Auf bis zu 60 Milliarden Euro pro Jahr schätzt das Bundesamt für Verfassungsschutz den Schaden, den die deutsche Industrie durch Datendiebstahl erleidet. IT-Security ist daher eine der elementaren Voraussetzungen für die Umsetzung und den Erfolg von Industrie 4.0. Bislang stehen jedoch viele Unternehmen den Bedrohungen eher orientierungslos gegenüber, es fehlen klare gesetzliche Regularien und ein technologisches Gesamtkonzept zum Schutz der vernetzten Industrie. Dabei gilt: besser heute als morgen Maßnahmen zum Schutz ergreifen und sich den digitalen Bedrohungen aktiv stellen.

Mangelnde IT-Sicherheit bremst Deutschland

Kaum ein anderes Schlagwort erhitzt die Gemüter in Deutschland so sehr wie Industrie 4.0. Denn die durchgängige Digitalisierung und Vernetzung von Prozessen, Dienstleistungen und Supply Chain wird die wirtschaftliche Produktion tiefgreifend transformieren und die gesamte industrielle Wertschöpfungskette durchdringen. Damit einher gehen kaum vorstellbare Flexibilitäts- und Effizienzsteigerungen - aber eben auch bislang schwer zu überblickende Anforderungen an IT-Infrastrukturen und IT-Sicherheit. Denn wenn riesige Datenmengen in Echtzeit Prozesse beeinflussen und Maschinen untereinander interagieren, dann spielt die Zuverlässigkeit solcher Systeme eine zentrale Rolle. Waren Produktionsanlagen bislang von der Außenwelt abgeschottet, werden durch die Digitalisierung zunehmend Verbindungen aufgebaut und die Wertschöpfungsprozesse für verschiedene Akteure geöffnet. Dies erfordert eine flexiblere IT-Architektur und neue IT-Sicherheitsmanagementprozesse, die über Unternehmensgrenzen hinweg etabliert werden müssen.

Viele Deutsche sehen jedoch genau in den bislang vorherrschenden Defiziten in der IT-Sicherheit das größte Hindernis für den Einzug von Industrie 4.0 in die produzierenden Betriebe, wie etwa der VDE-Trendreport 2015, eine Umfrage des Verbandes der Elektro- und Informationstechnik, zeigt. Sieben von zehn der 1.300 Befragten sehen in der mangelhaften IT-Sicherheit die zentrale Hürde bei der Verwirklichung von Industrie 4.0. Für fast jeden zweiten fehlen Normen und Standards sowie eine branchenübergreifende und interdisziplinäre Zusammenarbeit. Hohe Investitionskosten und Komplexität sind für jeden dritten zentrale Probleme. Und die Sorgen der Industrie sind nicht unbegründet: Eine aktuelle Studie von BITKOM unter mehr als 1.000 Firmen fand heraus, dass heute bereits jedes zweite deutsche Unternehmen Ziel von Hackerangriffen ist, fast die Hälfte der betroffenen Unternehmen sieht sich regelmäßigen Angriffen ausgesetzt. Der am stärksten durch digitale Angriffe gefährdete Wirtschaftszweig ist die Automobilindustrie mit 68 Prozent. Es folgen die Chemie- und Pharma-Branche mit 66 Prozent, die Finanzbranche liegt bei 60 Prozent.

Klare Verantwortlichkeiten sind gefragt

Im Bericht zur Lage der IT-Sicherheit in Deutschland 2015 stellte das Bundesamt für Sicherheit in der Informationstechnik (BSI) fest, dass es nach wie vor zahlreiche Schwachstellen in deutschen IT-Systemen gibt. Angesichts der vom Bundeskriminalamt geschätzten 30.000 Cyberattacken auf deutsche Unternehmen täglich, wird die IT-Sicherheit zur zentralen Komponente unternehmerischen Risikomanagements. Der Druck auf die Entscheider in Unternehmen ist demnach groß, sich intensiv mit den Möglichkeiten und Gefahren der Digitalisierung und Vernetzung aller Geschäftsbereiche zu befassen. Und doch scheint es massive Diskrepanzen bei der Einschätzung von Geschäftsführung und IT-Verantwortlichen zu geben. So verdeutlicht eine kürzlich veröffentlichte Studie von VMware und The Economist, wie weit die Vorstellungen dieser beiden Parteien auseinanderdriften. Denn sehen beispielsweise IT-Sicherheitsverantwortliche weltweit die Internetsicherheit als oberste Unternehmenspriorität, setzen bei den Business-Verantwortlichen in Deutschland gerade mal 11 Prozent IT-Sicherheit ganz oben auf ihre Liste.

Auch bei der Frage nach den Unternehmenswerten, die es am stärksten zu schützen gilt, gehen die Meinungen auseinander: während sich die Führungskräfte auf strategische Werte, wie den Ruf des Unternehmens, fokussieren, verfolgen IT-Sicherheitsverantwortliche einen eher taktischen Ansatz, der sich auf den Schutz von Daten und Anwendungen konzentriert. Und auch bei den nötigen Mitteln gibt es große Abweichungen: während 30 Prozent der IT-Verantwortlichen in den kommenden zwei Jahren eine deutliche Erhöhung des Sicherheits-Etats erwarten, prognostizieren nur 18 Prozent der Unternehmenslenker einen deutlichen Anstieg des Budgets. Solange unterschiedliche Prioritäten und Wahrnehmungen kursieren, wird es schwierig bleiben, eine umfassende und zielgerichtete IT-Sicherheitsstrategie zu beschließen und konsequent umzusetzen. Zentrale Frage ist dabei für viele Unternehmen die Festlegung der Verantwortlichkeiten. Dabei ist festzulegen, wer für die Sicherheit der Produktionsanlagen verantwortlich ist, wer sich um die Umsetzung kümmert und wer darüber entscheidet, wie viel Aufwand für welches Risiko vertretbar ist.

Mehr IT-Sicherheit durch gesetzlichen Rahmen?

Bislang ist es in deutschen Unternehmen möglich, Hackerangriffe und Cyberattacken vor der breiten Öffentlichkeit geheim zu halten. Das soll durch das IT-Sicherheitsgesetz des Bundesministeriums des Inneren und der damit einhergehenden Informationspflicht für Unternehmen nicht mehr so einfach möglich sein. Ziel des IT-Sicherheitsgesetzes ist der Schutz von IT-Infrastrukturen vor Cyber-Angriffen durch Erkennung und Abwehr von externen Attacken. Mit dem im Juli 2015 in Kraft getretenen Gesetz werden die Betreiber besonders gefährdeter Infrastrukturen wie Energie, Wasser, Gesundheit oder Telekommunikation verpflichtet, ihre Netze besser vor Hacker-Angriffen zu schützen.

Neben der Meldepflicht von IT-Sicherheitsvorfällen an das BSI werden zudem Mindeststandards für die IT-Sicherheit bei den Betreibern solcher IT-Infrastrukturen festgelegt. Allerdings gibt es hierbei keinerlei Vorgaben, vielmehr sollen die Branchen selbst entsprechende Standards entwickeln, die dann vom BSI genehmigt werden. Insgesamt sind sieben Branchen und rund 700 Anlagen in Deutschland vom IT-Sicherheitsgesetz betroffen, wie erst vor kurzem in der entsprechenden Rechtsverordnung festgelegt wurde. Den Betreibern kritischer Infrastrukturen bleiben nun zwei Jahre, um die Sicherheitsrichtlinien nach dem aktuellen Stand der Technik zu realisieren, bis 2018 soll die Meldepflicht bei allen kritischen Sektoren eingeführt sein. Es bleibt abzuwarten, wie erfolgreich diese Maßnahmen in Bezug auf die IT-Sicherheit sein werden.

Auf dem Weg zu einer umfassenden IT-Sicherheitsarchitektur

Interessanterweise driften Realität und Wirklichkeit beim Einsatz von Industrie 4.0 deutlich auseinander: 44 Prozent der Unternehmen in den industriellen Kernbranchen nutzen laut Bitkom bereits heute Industrie-4.0-Anwendungen - viele jedoch nicht bewusst. Damit ist die Verbreitung von Industrie 4.0 weiter vorangeschritten als das genaue Wissen darum. In den nächsten fünf bis zehn Jahren wird die Vision einer Industrie 4.0 weiter zur Realität werden. Doch ob rechtlich oder technologisch, die entsprechenden Sicherheitsstandards sind aktuell oftmals eher grobe Konzepte als konkrete Maßnahmen.

Gerade deshalb müssen Unternehmen den Schutz der digitalen Infrastruktur zum zentralen Bestandteil ihrer Geschäftsstrategie machen und eine umfassende IT-Sicherheitsarchitektur aufbauen. Denn sonst droht Wirtschaftsspionage, wie beispielsweise der Diebstahl interner Produktinformationen zur Herstellung von Plagiaten, der Abfluss von Wissen oder sogar Sabotage. In Zukunft werden herkömmliche präventive Sicherheitstechnologien wie beispielsweise Firewalls, Identitäts-Management und Angriffserkennung nicht mehr ausreichen. Sie bleiben zwar als Basisschutz wichtig, müssen aber durch neue Ansätze ergänzt werden, die eine zuverlässige Detektion von Angriffen in Echtzeit ermöglichen.

Zudem müssen Modelle und Tools langfristig in der Lage sein auch komplexe Prozesse abzubilden. Nur so können Entscheidungsträger fundierte Entscheidungen im Zusammenhang mit organisatorischen IT-Sicherheitsmaßnahmen treffen. Es ist nicht damit getan, die etablierten Sicherheitskonzepte aus der Office-Welt zu adaptieren. Auch wenn die IT-Landschaft dort inzwischen weitgehend standardisiert ist und sich Applikationen unternehmensweit ausrollen lassen, sind die IT-Systeme in der industriellen Produktion speziell und erfordern individuelle Ansätze. Nur so lassen sich künftig Sicherheitsanforderungen vernetzter und automatisierter Fertigungsmethoden und dynamischer Wertschöpfungsnetze umsetzen. (fm)