VDMA Industrial Security: Produktionsausfälle durch Sabotage oder Schadsoftware nehmen zu

Die im November 2017 erschienene VDMA-Studie zum aktuellen Stand der Industrial Security bei Mitgliedsunternehmen nimmt die häufigsten Bedrohungen und ihre Folgen unter die Lupe.

Zum zweiten Mal hat der VDMA unter den Mitgliedsunternehmen eine Umfrage zur Industrial Security in der Produktion durchgeführt und die Ergebnisse in einer Studie veröffentlicht. Die Studie beleuchtet unter anderem die zehn häufigsten Bedrohungen, Vorfälle und Schutzmaßnahmen in der Produktion.

Vorfälle steigen – Schäden nehmen zu

Dass die Anzahl der Security-Vorfälle in Zukunft zurückgeht, ist für die Mehrheit der Studienteilnehmer unwahrscheinlich. Mehr als 90 Prozent der diesjährigen Studienteilnehmer erwarten ein gleichbleibendes oder sogar ansteigendes Niveau.

Mit der wachsenden Anzahl von Vorfällen gehen negative Auswirkungen einher, die die Maschinen- und Anlagenbauer bereits heute in mehr als zwei Dritteln aller Fälle verzeichnen. Positiv ist festzustellen, dass es keinen relevanten Safety-Vorfall gab, der auf einen Security-Vorfall zurückzuführen ist.

Risiken kennen – Schäden vermeiden

Im Vorfeld der Beschaffung neuer und – falls nicht geschehen – bereits im Einsatz befindlicher Maschinen und Anlagen, sollten Hersteller Security-Risiken und Bedrohungen ermitteln. Dafür ist es erforderlich, dass sich die Unternehmen einen Überblick über die eigene Situation und mögliche Risiken verschaffen. Den Startpunkt bildet eine Risikoanalyse. Sie hilft dabei, mögliche Bedrohungen für die eingesetzten Maschinen und Anlagen besser einzuschätzen und entsprechende Maßnahmen abzuleiten. Nahezu die Hälfte der Umfrageteilnehmer hat dies bereits umgesetzt und eine gute Übersicht über die Bedrohungslage in der Produktion erhalten. Insgesamt 40 Prozent der Unternehmen haben darüber hinaus ein umfassendes Risikomanagement für die Produktion etabliert.

Zehn zentrale Bedrohungen

Auf Grundlage der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichten Top-Ten-Bedrohungen, bewerteten die Studienteilnehmer diese Bedrohungen für ihr Unternehmen. An erster Stelle gaben sie „menschliches Fehlverhalten und Sabotage“, gefolgt von „Einschleusen von Schadsoftware“ an. Die Gefahr durch „Internet-verbundene Steuerungskomponenten“ oder die „Kompromittierung über Smartphones im Produktionsumfeld“ stuften die Befragten dagegen vergleichsweise gering ein. Mit der wachsenden Vernetzung sowie weiteren Digitalisierungsbestrebungen ist jedoch von einer zunehmenden Risikoexposition auszugehen. Je nach Unternehmensgröße variiert die eigene Einschätzung der Bedrohungen stark. Sehen Großunternehmen die größte Gefahr im „Social Engineering und Phishing“, ist es bei den kleinen und mittleren Unternehmen die „Infektion mit Schadsoftware über das Internet oder Intranet“.

Sobald die Unternehmen die Risiken für die eigene Fertigung identifiziert und bewertet haben, stellen sie sich die Frage nach geeigneten Gegenmaßnahmen. Dafür setzen rund 80 Prozent der befragten Firmen auf technische und 97 Prozent auf organisatorische Maßnahmen. Die häufig genutzten organisatorischen Maßnahmen umfassen vor allem Regelungen zu Fernwartungszugängen, Zugriffsrechten auf Maschinen, zur Nutzung von Fremdgeräten und mobilen Speichermedien. Diese kommen bei rund 60 bis 80 Prozent der Unternehmen zum Einsatz. Weniger verbreitet ist es, die bereitgestellten Software-Updates zeitnah zu installieren. 

Auswirkungen stärkerer Vernetzung

Viele Unternehmen überwachen die Netzwerkübergänge zwischen „Produktions-und Büroumgebung“ (68 Prozent) oder den „Außenstellen untereinander und der Leitstelle“ (61 Prozent). Auf eine strikte Trennung zwischen Produktions-und Büronetzwerk setzen 60 Prozent der

Befragten. Mit zunehmender Vernetzung und deutlich wachsenden Kommunikationsbeziehungen wird diese Trennung jedoch immer schwerer. Zudem zeigen sich bereits jetzt negative Auswirkungen, die sich auf die stärkere Vernetzung zurückführen lassen: Gaben im Jahr 2013 noch mehr als die Hälfte der Firmen an, eine Transparenz über bestehende Kommunikationsbeziehungen zu haben, sind es im Jahr 2017 nur noch rund 30 Prozent. Je größer ein Unternehmen ist, desto intransparenter sind die Kommunikationsbeziehungen.

Standards noch stärker nutzen

Anforderungen, Leitlinien und Arbeitshilfen sind auch für Industrial Security hilfreich. Immerhin 83 Prozent der Studienteilnehmer kennen heute einen der folgenden anerkannten Security Standards:

- BSI-Grundschutz

- ISO/IEC 27000

- IEC 62443

- VDI 2182

Gegenüber 2013 ist es erfreulich, dass die Bekanntheit von Security-Standards um 26 Prozentpunkte gewachsen ist. Nachholbedarf gibt es jedoch bei der Anwendung der Standards. Lediglich rund 40 Prozent der Unternehmen nutzen einen der genannten Standards in der Praxis. Die höchste durchschnittliche Durchdringung verbuchen mit 30 Prozent der BSI-Grundschutz und mit 26 Prozent die ISO/IEC-27000er-Reihe bei den Teilnehmern. Handelt es sich um ein Unternehmen mit weniger als 250 Mitarbeitern, so wenden nur 6 Prozent der Studienteilnehmer einen der beiden Standards an.

 

Das Competence Center Industrial Security des VDMA bündelt die Verbandsaktivitäten zur Informationssicherheit, Security in der Produktion und Security in Maschinenbauprodukten auf den Gebieten Politik, Forschung, Standardisierung und Transfer.

Weitere Informationen finden Sie unter: industrialsecurity.vdma.org

Nähere Informationen zur Studie inkl. Handlungsempfehlungen sind ab Mitte Dezember 2017 abrufbar bei biljana.gabric@vdma.org

Downloads

Umfrage

Wie schützen Sie Ihre Anlagen vor Manipulation, Datendiebstahl etc.?