Firewalls als Lebensretter

Einige Jahrzehnte lang waren die industriellen Fertigungsnetze eine Welt für sich, die keine Verbindung zur Bürowelt hatte. Mittlerweile ist die Annäherung der beiden Sphären im vollen Gange. Das gilt für beide Richtungen: zum einen gibt es immer mehr Verbindungen von Fertigungsautomation oder Logistik zu betriebswirtschaftlicher Standardsoftware (das Stichwort  »RFID« mag hier genügen), zum anderen werden die spezifischen Betriebssysteme und Bussysteme der Fertigungsautomation in vielen Fällen durch aufgebohrte Versionen der aus der  Bürowelt bekannten Standards wie Ethernet, TCP/IP und http abgelöst. Verteilte Automatisierungslösungen auf der Basis eines Internet-Browsers und http sind mittlerweile für viele Geräte in industriellen Umgebungen üblich.
Ein konkretes Beispiel aus der metallverarbeitenden Industrie: Ein weltweit tätiger Betrieb mit mehr als 4000 Mit­arbeitern und Produktionsstätten auf drei Kontinenten verfügt über hundert Maschinenanlagen, die jeweils von 20 bis 50 PCs oder PC-artigen Geräten gesteuert werden. Für den Netzwerk- und Sicherheits-Verantwortlichen stellt sich da eine bisher nie gekannte Herausforderung: In seinem LAN befinden sich etwa 2300 zusätzliche PCs. Die Wartung dieser Anlagen erfolgt in der Regel nur durch den Maschinenhersteller selbst. Die Kontrolle über die integrierten Rechner liegt somit häufig außerhalb der direkten Verantwortung des hausinternen IT- beziehungsweise Security-Teams. In dem genannten Beispiel hat der Netzwerk- und Sicherheits-Verantwortliche tatsächlich nur noch rund 45 Prozent der Endgeräte unter seiner Kontrolle.
Die Frage nach der Sicherheit in einem solchen System, das leicht außer Kontrolle geraten kann, stellt sich umso dringlicher, als die Fehlertoleranz von Fertigungssystemen in der Regel weitaus geringer ist als die vieler Bürosysteme, und das nicht nur im Echtzeitbereich. Wenn Schadprogramme wie SQL-Slammer beispielsweise im Nicht-Echtzeit-Bereich einen Leitrechner angreifen und die Bandbreite in Richtung der darunter liegenden Steuerrechner und Produktionsroboter deutlich drosseln, dann
gehen letztere in Störung und die gesamte Produktionslinie ist lahmgelegt. In der vernetzten Bürowelt dagegen hat ein solcher Angriff der Verfügbarkeit zwar immer ärgerliche, aber nicht immer derart fatale Auswirkungen.

Web-Steuerungen ­konterkarieren Gesetz
Potenziell Opfer und Täter gleichzeitig zu sein, ist das eigentliche Schicksal dieser Systeme. Sie erfüllen alle Kriterien von Systemen, die hinter Schloss und Riegel gehören ? das heißt, hinter Firewalls. Sie können nicht gepatcht werden und sind dadurch äußerst angreifbar. Gleichzeitig sind sie unternehmens­kritisch, weil sie unmittelbar den Produktionsprozess betreffen. Störungen können den reibungslosen Ablauf von Geschäftsprozessen empfindlich beeinträchtigen, so dass ganze Unternehmensbereiche zur Untätigkeit verurteilt werden können. Wie oben schon an­gedeutet, können Verzögerungen oder gar Ausfälle in Produktionsanlagen für Unternehmen mit Just-in-Time-Produktion, die bestimmte Volumina innerhalb vorgegebener Zeiten produzieren müssen, verheerende finanzielle Auswirkungen haben. Und da diese Firmen oftmals eng vernetzt sind mit Partnern und Zulieferern, sind der Verbreitung von Schadsoftware kaum Grenzen gesetzt.

Firewalls gegen »grobe Fahrlässigkeit«
Finanzielle Ausfälle hin oder her: die größte Gefahr ist die für Leib und Leben von Bedienpersonal oder anderen Anwendern. Diese Gefahr ist beileibe keine Ausgeburt von Paranoia, sondern durchaus real. Das zeigt schon die Gesetzeslage in diesem Sektor. Die ist nämlich seit langer Zeit schon eindeutig: Fernsteuerbare Maschinen dürfen nur von Leitständen aus gesteuert werden, die Einsicht in den Gefahrenbereich erlauben. Bei web-basierten Steuerungsapplikationen, die von überallher im LAN erreichbar sind, sind die vom Gesetz definierten Rahmenbedingungen aber offensichtlich nicht mehr gegeben. »Grobe Fahrlässigkeit«, das Schreckenswort für alle Geschäftsführer, ist daher bei Arbeitsunfällen, die durch unzeitgemäße Sicherungsmaßnahmen für Maschinen hervorgerufen werden, schneller gegeben, als man glauben will.
Starke Authentisierung und vollständige Protokollierung der Zugriffe sind insofern die Mindestanforderungen, die man an Fernsteuerungssysteme stellen muss. Allerdings erfüllen die Applikationen selbst diese Voraussetzungen in den seltensten Fällen. Firewalls sind genau für diese Aufgaben geschaffen worden, also sollten sie auch im Bereich der Fertigungsautomation zum selbstverständlichen Grundschutz-Inventar gehören. Präventiv und prohibitiv arbeitende Einbruchssensoren (Intrusion Prevention Systems) können zwar Maschinenanlagen vor Würmern und anderer Schadsoftware schützen, Firewalls haben aber demgegenüber einen entscheidenden Vorteil: die richtige Protokollierung, eine starke Authentisierung aller Art von Zugriffen mit eindeutiger Identifizierung von Personen beziehungsweise deren klar abgegrenzten Rechten. Eine klare Grenzziehung verlangt nicht nur der
Gesetzesgeber. Die Unternehmen schulden schlicht ihren Mitarbeitern an den
Maschinen diese elementaren Sicherheitsvorkehrungen.

Firewall-Verwaltung
In einem industriellen Umfeld kann es indes auf Grund der LAN-Architektur leichter noch als in der Bürowelt passieren, dass auf einmal eine ganze Menge Firewalls notwendig wird. Das führt dann zu gravierenden Verwaltungsproblemen. Denn die Einzel-Administrierung von Hunderten oder gar Tausenden von Systemen ist auf jeden Fall kostenintensiv und erfordert einen enormen Einsatz von qualifiziertem Personal. Zudem entsteht eine neue Gefahrenquelle.
Das Mitwachsen der Verwaltungs­architektur mit den verschiedenen Firewall-Systemen ist deshalb für die Effizienz einer Lösung zentral, ebenso die Verwaltung von einem Punkt aus. Zentrale, skalierbare Managementstrukturen ermöglichen automatisierte Updates, die effektive und effiziente Durchsetzung von Sicherheits-Maßgaben und Konfigurationseinstellungen und zeichnen sich besonders durch eine einfache Ausbringung in die Produktivumgebung aus. Durch ausgefeilte Mechanismen zur Diagnose- und Problembeseitigung haben Administratoren auch aus der Ferne die Möglichkeit, Fehler effizient und
ohne großen Personalaufwand zu beseitigen. Industriekunden können dadurch auch eine steigende Anzahl von Geräten ohne größeren Betriebsaufwand zu verwalten. Mit rentablem Ressourcen-Einsatz wird ein umfassendes und sicheres Management ermöglicht.
Denn am Ende des Tages zählt nur eins: dass die Maschinen ungestört
laufen und dass vor allem keine Menschen zu Schaden kommen.   

Der Physiker Dr. Wieland Alge ist Geschäftsführer der phion GmbH in ­Innsbruck