Ransomware hat sich zu einer der störendsten Bedrohungen für den Industriebetrieb entwickelt, doch sie funktioniert selten so, wie man es sich vorstellt. Die meisten OT-Ransomware-Vorfälle beginnen nicht mit dem Angriff auf eine Steuerung; sie beginnen in der IT und breiten sich aus, bis der Betrieb gestoppt werden muss.
Zu verstehen, wie ein industrieller Ransomware-Angriff tatsächlich abläuft, vom Einfallstor im Unternehmensnetz bis zur stillstehenden Produktionslinie, ist der Schlüssel zur Eindämmung. Die wirksamsten Abwehrmaßnahmen begrenzen, wie weit sich der Angriff ausbreiten kann, und stellen sicher, dass der Betrieb wiederhergestellt werden kann.
01Wichtigste Erkenntnisse
- 01
OT-Ransomware entsteht in der Regel in der IT und erreicht den Betrieb über die verbundene Grenze, nicht durch einen direkten Angriff auf Steuerungen.
- 02
Der Betrieb kommt oft selbst dann zum Stillstand, wenn nur die IT verschlüsselt ist, weil die Produktion von IT-Systemen abhängt oder aus Vorsicht angehalten wird.
- 03
Die Auswirkungen sind physisch: Produktionsausfall, Sicherheitsbedenken sowie eine langsame, kostspielige Wiederherstellung.
- 04
Die Eindämmung ergibt sich aus Segmentierung und reduzierter Erreichbarkeit, die begrenzen, wie weit sich Ransomware ausbreiten kann.
- 05
Die Wiederherstellungsbereitschaft, insbesondere geschützte und getestete Backups, entscheidet darüber, wie schnell der Betrieb wieder aufgenommen werden kann.
02Warum die OT ein Ransomware-Ziel ist
Industriebetriebe sind attraktive Ransomware-Ziele, weil Ausfallzeiten so kostspielig sind. Wenn die Produktion stillsteht, ist der Druck, den Betrieb schnell wiederherzustellen und damit zu zahlen, enorm. Angreifer wissen, dass eine stillstehende Anlage ein mächtiges Druckmittel ist.
Entscheidend ist, dass Angreifer dafür keine Sicherheitssteuerungen kompromittieren müssen. Die Verschlüsselung der IT-Systeme, von denen der Betrieb abhängt, oder das Erzwingen einer vorsorglichen Abschaltung reicht oft aus, um die Produktion zu stoppen.
Ransomware muss die SPS nicht erreichen, um die Anlage zum Stillstand zu bringen. Sie muss den Betrieb nur unsicher oder unmöglich machen.
03Die Kill Chain mit IT-Ursprung in die OT
Ein typischer industrieller Ransomware-Vorfall folgt einem erkennbaren Pfad, der weit entfernt von der Produktionsebene beginnt.
- Erstzugang in der IT durch Phishing, einen verwundbaren Dienst oder gestohlene Zugangsdaten.
- Aufbau von Persistenz und eines Command-and-Control-Kanals.
- Rechteausweitung und Diebstahl von Zugangsdaten im gesamten Unternehmen.
- Laterale Bewegung in Richtung Betrieb, oft über flache Netzwerke, gemeinsam genutzte Identitäten oder Dual-Homed-Assets.
- Verschlüsselung erreichbarer Systeme und häufig eine vorsorgliche OT-Abschaltung, um eine Ausbreitung zu verhindern.
Jede Phase beruht auf Konnektivität und Erreichbarkeit. Je weniger Pfade in Richtung Betrieb bestehen, desto schwerer ist es für den Angriff, seinen Weg zu vollenden.
04Die Auswirkungen auf den physischen Betrieb
Anders als ein reiner IT-Ransomware-Vorfall hat ein industrieller Vorfall physische Konsequenzen. Produktionslinien stehen still, Output geht verloren, und das Wiederanfahren eines komplexen Prozesses geschieht nicht augenblicklich.
- Produktions- und Umsatzverluste für jede Stunde Ausfallzeit.
- Sicherheitsbedenken, die vorsichtige, langsame Wiederanläufe erzwingen.
- Schäden an Produkt, Ausrüstung oder Prozesszustand während eines abrupten Stopps.
- Folgewirkungen auf Kunden, Lieferketten und, bei kritischer Infrastruktur, auf die Öffentlichkeit.
05Eindämmung durch Segmentierung und reduzierte Erreichbarkeit
Da sich Ransomware entlang von Netzwerkpfaden ausbreitet, besteht die wirksamste Eindämmung darin, diese Pfade zu begrenzen. Segmentierung teilt die Umgebung so auf, dass ein Vorfall in einem Bereich nicht ungehindert einen anderen erreichen kann, und reduzierte Erreichbarkeit beseitigt ständige Verbindungen, die ein Angriff nutzen kann.
Die OT-Grenze streng kontrolliert und die kritischsten Segmente standardmäßig getrennt zu halten, begrenzt den Wirkungsradius erheblich. Ein AIRGAPNET-Muster für kontrollierte Konnektivität kann sensible Segmente und Wiederherstellungs-Assets physisch unerreichbar halten, außer während genehmigter Zeitfenster, sodass selbst eine vollständige IT-Kompromittierung keinen ständigen Pfad zu ihnen hat.
Bei der Eindämmung geht es darum, sicherzustellen, dass ein IT-Vorfall ein IT-Vorfall bleibt, anstatt zu einem betrieblichen zu werden.
06Wiederherstellungsbereitschaft
Wie schnell der Betrieb wieder aufgenommen werden kann, hängt von Vorbereitungen ab, die lange vor dem Vorfall getroffen wurden. Der wichtigste einzelne Faktor sind Backups, die die Ransomware nicht erreichen konnte und deren Wiederherstellung nachweislich funktioniert.
- Halten Sie mindestens eine Wiederherstellungskopie vom Betrieb isoliert, über Einweg-Replikation oder Trennung.
- Testen Sie Wiederherstellungen regelmäßig, damit die Wiederherstellungszeit bekannt und realistisch ist.
- Dokumentieren und üben Sie den Prozess für das sichere Wiederanfahren des Betriebs.
- Pflegen Sie Offline-Kopien der Konfigurationen und Logik, die zum Wiederaufbau von Steuerungssystemen benötigt werden.
07Die Rolle der Isolierung
Isolierung taucht in der Ransomware-Geschichte zweimal auf: als Prävention und als Wiederherstellung. Die Reduzierung der Erreichbarkeit verhindert die Ausbreitung in den Betrieb, und die Isolierung von Wiederherstellungs-Assets stellt sicher, dass etwas übrig bleibt, von dem aus wiederhergestellt werden kann.
Beides läuft auf dasselbe Prinzip hinaus. Die Systeme, die am wichtigsten sind, die kritischen Betriebssegmente und die Wiederherstellungskopien, sollten von einem kompromittierten Netzwerk aus nicht erreichbar sein. Was ein Angreifer nicht erreichen kann, kann er nicht verschlüsseln.
08Schlussgedanke
Industrielle Ransomware ist selten ein Präzisionsschlag gegen eine Steuerung. Sie ist eine Ausbreitung, von einem Einfallstor im Unternehmensnetz nach außen, bis der Betrieb davon erfasst wird. Das macht sie ebenso zu einem Problem der Pfade und der Erreichbarkeit wie zu einem Problem der Schadsoftware.
Begrenzen Sie die Pfade in den Betrieb, isolieren Sie die zur Wiederherstellung benötigten Assets und testen Sie, dass die Wiederherstellung funktioniert. Dämmen Sie die Ausbreitung ein und schützen Sie den Wiederanlauf, und Ransomware wird zu einer Störung, die man übersteht, statt zu einer Katastrophe, aus der man sich freikaufen muss.
FAQHäufig gestellte Fragen
Wie erreicht Ransomware OT-Systeme?
OT-Ransomware beginnt in der Regel in der IT durch Phishing, einen verwundbaren Dienst oder gestohlene Zugangsdaten und breitet sich dann über Persistenz, Diebstahl von Zugangsdaten und laterale Bewegung in Richtung Betrieb aus. Sie zielt oft nicht direkt auf Steuerungen ab.
Warum steht die Produktion still, wenn nur die IT verschlüsselt ist?
Der Betrieb hängt häufig von IT-Systemen ab, und selbst wenn dies nicht der Fall ist, fahren Betreiber die Produktion oft vorsorglich herunter, um eine Ausbreitung zu verhindern, oder weil sie die Sichtbarkeit und Kontrolle verloren haben, auf die sie angewiesen sind. Das Ergebnis ist in beiden Fällen ein Stillstand.
Wie dämmt man Ransomware in einer industriellen Umgebung ein?
Indem man die Netzwerkpfade begrenzt, entlang derer sie sich ausbreiten kann. Segmentierung teilt die Umgebung so auf, dass ein Vorfall nicht ungehindert zwischen Bereichen wechseln kann, und reduzierte Erreichbarkeit beseitigt ständige Verbindungen, sodass die kritischsten Segmente standardmäßig getrennt bleiben.
Was beschleunigt die Wiederherstellung nach OT-Ransomware?
Backups, die die Ransomware nicht erreichen konnte und deren Wiederherstellung getestet wurde, sowie dokumentierte und eingeübte Verfahren für das sichere Wiederanfahren des Betriebs und den Wiederaufbau von Steuerungssystemen aus Offline-Kopien ihrer Konfiguration und Logik.
Welche Rolle spielt Isolierung gegen Ransomware?
Isolierung verhindert sowohl die Ausbreitung als auch schützt sie die Wiederherstellung. Die Reduzierung der Erreichbarkeit verhindert, dass Ransomware den kritischen Betrieb erreicht, und die Isolierung von Wiederherstellungskopien stellt sicher, dass etwas übrig bleibt, von dem aus wiederhergestellt werden kann. Was ein Angreifer nicht erreichen kann, kann er nicht verschlüsseln.
SRCQuellen
Die Ausbreitung eindämmen, den Wiederanlauf schützen
Verhindern Sie, dass aus einem IT-Vorfall ein betrieblicher wird.
Begrenzen Sie die Pfade in den Betrieb und halten Sie kritische Segmente und Wiederherstellungskopien standardmäßig getrennt, sodass eine Kompromittierung sich nicht bis zur Anlage ausbreiten oder Ihren Weg zurück zerstören kann.