Nachholbedarf beim Schutz von industriellen Kontrollsystemen
Sicherheitsprobleme mit industriellen Kontrollsystemen machen immer wieder Schlagzeilen. Das BSI gibt Betreibern nun mit einem 124-seitigen Leitfaden bewährte Methoden an die Hand, um ihre Systeme abzusichern.
- Fabian A. Scherschel
Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) hat einen Leitfaden zur Absicherung von industriellen Kontrollsystemen (ICS) veröffentlicht. Im Hinblick auf die immer deutlicher werdenden Defizite beim Schutz vieler dieser Systeme hat dieses Thema in jüngster Zeit besondere Brisanz gewonnen. Der Superwurm Stuxnet zeigte eindrucksvoll, wie wichtige Infrastruktur zum Ziel für Cyber-Angriffe wird, trotzdem melden Experten immer wieder gravierende Sicherheitslücken in ICS-Software.
Mit seinem 124-seitigen Papier richtet sich das BSI sowohl an IT-Fachpersonal, das mit den besonderen Problemen von industriellen Kontrollsystemen noch nicht vertraut ist, als auch an die Hersteller dieser Systeme. Es versucht, die möglichen Probleme einzugrenzen und bewährte Methoden zur Risikominderung aufzulisten.
Nach Ansicht der Behörde ist die Sicherheit von Steuersystemen in vielen Betrieben in der Vergangenheit vernachlässigt worden, da diese Infrastruktur oft nicht an öffentliche Netze angebunden war. Mit dem Einzug von Computerhardware in alle Bereiche eines Betriebes und der damit einhergehenden Vernetzung ist die schützende "air gap" aber nur noch in den wenigsten Fällen vorhanden. Und auch in Fällen, in denen kritische Hardware nicht direkt an das Internet angeschlossen ist, können Angreifer oft durch Spear Phishing andere Rechner in einer Firma übernehmen und als Brückenkopf benutzen. Sind sie erst einmal im internen Netz, kommen sie früher oder später meist auch an ihr Ziel.
Eben aus diesem Grund muss die IT-Sicherheit eines Betriebes immer im Ganzen betrachtet werden, erklärt das BSI. Da ist es kein Zufall, dass das Amt ebenfalls in einem anderen Dokument dazu aufruft, alle Computer, die derzeit noch auf Windows XP laufen, schnellstmöglich auf neuere Windows-Versionen umzustellen. Da am 8. April 2014 der Support für Windows XP ausläuft, befürchtet das BSI, dass Kriminelle gefundene Sicherheitslücken absichtlich bis nach diesem Datum zurückhalten könnten, um dann gezielt verbleibende XP-Systeme anzugreifen.
Wer vor April nicht updatet, setzt nicht nur seine XP-Computer dieser Gefahr aus, sondern auch alle Systeme, die mit diesen vernetzt sind. So kann auch der als nicht sicherheitskritisch abgetane, einsame XP-Rechner in der Ecke als der Brückenkopf enden, der Angreifern Tür und Tor in den Rest des Netzwerks öffnet. (fab)
