Predictive Maintenance: 4 potenzielle Sicherheitsrisiken

Der Einstieg in die Industrie 4.0 und das Internet of Things ist oftmals ein erstes Projekt im Bereich der Datenanalyse, für beispielsweise Predictive Maintenance. Der angestrebte Mehrwert ist hier für die meisten Anwender recht schnell greifbar: Durch die Analyse von Maschinendaten lässt sich z. B. vorausschauend beurteilen, welche Komponenten ausgetauscht werden müssen bevor der tatsächliche Ausfall eintritt. So lassen sich Stillstandszeiten umgehen und durch die Vermeidung von ineffizienten Wartungszyklen, die Instandhaltungskosten erheblich senken. Neben den offensichtlichen Vorteilen einer vorausschauenden Wartung für die Betreiber bietet das Konzept so auch neue Servicemöglichkeiten für Hersteller, Maschinenbauer und Start-Ups. Jedoch beinhaltet die Einführung einer Predictive Maintenance Lösung auch einige Sicherheitsrisiken, an die gegebenenfalls nicht immer gleich gedacht wird.

Gastautor: Max Weidele, Thema: Sicherheitsrisiken bei Predictive Maintenance

Sicherheitsrisiken bei Predictive Maintenance

1) Eingriff durch Dritte aufgrund von unsicherer Datenübertragung

Zum Einsatz kommen die unterschiedlichsten Ansätze aus herstellereigenen Lösungen oder auch Lösungen von Drittanbietern, die wiederum eigene Schnittstellen (z.B. Kollektoren) zu den Komponenten der verschiedenen Hersteller beinhalten.

Je nach Anwendungszweck, eigenen Ressourcen und Umfang der Daten können die Lösungen lokal betrieben werden. Oftmals werden jedoch neue Serviceangebote in der Cloud in Anspruch genommen, die durch intelligente Analysen und Vorlagen schnelle Ergebnisse ermöglichen. Die im Anlagennetz platzierten Kollektoren sammeln die jeweiligen Daten ein und übermitteln diese an die zentrale Plattform (Cloud) des Herstellers. Über ein Kundenportal lassen sich dann die einzelnen Messwerte betrachten und Auswertungen durchführen.

Nachdem die erhobenen Daten das eigene Netz (z.B. via LTE Modem) verlassen und „ins Internet“ geschickt werden, sollte die Datenübertragung verschlüsselt werden, sodass Dritte diese nicht einsehen können. Solche Daten sind beispielsweise ein beliebtes Ziel bei der Industriespionage, da diese sensiblen Informationen über den Anlagenbestand oder den Umfang der Produktion enthalten. Generell gilt zu beurteilen, wie kritisch die übermittelten Daten sind und was passieren könnte, wenn z.B. Ihr Cloud-Anbieter kompromittiert wird und damit Ihre Daten öffentlich einsehbar werden.

2) Supply-Chain-Security: Wie vertrauenswürdig ist Ihr Lieferant?

Predictive Maintenance Portale richten sich häufig an Kunden derselben Branche, welche dann oftmals untereinander in Konkurrenz stehen. Durch die Tatsache, dass der Betreiber des Portals nun fortlaufend Statusinformationen der Maschinen erhält, kann dieser u.U. nun auch unmittelbare Aussagen über die Performance der Anlage und somit in letzter Instanz über die aktuelle Wirtschaftlichkeit Ihres Unternehmens treffen.

Hier gilt es stets zu überlegen, ob sensible Informationen (z.B. Auftragslage und verbundene Umsätze) aus den übermittelten Daten abgeleitet werden können.

Hierzu folgendes Gedankenspiel:

Möglich wäre, dass zwei stark konkurrierende und börsennotierten Unternehmen dieselbe „Predictive Maintenance“- Cloud eines Lieferanten (beispielsweise eines Anlagenherstellers) für ihre Auswertungen nutzen. Je nach übermittelten Daten ließe sich daraus ableiten, dass die Auftragslage von Unternehmen A derzeitig besser als die von Unternehmen B wäre. Diese Informationen (vor allem, wenn nicht öffentlich bekannt) könnten u.a. im Bereich des Aktienmarkts stark von Interesse sein.

Daher lohnt es sich folgende Fragen zu Predictive Maintenance Sicherheitsrisiken zu stellen:

• Wem gehören die Daten? (Gehen z.B. mit der Übermittlung auch Rechte auf den Betreiber der Plattform über? Gibt es Verträge, die diesen Umstand klären?)
• Gibt es besondere Sicherheitsmaßnahmen, die der Lieferant vorweisen kann? (z.B. Zertifizierungen)
• Wen hat mein Lieferant noch zum Kunden? (z.B. gilt je größer und namhafter die betreuten Kunden, umso eher rückt ein solcher Lieferant in den Fokus der organisierten Kriminalität)

3) Fehlendes Security-Knowhow beim Lieferanten

Selbstverständlich ist die Grundlage für eine Zusammenarbeit mit einem Lieferanten, eine solide Vertrauensbasis sowie weitere rechtliche Vorkehrungen (z.B. Verträge und Lieferanten-Audits). Jedoch sollte auch bei einem langjährigen Hauslieferanten regelmäßig (und insbesondere) zum Thema IT-Sicherheit nachgehakt werden.

Normalerweise liegt der Fokus eines Lieferanten im Bereich des Maschinenbaus, der Entwicklung von Software oder innerhalb der Automatisierung und eben nicht in der IT-Sicherheit. Jedoch ist primär eine sichere Programmierung, eine verschlüsselte Datenübertragung sowie eine ordentliche Softwarearchitektur entscheidend für die Robustheit und Sicherheit in einer Predictive Maintenance Lösung. Es gilt, Grundsätze sicherer Hard- und Software zu wahren und auch Besonderheiten im Datenschutz miteinzubeziehen. Die Erfahrung zeigt jedoch häufig, dass diese Themen vernachlässigt werden. Unter anderem auch deswegen, weil hier die notwendigen Ressourcen fehlen. Natürlich merken auch die Hersteller den Zuwachs an Sicherheitsbedürfnis Ihrer Kunden, jedoch wird es naturgemäß eine Weile dauern bis sich die notwendige Expertise entwickeln und festigen wird.

Befragen Sie daher Ihren Lieferanten zu seinem Umgang mit IT-Sicherheit (hierzu mein Gastbeitrag: durch kluge Prozesse im Einkaufsprozess). Dies gilt auch im Bereich der angepriesenen „Security-Features“, die im Zuge des Marketings und des Vertriebs genannt werden. Vorsicht ist auch bei Start-ups geboten, die mit neuen Industrie 4.0- und IoT-Lösungen in den Markt starten. Insbesondere bei dem schnellen Erschließen eines neuen Markts ist „time-to-market“ ein existenzielles Thema. Solide Software-Entwicklung und die IT-Sicherheit sind hier leider oftmals die „Bremsen“, die gerne vernachlässigt werden. Darum gilt auch hier: Fragen Sie explizit nach der IT-Sicherheit!

4) Datenschutz und DSGVO

Neben der sicheren technischen Implementierung müssen im Rahmen von Predictive Maintenance auch juristische Fragestellungen geklärt werden. Allen voran ist hierbei der Datenschutz der erfassten Daten zu nennen, in Einzelfällen wird auch das Arbeitsrecht relevant. Von Maschinen generierte Daten fehlen in der Regel der Personenbezug. Problematisch wird es jedoch, wenn durch das Zusammenführen der vielzähligen Datenbestände Rückschlüsse auf individuelle Personen (beispielsweise Anlagenmitarbeiter oder Wartungspersonal) ermöglicht wird. In diesem Fall greift der Anwendungsbereich des Datenschutzrechts. Grundsätzlich steht dabei jedes Unternehmen, welches personenbezogene Daten verarbeitet, in der Pflicht hierfür entweder die Einwilligung (oder einen anderen Erlaubnistatbestand) einzuholen oder muss die jeweiligen Daten anonymisieren, um Predictive Maintenance rechtskonform anbieten bzw. betreiben zu können. Insbesondere bei Daten von Mitarbeitern muss der Betreiber der Maschine gemäß dem Beschäftigungsdatenschutz nach Art. 88 DSGVO sicherstellen, dass die personenbezogenen Daten datenschutzrechtlich korrekt ausgewertet und übermittelt werden. Kann durch die Anwendung von Predictive Maintenance auch eine Überwachungsabsicht zur Verhaltens- und Leistungskontrolle nachgewiesen werden, so muss anhand des Betriebsverfassungsrechts auch zwingend ein vorhandener Betriebsrat mit eingebunden werden, um mit diesem eine Betriebsvereinbarung auszuarbeiten.

Lösungsansätze für eine sichere

Fragestellung und Lösungsansätze für eine sichere Predictive Maintenance

In Ihrer Vorbereitungs- und Auswahlphase eines geeigneten Lieferanten (bzw. einer „Predictive Maintenance“ – Lösung), sollten folgende Fragen zur IT-Sicherheit und dem Datenschutz beantwortet werden können. Hierfür ist es empfehlenswert, die Meinung das Datenschutzbeauftragen, der IT-Leitung und der Security-Beratung miteinzubeziehen.

• Sind Produktzertifizierungen vorhanden? (Z.B. nach IEC 62443-4-1 oder IEC 62443-4-2. Empfehlenswert ist hierbei auch unser TeleTrust-Prüfschema)
• Wie sieht der Umgang mit IT-Sicherheit im Allgemeinen aus? (besteht z.B. ein ISMS nach 27001? Werden Tunnel von außen direkt in das Automatisierungsnetz geöffnet?)
• Wie ist die Haftung im Fall eines Datenverlusts geregelt? (Was ist, wenn Ihr Anbieter die Daten verliert und somit Ihre gesamte Daten-Historie abhandenkommt?)

Stellen Sie hierfür auch folgende Fragen an sich selbst:

• Welche Art von Daten werden im Zuge der Predictive Maintenance Lösung verarbeitet?
• Sind hier auch personenbezogene Daten dabei?
• Greift u.U. die Datenschutzgrundverordnung (DSGVO)?
• Gebe ich sensible Daten weiter?
• Sind aus meinen Daten Geschäftsgeheimnisse ableitbar?

Abschließend gilt die Empfehlung, dass Sie als Betreiber regelmäßig (auf jeden Fall bei der Beschaffung) entsprechende Sicherheitsanforderungen bei Ihrem Lieferanten einfordern. Insbesondere vertragliche Zusicherungen und das Vorweisen der genannten Zertifizierungen sind hier empfehlenswert. Dabei zeigen die genannten Punkte vor allem eins: Eine eigene Auseinandersetzung mit der Funktionsweise der Predictive Maintenance Lösung ist für Sie dabei unumgänglich.

---

Gastautor

Max Weidele

Initiator des Portals Sichere Industrie

Autorenprofil:

„Für eine sichere vernetzte Welt, muss Wissen zu Industrial & IIoT Security leicht verfügbar sein!“

Abseits vom Marketing-Bingo und aufgeblähtem Technik-Kauderwelsch, bietet Max Weidele praxisorientierte Inhalte, die in der realen Welt funktionieren. Darüber hinaus nennt er als Speaker und Moderator die Herausforderungen der vernetzen Industrie direkt beim Namen und fördert den Austausch zwischen den Anwendern.

Als Initiator der Wissensplattform www.sichere-industrie.de sowie Geschäftsführer der Industrial Security Beratung bluecept GmbH arbeitet er an Lösungen, welche die industrielle IT-Sicherheit anwendbar und handhabbar machen.