Inter­view: Cyber­si­cher­heit im Maschi­nen­bau

„Ran­som­ware ist der­zeit die größte Bedro­hung"

Steffen Zimmermann, Leiter des Competence Centers Industrial Security beim Verband Deutscher Maschinen- und Anlagenbau (VDMA), über IT- und Product Security, die Chancen und Risiken durch Industrie 4.0 und Phishing-Kampagnen zur Abwehr von Ransomware.

Herr Zimmermann, Sie leiten beim VDMA das Competence Center Industrial Security, das sich um zahlreiche Facetten von Sicherheit kümmert – welchen Stellenwert hat die Sicherheit bei den Maschinenbauern?

Neben der „Safety“ steht seit langem auch die Security im Fokus der Maschinen- und Anlagenbauer. Hier gibt es grundsätzlich drei Security-Bereiche: IT-Security, OT(Operational Technology)-Security und Product Security. Die IT-Security ist dabei der etablierteste Teil, denn digital vernetzt sind die Maschinenbauer nicht erst mit Industrie 4.0. IT-Sicherheit ist durchaus gelebte Praxis. Operational Technology Security und Product Security für den Maschinenpark sind deutlich jünger, und durch lange Nutzungszeiträume und Prozessabhängigkeiten auch deutlich komplexer.

Was sind Ihrer Erfahrung nach aktuell die größten Herausforderungen der VDMA-Mitgliedsunternehmen hinsichtlich ihrer Cybersicherheit?

Derzeit stellt Ransomware die größte Bedrohung dar. Gezielte Angriffe auf Weltmarktführer mit Schäden im Millionenbereich. Daneben ist die Herausforderung in der Aus- und Weiterbildung von Ingenieuren zu sehen, Security muss in die Maschinenbauprodukte integriert werden. Nicht zuletzt fehlt es an Experten und Lösungen, die Dinge auch umzusetzen.

 Umfragen und Studien haben wiederholt gezeigt, dass das Niveau der IT-Sicherheit mit der Unternehmensgröße zunimmt, also gerade kleinere Unternehmen sich mit ausreichendem Schutz schwer tun. Trifft das auch auf die Maschinen- und Anlagenbauer zu?

Security kostet Geld. Die Mittel kommen auch bei uns aus dem IT-Budget und wachsen mit der Betriebsgröße. Die Herausforderung ist nicht die Technik, sondern die organisatorische Umsetzung. Der „IT-Grundschutz“ muss anwendbar sein! In Unternehmen mit bis zu 250 Mitarbeitern finden Sie weniger oft einen IT-Sicherheitsexperten. Zudem gilt der Maschinenbau für IT-ler auf den ersten Blick weder als sexy noch ertragreich. Dabei gibt es gerade hier die Themen der Zukunft, deren Absicherung die Unternehmen stark zunehmend im Fokus haben.

Bei produzierenden Unternehmen liegen Risiken nicht nur in der Office-IT, sondern auch in den Produktionsumgebungen. Ist die Gefahr von Cyberkriminalität ein Hemmschuh für die weitere Entwicklung der Industrie 4.0?

Die Chancen durch Industrie 4.0 überwiegen klar die Risiken. Doch Industrie 4.0 wird langfristig nur funktionieren, wenn Security in Entwicklung und Betrieb angemessen berücksichtigt wird. Aus meiner Sicht ist das kein Hemmschuh für Industrie 4.0, sondern ein Schub für die Security, die damit digitale Geschäftsmodelle erst ermöglicht.

Wie hilft Ihr Competence Center den VDMA-Mitgliedsunternehmen konkret?

Wir erarbeiten konkrete Praxishilfen, z. B. zu Ransomware, entwickeln Lerninhalte für IEC 62443, Security by Design und bieten in unseren Security-Arbeitskreisen eine etablierte Austauschplattform zwischen Automatisierern, Maschinenbauern, Security-Experten und dem BSI.

Immer wieder kommen Cyberangriffe nur deshalb ans Ziel, weil ein einzelner Mitarbeiter einen verseuchten Anhang öffnet oder falschen Link anklickt. Was raten Sie Unternehmen, um die Aufmerksamkeit und Vorsicht der Belegschaft nachhaltig zu steigern?

Unsere Mitglieder haben gute Erfahrungen mit Phishing-Kampagnen gemacht, z. B. mit Gophish. Besonders gefährdete Gruppen können so zielgerichtet sensibilisiert werden.  Regelmäßige Informationen über aktuelle Angriffe, eine persönliche Erreichbarkeit und der klassische „Take Home Value“ helfen, die Awareness hoch zu halten.


Dieses Interview stammt aus dem aktuellen Report „Cyberrisiken im produzierenden Gewerbe“. Den vollständigen Bericht können Sie sich als PDF kostenfrei herunterladen. 


Zur Startseite
Auch inter­essant