Supply-Chain-Sicherheit und Resilienz in kritischen Infrastrukturen

1. Die verdeckte Angriffsfläche der Lieferkette

Kritische Infrastrukturen beziehen Hard- und Softwarekomponenten von einer Vielzahl externer Zulieferer und Dienstleister¹. Kompromittierungen entlang dieser Lieferkette (Supply Chain Attacks) umgehen oft klassische Perimeter-Verteidigungen, da sie vertrauenswürdige Update-Kanäle oder integrierte Drittanbietersoftware als Einfallstor nutzen¹.

2. Software Bill of Materials (SBOM)

Zur Erhöhung der Transparenz und Risikobewertung von Software- und Firmware-Paketen in IIoT-Geräten gewinnt die Software Bill of Materials (SBOM) an Bedeutung¹:

• Strukturierte Inventarisierung: Vollständige Auflistung aller Open-Source- und proprietären Komponenten sowie deren Versionen.
• Vulnerabilitätsmanagement: Automatisierter Abgleich von bekannten Schwachstellen (CVEs) mit den in der Anlage eingesetzten Software-Modulen.

3. Beschaffungsrichtlinien und Audits

KRITIS-Betreiber müssen strenge vertragliche und technische Anforderungen an ihre Lieferanten stellen¹:

• Verpflichtung zu regelmäßigen, zertifizierten Sicherheitsaudits der Hersteller.
• Bereitstellung zeitnaher Patches und kryptografisch abgesicherter Update-Mechanismen (Signed Firmware Updates).
• Vermeidung von Single Points of Failure durch redundante, diversitäre Architekturkonzepte¹.