Smart Industry Readiness Index

IT-Sicherheit im Blick behalten 

Die zunehmend vernetzte und digitalisierte Produktion bietet jedoch auch neue Angriffspunkte für gezielte Manipulationen von außen. Industriespionage und Sabotage haben ihren Ursprung nicht im Produktionsprozess. Diese Risiken sind abstrakt, denn der Zeitpunkt, der Ablauf und die Auswirkungen der Manipulationen sind nicht im Detail vorhersehbar. 

Die Angriffe auf Datennetze verfolgen unterschiedliche Ziele: Diebstahl von Betriebsgeheimnissen wie Rezepturen, Erpressung durch Ransomware und damit verschlüsselte Unternehmensdaten, Sabotage durch Eingriffe in die Steuerung der Herstellungsprozesse (z. B. Rezepturen, Zutaten oder Mengen ändern). Unter Umständen kann dies auch die Kunden und Konsumenten gefährden, wenn zum Beispiel Nüsse in ein Produkt geraten, das als nussfrei deklariert ist. 

Dass diese Risiken bestehen, zeigt eine Umfrage des Bundesverbands bitkom. Demnach waren 88 Prozent der befragten Unternehmen in den Jahren 2020 und 2021 von einem Cyberangriff betroffen, wodurch Schäden in Höhe von mehr als 220 Milliarden Euro entstanden sind. 

Es wird deutlich: Die gesetzlich geforderten Risikobewertungen mit dem Fokus auf die Produktsicherheit und den Gesundheitsschutz sind nicht mehr ausreichend für Unternehmen, die sich eine smarte Produktion als ambitioniertes Ziel gesetzt haben. Neben möglichen Fehlanwendungen und erwartbaren Pannen müssen die Risiken gezielter Manipulationen betrachtet werden, die sich mitunter auch auf die Maschinensicherheit auswirken können.  

Mit dem Enhanced Risk Assessment (ERA) hat TÜV SÜD einen flexiblen Prozess entwickelt, der auch auf die spezifischen Anforderungen der Nahrungs- und Lebensmittelindustrie angepasst werden kann. Dabei werden die klassischen Safety-Bewertungsverfahren wie die herstellerseitige Risikobeurteilung und die betreiberseitige Gefährdungsbeurteilung mit den etablierten Bewertungsmethoden der Cybersecurity zusammengeführt – beispielsweise nach der Normenreihe IEC 62443. Wechselwirkungen zwischen Safety und Security werden identifiziert und in die Betrachtung aufgenommen. Der Fokus liegt somit nicht nur auf der Unfallverhütung und dem Arbeitsschutz. Weitere Schutzziele wie der Datenschutz, der Verbraucherschutz und der Schutz vor dem Ausfall wichtiger Systeme können je nach produziertem Lebensmittel bzw. Anlage und Umfeld berücksichtigt werden.  

Backwarenproduzenten, Zulieferer und Integratoren sollten das Thema IT-Security dringend priorisieren. Neue Verordnungen und Richtlinien werden die ganzheitliche Safety und Security verstärkt einfordern. Nötige Assessments und Audits sollten auch vor dem Hintergrund der zunehmenden Arbeit im Homeoffice nicht aufgeschoben werden. Denn auch durch mitunter unzureichend abgesicherte Heimnetzwerke und Kommunikationskanäle entstehen neue Sicherheitslücken.