BSI bietet Handlungsempfehlungen zur Überprüfung auf Manipulationen durch Stuxnet-Schadsoftware

Stuxnet

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet Unternehmen, die das Prozessvisualisierungssystem Windows Control Center (WinCC) von Siemens zur Anlagensteuerung einsetzen, Handlungsempfehlungen zur Überprüfung der Systeme auf Manipulationen durch die Stuxnet-Schadsoftware. Stuxnet ist eine spezialisierte Schadsoftware, mit der die Siemens-Software Windows Control Center (WinCC) sowie speicherprogrammierbare Steuerungen (SPS, engl. PLC) angegriffen und manipuliert werden können. Die sofort umsetzbaren Handlungsempfehlungen zur PLC-Überprüfung können beim BSI per E-Mail unter stuxnet@bsi.bund.de angefordert werden.

Um die aktuelle Gefährdungslage besser einschätzen zu können und potenziell betroffene Unternehmen bei weiteren verfügbaren Informationen zu Stuxnet direkt adressieren zu können, bittet das BSI die Besteller dabei auch um die Benennung des Einsatzfeldes der WinCC-Software im jeweiligen Unternehmen. Zur Überprüfung der WinCC-Software stellt Siemens auf seiner Webseite unter http://support.automation.siemens.com/WW/view/en/43876783 ein entsprechendes Tool bereit.

Prozesssteuerungssysteme nutzen Standard-IT

Moderne Industrietechnik hat heute einen hohen Grad an Komplexität und Automatisierung erreicht, so dass ihre Steuerung oft nur mithilfe von Computersystemen möglich ist. Prozesssteuerungslösungen – auch als SCADA-Systeme bezeichnet – unterstützen eine Vielzahl von Abläufen und enthalten dabei immer mehr Bestandteile aus der Standardinformationstechnik.

Anwendern bietet dies Vorteile wie Kosteneinsparungen oder einfaches zentralisiertes Management. Der Einsatz der Standard-IT birgt jedoch auch Risiken: Beispielsweise werden jährlich Tausende sicherheitstechnisch relevante Schwachstellen in Standardsoftware bekannt. IT-basierte Angriffe auf Prozesssteuerungssysteme werden in einschlägigen Arbeitskreisen schon seit Jahren diskutiert, die tatsächliche Realisierbarkeit wurde bisher aber nur unter Laborbedingungen nachgewiesen.

Mit Stuxnet ist nun erstmalig eine auf Prozesssteuerungssysteme spezialisierte Schadsoftware öffentlich bekannt geworden. Bemerkenswert sind dabei der Aufwand und das fachliche Knowhow, das in die Entwicklung des Trojaners eingeflossen ist. Neben der Ausnutzung mehrerer bislang unbekannter Schwachstellen in Microsoft Windows – so genannte Zero-Day-Lücken – und der Verwendung gültiger Zertifikate, welche der Schadsoftware das Einnisten auf den Host-Systemen der WinCC-Software ermöglichten, verfügte der Angreifer über genaue Kenntnisse der WinCC-Plattform sowie der Programmiersprache STEP 7. Durch so genannte Root-Kits versteckt sich der Stuxnet-Trojaner nicht nur auf den WinCC-Systemen, sondern erschwert auch eine Erkennung von Manipulationen der angegriffenen PLCs.

Weitere Informationen zum Einsatz von Informationstechnik in der Prozessüberwachung und -steuerung sowie zum Thema SCADA-Sicherheit sind auf der Webseite des BSI unter https://www.bsi.bund.de/SchutzEmpfehlungKritis abrufbar.

Cloud Computing: Tipps für die Migration

Individuelle Strategie ist entscheidend für den Erfolg

Wie können IT-Verantwortliche Cloud-Computing-Projekte erfolgreich planen und umsetzen?

ie Zahl der Unternehmen, die Cloud Computing planen oder testen, ist in den vergangenen Monaten stark gestiegen. Laut einer 2009 von Avanade durchgeführten Studie hat dies meist strategische und weniger finanzielle Gründe: 60 Prozent der Befragten aus deutschen Unternehmen sehen das neue IT-Konzept als strategische Investition. Von den deutschen Firmen, die Cloud Computing bislang noch nicht nutzen, begründen 64 Prozent dies mit Sicherheitsbedenken. Wie IT-Verantwortliche Projekte erfolgreich planen und umsetzen können, zeigt Avanade in vier Schritten. Entscheidend ist eine Strategie, die konkret auf das Unternehmen zugeschnitten ist.

Heiko Leicht, Director Data Center Technology & Operations für Avanade Deutschland, Österreich und Schweiz erklärt: »Unternehmen sollten das Thema Cloud Computing auf keinen Fall ignorieren. Deutsche Firmen haben die Bedenken und Vorurteile etwas abgebaut, wünschen sich in der Regel aber Unterstützung bei der Frage, wie sie Cloud-Projekte konkret angehen können. Die Auswahl des passenden Partners ist deshalb entscheidend.”

Der Experte erklärt in vier Schritten, wie IT-Verantwortliche Cloud-Computing-Projekte erfolgreich anstoßen:

1. Entwickeln einer klar definierten Strategie. Die IT gestaltet geschäftliche Erfolge entscheidend mit und sollte bei Strategien zur Verbesserung von Geschäftsprozessen, Beziehungen und Services deshalb immer einbezogen werden. So können IT-Abteilungen frühzeitig identifizieren, welche Anwendungen in die Cloud verschoben werden können und sollten. Allgemein lässt sich sagen: Je besser die Daten in der IT isoliert werden können, desto einfacher lassen sie sich in die Cloud migrieren. Besonders geeignet sind etwa CRM-Systeme. Sie arbeiten relativ eigenständig, was den Aufwand bei der Ablösung von der internen IT überschaubar macht. Ähnliches gilt etwa für die Migration der E-Mail-Infrastruktur, beispielsweise mit den Microsoft BPOS-Lösungen. Auch die Einführung von Private-Cloud-Technologien in eigenen Rechenzentren kann eine erfolgversprechende Strategie sein. Dadurch lassen sich Ressourcen deutlich besser verteilen und so effizienter nutzbar machen.

2. Finden des richtigen Anbieters. In Deutschland entscheiden vor allem vier Bereiche darüber, welcher Anbieter die Cloud-Pläne realisieren sollte:

Flexibilität: Gerade deutsche Unternehmen setzen auf individuelle Lösungen. Im Gegensatz zu einigen anderen Märkten ist es nicht genug, ausschließlich vordefinierte Cloud-Pakete anzubieten. Entscheidend ist, dass sich die IT-Infrastruktur mit Geschäftsprozessen verbinden lässt.

Datensicherheit: Befürchtungen im Hinblick auf die Sicherheit der Unternehmensdaten sind trotz der positiven Entwicklung von Cloud-Computing nach wie vor groß. Im Zentrum steht hierbei die Frage nach dem Ablageort und den Sicherheitsstandards. Potenzielle Partner sollten in der Lage sein, ihr Cloud-Konzept offenzulegen. Sie sollten vor allem aufzeigen können, welche technischen und organisatorischen Maßnahmen sie ergreifen, um die Daten vor unerlaubten Zugriffen zu schützen.

Verlässlichkeit: Wer plant, Teile seiner Prozesse in die Cloud zu verlagern, setzt in der Regel auf eine langfristige Zusammenarbeit. Neben der Erfahrung und der Historie des potenziellen Partners ist dabei auch die Größe des Unternehmens zu beachten. Ein Unternehmen, das in unterschiedlichen Geschäftsbereichen aktiv ist, verfügt in der Regel über ein solideres Fundament.

Kosten: Allgemein gilt es hier abzuwägen, ob sich der Aufwand gegenüber potenziellen Kostenvorteilen lohnt. Probleme mit der Verlässlichkeit oder Sicherheit sind allerdings von Beginn an Ausschlusskriterien.

3. Roadmap erstellen und Migrationspfad vorbereiten. Welche Ziele strebt das Unternehmen an und in welche Richtung soll es gehen, um diese zu erreichen? Welche Unternehmensbereiche sollten stärker durch die IT und durch Cloud-Computing-Lösungen unterstützt werden? Eine Roadmap, etwa für die nächsten drei Jahre, beantwortet diese Fragen und ist Basis für die Migrationsplanung. Dabei wird konkretisiert, welche IT-Systeme in die Wolke verschoben werden und wie viele Projekte dazu nötig sind. Neben dem erwarteten Nutzen ist vor allem die Frage entscheidend, wie aufwendig die Migration ist. Ein Beispiel: E-Mails in der Cloud. Hier muss der IT-Verantwortliche mit seinem Team vorab klären, ob es Abhängigkeiten gibt, etwa zu ERP-Systemen. Funktionieren die Anwendungen dann auch weiter, wenn sie in die Cloud verschoben werden oder sind flankierende Maßnahmen erforderlich?

4. Pilotprojekt aufsetzen. Es ist sinnvoll, nicht gleich das gesamte IT-System in die Cloud zu verlagern. Ein Pilotprojekt als Einstieg liefert wertvolle Erkenntnisse und Erfahrungen darüber, welche Anpassungen, wo notwendig sind. Dadurch entsteht die Basis für weitere Migrationen.

»Wir sind davon überzeugt, dass Cloud Computing sich weiter durchsetzen wird, denn Unternehmen wollen Kosten sparen und Geschäftsprozesse optimieren«, so Leicht weiter. »Generell eignen sich alle Branchen dafür, zumindest Teilaspekte ihrer IT in die Cloud zu verlagern. Möglicherweise müssen dafür auch Geschäftsabläufe isoliert und neu strukturiert werden, vor allem in sensiblen Bereichen wie Financial Services oder der Pharmaindustrie. Ob das sinnvoll und lohnend ist, muss vorher geklärt werden. Wir wollen Unternehmen und IT-Verantwortliche mit handfesten Strategien unterstützen.«