Dieses Feature steht nur eingeloggten Nutzern zur Verfügung.
Dieses Feature steht nur eingeloggten Nutzern zur Verfügung.
Industrielle Steuerungssysteme sind verstärkt Cyber-Angriffen ausgesetzt, die große wirtschaftliche Schäden verursachen können. Um sich vor solchen Angriffen zu schützen, ist Cyber-Sicherheit ein entscheidender Aspekt bei der SPS-Plattform AC500 von ABB.
Die Entwicklung industrieller Steuerungssysteme in den letzten beiden Jahrzehnten hat in vielen Branchen deutliche Veränderungen bewirkt. Betriebstechnik – vor allem von Industrieanlagen – ist zunehmend vernetzt. Die Integration von IT-Komponenten ermöglicht es Automatisierungsgeräten, Software zur Datenerfassung und -analyse zu nutzen, was zu einer verbesserten Leistung und zu „intelligenteren“ Maschinen führt.
Mit den damit verbundenen Vorteilen gehen jedoch auch Schwachstellen einher, so können sich etwa böswillige Akteure über Netzwerke Zugang zu kritischen Anlagen verschaffen. Die wachsende Erkenntnis, dass kritische Infrastrukturen, wie die Energie- und Wasserversorgung und der Verkehr, durch Cyber-Kriminalität bedroht sind, hat das Thema ins Rampenlicht gerückt. Hinzu kommt, dass die Nutzung von Drittanbietern und neuen Cloud-basierten Diensten zu zusätzlichen Risikobereichen führt.
Die gesetzlichen Anforderungen sind ebenfalls gestiegen. Es wurden Normen und Richtlinien geschaffen, um dem raschen technologischen Wandel Rechnung zu tragen. Für Unternehmen ist es jedoch nach wie vor eine Herausforderung, die erforderlichen Prozesse zu implementieren und die Mitarbeitenden auf dem neuesten Stand zu halten.
Die Bedrohung durch Cyber-Attacken wird immer vielfältiger und lässt sich in Zahlen fassen: Laut einer Studie des Digitalverbands Bitkom entsteht der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage ein Schaden von 206 Milliarden Euro pro Jahr. Eine weitere Zunahme von Cyber-Attacken wird erwartet, vor allem auf kritische Infrastrukturen. Das Deutsche Bundesamtes für Sicherheit in der Informationstechnik (BSI) mahnt deshalb eine erhöhte Resilienz gegenüber Cyber-Angriffen als eine Hauptaufgabe für die Wirtschaft an.
Die Entwicklung von Produkten zum Schutz vor Cyber-Angriffen wurde erst vor etwa einem Jahrzehnt zum Thema. Damals herrschte die Meinung vor, dass Produkte für industrielle Steuerungssysteme durch Isolierung und begrenzte Verfügbarkeit von technischem Wissen geschützt sind. Aufgrund der langen Lebenszyklen bestehender Anlagen, wird es jedoch einige Zeit dauern, bis sichere Komponenten flächendeckend eingesetzt werden.
Für steuerungstechnische Aufgaben in der Industrie hat ABB das Automatisierungssystem AC500 im Programm. Seit ihrer Markteinführung im Jahr 2006 haben sich die SPSen der AC500-Plattform in einer Vielzahl industrieller Anwendungen etabliert.
Gemäß den Konzernanforderungen von ABB dürfen nur Produkte und Leistungen auf den Markt gebracht bzw. Projekte realisiert und verkauft werden, die alle Anforderungen von ABB an die Cyber-Sicherheit erfüllen. So hat ABB auch Maßnahmen ergriffen, um die Sicherheit der AC500-Systeme gegenüber Cyber-Angriffen zu gewährleisten. Diese richten sich nach allgemein anerkannten Industriestandards und -praktiken und umfassen Robustheitstests, Schwachstellen-Scans sowie Sicherheitstests.
Cyber-Sicherheit ist ein entscheidender Aspekt bei der SPS-Plattform AC500 von ABB. (Quelle: ABB)
ABB verfügt über mehrere Zertifikate, die die Anstrengungen des Unternehmens für hohe Cyber-Sicherheit bescheinigen. So hat der TÜV SÜD den Standort in Heidelberg, an dem ABB die SPSen AC500 fertigt, nach der Norm IEC 62443-4-1:2018 (Anforderungen an den Lebenszyklus für eine sichere Produktentwicklung) zertifiziert. Das Zertifikat bestätigt, dass an dem Standort Secure-by-Design-Produkte nach diesem IEC-Standard entwickelt werden. Der TÜV SÜD hat des Weiteren die AC500 V3 und AC500-eCo V3 gemäß der Norm IEC 62443-4-2:2019 zertifiziert. Damit wird bescheinigt, dass diese Steuerungen der Produktfamilie AC500 V3 die technischen Sicherheitsanforderungen an Komponenten industrieller Automatisierungssysteme nach IEC 62443-4-2 erfüllen.
Der Heidelberger ABB-Standort wurde darüber hinaus durch Bureau Veritas auch nach dem Standard ISO 27001 für Informationssicherheits-Managementsysteme (ISMS) zertifiziert. Das Zertifikat benennt die Anforderungen an Einführung, Implementierung, Betrieb, Überwachung, Überprüfung, Wartung und Verbesserung von formalisierten Information-Security-Management-Systemen (ISMS) in Verbindung mit den übergreifenden Geschäftsrisiken einer Organisation.
ABB hat vor einigen Jahren außerdem ein unabhängiges Device Security Assurance Center (DSAC) mit zertifizierter Kompetenz eingerichtet, um die Sicherheit und Robustheit ihrer Produkte durch Sicherheitsprüfungen und Absicherungen vor deren Marktfreigabe zu testen. Das interne Security-Assurance-Center ist unabhängig von der Produktentwicklungsorganisation.
Die Produkte werden im DSAC den relevanten Robustheits- und Sicherheitstests unterzogen, einschließlich Port-Scanning, Netzwerküberflutung, Schwachstellen-Scans und Protokoll-Fuzzing. Der Robustheitstest wird mit verschiedenen kommerziellen und nicht kommerziellen Tools durchgeführt. Das DSAC bescheinigt mit Zertifikaten, dass die für die Cyber-Sicherheit relevanten Tests für die betreffenden Produkte vollständig abgeschlossen wurden und diese den Anforderungen an die Cyber-Sicherheit gemäß seiner Prüf- und Verifizierungsverfahren vollständig erfüllen.
Im Zuge des Entwicklungsprozesses wird bei allen speicherprogrammierbaren Steuerungen von ABB geprüft, wie sie auf Cyber-Angriffe reagieren. ABB testet die Robustheit jeder Firmware gegenüber solchen Attacken entsprechend Achilles Level I und Level II. Security-Zertifikate gemäß den Achilles-Levels, die der kanadische Cyber-Security-Spezialist Wurldtech vergibt, belegen die Cyber-Sicherheit der getesteten Komponenten. Im Rahmen solcher Tests werden bis zu 100.000 Szenarien durchlaufen. Nur wenn alle Tests keine sicherheitsrelevanten Schwachstellen aufweisen, darf das Produkt freigegeben werden.
Die SPS AC500 V3 bietet verschiedene Sicherheitsfunktionen, um sich bestmöglich in ein Automatisierungsnetzwerk zu integrieren. Insbesondere unterstützt die Steuerung das Sicherheitsprotokoll TLS, signierte Firmware-Updates und signierte Boot-Projekte. Als Teil des ABB-Sicherheitskonzepts sind bei der SPS standardmäßig nur die für die Ersteinrichtung und Programmierung erforderlichen Ports geöffnet und Dienste aktiviert, bevor eine Benutzeranwendung heruntergeladen wird. Unterstützt werden des Weiteren diverse sichere Server- und Client-Protokolle.
File Transfer Protocol (FTP) und File Transfer Protocol Secure (FTPS) werden für die Übertragung von Dateien zwischen Geräten verwendet. Die AC500 kann in diesem Fall als FTP-Server fungieren. Ein FTP-Client kann eine FTP-Sitzung eröffnen und Dateien auf der AC500 speichern und von dieser abrufen. Schwerpunktanwendungen sind große Überwachungs- und Diagnosenetzwerke, in denen zum Beispiel Tausende von Anlagen unabhängig voneinander ihre Daten an Server senden und Dateien mit Updates, Befehlen usw. abrufen können.
FTP weist jedoch Sicherheitslücken auf. Das Protokoll verwendet eine unverschlüsselte Datenübertragung, sodass Anmeldedaten und Dateiinhalte abgehört werden können. Seine Verwendung kann die Datenübertragung vielen Sicherheitsangriffen aussetzen. FTPS erfordert ein Zertifikat innerhalb der SPS und sollte daher bevorzugt werden.
Der in den CPUs implementierte Sicherheitsmechanismus der SPSen arbeitet bei allen Maschinen und Anwendungen zuverlässig, auch bei solchen in kritischen Infrastrukturen. (Quelle: ABB)
Das Protokoll OPC UA (Open Platform Communications Unified Architecture) wird häufig verwendet, um die Steuerungen and Leitsysteme anzubinden oder Prozess- und Gerätedaten zu Diagnosezwecken entsprechenden Analysesystemen zur Verfügung zu stellen. In den CPUs der AC500 V3-Produktfamilie ist das Protokoll mit den neuesten Sicherheitsmechanismen für eine sichere Cloud-Konnektivität und einen effektiven Datenaustausch implementiert. AC500 unterstützt TLS für die sichere OPC UA-Kommunikation. Außerdem wird ein Zertifikat auf der SPS sowie ein Client-Zertifikat benötigt, das ebenfalls auf der SPS gespeichert werden muss. In den Steuerungen sind außerdem zusätzlich HTTPS implementiert, um eine sichere Datenübertragung oder Visualisierung der integrierten HTML5-Webanwendungen zu ermöglichen.
Cyber-Sicherheit ist für Industrieunternehmen von zentraler Bedeutung. ABB nimmt daher Cyber-Sicherheit sehr ernst, und setzt konsequent Maßnahmen für eine hohe Sicherheit ihrer technischen Lösungen um. Dass schon kompakte Steuerungen einen guten Schutz vor Cyber-Angriffen bieten können, zeigt die AC500 V3-Produktfamilie von ABB, die viele Sicherheitsfaktoren erfüllt. Der in den Steuerungen implementierte Sicherheitsmechanismus arbeitet bei allen Maschinen und Anwendungen zuverlässig, auch bei solchen in kritischen Infrastrukturen.
