Rund jedes vierte Unternehmen im Maschinen- und Anlagenbau meldete innerhalb der letzten zwei Jahre einen signifikanten Cybersicherheitsvorfall.
Quelle: VDMA-Studie „Industrial Security und Produktpiraterie 2024“, Fraunhofer AISEC, 100 befragte VDMA-Mitgliedsunternehmen
Media Dropping ist eine etablierte Social-Engineering-Technik, die wir bei accessgranted regelmäßig in kontrollierter Form durchführen. Kein konkreter Vorfall bei einem bestimmten Kunden, sondern ein typischer Ablauf, der zeigt, wie wenig es oft braucht.
Unauffällig platziert, oft mit einem Firmenlogo oder einer neugierig machenden Beschriftung versehen.
Aus Neugier, Hilfsbereitschaft („vielleicht gehört er ja jemandem“) oder schlicht Gewohnheit, ganz ohne böse Absicht.
Von dort aus prüfen wir im echten Assessment, wie weit sich der Zugriff in Richtung Produktionsnetz ausweiten ließe.
Fehlt die Segmentierung zwischen Büro-IT und Produktionsnetz, sind SPS, Leitsysteme und der Fernwartungszugang des Maschinenherstellers vom kompromittierten Rechner aus erreichbar. Wir dokumentieren diesen Weg, statt ihn zu Ende zu gehen: An OT-nahen Systemen arbeiten wir passiv, aktiv nur in vorher abgestimmten Zeitfenstern.
Jedes Finding bewertet nach Schweregrad, Ausnutzbarkeit und möglicher Auswirkung auf den Produktionsbetrieb, mit Management-Summary für Geschäftsführung, IT-Leitung und Werksleitung und einer Zuordnung zu NIS2 und IEC 62443. So kann ein Auszug aussehen:
Produktionsumgebungen verbinden jahrzehntealte Steuerungstechnik mit moderner IT, meist ohne dass beide Seiten dieselbe Sicherheitskultur teilen.
SPS, Leitsysteme und Feldbusse sind oft auf Verfügbarkeit statt auf Sicherheit ausgelegt und laufen jahrelang ohne Patches.
Sensorik und vernetzte Maschinen erweitern die Angriffsfläche, häufig noch mit Werkseinstellungen, die nie geändert wurden.
Maschinenbauer und Systemintegratoren brauchen Fernzugriff für Service und Wartung, ein beliebtes Einfallstor, wenn er nicht sauber abgesichert ist.
Genau dort, wo klassische Büro-IT auf die Produktionsebene trifft, fehlt häufig die Netzwerksegmentierung, die eine Ausbreitung verhindern würde.
Paketannahme, Lieferanten, Speditionsfahrer: Hier kommen jeden Tag fremde Menschen und fremde Gegenstände ins Haus, oft ohne dass jemand fragt, wer eigentlich dazugehört.
Servicetechniker, Reinigungskräfte und Zeitarbeitende bewegen sich mit eigenem Laptop oder eigenem Ausweis durchs Werk. Deren Zugänge und Geräte laufen selten durch dieselbe Kontrolle wie eure eigenen.
Wo Kolleginnen und Kollegen entspannt und hilfsbereit sind, wirkt ein herrenloser USB-Stick oder ein „Ich bin neu hier“ am glaubwürdigsten.
Eine aufgehaltene Tür, ein Raucherausgang, eine Ausweiskontrolle, die nur morgens stattfindet: Der Weg in die Fertigungshalle führt oft an keiner Technik vorbei.
Verfügbarkeit der Fertigung hat Vorrang vor Testtiefe. Bevor wir irgendetwas anfassen, legen wir gemeinsam mit IT- und OT-Verantwortlichen fest, welche Systeme aktiv getestet, welche nur passiv analysiert und welche komplett ausgenommen werden. An SPS, Leitsystemen und anderen OT-nahen Systemen arbeiten wir im Regelfall passiv: Wir lesen mit, wir schreiben nicht.
Wo aktive Tests nötig sind, laufen sie in vorher abgestimmten Produktionsfenstern, mit definiertem Notfallkontakt auf beiden Seiten und der festen Regel, bei jeder unerwarteten Auswirkung sofort zu stoppen. Tests an Maschinen und Linien passieren nie ohne die Werksleitung am Tisch, damit kein Testschritt versehentlich die Fertigung anhält.
Wo IT, OT und Werksgelände zusammenkommen, braucht es mehr als einen Test. Das sind die Bausteine, mit denen wir arbeiten.
Simulierter Zutritt zu Werksgelände, Wareneingang und Fertigungshalle, inklusive Tailgating-Versuchen.
Phishing-, Pretexting- und Media-Dropping-Simulationen, zugeschnitten auf Schichtbetrieb und externe Dienstleister.
Gezielte Prüfung von SPS, SCADA und Fernwartungszugängen, abgestimmt auf Produktionsfenster und ohne Risiko für den laufenden Betrieb.
Netzwerksegmentierung zwischen IT und OT, Active-Directory-Härtung und die klassische Büro-IT im Werk.
Unsere NIS2-Seite zeigt den vollständigen Anforderungskatalog nach Art. 21 Abs. 2 und wie ein Penetrationstest die meisten Punkte davon technisch nachweist.