POWTECH/TechnoPharm Messeausgabe ab Seite 26

Prozessautomatisierung
Bereits im Jahr 2005 schlug der Lagebericht
des BSI (Bundesamt für Sicherheit
in der Informationstechnik) in einem
Absatz Alarm: „Bei der Entwicklung vieler
SCADA-Komponenten ist der Aspekt der
IT-Sicherheit nicht ausreichend berücksichtigt
worden. Zudem wurden Sicherheitsmechanismen
wie Authentifizierung und
Verschlüsselung nicht implementiert. Erschwerend
kommt hinzu, dass die Unternehmen
für die eingesetzten Prozessleitsysteme
zu wenig Risikoanalysen durchführen.“
Diese Warnung bestätigte eine Studie
der PA Consulting Group, einer internationalen
Management-, System- und Technologieberatung,
aus dem Jahr 2004. Demnach
kamen 49 Prozent der Viren und
Würmer, die Automatisierungsanlagen befielen,
über das interne Unternehmensnetzwerk.
Seit 2001 nehmen jedoch auch Attacken
von außen deutlich zu. Nach Ansicht
der Berater rückt die Prozessautomatisierung
verstärkt in den Blick von Hackern.
Der durchschnittliche Schaden der Sicherheitsvorfälle,
die die PA Consulting
Group untersucht hat, lag bereits bei 1,5
72 PROCESS 3-2007
Viren und Würmer machen auch vor Prozessleitsystemen nicht
halt – mit entsprechenden Sicherheitskonzepten können Anwender
aus der Prozessindustrie jedoch dagegen steuern.
Auf AufNummersicher
Nummer sicher
Security wird für Prozessleitsysteme unentbehrlich
Viren, Trojaner, Würmer, Hackerangriffe,
DatenmanipulationundSpionage–nur
einFallfürdieOffice-Welt?Beiweitem
nicht – auch die Prozessleittechnik
muss mehr über dieses Thema nachdenken
und neue Schutzkonzepte entwickeln.
Millionen Euro pro Vorfall. Kopflose Panikaktionen
sind dennoch nicht angebracht:
Ein böswilliger Angreifer ist zwar in der
Lage, Prozessleitsysteme anzugreifen, zum
Absturz zu bringen oder ihnen vertrauliche
Informationen, wie Rezepturen, zu entlocken.
Allerdings haben die meisten Vorfälle
in Bezug auf IT-Sicherheit ihren Ursprung
im eigenen Unternehmen, etwa durch das
Zurücklassen eines Modems oder durch
einen verseuchten USB-Stick, auf dem Engineering-Datenwei-
tergegeben werden.
Dennoch sind die
Zeiten der scheinbaren
Sicherheit vorbei,
die in der Vergangenheit
dank prioritärer Technik der
Systeme der Leittechnik und einer verhältnismäßig
schwach ausgeprägten Integration
in die klassische IT-Welt gegeben waren.
Viele Leitsysteme arbeiteten autark, und die
Grenzen zwischen Produktion und dem
Büro verliefen scharf. Heute greift der Einsatz
von IT-Komponenten immer tiefer in
die Systeme der Leittechnik ein. So sind
Prozessleitsysteme längst fester Bestandteil
übergeordneter Systeme, etwa ERP (Enterprise
Ressources Planning)-Systeme, und
damit einem potenziellem Angriff ausgesetzt.
Dabei wird die Verbindung von Internet
und Leitsystem in vielen Bereichen,
etwa bei der Fernwartung, ausdrücklich
gewünscht. „Die effektivste Methode zur
Steuerung von Prozessabläufen ist ein offenes
System, in dem alle Geräte innerhalb
„Auch in der Prozessindustrie gelten die
klassischen Schutzziele der IT.“
Heiko Adamczyk, ifak
Bild: Siemens
der Anlage miteinander kommunizieren,
aber ein offenes System ist anfällig für Bedrohungen
durch Angriffe auf das Netzwerk“,
verdeutlicht Jack Bolick, Präsident
von Honeywell Process Solutions, die derzeitige
Lage. Die gute Nachricht ist, dass es
durchaus Lösungen aus der IT gibt. Die
schlechte, sie lassen sich nicht immer auf
die Leittechnik umsetzen. Ein Leitsystem
lässt sich nicht einfach neu starten, so bald
ein neues Sicherheitspatch aufgespielt werden
soll. In regle-
mentierten oder validierten
Anlagen bzw.
auch bei älteren Systemen
ist an ein zeitnahes
Aufspielen von
Patches überhaupt nicht zu denken, da in
der Regel eine Freigabe durch den Hersteller
der Systeme erforderlich ist. Und wie
wirkt sich die Implementierung von Sicherheitssoftware
auf sicherheitsrelevante Komponenten,
etwa Stellglieder, aus?
Die Basis muss stimmen
„Grundsätzlich bezieht sich Security immer
auf das spezifische System, bestehend
aus Mensch, Organisation und Technik“,
stellt Heiko Adamczyk, Leiter des Forschungsschwerpunktes
„Sichere Industrielle
Kommunikation“ am Institut für Automation
und Kommunikation (ifak) e.V.
Magdeburg, unmissverständlich dar. „Und
es gelten auch in der Prozessindustrie die
klassischen Schutzziele der IT, wie Integrität,
Zugriffskontrolle, Authentizität, Ver-