TL;DR
Die fortschreitende Vernetzung von Informationsverarbeitung (IT) und operativer Technologie (OT) erhöht die Angriffsfläche für industrielle Steuerungssysteme (ICS) signifikant. Die Abaia-Working-Group führt den Cyber-Sicherheits-Check OT (CSC-OT) als herstellerunabhängige Dienstleistung durch, um Sicherheitslücken auf den Ebenen 0 bis 3 (ISA-95) vor Ort zu identifizieren und zu beheben. Als methodische und fachliche Referenz dient dabei zum Beispiel der von der Fachgruppe Cyber Security des ISACA Germany Chapter e. V. in Kooperation mit dem BSI entwickelte Leitfaden.
1. Ausgangslage und Herausforderungen im OT-Umfeld
Industrielle Produktions- und Prozessanlagen folgen anderen Gesetzmäßigkeiten als die klassische Office-IT. Während in der Büro-IT die Vertraulichkeit von Daten im Vordergrund steht, besitzen in der OT die physikalische Verfügbarkeit, Echtzeitanforderungen, funktionale Sicherheit (Safety) sowie Anlagennutzungsdauern von 20 bis 30 Jahren höchste Priorität. Unbedachte automatisierte Sicherheits-Scans oder fehlerhafte Updates können zu Produktionsausfällen, Anlagenschäden oder Gefährdungen von Mensch und Umwelt führen.
Das Modell der Fertigungspyramide von oben nach unten:
- Ebene 4 Betriebsführung / ERP
- Ebene 3 Abaia-Working-Group: Prozessführung & Anlageninfrastruktur (MES, Historian)
- Ebene 2 Abaia-Working-Group: CSC-OT -Überwachen & Leiten (SCADA, HMI, Engineering)
- Ebene 1 Abaia-Working-Group: Fokus - Sensoren & Aktoren (SPS / PLC, Feldgeräte)
- Ebene 0 Abaia-Working-Group: Physikalischer Produktionsprozess
Die Dienstleistung der Abaia-Working-Group fokussiert sich gezielt auf die kritischen Ebenen 0 bis 3 der Automatisierungspyramide sowie auf Hilfssysteme (Energieversorgung, Klimatechnik) und Schnittstellen zur IT und zu Cloud-Diensten.
2. Der sechsstufige Prüfprozess der Abaia-Working-Group
Um den laufenden Betrieb der Kundenanlagen nicht zu beeinträchtigen, folgt Abaia einem passiven, rein lesenden Prüfansatz. Die Durchführung des CSC-OT gliedert sich in sechs strukturierte Phasen:
- Auftragserteilung & Scoping: Präzise Definition des Prüfgegenstands (Scope) in Abstimmung mit Geschäftsführung, Werksleitung und OT-Verantwortlichen.
- Risikoeinschätzung: Mathematische Ermittlung der spezifischen Risikokennzahl zur Bestimmung der risikoorientierten Prüftiefe (normal, hoch, sehr hoch).
- Informationssichtung: Sichtung vorhandener Sicherheitskonzepte, Netzpläne, Inventarlisten und Safety-Dokumentationen.
- Prüfvorbereitung: Erstellung eines individuellen Ablaufplans unter Festlegung relevanter Stichproben.
- Vor-Ort-Beurteilung: Interviews mit Anlagenverantwortlichen, technische Inaugenscheinnahme von Systemen und Infrastrukturen sowie Dokumentenprüfungen vor Ort.
- Nachbereitung & Berichterstellung: Erstellung eines auditfesten Mängelberichts mit Priorisierung (Sicherheitsempfehlung, Sicherheitsmangel, Schwerwiegender Sicherheitsmangel) und konkreten Handlungsempfehlungen.
3. Evaluierung der 14 Maßnahmenziele (A–N)
Im Rahmen des Sicherheits-Checks evaluiert Abaia das OT-Sicherheitsniveau anhand der 14 verbindlichen Maßnahmenblöcke des ISACA-Standards, die direkt auf Normen wie IEC 62443, ISO/IEC 27001 und das BSI IT-Grundschutz-Kompendium verweisen:
- A – Segmentierung & Zonierung: Überprüfung des Zellschutzkonzepts (Zones & Conduits) und der Absicherung von Netzübergängen (DMZ).
- B – Schadsoftware-Abwehr & Gateways: Kontrolle gestaffelter Abwehrmechanismen und Sicherheitsgateways.
- C – Beschaffung & Inventarisierung: Erfassung des Hard- und Software-Inventars (Digitaler Zwilling).
- D – Härtung & Change Management: Überprüfung der Systemhärtung, Deaktivierung nicht benötigter Dienste und Patch-Prozesse.
- E – Sichere Schnittstellen & Fernwartung: Absicherung externer Datenflüsse (Default DENY-ANY) und Fernwartungszugänge.
- F – Logdaten & Systemüberwachung: Bewertung fälschungssicherer Protokollierung und Zeitsynchronisation.
- G – Aktueller Informationsstand: Auditierung von Prozessen zur Auswertung neuer Bedrohungslagen.
- H – Incident Management: Prüfung von Notfallplänen, Datensicherungen und Wiederherstellungstests.
- I – Identitäts- & Zugriffsmanagement: Evaluierung von Authentifizierungskonzepten und Multi-Faktor-Verfahren (MFA).
- J – OT-Sicherheitsorganisation: Bewertung der personellen/finanziellen Ressourcen sowie der Rolle des ISB-OT.
- K – Sensibilisierung & Schulung: Zielgruppengerechte Schulungsmaßnahmen für Betrieb und Instandhaltung.
- L – Nutzung sozialer Netzwerke: Vorgaben gegen unbeabsichtigte Offenlegung sensibler Anlagendetails.
- M – Schwachstellen- & Konfigurationsanalyse: Unabhängige Validierung von Konfigurationen und Systemen.
- N – Cloud-Sicherheit: Risikoeinschätzung und Absicherung von Schnittstellen zu Cloud-Diensten.
4. Mehrwert der Dienstleistung und Referenzrahmen
Durch die Erbringung des CSC-OT erhalten Betreiber kritischer Infrastrukturen und Industrieunternehmen eine nachvollziehbare, risikoangepasste Bestandsaufnahme ihres OT-Sicherheitsstatus. Die Verankerung der Prüfmethodik im Leitfaden des ISACA Germany Chapter e. V. stellt sicher, dass die Auditergebnisse standardisiert, vergleichbar und gegenüber Regulierungsbehörden und Zertifizierern belastbar dokumentiert werden.
Methodische Referenz: