Ins Netzwerk zu kommen, ist einfach

Dementsprechend sollte man sich einen Pentest weitaus weniger als spannungsgeladene Szene aus „Mission Impossible“ vorstellen. Noch immer funktionieren die alten Hüte der physischen Infiltration hervorragend. Gängige Tricks lauten:

• Mit ein paar Kisten in beiden Händen vor eine Tür zu stellen, um ins Gebäude zu kommen. Hilfsbereite Mitarbeitende lassen einen früher oder später ungeprüft herein.
• Im Meetingraum oder Wartebereich einen Sniffer in der Größe einer Streichholzschachtel an den nächststehenden Drucker oder Bildschirm hängen.
• Digitale Türschlösser per geklonter Karten in Sekunden öffnen. Was kompliziert klingt, ist durch eine Vielzahl von Gadgets, die legal für wenige Euro erstanden werden können, problemlos möglich.
• Ein harmlos wirkendes USB-Kabel, in dem aber viel mehr steckt, das gezielt auf Arbeitsplätzen platziert wird und bei Benutzung Computer infiltriert.

Hinzu kommen OT-Systeme, die aufgrund von Nachlässigkeit, Werkeinstellungen und Fehlkonfigurationen im Internet sichtbar sind. Dank der Plattformen Shodan und Censys sind diese binnen Sekunden identifiziert.

Sicher? Sicherlich nicht!

Ist der Gegner einmal im Netzwerk angekommen, ist die Fortbewegung und das Kapern weiterer Systeme nicht selten ein Kinderspiel. Das liegt zum einen an den fehlenden Sicherheitsfunktionen vieler Komponenten und Systeme, aber auch an dem bislang fehlenden Sicherheitsverständnis in der Organisation. Beispiele lauten:

• wenn für die Interkonnektivität und Interoperabilität verschiedene Funktionen und Kommunikationsströme über geteilte Komponenten (z. B. Switches) laufen, aber sich niemand einen Überblick verschafft;
• wenn die wenigen existierenden Sicherheitsfunktionen auf OT-Komponenten nicht aktiviert sind, weil es „schnell gehen muss“;
• wenn Protokolle wie OPC-UA ohne Passwort und Zertifikat oder nur mit einem leicht zu erratenden Passwort gesichert werden, weil es „einfacher“ ist;
• wenn sich niemand im Unternehmen für die OT-Sicherheit verantwortlich fühlt.

Dabei kommt die personelle Organisation der OT-Sicherheit oft zu kurz. Es mangelt dann an ausreichend technischer Prüfung. Ohne klare Verantwortung fällt die Priorisierung schwer, der Fokus geht verloren.

Denn eines sollten sich Betreiber von OT-Netzen stets bewusst sein: Ihre Infrastruktur strotzt nur so vor Sicherheitslücken und Schwachstellen. Das zeigen Schwachstellen- und Risikobewertungen von OT-Netzen in kritischer Infrastruktur und Industrie seit Jahren. Auch das BSI warnt regelmäßig in seinem Bericht zur Lage der IT-Sicherheit [4]. In über 90 % aller untersuchten OT-Netze fanden sich veraltete und verwundbare Firmware, Software oder Betriebssysteme sowie Schwachstellen bei der Authentifizierung, Protokollsicherheit und Systemkonfiguration (Abb. 1). Diese Bereiche der OT-Unsicherheit sind omnipräsent.