Cyberangriffe: Wie Pfizer seine Lieferketten schützt

Es ist wohl eine der wichtigsten, wenn nicht sogar die wichtigste Aufgabe derzeit: Die Sicherstellung von genügend Impfstoff gegen das Coronavirus. Das heißt nicht nur, dass ausreichend Impfstoff produziert, sondern dass auch die Lieferkette gesichert werden muss. „Natürlich hat der Covid-19-Impfstoff im Moment oberste Priorität, aber an zweiter Stelle steht die Sicherung der Produktions- und Lieferkette des Impfstoffs”, sagte deshalb auch Jim LaBonty, Head of Global Automation Engineering bei Pfizer, in einem Webinar.

Um die Lieferketten bestmöglich zu sichern, habe Pfizer zusammen mit seinen Zulieferern die verwendetet Geräte nach Schwachstellen untersucht. „Bislang haben wir wirklich gute Arbeit geleistet, um sicherzustellen, dass die gesamte Lieferkette sicher ist, von dem, was Pfizer intern handhabt, bis hin zu Aspekten, die von Dritten gehandhabt werden”, erklärte LaBonty.

Dennoch gebe es immer wieder Rückschläge. „Nicht jeder hat das große Ganze der gesamten Lieferkette im Blick und weiß, wie sich diese Priorität auf seinen Produktionsstandort auswirkt”, sagte er. Es sei eine Menge Kommunikation mit allen Beteiligten nötig, um sicherzustellen, dass sie verstehen, dass die Produktion zwar an erster Stelle steht, Pfizer aber eine starke Cybersicherheit brauche, um eine effektive und zuverlässige Impfstoffproduktion aufrechtzuerhalten.

„Wir können es uns im Moment nicht leisten, von einem Cyberangriff beeinträchtigt zu werden, ebenso wenig wie unsere Patienten, die sich auf unseren Covid-19-Impfstoff oder andere lebensrettende Medikamente verlassen. Es ist wichtig, dass unsere Lieferkette intakt bleibt”, sagte LaBonty.

Um die Lieferketten vor Cyberattacken zu schützen, habe Pfizer ein Tool gebraucht, dass den vollen Einblick in die Produktionsumgebung gebe, so der Experte. „Man kann nicht schützen, was man nicht weiß, dass es tatsächlich da draußen ist. Wenn man es erst einmal identifiziert hat, kann man es auch schützen“, sagte er. Dabei arbeitet Pfizer mit dem Cybersicherheitsunternehmen Claroty zusammen.

Doch nicht nur bei Impfstoffen müssen die Lieferketten vor Cyberangriffen geschützt werden. PRODUKTION hat deshalb bei Yaniv Vardi, CEO von Claroty nachgefragt, was Unternehmen beachten müssen. Er sagt: „Die Zahl der Cyberangriffe auf Industrieanlagen aller Größenordnungen steigt seit Jahren deutlich – und das Risiko erstreckt dabei sich über die gesamte Lieferkette.“ So gaben in einer Studie mit 150 Cybersecurity- und IT-Fachleuten aus der Fertigungsindustrie 53 Prozent der Befragten an, dass ihr Unternehmen in den letzten zwölf bis 24 Monaten von einem Cyberangriff oder einem anderen Sicherheitsvorfall betroffen war, der auch die OT-Netzwerke beeinträchtigte.

Dabei muss es nicht immer das eigene Unternehmen sein, das Ziel des Cyberangriffs ist, erklärt Vardi: „Seit Jahren nutzen Angreifer Schwachstellen in der Lieferkette als Sprungbrett, um andere Unternehmen zu infiltrieren.“ Ein Beispiel: Vor knapp zehn Jahren sei das US-amerikanische Handelsunternehmen Target Opfer eines Datenvorfalls geworden. Dabei haben die Hacker die gestohlenen Zugangsdaten eines Klimaanlagen-Herstellers genutzt, um damit auf das Netzwerk von Target zuzugreifen. Auf diese Weise seien Millionen Kundendaten entwendet worden – inklusive Zahlungsinformationen.

„Moderne Lieferketten sind längst komplizierte, miteinander verflochtene Partnernetzwerke: Wenn hier ein Partner kompromittiert wird, hat dies Auswirkungen auf alle Partner in der Lieferkette“, fasst Vardi zusammen.

Doch es gilt auch noch andere Dinge zu beachten: „Die Cyber-Risiken in der Lieferkette erstrecken sich über den gesamten Lebenszyklus eines Produkts – von der Entwicklung über die Herstellung, den Vertrieb und die Lagerung bis hin zur Wartung“, erklärt Vardi. Das heißt: Je umfangreicher und komplexer der Lebenszyklus ist, desto mehr Angriffsmöglichkeiten und Chancen haben Angreifer, ein schwaches Glied in der Kette zu finden und auszunutzen.

Entsprechend könne die Verantwortung für die Sicherheit einer solch komplexen und oftmals weltweiten Lieferkette nicht bei einem einzigen Unternehmen liegen. Hier sei jeder Partner gefragt, was die Reduzierung von Cyber-Risiken in der Lieferkette jedoch zu einer besonderen Herausforderung mache. „Bei der Erstellung von Business-Continuity-Plänen sollte man sich deshalb nicht nur auf das eigene Unternehmen konzentrieren, sondern auch die Sicherheitsmaßnahmen der unmittelbaren Zulieferer im Blick haben und einbeziehen“, rät der CEO von Claroty.