ACHT:WERK NEWS

Mit hoher Geschwindigkeit hält die Vernetzung und übergreifende Kommunikation von IT-Systemen Einzug in die Produktionen. Basis dafür ist das Industrial Ethernet. Strikt getrennte Netze für den Datenaustausch in Produktionsanlagen sind nicht mehr vorhanden. Diese Vernetzung von Produktionsanlagen und ihrer Steuerungseinheiten mit der Büro-IT oder über das Internet bietet den Unternehmen nicht nur Vorteile durch eine kontinuierliche Optimierung und Flexibilisierung der Fertigung — sie birgt auch viele Gefahren.

Etablierte signaturbasierte Sicherheitselemente wie Antivirenschutz, Intrusion Detection oder Prevention Systeme erkennen nur bekannte traditionelle Schadsoftware wie Malware oder Trojaner. Für die neuesten Vorgehensweisen und Technologien heutiger Cyberangriffe ist dies nicht mehr ausreichend.

Deshalb stellt die effiziente Angriffserkennung und somit Absicherung von Produktionsanlagen gegen Cyberangriffe, interne Manipulationen oder fehlerhafte Konfigurationen eine zunehmende Herausforderung dar.

Ihr Anspruch

Sie wollen jederzeit den aktuellen Sicherheitsstatus Ihres IT-Netzes kennen? Die relevanten IT-Risiken sollen bekannt und bewertet sein? Auch im Falle eines Sicherheitsvorfalls z. B. durch einen Cyberangriff muss die Handlungsfähigkeit gewahrt bleiben?

Nur ein kontinuierliches Monitoring der Kommunikation in der Produktionsanlagen-IT entdeckt die neuartigen Cyberangriffe und Manipulationen. Um unmittelbar reagieren zu können und Schäden zu vermeiden braucht es eine intelligente Echtzeit-Analyse mit aussagekräftigen Alarmmeldungen, die priorisiert verteilt werden können.

Mit IRMA haben wir für diese Herausforderungen eine IT-Sicherheitslösung auf dem aktuellsten Stand der Technik entwickelt.

Tagesschau am 20.06.2016

Cyberattacken nehmen zu ….

https://Tagesschau.de

Manager, Vorstand und Aufsichtsräte haften im Schadensfall privat, wenn die IT-Sicherheit im Unternehmen vernachlässigt wird. So schützen Sie sich optimal.

Zum einen steigt die Anbindung der internen Netzwerke und Produktionsanlagen an das World-Wide-Web. Die Gefahr durch Cyber-Angriffe durch Schadsoftware ist rasant angestiegen. Die bisherigen Sicherheitsmaßnahmen wie Firewall und VPN reichen alleine nicht mehr aus, um den immer ausgefeilteren Angriffen standzuhalten.

Auf der anderen Seite sind dadurch auch die gesetzlichen Anforderungen an die IT-Sicherheit gestiegen. Neben dem KonTraG, AktG, AnSVG, TMG oder ITSiG lassen sich noch weitere Gesetze und Richtlinien aufzählen, die dies untermauern. Sie alle weisen auf die Verantwortlichkeit, aber auch die Haftung der Unternehmensführung in ihren unterschiedlichen Funktionen und Aufgaben hin. Die folgenden drei wesentlichen Eckpunkte spielen dabei eine wichtige Rolle.

IT-Risikomanagement unverzichtbar – drei Gründe

1. Beweispflicht für effektives IT-Risikomanagement

Im Schadensfall muss die Unternehmensführung beweisen, dass sie in der Vergangenheit alles Notwendige getan hat, um IT-Risiken zu minimieren. Sie muss dabei ihr IT-Risikomanagement als Beweis offenlegen: Wurden Risiken identifiziert und bewertet, wurden ausreichend Maßnahmen ergriffen die vorhandenen Risiken zu minimieren?

Wie diese Maßnahmen im Einzelnen aussehen können, zeigt das IT-Sicherheitsgesetz in der Änderung des BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) für die Betreiber besonders wichtiger Infrastrukturen (z. B. Energie, Informationstechnik, Telekommunikation, Gesundheit, Wasser oder

Ernährung). Diese müssen unter anderem einen Sicherheitsbeauftragten ernennen, der als Kontaktperson dem Bundesamt für Sicherheit in der Informationstechnik (BSI) rund um die Uhr zur Verfügung steht. Die Kontaktperson muss z. B. verdächtige IT-Störungen beim BSI melden, auch wenn das Unternehmen seine IT durch einen Dienstleister betreiben lässt.

Außerdem muss der Stand der IT-Technik mit einschlägigen Schutzmaßnahmen nach internationalen, europäischen und nationalen Normen erreicht sein. Branchenspezifische Sicherheits- und Notfallkonzepte sollten dokumentiert und umgesetzt werden.

Je nach Branche müssen zudem folgende Nachweise (durch Sicherheitsaudits, Prüfungen oder Zertifizierungen) erbracht werden:

• Information Security Management System (Sicherheitsorganisation, IT-Risikomanagement, etc.)

• Kritische Cyber-Assets werden identifiziert und gemanagt

• Maßnahmen zur Angriffsprävention und -erkennung

• Implementierung eines Notfall- und Krisenmanagements

2. Strafen bei fehlerhaftem Risikomanagement:

Bußgeld und Ersetzung des wirtschaftlichen Schadens

Sollte sich im Schadensfall herausstellen, dass Maßnahmen zur IT-Security nicht oder unzureichend erfüllt werden, kann es für die Unternehmensleitung zu hohen Strafen kommen. Darüber hinaus muss sie den wirtschaftlichen Schaden tragen, die durch den Ausfall der IT entstanden ist.

3. Private Haftung im Schadensfall

Sowohl Geldstrafen als auch der wirtschaftliche Schaden kann das Unternehmen gegenüber der Unternehmensleitung bei fehlender Risikovorsorge geltend machen. Sie muss dann u. U. im Schadensfall mit ihrem Privatvermögen haften. Das gilt auch für Mitglieder des Vorstandes und des Aufsichtsrates. Sie haften z. B. wenn IT-Risiken oder Mängel verschwiegen und keine bzw. unzureichende Gegenmaßnahmen in die Wege geleitet wurden (Vorstand).

Informationssicherheit – wirtschaftliche Schäden für das Unternehmen

Neben den hohen immateriellen Schäden (z. B. Imageverlust) muss ein Unternehmen mit hohen wirtschaftlichen Schäden rechnen:

Der Ausfall der IT-Technik und Produktionsanlagen führt zu

• Umsatzeinbußen und existenzieller Schädigung des Unternehmens

• Kosten für die Wiederherstellung und Schadensbeseitigung

• Erhöhung der Versicherungsleistungen bzw. Kündigung des Schutzes vonseiten der Versicherung

• Bußgeldern und Schadensersatzzahlungen

• Problemen bei der Wirtschaftsprüfung (Testat wird nicht ausgestellt)

Netzwerk Monitoring – mehr Informationssicherheit, weniger Haftungsrisiko

Eine Überwachung des Netzwerkverkehrs gilt als wichtiger Baustein für mehr IT-Sicherheit in vernetzten Produktionsanlagen. Auch wenn es hochkomplexe Cyber-Angriffe nicht direkt abwehrt, stellt es sich doch als effektives Analyse- und Alarmsystem heraus. Denn es scannt permanent firmeninterne Netzwerke und klar definierte Cyber-Assets ohne in das System einzugreifen. Ein aktiver Eingriff könnte die Produktionsanlage in einen unkontrollierten Zustand bringen. Mögliche Gefahrenherde werden analysiert, bewertet und Ergebnisse in einem übersichtlichen Reporting für die Geschäftsleitung und die Betriebsführung zur Verfügung gestellt. Die  Netzwerküberwachung leistet so einen wichtigen Beitrag für die Vorbereitung gezielter und wirksamer Gegenmaßnahmen.

Fazit zur Informationssicherheit und Haftung

Jedes Unternehmen sollte sich um das Thema IT-Sicherheit Gedanken machen. Denn zu groß sind die wirtschaftlichen Risiken für das Unternehmen. Nicht zuletzt trifft ein mangelndes IT-Risikomanagement auch die Unternehmensleitung (inkl. Vorstand und Aufsichtsrat) direkt, da sie mit ihrem gesamten Privatvermögen haftbar gemacht werden kann. Ein wichtiger Baustein für die Einhaltung von Vorgaben und Gesetzen ist ein Security Monitoring des Netzwerkverkehrs. Das System erkennt Gefahren und IT-Angriffe frühzeitig und liefert im Schadensfall notwendige Nachweise und Reportings als Beweis zur Erfüllung gesetzlicher Vorgaben

Über ein Jahr konnte ein Trojaner sich unbemerkt im Netzwerk des Auswärtigen Amtes bewegen. Der Angriff hat wieder einmal gezeigt: Es kann jeden treffen! In diesem Beitrag verraten wir Ihnen, wie Sie dennoch die Cybersicherheit in Ihrem Produktionsnetzwerk deutlich verbessern können.

Bundeshack: Wie hoch ist die Gefahr für die Industrie?

Seit der Veröffentlichung des Angriffs am 28.02.2018 erscheinen fast täglich neue Informationen und Vermutungen zum Bundeshack. Lesen Sie im Folgenden, ob der Angriff auch bei Ihnen erfolgreich gewesen wäre.

Was lässt sich bisher präzise über den Bundeshack sagen?

Generell sind die Informationen zu diesem Hack recht überschaubar, so wurde der Schadcode auch bisher noch nicht zur externen Analyse freigegeben.

Ein paar Punkte scheinen aber mittlerweile präzise zu sein:

1 Man weiß von 17 betroffenen Rechnern.

2 Hinter den Angriffen steckt vermutlich die Hackergruppe „Turla“.

3 Auch andere Staaten sollen betroffen sein, unter anderem Staaten in Skandinavien, Südamerika und Teile der ehemaligen UdSSR.

4 Der Trojaner befand sich über ein Jahr im System.

Verlauf des Bundeshacks:

Die Schadsoftware gelangte vermutlich über eine Lernplattform des Bundes in die Systeme. Hier wurde Lehrmaterial manipuliert und damit letztlich die Systeme infiziert. Im Januar 2017 soll dieser Trojaner dann über weitere Daten in Mail-Anhängen Befehle erhalten haben. Die Angreifer nutzten hierfür vermutlich das Mailprogramm Microsoft Outlook.

Der Trojaner erschlich sich im März 2017 Adminrechte, trieb seitdem sein Unwesen und leitete Daten auch über Outlook wieder nach außen. Outlook wurde als Verbindung zur Außenwelt genutzt, da verschlüsselte Verbindungen nach außen ansonsten fast ausschließlich unterbunden waren.

Wären Sie sicher gewesen?

Hier wurde gezielt ein hoher Aufwand einer Hackergruppe betrieben, um ein spezielles Ziel zu kompromittieren. Der zeitliche Aufwand der Hackergruppe ist natürlich unklar. Der Angriff wird aber sicherlich nicht zwischen Frühstückspause und Mittag organisiert, sondern mit tiefgehendem Knowhow umfangreich geplant und vorsichtig durchgeführt worden sein.

Wie bereits im Beitrag IT-Sicherheit in der Produktion geschrieben, ist es äußert schwierig jemanden aufzuhalten, der genau Sie ins Visier nimmt und sich nicht mit Ihrem Konkurrenten oder einer beliebigen anderen Firma einer Branche zufrieden gibt.

Wenn die Tür in Ihr System zu stabil ist, reißt der Hacker eben die daneben liegende Wand ein.

Selbst wenn er sich dazu bei einer Ihrer Wartungsfirmen einstellen lassen muss oder nach und nach private Computer sowie Netzwerke Ihrer Mitarbeiter hackt und dann darüber einen Firmenlaptop/ USB-Stick infiziert.

Fazit

Einen 100 % Schutz gibt es nicht! Gerade wenn Sie viele Cybersecurity-Maßnahmen durchgeführt haben, ist das schwächste Glied der Kette der Mensch:

Ein eingesteckter USB-Stick, ein geöffneter Anhang oder eine Person, die sich zusammen mit den Rauchern, in das über Zutrittskontrolle geschützte Firmengebäude, einschleust, etc… Und schon sind die Hacker in Ihrem Netzwerk.

Jetzt ist es wichtig die weitere Verbreitung im IT-Netzwerk zu erkennen und schnell zu reagieren, damit der Schaden möglichst minimal bleibt.

Auch wenn Sie keine Regierung sind oder militärische Daten schützen müssen, so ist die Gefahr eines Eindringens von Schadsoftware permanent durch automatisierte oder gezielte Angriffe vorhanden.

Ihre Vorsorge sollte demnach den automatischen Angriffen und individuellen Angriffsversuchen gelten, die täglich viele Geräte / Systeme befallen. Zusätzlich reduzieren Sie die Gefahren eines Angriffs bei der Schwachstelle “Mensch”.

Unser Rat an Sie: Schulen Sie die Awareness Ihrer Mitarbeiter, mache sie sich iT Netzwerk transparent und bekommen automatisiert Alarmierungen bei Anomalien und heben Sie so Ihre IT-Sicherheit auf ein gutes Niveau.

Die Zahl der Cyber-Attacken auf deutsche Unternehmen steigt. Viele trifft es meist unvorbereitet. In diesem Beitrag erfahren Sie, wie sie sich am besten dagegen wappnen können.

Laut BSI gab es bis August 2016 560 Millionen verschiedene Varianten von Schadprogrammen, Tendenz stark steigend: täglich kommen ca. 380.000 neue Varianten dazu. Diese Zahl verdeutlicht, dass es dringenden Handlungsbedarf bei der Entwicklung neuer Strategien und Maßnahmen gibt, um das eigene Firmennetzwerk vor Cyber-Angriffen zu schützen. Diese drei Schritte helfen Ihnen dabei:

1. Schritt: IT-Assets bestimmen – Risiken formulieren

Cyberkriminelle suchen für ihre Angriffe stets die Schwachstellen im System. Entsprechend beginnt man mit der Identifizierung der Netzwerkteilnehmer. Nach der Erkennung der einzelnen Assets beginnt man mit der Einstufung des Risiko. Entsprechend der Risikoeinstufung können dann Schritt für Schritt die sicherheitsrelevanten Verbesserungen der Assets vorgenommen werden. Cyberkriminelle greifen dort an, wo das Netzwerk am schwächsten ist. Zunächst sollten Sie daher genau identifizieren, was in Ihrem Netzwerk schützenswert ist. In Ihrem Netzwerk definieren Sie IT-Assets und kritische Bereiche, die ein Cyber-Angriff empfindlich treffen würde, z. B. Hard- und Softwareelemente, die für den Produktionsprozess unabdingbar sind. Durch Angriffe auf Ihr Netzwerk können diese Elemente – und dadurch sogar die gesamte Produktionsanlagen selbst – empfindlich getroffen oder sogar zerstört werden. Doch damit nicht genug. Während Hard- und Software und sogar teure Produktionsanlagen im Falle des Falles vielleicht gerade noch ersetzbar sind, liegt das wahre Kapital der meisten Unternehmen in ihrem geistigen Eigentum. Vor allem in produzierenden Unternehmen bilden wertvollste und unersetzliche Informationen, zum Beispiel zum Herstellungsprozess oder der materiellen Zusammensetzung eines Produkts, die Grundlage des Geschäftsbetriebs und des Unternehmenserfolgs.

Der Verlust oder Diebstahl dieser geheimen Informationen im Zuge eines Cyberangriffes, vielleicht sogar durchgeführt von einem Mitbewerber, trifft ein Unternehmen somit auf das Härteste und bedroht dessen Existenz.

2. Schritt: Kenne deinen Gegner

Ein Cyberangriff ist oft ein komplexer und mehrstufiger Prozess. Was etwa mit der Malware-Infektion eines Mitarbeiter-Smartphones beginnt, mündet eventuell in einem großangelegten Cyberangriff auf das gesamte Unternehmen. Um Gegenmaßnahmen rechtzeitig einleiten zu können, ist es daher wichtig einen Angriff möglichst früh zu erkennen. Auch wenn kein Cyberangriff dem anderen gleicht, laufen sie dennoch meist in typischen Phasen ab. In jeder Phase können Sie durch gezieltes Monitoring Ihres Unternehmensnetzwerks ansetzen, um Angriffe frühzeitig zu erkennen.

Phase 1: Informationsbeschaffung

In der ersten Phase einer Cyberattacke versucht der Angreifer zunächst möglichst viele Informationen über das Angriffsziel zu sammeln. Jede Information ist wertvoll: Ob Netzwerktopologie, eingesetzte Hard- und Software und darin vorhandene Sicherheitslücken, Mitarbeiternamen und -hierarchien oder gar Zugangsdaten – je mehr ein Angreifer weiß, desto schlagkräftiger kann er seinen Cyberangriff führen.

Um an diese Informationen zu gelangen, setzen Hacker verschiedene Werkzeuge und Taktiken ein: Sogenannte Port- oder Vulnerability-Scanner liefern z. B. Informationen über Netzwerkstruktur, eingesetzte Software und vorhandene Sicherheitslücken. Beim Social Engineering dagegen wird durch Vorspiegelung falscher Tatsachen oder Identitäten das Vertrauen von Mitarbeitern missbraucht, um an weitere Informationen oder gar Passwörter zu gelangen.

Wenn Sie die Vorgänge in Ihrem Netzwerk aufmerksam monitoren und Ihre Mitarbeiter entsprechend geschult sind, können sie einen sich anbahnenden Cyberangriff schon in dieser Phase erkennen und direkt unterbinden.

Phase 2: Planung und Vorbereitung

Hat der Angreifer genug Informationen gesammelt, beginnt er damit seinen Angriff zu planen. Je nach Zielsetzung sucht er etwa im Darknet auf entsprechenden Handelsplätzen nach Zero-Day-Exploits (unveröffentlichte Sicherheitslücken in Programmen) oder analysiert die im Unternehmen eingesetzte Software selbst. Erbeutete Mitarbeiterinformationen nutzt er z. B., um E-Mails zu präparieren, mit deren Hilfe die Computer nichtsahnender Mitarbeiter durch den Klick auf einen harmlos aussehenden Link per Drive-By-Download mit Schadsoftware infiziert werden.

Phase 3: Der eigentliche Cyber-Angriff

Sind alle Vorbereitungen abgeschlossen, startet schließlich der eigentliche Cyber-Angriff. Je nach Ziel des Angriffs verschafft sich der Angreifer über infizierte Endgeräte Zugang zum Netzwerk oder legt die Netzwerkinfrastruktur lahm. Mithilfe sogenannter Ransomware oder Krypto-Trojaner verschlüsselt er unternehmenskritische Daten und gibt sie, wenn überhaupt, nur gegen Lösegeldzahlung wieder frei.

Wird der Angreifer nicht entdeckt, bewegt er sich im Zuge eines APT (Advanced Persistent Thread) vielleicht monatelang ungestört im Netzwerk, umgeht mit ausgeklügelten Methoden scheinbar wasserdichte Sicherheitsmaßnahmen wie Firewalls und Virenscanner und betreibt Industriespionage oder Sabotage Ihrer Produktionsprozesse.

3. Schritt: Security Monitoring im Rahmen eines ISMS

Dies alles klingt dramatisch. Im Anbetracht aktueller Nachrichten scheint es oft, als hätten Cyberkriminelle den Wettlauf mit den Anbietern von Sicherheitssoftware wie Firewalls- und Virenscannern gewonnen. Bestehende Maßnahmen reichen jedenfalls oft nicht aus um Cyberangriffe zu verhindern.

Fakt ist: Gezielte Cyberangriffe zu erkennen erfordert normalerweise teures Expertenwissen und große personelle Anstrengungen, um das Netzwerk fortlaufend zu überwachen. Doch obwohl Angriffe auf Unternehmen immer komplexer und ausgefeilter werden, gibt es auch eine gute Nachricht: Kein Angriff verläuft spurlos, jeder Angriff geht zwangsläufig mit unüblichen Netzwerkaktivitäten einher. Unternehmen stehen daher vor der Herausforderung, solche Aktivitäten möglichst früh, sicher und effizient zu erkennen.

Hierbei hilft das Netzwerk Monitoring im Rahmen eines. ISMS (Information Security Management Systems). Das firmeninterne Netzwerk wird permanent überwacht, ohne direkt einzugreifen und womöglich das System zu überlasten. Außerdem werden potenzielle Gefahrenherde analysiert und Alarm geschlagen, falls eine ernsthafte Bedrohung im Netzwerk auszumachen ist. Reporting- und Exportfunktionen ermöglichen die übersichtliche Darstellung der Analyseergebnisse, sodass die Entscheidungsträger in Geschäftsführung und IT in die Lage versetzt werden, unmittelbar Gegenmaßnahmen einleiten zu können.

Zahlreiche Unternehmen nutzen bereits das Sicherheitssystem IRMA (Industrie Risiko Management Automatisierung) der Firma Videc. Folgende Eigenschaften machen das Sicherheitssystem so besonders:

• Einfache Bedien- und Nutzbarkeit ermöglicht die Erhöhung der Cybersicherheit, auch ohne Expertenwissen

• Wirkungsvolle Unterstützung beim Erfüllen von Compliance-Vorgaben (z. B. durch ITSiG oder ISO9000), mit denen sich viele Unternehmer aktuell konfrontiert sehen

• Geringerer Installationsaufwand: Die Überwachung und Analyse der Sicherheitslage kann sofort vorgenommen werden

Fazit: Cyberangriffe identifizieren, Verfügbarkeit erhöhen

Cyberangriffe, insbesondere sogenannte Advanced Persistent Threats, laufen fast immer in komplexen, mehrstufigen Prozessen ab. Meist verschafft sich der Angreifer unbemerkt Zugang über einzelnen Endgeräte, um von dort aus Zugang auf die Daten im Unternehmensnetzwerk zu erhalten oder den Zugriff auf ebendiese zu unterbinden und somit den Betriebsablauf zu stören. Um eine ausreichende Datensicherheit und Verfügbarkeit zu gewährleisten, müssen neben der bestehenden Sicherheitssoftware weitere Maßnahmen ergriffen werden. Zunächst sollte das Netzwerk genau auf mögliche Schwachstellen und besonders zu schützende Bereiche analysiert werden. Um Gegenmaßnahmen zu ergreifen, müssen Angriffsarten- und Strukturen erkannt werden. Netzwerk Monitoring im Rahmen eines ISMS ist ein wichtiger Baustein dafür: Das Netzwerk wird permanent überwacht und Gefahrenquellen werden rechtzeitig erkannt