OT Security
ICS-/OT-Sicherheit: Living-off-the-Land-Angriffe bedrohen industrielle Steuerungssysteme
Wie Cyberangreifer industrielle Steuerungssysteme ohne Malware manipulieren
Cyberangriffe auf industrielle Steuerungssysteme (ICS) entwickeln sich zunehmend zu einer Gefahr für Produktionsprozesse, Anlagen und Menschen. Besonders kritisch: Angreifer benötigen häufig keine spezielle Schadsoftware, sondern missbrauchen vorhandene Funktionen industrieller Steuerungen, um physische Abläufe zu manipulieren. Aktuelle Vorfälle in der europäischen Lebensmittel- und Getränkeindustrie zeigen, warum klassische IT-Sicherheitsmaßnahmen allein nicht ausreichen, um industrielle Umgebungen wirksam zu schützen.
Cyberangriffe auf Unternehmen der Lebensmittel- und Getränkeindustrie in Frankreich und den Niederlanden verdeutlichen eine grundlegende Schwachstelle industrieller Infrastrukturen. Während sich klassische Cyberattacken häufig auf Datendiebstahl, Verschlüsselung oder Erpressung konzentrieren, können Angriffe auf Operational Technology (OT) unmittelbar in physische Prozesse eingreifen.
Produktionsanlagen können stillstehen, Betriebsparameter verändert oder sicherheitskritische Abläufe gestört werden. Die Folgen reichen von wirtschaftlichen Schäden und Produktionsausfällen bis hin zu potenziellen Gefährdungen von Beschäftigten und Verbrauchern.
Dean Parsons, Principal Instructor beim SANS Institute , warnt in diesem Zusammenhang vor einer Angriffsmethode, die ohne den Einsatz klassischer Malware auskommt: Living off the Land (LotL).
Bei Living-off-the-Land-Angriffen nutzen Cyberkriminelle vorhandene Systemfunktionen und legitime Werkzeuge für ihre Zwecke. Was in klassischen IT-Umgebungen bereits seit Jahren als Angriffstechnik bekannt ist, gewinnt auch in industriellen Steuerungsumgebungen an Bedeutung.
Sobald Angreifer Zugriff auf ein ICS-/OT-Netzwerk erhalten, können sie Funktionen speicherprogrammierbarer Steuerungen (SPS beziehungsweise PLCs), Engineering-Workstations und anderer industrieller Komponenten missbrauchen.
Anstatt Schadsoftware einzuschleusen, verändern sie beispielsweise Steuerungsparameter, manipulieren Konfigurationen oder nutzen bestehende Verwaltungsfunktionen, um industrielle Prozesse zu beeinflussen.
Die eigentliche Gefahr liegt darin, dass solche Aktivitäten auf den ersten Blick wie reguläre Bedien- oder Wartungsvorgänge aussehen können
Herkömmliche Sicherheitslösungen, die primär auf Malware-Erkennung, Signaturen oder klassische IT-Angriffsmuster ausgerichtet sind, stoßen hier an ihre Grenzen. Denn die eingesetzten Werkzeuge und Funktionen sind grundsätzlich legitim. Entscheidend ist, wer sie verwendet, zu welchem Zeitpunkt und mit welchem Ziel.
Warum klassische IT-Sicherheit in industriellen Umgebungen nicht ausreicht
In der traditionellen IT-Sicherheit stehen häufig Vertraulichkeit, Integrität und Verfügbarkeit von Informationen im Mittelpunkt. In industriellen Umgebungen verschieben sich die Prioritäten.
Hier müssen vor allem die Sicherheit physischer Prozesse, die Verfügbarkeit kritischer Anlagen und der Schutz von Menschen gewährleistet werden.
Ein manipulierter Controller kann beispielsweise Produktionsabläufe verändern oder Anlagenkomponenten in unerwünschte Betriebszustände versetzen. Anders als bei einem kompromittierten Bürorechner lassen sich betroffene Systeme zudem nicht ohne Weiteres abschalten oder neu starten.
Viele industrielle Anlagen unterliegen langen Lebenszyklen, festen Wartungsfenstern und hohen Anforderungen an die Betriebskontinuität. Sicherheitsupdates können deshalb nicht immer unmittelbar eingespielt werden.
Für Dean Parsons steht fest: Unternehmen benötigen Sicherheitsarchitekturen und Kontrollmechanismen, die speziell auf die technischen und betrieblichen Besonderheiten von ICS-/OT-Umgebungen abgestimmt sind.
Fünf zentrale Schutzmaßnahmen für industrielle Steuerungssysteme
Das SANS Institute empfiehlt mit den Five ICS Cybersecurity Critical Controls einen bedrohungsorientierten Ansatz zum Schutz industrieller Infrastrukturen.
Die Maßnahmen sollen Unternehmen dabei unterstützen, Angriffsflächen zu reduzieren, verdächtige Aktivitäten frühzeitig zu erkennen und die Auswirkungen erfolgreicher Angriffe zu begrenzen.
1. Industrielle Netzwerke konsequent segmentieren
Eine widerstandsfähige ICS-/OT-Sicherheitsarchitektur beginnt mit der Trennung industrieller Steuerungsnetze von risikobehafteten IT-Netzwerken. Insbesondere direkte Verbindungen zum Internet sollten vermieden werden. Wo Kommunikation zwischen IT und OT erforderlich ist, müssen kontrollierte Übergänge und geeignete Sicherheitsmechanismen zum Einsatz kommen.
Ziel ist es, Angreifern den direkten Zugriff auf Steuerungssysteme zu erschweren und eine seitliche Ausbreitung innerhalb industrieller Netzwerke zu begrenzen.
2. Fernzugriffe absichern und kontrollieren
Externe Dienstleister, Wartungspartner und Anlagenhersteller benötigen häufig Zugriff auf industrielle Systeme. Gerade diese Verbindungen können jedoch zu kritischen Einfallstoren werden. SANS empfiehlt deshalb sichere Fernzugriffslösungen mit Multi-Faktor-Authentifizierung (MFA), zeitlich begrenzten Berechtigungen und einer kontinuierlichen Sitzungsüberwachung.
Besonders wichtig ist, dass Anlagenbetreiber jederzeit kontrollieren können, wer auf welche Steuerungssysteme zugreift und welche Aktivitäten durchgeführt werden.
3. Schwachstellenmanagement an industrielle Anforderungen anpassen
Viele industrielle Steuerungssysteme sind über Jahre oder sogar Jahrzehnte im Einsatz. Veraltete Software, nicht mehr unterstützte Geräte und eingeschränkte Update-Möglichkeiten erhöhen das Sicherheitsrisiko. Ein wirksames Schwachstellenmanagement muss deshalb die tatsächlichen betrieblichen Risiken berücksichtigen. Sicherheitsupdates sollten nach Möglichkeit innerhalb geplanter Wartungsfenster erfolgen. Wo Patches nicht verfügbar oder kurzfristig nicht umsetzbar sind, müssen kompensierende Schutzmaßnahmen greifen.
Dazu gehören insbesondere Netzwerksegmentierung, restriktive Zugriffskontrollen und zusätzliche Überwachungsmechanismen.
4. Netzwerkaktivitäten und Steuerungsänderungen überwachen
Eine der wichtigsten Maßnahmen gegen Living-off-the-Land-Angriffe ist die kontinuierliche Transparenz über industrielle Netzwerkkommunikation. Spezialisierte ICS-/OT-Monitoring-Lösungen können ungewöhnliche Verbindungen, unautorisierte Zugriffe und Veränderungen an Steuerungseinstellungen oder Betriebsparametern sichtbar machen. Entscheidend ist dabei nicht allein die Erkennung technischer Auffälligkeiten, sondern deren Bewertung im jeweiligen industriellen Kontext. Eine Änderung an einer Steuerung kann während einer geplanten Wartung legitim sein. Erfolgt dieselbe Änderung jedoch außerhalb des Wartungsfensters oder durch einen unbekannten Benutzer, kann dies auf einen Angriff hindeuten.
Dafür müssen IT-Sicherheit, Anlagentechnik und Betrieb eng zusammenarbeiten.
5. Incident Response speziell für ICS/OT vorbereiten
Ein Sicherheitsvorfall in einem industriellen Netzwerk erfordert andere Reaktionsabläufe als ein klassischer IT-Incident. Unüberlegte Gegenmaßnahmen können den Produktionsbetrieb zusätzlich gefährden oder sicherheitskritische Prozesse beeinträchtigen. Unternehmen sollten deshalb über dokumentierte ICS-/OT-spezifische Incident-Response-Pläne verfügen und diese regelmäßig überprüfen.
Dean Parsons empfiehlt vierteljährliche Simulationsübungen, bei denen Cybersicherheitsexperten, Ingenieure und Betriebsteams gemeinsam unterschiedliche Angriffsszenarien durchspielen. Dabei müssen nicht nur technische Wiederherstellungsprozesse, sondern auch betriebliche Sicherheitsanforderungen berücksichtigt werden.
Industrielle Cybersicherheit muss physische Prozesse schützen
Living-off-the-Land-Angriffe verdeutlichen einen grundlegenden Wandel in der industriellen Bedrohungslandschaft: Nicht jede gefährliche Cyberattacke benötigt Schadsoftware. Mitunter reichen legitime Steuerungsbefehle aus, um erhebliche Schäden zu verursachen.
Für Betreiber industrieller Anlagen bedeutet dies, dass klassische IT-Sicherheitskonzepte allein keinen ausreichenden Schutz bieten. Gefragt sind spezialisierte ICS-/OT-Sicherheitslösungen, kontinuierliche Netzwerktransparenz und Mitarbeiter, die sowohl Cyberbedrohungen als auch industrielle Prozesse verstehen. Die fünf kritischen ICS-Sicherheitskontrollen des SANS Institute bieten hierfür einen praxisorientierten Rahmen.
Entscheidend bleibt jedoch die konsequente Umsetzung. Denn in industriellen Umgebungen geht es bei Cybersicherheit längst nicht mehr ausschließlich um den Schutz von Daten, sondern um die Sicherheit ganzer Produktionsprozesse – und im Ernstfall auch um Menschenleben.
