Britische Hersteller: 30 % von Cyberangriffen betroffen, die Hälfte unvorbereitet

Was die Umfrage über Angriffe auf britische Hersteller enthüllt

Eine neue vom Guardian veröffentlichte Umfrage zeichnet ein besorgniserregendes Bild für die industrielle Basis des Vereinigten Königreichs: Fast ein Drittel der Hersteller war im vergangenen Jahr von einem Cyberangriff betroffen. Noch beunruhigender: Nur etwa die Hälfte der befragten Unternehmen verfügt über einen formellen Plan, wie im Fall eines Angriffs zu reagieren ist. Große Unternehmen berichteten, ständig bedroht zu sein, doch viele arbeiten immer noch ohne die grundlegenden Handlungsleitfäden, die Schäden begrenzen und die Wiederherstellung beschleunigen könnten.

Die Kluft zwischen Angriffsfläche und Vorbereitung ist hier die eigentliche Nachricht. Es ist eine Sache, anzuerkennen, dass Angriffe häufig vorkommen; eine andere ist es, tatsächlich Prozesse, Rollen und technische Schutzmaßnahmen aufzubauen, die eine schnelle Reaktion ermöglichen. Hersteller ohne Reaktionsplan entscheiden faktisch mitten in einer Krise, wie sie auf eine Sicherheitsverletzung reagieren – genau dann, wenn Fehler am kostspieligsten sind.

Warum Hersteller bevorzugte Ziele für Hacker sind

Das Risiko von Cyberangriffen auf britische Hersteller steigt nicht zufällig. Fabriken und Industrieunternehmen befinden sich an einer unbequemen Schnittstelle: Sie halten wertvolles geistiges Eigentum, betreiben komplexe Lieferketten mit Dutzenden von Drittanbietern und setzen zunehmend auf vernetzte Betriebstechnologie, die ursprünglich nicht mit Blick auf Cybersicherheit entwickelt wurde. Veraltete industrielle Steuerungssysteme, Legacy-Software und ein Flickenteppich an Fernzugriffstools, die von Auftragnehmern und Ingenieuren genutzt werden, vergrößern die Angriffsfläche zusätzlich.

Hersteller sind auch deshalb attraktive Ziele, weil eine Betriebsunterbrechung sofortige, sichtbare Folgen hat. Ein Ransomware-Angriff, der eine Produktionslinie zum Stillstand bringt, kostet nicht nur Lösegeld; er stoppt Lieferungen, verletzt Liefervereinbarungen und kann auf jedes nachgelagerte Unternehmen ausstrahlen. Dieser Hebel erhöht den Druck auf Hersteller, schnell zu zahlen, und macht sie dadurch von vornherein zu attraktiveren Zielen.

Angreifer sind außerdem besser darin geworden, die Verteidigungsmaßnahmen zu umgehen, von denen Unternehmen annehmen, dass sie sie schützen. Der D1R-Ransomware-Angriff auf ARM ist hierfür eine aufschlussreiche Fallstudie: Die Gruppe, die sich zu dem Angriff bekannte, schaffte es, ein bedeutendes britisches Technologieunternehmen zu kompromittieren, obwohl eine Zwei-Faktor-Authentifizierung vorhanden war – eine Maßnahme, die viele Unternehmen für sich allein genommen als ausreichend betrachten. Dieser Vorfall erinnert daran, dass keine einzelne Sicherheitsvorkehrung, so üblich sie auch sein mag, Schutz garantiert. Gestaffelte Verteidigungsmaßnahmen sind wichtiger als jedes einzelne Häkchen auf einer Checkliste.

Die Lücke schließen: VPNs, Zugriffskontrollen und Grundlagen der Incident Response

Ein großer Teil der in der Umfrage beschriebenen Gefährdung geht darauf zurück, wie Fernzugriff und interne Netzwerke verwaltet werden. Hersteller haben oft Ingenieure, Auftragnehmer und externe Wartungsteams, die sich von außerhalb des Gebäudes in interne Systeme einwählen, manchmal mit Endverbraucher-Tools oder veralteter Fernzugriffssoftware, die seit Jahren nicht überprüft wurde.

Ein richtig konfiguriertes VPN, kombiniert mit strikten Zugriffskontrollen, ist einer der direktesten Wege, dieses Risiko zu verringern. VPNs verschlüsseln den Datenverkehr zwischen Remote-Benutzern und internen Systemen, was es Angreifern deutlich erschwert, Zugangsdaten oder Sitzungsdaten auf dem Weg abzufangen. Aber ein VPN allein ist kein Allheilmittel, wie der ARM-Fall zeigt. Es muss mit starker Authentifizierung, Netzwerksegmentierung, die die Bewegungsfreiheit eines eingedrungenen Angreifers einschränkt, sowie regelmäßigen Überprüfungen einhergehen, wer tatsächlich auf was Zugriff hat.

Für Hersteller, die noch auf flache Netzwerke setzen, in denen ein einziges kompromittiertes Konto Produktionssysteme, Finanzsoftware und Kundendaten gleichzeitig erreichen kann, sollte Segmentierung als Priorität gelten, nicht als nette Ergänzung. Zusammen mit VPN-gesichertem Fernzugriff sind dies inzwischen grundlegende Hygienemaßnahmen und keine fortschrittlichen Verteidigungen, die großen Unternehmen vorbehalten sind.

Erstellen Sie einen Reaktionsplan, bevor Sie ihn brauchen

Die vielleicht aussagekräftigste Erkenntnis der Umfrage ist zugleich die einfachste: Nur die Hälfte der Hersteller hat einen Incident-Response-Plan. Das bedeutet, die andere Hälfte würde während eines akuten Sicherheitsvorfalls improvisieren und in Echtzeit entscheiden, wen man anruft, welche Systeme isoliert werden und wie man mit Kunden und Aufsichtsbehörden kommuniziert.

Ein grundlegender Reaktionsplan muss nicht kompliziert sein. Er sollte festlegen, wer während eines Vorfalls entscheidungsbefugt ist, die technischen Schritte zur Isolierung betroffener Systeme auflisten und einen Kommunikationsplan für Mitarbeiter, Kunden und – wo relevant – Aufsichtsbehörden enthalten. Diesen Plan regelmäßig zu testen, und sei es nur durch eine einfache Tabletop-Übung, ist ebenso wichtig wie das Aufschreiben selbst.

Was das für Sie bedeutet

Wenn Sie in der Fertigung arbeiten oder ein Unternehmen führen, das von Fertigungspartnern abhängig ist, ist diese Umfrage ein Signal, Ihre eigene Angriffsfläche zu prüfen, anstatt davon auszugehen, dass es das Problem anderer ist. Fragen Sie, ob der Fernzugriff auf Ihre Systeme durch ein VPN und eine starke Authentifizierung gesichert ist, ob Ihr Netzwerk so segmentiert ist, dass ein einzelner Einbruch nicht überall hingelangen kann, und ob es einen tatsächlich schriftlich niedergelegten Plan gibt, was passiert, wenn ein Angreifer eindringt. Das in dieser Umfrage beschriebene Cyberrisiko für britische Hersteller ist nicht abstrakt; es spiegelt Lücken wider, die in alltäglichen IT-Entscheidungen existieren.

Wichtige Erkenntnisse

• Fast ein Drittel der britischen Hersteller wurde im vergangenen Jahr angegriffen, und doch hat nur die Hälfte einen Reaktionsplan.
• Hersteller sind aufgrund von wertvollem geistigem Eigentum, komplexen Lieferketten und veralteter Betriebstechnologie attraktive Ziele.
• Standardverteidigungen wie Zwei-Faktor-Authentifizierung können umgangen werden, wie der ARM-Vorfall zeigt, daher sind gestaffelte Sicherheitsvorkehrungen entscheidend.
• VPN-gesicherter Fernzugriff und Netzwerksegmentierung sind Basisschutzmaßnahmen und keine optionalen Extras.
• Ein schriftlicher, erprobter Incident-Response-Plan sollte für jeden Hersteller ohne einen solchen Priorität haben.