In dieser Folge begrüßen wir Jos Zenner, Geschäftsführer und CTO bei Welotec, einem Anbieter robuster Computer- und Kommunikationsplattformen für DSOs und TSOs im Elektrosektor. Jos und Klaus sprechen über die Herausforderung “security by design” von Anfang an auf Gesamtsystemebene umzusetzen und wie OT-Sicherheit als Plattformlösung in verteilten Infrastrukturen die Herausforderung begrenzter Budgets und Betreuung funktionieren kann.
Hören Sie uns auf:
Transkript
Klaus Mochalski
Hallo und herzlich willkommen zu einer neuen Folge des Rhebo-Podcasts OT Security Made Simple. Heute ist Jos Zenner hier bei mir. Er ist CTO von Welotec. Wir treffen uns auf der E-world in Essen, einer der wichtigsten Fachmessen in Deutschland für den Versorgungs- und Energiesektor. Bevor wir beginnen, Jos, kannst du dich vielleicht kurz vorstellen. Was machst du und was macht Welotec?
Jos Zenner
Perfekt! Vielen Dank, Klaus. Mein Name ist Jos. Ich bin Managing Director und CTO bei Welotec. Ich komme aus dem Produktmanagement und arbeite seit mehr als einem Jahrzehnt im Energiesektor. Wir stellen VNBs (Verteilnetzbetreiber) und ÜNBs (Übertragungsnetzbetreiber) Computer- und Kommunikationsplattformen zur Verfügung, die für anspruchsvolle Umgebungen geeignet sind, so dass Anwendungen in Umspannwerken und sekundären Umspannwerken laufen können.
Klaus Mochalski
Um unseren Zuhörern vielleicht ein wenig Hintergrund zu diesem Gespräch zu geben: Rhebo entwickelt Anomalieerkennungssysteme, Intrusion Detection Systeme, also hauptsächlich Software, die wir bei Stromversorgern, VNBs und ÜNBs einsetzen, um ihre kritischen Netzwerke und ihre OT-Infrastruktur zu sichern. Obwohl wir heute häufig unsere eigene Sensor-Hardware einsetzen, sind wir ein Softwareunternehmen. Unsere langfristige Vision ist, dass diese Art der Überwachung, die wir heute anbieten, zu einer Funktion der Kommunikationsinfrastruktur wird. Das ist für uns eine der wichtigsten strategischen Tatsachen für das Unternehmen Welotec.
Wir sehen Geräte wie die von Welotec in anspruchsvollen Umgebungen, z.B. in Umspannwerken, als ein wichtiges Instrument für die Bereitstellung unserer Software und der damit verbundenen Dienstleistungen. Welches sind die kritischsten Umgebungen, in denen ihr eure Lösung heute einsetzt und in denen du OT-Sicherheit als die größte unmittelbare Herausforderung für die nächsten Monate und Jahre siehst?
Jos Zenner
Davon gibt es viele. Denn wir befinden uns in der kritischsten Infrastruktur. Wir haben viele Kunden im Bereich der Hochspannungs-Gleichstromleitungen. Wir haben Anwendungen in Umspannwerken des Übertragungsnetzes. Wir haben Anwendungen in Umspannwerken für das Verteilnetz und natürlich auch in sekundären Umspannwerken. Das ist der typische Spielplatz, auf dem wir unsere Geräte installieren, auf denen ihr dann eure Software laufen lassen könnt oder auf denen wir eure Software laufen lassen.
Klaus Mochalski
Hochspannung und sekundäre Umspannwerke?
Jos Zenner
Ja, und die höchste Spannung, das sind die Übertragungsleitungen, die die Energie aus den Windparks in der Nordsee, zum Beispiel, nach Bayern transportieren.
Klaus Mochalski
Wie entwickelt sich deiner Meinung nach das Sicherheitsbewusstsein bei euren Kunden? Fragen sie in der Regel nach Sicherheitslösungen? Oder ist es etwas, das sie in den vergangenen Jahren immer wieder vergessen haben?
Jos Zenner
Es ist ein bisschen gemischt. Wir arbeiten viel mit großen Anbietern zusammen, die sich immer mehr mit dem Thema Sicherheit befassen, aber es gibt immer noch eine Menge zu tun. Dann arbeiten wir mit den Betreibern der Übertragungs- und Verteilnetze zusammen.
Die Übertragungsnetzbetreiber sind recht gut in Sachen IT- und OT-Sicherheit. Bei den Verteilnetzen sind sie vor allem gut, wenn es sich um kleinere Standorte handelt. Es gibt noch eine Menge Dinge, die in Zukunft verbessert werden müssen.
Klaus Mochalski
Wenn die Betreiber von Übertragungsnetzen zum Beispiel neue Umspannwerke bauen. Werden diese mit Blick auf die Sicherheit gebaut? Ist das etwas, das ihr beobachtet? Wir haben nämlich festgestellt, dass Sicherheit immer noch etwas ist, das auf die bestehende Infrastruktur aufgesetzt wird, und das ist natürlich nicht ideal. Wir würden uns wünschen, dass bei jedem neuen Projekt, jedem neuen Umspannwerk, das gebaut wird, die Sicherheit ein fester Bestandteil, ein Merkmal des Systems selbst ist. Ist das etwas, das ihr beobachtet, oder ist es noch zu früh dafür?
Jos Zenner
Nun, im Moment ist sie noch obenauf. Aus Sicherheitsgründen haben sie also eine Firewall installiert.
Klaus Mochalski
Also kein “security by design” für Umspannwerke?
Jos Zenner
Nun, teilweise schon, aber die meisten Entwürfe, die ich gesehen habe, sind nicht auf Sicherheit ausgelegt.
Klaus Mochalski
Was hält sie aus deiner Sicht davon ab, dies zu tun? Es gibt viele Schlagzeilen. Es wurden Versorgungsunternehmen gehackt. Wir sehen, dass einfache Angriffe wie Ransomware-Angriffe erfolgreich waren, dass Ziele getroffen wurden. Warum ist dies immer noch kein wichtiger Bestandteil des Tagesgeschäfts?
Jos Zenner
Nun, ich denke, zunächst einmal ist es mangelndes Verständnis. Wenn du dir ein Umspannwerk anschaust, hast du es mit OT-Leuten zu tun, also Mitarbeitenden, die von konventionellen Infrastruktur-Entwürfen kommen, bei denen es nicht viel Netzwerkinfrastruktur in den Umspannwerken gab und die Konnektivität gering war. Jetzt ändert sich alles. Wir sehen also mehr und mehr IEC-61850-Einsätze in Umspannwerken. Wir sehen mehr und mehr Netzwerkinfrastruktur. Wir sehen Fernzugriff. Wir sehen auch Ideen für eine Cloud-Konnektivität.
Klaus Mochalski
Du meinst im Umspannwerk?
Jos Zenner
Auch im Umspannwerk, ja.
Klaus Mochalski
OK.
Jos Zenner
Teilweise getrennt vom Netzwerk, aber dennoch gehen diese Daten in die Cloud. Wenn du Spannungs- und Stromdaten hast, benötigst du Big Data-Analysen für die Überwachung von Anlagen, z.B. Transformatoren. Das ist etwas, das sich in einer Cloud-Umgebung viel besser erledigen lässt, als in einem herkömmlichen Datensystem. Das ändert sich ziemlich schnell.
Gleichzeitig gibt es, nun ja, nennen wir es ein wenig Konkurrenz zwischen OT und IT und Missverständnisse zwischen beiden Parteien. Das Problem ist noch nicht gelöst.
Klaus Mochalski
Nun, es sollte kein Wettbewerb sein, richtig? Es sollte Zusammenarbeit sein?
Jos Zenner
Das sollte so sein, ja. Aber die IT-Abteilung und die OT-Abteilung arbeiten nicht so gut zusammen. Ich habe heute mit einem ÜNB gesprochen, und es scheint ein sehr langwieriger Prozess zu sein, etwas von der IT-Abteilung zu bekommen. Aus diesem Grund werden andere Wege beschritten, die wahrscheinlich nicht die perfekte Lösung sind.
Klaus Mochalski
Ich denke, es wurde schon viel über dieses typische Problem der Herausforderungen bei der Zusammenarbeit zwischen IT- und OT-Abteilungen gesagt. Die IT-Sicherheitsabteilungen verfügen zwar über qualifizierte Mitarbeitende, aber es fehlt ihnen das Verständnis für die besonderen Anforderungen der OT-Infrastruktur. Sie fühlen sich nicht verstanden – und das geht beiden Abteilungen so. Ich möchte mich nicht zu lange mit diesem Thema aufhalten. Aber wie du weißt, haben wir in den vorangegangenen Episoden auch über die Herausforderung der Konsolidierung der IT-OT-Sicherheit gesprochen.
Theoretisch wäre es ideal, ein zentrales Sicherheits-Dashboard zu haben, ein System, das alle Sicherheitsvorfälle in der gesamten Organisation überwacht, unabhängig davon, ob es sich um IT oder OT handelt. Denn auch die Grenzen werden unklarer und weniger deutlich. Die Konsolidierung ist also etwas, das letztendlich passieren wird. Aber heute sehen wir nicht wirklich, dass dies in der Praxis gut funktioniert. Was würdest du Unternehmen empfehlen, die die Herausforderungen der OT- UND IT-Sicherheit lösen wollen?
Jos Zenner
Sicherheit ist ein Thema, das hauptsächlich von der IT vorangetrieben wird. Die OT-Abteilung versteht es, sie versteht alles. Sie wissen, dass sie es brauchen, aber es wird hauptsächlich von der IT gesteuert.
Wenn wir uns mit Sicherheitslösungen befassen, müssen wir uns gleichzeitig fragen, welchen Wert sie für die OT-Mitarbeitenden haben. Wenn wir ihnen dasselbe System wie den IT-Mitarbeitern zur Verfügung stellen, verstehen sie es wahrscheinlich nicht und verlieren so die Kontrolle. Wir müssen einen Mehrwert für sie schaffen, nicht nur in Bezug auf Sicherheitsvorfälle, sondern auch, um den Netzwerkverkehr zu verstehen und zu verstehen, was sie dort aufbauen. Sie möchten mehr über das Netzwerk erfahren. Wir müssen ihnen also ein Tool an die Hand geben, das nicht nur Sicherheitsprobleme löst, sondern ihnen auch hilft, das Netzwerk zu verstehen.
Klaus Mochalski
Okay, du sagst also, dass der Schlüssel darin liegt, die OT-Teams ins Boot zu holen. Und damit meine ich nicht das OT-Sicherheitsteam, denn die meisten von ihnen sind keine klassischen IT-Sicherheitsmanager:innen, die im OT-Bereich arbeiten. Noch nicht. Aber der Schlüssel ist, ihnen etwas zu geben, das über die Sicherheit hinausgeht, denn natürlich ist Sicherheit für sie kein Wert an sich. Sie nehmen es einfach als gegeben hin, dass sie nicht von einem Cybervorfall betroffen sind. Wenn es passiert, ist es wirklich schlimm. Aber wenn es nicht passiert, dann gibt es keinen Wert für die OT-Sicherheitslösung.
Wenn ich das richtig verstanden habe, sollten wir ihnen auch ein Tool an die Hand geben, mit dem sie den täglichen Betrieb ihrer Infrastruktur überwachen können. Einfache Dinge wie den Zustand ihrer Kommunikationsinfrastruktur, die sie für ihren täglichen Betrieb benötigen. Ist das richtig?
Jos Zenner
Das ist richtig. Der Grund dafür ist, dass Sicherheitsvorfälle wahrscheinlich nicht immer von externen Angreifern ausgehen, sondern auch auf die Konfiguration der Systeme, Netzwerkprobleme und solche Dinge zurückzuführen sind. Netzwerkanalyse-Tools und Firewalls der nächsten Generation können dabei helfen, diese Herausforderungen zu lösen.
Klaus Mochalski
Ganz genau. Denn sie beobachten Daten, die nicht nur aus einer sicheren Perspektive relevant sind, sondern auch aus der Perspektive von Zwischenfällen.
Kommen wir noch einmal auf den Anfang unserer Diskussion zurück, als wir uns die verschiedenen, nennen wir sie mal, Einheiten angesehen haben, die ein typischer Netzbetreiber steuert. Da sind die Hochspannungsschaltanlagen, die über eine umfangreiche Infrastruktur verfügen. Sie modernisieren diese mit Protokollen wie IEC 61850, die auch eine größere Anfälligkeit für Netzwerkangriffe bieten.
Aber lass uns einen Blick auf die sekundären Umspannwerke werfen. Diese sind in der Regel viel einfacher aufgebaut. Sie haben viel mehr davon, so dass ihre Überwachung eine Herausforderung sein könnte. Zunächst einmal, wie siehst du die Sicherheitsherausforderung oder die Sicherheit bzw. die Angriffsfläche dieser sekundären Umspannwerke, also derjenigen, die im Feld eingesetzt werden?
Jos Zenner
Nun, die meisten Umspannwerke, die heute in der Praxis eingesetzt werden, sind sehr konventionell, hauptsächlich mit Kupferleitungen. Aber die meisten DSL-Anbieter, vor allem die größeren in Europa, installieren mehr und mehr intelligente Geräte in den Umspannwerken. So werden die konventionellen sekundären Umspannwerke zu intelligenten Umspannwerken oder intelligenten sekundären Umspannwerken.
Das bedeutet, dass z.B. RTUs (Remote Terminal Units, Fernbedienungsterminals) installiert werden, Messgeräte für die Niederspannungsseite oder die Mittelspannungsseite. Es werden zusätzliche Geräte für die Netzqualität installiert. Und auch die Konnektivität, z.B. zu Privathaushalten oder Stromleitungen für Smart Meter wird aufgebaut. Sie schaffen also eine neue technische Oberfläche innerhalb der sekundären Systeme, um mehr Nutzen aus der automatisierten Überwachung der Sensordaten zu ziehen. Aber gleichzeitig haben Sie das Cyberrisiko.
Klaus Mochalski
Richtig. Sie können also aus der Sicherheitsperspektive wirklich differenzieren. Die alten, sekundären Umspannwerke sind ziemlich sicher. Sie sind von außen schwer zu entdecken, weil sie einfach keine externen Kanäle haben. Aber wenn sie zu intelligenten Umspannwerken mit den von dir erwähnten Dingen wie Überwachungsdiensten, RTUs, Überwachung der Stromqualität werden, dann werden sie anfälliger für Cyberangriffe.
Jos Zenner
Auf jeden Fall, ja. Eine Sache ist auch sehr wichtig zu beachten. Die sekundären Umspannwerke sind sehr verteilt.
Klaus Mochalski
Von wie vielen sprechen wir? Nehmen wir an, ein typischer VNB versorgt, sagen wir mal, 1 Million Haushalte. Wie viele Umspannwerke würde der VNB ungefähr betreiben?
Jos Zenner
Nun, etwa ein- bis zweihundert Haushalte werden über eine sekundäre Umspannstation versorgt.
Klaus Mochalski
Für 1 Million Haushalte sind das dann ein paar Tausend.
Jos Zenner
Ein paar Tausend, ja.
Klaus Mochalski
Ziemlich viel.
Jos Zenner
Sie brauchen sogar ein paar mehr, um die Wärmepumpen und Förderung der Mobilität zu unterstützen.
Klaus Mochalski
Die Umspannwerke werden damit also noch verteilter und auch qualitativ anspruchsvoller. Wenn man sich die Zahlen ansieht, Tausende oder sogar 10.000, ist es ziemlich klar, dass wir nicht zu allen gehen und ein Stück Sicherheitsüberwachungshardware installieren können. Das war in den letzten Jahren unser Geschäftsmodell. Sicherlich bei größeren Systemen, aber auch diese kleineren, verteilten Anlagen müssen gesichert werden. Was ist deine Empfehlung? Welche bewährten Verfahren zur Sicherung dieser Umspannwerke würdest du den Betreibern empfehlen, die ihre kommenden intelligenten Stromnetze absichern wollen?
Jos Zenner
Nun, am besten wäre es, sie nicht zu verbinden.
Klaus Mochalski
Wirklich? Das kommt von dir?
Jos Zenner
Aber wir müssen sie miteinander verbinden. Das ist der eigentliche Bedarf.
Klaus Mochalski
Ich denke, daran gibt es keinen Zweifel. Wir können die Zeit nicht zurückdrehen.
Jos Zenner
Wir müssen sie intelligent machen. Um sie zu sichern, müssen die betreibenden Unternehmen von Anfang an an die Sicherheit denken. Sie müssen über “security by design” nachdenken.
Klaus Mochalski
“Security by design” heißt, sie sollten Sicherheit nicht erst einführen, wenn das Umspannwerk bereits in Betrieb ist, sondern dies bereits in der Planungsphase tun, wenn sie mit der Konzeption Ihrer Umspannwerke beginnen.
Jos Zenner
Das im Nachhinein zu tun, wäre zu teuer, wäre wahrscheinlich nicht die beste Lösung. Sie müssen überlegen, wie sie mit der Sicherheit umgehen – und nicht nur mit den Sicherheitsanforderungen, die sie heute haben, sondern auch mit den Sicherheitsanforderungen, die sie morgen haben könnten. Sie sollten über die Gestaltung des Umspannwerks nachdenken – über die Vernetzung, aber auch über die seriellen Protokolle, also wie sie alles verkabeln und wo sie Firewalls installieren, wo sie Überwachungsmöglichkeiten installieren.
Das wäre auch in unserer Diskussion sehr interessant, um zu verstehen, wo wir RTUs überwachen müssen, wo wir den Datenverkehr überwachen müssen, um das Beste aus der Lösung herauszuholen.
Klaus Mochalski
Ich habe zu Beginn dieser Folge erwähnt, dass unsere Vision ist, dass in nicht allzu ferner Zukunft die spezielle Sicherheitsfunktion, die wir für die Überwachung der Kommunikation, die Erkennung von Vorfällen und Anomalien anbieten, ein Service sein wird. Also eine Funktion, die in der bestehenden Infrastruktur aktiviert werden kann. Es gibt zusätzliche Sicherheitskontrollen, wie die von dir erwähnten Firewalls, und es könnte noch weitere geben.
Teilst du die Idee, dass dies eine Funktion sein sollte, die Betreibende mit einem Mausklick aktivieren können, und zwar nicht nur auf einem einzigen Gerät, sondern auf 10.000 Geräten, oder ist das anders oder komplizierter?
Jos Zenner
So einfach sollte es sein. Wenn wir über sekundäre Umspannwerke sprechen, und wenn ich mit VNBs spreche, denken viele von ihnen darüber nach, Edge Computing in sekundären Umspannwerken einzusetzen. Sie tun dies nicht aus Gründen der Cybersicherheit, sondern um zu automatisieren.
Zum Beispiel, um einen Container mit Software mit RTU-Fähigkeiten oder einen anderen Container mit Fähigkeiten, Protokolle zu konvertieren, oder einen anderen Container zur Überwachung der Niederspannungsseite des Netzes oder der Mittelspannungsseite des Netzes und wahrscheinlich auch einen Container zur Steuerung von etwas zu laden. Darüber hinaus befassen sie sich natürlich auch mit der Cybersicherheit. Diese kann ebenfalls als Container eingesetzt werden. Es ist also eine zusätzliche Funktion.
Wenn wir also eine Plattform in einer sekundären Umspannstation haben, auf der wir Container für die Überwachung der Automatisierung laufen lassen können, können wir einfach einen Firewall-Container installieren, einen IDS-Container installieren, um zu überwachen und zusätzliche Sicherheit hinzufügen.
Klaus Mochalski
Das klingt wirklich einfach. Im Grunde würden wir dann huckepack auf die bestehende Infrastruktur aufsetzen, auf den Edge Computing Geräten. Es könnte ein App-Store-Konzept geben, bei dem wir bestimmte Funktionen, die wir benötigen, einfach nachladen, einschließlich sicherer Funktionen.
Warum gibt es das noch nicht im großen Stil? Oder wird es das? Oder wann wird dies Teil der regulären Planung neuer sekundärer Umspannwerke sein?
Jos Zenner
Nun, noch ist es nicht so weit, aber ich denke, wir sind sehr nahe dran. Wir sehen, dass die Ausschreibungen und Ideen für diese Art von Edge Computing in sekundären Umspannwerken zunehmen, und es wird wahrscheinlich ab dem nächsten Jahr eine Verbindung nach draußen geben. Erste Ansätze sind bereits gemacht. Und dabei geht es natürlich zunächst um die Automatisierung, denn sie müssen automatisieren.
Aber ich glaube, wir müssen jetzt auch über die Cybersicherheit nachdenken, um zu verstehen, ob wir zum Beispiel einen der Rhebo-Container zu Überwachungszwecken einsetzen können. Oder ob wir bei der Entwicklung etwas falsch gemacht haben, oder der VNB etwas falsch konzeptioniert hat, so dass es nicht möglich ist, einen solchen Container einzusetzen. Oder wir müssen zusätzliche Hardware hinzufügen, z.B. einen Switch mit Überwachungssensor. Das möchten wir aber vermeiden. Ich konzentriere also den gesamten Datenverkehr auf das zentrale Gateway und überwache dort die einzelnen Schnittstellen.
Klaus Mochalski
Okay, das klingt alles sehr einfach. Wenn Unternehmen früh genug in Ihrem Planungs- und Designprozess damit beginnen, diese Art von Sicherheitsfunktionen einzubeziehen. Was könnten die Bedenken der Kunden sein?
Jos Zenner
Nun, zunächst einmal ist da die Frage des Budgets. Sie haben ein Budget für Automatisierung, und Cybersicherheit ist nur ein Teil davon. Sie gehen zu den verschiedenen Anbietern und wollen eine sichere Lösung haben. Sicherheit bedeutet, dass diese regelmäßig Sicherheitsupdates zur Verfügung stellen. Aber wenn es um Sicherheit geht, können wir nicht nur einzelne Geräte betrachten, sondern wir müssen das System selbst betrachten.
Klaus Mochalski
Das ist eine interessante Idee, die du hier ansprichst. Wir führen diese Diskussion auch recht häufig. Ich habe das Gefühl, dass viele Betreiber die Produktsicherheit mit der Infrastruktursicherheit verwechseln. Sie denken, wir haben doch sichere Produkte gekauft, also ist auch die gesamte Infrastruktur sicher. Manchmal verstehen sie nicht, dass das nicht dasselbe ist. Wenn sie 10 Produkte haben, die alle vom Hersteller als sicher zertifiziert sind, und diese miteinander verbinden, erhalten sie nicht automatisch eine sichere Infrastruktur. Aber sie gehen davon aus.
Was muss geschehen, um die Betreibenden darüber aufzuklären, was zu tun ist, wenn sie sichere Produkte von verschiedenen Anbietern miteinander verbinden?
Jos Zenner
Nun, lass uns an einem anderen Punkt beginnen. Wie ich bereits erwähnt habe, haben wir eine verteilte Infrastruktur, was bedeutet, dass es sehr schwierig ist, sie physisch zu schützen. Du kannst einfach auf die Dinge zugreifen und das ist nicht allzu komplex. Wenn du Zugriff auf mehrere verschiedene Geräte mit Netzwerkfähigkeiten hast, kannst du auf das gesamte System zugreifen. Wenn du diese Möglichkeit hast, betrachtest du nicht nur ein einzelnes Gerät, sondern etwas, das du vielleicht zwischen zwei Geräten installieren kannst, um den Datenverkehr zu überwachen und so weiter.
Die Betreibenden müssen die Sicherheit des gesamten Systems verstehen. Sie müssen die Kommunikation zwischen den einzelnen Geräten verstehen. Sie müssen auch die Kommunikation von der sekundären Umspannstation zur Daten-Cloud verstehen, so dass sie auch diesen Datenverkehr überwachen können, um zu verstehen, was in Ihrem Netzwerk passiert und auch um Sicherheitsvorfälle dort zu erkennen.
Klaus Mochalski
Vielleicht ist es für die Gerätehersteller wichtig, nicht nur sichere Geräte zu liefern, sondern auch ihren Kunden, die diese Geräte in eine komplexe Infrastruktur integrieren, Sicherheitskontrollen zur Verfügung zu stellen, die eine einfache und erschwingliche – ich will nicht sagen billige, aber erschwingliche – Sicherheitsüberwachung dieser Infrastrukturen ermöglichen, egal wie sicher das Produkt ist, wie der Anbieter behauptet. Wäre das etwas?
Brauchen wir eine Hersteller-Allianz, die sich für eine Sicherheitskontrolle einsetzt, die von allen Herstellern kritischer Infrastrukturkomponenten angeboten wird? Übrigens glaube ich nicht, dass das jemals passieren wird, aber ist das eine theoretisch gute Idee?
Jos Zenner
Nun, vielleicht muss es nicht unbedingt eine Hersteller-Allianz sein, vielleicht kann ein Referenzdesign schon helfen. Wenn Betreibende also ein Referenzdesign haben, wie und wo überwacht werden soll. Und wenn sie sich zum Beispiel mit Cybersicherheitsvorschriften und -zertifizierungen wie der IEC 62443 befassen, finden sie einige Empfehlungen für die Cybersicherheit und auch, dass eine Überwachung erforderlich ist.
Klaus Mochalski
Okay. Und damit die Betreibenden, die neue Infrastrukturen aufbauen wollen, diese als Mindestanforderungen in ihre Ausschreibungen aufnehmen und sagen: Nun, wir haben bestimmte Sicherheitspläne, bestimmte Standards und wir brauchen Geräte und Systeme, die diese Standards erfüllen und in einer Umgebung mit mehreren Anbietern überwacht werden können?
Jos Zenner
Nun, ja, aber in der Regel handelt es sich um die Ausschreibung mehrerer Teile des Systems, nicht um des gesamten Systems. Hier ist ein zusätzlicher Ansatz erforderlich, bei dem das gesamte System betrachtet wird und nicht nur die verschiedenen Teile, die ausgeschrieben werden. Denn wenn ein Teil des Systems nicht vollständig gesichert ist, wird das gesamte System unsicher.
Klaus Mochalski
Das ist ein interessanter Punkt. Es scheint, dass das heutige Ausschreibungsverfahren für kritische Infrastrukturen den Umfang der Sicherheit bei jeder einzelnen Ausschreibung einschränken kann, weil eine Ausschreibung vielleicht nur einen bestimmten Typ von Umspannwerken oder vielleicht nur einige wenige Umspannwerke berücksichtigt. Es mag zwar Sicherheitsanforderungen für diese fünf neuen Umspannwerke geben, aber das zentrale Leitstelle oder die sekundären Umspannwerke werden dabei nicht berücksichtigt.
Wir brauchen also einen ganzheitlichen Ansatz für die Sicherheit, aber das ist wahrscheinlich nicht mit den Ausschreibungsrichtlinien vereinbar, wie wir sie heute kennen. Was könnte hier eine Lösung sein?
Jos Zenner
Nun, aus der Perspektive einer Ausschreibung kann das Problem nicht gelöst werden. Was wir brauchen, ist eine Plattform, und das wird der neue Standard sein. Wir können Anwendungen von Drittanbietern laufen lassen und einfach Container installieren, so dass der VNB auch während der Lebensdauer des Systems, die 10 Jahre oder sogar länger sein kann, zusätzliche Anwendungen zur Erhöhung der Cybersicherheit einfach hinzufügen kann.
Im Moment brauchen wir wahrscheinlich einfach nur eine Standard-Firewall. In den nächsten Jahren werden wir eine Firewall der nächsten Generation benötigen. Dann brauchen wir Angriffserkennungssysteme und wahrscheinlich etwas völlig Neues im Bereich der Cybersicherheit. Das entwickelt sich so schnell.
Die Bedrohungslandschaft umfasst auch neue Bedrohungen aus dem geopolitischen System, aber auch durch künstliche Intelligenz und solche Dinge, so dass wir nicht wissen, was wir in den nächsten Jahren für die Cybersicherheit brauchen.
Die einzige Möglichkeit, dies zu tun, besteht darin, das erforderliche Monitoring per Software zu ermöglichen. Denn wir können nicht immer in jedes sekundäre Umspannwerk – in Deutschland sind es Hunderttausende – gehen und neue Hardware installieren, wenn es eine neue Anforderung an die Cybersicherheit gibt. Das ist nicht möglich.
Klaus Mochalski
Die wichtigste Erkenntnis aus dieser Folge ist, dass wir als Gerätehersteller und Anbieter von Sicherheitslösungen, flexibel bleiben müssen, die Bereitstellung für unsere Kunden einfach und leicht machen müssen, selbst in großen, sich entwickelnden und stark verteilten Infrastrukturen. Und dass wir auf alles vorbereitet sein müssen, was an Vorschriften und anderen Anforderungen auf uns zukommt.
Jos Zenner
Dem stimme ich voll und ganz zu. Nun, es sind aufregende Zeiten, also lasst uns an der Sache arbeiten.
Klaus Mochalski
Ganz genau. Vielen Dank für das gute Gespräch und es war schön, dich in dieser Folge zu haben.
Jos Zenner
Vielen Dank, Klaus.
