Software-Entwicklung muss die erste Verteidigungslinie gegen OT-Lieferketten-Angriffe sein

Als die Produktionslinien von Jaguar Land Rover (JLR) am 1. September 2025 vollständig zum Stillstand kamen, waren die finanziellen Auswirkungen unmittelbar und erschütternd: direkte Verluste in Höhe von fast 67 Millionen Dollar pro Woche, wobei die geschätzten wirtschaftlichen Gesamtauswirkungen 2,8 Milliarden Dollar erreichten. Der tatsächliche Schaden ging jedoch weit über die Bilanz des Automobilherstellers hinaus.

Der Stillstand wirkte sich auf die weitläufige Lieferkette von JLR mit rund 104.000 Arbeiter:innen aus. Die Zulieferer entließen aufgrund des Angriffs Mitarbeiter:innen, woraufhin die britische Regierung mit einem verbürgten Darlehen in Höhe von über 2 Milliarden Dollar einsprang.

Der Angriff auf JLR war Teil eines beunruhigenden Musters: Die Angreifer haben es längst nicht mehr nur auf einzelne Unternehmen abgesehen. Stattdessen nutzen sie die Lieferkette als eine Art Waffe, um mit minimalem Aufwand eine maximale Schlagkraft zu erzielen. Eine Möglichkeit, wie sich die Angreifer Zugang verschaffen, besteht darin, dass sie sich auf die Entwicklungswerkzeuge und -prozesse für diejenigen Software-Applikationen konzentrieren, die von den Fertigungsunternehmen und ihren Lieferketten-Partnern eingesetzt werden. Wenn Sie nicht darauf achten, dass die entsprechenden Software-Anbieter sichere Entwicklungspraktiken anwenden, setzen Sie auch Ihr Unternehmen einem solchen Angriff aus, wie ihn JLR erleben musste.

Für OT-Umgebungen (Operational Technology) in den Bereichen Fertigung, Energie, Transport oder kritische Infrastruktur ist das Risiko eines Cyber-Angriffs besonders hoch. Ein Angriff gefährdet nicht nur die Daten in den OT-Umgebungen, sondern kann ganze Produktionsökosysteme zum Stillstand bringen. Die Kosten solcher Ausfälle können sich auf mehrere hunderttausend Dollar pro Stunde belaufen.

Dennoch konzentrieren sich die meisten Unternehmen bei der Bewertung ihrer Beschaffungsprozesse auf Faktoren wie finanzielle Solidität, Service Level-Vereinbarungen und Sicherheit der eigenen Infrastruktur. Dabei übersehen viele allerdings den Punkt, wo sich Schwachstellen am häufigsten einschleichen – nämlich beim Software-Entwicklungsprozess. Beispielsweise können Angreifer mit einer Malware vom Typ „Infostealer“ Anmeldedaten abgreifen, die möglicherweise bereits seit Jahren bestehen, und damit auf die Lieferkettensysteme von Fertigungsunternehmen zugreifen.

Dies offenbart eine grundlegende Schwachstelle, die weniger in der Perimeterverteidigung als vielmehr in den sicheren Praktiken beim Entwicklungszyklus der Software-Anbieter liegt, die moderne Industrieprozesse antreiben. Diese Systeme sind anfällig, wenn sie nicht darauf ausgelegt sind, modernen Cyber-Bedrohungen standzuhalten – und das macht auch die OT-Systeme der Fertigungsunternehmen anfällig.

Ohne die Gewissheit, dass Lieferanten strenge SSDLC-Verfahren (Secure Software Development Life Cycle) befolgen, übernehmen Fertigungsunternehmen damit Risiken, die durch keine Netzwerksegmentierung oder Air-Gap-Isolierung vollständig eliminiert werden können.

Die Auswirkungen auf das Geschäft können messbar und schwerwiegend sein:

• Betriebliche Ausfallzeiten: Produktionsstillstände können sich kaskadenartig durch Just-in-time-Lieferketten ausbreiten, was dann Tausende von Arbeiter:innen betreffen und Lieferverpflichtungen beeinträchtigen kann.
• Finanzielle Verluste: Dazu gehören nicht nur direkte Umsatzverluste, sondern auch Kosten für Vorfallsreaktionen (wie System-Wiederherstellungen) oder mögliche gesetzliche Geldstrafen bzw. Vertragsstrafen.
• Compliance-Verletzungen: Vorschriften (wie die NIS-2-Richtlinie der EU, DORA und das Gesetz für Cyberresilienz) verlangen inzwischen ausdrücklich sichere Entwicklungspraktiken von Lieferanten.
• Reputationsschäden: Wenn Lieferanten das „schwache Glied“ in einer Lieferkettenverletzung sind, kann dies das Vertrauen der Kunden dauerhaft schädigen und zum Ausschluss aus zukünftigen Partnerschaften führen.

Aber es geht um mehr, als nur die Einhaltung von Vorschriften abzuhaken. Es geht darum, sicherzustellen, dass die Software, die Ihre Produktionslinien steuert, Ihre kritischen Systeme verwaltet und Ihre industriellen Abläufe miteinander verbindet, von der ersten Codezeile bis zur endgültigen Bereitstellung über integrierte Sicherheitsfunktionen verfügt.

Die Normenreihe IEC 62443 befasst sich speziell mit der Sicherheit von industriellen Automatisierungs- und Steuerungssystemen. In diesem Framework konzentriert sich IEC 62443-4-1 ausschließlich auf Anforderungen an einen sicheren Produktentwicklungslebenszyklus und stellt damit den strengsten und relevantesten Standard für die Bewertung von OT-Softwareanbietern dar.

Im Gegensatz zu allgemeinen Frameworks für Informationssicherheit belegt eine Zertifizierung nach IEC 62443-4-1, dass ein Lieferant Folgendes implementiert hat:

• „Security by Design“: Vor der Code-Entwicklung wurden Sicherheitsanforderungen definiert und Bedrohungen modelliert.
• Sichere Programmierverfahren: Die Entwickler werden geschult und der Programmcode durchläuft zwingend diverse Überprüfungen und automatisierte Sicherheitstests.
• Abhängigkeitsmanagement: Vorhandene Komponenten von Drittanbietern werden anhand von SBOM-Praktiken (Software Bill of Materials, Praktiken zur Erstellung einer Software-Stückliste) geprüft, nachverfolgt und gewartet.
• Sichere Auslieferungspipelines: Updates werden signiert, auf Integrität geprüft und über gesicherte Kanäle bereitgestellt.
• Schwachstellenmanagement: Es gibt koordinierte Offenlegungsprozesse und definierte Reaktionszeiten bei Sicherheitsproblemen.

Für OEMs, Systemintegratoren und Endkund:innen in der Fertigungsindustrie und kritischen Infrastruktur liefert diese Zertifizierung konkrete, unabhängig überprüfte Nachweise dafür, dass die betreffenden Software-Lieferanten den Faktor Sicherheit nicht einfach so versprechen. Sondern dass diese den Aspekt bei jeder Produktentwicklung systematisch berücksichtigt haben.

Acronis hat neben der Zertifizierung nach IEC 62443-4-1 auch die Zertifizierungen nach ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 und CSA STAR Level 2 erhalten und stellt damit sein umfassendes Engagement für sichere Entwicklungspraktiken für IT- und OT-Umgebungen unter Beweis.

Diese Zertifizierung bestätigt, dass Acronis Cyber Protect für OT – wie auch das gesamte Acronis Portfolio – auf der Grundlage strenger, unabhängig geprüfter Sicherheitspraktiken entwickelt wurden, die speziell auf die Anforderungen industrieller Umgebungen zugeschnitten sind:

• Schutz für IT- und OT-Systeme unter einer einheitlichen Plattform.
• Backup- und Recovery-Fähigkeiten, die sich selbst über globale Betriebsabläufe hinweg skalieren lassen, ohne dass manuelle Eingriffe an einzelnen Standorten erforderlich sind.
• Sicherheitskontrollen für Umgebungen, in denen die Betriebsbereitschaft von entscheidender Bedeutung ist und herkömmliche Zeitfenster zum Patchen möglicherweise begrenzt sind.
• Compliance-Unterstützung für Unternehmen, die mit entsprechenden branchenspezifischen oder allgemeinen Vorschriften (wie NIS 2, DORA oder IEC 62443) zurechtkommen müssen.

Eine neue Infografik informiert detaillierter über SSDLCs (Sichere Software-Entwicklungslebenszyklen) und die Acronis Zertifizierung. Es basiert auf der eigenen Zertifizierungserfahrung von Acronis und bietet umsetzbare Leitlinien für:

• Unternehmenskunden, die OT-Lieferanten bewerten.
• OEMs, die ihren Kund:innen eine sichere Entwicklung belegen müssen.
• Systemintegratoren, die resiliente industrielle Lösungen entwickeln.