Cyberbedrohungen für kritische Infrastrukturen nehmen zu

„Nicht erst seit dem russischen Angriffskrieg gegen die Ukraine sehen wir, welche Rolle Cyberangriffe in geopolitischen Auseinandersetzungen spielen. Sie sind längst auch zu einem Risiko für Staat und Wirtschaft geworden“, warnte kürzlich Bundesinnenministerin Nancy Faeser. Fakt ist: Cyberangriffe können in Betrieben und Produktionsstätten zu massiven Einschränkungen führen – oder diese sogar ganz zum Stillstand zwingen. In der Vergangenheit waren immer wieder immense finanzielle Schäden die Folge. Besonders gefährlich wird es, wenn kritische Infrastrukturen (KRITIS) zur Zielscheibe digitaler Attacken werden – unabhängig davon, ob die Motivation hinter den Angriffen monetärer oder geopolitischer Natur ist.

Die Aufrechterhaltung von Systemen und Anlagen der Grundversorgung, deren Betrieb essenziell für das Wohlergehen einer Bevölkerung ist, hat somit höchste Bedeutung. Werden Cyberangriffe auf KRITIS-Unternehmen wie etwa der Wasser-, Elektrizitäts- und Gasversorgung oder auf Notfalldienste wie Krankenhäuser verübt, kann dies neben wirtschaftlichen Einbußen und Datenverlust bzw. -spionage noch weitaus bedrohlichere Auswirkungen haben: die Gefährdung der allgemeinen Versorgung oder sogar von Menschenleben. Umso wichtiger sind deshalb gerade hier umfassende Konzepte für die digitale Sicherheit.

Mit strikteren Richtlinien zu mehr Cybersicherheit und Resilienz

Hinzu kommt, dass für private und staatliche Betreiber von Unternehmen, die unter die Richtlinie zur Netz- und Informationssicherheit (Directive on security of network and information systems) fallen, demnächst verschärfte regulatorische Anforderungen gelten. Die überarbeitete europäische NIS-2-Richtlinie soll dazu beitragen, das allgemeine Cybersicherheitsniveau zu erhöhen und die Resilienz zu stärken. Aktuell muss der Gesetzentwurf noch in nationales Recht überführt werden, doch mit Inkrafttreten der neuen Richtlinie stehen zukünftig noch mehr Unternehmen in der Verantwortung, ihre Sicherheitskonzepte entsprechend der neuen Regelungen anzupassen – und im Zweifel nachzurüsten. Unternehmen, die die geltenden Verordnungen nicht rechtzeitig umsetzen, müssen bei Verstößen mit empfindlichen Geldbußen im Millionenbereich rechnen.

Unternehmen stehen vor neuen Risiken und Herausforderungen

Die Herausforderung für viele dieser Unternehmen: Durch die zunehmende Digitalisierung und die daraus resultierende Möglichkeit, standortunabhängig und per Remote Access auf Anlagen zuzugreifen und diese zu steuern, wächst die Schnittmenge von IT- und OT-Infrastrukturen – und damit auch das Sicherheitsrisiko. Werden wichtige Informationen rund um interne Produktionsabläufe im ERP-System interlegt, können Betriebs- und Maschinendaten über die angebundenen Datenbanken und Server abgegriffen werden. Angreifer können Produktionen so direkt manipulieren oder lahmgelegen. Eine Studie von PwC verdeutlicht, wie sehr Unternehmen das Thema Cybersicherheit beschäftigt: Mit 51 Prozent geben mehr als die Hälfte der in Deutschland befragten Teilnehmer an, dass das Thema sie in den nächsten ein bis zwei Jahren herausfordern wird.

Mangelnder Austausch zwischen IT und OT

Das Problem: Obwohl bei vernetzten Industrieumgebungen beide Bereiche – IT und OT – an das Firmennetzwerk angebunden sind, besteht oft kein ausreichender Austausch zwischen Fachkräften und Experten: Viel zu oft verlaufen die Administration der Anlagentechnik sowie die Verwaltung der IT-Systeme getrennt voneinander. Zusätzlich hat die Corona-Pandemie dazu geführt, dass Produktionsinfrastrukturen vielerorts im Eilverfahren an die neuen Umstände angepasst wurden – oft konnten die Sicherheitsvorkehrungen nicht Schritt halten. Manipulationen fallen häufig erst auf, wenn es bereits zu Schäden gekommen ist.

Mit realen Angriffsszenarien für den Ernstfall üben

Um Unternehmen für diese Gefahren durch Cyberangriffe zu sensibilisieren und über aktuelle und geopolitische Bedrohungslagen aufzuklären, hat PwC das Cyber Security Experience Center entwickelt. Das Beratungshaus will so andere Unternehmen und Institutionen dabei unterstützen, sensible Komponenten und kritische Infrastrukturen bestmöglich vor Attacken zu schützen.

Cybersicherheit unmittelbar erleben

Dazu verfügt das Cyber Security Experience Center über verschiedene Exponate, die in einem integrierten Ökosystem mit physischen SPS- und ICS/SCADA-Netzwerken verbunden sind. Anhand dieser Modelle lassen sich reelle Cyberbedrohungen anschaulich durchspielen – beispielsweise an einem Hybridkraftwerk, einem Industrieroboter, einem Gebäudemanagementsystem, einer Wasseraufbereitungsanlage oder an einem digitalen Patientenmonitor. Für die Cyberangriffe werden möglichst detailgetreue und realistische Bedingungen geschaffen. Betreibern von kritischen Infrastrukturen sowie operativen Betriebstechnologien soll auf diese Weise anschaulich vor Augen geführt werden, mit welchen Auswirkungen sie im Falle einer echten Attacke rechnen müssen – und wie gravierend die Folgen sein können.

Risiken erkennen und Optimierungspotenziale nutzen

PwC Cyber Security Experience Center

Zur Identifikation schützenswerter Geschäftsprozesse werden dabei verschiedene potenziell risikobehaftete Szenarien betrachtet, so etwa Supply-Chain- und DDOS-Angriffe oder Attacken über E-Mail-Threats und Ransomware. In einer initialen Bestandsaufnahme werden zunächst alle relevanten Sicherheitsaspekte eines Unternehmens beleuchtet und durch Penetrationstests auf ihre Sicherheit anhand simulierter Angriffe überprüft. Mit Hilfe von Threat Intelligence Services werden zusätzlich zeitliche, taktische und strategische Daten zur aktuellen weltweiten Bedrohungslage im Cyberspace gesammelt und ausgewertet. Es folgt eine Analyse des aktuellen Notfallmanagements für kritische Geschäftsprozesse und daraus abgeleitet die Konzeptionierung und Implementierung von Fallback-Lösungen. Ein interdisziplinäres Krisenmanagement sowie eine detaillierte Forensik unterstützen Unternehmen dabei, IT-Sicherheitsvorfälle über eine gesamte Organisation hinweg zu bewältigen und die Einfallstore zu identifizieren und zu schließen.

Auch nach Abschluss der Analyse steht PwC Betreibern kritischer Infrastrukturen bei strategischen, organisatorischen und regulatorischen Themen zur Seite, etwa bei Fragen zur Governance und der Implementierung von Richtlinien wie etwa der NIS-2-Direktive.

Sie möchten mehr zum Cyber Security Experience Center erfahren? Hier finden Sie weitere Informationen.