Case Study
Sichere Fernwartungslösung verbessert Schutz von Energieversorgern
Öffentliche Versorgungseinrichtungen gehören zur kritischen Infrastruktur. Damit sind sie beliebte Angriffsziele für Cyberkriminelle. Entsprechend hoch sind die Anforderungen, die Netzbetreiber an die Sicherheit ihrer Systeme stellen. Dies gilt insbesondere für Fernwartungszugänge als potenzielle Einfallstore für Cyberangriffe. Eine optimale Lösung bietet genua mit seiner Fernwartungslösung genubox, mit der Kritis-Betreiber die Sicherheit und Leistungsfähigkeit bei Fernzugriffen deutlich erhöhen können.
Kommunale Energieversorger sind für die Grundversorgung ihrer jeweiligen Region mit Gas, Wasser, Strom und Fernwärme verantwortlich. Unter Umständen bieten sie zudem bundesweit Produkte und Dienstleistungen in den Bereichen Photovoltaik, Elektromobilität, Energieberatung und/oder Glasfaserausbau an. Eine Cyberattacke kann hier hohe Folgeschäden verursachen – und deren Wahrscheinlichkeit steigt, wie die Studie von Cyentia Institute und Rockwell Automation "Cybersecurity Incidents in Industrial Operations" belegt: Generell zeigt diese auf, dass die Zahl der OT/ICS-Cybersicherheitsvorfälle über den Zeitraum von 2021 bis 2023 die Gesamtanzahl der zwischen 1991 und 2000 gemeldeten Vorfälle übersteigt. Dabei verzeichnete der Energiesektor mit 39 % mehr als dreimal so viele Angriffe wie auf die nächsthäufig attackierten Branchen, nämlich Fertigung (11 %) und Transportwesen (10 %). Den IT-Experten und OT-Ingenieuren der Branche ist die wachsende Bedrohungslage durchaus bekannt. Entsprechend hohe Standards verfolgen Unternehmen bei der Modernisierung ihrer Informations- und Anlagensicherheit.
Anforderungen an Fernzugriffe
Für die modernen digitalisierten Energienetze ist ein performanter Fernzugriff zu Wartungszwecken essenziell. So lassen sich dadurch eine hohe Verfügbarkeit und Betriebssicherheit der Netze effizient gewährleisten. Aus der Perspektive der ITSicherheit sind Remote-Zugriffe allerdings immer kritisch. So zählen Fernwartungszugänge laut Bundesamt für Sicherheit in der Informationstechnik (BSI) zu den Haupteinfallstoren Cyberkrimineller. Kritis-Betreiber legen deshalb besonders hohe Maßstäbe an die Sicherheit von Fernwartungszugängen. Im Fall einer Erneuerung der Systeme stehen zumeist folgende Aspekte auf der Anforderungsliste:
- die Fernwartungsverbindung darf nicht dauerhaft bestehen und nur nach telefonischer Anforderung freigeschaltet werden,
- der Zugriff muss über moderne Zugriffsmethoden erfolgen,
- der Zugang muss hohe Anforderungen an die IT-Sicherheit erfüllen und
- das System muss eine hohe Flexibilität für unterschiedliche Einsatzszenarien bieten.
Zugriff nach dem Rendezvous-Prinzip
Das Rendezvous-Konzept der Fernwartungslösung genubox von genua basiert grundsätzlich auf der Idee, dass keine einseitigen, unkontrollierten und direkten Zugriffe eines Fernwarters auf lokale Systeme im internen Netz des Betreibers möglich sein dürfen. Letzterer muss immer die volle Kontrolle über den Zugriff auf sein Netz behalten. Stattdessen laufen alle Zugriffe über einen dedizierten Rendezvous-Server, der sich innerhalb einer demilitarisierten Zone (DMZ) befindet. Auf diesem Server „treffen“ sich zu einem verabredeten Zeitpunkt Servicetechniker und Anlagenbetreiber remote via verschlüsselter SSH-Verbindung. Erst nach Freischaltung des Rendezvous auf dem Server durch den Betreiber entsteht eine durchgängige Wartungsverbindung. Dann kann der Servicetechniker, über den SSH-Tunnel gesichert, die Maschine, Anlage oder das IT-System im internen Netz ansprechen.
Während des Wartungszugriffs gilt das Vier-Augen-Prinzip: Anlagenbetreiber können alle Aktionen der Wartungsservices live über die Bedienoberfläche mitverfolgen. Der Betreiber behält also jederzeit den vollständigen Überblick über Wartungsaktion, Zugriffszeitpunkt, Ziel und zugreifende Instanz. Eine Video-Aufzeichnungsfunktion und Logging erlauben zusätzlich die Dokumentation aller Wartungstätigkeiten. Die Rendezvous-Lösung gibt dem Kritis-Betreiber also die vollständige Kontrolle über Wartungszugriffe in das eigene Netz.
Höchstmögliche Sicherheit
Im Zusammenhang mit sicheren Fernwartungszugängen ist das Rendezvous-Konzept heute Stand der Technik. genua hat seine genubox darüber hinaus mit bewährten Sicherheits-Features und Security-by-Design-Prinzipien gehärtet und optimiert, um die besonderen Bedürfnisse von Unternehmen mit hohem Schutzbedarf zu adressieren. Ein aus Perspektive der IT-Sicherheitsarchitektur essenzieller Punkt ist dabei: Durch integrierte Firewall-Funktionen und eine hochverschlüsselte, authentisierte und port- bzw. anwendungsgenaue Punkt-zuPunkt-Verbindung findet zu keinem Zeitpunkt eine Netzkopplung zwischen Fernwarter und Betreiber statt. genubox erfüllt darüber hinaus alle Anforderungen des BSI an sichere Fernwartungssysteme. Dies gewährleistet für Kritis-Betreiber die höchstmögliche Sicherheit für ihre Fernwartung.
Beispiel eines Netzbetreibers
Doch wie kann nun eine solch moderne Fernwartungslösung im täglichen Ablauf eines Kritis-Betreibers reibungslos integriert werden? Dazu ein konkretes Beispiel: Ein Netzbetreiber möchte zwei Bereiche mit einer neuen Fernwartungslösung bestücken: die Sekundärtechnik für das Kerngeschäft zur Verteilung von Strom, Gas, Wasser und Fernwärme sowie den Bereich Energiewirtschaft. Die Infrastruktur unterteilt sich in Business-IT und Prozessdatenverarbeitung, die nach und nach zentralisiert werden soll. Der erste praktische Schritt ist ein Proof of Concept in Form einer Testinstallation der Fernwartungslösung von genua vor Ort. So können die konkreten Anforderungen praktisch eingebracht und die Lösung vollumfänglich getestet werden. Darüber hinaus muss sichergestellt werden, dass alle benötigten Funktionen bereitgestellt werden und die Handhabung im Alltagsbetrieb problemlos möglich ist. Schließlich ist es wichtig, dass die Fernwartungslösung auch für Kollegen bedienbar ist, die keine ausgebildeten IT-Administratoren sind. In dem konkreten Beispiel wird außerdem eine 24/7-Alarmempfangsstelle betrieben, in der Operatoren im Bedarfsfall schnell Fernwartungszugänge öffnen können. Der zweite Schritt umfasst die Implementierung des Produktivsystems mit Einbau, Inbetriebnahme und Netzwerkanbindung. Diese kann nach entsprechender Einarbeitung weitgehend durch das eigene Team des Netzbetreibers erfolgen. Dabei orientiert sich das Unternehmen an der Empfehlung genuas, den Rendezvous-Server als lokale Appliance in einem dedizierten DMZ-Netzwerksegment vor Ort zu platzieren, also außerhalb der LAN-Kernzone. Die finale Konfiguration von genubox-Serviceboxen und Rendezvous-Server sowie der zugehörigen zentralen Managementlösung genucenter erfolgt dann remote, gemeinsam mit einem Security-Ingenieur von genua. Nach weiteren Tests und abschließenden Nachjustierungen aufgrund etwaiger nötiger Anpassungen ist das System betriebsbereit. genubox erlaubt eine klare Rollentrennung zwischen Operator und Fernwarter und bietet die Option, dass ein Operator einen Fernzugang öffnen, aber an der Zugangsart nichts parametrieren kann.
Servicepartner frühzeitig einbinden
Ein weiterer wichtiger Aspekt neben der Installation der Fernwartungslösung selbst ist die Einbeziehung von Servicepartnern. Verwenden Dienstleister und Gerätehersteller seit Längerem eigene oder andere Fernwartungslösungen, ist der Umstieg auf ein neues, vorgegebenes System für sie zunächst einmal mit zusätzlichem Aufwand verbunden. Daher empfiehlt es sich, die eigenen Dienstleister frühzeitig in die Gespräche mit einzubinden, um Vertrauen zu schaffen und ihnen Zeit zu geben, ihre Servicetechniker mit der Lösung vertraut zu machen. Dadurch wird nicht zuletzt die Akzeptanz erhöht.
Lageerkennung im Ernstfall
Hilfreich kann im Ernstfall auch die schnelle Lageerkennung über die Operatorenansicht sein. Sie zeigt auf einen Blick, welche Fernwartungszugänge offen sind. Das ist gerade im Havariefall von großer Bedeutung. Würde beispielsweise die Business-IT durch einen Krypto-Trojaner befallen, können physisch die Leitungen gekappt und so sozusagen die Netzstecker der Server gezogen werden, die mit der Business-IT verbunden sind und auf autarken OT-Betrieb umgestellt werden. In so einem Fall zählt jede Sekunde und das ResponseTeam muss sich schnell einen Überblick verschaffen können, ob noch Fernwartungszugänge offen sind, die getrennt werden müssen.
Für die Zukunft sind weitere Implementierungen wichtig, um einen hochsicheren, gut kanalisierten und transparenten Weg für die Fernwartung der Netze bereitstellen zu können. Mit genua sind Netzbetreiber auf der sicheren Seite. So verfügt das Unternehmen neben einem umfangreichen Industrial-SecurityPortfolio auch über langjährige Expertise in diesem und vielen weiteren Anwendungsbereichen.