Ransomware-Angriffe auf Fertigungsunternehmen haben in den Jahren 2021–2025 massiv zugenommen. Die Angriffskette ist bekannt: Phishing-Mail in der IT-Umgebung → seitliche Bewegung ins OT-Netz → Verschlüsselung von SCADA-Servern und SPS-Programmen → Produktionsstopp. Die IEC 62443-Normenreihe definiert, wie dieser Angriffskette systematisch begegnet wird.
Struktur der IEC 62443-Normenreihe
| Normen-Teil | Titel | Zielgruppe |
|---|---|---|
| IEC 62443-1-x | Allgemeine Konzepte (Terminologie, Konzepte, Modelle) | Alle Stakeholder |
| IEC 62443-2-x | Betreiberanforderungen (Policies, Programm, Patch-Management) | Betreiber |
| IEC 62443-3-x | Systemanforderungen (Zones & Conduits, Security Level) | Systemintegratoren |
| IEC 62443-4-x | Komponentenanforderungen (Secure Development, Produkt-Security) | Komponentenhersteller |
Zones and Conduits: das Kernmodell
Das zentrale Konzept von IEC 62443-3-3 ist die Einteilung des IACS in Zonen und die Kontrolle des Informationsflusses zwischen Zonen über Konduite (Conduits):
Eine Zone gruppiert Assets (Geräte, Systeme, Netzwerke) mit gleichem Schutzbedarf und gleichen Sicherheitsanforderungen. Typische Zonen in einer Fertigungsumgebung: Enterprise-Zone (ERP, Büro-IT), Demilitarisierte Zone (DMZ, Historian, Übergangsserver), Control-Zone (SCADA-Server, HMI-Stationen) und Field-Zone (SPS, Feldgeräte, Aktuatoren).
Ein Konduit ist ein definierter, überwachter Kommunikationspfad zwischen zwei Zonen. Jeder Konduit hat definierte Sicherheitsmaßnahmen: Firewalls mit Whitelist-Regelwerken, Authentifizierungsanforderungen, Protokollbeschränkungen und Logging-Pflichten. Kommunikation außerhalb definierter Konduite ist grundsätzlich verboten.
Security Levels (SL): Schutzstufenmodell
IEC 62443 definiert vier Security Levels (SL 1–4):
- SL 1: Schutz gegen zufällige oder unbeabsichtigte Beeinträchtigungen (Basisschutz)
- SL 2: Schutz gegen einfache vorsätzliche Angriffe mit niedrigem Ressourceneinsatz (Low-Sophistication-Angreifer)
- SL 3: Schutz gegen sophisticated Angriffe mit mäßigem Ressourceneinsatz (z. B. staatlich gesponserte Gruppen)
- SL 4: Schutz gegen hochsophistizierte Nation-State-Angriffe (kritische Infrastruktur)
Für die meisten Maschinenbauunternehmen ist SL 2 der relevante Ziellevel – ausreichend gegen Ransomware-Gruppen, die opportunistisch angreifen. SL 3 ist für kritische Infrastrukturbetreiber und Rüstungsunternehmen relevant.
Praktische Umsetzung: die 10 häufigsten Maßnahmen
Auf Basis der IEC 62443-2-1 (Security Management System) und 62443-3-3 (System Security Requirements) sind folgende Maßnahmen für die meisten Fertigungsunternehmen prioritär:
- Netzwerksegmentierung: strikte IT/OT-Trennung (→ Network Segmentation)
- Anlagendokumentation: vollständiges Asset-Inventar aller OT-Geräte
- Fernwartung nur über gehärtete Jump-Server mit MFA
- USB-Port-Kontrolle an allen OT-Workstations
- Regelmäßiges Patch-Management (→ Patch Management)
- Backup & Recovery-Tests für SCADA-Konfigurationen und SPS-Programme
- Anomalie-Erkennung im OT-Netz (→ IDS-Systeme)
- Security Incident Response Plan für OT-Ereignisse
- Mitarbeiterschulung zu Phishing und Social Engineering
- Lieferantenmanagement: Sicherheitsanforderungen in Maschinenbeschaffungsverträgen