VDMA-Studie „Industrial Security“ Cyber-Resilienz in der Industrie nimmt zu

Anbieter zum Thema

Fraunhofer AISEC - Fraunhofer- Einrichtung für Angewandte und Integrierte Sicherheit

Fsas Technologies GmbH

Produktionsausfälle aufgrund von Ransomware- oder anderen Cyberangriffen sind für Industrie-Unternehmen verheerend. Eine starke Cyber-Resilienz ist daher unabdingbar. Erfreulicherweise hat sich diese in den vergangenen Jahren verbessert, ergab eine Studie des VDMA.

Die befragten Industrie-Unternehmen der VDMA-Studie „Industrial Security“ schätzen die derzeitige Bedrohungslage als „mittel“ ein, was aber abhängig von der Unternehmensgröße ist. Die vordersten Plätze belegen dabei „Social Engineering und Phishing“ (3,4; Anm. d. Red.: Eintrittswahrscheinlichkeit von Bedrohungen von 0 = gering bis 5 = hoch), „Menschliches Fehlverhalten und Sabotage“ (3,2) sowie „Soft- und Hardware-Schwachstellen in der Lieferkette“ (3,1).

Der Mensch rückt also als Schwachstelle weiter in den Fokus. Der VDMA empfiehlt beispielsweise „Security Policies und Security Awareness Trainings spezifisch für Produktionsmitarbeiter, um über Bedrohungen aufzuklären und für das richtige Verhalten zu sensibilisieren“.

Security-Vorfälle: weniger negative Auswirkungen

Fast alle Befragten (89 %) glauben, dass die Anzahl der Security-Vorfälle in den kommenden Jahren gleich bleibt oder steigt. Dennoch gehen die negativen Auswirkungen der Angriffe zurück: 2019 verzeichneten 72 Prozent der Teilnehmenden negative Auswirkungen wie Kapitalschaden, Produktionsausfall, Imageschaden oder Ähnliches. In der aktuellen Studie sind es nur noch 45 Prozent. Doch es gibt hier eine Grauzone. Häufig werden Vorfälle aus Compliance-Gründen oder der Angst vor einem Imageverlust nicht gemeldet. Als Bedrohungen werden genannt:

• 36 Prozent: Zufällige externe Einflüsse (z. B. durch ungerichtete E-Mails mit Viren; 2019: 47 %),

• 31 Prozent: „Innentäter“ (2019: 38 %),

• 33 Prozent: gezielte externe Einflüsse (2019: 26 %).

Eigenkompetenz gefestigt

Welche Kompetenzen haben die Unternehmen seit der letzten Studie 2019 aufgebaut? Wie können sich Industrie-Unternehmen noch besser gegen Cyberangriffe schützen? Es gibt verschiedene Bausteine, die bestenfalls alle ineinandergreifen.

Gut die Hälfte (58 %) der befragten Unternehmen aus dem Maschinen- und Anlagenbau hat mindestens einen Security-Beauftragten in der Produktion. Das sind immerhin 16 Prozent mehr als bei der letzten Befragung im Jahr 2019. Bei Unternehmen mit mehr als 1.000 Mitarbeitenden liegt der Anteil mit 73 Prozent (2019: 68 %) deutlich höher.

Ein Großteil der Befragten setzt auf Security-Kompetenz aus dem eigenen Haus. Nur 12 Prozent haben einen Dienstleister an Bord.

Security-Richtlinien

Mit einer verbindlichen, regelmäßig geprüften Sicherheitsrichtlinie will eine Geschäftsleitung das „Bewusstsein für die Notwendigkeit und Einhaltung aller der Produktionssicherheit dienenden Maßnahmen fördern“, heißt es in der Studie. Außerdem enthält eine solche Richtlinie „ein Mindestmaß von Aufgaben und Pflichten, deren Erfüllung für die Gewährleistung und Aufrechterhaltung eines angemessenen Security-Niveaus unabdingbar ist“.

In einem produzierenden Unternehmen gibt es einerseits Richtlinien für das Office-Umfeld, andererseits für die Produktion. Was die Office-Security angeht, sind die Befragten gut aufgestellt: 93 Prozent der Unternehmen haben eine entsprechende Richtlinie. Eine Security-Richtlinie für die eigene Produktion können 31 Prozent aufweisen, eine Einführung bis 2027 planen weitere 32 Prozent. Bei der Produktentwicklung sieht es besser aus: 54 Prozent haben hier eine Richtlinie, 33 Prozent planen die Einführung.

Separate Sicherheitsrichtlinien sind sinnvoll, weil sie unterschiedliche Risiken und Anforderungen adressieren. Eine Abstimmung beider Richtlinien soll organisatorische Lücken aufzeigen, Synergieeffekte erzeugen und helfen, technische Maßnahmen zu koordinieren. Separate Richtlinien haben bereits 29 Prozent, bis 2027 wollen weitere 31 Prozent nachziehen.

Zudem gibt es eine Vielzahl an länder- und branchenspezifischen Regularien, Normen, Richtlinien und Empfehlungen. Dazu zählen unter anderem:

• NIS-2,

• CRA,

• ISO/IEC 27000,

• BSI-Grundschutz,

• VDI/VDE 2182.

Risikomanagement

Ein wichtiger Teil des Risikomanagements ist die Risikobewertung eines Unternehmens, die feststellt, welche Cybersecurity-Maßnahmen geeignet und wirtschaftlich sind. Durchschnittlich 61 Prozent der Befragten haben ein Risikomanagement im Produktionsumfeld eingeführt. Das sind 20 Prozent mehr als 2019.

Regelmäßige Security-Audits führt immerhin gut ein Fünftel (22 %) der Industrie-Unternehmen durch. 39 Prozent machen dies in unregelmäßigen Abständen, genauso viele gar nicht. Hier gibt es also noch viel Potenzial, die IT-Security zu verbessern.

Gut die Hälfte (53 %) der IT-Security-Verantwortlichen kann nicht einschätzen, welche Ausfallkosten ein Sicherheitsvorfall mit sich bringt. Auch das Management weiß in mehr als der Hälfte der Fälle (53 %) hierüber nicht Bescheid.

Schutzmaßnahmen

Konkrete Maßnahmen, die die Befragten bereits zum Schutz vor Cyberangriffen in der Produktion einsetzen, teilen sich in organisatorische und technische Maßnahmen.

Zu den Top-5 der organisatorischen Maßnahmen zählen die Regelung der Fernwartungszugänge für eigene Mitarbeiter (88 %) sowie für externe Mitarbeiter und Dienstleister (84 %), die Regelung der Nutzung von mobilen Speichern (69 %) sowie mit je 67 Prozent die Regelung der Zugriffsrechte für eigene Mitarbeiter auf Maschinen und Anlagen inklusive regelmäßiger Überprüfung sowie die Regelung der Nutzung von Fremd-Geräten (PC, Smartphone, etc.) durch externe Servicetechniker.

An technischen Maßnahmen werden unter anderem umgesetzt:

• Trennung zwischen Office- und Produktionsnetzwerk (68 %),

• Überwachung der Netzwerkübergänge zwischen Office und Produktion (68 %),

• Überwachung der Netzwerkübergänge zwischen Außenstellen untereinander und der Leitstelle (67 %),

• Isolierung (Air-Gap) von einzelnen Maschinen und Anlagen (48 %).

(ID:50389880)