Drei Fragen an... genua

»Wertschöpfungsnetzwerke benötigen einen Sicherheitsstandard«

28. September 2020, 8:28 Uhr | Tiffany Dinges

Die Anforderungen an die IT-Security sind größer, je höher der Vernetzungsgrad eines Unternehmens ist. Analog dazu steigt das Risiko einer Cyberattacke, vor der sich Fertigungsbetriebe gezielt über Tools schützen können. Die Möglichkeiten erläutert Alexander Heckl.

In seiner Funktion als Head Enterprise Sales für den IT-Spezialisten genua weiß Alexander Heckl um die Notwendigkeit, nicht nur auf sichere Softwaresysteme zu setzen, sondern dabei auch die Schnittstelle Mensch nicht zu vernachlässigen. Gerade während alltäglicher Aufgaben, sei es im Mailverkehr oder im Umgang mit der Cloud, sieht Heckl Optimierungspotenzial, das er im Kurzinterview erläutert.

Sind deutsche Unternehmen ausreichend auf mögliche Cyber-Attacken vorbereitet und reichen deren Schutzmaßnahmen aus?

Heckl: Beim Thema Prävention sind die Reifegrade der IT-Sicherheitsstrategien sehr unterschiedlich ausgeprägt. Wer eine flexible, zukunftsorientierte Strategie verfolgt, verfügt meist auch über das notwendige Know-how und die richtigen Tools. Was wiederum größere Handlungsspielräume eröffnet, um auf Cyberangriffe optimal zu reagieren. Wie gut oder schlecht sich ein Unternehmen dabei positioniert, hängt aber auch von der Branche ab. Fertigende Unternehmen oder Energieversorger stehen zum Beispiel schon seit Jahren im Ranking der Ziele von Cyberkriminellen ganz weit oben und sollten entsprechend gerüstet sein.

Tatsächlich verfügen die meisten dieser Unternehmen auch über eine gute Grundausstattung an Sicherheitsmaßnahmen. Die Frage ist, wie dynamisch und zielgerichtet man diese Ausstattung ergänzt, verstärkt und auf dem neusten Stand der Technik hält. Das ist alles andere als trivial, gerade wenn man die zunehmende Vernetzung entlang der Wertschöpfungskette berücksichtigt. Sie ist Fluch und Segen zugleich: einerseits eröffnet sie gerade im Automatisierungskontext neue Optionen, viele Akteure – Lieferanten, Partner, Kunden – anzubinden und Fertigungsprozesse pragmatisch zu verbessern. Andererseits steigert eben diese Vernetzung die Anzahl der Herausforderungen für die IT Security.

Unabhängig vom Budget, welche drei Security-Maßnahmen sollten Unternehmen zwingend umsetzen, um sich vor Cyber-Attacken zu schützen?

Heckl: Ein Maßnahmenfokus sollte sein, Sabotage über Fernwartungszugriffe zu verhindern. Hier gibt es bereits für alle relevanten Schnittstellen passende Sicherheits- und Monitoring-Funktionalitäten. Das zweite wichtige Themenfeld ist die Anomalierkennung, also das Aufspüren und Stoppen von Angriffen zu einem möglichst frühen Zeitpunkt. In diesem Fall steht die Prävention im Mittelpunkt – die übrigens nicht nur eine technologische, sondern auch eine menschliche Dimension hat. Je besser die Mitarbeiter für Angriffsformen wie Pishing oder Drive-by-Downloads sensibilisiert sind, desto mehr reduzieren sich die Einstiegspunkte für Cyber-Kriminelle.

Das dritte Thema ist die Kompromittierung von Cloud-Komponenten. Typische Risiken entstehen aus ungenügend gesicherten Transfers von Prozess- und Produktionsdaten oder wenn die Cloud an sich nicht ausreichend geschützt ist. Hier ist zum Beispiel der Einsatz eines Cloud Security Gateway empfehlenswert. Dieses sollte unter anderem mit hochwertiger Prüf-Software ausgestattet sein und mit TLS verschlüsselte Daten dekodieren und analysieren können. So lässt sich Malware zuverlässig erkennen und blocken, bevor sie Schaden anrichten kann.

Stichwort Security als Dienstleistung: Sollte die Fertigungs- und Prozessindustrie Managed Security Services in Betracht ziehen?

Heckl: Für Managed Security Services spricht die Hilfestellung bei den vorhin genannten Punkten. Sie können im Unternehmen Kapazitäten schaffen, um neue Schutzmaßnahmen zu implementieren, und sorgen für Entlastung im Umgang mit der Vernetzungs-Dynamik. Aber auch hier gilt, dass die Dienstleistung die Anzahl der Akteure und damit der IT Security Risiken erhöht. Sie ist also ebenfalls unbedingt organisatorisch einzubinden und so umzusetzen, dass es keinerlei Angriffspotenziale gibt.