Traditionell waren Informations- und Operationstechnologie (IT & OT) getrennte Bereiche. Als System ohne Verbindung zur Außenwelt war die OT dabei gut geschützt. Moderne Automatisierungskonzepte erfordern allerdings die Verbindung dieser beiden Welten. Das stellt Unternehmen in allen Belangen vor Herausforderungen, doch besonders groß sind diese bei Sicherheitsthemen.

Die Gefahr ist erkannt aber noch nicht gebannt

Ein allgemeines Gefahrenbewusstsein scheint durchaus vorhanden zu sein, allerdings fehlt es an konkreten Plänen zur Verbesserung der Cybersicherheit, wie eine Publikation des Fraunhofer Instituts zeigt:

„Großunternehmen, vor allem börsennotierte, verfügen über ein allgemeines Risikomanagement mit gut dokumentierten Handbüchern. Innerhalb des Risikomanagements wird Cybersecurity überwiegend aktiv im Office-Netzwerk angegangen. In der Produktion wurde das Risiko durch Cyberangriffe zwar erkannt, aber nur in wenigen Fällen aktiv ins Visier genommen. Bei den teilnehmenden KMU verhält es sich ähnlich, allerdings fällt hier die Umsetzung der Sicherheitsmaßnahmen im Mittel noch geringer aus. Sowohl die Großunternehmen als auch die KMU haben Schwierigkeiten, die Bedrohungslandschaft durch Cyberangriffe ganzheitlich zu erfassen.“

Wir müssen uns heute immer wieder ins Bewusstsein rufen, dass Cyberkriminelle nicht nur Daten stehlen können – was natürlich auch dramatische Auswirkungen haben kann – sondern auch ganz unmittelbar in die physische Welt eingreifen können. Welche Folgen solche Angriffe haben können, zeigten etwa die Hacker-Attacken, die Ende 2016 große Teile des ukrainischen Stromnetzes lahmlegten.

Key Injection für Zero Trust in automatisierten Umgebungen

Zero-Trust-Konzepte sind in der IT seit längerem bekannt und basieren darauf, dass kein Gerät mehr automatisch als vertrauenswürdig gilt, nur deshalb, weil es sich in einem bestimmten Netzwerk befindet. Stattdessen muss sich jeder Nutzer authentifizieren. Mit Kryptografie gelingt es, diesen Ansatz auch in vollautomatischen Umgebungen abzubilden.

Hierbei geht es darum, Maschinen oder Geräte mit einer eindeutigen elektronischen Identität zu versehen, mit der sie sich im Netzwerk authentifizieren können. Diese Identität erhalten sie mittels Key Injection, das bedeutet, es wird ein eindeutiger kryptografischer Schlüssel in das Gerät eingebracht. Die Integrität des Gesamtsystems hängt nun von den verwendeten Schlüsseln ab. Diese müssen also ausreichend komplex sein, damit sie nicht ohne immensen Aufwand geknackt werden können, und müssen über ihre gesamte Lebensdauer hinweg sicher verwahrt und verwaltet werden.

Die ideale Lösung zur sicheren Erzeugung und Verwaltung kryptografischer Schlüssel ist ein Hardware-Sicherheitsmodul (HSM). Diese Geräte verfügen über einen echten Zufallszahlengenerator und können so sehr starke Schlüssel erzeugen. Im Gegensatz zu Software-Lösungen speichern HSM Schlüssel auch nicht im Hauptspeicher, was einen Zugriff darauf von außen praktisch unmöglich macht. Somit stellen sie das ideale Vertrauenszentrum für IoT-Umgebungen dar.