Interview mit Frank Hinz Cybersecurity: Der Mensch ist Sicherheitsrisiko Nummer 1

Frank Hinz ist Bereichsleiter Vertrieb bei Omni Ray und Spezialist in Sachen Kommunikationslösungen. Wir sprachen mit ihm über die Vernetzung in der modernen Produktion, welche Vorteile und Chancen sich daraus ergeben können, aber auch, welche Risiken und Gefahren dies mit sich bringen kann.

AT: Die intelligente Vernetzung von Maschinen und Produktion bildet die Grundlage einer Smart Factory. Dank IoT wird jeder Zustand eines Geräts oder Anlage erfasst und/oder kann ausgewertet werden. Welche Möglichkeiten und Vorteile ergeben sich dadurch für Unternehmen?

Frank Hinz: In erster Linie schaffen wir Transparenz. Man hat seine Anlage jederzeit im Blick und kann sie überwachen. Die gesammelten Daten stehen zudem jederzeit für eine Analyse zur Verfügung. Daraus ergibt sich ein grosser Nutzen. Anlagenbetreiber können bei Störungen schnell reagieren, da genau ersichtlich wird, wo die Störung gerade vorliegt. Unnötig lange Stillstandzeiten können so verhindert werden. Dank der Daten lassen sich zudem Ausfälle bereits frühzeitig erkennen und Wartungen gezielt planen, Stichwort «Predictive Maintenance».

Auch für den Maschinenbauer ergeben sich dadurch Vorteile. Wartungspläne können angepasst, Field Services besser geplant oder die gesamte Anlage optimiert werden.

Bildergalerie

Ist «Predictive Maintenance» wirklich der Heilsbringer, für den ihn Maschinenbauer immer ausgeben?

F. Hinz: «Predictive Maintenance» ist natürlich ein Schlagwort, welches heute genauso inflationär benutzt wird wie beispielsweise «Industrie 4.0». Richtig eingesetzt sind die Vorteile aber immens. Mit der heutigen Sensortechnologie ergeben sich tiefe Einblicke in die Maschine. Durch eine Schwingungserkennung können beispielsweise Lagerschäden erkannt werden, lange bevor das ein Maschinenbediener oder Servicemonteur bemerkt. Ein weiteres Beispiel sind Gasdetektoren in Trafos. Diese erkennen aus­strömendes Gas und geben sofort Alarm. Für einen Menschen ist das unmöglich wahrzunehmen. Bei uns schrillen die Alarmglocken erst, wenn es zu spät ist, sprich der Trafo Feuer gefangen hat.

Die Vorteile dieser Komplett-Vernetzung sind zahlreich. Ein ganz wichtiger Aspekt liegt hier beim Thema Cybersecurity. Welche Risiken lauern für Anwender?

F. Hinz: Für Angreifer ist eine vernetzte Produktion natürlich ein gefundenes Fressen. Daten können entwendet oder verschlüsselt und Anwender so mit Lösegeld erpresst werden. Heutzutage ist das ein richtiges Business. Das sind keine Hacker im stillen Kämmerchen mehr, sondern top organisierte «Unternehmen».

Die Gefahren kommen aber nicht nur von aussen, sondern lauern auch im Unternehmen, beispielsweise durch einen Mitarbeiter, welcher in einer E-Mail auf einen Phishing-Link klickt oder einen unbekannten USB-Stick auf seinem Computer ausführt. Rund 80 Prozent aller Hackerangriffe werden erst durch unachtsame Mitarbeiter möglich. Auch externe Kräfte können, meistens völlig unabsichtlich, eine Anlage lahmlegen. Zum Beispiel ein Servicemitarbeiter, der seinen bereits mit Schadsoftware befallenen Laptop zur Diagnose an die Anlage anschliesst.

Welche Aspekte müssen denn beachtet werden, um die genannten Gefahren zu verhindern?

F. Hinz: Das Wichtigste ist die Schulung der Mitarbeiter, der Mensch ist Sicherheitsrisiko Nummer 1. Wie erkenne ich dubiose Mails, was passiert mit geschenkten USB-Sticks, etc.? Ein weiterer wichtiger Punkt ist es, seine Systeme auf den neuesten Stand zu bringen und zu unterhalten, sprich Updates vorzunehmen. Wir dürfen es den Angreifern nicht zu einfach machen. Heisst also, bitte immer und überall wo möglich Passwörter benutzen, und zwar nicht die Standard-Passwörter des Herstellers. Dieses finden Angreifer in jeder Bedienungsanleitung im Netz. Ich kann ausserdem nur ausdrücklich empfehlen, externe Berater hinzuziehen. Diese können Netzwerkscans durchführen, Schnittstellen prüfen, Schwachstellen und Hintertüren aufdecken und im Notfall erster Ansprechpartner sein.

Es gibt beim Thema Cybersecurity aber leider keinen 100-Prozent-Schutz. Regelmässige Back-ups der Daten sind daher unabdingbar. Jede Firma braucht zudem einen Security-Verantwortlichen. In grossen Unternehmen ist das gang und gäbe, aber auch im KMU-Bereich führt kein Weg daran vorbei. Bei einem Angriff ist der Faktor Zeit essenziell. Hier geht es darum, am richtigen Ort den Stecker ziehen zu können, um den Schaden möglichst gering zu halten.

Gerade für kleinere Unternehmen können Investitionen in Sicherheit zum Kostenfaktor werden. Was raten Sie diesen?

F. Hinz: Kosten für Aufbau, Erhalt und Wartung einer Security-Umgebung müssen zwingend in das jährliche Budget aufgenommen werden. Das gehört als Posten eingeplant wie eine Gebäudereinigung. Und gerade für KMUs ist ein externer Berater Pflicht. Mit einer Risikoanalyse kann dieser aufzeigen, was ein Security-Fall wirklich kosten kann. Vielen ist nicht bewusst, was es bedeutet, wenn die Produktion Stunden oder gar Tage ausfällt. Die Schadenssummen sind um ein Vielfaches grösser als die Investitionen in Sicherheit. Diese Spezialisten können Risiken aufzeigen, Aus- und Weiterbildungen anbieten oder Sicherheitsanalysen durchführen.

Grundsätzlich kann sich aber auch jeder Einzelne zusätzlich selbst weiterbilden und beispielsweise an Security-Anlässen teilnehmen. Man kann dort das Gespräch mit Fachleuten suchen, bekommt Tipps über die Erkennung von Gefahren und kann sich mit Gleichgesinnten austauschen.

Der IoT-Trend sorgt zwangsläufig für eine Verschmelzung von IT und OT. Während im IT-Bereich der Sicherheitsaspekt schon längst im Fokus ist, wurde das Thema seitens OT lange Zeit eher stiefmütterlich behandelt, ganz nach der Devise «Hauptsache, es läuft». Wie sehen Sie die Situation?

F. Hinz: Die Einstellung «never change a running system» in Bezug auf die Sicherheit einer Anlage ist natürlich sehr gefährlich. IT und OT sind zwei unterschiedliche Welten, aber die Sicherheit einer Firma inklusive Produktion kann am besten gewährleistet werden, wenn sich alle Verantwortlichen aus beiden Bereichen an einen Tisch setzen und das Thema zusammen planen und umsetzen. So werden auch Kompetenzdiskussionen innerhalb des Unternehmens verhindert.

Hauptproblem im OT-Bereich sind ältere Geräte und Maschinen. Gerade in einer Produktionsumgebung gibt es vielfach Steuerungen oder Rechner, die keine Updates mehr erhalten und auch nicht so einfach eins zu eins ersetzt werden können. Diese Geräte gilt es mit einem vorgeschalteten Security-Device, welche eine Firewall beinhalten, abzusichern. Ein Virus oder Trojaner wird so gestoppt, bevor dieser das Gerät erreichen kann.

Die Themen IoT, Sicherheit und Kommunikation sind auch Bestandteile der swissT.net Communication Conference, welche am 6. Dezember in Rapperswil stattfindet. Sie sitzen im OK der Veranstaltung und haben natürlich den besten Einblick. Was dürfen die Besucher erwarten?

F. Hinz: Viele der hier besprochenen Themen werden an der Communication Conference behandelt. Wir möchten in Rapperswil eine Plattform anbieten, auf welcher sich Besucher mit Fachleuten, Lieferanten und Gleichgesinnten unterhalten können. Zu diesem Zweck gibt es eine Reihe von ausgesuchten Vorträgen zu den besprochenen Themen wie IoT und Security. Auch von Interesse dürften die Vorträge zu neuen Trends bei den industriellen Kommunikationsstandards und Technologien sein. So erfahren Besucher zum Beispiel mehr über «Time Sensitive Networking», kurz TSN, und über Single Pair Ethernet (SPE). Die beiden Themen sind für den Markt neu und da gilt es, zuerst die Grundlagen und die geltenden Standards kennenzulernen. Hier wollen wir helfen, das nötige Know-how aufzubauen, und den Teilnehmern die Möglichkeit bieten, mit den Spezialisten zu sprechen und Fragen zu stellen. Der Anlass richtet sich speziell an technisch orientierte Fachleute wie Planer, Systemintegratoren, technische Verantwortliche und Fachleute aus dem Unterhaltungsservice aus den Bereichen der industriellen Automation und der technischen Netze.

(ID:48676964)