch organisatorischen Aspekten der Informationssicherheit vertraut. Er ist Präsident des deutschen Ablegers des Berufsverbandes ISACA und in verschiedenen Gremien der ISACA auf nationaler wie internationaler Ebene aktiv. Dr. Sattler besitzt diverse Berufszertifizierungen, u.a. als CISM, CISA, CRISC, CGEIT, CISSP und CCSP.