OT Cyber-Resilienz: Data Protection und Compliance mit IEC 62443 und NIS2

Data Protection und Resilienz für OT-Systeme umfassen alle Maßnahmen, mit denen die Daten von industriellen Steuerungssystemen (wie SPS-Logik, HMI-Konfigurationen und Historienarchive) vor Datenverlust oder Cyber-Angriffen geschützt werden. Gleichzeitig sollen sie für schnelle Wiederherstellungen sorgen, um die Sicherheit und die Produktionskontinuität zu gewährleisten.

In modernen Industrieumgebungen reicht das traditionelle Konzept von „Sicherheit als Barriere“ nicht mehr aus. Da Initiativen im Rahmen von Industrie 4.0 die Kluft zwischen Informationstechnologie (IT) und Betriebstechnologie (OT) überbrücken, verliert die einst so zuverlässige physische Isolierung, die auch als Air-Gap-Absicherung bekannt ist, zunehmend an Bedeutung. Heutzutage sind OT-Systeme zunehmend denselben Bedrohungen ausgesetzt wie IT-Systeme, ohne jedoch von den schnellen Patch-Zyklen oder der standardisierten Hardware von IT-Systemen zu profitieren.

In diesem Umfeld ist eine perfekte Prävention unrealistisch. Wenn es in einer Fabrik zu einem Systemausfall oder einem Cyber-Angriff kommt, lautet die wichtigste Frage nicht: „Wer hat uns angegriffen?“, sondern: „Wie schnell können wir den Betrieb sicher wiederherstellen?“ Für OT-Fachleute ist Data Protection keine nebensächliche IT-Aufgabe, sondern das grundlegende Rückgrat, um die kontinuierliche Betriebsbereitschaft und die physische Sicherheit zu gewährleisten.

In der Industrie bedeutet Datenverlust nicht nur, dass Tabellendaten verloren gehen, sondern auch, dass Produktionslinien stillstehen, Chargen unbrauchbar werden und Sicherheitsvorschriften nicht mehr eingehalten werden können. Die finanziellen Auswirkungen solcher Störungen können verheerend werden.

In dem Artikel „Siemens – The True Cost of Downtime 2024“ heißt es, dass ungeplante Ausfallzeiten die Global-500-Fertigungsunternehmen weltweit jährlich etwa 1,4 Billionen US-Dollar kosten, was rund 11 % ihres gesamten Jahresumsatzes entspricht.

Die Kosten für eine einzige Stunde Ausfallzeit können je nach Branche variieren, sind jedoch in allen Sektoren katastrophal:

·      Automobilbranche: 2,3 Millionen Dollar pro Stunde.

·      Öl- und Gas-Branche: 500.000 Dollar pro Stunde.

·      Schwermaschinenbau: 260.000 Dollar pro Stunde.

·      Konsumgüter mit hoher Umschlagshäufigkeit (FMCG): 36.000 Dollar pro Stunde.

Die Gefahr durch Ransomware für Produktionsbetriebe: Ransomware ist nicht mehr nur ein Problem für den IT-Bereich, sondern stellt mittlerweile auch eine direkte Bedrohung für die Aufrechterhaltung industrieller Prozesse dar.

·      Laut dem Sophos-Bericht „State of Ransomware in Manufacturing 2024“ wird bei 93 % der Ransomware-Angriffe in der Fertigungsindustrie versucht, die vorliegenden Backups zu kompromittieren, um sicherzustellen, dass die Opfer gar keine andere Wahl haben, als zu zahlen.

·      Die Fertigungsindustrie weist derzeit bei solchen Angriffen mit 74 % die höchste Verschlüsselungsrate aller Branchen auf.

·      Der Bericht von Coveware für das 4. Quartal 2024 zeigt, dass die durchschnittliche Wiederherstellungszeit nach einem Angriff zwischen 21 und 24 Tagen liegt. Diese Zeitspanne können die meisten Industriebetriebe nicht ohne massive Verluste überstehen.

Aus diesen Gründen konzentriert sich die Acronis Lösung für die Fertigungsindustrie darauf, die Wiederherstellungszeitvorgaben (RTOs) zu minimieren, damit der Industriebetrieb reibungslos weiterlaufen kann.

OT-Umgebungen sind oft „lebende Museen“ der Automatisierungstechnik. Häufig werden kritische Prozesse noch auf Windows XP- oder Windows 7-Maschinen ausgeführt, die nicht mehr aktualisiert werden können, weil sie an bestimmte, spezielle Hardware gebunden sind.

Darüber hinaus schreibt das Purdue-Modell für die Architektur industrieller Steuerungssysteme unter Berufung auf die Norm NIST SP 800-82r3 eine strenge Segmentierung vor. Um diese Systeme wirksam zu schützen, sind Architekturen erforderlich, die diese Einschränkungen berücksichtigen:

1.    Level 2- vs. Level 3-Integration: Backups müssen lokal auf Zellen-/Bereichsebene verwaltet werden, um sicherzustellen, dass eine Wiederherstellung auch dann möglich ist, wenn die Verbindung zum Unternehmensnetzwerk (Level 4/5) unterbrochen wird.

2.    Extra abgesicherte lokale Backup-Server: In isolierten Segmenten sollen „gehärtete“ Storage-Systeme eingesetzt werden, die immun gegen die Ausbreitung von Ransomware aus dem IT-Bereich sind.

3.    Einwegübertragung und Daten-Dioden: Für hochsensible Segmente sollten Einweg-Datenübertragungen genutzt werden, um Backup-Images in sichere Repositorys zu übertragen, ohne dass das Segment dabei für eingehende Bedrohungen anfällig wird.

4.    Umgang mit Air-Gaps: Um Data Protection-Probleme in Produktionsstätten mit Air-Gap-Isolierung zu bewältigen, sind Lösungen erforderlich, die zum Funktionieren nicht auf ständige Verbindungen zur Cloud angewiesen sind.

Wenn ein SCADA-Knoten oder eine eine Mensch-Maschinen-Schnittstelle (HMI) ausfällt, sind es die Schichtingenieur:innen vor Ort (und keine Remote-IT-Administrator:innen), die direkt reagieren müssen. Wie hoch die Resilienz dabei tatsächlich ausfällt, hängt davon ab, ob und wie gut die entsprechenden Ingenieur:innen das System ohne spezielle Cyber Security-Schulungen wiederherstellen können.

·      One-Click Recovery: Komplexität ist ein bekannter Feind der Ausfallsicherheit. Zu verstehen, warum die One-Click Recovery-Funktionalität dabei von entscheidender Bedeutung ist, ist für die Aufrechterhaltung des Betriebs unerlässlich. Sie ermöglicht es den Techniker:innen, einen vorkonfigurierten Wiederherstellungsprozess einzuleiten, der die Maschine innerhalb weniger Minuten auf einen bekannten, fehlerfreien Zustand zurückversetzt.

·      Bare-Metal Restore (BMR): Sollte die Hardware einer Workstation ausfallen, ermöglicht die BMR-Funktionalität die Wiederherstellung des kompletten Systems (inkl. des Betriebssystems, der Treiber, der Applikationen und der Logik) auf völlig neuer, abweichender Hardware, ohne dass eine manuelle Rekonfiguration erforderlich ist.

·      Boot-Medien: In Fällen, in denen das Betriebssystem nicht mehr booten kann, können Techniker:innen kostspielige PC-Ausfallzeiten mithilfe von bootfähigen Medien vermeiden. Dabei wird die Wiederherstellung über einen USB-Stick oder eine CD/DVD gestartet, um die beschädigte lokale Umgebung zu überbrücken.

Herkömmliche IT-Antivirus-Lösungen stellen im OT-Bereich oft ein Risiko dar. Dies kann zu Falsch-Positiv-Erkennungen führen, die einen SPS-Kommunikationstreiber abschalten oder hohe CPU-Last verursachen können, was zu „Jitter“ in zeitkritischen Prozessen führen kann.

Bei der Bewertung von Acronis Cyber Protect für OT-Umgebungen sollten Sie auf folgende Kriterien für den Einsatz in der Betriebstechnik achten:

·      Unterstützung älterer Betriebssysteme: Die Fähigkeit, Systeme bis zurück zu Windows XP SP3 schützen zu können.

·      Offline-Verhaltenserkennung: Die Fähigkeit, Ransomware-Muster zu identifizieren, ohne dass dafür Signature-Updates aus dem Internet erforderlich sind.

·      Geringe CPU-Belastung: Dadurch wird sichergestellt, dass der Security Agent die Echtzeitanforderungen der industriellen Anwendungen nicht beeinträchtigt.

·      Selbstschutz: Der Backup Agent muss sich selbst schützen können und damit quasi „unveränderbar“ sein, damit er nicht unautorisiert (z.B. von Malware) beendet werden kann.

Man kann nicht schützen, was man nicht sieht. „Shadow OT“ – Geräte, die von Herstellern oder Wartungsteams ohne offizielle Dokumentation zum Netzwerk hinzugefügt werden – sind eine der Hauptursachen für Schwachstellen.

Moderne Resilienzstrategien umfassen daher folgende Fähigkeiten:

·      Passive Erkennung: Die Fähigkeit, Assets durch Analyse des Backup-Datenverkehrs zu identifizieren, anstatt durch invasive Netzwerkscans.

·      Software-Inventarisierung: Die automatisierte Erfassung und Verwaltung der Software-Bestände sorgt dafür, dass genau bekannt ist, welche Versionen (z.B. von Siemens TIA Portal oder Rockwell Studio 5000) in der Produktionsanlage laufen.

·      Backup-basierte Schwachstellenbewertung: Überprüfung von Backup-Images auf Schwachstellen in einer Sandbox-Umgebung, um sicherzustellen, dass das Schwachstellenmanagement keine Auswirkungen auf die laufenden Produktionsmaschinen hat.

Eine echte Cyber-Resilienz orientiert sich an internationalen Standards wie IEC 62443-3-3 und führt eine Zuordnung der Fähigkeiten zu diesen Standards durch. Acronis erleichtert diese Zuordnung durch folgende Fähigkeiten und Funktionen:

OT-Daten unterscheiden sich von IT-Daten. Es besteht aus der Logik und den Konfigurationen, die physische Bewegungsabläufe und chemische Prozesse definieren.

·      Rockwell Automation: Logix-Projektdateien (.ACD), FactoryTalk View (.APA, .MER).

·      Siemens: TIA Portal-Projektarchive (.zap1X), Step 7-Projekte.

·      Schneider Electric: EcoStruxure Control Expert (.STU, .ZEF).

·      AVEVA/Wonderware: InTouch HMI-Anwendungen und Historian-Archive (.idq, .hcal).

Weitere Informationen darüber, wie diese speziellen Systeme geschützt werden können, finden Sie unter: Wie sich Anlagenverantwortliche und OT-Techniker:innen auf SCADA-Angriffe vorbereiten können.

·      Aktuelles bootfähiges Recovery-Medium (USB/ISO).

·      Offline-Kopie des letzten Backups (nicht älter als 24 Stunden).

·      Ausgedrucktes Diagramm der Netzwerkarchitektur und Liste der IP-Adressen.

·      Hardware-unabhängige Treiber, die zur Wiederherstellung mit den aktuellen Ersatz-Komponenten benötigt werden.

·      Physische Zugangsschlüssel für abgesperrte Server-Schränke.

1.    Isolieren: Trennen Sie das betroffene Segment vom übrigen Netzwerk.

2.    Verifizieren: Überprüfen Sie die Integrität des letzten Backups (stellen Sie sicher, dass es nicht „infiziert“ ist).

3.    Wiederherstellen: Verwenden Sie die Bare-Metal-Restore-Funktionalität, um das Image auf der Zielmaschine aufzuspielen.

4.    Validieren: Überprüfen Sie die Kommunikation zwischen SPS und HMI sowie die Sicherheitsverriegelungen, bevor Sie die Produktion wieder aufnehmen.

F: Können wir für unsere SPS-Systeme eine standardmäßige IT-Backup-Lösung verwenden? A: Nein. Gewöhnliche IT-Backups verfügen oft nicht über die „Bare-Metal“-Fähigkeit für ältere industrielle Betriebssysteme und können zu zeitlichen Schwankungen (Jitter) in Regelkreisen führen.

F: Wie handhabt man Backups in einer vollständig Air-Gap-Umgebung? A: Nutzen Sie einen lokalen Management-Server innerhalb der Air-Gap-Zone und führen Sie manuelle „Schreibtisch-Drehstuhl“-Datenübertragungen über verschlüsselte, gescannte USB-Sticks oder eine dedizierte Daten-Diode durch.

F: Unterstützt Acronis auch ältere Windows XP-Systeme? A: Ja, Acronis bietet einen speziellen Support für ältere Systeme an, der vollständige Image-Backups und die Wiederherstellung auf moderner Hardware (virtuelle oder physische Systeme/Umgebungen) ermöglicht.