Neue Bedrohungen: IT- und OT-Sicherheit bei mobilen Endgeräten

von Thomas Wingenfeld am , 13:08 Uhr

Mobile Endgeräte sind längst unverzichtbar geworden. Dies gilt nicht nur für private Anwendungsfälle, sondern auch für berufliche. Im Rahmen der US-Studie „Global Study on Mobility Risks“ gaben 91 Prozent der 535 befragten deutschen IT- sowie OT-Sicherheitsexperten an, dass die Nutzung von Handys und Tablets für das Erreichen der eigenen Unternehmensziele unerlässlich sei. Dieser Umstand ist allerdings problematisch, da mit dem Einsatz der mobilen Endgeräte ernste Risiken verbunden sind. Hierzu zählen neue Bedrohungen für den OT-Bereich, die speziell für die industrielle Fertigung gefährlich werden können.

Bildnachweis: © Song_about_summer #180950881 - Adobe Stock

Bildnachweis: © Song_about_summer #180950881 – Adobe Stock

Der Unterschied zwischen IT- und OT-Sicherheit

IT bzw. Informationstechnologie beschreibt die elektronische Datenverarbeitung. OT bzw. Operationstechnologie ist die Bezeichnung für die Hard- sowie die integrierte Software, um bestimmte Anlagen, Maschinen, Prozesse oder Ereignisse betreiben zu können. Beide Konzepte sind historisch getrennt, da sie keine direkten Berührungspunkte zu haben schienen. Eine Metapher soll dies verdeutlichen: In einer Küche sind die zu kochenden Rezepte mit den hierfür notwendigen Hilfsmitteln (Töpfe, Pfannen, usw.) die IT. Die OT sind die Herde, Öfen, Kühlschränke. Wer zu viel Salz ins Essen gibt, gefährdet nicht die Geräte.

Nur die IT musste deshalb lange gesichert werden. Antiviren-Programme, Verschlüsselungen und Firewalls sind typische Maßnahmen, die hierfür ergriffen wurden. Allerdings bedeutete die OT-Sicherheit [1] bisher vor allem, dass die mechanische Funktionsfähigkeit der Anlagen überwacht wurde. Durch das (industrielle) Internet der Dinge (IIoT – Industrial Internet of Things) hat sich dies geändert. Die Trennung von IT und OT ist aufgehoben. Um zum obigen Bild zurückzukehren: Der Topf kann jetzt mit dem Herd kommunizieren – und ihn dabei infizieren.

Mobile Endgeräte sind für Hacker oft leichte Beute

Handys und Tablets werden gerade in Zeiten der Pandemie mit Vorliebe aus dem Home Office dafür benutzt, um auf das Unternehmensnetzwerk und damit auch die angebundene OT zuzugreifen. Für Hacker sind die mobilen Endgeräte oft leichte Beute. Laut eingangs zitierter Studie verzeichneten 72 Prozent der Befragten einen Anstieg der Malware-Infizierungen innerhalb der ersten zwölf Pandemiemonate. Mehr als 50 Prozent seien hierbei auf die Nutzung der Smartphones [2] und Tablets zurückzuführen gewesen.

Erbeutet wurden demnach sensible Informationen sowie Ressourcen. Private und vertrauliche Daten seien dabei offengelegt worden. Die Hacker konnten sich dabei Zugriff verschaffen, da nicht einmal die Hälfte der Unternehmen angemessene Sicherheitseinstellungen für die mobilen Endgeräte verlangt; wo sie verlangt werden, befolgen die Mitarbeiter sie zudem häufig nicht. 32 Prozent der Befragten erklärten, ihre Mitarbeiter würden Anforderungen für Passwörter oder Tastensperren umgehen. Hat eine Malware einmal Zugriff über eine infizierte App, eine verseuchte Webseite oder beispielsweise einen schädlichen E-Mail Anhang, ist der Weg frei.

Fertigungsanlagen sind beliebte Angriffsziele

Für die Fertigung stellt sich dabei das besondere Problem, dass die OT eine sehr viel längere Lebensdauer als die IT hat. Die Maschinen sind 25 Jahre im Einsatz. Sie haben deshalb häufig noch sehr alte Sicherheitslücken, die vor dem IIoT bzw. der Industrie 4.0 [3] nicht geschlossen werden mussten. Moderne Malware trifft also auf eine OT, die sich nicht effektiv verteidigen kann. Dieses Problem lässt sich zudem in der Regel nicht lösen, da die Anlagen nie dafür konzipiert wurden, mit Updates ausgestattet zu werden. Sie müssten somit komplett ersetzt werden. Fertigungsanlagen (von Robotern bis zu Maschinen) sind deshalb beliebte Angriffsziele von Kriminellen geworden, um Lösegeld zu erpressen.

OT- und IT-Sicherheit können nicht mehr getrennt betrachtet werden – insbesondere bei Handys

Die skizzierte Entwicklung unterstreicht, was eingangs angedeutet wurde: Die historische Unterscheidung zwischen IT und OT ist nicht mehr zeitgemäß. Dies gilt nicht nur für operationale Aspekte, sondern eben auch für die Sicherheit. Da sich die OT nicht selbst schützen kann und über die IT bedroht wird, ist IT-Sicherheit zugleich OT-Sicherheit. Insbesondere für die viel zu oft schlecht geschützten mobilen Endgeräte müssen daher Sicherheitskonzepte entwickelt und durchgesetzt werden, die dies reflektieren.

Artikel von CNET.de: https://www.cnet.de

URL zum Artikel: https://www.cnet.de/88191547/neue-bedrohungen-it-und-ot-sicherheit-bei-mobilen-endgeraeten/

URLs in this post:

[1] OT-Sicherheit: https://www.trendmicro.com/de_de/business/solutions/iot/iot-security.html

[2] die Nutzung der Smartphones: https://www.cnet.de/88189835/verantwortungsbewusst-statt-digital-dominiert-so-nutzt-ihr-euer-smartphone-richtig/

[3] IIoT bzw. der Industrie 4.0: https://www.thyssenkrupp-materials-iot.com/de/glossar/industrie-4.0