Font size

"Fehler bei IT-Sicherheit nicht wiederholen"

  •  

Interview mit Dr. Edgar Weippl, Institut für Softwaretechnik und Interaktive Systeme, Technische Universität Wien, SBA Research

24.11.2017

Bereits bei der Entwicklung von Industrieanlagen müsse man heute IT-Sicherheitsaspekte berücksichtigen, betont der Wiener Security-Experte Dr. Edgar Weippl. Warum standardisierte Security-Lösungen aus der Software-Industrie dabei nicht einfach übernommen werden können, erläutert er im Gespräch mit DIE MESSE.

 - IT-Sicherheit ist gerade in der Produktionstechnik ein wichtiges Thema.
© TU Wien
IT-Sicherheit ist gerade in der Produktionstechnik ein wichtiges Thema.

Herr Dr. Weippl, die jüngsten Enthüllungen um neue WLAN-Schwachstellen („KRACK“) führen deutlich vor Augen, dass der IT-Sicherheit hohe Aufmerksamkeit zu widmen ist. Ist diese Denkweise in der Industrie präsent?
Die Gefahr ist vielen grundsätzlich bewusst und vor allem auch für neue Produktionsanlagen wesentlich. Aktuell ist die Gefahr noch nicht so groß und allgegenwärtig wie in anderen Bereichen (zum Beispiel Banken), weil die verwendeten Systeme wesentlich länger im Einsatz sind (sprich im Schnitt deutlich älter sind).

Welche Gefahren drohen Unternehmen im Internet of Things (IoT)-Zeitalter – einerseits mit Blick auf äußere Hackerangriffe, andererseits hinsichtlich vorsätzlich eingebauter Schwachstellen oder Backdoors?
Schon vor Jahren haben wir gesehen, dass Schadsoftware wie Stuxnet entwickelt wird, um große Industrieanlagen gezielt anzugreifen. Ebenso wurden in Hardware Backdoors bereits eingebaut. Bezogen auf Produktionsanlagen sind mir keine Berichte bekannt, dass so etwas schon passiert ist; Schwachstellen gleich beim Design einzubauen, ist allerdings der nächste logische Schritt. Beispielsweise wären sehr profitable Ransomware-Angriffe denkbar.

 - Dr. Edgar Weippl, Institut für Softwaretechnik und Interaktive Systeme, Technische Universität Wien, SBA Research
© TU Wien
Dr. Edgar Weippl, Institut für Softwaretechnik und Interaktive Systeme, Technische Universität Wien, SBA Research

Sie fordern, dass schon bei der Entwicklung von Indus­trieanlagen Sicherheitsaspekte unbedingt zu berücksichtigen sind. Welche Ansätze gibt es hier?
Wir wissen aus der Software-Industrie, dass ein sicherer Entwicklungsprozess die Qualität und Sicherheit von Software maßgeblich steigert. Vor mehr als zehn Jahren hat Microsoft damit begonnen und wenn man beispielsweise Windows 95 mit aktuellen Windows-Versionen vergleicht oder den Webserver IIS 5 mit der aktuellen Version, sieht man, dass das offensichtlich funktioniert hat. Der IT-Sicherheitsexperte Gary McGraw hat mit dem beschreibenden Building Security In Maturity Model (BSIMM)-Modell einen schönen Überblick über verwendete Methoden geschaffen. Ein paar Jahre später: Android als Betriebssystem mobiler Geräte hatte anfangs ähnliche Probleme wie Windows 95 und zwischenzeitlich wurden die auch weitgehend gelöst. Und noch ein paar Jahre später: In Autos wurden zahlreiche „alte“ Schwachstellen gefunden (Buffer overflows, unsigned updates) und die Kryptografie, die für Funk-Autoschlüssel verwendet wurde, war teilweise atemberaubend schlecht.

Die Trennung zwischen IT-Komponenten und mechanischen Komponenten ist in der Industrie immer weniger klar möglich. Welche Herausforderungen bringt dies aus der Sicherheits­perspektive mit sich?
Aus Angreifersicht ist es spannend, neue Möglichkeiten durch die Kombination von IT und „klassischen“ Regelkreisen auszunützen. Wir haben da mit „Grid Shock: Coordinated Load-Change Attacks on Power Grids” eine recht nette Arbeit, die sich mit „klassischen“ (sprich nicht-smarten) Grids beschäftigt. Ähnliche Szenarien sind für andere Regelkreise denkbar. Wir starten gerade Forschungsprojekte in dem Bereich.

Welche Bedeutung haben schnelle und aktuelle Updates bei Industrieanlagen, die auf lange Betriebszeit ausgelegt sind?
Ein sehr guter Punkt. Das ist in der Tat ein Beispiel dafür, dass wir standardisierte Security-Lösungen aus der Software-Industrie nicht einfach übernehmen können. Einerseits wird die Abschirmung von Systemen eine Lösung sein und andrerseits sehen wir gerade in diesem Aspekt auch Forschungsbedarf. Beispielsweise können Blockchains bei der Nachvollziehbarkeit und Audits sinnvoll sein, aber wie man die Ideen „zukunftssicher“ macht, sodass die Systeme zur Nachweisbarkeit noch in 50 Jahren funktionieren, ist noch nicht klar.

Auf der SPS IPC Drives stellen Sie Ihre Konzepte unter dem Motto „Sicherheit und Qualität für Industrie 4.0“ in der Halle 6 am Stand 230 vor. Welche weiteren Aspekte rücken Sie dabei in den Vordergrund?
Für uns stehen langfristige Forschungskooperationen im Vordergrund. Wir können gemeinsam mit Industrieunternehmen daran arbeiten, dass die zahlreichen Fehler im Bereich Sicherheit nicht erneut wiederholt werden, wie wir es beispielsweise bei der Automobilindustrie gesehen haben.