Der erste Schritt des Unternehmens bestand darin, die Architektur seines DER-Systems zu verstehen und Schwachstellen zu ermitteln, um auf dieser Basis Bedrohungen identifizieren und eindämmen zu können. In einem ausführlichen Prozess katalogisierte das Unternehmen seine cyberphysischen Komponenten wie Photovoltaikanlagen, Batteriespeicher, intelligente Wechselrichter mit ihren Steuereinheiten sowie die wichtigen Kommunikationsnetzwerke für den Daten- und Befehlsaustausch. In einem Top-Down-Ansatz wurden dann die Systemkomponenten von einem architektonischen Überblick bis hin zu den Domänen-spezifischen Merkmalen abgebildet. Diagrammwerkzeuge visualisierten die Systemverbindungen und halfen dabei, Interaktionspunkte und Schwachstellen zu identifizieren. Diese Bestandsaufnahme und Zuordnung deckte die wichtigsten DER-Gerätekategorien ab und bildete die Grundlage für die nachfolgenden Phasen der Modellierung und Reduzierung von Bedrohungen. Es zeigten sich klar die Angriffsfläche und die Grundlage für eine Cybersecurity-Strategie, die auf die spezifischen Bedürfnisse des Unternehmens zugeschnitten ist.

Anschließend wurde die Architektur zu einem großen Teil bereits segmentiert. Dies war hilfreich für das Threat Modeling und die Untersuchung von Schwachstellen in der Geräte-Firmware, der physischen Sicherheit und den Netzwerkverbindungen. Um die Auswirkungen der DER-Integration auf die Netzstabilität zu bewerten, wurden Kommunikationsprotokolle und Inter- aktionen zwischen Dritten auf Risiken hinsichtlich Datenintegrität und unbefugten Zugriff analysiert.

Identifizieren und analysieren von Bedrohungen

Der Standard IEC 62443 und sein Geltungsbereich.

© Moxa

Nachdem ein grundlegendes Verständnis der Systemarchitektur vorlag, ging es darum, potenzielle Bedrohungen im gesamten Ökosystem der verteilten Energieressourcen des Unternehmens im Detail zu identifizieren und zu analysieren. Der Fokus lag auf unbefugten Fernzugriffen, Firmware-Manipulationen, Datenschutzverletzungen, Denial-of-Service-Angriffen, Schwachstellen in der Lieferkette sowie Man-in-the-Middle-Attacken. Folgende Angriffsszenarien, welche die Integrität, Verfügbarkeit und Vertraulichkeit des DER-Systems gefährden könnten, wurden eingehend untersucht:

• Direkte Angriffe auf Geräte: Unbefugter Zugang zu intelligenten Wechselrichtern und DER-Controllern, um deren Funktionalität zu verändern oder sie zu deaktivieren.
• Malware: Bedrohungen durch Malware, die direkt oder über vernetzte Systeme eingeschleust wird und ein erhebliches Risiko für die Betriebskontinuität und Sicherheit darstellt.
• Unbefugte Kontrolle: Das Risiko, dass externe Stellen DER-Geräte manipulieren, um die Energieerzeugung oder -speicherung zu verändern.
• Angriffe auf vernetzte Systeme: Schwachstellen vernetzter Infrastrukturen, zum Beispiel Smart Grids, und ihre möglichen indirekten Auswirkungen auf den DER-Betrieb.
• Systemadministration: Menschliche Fehler oder unzureichende Cybersecurity-Praktiken, die zu Systemschwachstellen führen können´.

Hinzu kamen spezifische Herausforderungen durch DER-Systeme:

• Inselbetrieb: Ein besonderes Augenmerk galt dem Inselbetrieb, bei dem DER-Systeme weiterhin isoliert vom Hauptnetz betrieben werden. Dies kann zu einer Destabilisierung des Netzes oder zu Schäden an den Geräten führen.
• Geteilte Administration: Die Komplexität der verteilten Eigentumsverhältnisse und Kontrolle über DER-Anlagen erforderten einen ausgeklügelten Ansatz für das Sicherheitsmanagement über die verschiedenen Stakeholder hinweg.
• Cyberphysikalische Interdependenzen: Das Potenzial von Cyberangriffen, die sich aufgrund der engen Verflechtung von physischem Betrieb und Cybersecurity direkt auf die Netzstabilität und -zuverlässigkeit auswirken können, wurde besonders detailliert betrachtet.

Alle Bedrohungen wurden in einem strukturierten Threat-Modeling-Prozess kategorisiert, um im nächsten Schritt die Schwachstellen im DER-Ökosystem umfassend bewerten zu können.

Mit Threat Modeling Softwaretools wurden detaillierte DER-Systemmodelle entwickelt, die potenzielle Schwachstellen und darauf zurückzuführende Bedrohungen aufzeigen. In interaktiven Sitzungen mit den Softwaretools konnten die Angriffsvektoren und eine eingehende Bewertung der möglichen Auswirkungen von Sicherheitsverletzungen sehr anschaulich visualisiert werden.

Zu den bewerteten Szenarien gehörten auch die Risiken durch nicht-autorisierte Firmware-Updates für intelligente Wechselrichter sowie die Möglichkeit, DER-Geräte durch gefälschte Steuermeldungen dazu zu bringen, unbeabsichtigte Aktionen durchzuführen. Außerdem wurde die Gefahr von Denial-of-Service-Angriffen betrachtet, die darauf abzielen, intelligente Wechselrichter funktionsunfähig zu machen und die Energieverteilung zu unterbrechen.

Durch die detaillierte Identifizierung und Analyse potenzieller Bedrohungen erhielt unser Kunde ein sehr präzises Bild der Cybersecurity-Landschaft seines DER-Ökosystems. Ein sorgfältiges Vorgehen bei der Modellierung von Bedrohungen ist ganz entscheidend für die Entwicklung starker Sicherheitsmaßnahmen, die auf die individuellen Schwachstellen und Herausforderungen zugeschnitten sind und eine umfassende Cybersecurity-Strategie gewährleisten.

Bewertung der Schwachstellen

Im nächsten Schritt hat das Team die Szenarien, welche die kritischen Netzwerke gefährden könnten, akribisch erforscht, um herauszufinden, wie die Integrität, Verfügbarkeit und Vertraulichkeit der DER-Systeme geschützt werden können.

Anlass zur Sorge gab vor allem die Anfälligkeit von intelligenten Wechselrichtern und DER-Steuerungen für unbefugte Zugriffe, die ihre Funktionalität verändern oder sie deaktivieren könnten. Abhilfe schaffen robuste Sicherheitsmaßnahmen, die unbefugtes Eindringen und Manipulationen ver- hindern.

Als große Bedrohung zeigte sich auch das Einschleusen von Schadsoftware in das DER-System. Ob durch direkte Angriffe oder indirekt über angeschlossene Systeme – Malware kann den Betrieb stören oder als Türöffner für spätere Angriffe dienen. Das machte deutlich, wie wichtig umfassende Sicherheitsprotokolle sind, mit denen sich das Risiko des Eindringens von Schadsoftware erkennen und mindern lässt.

Ein weiteres Risiko stellen externe Parteien dar, die unbefugte Kontrolle über DER-Geräte erlangen, um die Energieerzeugung oder -speicherung zu manipulieren. Strenge Zugangskontrollen und Authentifizierungsmechanismen können hiervor schützen.

Angesichts der Vernetzung moderner DER-Systeme sind Schwachstellen in verbundenen Infrastrukturen, wie Smart Grids, eine potenzielle indirekte Be- drohung für den DER-Betrieb. Diese Verflechtung erfordert einen ganzheitlichen Sicherheitsansatz, der alle Aspekte des Netzwerks umfasst.

Das Team untersuchte außerdem, wie menschliches Versagen oder ungenügende Cybersecurity-Praktiken zu Schwachstellen im System führen können. Die dabei gewonnenen Erkenntnisse zeigten die Notwendigkeit fortlaufender Schulungs- und Sensibilisierungsprogramme auf, um die Risiken durch eine mangelhafte Systemadministration zu reduzieren.

Ein besonderes Augenmerk wurde auf das Phänomen der Inselbildung gelegt, die böswillig ausgenutzt werden könnte, um das Netz zu destabilisieren oder Geräte zu beschädigen. Mit fortschrittlichen Detection- und Management-Systemen lassen sich unerlaubte Insellösungen verhindern und so die Netzstabilität gewährleisten.

Priorisierung und Implementierung

Eine erfolgreiche Cybersecurity-Strategie wird laufend an die aktuellen Gegebenheiten angepasst.

© Moxa

Um die komplexen Herausforderungen der Cybersecurity effektiv anzugehen, hat der Kunde eine Reihe an Sicherheitsmaßnahmen schrittweise implementiert. Damit ist sichergestellt, dass jede Verteidigungsschicht gezielt die identifizierten Schwachstellen und Bedrohungen abdeckt und zu einer starken Cybersecurity beiträgt.

Cybersecurity Governance Framework
Zuerst wurde ein Cybersecurity Governance Framework eingeführt. Die Definition klarer Rollen, Zuständigkeiten und Verantwortungsrahmen legte den Grundstein für alle nachfolgenden Cybersecurity-Initiativen. Dieser frühe Schritt war entscheidend, um die Herausforderungen einer geteilten Administration zu bewältigen und die Maßnahmen über verschiedene Administrationsbereiche hinweg zu harmonisieren und so zu einer einheitlichen Sicherheitsstrategie zu gelangen.

Risikobewertung
Im nächsten Schritt führte das Team eine gründliche Risikobewertung durch. Die identifizierten potenziellen Schwachstellen und Bedrohungen wurden entsprechend des Schweregrads der Bedrohung priorisiert, sodass Ressourcen zur Risikoeindämmung optimal zugewiesen werden können.

Netzwerksegmentierung und Zugriffskontrolle
Durch die Implementierung einer Netzwerksegmentierung und Zugriffskontrolle hat Moxa die Angriffsfläche des Systems erheblich reduziert. Die Abtrennung kritischer Systemkomponenten sowie strenge Zugriffskontrollen mindern die Risiken direkter Angriffe und unbefugter Zugriffe unmittelbar.

Sicherung der Kommunikationskanäle
Der Schutz der Kommunikationskanäle umfasst die Verschlüsselung aller Formen der Kommunikation innerhalb des Systems. Dies gewährleistet die Vertraulichkeit und Integrität der Daten und schützte das System wirksam gegen Man-in-the-Middle-Attacken und unbefugte Zugriffsversuche.

System-Updates und Patch-Management
Regelmäßige System-Updates und das Patch-Management halten die gesamte System-Software und -Firmware auf dem neuesten Stand. So wurden bekannte Schwachstellen beseitigt und das Risiko von Malware-Infektionen und direkten Angriffen auf die Geräte erheblich reduziert.

Monitoring und Anomalie-Erkennung
Als Schutz vor einem breiten Spektrum von Bedrohungen wurden auf Basis der Network Security Management Software MXsecurity von Moxa ein kontinuierliches Monitoring und eine Anomalie-Erkennung eingesetzt. Dadurch lassen sich potenziell verdächtige Aktivitäten oder Anomalien, die auf Sicherheitsprobleme hinweisen, frühzeitig erkennen.

Response- und Recovery-Protokolle
Um auf potenzielle Cybersecurity-Vorfälle vorbereitet zu sein, entwickelte und testete das Cybersecurity-Team Response- und Recovery-Skripte im Network Management System von Moxa. Indem spezifische Verfahren für eine schnelle Reaktion und Wiederherstellung festlegt wurden, ist künftig ein schnelles Handeln zur Eindämmung und Behebung von Problemen bei allen identifizierten Angriffsarten gewährleistet.

Multi-Faktor-Authentifizierung und Verschlüsselung
Eine Multi-Faktor-Authentifizierung und die Verschlüsselung für den Systemzugang und den Datenschutz wirkt unbefugtem Zugriff und Datenverletzungen entgegen und schafft eine zusätzliche Sicherheitsebene. Wichtig ist es dabei, Verschlüsselung und Multi-Faktor- Authentifizierung im System zu implementieren.

Prüfung von Sicherheitsprotokollen
Um die Wirksamkeit der durchgeführten Sicherheitsmaßnahmen zu gewährleisten, führt das Team regelmäßig Routinetests in einer kontrollierten Umgebung durch. Sie zeigen, ob die Sicherheitsprotokolle wie vorgesehen funktionieren und nicht zu neuen Schwachstellen führen.

Überprüfung und Optimierung der Cybersecurity-Maßnahmen

Um die Abwehrmechanismen des Systems aufrecht zu erhalten, werden die Cybersecurity-Maßnahmen kontinuierlich überprüft und optimiert. Das Team begutachtet und aktualisiert regelmäßig die Cybersecurity-Protokolle, sodass sie stets den neuen Bedrohungen und sich weiterentwickelnden Systemanforderungen entsprechen. Denn nur dann sind sie langfristig widerstandsfähig gegenüber einer sich dynamisch verändernden Bedrohungslandschaft.

Monitoring und kontinuierliche Verbesserung

Darüber hinaus hat der DER-Betreiber einen robusten Rahmen für ein kontinuierliches Monitoring und Verbesserungsmaßnahmen implementiert. Dieser ist unerlässlich, um die Sicherheit auch bei neuen Bedrohungen und technologischen Fortschritten zu gewährleisten. Hierfür setzt das Unternehmen vor allem auf die Echtzeitüberwachung. Es erhält damit einen Einblick in den Zustand der Cybersecurity des Systems und kann potenzielle Bedrohungen frühzeitig erkennen. Dies bietet einen wirksamen Schutz vor zahlreichen Bedrohungen, einschließlich Malware und unbefugtem Zugriff.

Zudem hat sich der Kunde dazu verpflichtet, die Sicherheitsprotokolle und -systeme regelmäßig zu aktualisieren. Dabei orientiert er sich an den neuesten Forschungsergebnissen und Bedrohungsdaten. So ist sichergestellt, dass das DER-System auch gegen neue Bedrohungen gewappnet ist und Schwachstellen umgehend behoben werden.

Derzeit wird geprüft, ein SIEM-System (Security Information and Event Management) für das kontinuierliche Monitoring einzusetzen. Ein solches System bietet durch Log Management, Ereigniskorrelation und Echtzeitwarnungen einen ganzheitlichen Überblick über die Informationssicherheit. Fortschrittliche SIEM-Tools für das Monitoring und die Analyse von Security Logs des DER-Systems erkennen Sicherheitsvorfälle bereits sehr früh und ermöglichen so eine schnelle Reaktion.

Der Autor: Laurent Liou ist Product Marketing Manager bei Moxa.

© Moxa

Durch diese umfassende Strategie vom Threat Modeling bis hin zur Umsetzung von Abhilfemaßnahmen hat das Unternehmen den Cybersecurity-Rahmen seines DER-Systems methodisch gestärkt und eine robuste Verteidigungsstrategie entwickelt, die sowohl aktuelle wie auch zukünftige Sicherheitsherausforderungen im DER-Bereich bewältigen kann. Gleichzeitig stellt es auch die Einhaltung bewährter Verfahren und gesetzlicher Vorschriften sicher.