Was wollen wir eigentlich von Security? Genau diese Frage stand in diesem Jahr bei SECURITY UNTER KONTROLLE im Areal Böhler in Düsseldorf im Fokus. Der OT-Security-Kongress zeigte dabei an zwei Tagen eindrucksvoll, warum die Cybersicherheit der Produktion so wichtig ist und wie Unternehmen am besten vorgehen.
Besonders der erste Kongresstag von SECURITY UNTER KONTROLLE lieferte dabei viele Erkenntnisse. Der Erfolg der Security-Bemühungen hängt vor allem von der Motivation der Unternehmen ab. Ein Referent formulierte es treffend: „Reicht es, die geltenden Regularien blind zu erfüllen und mit Auditoren zu kämpfen? Oder wollen wir uns wirklich vor Angriffen schützen?“
Natürlich ist damit nicht gemeint, dass die geltenden Gesetze und Regularien ignoriert werden sollen. Aber wer Security nur angeht, um Behörden zu gefallen, wird damit nicht weit kommen, so das Credo der Vortragenden. „Security muss man für sich selbst machen!“, wurde es in der Podiumsdiskussion des ersten Tages treffend auf den Punkt gebracht.
Was geschehen kann, wenn Hacker dann doch erfolgreich angreifen, zeigte eine Keynote von Robert Klaffus. Der CEO von PSI berichtete von einem Krypto-Trojaner-Angriff auf sein Unternehmen. Dabei zeigte er durchaus ehrlich auf, warum Unternehmen ihre Security-Fähigkeiten in der Regel überschätzen und was zu tun ist, wenn der Ernstfall eintritt.
Security selbst in die Hand zu nehmen und für sie selbst zu gestalten ist zwar sicherlich keine bahnbrechend neue Erkenntnis, aber vor diesem Hintergrund dennoch eine sehr wichtige, gerade mit Blick auf das „Superregulierungsjahr“ 2024, in dem die produzierende Industrie mit der NIS-2-Richtlinie (NIS2) und dem Cyber Resilience Act (CRA) wohl gleich zwei dicke Bretter bohren muss.
SECURITY UNTER KONTROLLE auch für Armaturenhersteller interessant
Welche Hürden mit diesen beiden EU-Gesetzen auf die Branche zukommen, zeigten die ersten beiden Vorträge eindrucksvoll. Fest steht: beide Regulierungen sind bürokratische Ungetüme, die sowohl für betroffene Unternehmen aber ebenso die Behörden noch allerhand Herausforderungen bereithalten.
Doch auch die darüber hinaus schon geltenden Regulierungen wie etwa das Energiewirtschaftsgesetz (EnWG), das BSI-Gesetz (KRITIS-Verordnung), KAS-51 oder in der Safety (TRBS 1115-1) enthalten Anforderungen an die Cybersecurity. Das Problem: all diese Regularien kommen von verschiedenen Behörden mit unterschiedlichen Ansprechpartnern. Wie kriegen Sie die alle nun unter einen Hut? Indem Security zur Konzern-Aufgabe und Querschnittsfunktion wird, die nicht jede einzelne Business Unit selbst übernimmt.
Von giftigen Christstollen und Internet auf Luxusyachten
Gleich im Anschluss wurde die bis dahin doch recht hohe Flughöhe deutlich reduziert und es ging konkreter um die Cybersicherheit der OT. Aber auch um giftige Christstollen, die oft bittere Mandeln enthalten, eine eigentlich hochgiftige Zutat, die unter kontrollierten Bedingungen aber super Geschmack liefern und in der Zutatenliste enthalten sind. Übertragen auf die Security bedeutet das, eine reine Software Bill of Materials (SBOM), also eine Software-Zutatenliste, ist zwar sehr gut, bringt aber ohne die richtige Handhabung (in diesem Fall Security Advisories) nur wenig. Wichtig dabei auch: es braucht schon während des Entwicklungsprozesses ein aktives Schwachstellenmanagement.
Große Schwachstellen lassen sich auch auf Luxusyachten finden, die im Grunde nichts anderes sind als OT-Systeme auf hoher See. Die auf den Schiffen verbaute und mit dem Internet verbundenen Geräte lassen sich über entsprechende Websites recht einfach nicht nur finden, sondern auch aus der Ferne parametrieren. Denn es fehlen notwendige Patches der Systeme und die verwendeten Passwörter sind im sehr einfach zugänglichen Code oft direkt enthalten. Die genauen Positionsdaten der teilweise mehr als 100 Meter langen Yachten gibt es als Bonus gleich noch dazu.
Wer mehr über die diesjährige Ausgabe erfahren möchte, sollte dem Kongress auf LinkedIn und Youtube folgen. In den kommenden Tagen und Wochen werden dort weiteres Material, inklusive der Aufzeichnungen der Vorträge, veröffentlicht.
