Cybersicherheit: Darauf muss sich die Industrie vorbereiten

Cyberattacken sind eine stetig wachsende Bedrohung, die durch eine steigende Professionalisierung und Vielfalt der Angriffe immer unberechenbarer wird. Das Resultat: hohe finanzielle Schäden, verunsicherte Partner und Kunden, sowie langwierige Prozesse für das Wiederherstellen von Daten. Faktoren, die für kleine und mittlere Industrieunternehmen schnell existenzbedrohend werden können.

Cyberangriffe auf OT (Operational Technology)-Systeme haben zudem reale physische Auswirkungen, da sie Maschinen und Anlagen steuern. Die Frosty-Goop-Malware sorgte im Januar 2024 beispielsweise für einen Angriff auf ein Fernheizwerk in der Ukraine, wodurch 600 Wohngebäude zwei Tage lang keine Heizversorgung hatten. Die Malware hatte Schwachstellen in dem OT-System ausgenutzt und somit Zugriff auf die Steuerungs- und Regeltechnik des Fernheizwerks erhalten.

Eine Umfrage von Sophos bei rund 200 IT-Entscheidern im DACH-Raum zeigt, wie anfällig OT-Systeme sind. Fast die Hälfte der Befragten (47,3 Prozent) bestätigt, dass sie Opfer eines Cyberangriffs auf das Unternehmensnetzwerk waren. Bei diesen Angriffen wurden die OT-Systeme als Türöffner genutzt und ermöglichten den Cyberkriminellen Zugang zu Daten und Netzwerken. Rund acht Prozent der Befragten konnten die Frage, ob es schon einmal einen Angriff gab, nicht beantworten und keine Angaben dazu machen.

Das zeigt, dass selbst unter IT-Entscheidern oftmals noch Unwissen und Ressourcenmangel vorherrscht, was für die IT-Sicherheit fatale Folgen haben kann. Bleiben Cyberangriffe lange Zeit unentdeckt, haben die Cyberkriminellen Zeit, sich in den Unternehmenssystemen umzuschauen und eventuell weitere Parteien des Netzwerks anzugreifen.

Um die Betriebstechnologie zu schützen, verfolgen die befragten IT-Entscheider unterschiedliche Maßnahmen. Dazu gehören:

1. Authentifizierungsmaßnahmen (58,7 Prozent)
2. Soft- und Firmware-Updates (57,7 Prozent)
3. Firewalls und Intrusion Detection-Lösungen (57,2 Prozent) als Security-Maßnahmen
4. VPN-Lösungen (51,7 Prozent)
5. Sicherheitsschulungen für Mitarbeitende (49,3 Prozent)

Doch nicht nur OT-Systeme sind gefährdet. Auch die vernetzten Lieferketten werden zunehmend zur Zielscheibe von Cyberkriminellen.

Lieferketten müssen abgesichert werden

Neben den OT-Systemen ist auch die Lieferkette vermehrt von Cyberangriffen betroffen. Durch die Digitalisierung werden Lieferketten komplexer, internationaler und anfälliger. Das Netzwerk aus Unternehmen, Lieferanten und Dienstleistern ist besonders attraktiv für Kriminelle, da sie mit einer Attacke ein ganzes Ökosystem angreifen können. Bei sogenannten Supply-Chain-Angriffen suchen Kriminelle das schwächste Glied in der Lieferkette, um alle Parteien zu infiltrieren.

Ein Beispiel dafür ist der Angriff auf die Orion-Software des Unternehmens Solar Winds, der Ende 2020 entdeckt wurde. Durch ein manipuliertes Software-Update waren 18.000 Drittparteien betroffen, indem sensible Daten abgefangen wurden oder sich Zugang zu ganzen Systemen verschafft wurde.

Um die Lieferkette zu schützen, sollten Unternehmen regelmäßige Risikoanalysen der eigenen Systeme sowie eine gründliche Überprüfung der Sicherheitspartnerschaften durchführen. Außerdem ist es sinnvoll, Sicherheitsprotokolle zu entwickeln, die den Umgang mit Drittanbietern abdecken und regelmäßig Penetrationstests zu machen.

Unternehmen müssen NIS2-Richtlinie im Blick haben

Die Absicherung der Lieferkette ist auch Teil der NIS2-Richtlinie. Die Richtlinie definiert neue Mindeststandards für Cybersicherheit in der EU und wird im Laufe dieses Jahres in Deutschland umgesetzt. Es wird erwartet, dass bis zu 30.000 Unternehmen in Deutschland von der NIS2-Richtlinie betroffen sein werden. Neben der Größe des Unternehmens spielen auch Faktoren wie der Sektor, in dem das Unternehmen tätig ist, und ob es kritische Tätigkeiten ausübt, eine Rolle. Bei kritischen Tätigkeiten handelt es sich um Unternehmen und Betriebe, deren Ausfall systemische Risiken verursachen könnte.

Ein Beispiel hierfür sind kleine Unternehmen, die bereits zuvor unter Kritis fielen, sowie Zulieferer größerer Unternehmen. Dazu gehören unter anderem Einrichtungen aus den Bereichen Energie, Verkehr, Gesundheitswesen oder öffentliche Verwaltung.

Entscheidend ist, dass die Unternehmen selbst evaluieren müssen, ob sie betroffen sind. Die verpflichtenden Maßnahmen für die betroffenen Unternehmen sind umfassend. So müssen die Unternehmen beispielsweise eine Risikoanalyse durchführen und darauf basierend ein Sicherheitskonzept entwickeln. Außerdem müssen die Unternehmen sicherstellen, dass der Betrieb bei einem Sicherheitsvorfall aufrechterhalten werden kann. Entscheidend ist, dass sich Industrieunternehmen frühzeitig mit der Richtlinie beschäftigen und evaluieren, welche Maßnahmen und Schritte für sie anfallen.

Cybersicherheit bei vernetzten Geräten muss erhöht werden

Der im Dezember 2024 in Kraft getretene Cyber Resilience Act (CRA) legt den Fokus auf vernetzte Geräte, Maschinen und Anlagen. Innerhalb der nächsten 36 Monate müssen Hersteller und Inverkehrbringer (Importeure und Distributoren) ihre Produkte an die Vorgaben dieser Richtlinie anpassen. So verlangt der CRA, dass die Geräte über ihren gesamten Lebenszyklus abgesichert sind. Die Hersteller müssen nach der Auslieferung kontinuierlich Software-Updates und Schwachstellenmanagement zur Verfügung stellen, um Hackerangriffe zu erschweren.

Das bedeutet, dass der Produktentwicklungsprozess grundlegend überarbeitet werden muss, um Cybersicherheitsfaktoren von Anfang an und nach Abschluss der Produktion zu berücksichtigen. Bei Verstößen gegen die CRA-Richtlinie erwartet die Unternehmen ein Bußgeld von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes.

Die Absicherung von OT-Systemen und Lieferketten, sowie das Befassen und Umsetzen der NIS2- und CRA-Richtlinien sind Themen der IT-Sicherheit, die das Jahr 2025 für Industrieunternehmen mit prägen werden. Die „klassischen“ Themen der Cybersicherheit, wie Ransomware- und Phishing-Angriffe, werden die Unternehmen außerdem begleiten. Es zeigt sich, dass IT-Sicherheit in der Unternehmensstrategie vorangetrieben werden muss, um das Unternehmen, seine Prozesse und Daten erfolgreich abzusichern und zukunftssicher agieren zu können.

Unternehmen, die frühzeitig in Cybersicherheitsmaßnahmen investieren und sich auf regulatorische Vorgaben vorbereiten, sichern nicht nur ihre IT-Infrastruktur ab, sondern erhöhen ihre Resilienz und Wettbewerbsfähigkeit in einem zunehmend digitalisierten Markt.

Bearbeitet von Julia Dusold