Kriterien für sichere Remote-Access-Geräte in der Industrie: Lieferkettensicherheit

Operative Teams industrieller Systeme nutzen Remote-Access-Geräte für ihre Arbeit und denken selten an nicht-technische, nicht-kommerzielle Aspekte beim Kauf. Doch die jüngere Geschichte zeigt: Herkunft des Geräts – und sogar dessen Komponenten – ist weit wichtiger, als wir wahrnehmen.

Lieferkettenangriffe sind ernst

Ein Supply-Chain-Angriff zielt auf vorgelagerte Elemente der Lieferkette ab, um Zugriff zu erlangen. Ein Laie, der ein Gerät kauft (z. B. für Wochenend-Inbetriebnahme), mag das Risiko als vernachlässigbar einschätzen – es ist es nicht.

Supply-Chain-Angriffe sind bei Angreifern beliebt: Durch Infiltration eines Lieferanten gelangen sie zu vielen Endnutzern. Beispiele: Stuxnet (zielte auf PLCs in Urananreicherung), NotPetya (ca. 10 Mrd. USD Schaden bei Merck, Saint-Gobain u. a., verbreitet über Steuer-Software), SUNBURST (Backdoor zu bis zu 18.000 Organisationen, verteilt über SolarWinds-Software). Dies passiert wiederholt und wird weitergehen – der Payoff für Angreifer ist hoch.

Lieferkettenangriffe auf ICS via Remote-Access-Geräte

Die Idee ist nicht theoretisch – sie ist Realität. 2014 infizierte Dragonfly-Malware viele Organisationen, verteilt über Ewon Talk2M Application Setup Pakete (VPN-Software für ICS-Zugriff). Das SANS Institute veröffentlichte eine Analyse des Angriffs und seiner Auswirkungen.

Überlegungen vor dem Kauf

Was sollte der Laie tun, der ein Gerät zur Inbetriebnahme braucht?

In Situationen, in denen man kein Experte sein kann, lohnt der Blick auf Expertenpraktiken. Im Sicherheitsbereich: US-Verteidigungsministerium (DoD). Es verbietet explizit Kauf und Einsatz von Geräten bzw. Beauftragung von Anbietern, die Geräte bestimmter ausländischer Hersteller nutzen – wegen Lieferkettenrisiken. Ein DoD-Memo von Juli 2020 legt dies dar (öffentlich einsehbar). Namentlich genannt: Huawei Technologies (Tochtergesellschaften, Affiliates) – wegen breiter Chipeinsatz, auch in Remote-Access-Geräten (z. B. Tosibox).

Eine Lehre: Wo möglich, inländisch gefertigte Produkte kaufen. Hinweis: Inländisch produzierte, mit tiefen Sicherheitsebenen designte Produkte sind nicht einfach zu beschaffen und erfordern meist Preisaufschlag – aber zweifellos lohnenswert, gerade für Remote-Zugriff auf Industriesysteme.

Neben Lieferkettenrisiken gibt es viele technische und organisatorische Aspekte bei Remote-Access-Implementierung. Ich untersuchte diese in einer Arbeitsgruppe mit OMAC (The Organization for Machine Automation and Control), die einen Practical Guide for Remote Access to Plant Equipment veröffentlichte – lesenswert.