Folge 256 - Cybersicherheit in der Produktion: So schützt sich die Industrie

0:00 Diese, ich sag mal Mechanismen können eben Angriffsszenarien erkennen die ganz gezielt auf eine Schwachstelle eines ganz bestimmten Geräte oder Maschinentypen zum Beispiel abzielen. Die kann es erkennen und eben verhindern. das heißt wenn man sich das bildlich vielleicht vorstellt im Alltag Ich habe einen Dach und ich weiß da ist ein Loch Und ich kann das nicht so schnell flicken, dann kann ich doch beim Regen praktisch sicherstellen mit einem Regenschirm oder was auch immer mit einer kompensierenden Maßnahme.

0:25 Dass eben kein Regen in das Vorhandbeloch eindringt. und das sind genau die Themen, die wir anbieten. Das führt zu eine Erleichterung ja in der Produktion Maschine nicht zwingend austauschen zu müssen. dass wie gesagt Technologien stehen heute auf jeden Fall zur Verfügung. Hallo und herzlich willkommen zu einer neuen Folge von Technik aus Ohr.

1:03 Ich bin Christoph Ohr, bevor wir mit dem heutigen Thema starten habe ich noch eine Nachricht von Sarah für euch. Wir hören mal zusammen rein! Ja, das ist jetzt das letzte Mal weil ich auf diesem Wege euch sagen möchte dass meine Abschiedsworte sind für Technik auf's Ohr. Weil für mich ein neuer Weg beginnt, ich beruflich eine neue Herausforderung angenommen habe und ja deswegen jetzt natürlich schweren Herzens hier meinen Abschied einsprechen Und gerade nochmal so ein bisschen Revue passieren lasse.

1:43 also Ich bin da von Folge Eins mit dabei und durfte diesen Podcast groß machen, ich durfte ihn ins Leben rufen den mitbegleiten, ich durfte ihn moderieren. Also mehr als ich mir eigentlich jemals so erträumen konnte. und ich kann auf jeden Fall sagen dass Technik aufs Ohr einen ganz ganz festen Platz in meinem Herzen hat weil es beruflich auf jeden fall eins mal nach Highlights darstellt die ich bislang betreuen durfte und mitgestalten durfte.

2:08 ja deswegen möchte ich einfach auch mal ein großes großes danke schon an euch da draußen aussprechen weil wenn das euch nicht gebe dann würde es natürlich Technik aus Ohren der Form jetzt auch nicht geben. Ich glaube, so circa sieben Jahren immer noch so etabliert sind in der Podcastwelt. Aber generell auch in der Verbands- und Technikwelt.

2:26 Das ist schon etwas ganz, ganz Besonderes muss ich sagen. Und das gilt natürlich auch euch dass ihr euch ja so gerne den Podcast anhört, dass ihr uns Feedback gegeben habt und uns die Treue gehalten habt. Das bedeutet mir auf jeden Fall super viel! Und ja, ich bin da sehr, sehr stolz drauf auf dieses Projekt.

2:43 Was damals auch im Ford E-Verlag angefangen hat und auch grüße nochmal an die dortigen Kollegen von damals. Das war einfach eine super Gemeinschaftsaufgabe damals und es hat einfach super, super viel Spaß gemacht. Auch wenn ich in meiner Zeit zwei Co-Hos ja verschlissen habe, gehen noch mal die Credits raus an Ike Röckel zu Beginn mein Co-Host und natürlich an Marco D'Adumo oder ja schon zuvor Ja, auch dem Podcast hier mit mir immer schön moderiert hat, aber dann eben mit Wohlstand gegangen ist.

3:12 Und ja es war einfach eine super, super tolle Zeit! Es war richtig genial und wir haben so viel erlebt. Wir haben mit so vielen tollen Gästen gesprochen. Wir hatten so viele Techniktrends kennengelernt, wovon man vorher irgendwie noch gar keine Kenntnis hatte und auch so viel Entwicklung mitbegleitet.

3:26 Wir waren auf Live-Podcasts, auf Messen... Wir haben Vorträge gehalten in Berlin. also das waren wirklich super viele Erlebnisse die ohne euch natürlich auch gar nicht umwie möglich gewesen wären. Ja und jetzt möchte ich gar nicht so viel ins Labern kommen, sondern einfach noch bei Dankeschön sagen für die tolle Zeit.

3:42 Und ich wünsche natürlich Technik aufs Ohr dass noch ganz viele Folgen kommen. bleibt dem Format doch bitte gerne treu und ja bleibt der Wissenschaftskommunikation treu. das ist ein sehr wichtiges Feld und es hat einfach immer sehr viel Spaß gemacht! Ja vielen dank. und dann gebe ich jetzt mal zurück an Christopher.

4:00 Vielen Dank liebe Sarah für deinen jahrelangen Einsatz und ich wünschte natürlich auf diesem Weg auch alles Gute für deine nächsten Aufgaben. So, und jetzt kommen wir aber zu unserem heutigen Thema. Heute geht es um etwas das lange eher stiefmütterlich behandelt und als IT-Problem abgetan wurde. Stellt euch mal folgende Situation vor!

4:17 Es ist Montagmorgen in einer Produktionshalle in Deutschland. die Frühschicht kommt, die Mitarbeitenden wollen die Maschinen hochfahren... Aber nichts passiert denn in der Nacht hat sich lautlos jemand Zugang verschafft Nicht durch eine aufgebrochene Tür, sondern durch eine digitale Hintertür. Jemand ist unbemerkt ins System gelangt und hat sich dort umgesehen und schließlich die Produktion lahmgelegt.

4:37 Kein Produkt verlässt mehr die Halle, die Maschinen stehen still – und niemand weiß so genau wie lange diese digitale Tür eigentlich schon offen stand! Genau darum geht es heute um industrielle Cyber-Sicherheit oder etwas technischer um Operational Technology Security kurz auch OT Security genannt Und auf diesem Gebiet kennt sich mein Gast Westens aus Heiko Adamczyk, ist Diplom-Ingenieur der Elektrotechnik und über Forschungsinstitute in TÜV Süd gelandet.

5:03 Er verantwortet das Thema OT Security beim Cybersecurity Anbieter Fortinet. Darüber hinaus engagiert er sich intensiv in der Gremienarbeit und arbeitet unter anderem bei der DKE und beim VDI an Normen und Richtlinien mit. Herzlich willkommen bei Technik aufs Ohr Heiko! Vielen Dank erstmal für die Einladung, muss man ja mal immer vorausstellen und das freut mich eben.

5:22 Das war das Thema OT Security. du hast es richtig gesagt, wir haben uns auch das Duo einig by the way dass ich immer ganz gut finde im IT Bereich ist das tatsächlich so ein bisschen Sprachebrauch weil man ist letztendlich an einer Community verordnet Man muss das Thema gemeinsam bearbeiten, man isst da kein Einzelkämpfer und das ist auch ganz wichtig so.

5:39 Ansonsten hast Du alle schon richtig gesagt Heiko Damschik mein Name Ich bin bei Fortinet der Zeitetik vier Jahre im Unternehmen Betreue hier in dieser Firma den Dachraum, also sprich Österreich, Schweiz und Deutschland. Und mein Schwerpunkt ist natürlich die OT aber zunehmend eben auch die Compliance über diese Themen heute ziemlich ausführlich sprechen.

6:00 Ganz genau! Du beschäftigst dich ja mittlerweile schon seit fast zwanzig Jahren mit industrieller Sicherheit? Wenn du jetzt so auf diese Zeit zurückblickst wie stark hat sich denn die Bedrohungslage verändert? Ja gut, die Bedrohungslage hat sich natürlich schon massiv geändert. Vor zwanzig Jahren sind wir ganz ehrlich, da haben wir das Thema wirklich in einer ganz kleinen Gruppe eigentlich angefangen zu bearbeiten.

6:19 Ich war ja auf glücklichen Situationen ja schon durch Forschungsprojekte mit dem Thema recht früh Berührung zu haben. Konkret gab es ja Forschungs-Projekte eben zum Bereich der Ethernet basierten Feldbusse und Wireless war dann ein Thema und ja an diesem Zusammenhang eben auch das Thema Security immer mehr Relevanz bekommen Und dem habe ich mich halt angenommen seiner Zeit und das eben auch aus der Forschungsseite bearbeiten dürfen.

6:43 Das war im Grunde genommen auch genau mein Einstieg, also mit diesen ersten Forschungsprojekten und dem Wissen was sich da aufgebaut hat dann zum VDI gelaufen sozusagen und hab das Thema dort eben auch platziert und es gab so einen Workshop damals in Summe. Das heißt wir haben versucht mal das Thema Security zu beleuchten von verschiedenen Schnittstellen Blickwinkeln aus und haben festgestellt, dass wir hier im Bedarf haben.

7:07 Gerade durch die Ethernet-basierte Technologie und Funk in der Industrie hat man festgestellt das Security ein Thema sein wird und dass wir das rechtzeitig angehen. Also sich dann die Zahl der Angreifahrer und der Bedrohungsmöglichkeiten verändert in den letzten Jahren? Und zugenommen vielleicht? Das war ja auch genau die Frage.

7:25 Also sprich, wie hat sich denn letztendlich das Angriffspotenzial verändert? Wer so wie seit zwanzig Jahren sind wir da unterwegs haben eben klassisch mit einer Richtlinienarbeit begonnen und haben gemerkt okay richtige Angriffszenarien gab es seinerzeit also wir reden ja von zwei tausend fünf zweitausend sechs herum gab es eigentlich gar nicht Es war ja alles Akademikanatur und haben dann aber eben im Laufe der Zeit, und zwar genau mit zwei Tausend Szenar kann ich mich auch noch ziemlich gut erinnern.

7:51 Eben den ersten Vorfall gehabt in dem Industriebereich – und zwar Staxnet! Sollte eigentlich allen heute auch noch ein Begriff sein, obwohl wir ja wie gesagt schon fünfzehn Jahre weiter sind, aber StaxNet war für mich praktisch eigentlich der initiale, der erste bekannte Angriff, der ihm eine gewisse Dimension hatte Und eben auch genau, ich sag mal ja seinerzeit Siemens hier gerade so ein bisschen in den Vorlergrund spielte und damit ist natürlich das Thema Security praktisch über Nacht durch die Decke gegangen.

8:18 Das heißt wir haben den ersten echten Angriff gehabt. Wir haben auch geschaut dass wir unsere bis dato erarbeiteten Ideen und Methodiken eben auch jetzt sich hier nochmal weiter ausformulieren und auch noch einmal gegenprüfen und haben ihm festgestellt, dass doch noch einiges zu tun ist. Und wir eben tatsächlich mehr inhaltliche Arbeit, also sprich mehr Normierung, Standardisierung betreiben müssen um eben standfest zu werden, um den nächsten Angriffe letztendlich auch eine gewisse Resilienz gegenüberstellen zu können.

8:48 Das war am Anfang letztendlichen auch im Jahr zwei tausendzehn mit Staxnet wirklich ne lange Reise. Haben wir natürlich auch professionellisiertes Verhalten, das heißt die Angriffsseite hat sich professionalisiert. Wir haben aus meiner Sicht tatsächlich auch eine gewisse, ich sag mal einen Einkommensformen auch hier generieren oder gesehen.

9:08 Das heißt man kann eben mit Hacking auch tatsächlich Geld generieren und dann durch den hohen Automatisierungsgrad, durch KI basierte Tools aber da werden wir später noch drüber sprechen. Haben wir heute ein Potenzial was schon wirklich sehr ausgereift ist. Und das ist einfach das, was man eben heute tatsächlich im Sinn des Risikomanagement besprechen muss und das sind Themen die sich letztendlich auch jeder, der eine Firma hat oder letztendliche Wirtschaftspfung in der OT sit mit dem er sich beschäftigen muss.

9:40 Noch mal ganz kurz zurück zum ersten Angriff von dem du gerade erzählt hast weil ich das ganz spannend finde. Was ist denn da genau passiert damals? Ja, Staxnet das waren eben im Iran praktisch sozusagen eine Anlage die eben praktisch durch Zentifogen und so weiter im Urananreicherung erzeugte. Das war meines Wissens nach eben die Applikation dahinter also sprich etwa staatliches etwas militärisches und mit einer bestimmten Bedeutung.

10:07 Und hier hat man eben natürlich im Versuch, diese Anlagen zu stören. Da gab es eben den Stuxnet-Virus und ich will jetzt auch nicht weiter drauf eingehen, wer die Drahtzieher dahinter war usw. Das ist ja doch eine ziemlich hinreichende politische Diskussion. Aber nichtsdestotrotz wurden diese Anlagen manipuliert.

10:24 Der Virus hat dazu geführt, dass es zu Störungen kamen und auch zu Ausfällen kamen in dieser Oran-Anreicherungsanlage. Damit wurde praktisch die Produktion zum Stillstand oder zumindest zur Störung gebracht. Jetzt hast du ja gerade auch schon gesagt, das Gefahrenpotenzial hat dann in den letzten Jahren zugenommen.

10:42 Haben denn die Unternehmen im gleichen Maße dann auch mitgezogen was das Thema Cyber Security angeht? Also mitgezogen muss man sagen Ja schon zum Teilen weil eben auch durch unsere Arbeit natürlich in aller Linie sprich die richtigen Arbeit, auch dann natürlich die Normung und Standesierungsarbeit natürlich schon ihre Früchte getragen hat.

11:01 Das heißt wir haben Dokumente erzeugt, das heißt die ersten Standards zum Beispiel im Multi-Bereich, die IC-C-PCC-FIVIII wurde entwickelt und hat sich eben auch in der Folge etabliert auf dem Markt. aber wenn man ganz ehrlich sein darf war die Umsetzung der Umsetzungsgrad noch sehr geringen und auch überhaupt die Anwendung in den Firmen war doch noch sehr wenig.

11:21 Und das muss man schon sagen, was hat sehr lange gebraucht bis eben die Bedeutung des Themas Security wirklich in den Firmen, ich sag mal einen Stellenwert bekommen hat. Dass man doch Security als eines der wesentlichen Themen gesehen hat. Was ganz klar aus meiner Sicht der Treiber war ist eben die Regulierung.

11:39 Das heißt, die Regulation hat hier ein Riesenpusch in den Markt gebracht. vorher dieses gut will. Ich beschäftige mich mal mit Security, weil ich das für mein Unternehmen als wichtig eracht oder vielleicht sogar schon Opfer geworden bin und demnach eben in der Folge auch mich mit Security beschäftigen muss.

11:54 Es war glaube ich die Regulierung, die noch mal in den letzten Jahren ordentlich Druck auf den Kessel gebracht hat und ihm jetzt dazu gefolgt hat dass eben der Security am Ende des Tages doch in den regulierten Unternehmen zum das halt Eingang gefunden hat. Wenn wir über Cyber-Sicherheit sprechen dann haben viele so einen Klares Bild vor Augen.

12:11 Man denkt erst mal an Virenscanner, Passwörter oder auch Firewalls? Was braucht es denn aber konkret um eine Produktionsumgebung gut zu schützen und welche Maßnahmen und Technologien spielen da in der OT eine Rolle? Ja das ist natürlich ne sehr große Frage die du dort stellst ja. Die kann man natürlich auch endlos beantworten.

12:29 Aber was sind dann die ersten Schritte? wenn ich mal ganz ehrlich sein darf aus den Erfahrungen raus ist für mich der erste Schritt eigentlich die Transparenz. Das heißt ich muss schon irgendwie wissen Mit was ich das in meiner Produktion zu tun habe, also welche Geräte, Steuerung, welche Kommunikationswege überhaupt existieren.

12:44 Das sind schon Themen die muss nicht erst mal wissen. und witzigerweise, zumindest meine Feststellung in den letzten Jahren liegt hier auch die Crux begründet dass eben genau solche, ich sag mal Informationen über Geräten, über Netzwerk- und Kommunikationinfrastrukturen hinaus praktisch nicht vorliegen.

13:03 bei der Betreiberseite zumindest. Das heißt der Betreiber, der ja hier oft in der Pflicht steht das zu tun sprich Risikomanagement einzuführen hat diese grundlegende Transprenz gar nicht da. Und da stelle ich ihm fest und das ist auch gleichzeitig der Hinweis den ich oft in dem Kunden Gesprächen und Diskussionen eben auch gebe es, denn kümmert euch doch mal oder fragt doch mal einfach eure Lieferanten!

13:26 Dann gerade die Lieferanten, gerade die Systemlieferanten sei es denn eben ein Siemens Einführungskontakt und wie sie alle heißen. Die einfach letztendlich die Anlage auch beiliefern haben solche Informationen in der Regel. oder auch die Integratoren natürlich, die ich beauftrage bei einer Anlage zum Beispiel zu bauen und Teilanlage haben solche Information.

13:46 Und das ist genau die Datenbasis diesem einfach braucht um überhaupt das Thema Security beginnen zu können. Und wenn ich denn diese Datenbasis eben einmal habe, ob ich sie selber generiere durch, ich sag mal, Zugau von Werkzeugen die es ja gibt um Assets Management selber betreiben zu können oder eben auch durch die Frage der Lieferanten dann kann ich eben anfangen tatsächlich meine ersten Sicherheitskonzepte zu erarbeiten.

14:10 Ich kann dann eben über Segmentierung klassischerweise das ist aus meiner Sicht der erste Umsetzungsnahe Schritt eben tatsächlich um eine Infrastruktur etwas strukturieren, das heißt ich kann sie im Sinne der Security strukturiert. Kann also Netzwerkszonen einrichten die im Falle zum Beispiel eines Angriffs dazu helfen dass sich der Virus zum Beispiel nicht über die gesamte Anlage sehr schnell ausbreiten kann.

14:33 Fernwartungsthemen sind für mich dann so weitere Schritte denn wir wissen ja selber doch heute auch in dem Sinne der zunehmenden Vernetzung und Themen wie Industrievier Null usw.. Cloud-Anbindung natürlich hier eben auch die letztendlich Kommunikation wichtig ist mit externen Netzwerken, wie Cloud-Netzwerken oder eben einen Zulieferern und deswegen muss ich mir Gedanken machen über die sicheres Veranwartungen.

14:56 Das sind so Schritte, die ich im Grunde genommen als die ersten sehe und denen man auch sehr schnell eigentlich eine gewisse Grundsicherheit sogar rein bekommt. Du hast gerade schon gesagt, es hat sich auch einiges getan in den Unternehmen bei dem Thema. Aber ein Grund warum Unternehmen beim Thema Security vielleicht auch manchmal so n bisschen zögern sind natürlich die Kosten, die ja auf jeden Fall da sind und gleichzeitig bringt Cyber-Sicherheit nicht direkt einen Umsatz.

15:21 Das ist aber wahrscheinlich so ein bisschen zu kurz gedacht ne? Da hast du recht, natürlich klar. Es ist immer ein Kostenfaktor weil wenn man ganz ehrlich sind, Security ist ja keine Nutzfunktion als euch ist und ich kann damit nicht mehr generieren. Ich kann nicht irgendwie höher weiter schneller werden in meiner Produktion Da muss man einfach ehrlich miteinander sein, das ist letztendlich eine Sicherheitsfunktion.

15:41 Wie wir es hier auch aus dem Bereich der Funktions hilft ihr ja schon kennen? Das heißt ich habe eine Funktion die praktisch letztendlichen einfach zur Sicherheit da ist und immer am Ende des Tages eben eine gewisse Resilienz für mich bringt. Und diese Resilience am Ende dieses Tages kann ich ja schon irgendwo beziffern.

15:57 Ich sag mal so Begrifflichkeiten wie Rosi, Return of Security Investment zum Beispiel wo man den eben versucht hier auch letztendlich ja zu kalkulieren. Wiedern letztendlich mein Aufwand an Security-Maßnahmen, welche Kosten hier verursacht werden. Und man stellt sie natürlich den möglichen Schutz gegenüber.

16:21 Das heißt wenn eben ein Angriffsszenario vermieten wird dann kann ich auch damit sicherstellen dass man Produktion läuft und der Produktionsauffall wird vermieten. oder das kann nicht alles beziffern. Also sprich letztendling ist es eigentlich eine rein wirtschaftliche Kalkulation wenn man ehrlich sein darf.

16:36 Es geht darum um Dinge zu verhindern wie ein Produktionssch.. der ja mit Kosten verursacht ist und dem muss ich natürlich auch die Maßnahmen, die ich dafür ergreife, natürlich auch gegenüberstellen. Das muss irgendwo eine Waage sein ne? Es kann nicht irgendwo sein dass sich mehr eigentlich praktisch investieren muss.

16:51 Ja also sprich meine Maßnahmen sind teurer als das was ich damit erreiche nämlich den Produktionsstillstand. Da muss man ehrlich sein. das ist denn eben aus meiner Sicht eben auch ein Stufenplan sprich also ein interatives Modell. Ich muss also schauen mit geringen Maßnahmen erst mal schaue, was ich erreiche und wenn das eben nicht ausreichend ist im Zweifel nochmal nachfasse um einfach letztendlich die Waage irgendwie in das Gleichgewicht zu bekommen.

17:17 Dann nehmen wir mal an, wir haben ein alteingesessenes Unternehmen dass vielleicht schon seit Jahrzehnten produziert und inzwischen dann auch erkannt hat Wir müssen beim Thema Cyber Sicherheit etwas tun. Dann schaut man sich die Software des Unternehmens in der Produktion an und findet Systeme deren Software dann teilweise älter ist als die Mitarbeitenden die heute dann davor stehen.

17:36 Wie groß ist denn das Risiko, weil so alten Systemen? Ja, das Risico muss man ganz ehrlich sein natürlich schon ein Stück weit auch groß. aber man muss ja schon einem auch sagen dass ja wie du es richtig gesagt hast wir ja auch Maschinen teilweise oder auch nur Geräte vorfinden die durchaus ihr Alter haben.

17:54 lasse es zehn mehr als zehn Jahre sein gibt es vielleicht gerade nicht für diese geräte Angriffe beziehungsweise bestimmter Ja, Angriffsform. Also sprich das Potenzial ist eigentlich gering. Aber ist es so? trotz natürlich ist jede Schwachstelle immer ein Risikopotential oder birgt ein Risikkopotenzial und das muss sich ja auch behandeln.

18:14 Das heißt gerade die Regulierungsthemen nicht kurz aufgerufen haben fordern das hier auch nach dieses Risikomanagement und dazu gehört eben auch dass Behandeln von Schwachstellen Und grade Allsysteme sind natürlich prädestiniert für solche schwachstellen müssen behandelt werden. aber was da passiert in der Folge ist dass er viele gerade Ich sag mal IT ausgebildete Security Experten natürlich dann in die OT einrücken und der Peinung sind.

18:39 Man muss denn sehr schnell austauschen, also sprich wenn man so eine Schwachstelle in Altgeräten findet und man merkt man kann sie eben nicht patchen ja weil ihm kein Patch verfügbar ist oder einfach ein Update überhaupt gar nicht vorgesehen für die Maschine, weil sie so alt ist dass sie einen Update-Mechanismus gar nicht implementiert hat.

18:55 Ja da muss ich natürlich irgendwie schauen wie kann ich dort mit anderen Lösungen letztendlich sicherstellen das die Maschinen trotz ihrer Schwachstellen weiterhin sozusagen am Leben bleibt? und das ist so glaube ich der große Unterschied zwischen IT und OT. Also sprich, die IT versucht schon schnell eigentlich zu updaten und wenn das nicht möglich ist eben Dinge auszutauschen.

19:16 Das kann man in der OT halt so nicht machen. Das heißt hier muss man eben schauen ob es nicht andere Möglichkeiten gibt diese Dinge letztendlich zu behandeln. Was kann man natürlich tun weil Technologien stehen ein heute auch zur Verfügung? Das heißt einen Austausch ist ja wirtschaftlich nicht immer realistisch und sinnvoll und es gibt im Maßnahmen die das auch verhindern.

19:35 Was sind das für Maßnahmen? Gute Frage natürlich. Fühle ich mich auch sehr wohl, weil wir eben auch so was letztendlich versuchen unseren Kunden anzubieten und zu erklären dass es solche Maßnahmen gibt. Das sorgt natürlich für ein gewisses Ausaufatmen. Sprich Investitionsschutz kann gesichergestellt werden Maschine muss nicht ausgetauscht werden.

19:56 Und wie passiert das heute in der Regel? Wir machen das praktisch über das Monitoring Schauen schon zu, dass eben die Schwachstellen hier beobachten in den Maschinen oder Geräten letztendlich. Da gibt es entsprechende Maßnahmen, die man in Firewalls implementieren kann. Intusion Detection zum Beispiel, IDS, wenn man den Begriff schon mal gehört hat, das sind jetzt endlich die Mechanismen, die dahinter stehen.

20:21 und diese, ich sage mal, Mechanism können eben Angriffsszenarien erkennen, die ganz gezielt auf eine Schwachstelle eines ganz bestimmten Geräte oder Maschintypes zum Beispiel abzielen. Die kann es erkennen und eben verhindern. Das heißt wenn man sich das bildlich vielleicht vorstellt im Alltag ich habe einen Dach und ich weiß da ist ein Loch und ich kann das nicht so schnell flicken dann kann ich doch beim Regen praktisch sicherstellen mit dem Regenschirm oder was auch immer mit einer kompensierenden Maßnahme dass ihm kein Regen in das vorhandene Loch eindringt.

20:50 Das sind genau die Themen die wir anbieten Und das führt eben zu einer Erleichterung in der Produktion, Maschinen nicht zwingend austauschen zu müssen. Wie gesagt sind Technologien stehen heute auf jeden Fall zur Verfügung. Es gibt in diesem ganzen Themenkomplex Cyber-Sicherheit und OT Security auch ein Phänomen, dass vielen vielleicht gar nicht so bekannt ist – das sogenannte Patchdilemma!

21:13 Kannst du das vielleicht einmal kurz erklären was es damit aus sich hat? Ja gut, das Dilemma. Das hatte ich ja kurz angerissen weil wir einfach letztendlich doch an dieser Stelle zumindest einen großen Unterschied zwischen IT und OT haben. also was ich auch gesagt habe natürlich haben viele Altgeräte eben gar kein Update Mechanismus oder die Firma die das produziert hat vor vielen Jahren ist vielleicht gar nicht mehr da oder durch den Zug auf eben verändert und die Maschine ist eben aus dem Service gefallen aus der Betreuung gefallen bietet letztendlich damit auch keine Patches mehr an.

21:43 Also sprich, da sieht man auch schon dass die ganz anderen Lebenszykler eine Motiebereich das sich dort eben einfach das Thema Patchmanagement anders behandeln muss. Das zweite natürlich ist ihm auch ja, wenn ein Patch doch existiert ich das in der Routine natürlich auch ganz anders Hand haben muss im Alltag.

22:02 Das heißt in IT geht man ja relativ schnell davon aus so ein Gerät eben Patch zur Verfügung steht eben relativ schnell einzuspielen, was oftmals mit einem Neustart verbunden ist. Und das sind zum Beispiel Themen die so in der OT in der Regel nicht stattfinden können. Das heißt ich kann nicht einfach eine Maschine mal während der Produktion neu starten.

22:21 Das geht einfach nicht. Da kann man uns alle vorstellen, was dann passiert? Die Produktion wird dann sicherlich erstmal stillstehen für ein Zeit-Tee oder das ganze System muss erst einmal wieder hochgefahren werden. Ergo Man versucht denn eben solche Patches eben den Wartungsfenstern einzubauen. Und da kommt dann das Dilemma eben auch schön zum Vorschein, wenn wir eben bestimmte Produktionsprozesse haben.

22:42 Gerade im Bereich der Prozessautomatisierung habe ich eine Regelprozese die sehr lange dauern. Das heißt durchaus ein Wartungsfenster erst in zwei drei oder mehr Monaten zur Verfügung steht wo ich diesen besagten Patch einspielen kann und können uns alle vorstellen dass in dieser Zeit natürlich dieses Risikopotenzial besteht und ich gucken muss wie ich mit dem Risiko dahin halt umzugehen habe.

23:08 Das ist dann so ein Dilemma, damit muss man umgehen können und das macht eben ganz klar dass hier der Unterschied zwischen IT und OT doch sehr deutlich ist. Wir sprechen hier bei Technik aus Ohr ja immer über ganz viele verschiedene Themen und haben ganz unterschiedliche Gesprächspartnerinnen und Gesprächspartner.

23:23 Und ein Thema, das in letzter Zeit immer häufiger aufkommt und eigentlich in jeder Folge dabei ist, ist das Thema künstliche Intelligenz. Ich kann mir gut vorstellen, dass es beim Thema Cyber-Sicherheit auch eine sehr große Rolle spielt oder? Natürlich spielt es das keine Frage, woher. KI ist ja auch dafür da dass uns das Leben auch etwas erleichtert wird.

23:40 Gerade für die Standardprozesse die Aufgaben Big Data so kenne ich das hier auch im Security Bereich immer schon Thema gewesen. Warum ist das der Fall? Wir haben ja mit vielen, vielen Daten zu tun letztendlich. Das heißt aus unserer Infrastruktur, die da draußen sozusagen bei den Kunden läuft, ziehen wir eben auch entsprechende Daten.

24:01 Wir müssen lernen und sehen was dort passiert. Angriffsmuster erkennen, die auswerten und Gegenmaßnahmen erzeugen. Das sind Dinge, die passieren und benötigen Daten. Und diese Datenmengen am Ende des Tages natürlich in der Infrastruktur bedingen eben auch den Einsatz von zumindest Machine Learning Methoden oder bis hin zu KI, um das Ganze letztendlich auch automatisiert bewerkstelligen zu können.

24:26 Das heißt wir setzen natürlich klar auch im Security-Bereich KI weitestgehend ein. Anders muss ich ganz ehrlich gestehen und kommt man gar nicht mit dem Big Data usw. hinterher. Aber auf der anderen Seite, und das ist dann die dunkle Seite der Macht. Der setzt natürlich auch sozusagen der Gegenspieler, also der Swed-Aktor sozusagen, der Angreifer eben auch KI ein.

24:47 Und warum? Weil er wird natürlich auch damit effizienter! Ich hätte im Eingang ja auch gesagt dass die Angriffe ja schon viel intelligenter werden und vor allem auch viel schneller werden. und warum sind sie das? weil Sie eben genau KI einsetzen zu nehmen. Damit wird es mehr automatisierter, schneller eben auch gefluxter.

25:04 Und wenn man sich mal zum Beispiel BSI-Berichte anguckt gerade zum Thema KI's was da gerade passiert oder um auch gerne unseren Threadlandscape-Reporten an sich anschaut dann sieht man eben halt Pishingmails gibtfähig Anrufe als auch Videos sind praktisch Stand der Technik. Und wie gut ist das Ganze geworden?

25:26 Kann ich nur Beispiel nennen. Die Fake-Videos hatte ich gerade eben auch mal aufgezählt, werden gerne verwendet und zum Beispiel gewisse Identitätsprüfung bei Banken oder sowas zum Gehen. Da habe ich doch oftmals genau die Situation wenn ich neue SIM-Karte kaufe oder beim Banking da etwas tue dann muss sich ein Anruf tätigen und eine Nummer durchgebe mit meiner Stimme oder eben grad das Video mit meinem Gesicht.

25:48 Das kann man heute in einer Güte natürlich auch nachahmen durch MKI-gestützte Werkzeuge, die so eine hohe Qualität haben. Dass man eben tatsächlich Identitätsprüfung umgehen kann und das hat eben eine Qualität letztendlich eine Angriffsqualität. da muss man halt schauen wie man da was man dagegen überstellt.

26:06 Du hast gerade beide Seiten schon beleuchtet also einmal eben wie KI beim Schutz helfen kann oder eben auch eine neue Bedrohung ist. Wie würdest du das Ganze so bewerten? Also es ist eher ne Chance oder ein Risiko für die Cyber Security. Es ist eher eine Chance natürlich, wenn ich KI einsetze und um letztendlich KI-basierte Angriffsmethoden und Szenarien etwas gegenüberzustellen zu können.

26:29 Ist für mich die Frage auch klar? Ich muss KI einsetzen. Gleiches mit gleichen wie man so schön sagt. Natürlich ist nicht immer die große Preisfrage. Wie weit treibt man das Ganze? Und wenn man merkt dass durch die entsprechenden Angriffe, die ja auch durch KI basierte Werkzeuge stattfinden Rensumwehr ist ja immer noch ein großes Thema, muss man ganz ehrlich gestehen.

26:51 Da generiert man ja auch, ich sag mal schon, massives Geld. Das heißt, man fährt wirklich Geld ein. damit hat man wiederum letztendlich auch finanzielle Mittel um solche Technologien auf der Angriffsseite weiterentwickeln zu können. Das heisst das ist dann schon so ein Katze-Maus-Szenario. Ich muss schon schauen wer es jetzt hier schneller und muss eben auch auf unserer Seite also sprich Security-Seite, Indikatechnologie möglichst hinterherziehen.

27:20 Ansonsten habe ich irgendwo immer ein Gap und das Gap ist immer schwierig zu handhaben. Das sind so Dinge wie jetzt endlich auch unseren Alltag bestimmen. Jetzt haben wir in den letzten Minuten schon ganz viel darüber gesprochen, wie man bei bestehenden Maschinen Sicherheitslücken schließen kann, Angriffsmuster erkennen kann... Die beste Lösung wäre natürlich Sicherheit von Anfang an mitzudenken also nach dem Motto Secure by Design Klingt jetzt auch erstmal logisch, aber inwieweit ist dieses Prinzip schon in den Unternehmen angekommen und wird das so gehandhabt?

27:48 Ja da spulen wir doch noch mal zwei drei Jahre zurück. Wenn ich ehrlich sein darf. gute Frage im Übrigen weil letztendlich geht es ja darum dass man Security nicht nachträglich... Ich bezeichne's immer gerne als Balkon oder Pflaster-Lösung. Ich klebe das mal irgendwann drauf. Das geht nicht wirklich.

28:04 Wie war ja schon so ein Stück weit auch aus dem Functions-HIFTY Bereich, also sprich auch nach Risikodomänen mit der eigentlich die OT schon recht gut umgeht und eben auch sehr viel Erfahrungswerte hat – so ist das Security Thema gleichermaßen. Ich muss es per Design praktisch in meiner Komponente, meinem System berücksichtigen.

28:21 Wie ist die Umsetzung stand? Da würde ich sagen, denn auch vor zweiter Jahren da blicke ich mal zurück und gucke auf viel viel Papier. Also sprich die VDI Richtlinien, die wir seinerzeit gebaut haben zum Beispiel das Blattvier der einundzwanzig zwunachzig Richtlinie Hatte genau das Thema Security Design ja auch schon definiert und beschrieben.

28:39 Das war eher eine homöopathische Wirkung, wenn man ehrlich sein darf. Ich habe das kaum auf dem Feld gesehen. Da haben sich wirklich nur wenige Firmen letztendlich die, die an der Richtlinie mitgeschrieben haben oder aus den Meeren Dunstkreis. Die haben sich natürlich dem Thema angenommen aber in der breiten Masse nein.

28:55 Und was haben wir jetzt? Eine geänderte Situation ist auch gut so... Ja, der Regulator hat das eben erkannt dass die Umsetzung gerade eben so recht gering ist trotz der Verfügbarkeit solcher Richtlinien und Standards. Und hat ihm den Ganzen ein bisschen Druck beigemessen nämlich im Form des Cyber Resilience Ektes.

29:12 Und es ist genau praktisch das große Thema. moment für alle ich sag mal Komponenten und Systemlieferanten. wo Software Bestandteil ist sagt man ja auch so Komponente mit digitalen Elementen so schön so heißt das M-Wording dieses genannten CRA. Und Secure by Design ist praktisch hier eigentlich das wesentliche Element.

29:29 Dieses wesentlichen Element hat durch den CA jetzt Gesetzescharakter bekommen. Das heißt, jede Firma muss quasi die im Scope letztendlich der CA agieren und sich mit Secure By Design halt bemühen. Das sehen wir ja auch auf dem Markt. Da ist also ganz viel Praktisch-Emsigkeit angesagt, d.h., die Firmen, die im Scoop des CA sind müssen Secure BY Design realisieren.

29:51 Jetzt haben wir es ja in der Anmoderation auch schon erwähnt. Dein Schwerpunkt liegt ja maßgeblich in der Governance, insbesondere bei Richtlinien und Normen für Cyber Security. Da vielleicht mal so ein bisschen provokant gefragt kommen die Nomierung und die Standardisierung dann überhaupt hinterher Bei diesen ganzen Gefahren, die sich auch immer weiterentwickeln?

30:11 Das ist die Frage nicht immer wieder höher. Ja wie macht ihr das eigentlich? Also haut ihr denn jedes Jahr deine Liste an Standards raus um genau dem den Weiterentwicklungen auf der Angriffsseite auch gerecht zu werden und hinterherzukommen. letztendlich, ich sag mal ja hin. So klassische Antwort ganz präzise kann man was mit anfangen.

30:31 Ich würde mir eher sagen schon die Tendenz geht in Richtung Ja wir schaffen das warum? Weil am Ende des Tages geht es eigentlich um Methoden Erfahrungswerte. Ich hatte auch vorher so ein bisschen diese Vernetzung angesprochen und damit gesagt man ja Security braucht eine Vernetzung sie braucht eigentlich eine Community Es geht hier um geteiltes Wissen.

30:50 Und so ist das eben auch in Standards zu sehen, d.h., wir versuchen tatsächlich das Wissen in den Standards so zu beschreiben dass wir letztendlich zunächst sogenannte horizontale Standards definieren. und die genannte IEC-OSC-ILVIII ist ein gutes Beispiel glaube ich. Einer! Horizontale Normen, die sehr generisch das Thema beschreibt.

31:11 Die mehr mit Methoden und Beispielen erstmal auch versucht das Thema letztendlich greifbar zu machen und eben den Schwerpunkt in der Prozess Seite sieht. Prozesse also. ich muss etwas tun. wir hatten schon über Themen gesprochen wie Asset Management zum Beispiel, also das Thema Transparenz. Segmentierung hat man als Beispiel drinne – wie mache ich das eigentlich?

31:32 Da gibt es z.B. das sogenannte Zones- und Konduitskonzept der IEC-Sitzwohnsätze IVVIII. Das ist so eine Ernmethodik dieser Normen oder dieses Standards vielmehr. Und das sind so Dinge die wir da praktisch erstmal verortet haben. Wenn wir ehrlich sind brauchen wir dann aber eben auch technische Lösungen wie zum Beispiel Kryptografie.

31:53 Und dass sind natürlich Themen Die sind natürlich schon in einer gewissen, ich sag mal, mennes-Haltbarkeitsdatum unterworfen. Das wissen wir selber. auf dem Thema Quantum-Kryptografie hat wenigstens vielleicht schon mal jemand gehört ist ja so ein Treiber dafür und da erinnert sich gerade durch die Rechenmimik eben doch einiges an Rechenkapazitäten Und ich muss schauen dass eben die Kryptographie den ganzen auch gerecht wird und eine gewisse Resilienz auch über die nächsten Jahre halt auch bereit stellt.

32:19 das heißt hier muss ich im tatsächlichen Schauen also je technischer Ich werde dass ich ihm auch mit den Technologien eben meine Updates bekommen, eben auch wie gesagt den Trends gerecht werde und eben ja auch relativ schleunig ist dort eben auch letztendlich neue Standards oder die Standards anpasst.

32:35 Was ich damit also sagen will wir haben eigentlich einen Standard der immer geteilt ist in sogenannte organisatorische und technische Fragestellungen, letztendliche Anforderung. Die organisatorischen denke ich sind relativ gut schon in aktuellen Standards abgebildet mutigerweise sagen, sie sind doch recht vollständig abgebildet.

32:55 Aber die Technischen, wo wir auch nicht genau wissen, wo ja die Reise in Zukunft hingeht mit PostQuantum und so weiter – da haben wir natürlich schon ein gewisses Moving-Tage, da müssen wir ändern, dann müssen wir nachfassen oder nachsteuern und hier kommt eine gewisse Dynamik ins Spiel. Das muss mir gerecht werden enorm, das ist nicht einfach richtig.

33:13 aber ich glaube, wir sind auf einem guten Wege das Ganze letztendlich auch so abzubilden. Jetzt ist das ja auch bei Norm und Regulierung immer so ein schmaler Grad. Also wo bringen die Norm dann einen echten Sicherheitsgewinn? Und wo droht er denn eher einen Bürokratiestau? Wir wissen hier alle, glaube ich, die zumindest mit Normen und Standard zu tun haben, dass nicht alles aus den jeweiligen Norm- und Standards tatsächlich mehr Wert darstellt.

33:38 Das heißt es sind auch ein paar Punkte, Schwierig sind die vielleicht nicht zielführend, sind für mich nicht passen oder vielleicht auch gar kein Benefit haben. Das heißt diese sogenannten Lohing-Foods. da sind natürlich Erfahrungswerte wichtig, die man letztendlich durch Diskussion mit den Kunden und Erfahrungswert aus Projekten gemeinsam erarbeiten kann.

34:04 Das heisst gezielt eine Norm letztendlich von eins oder von A bis Z sozusagen umzusetzen macht aus meiner Sicht wenig Sinn, sondern sollte heute tatsächlich gezielt die Normen herangeführt werden und Stück für Stück für sich implementiert werden. Das ist ein stufenplan der in der Regel auch über mehrere Jahre dauert und nicht gleich an Zertifizierung denken, sondern tatsächlich erst mal eben einen Stufenplan.

34:29 Also das ist wichtig weil ansonsten es ist ein reiner Papiertiger und man muss halt sagen dass man nur aus der Compliance heraus ein Standard umsetzt in einer schnellen Folge, denn am Ende des Tages tatsächlich einfach nur ein Papiertieger bleibt und die Prozesse nicht gelebt werden. Das ist das was ich gerade in Zeiten beim TÜV Süd Wo ich da als Zertifizierer ja unterwegs war eine Zeit lang mir aufgefallen ist, dass doch viele zu schnellen Standard vollständig implementieren.

34:57 Man merkt, aha! Da sind zwar Prozesse irgendwie zur Papier gebracht aber sie sind gar nicht in der Praxis da. Es funktioniert nicht wirklich gelebt wie man so schön sagt und damit ist dann eigentlich auch das Thema nicht sauber dargestellt und abgebildet. deswegen... Wenn ich immer ein Freund davon zu sagen, nehmt einen Standard, orientiert euch dran.

35:15 Nehmt die Teile für euch raus, die eben als low hanging foods schnell umsetzbar sind, schnell Erfolge erzielen vielleicht auch kostengünstig sind. Da ist ja auch mal eine Geldsache, muss man einfach auch sagen Aufwand ist auch oft mit ihm Geld verbunden und ist mir immer lieber als wenn jemand den Standard über Nacht implementiert und eigentlich am Ende des Tages keine richtige Wirkung entfaltet.

35:37 Cyber-Sicherheit ist ein sehr aktuelles und wichtiges Thema, das ist glaube ich in den letzten Minuten auf jeden Fall schon deutlich geworden. Was motiviert dich denn persönlich an diesen internationalen Standards? Und in den Gremien wie beim VDI oder VDE mitzuarbeiten? Ja da muss ich natürlich sagen klar hat jeder natürlich seine andere Historie.

35:53 bei mir war es recht einfach Ich bin ja aus dem Forschungsbereich sozusagen entsprungen und da war das einfach für uns immer schon Thema dass man ja viele praktisch Konzepte auch letztendlich immer in solchen Arbeitskreisen denn praktisch reingetragen hat. Das hat natürlich eine Konzeptprüfung hervorgebracht damit und Dinge eben natürlich idealerweise, auch in Form von Guidelines und Standards dann praktisch auch manifestiert.

36:17 also bin ich ihm auch letzt endlich in diese Normungsgeschichte hineingeraten. das heißt eben durch die Forschungsarbeit seiner Zeit um die Projekte entsprechend habe ich eben auch die Normungen mit Inhalten fruchten können. Warum ich noch dabei bin, obwohl ich eben nicht mehr in der Forschung arbeite?

36:33 Schon lange nicht mehr. Also gute zwölf dreizehn Jahre glaube ich also Bin ich halt nicht mehr an der forschung unterwegs. ja ist natürlich klar das interesse Ja solche dinge letztendlich zu machen und damit auch Dinge zu bewegen Macht mir eine freude eben über echte erfahrungswerte zu sprechen. Dinge denn in solche guidelines wie eben die einundzwanzig zweieinachtzig innerhalb des vdv de auch einzubringen, mit Communities Zusammenarbeit zu arbeiten.

37:00 Also sprich mit weiteren Experten letztendlich gemeinsam so was zu arbeiten das ist ja auch eine gewisse Erfüllung muss man einfach sagen. in den Austausch zu gehen etwas zu geben aber auch zu nehmen. Das heißt ich lerne jeden Tag auch was Praktisch von den Mitstreitern und das ist, was mich einfach so reizt.

37:16 Diese hohe Dynamik dieser permanente notwendige Austausch in der Community. Security is ein Teamsport kann man sagen. Das war es eben vor zwanzig Jahren Und das ist heute aus meiner Sicht umso mehr. Normalerweise schauen wir zum Schluss einer Folge hier bei Technik aufs Ohr immer so'n bisschen in die Zukunft.

37:33 Bei der Cyber Security würde ich die Frage aber gerne so'nen bisschen anders stellen Kann man überhaupt schon absehen? Was uns da an den kommenden Jahren noch alles erwartet? Ich hoffe nicht mehr als zu viel von der Regulierungsseite, weil das ist das was die Kunden ja schon im Moment schmerzvoll feststellen.

37:47 Die Regulierung hat zugelklagen hier ist ein Umsetzungsdruck da. ich muss mich mit beschäftigen und wir hatten ja kurz erörtert dass ja wir schon auch der Meinung sind dass gewisser Druck notwendig ist. ansonsten macht man es im einfach nicht. Und wir sehen aber schon gleichermaßen, dass ja kratische kritische Infrastruktur doch hier und da zum Opfer geworden ist.

38:10 Dahinter steht auch letztendlich die Gesellschaft, die muss abgesichert werden. also sprich Security in Zukunft bekommt noch mehr einen höheren Stellenwert als es jetzt schon hat. Die Regulierung zeigt das deutlich. Wir haben Auflagen bekommen, wir müssen sie umsetzen. Aber wir müssen ehrlich sagen, Security ist eben kein Zustand, den ich erreiche durch ein Standard Den ich einfach umsätze sondern ist einfach ein kontinuierlicher Prozess Dinge eben einführen.

38:34 Ich muss sie beschreiben, ich muss die dokumentieren und ich muss sie dann leben. Ja? Und ich muss eben auch gewisses Reporting-Dokumentation erzeugen oder muss ihm Dinge natürlich verbessern. Das ist das klassische kondeliche Verwässerungsprozess der hier ganz wichtig ist. Also sprich man muss schon schauen dass man mit den veränderten Situationen durch diese Kaihe zum Beispiel Anwendung auf der Angreiferseite hinterherkommt.

38:58 Das heißt bedingt sich ja auch Dass ich eben kontinuierlich schaue, was passiert da draußen? Was könnte ich denn als neue Gegenmaßnahmen, als wirksame Gegenmaße praktisch jetzt dort ergreifen. Das bedingt ihm einfach eine Dynamik und das sind Sachen die ich für die Zukunft mehr und mehr sehe und hoffe eben inständig dass Security ja ich sage mal aus der IT rauswächst wirklich in die Chefebene reiner sozusagen die Unternehmensmanagement Ebene Und das dort praktisch auch wirklich zum Standardthema wurde.

39:28 Noch ist es aus meiner Sicht zu viel IT, die sich darum kümmern. Es muss ein Management-Thema werben und ja, die Resilienz eines Unternebens besteht eben auch aus der Resilience gegen solche IT und OT Bedrohungen, Cyber Security Bedrohen. Das ist doch ein schönes Schlusswort! Danke für deine Zeit. Sehr gerne!

39:47 Danke fürs Interview Hat mich sehr gefreut. Wenn ihr noch mehr zu dem Thema erfahren wollt, dann könnt ihr wie immer auch in die Show Notes dieser Folge gucken. Da findet ihr dann auch ein paar weiterführende Links zum Thema. Ihr könnt aber auch gerne unter der Folge kommentieren und uns einen Feedback dalassen.

40:00 Da freuen wir uns auch mal drüber! Das geht übrigens auch per Mail an podcastadvi.de. Und wenn ihr auch den Thema habt bei dem ihr sagt das wäre doch auch mal was für Technik aus Ohr Dann könnt ihr uns das auch gerne per Mail schreiben. Dann schauen wir uns das mal an. Für heute war es dass. ich bin Christopher Batschig und freue mich schon auf die nächste Folge mit euch.

40:15 bis dahin machts gut und tschüss.