Um die richtigen Sicherheitsmaßnahmen für den Schutz der OT (Operational Technology) bestimmen zu können, müssen die speziellen Risiken für das OT ermittelt und priorisiert werden. Dabei helfen unter anderem die Sicherheitsanalysen und Prognosen der IT-Sicherheitsbehörden wie der EU-Agentur für Cybersicherheit ENISA und des Bundesamtes für Sicherheit in der Informationstechnik (BSI).
Die Cyberbedrohungslage für OT-Systeme
OT-Sicherheitslage laut ENISA
Cyberkriminelle stören weiterhin den Industriesektor, so die EU-Agentur für Cybersicherheit ENISA. Die EU-Agentur schätzt, dass Cybercrime-Angriffe auf Operational Technology-Systeme sehr wahrscheinlich störender werden. Nach den Erkenntnissen von ENISA war Ransomware die Hauptursache für Kompromittierungen im Industriesektor, wobei die Fertigungsindustrie mit Abstand am stärksten betroffen war. Disruptive Angriffe hatten aber auch erhebliche Auswirkungen
auf andere Sektoren: Lebensmittel und Getränke, Gesundheitswesen, Transport und Energie.
Aktuelle Angriffsszenarien aus EU-Sicht
Cyberkriminelle könnten OT-Operationen stören, indem sie folgende Angriffswege nutzen sowie Schwachstellen und unzureichende Sicherheitsmaßnahmen ausnutzen:
- Malware mit einem spezifischen Modul für OT-Systeme
- eine begrenzte Netzwerksegmentierung, die es Ransomware ermöglicht, sich vom IT- zum OT-Netzwerk auszubreiten
- die erzwungene Abschaltung der OT-Infrastruktur durch die Betreiber, um die Verbreitung von Ransomware im OT-Netzwerk zu verhindern
- die Exfiltration sensibler Informationen über die OT-Umgebung, die weitere cyber-physische Angriffe durch andere Bedrohungsakteure (Cyberkriminalität sowie staatlich geförderte Gruppen) erleichtern können
ENISA geht davon aus, dass Ransomware-Gruppen in absehbarer Zukunft wahrscheinlich weiterhin OT-Operationen angreifen und stören werden. Faktoren, die zu dieser Bewertung beitragen, sind:
- die fortschreitende digitale Transformation im Industriesektor und die zunehmende Konnektivität zwischen IT- und OT-Netzwerken
- eine erhöhte Dringlichkeit, Lösegeld zu zahlen, um kritische geschäftliche und soziale Auswirkungen zu vermeiden
- die fortlaufende Umbenennung von Ransomware-Gruppen, die die Wahrscheinlichkeit einer Malware-Mischung und die Entwicklung von Fähigkeiten erhöht, um OT-Netzwerke anzugreifen und zu stören
- die Russland-Ukraine-Krise, da Ransomware-Gruppen Partei ergreifen und wahrscheinlich Vergeltungsangriffe gegen kritische westliche Infrastruktur durchführen werden
- die massive Zunahme der Anzahl neu identifizierter Schwachstellen in OT-Umgebungen.
ENISA empfiehlt, die häufigsten Probleme, die Sicherheitsvorfälle in OT-Umgebungen verursachen, zu betrachten und zu beheben:
- eingeschränkte OT-Sichtbarkeit,
- schlechte Netzwerksegmentierung zwischen IT- und OT-Netzwerken,
- externer Fernzugriff auf das OT-Netzwerk sowie
- gemeinsam genutzte und wiederverwendete Anmeldeinformationen.
Beispiel: Sicherheitsrisiken im Transport-Bereich
Angriffe auf Schlüsselbereiche
ENISA betrachtete speziell den Transportsektor und begründete dies so: „Der Transport ist ein Schlüsselsektor unserer Wirtschaft, von dem wir sowohl in unserem Privat- als auch in unserem Berufsleben abhängig sind. Das Verständnis der Verteilung von Cyberbedrohungen, Motivationen, Trends und Mustern sowie ihrer potenziellen Auswirkungen ist entscheidend, wenn wir die Cybersicherheit der beteiligten kritischen Infrastrukturen verbessern wollen.“
Hauptbedrohungen für den Verkehrssektor
Die EU-Agentur für Cybersicherheit beschreibt beispielhaft für den Verkehrssektor diese Hauptbedrohungen, für die entsprechend Sicherheitsmaßnahmen gefunden werden müssen, um den OT-Bereich dort zu schützen:
- Ransomware-Angriffe sind im Jahr 2022 zur größten Bedrohung für den Sektor geworden, wobei sich die Angriffe fast verdoppelt haben und von 13 Prozent im Jahr 2021 auf 25 Prozent im Jahr 2022 gestiegen sind. Dicht gefolgt von datenbezogenen Bedrohungen (Verstöße, Lecks), da Cyberkriminelle auf Anmeldeinformationen abzielen, aber auch auf Mitarbeiter- und Kundendaten sowie geistiges Eigentum.
- Mehr als die Hälfte der beobachteten Vorfälle standen im Zusammenhang mit Cyberkriminellen (55 Prozent). Sie wenden die „Follow the Money“-Philosophie an, es geht also um finanzielle Motive und wirtschaftlich lohnende Angriffsziele.
- Aber auch die Angriffe von Hacktivisten nehmen zu. Ein Viertel der Angriffe steht im Zusammenhang mit hacktivistischen Gruppen (23 Prozent), wobei die Motivation ihrer Angriffe in der Regel mit dem geopolitischen Umfeld verbunden ist und auf Betriebsstörungen abzielt oder von ideologischen Motiven geleitet wird. Diese Akteure greifen meist auf DDoS-Angriffe zurück und zielen hauptsächlich auf europäische Flughäfen, Eisenbahnen und Verkehrsbehörden ab. Die Häufigkeit dieser Angriffe konzentriert sich auf bestimmte Regionen und wird von den aktuellen geopolitischen Spannungen beeinflusst.
- Staatlich geförderte Akteure werden häufiger auf den maritimen Sektor oder auf staatliche Verkehrsbehörden abzielen. Dies umfasst daher nationale oder internationale Verkehrsorganisationen aller Teilsektoren sowie Verkehrsministerien.
Weiterführende Links
EU-Agentur für Cybersicherheit ENISA
https://www.enisa.europa.eu
Beispiel: ENISA Transport Threat Landscape (Spezielle Bedrohungen für OT-Systeme in der Transportbranche)
https://www.enisa.europa.eu/publications/enisa-transport-threat-landscape/@@download/fullReport