Produktionsausfälle durch IT-Sicherheitslücken verhindern

Ein kompromittiertes Passwort, eine ungepatchte Schwachstelle oder eine einzige Phishing-Mail können ausreichen, um komplette Produktionslinien stillzulegen. Der mutmaßliche Ransomware-Angriff auf US-Produktionsstätten des Coca-Cola-Tochterunternehmens fairlife zeigt, wie eng IT-Sicherheit, Betriebstechnik und wirtschaftliche Widerstandsfähigkeit inzwischen miteinander verbunden sind. Industrieunternehmen müssen deshalb verhindern, dass Angreifer von der klassischen IT bis in sensible OT-Umgebungen vordringen.

Dmitri Belotchkine, Senior Technical Director Europe bei TXOne Networks , analysiert das Vorgehen der Anubis-Ransomware und erklärt, warum traditionelle IT-Firewalls in Industrieumgebungen durch einen OT-nativen Zero-Trust-Ansatz abgelöst werden müssen.

Der jüngste Cybervorfall bei fairlife verdeutlicht, welche Folgen ein erfolgreicher Angriff auf ein modernes Industrieunternehmen haben kann. Nach Angaben aus dem Umfeld des Vorfalls mussten produktionskritische Systeme abgeschaltet und die Produktion in den USA zeitweise eingestellt werden.

Offizielle technische Details zum Ablauf sind bislang nur begrenzt verfügbar. Hinweise auf die Ransomware-as-a-Service-Gruppe Anubis legen jedoch ein Angriffsmuster nahe, das Sicherheitsverantwortlichen aus zahlreichen anderen Vorfällen bekannt ist: Der Einstieg erfolgt über die IT, anschließend bewegen sich die Angreifer innerhalb des Unternehmensnetzwerks und versuchen, Zugriff auf die Betriebstechnik – die Operational Technology, kurz OT – zu erlangen.

Von der IT-Sicherheitslücke zum Produktionsstillstand

Der Fall zeigt die asymmetrische Natur moderner Cyberangriffe. Während Angreifer häufig nur einen einzigen funktionierenden Einstiegspunkt benötigen, müssen Unternehmen sämtliche potenziellen Angriffsflächen absichern.

Ein kompromittiertes Benutzerkonto, eine manipulierte Phishing-Mail oder eine ungepatchte Schwachstelle in einem öffentlich erreichbaren VPN-Gateway oder Webserver kann bereits genügen. Nach dem ersten Zugriff versuchen die Angreifer, ihre Berechtigungen auszuweiten, weitere Systeme zu kompromittieren und sich unbemerkt durch das Netzwerk zu bewegen.

Ihr Ziel ist dabei nicht zwangsläufig nur der Diebstahl sensibler Daten. In industriellen Unternehmen ist der Zugang zur Produktionsumgebung häufig deutlich wertvoller.

„Ein Produktionsstillstand verursacht nicht nur unmittelbare finanzielle Verluste. Er erhöht zugleich den Druck auf das Management, schnell auf die Forderungen der Angreifer zu reagieren“, erklärt Dmitri Belotchkine, Senior Technical Director Europe bei TXOne Networks.

In vielen Industrieunternehmen wurden IT- und OT-Infrastrukturen über Jahre oder Jahrzehnte hinweg erweitert. Dabei entstanden Verbindungen, die heute teilweise nur unzureichend dokumentiert, nicht konsequent überwacht oder unzureichend segmentiert sind.

Genau diese Strukturen können Angreifer ausnutzen. Über Fernwartungszugänge, gemeinsam genutzte Benutzerkonten, veraltete Netzwerkkomponenten oder falsch konfigurierte Schnittstellen gelingt ihnen möglicherweise der Übergang von der Unternehmens-IT in die Produktionsumgebung.

Auch Wechselmedien stellen weiterhin ein Risiko dar. Nicht kontrollierte oder kompromittierte USB-Massenspeicher können Schadsoftware auf Systeme übertragen, die nicht direkt mit dem Internet verbunden sind.

Diese vermeintlich isolierten Systeme sind deshalb keineswegs automatisch geschützt. Sobald Daten, Softwareupdates oder Konfigurationsdateien zwischen unterschiedlichen Sicherheitszonen ausgetauscht werden, entsteht ein potenzieller Übertragungsweg.

In der OT zählt vor allem die Verfügbarkeit

Sobald Angreifer die OT-Umgebung erreichen, verändert sich die Wirkung eines Cyberangriffs grundlegend. In klassischen IT-Systemen stehen häufig Vertraulichkeit, Integrität und Datenschutz im Vordergrund. In Produktionsumgebungen besitzen dagegen Verfügbarkeit, Prozessstabilität und physische Sicherheit höchste Priorität.

Werden speicherprogrammierbare Steuerungen, Human-Machine-Interfaces oder SCADA-Systeme verschlüsselt, manipuliert oder vom Netzwerk getrennt, kann dies unmittelbar zum Stillstand einer Produktionslinie führen.

Selbst wenn die eigentlichen Maschinen nicht direkt kompromittiert wurden, können bereits ausgefallene Leit-, Überwachungs- oder Logistiksysteme einen sicheren Weiterbetrieb unmöglich machen. Unternehmen müssen Anlagen dann kontrolliert herunterfahren, bis die Integrität der Systeme überprüft und ein gefahrloser Betrieb wieder gewährleistet ist.

Die wirtschaftlichen Folgen können erheblich sein. Neben Produktionsausfällen entstehen Kosten für Incident Response, Wiederherstellung, externe Spezialisten, Ersatzprozesse und mögliche Lieferverzögerungen. Gleichzeitig können regulatorische Meldepflichten, Vertragsstrafen und Reputationsschäden hinzukommen.

Die Trennung von IT und OT reicht nicht mehr aus

Der Vorfall unterstreicht die Notwendigkeit eines Paradigmenwechsels in der industriellen Cybersicherheit. Die traditionelle Vorstellung, IT und OT seien zwei klar voneinander getrennte Welten, entspricht in vielen Unternehmen nicht mehr der Realität.

Produktionssysteme sind heute mit Warenwirtschaft, Cloud-Plattformen, Fernwartungslösungen, Qualitätsmanagement und Lieferkettenprozessen vernetzt. Diese Konvergenz ermöglicht effizientere Abläufe, schafft jedoch zugleich neue Angriffspfade.

Eine einzelne Firewall zwischen IT und OT reicht deshalb nicht aus. Unternehmen benötigen ein mehrstufiges Sicherheitsmodell, das Zugriffe konsequent überprüft, Kommunikationswege begrenzt und auch den Datenverkehr innerhalb der Produktionsumgebung überwacht.

Ein OT-spezifischer Zero-Trust-Ansatz geht davon aus, dass weder Benutzer noch Geräte oder Netzwerkverbindungen automatisch vertrauenswürdig sind. Zugriffe sollten ausschließlich nach eindeutiger Identifikation, definierter Berechtigung und kontinuierlicher Überprüfung erlaubt werden.

Industrielle Protokolle gezielt überwachen

Klassische IT-Sicherheitslösungen erkennen viele Angriffe auf Büro- und Serversysteme. Für Produktionsumgebungen sind jedoch zusätzliche Funktionen erforderlich.

OT-Sicherheitsplattformen müssen industrielle Protokolle und Kommunikationsmuster verstehen. Nur so können sie erkennen, ob ein Steuerungsbefehl technisch ungewöhnlich, sicherheitskritisch oder für den jeweiligen Prozess nicht vorgesehen ist.

Eine wirksame Überwachung kann beispielsweise feststellen, wenn ein bisher passives Gerät plötzlich Konfigurationsänderungen ausführt, ungewöhnliche Verbindungen aufbaut oder Befehle an mehrere Steuerungssysteme sendet.

Entscheidend ist dabei, Anomalien nicht erst nach einem Produktionsausfall zu analysieren. Verdächtige Aktivitäten müssen möglichst in Echtzeit erkannt und – sofern betrieblich vertretbar – blockiert oder isoliert werden.

Legacy-Systeme bleiben ein kritischer Schwachpunkt

Eine besondere Herausforderung stellen ältere industrielle Systeme dar. Viele Maschinen und Steuerungscomputer sind über zehn oder zwanzig Jahre im Einsatz. Für einige Betriebssysteme und Anwendungen stehen keine Sicherheitsupdates mehr zur Verfügung.

Ein Austausch ist häufig technisch komplex, teuer oder nur während längerer Wartungsfenster möglich. Gleichzeitig dürfen klassische Endpunktschutzlösungen die Anlagen weder verlangsamen noch die Stabilität zertifizierter Produktionsprozesse beeinträchtigen.

Unternehmen benötigen deshalb Schutzmechanismen, die speziell für industrielle Endpunkte entwickelt wurden. Dazu gehören ressourcenschonende Sicherheitskontrollen, die Überwachung von ICS-Kommunikation, Anwendungskontrollen sowie virtuelle Abschirmungen für nicht mehr patchbare Systeme.

Ergänzend sollten Unternehmen ihre Produktionsnetze granular segmentieren. Einzelne Anlagen, Produktionsbereiche und Sicherheitszonen lassen sich dadurch voneinander trennen. Wird ein System kompromittiert, kann sich der Angriff nicht ohne Weiteres auf die gesamte Umgebung ausbreiten.

OT-native Sicherheit muss Teil der Betriebsstrategie werden

Angriffe, die von der IT in die OT vordringen, lassen sich nicht mit punktuellen Einzelmaßnahmen verhindern. Erforderlich ist eine Sicherheitsarchitektur, die Netzwerksegmentierung, Endpunktschutz, Zugriffskontrollen, Anlageninventarisierung und kontinuierliches Monitoring miteinander verbindet.

Ebenso wichtig sind klar definierte Incident-Response-Prozesse. Unternehmen sollten vorab festlegen, welche Systeme im Notfall isoliert werden können, wie Produktionsanlagen sicher heruntergefahren werden und welche Verantwortlichen Entscheidungen treffen dürfen.

Regelmäßige Übungen helfen, technische und organisatorische Schwachstellen zu erkennen, bevor ein realer Angriff eintritt.

Der mutmaßliche Ransomware-Vorfall bei fairlife ist damit mehr als ein isoliertes Sicherheitsereignis. Er zeigt, dass Cyberresilienz in Industrieunternehmen unmittelbar über Produktionsfähigkeit, Lieferfähigkeit und wirtschaftliche Stabilität entscheidet.

Wer erst nach einem Angriff mit der Analyse seiner IT- und OT-Abhängigkeiten beginnt, handelt zu spät. Ziel muss es sein, Angriffswege frühzeitig zu erkennen, kompromittierte Bereiche einzugrenzen und die Produktion auch unter schwierigen Bedingungen kontrolliert aufrechterhalten oder schnell wiederherstellen zu können.