IEC62443-Schutzschild
Für Endanwender ist es entscheidend, dass Anlagen und Maschinen in ihrer Gesamtheit ein belastbares Sicherheitsniveau nach IEC62443 erreichen. Die Normenreihe beschreibt dafür Security Levels (SL), die sich am zu erwartenden Angreiferprofil orientieren und von Schutz gegen einfache, vorsätzliche Angriffe (SL2) bis zu deutlich anspruchsvolleren Szenarien (SL3) reichen. In der Praxis sind jedoch viele Komponenten nur in begrenztem Umfang in höheren Sicherheitsstufen verfügbar. Häufig bleibt es bei einem niedrigeren Geräteschutz, obwohl die Anlage insgesamt mehr braucht. Hier setzt ein vorgelagertes CRA-Gateway als ‚62443-Shield‘ an: Es legt einen Sicherheits-Schirm über die Maschine oder Anlage und kann als kompensierende Maßnahme nach IEC62443 Funktionen bereitstellen, die die Anlage selbst nicht oder nicht durchgängig abdeckt. Dazu zählen etwa das Filtern und Segmentieren von Verkehr, die Härtung von Zugängen bis hin zur Multi-Faktor-Authentifizierung sowie kontrollierter, nachvollziehbarer Remote-Zugriff.
Virtual Patching
Ein weiteres Dilemma in der OT betrifft Patches und Updates. Wird in einer zentralen Steuerung eine kritische Schwachstelle entdeckt, steht der Betreiber vor der Wahl zwischen Produktionsverlust und Restrisiko. Hier kann Virtual Patching helfen, indem es den Schutz vor die verwundbare Komponente verlagert. Ein vorgelagertes Security-Gateway überwacht dabei den Datenverkehr mit tiefgehender Paketinspektion, prüft Protokolle und Inhalte und blockiert bekannte Angriffsmuster, bevor sie das Ziel erreichen. Voraussetzung ist, dass der relevante Verkehr tatsächlich über diesen Kontrollpunkt läuft und nicht durch Umwege oder vollständige Verschlüsselung unsichtbar wird. Das Prinzip dahinter, das gerade für Legacy-Systeme entscheidend ist, heißt Compensating Controls: Wenn ein System nicht zeitnah aktualisierbar ist, senken Schutzmaßnahmen wie Netzsegmentierung, kontrollierte Zugänge und vorgelagerte technische Barrieren das Risiko. Die Gefahr wird begrenzt und der Sicherheitszustand einer Altkomponente erhöht.
Schwachstellen priorisieren
Wichtig ist zudem die richtige Priorisierung von Schwachstellen. Moderne Ansätze kombinieren hier Schweregrad (CVSS-Score) und Exploit-Wahrscheinlichkeit (EPSS-Score), um klare Prioritäten zu setzen: Kritische und realistisch ausnutzbare Lücken erfordern sofortiges Handeln, mittlere Risiken zeitnahes Schließen, geringe Relevanz Beobachtung.
