Warum ein SCADA-Scanner allein OT-Umgebungen nicht vor Cyberangriffen schützt

Die Air Gap, welche OT früher geschützt hat, und auf die sich viele Unternehmen noch verlassen, ist weitgehend verschwunden. Industrie 4.0 und Fernüberwachungsmöglichkeiten haben das industrielle Netzwerk zu einem erreichbaren und angreifbaren Teil der Angriffsfläche gemacht. Der Markt hat darauf mit einem simplen Versprechen reagiert: Kaufen Sie einen SCADA-Scanner, richten Sie ihn auf Ihre Anlagen, und die Sicherheit der industriellen Seite Ihrer IT-Infrastruktur ist abgedeckt. Doch leider ist es nicht ganz so einfach wie versprochen!

Die möglichen Folgen zeigte eindrucksvoll ein Cyberangriff auf Jaguar Land Rover, der 2025 in den Unternehmens-IT-Systemen begann und damit endete, dass die Fahrzeugproduktion in allen britischen Werken fünf Wochen lang stillstand. Es wurde zum wirtschaftlich schädlichsten Cybervorfall in der Geschichte Großbritanniens. Solch ein Angriff muss keine speicherprogrammierbare Steuerung (SPS) erreichen, um die Produktion lahmzulegen, denn wenn IT und OT eine Umgebung teilen, kann ein Eindringen auf der einen Seite die andere zum Stillstand bringen.

Was steckt wirklich in einer SCADA-Umgebung?

Wenn man sich eine OT-Umgebung vorstellt, denkt man an die Geräte mit direktem Zugriff auf die Produktionsstraßen von Fabriken: die SPS, die RTUs, die Sensoren, Ventile und Pumpen. Das ist nur die unterste Ebene. Die Leitebene, die sie steuert, besteht überwiegend aus Software auf einem normalen Betriebssystem, in der Praxis oftmals ein Windows-Client. Für Angreifer ist es nur ein geringer Unterschied, denn Engineering-Workstations, HMI-Stationen und SCADA-Server sind zuerst Computer und danach Industriesysteme.

Diese Computer stehen nicht allein. Neben der Steuerungssoftware finden sich dieselben gewöhnlichen IT-Assets wie überall sonst: Windows-Hosts, Netzwerk-Switches, Fernzugriffs-Tools und fast immer eine Handvoll IP-Kameras.

 Deshalb greift ein reiner SCADA-Scanner zu kurz. Ein Werkzeug, das industrielle Protokolle erkennen soll, identifiziert die SPS, sagt aber nichts über den Windows-Rechner daneben, auf dem die SCADA-Anwendung läuft, über die Kamera mit den Standard-Zugangsdaten aus dem Werk oder über die Workstation, die zwei Patches im Rückstand ist. Genau solche blinden Flecken in Ihrer Angriffsfläche würden Cyberkriminelle nutzen, um an Ihre industriellen Anlagen und in Ihre IT-Infrastruktur zu gelangen. 

Das Problem mit getrennten IT- und OT-Scannern 

Statt die gesamte Umgebung auf einmal zu bewerten, werden IT und OT typischerweise von getrennten Produkten abgedeckt: Klassische Schwachstellenscanner sind die eine Lösung, SCADA-Scanner die andere. Für den Sicherheitsverantwortlichen bedeuten das zwei Werkzeuge und zwei Teilbilder. Sie prüfen die industriellen Protokolle mit dem einen Produkt und die umgebende IT mit dem anderen und versuchen dann, die Ergebnisse zusammenzusetzen.

Ein weiterer Grund erschwert die ganzheitliche Betrachtung der Sicherheitslage: Es fehlt der Kontext, der zeigt, was zuerst zu beheben ist. Nehmen wir zwei Schwachstellen. Die eine ist als kritisch eingestuft, aber niemand nutzt sie aus, und in Ihrer Organisation führt kein bekannter Angriffspfad zu ihr. Die andere ist als mittel eingestuft, wird aber gerade jetzt aktiv von Ransomware-Gruppen genutzt. Die Schwachstelle mit mittlerem Schweregrad ist die, die zuerst behoben werden muss, denn die tatsächliche Ausnutzung in der Praxis sollte in die wirkliche Priorität einfließen, nicht nur der reine Schweregrad.

Diese Priorisierung können Sie jedoch nur treffen, wenn Sie das Risiko in der gesamten Umgebung sehen und vergleichen können. Und das ist nur möglich, wenn IT und OT gemeinsam bewertet werden.

IT und OT als eine Umgebung bewerten 

Die Alternative ist einfach. Bewerten Sie die gesamte Umgebung als das, was sie ist, nämlich eine einzige: industrielle Protokolle und Steuerungen zusammen mit den Windows-Hosts, Netzwerkgeräten und allem anderen darum herum, gemeinsam betrachtet und gegeneinander priorisiert statt in zwei separaten Berichten.

Das ist der Unterschied zwischen dem Wissen, dass Sie eine kritische SPS-Schwachstelle haben, und dem Wissen, dass dieselbe Schwachstelle von einer ungepatchten Workstation aus erreichbar ist, die zusätzlich eine aktiv ausgenutzte Schwachstelle enthält - Kritische Informationen im Cybersecurity-Puzzle.

Dieses Puzzle zu vereinfachen ist das Ziel von Holm Security. Denn: IT und OT über eine Plattform zu bewerten bedeutet:

• Eine Sicht auf das Risiko über IT-, Netzwerk-, Cloud- und OT-Umgebungen hinweg, sodass industrielle und IT-Exposition gemeinsam gesehen und gegeneinander priorisiert werden.
• Priorisierung der gefundenen Schwachstellen auf Basis tatsächlicher Ausnutzung in der Praxis, einschließlich der Frage, ob eine Schwachstelle in Ransomware-Angriffen verwendet wird.
• Breite OT-Abdeckung mit Tests für eine Vielzahl von SCADA- und Industrieanbieter und tausende Schwachstellen.
• Volle Kontrolle darüber, wie die Umgebung analysiert wird: Scope, Planung rund um Wartungsfenster, Sperrzeiten und die Möglichkeit, Scanläufe jederzeit sofort zu stoppen.
• Die Plattform ist keine passive Appliance, die geliefert, installiert und dauerhaft im Netzwerk mithörend zurückgelassen werden muss, denn die Bewertung erfolgt über aktive Scanläufe, die Sie konfigurieren und kontrollieren.
• Ein eigenes Security-Research-Team bei Holm Security, das OT-Schwachstellenanalysen laufend aufbaut und aktualisiert, sobald neue Bedrohungen auftreten.

 Holm Security bewertet IT- und OT-Umgebungen ganzheitlich über eine Plattform, sodass industrielles und IT-Risiko gemeinsam gesehen und priorisiert werden kann. Gerne zeigen wir Ihnen mehr über unseren Ansatz für mehr OT-Sicherheit. 

FAQ

1. Reicht ein SCADA-Scanner für OT-Sicherheit aus?

   Nein. Ein SCADA-Scanner prüft industrielle Protokolle und Steuerungen, aber der größte Teil einer SCADA-Umgebung besteht aus Software auf Windows-Rechnern, umgeben von gewöhnlichen IT-Assets wie Netzwerkgeräten und IP-Kameras. Wer nur die industriellen Protokolle absichert, lässt den größten Teil der tatsächlichen Angriffsfläche unabgedeckt. 
   
   

2. Warum müssen IT und OT gemeinsam bewertet werden?

   Weil Cyberkriminelle diese Verknüpfung in ihren TTPs zunehmend ausnutzen. Der Weg in ein industrielles System beginnt meist auf der IT-Seite, an einer exponierten Workstation oder einem vergessenen Fernzugriffsdienst, und führt von dort zu den Geräten in der Produktion. Industrielles Risiko und IT-Risiko treten regelmäßig in derselben Umgebung zur selben Zeit auf. Beides gemeinsam zu sehen ist der einzige Weg, den potenziellen Pfad eines Angriffs zu verstehen.

3. Hilft OT-Schwachstellenmanagement bei der NIS2-Compliance?

   NIS2 erwartet von Einrichtungen, Cybersicherheitsrisiken über ihren gesamten Betrieb hinweg zu managen, einschließlich der Operational Technology (OT). Eine einheitliche Sichtbarkeit über IT und OT kommt dem, was die Richtlinie erwartet, näher als eine in Silos aufgeteilte Sicht. Kein einzelner Scanner liefert Compliance jedoch von sich aus.