Industrial Cyber Security für den Mittelstand

Ankommen, virtuelles Kennenlernen und noch einen Kaffee holen …

Begrüßung und Einführung

• Dr.-Ing. Volker Franke, Geschäftsführer HARTING Applied Technology GmbH, Espelkamp, und Vorstandssprecher Zukunftsallianz Maschinenbau

Was wir von Kirchturmglocken und Orchestern lernen können: Cybersecurity für den Mittelstand meets Music

Iris Plöger, Mitglied der Hauptgeschäftsführung, BDI e. V.

Vor dem Hintergrund der jüngsten Cyberangriffe auf unterschiedlichste Organisationen sowie der aktuellen Cybersicherheitsbedrohungen im Kontext des völkerrechtswidrigen Angriffs Russlands auf die Ukraine sollten alle Unternehmen ihre IT- und OT-Security stärken. Die Auswirkungen eines Cyberangriffs auf Geschäftsprozesse sind weitreichend – teils führen sie Unternehmen an den Rand des Bankrotts. Zwar können Cybersicherheitsvorfälle niemals gänzlich ausgeschlossen, ihre Auswirkungen durch eine ganzheitliche Cybersicherheitsstrategie jedoch signifikant reduziert werden. Was kann der deutsche Mittelstand von Kirchturmglocken und Orchestern zur Stärkung der Cyberresilienz lernen?

Hacker-Angriff in Aerzen – ein Erfahrungsbericht

Stephan Brand, Vice President Marketing & Director Turbo Business, Aerzener Maschinenfabrik GmbH

Die Aerzener Maschinenfabrik wurde im Juni 2021 zum Ziel eines Cyber-Angriffs. Stephan Brand erzählt, wie die Situation von den Kolleginnen und Kollegen erlebt wurde und welche Auswirkungen der Angriff hatte. Welche Gegenmaßnahmen sind getroffen worden und wie ist die zukünftige Ausrichtung?

Wie erreicht man ausreichenden Schutz vor drohenden Cyberangriffen in Industrial Automation & Control Systemen (IACS) und in industriellen Netzen?

Dirk Kretzschmar, CEO, TÜV IT GmbH

Mit der zunehmenden Digitalisierung und Vernetzung der Industrieanlagen werden Anlagen der Steuerungs- und Leittechnik zunehmend aus standardisierten Hardware- und Softwarekomponenten zusammengesetzt und vernetzt. Die Digitalisierung von Industrial Automation & Control System (IACS) und die schnell wachsende Technologie für Industrie 4.0. erhöhen die Komplexität im Bereich der IT-Sicherheit. Sie drohen zum Ziel potenzieller Hackerangriffe zu werden. Diese gefährden neben sensiblen Kundendaten auch interne Unternehmensnetzwerke. Doch wie kann man IT Sicherheit in komplexen Industrieanlagen prüfen und sogar zertifizieren?

Mit Industrial Security Assessments kann die Sicherheit ihrer industriell eingesetzten Lösungen bzw. Industrial Control Systems (ICS) überprüft werden. Im Vortrag werden Möglichkeiten der IEC 62443, der 5G Campus Netz Security und die Nutzung bedarfsgerechter Penetrationstests (Pentests) aufgezeigt, um Betreiber dabei zu unterstützen, ihre Industrieanlagen bestmöglich gegen Cyberattacken und Datendiebstähle abzusichern.

Have a break…

Krieg in der Ukraine und die Bedeutung für Deutschland

Prof. Dr. Haya Shulman, Missionsleiterin in ATHENE, Professor an Goethe-Universität Frankfurt, Abteilungsleiterin am Fraunhofer SIT

Russland begann einen Krieg gegen die Ukraine, der durch Cyberangriffe auf Ukrainische Einrichtungen begleitet wurde. Was könnte das für Deutschland bedeuten, und was können wir tun, um uns zu schützen?

Digitalisierung und Wirtschaftsspionage – Risiken in einer vernetzten Welt

Jörg Peine-Paulsen, Niedersächsischer Verfassungsschutz

Mehr Digitalisierung = mehr Risiko? Jedes Unternehmen tut gut daran, alles erdenklich Mögliche zu tun, damit diese Gleichung nicht aufgeht. Auch wenn die Angriffe immer mehr und auch immer ausgereifter und professioneller werden, ist es keine Option, den Kopf verzweifelt in den Sand zu stecken. Werfen wir gemeinsam einen Blick auf die Risiken und mögliche Schutzmaßnahmen.

Gaia-X Mission, Milestones and Deliverables 2022

Francesco Bonfiglio, CEO, Gaia-X Association

Gaia-X is a non-for-profit association of more than 324 members, encompassing users and providers of technology, that have joined their forces to realise one mission:  develop a new generation of trusted cloud and digital platforms, through the creation of common Data Spaces, ultimately bringing in further European innovation to the digital economy. Ultimately, Gaia-X will:

• Bring in the necessary trust and transparency on technology,
• Enable data exchange,
• Reduce the dependency from non0European, non-sovereign platforms and operators,
• Give Europe a new opportunity to compete within European borders and beyond.

On the basis of a 5 years’ plan, 2021 launched the setup of the endeavor and gave answers on the why, what, and how we will do this.

Moving ahead with 2022, Gaia-X focuses on the ‘adoption’, with several projects developing the Gaia-X SW framework, specifications, and validating the requirement that will finally allow our dream of ‘trust’ to realise. Essential steps this year include the establishment of the lab, the deployment of the initial SW components that constitute the Gaia_X framework – available to all as OSS, and the initial market deployment of concrete Lighthouse projects showcasing what Gaia-X can do across a number of sectors, including automotive, agriculture, healthcare, mobility, and manufacturing, amongst others.

Paneldiskussion

Im Rahmen der Paneldiskussion werden wir über das aktuelle Cyber-Security-Bedrohungspotential für den industriellen Mittelstand diskutieren. Im Mittelpunkt stehen dabei bewährte Abwehrstrategien und konkrete Maßnahmen zur Verbesserung des Cyber-Security-Reifegrads der Unternehmen.

• Prof. Dr. Eric Bodden, Direktor Forschungsbereich Softwaretechnik und IT-Sicherheit, Fraunhofer-Institut für Entwurfstechnik Mechatronik IEM
• Stephan Brand, Vice President Marketing & Director Turbo Business, Aerzener Maschinenfabrik GmbH
• Dr. Dominik Rohrmus, COO, Gaia-X Association

Begrüßung und Start in den Tag

Gerald Pörschmann, Geschäftsführender Vorstand, Zukunftsallianz Maschinenbau

Cyberangriffe und Schutzmaßnahmen – Überblick aus Sicht des BSI

Jens Cordt, Industrielle Steuerungs- und Automatisierungssysteme, Bundesamt für Sicherheit in der Informationstechnik (BSI) 

Rechtliche Anforderungen an IT-Sicherheit

Adrian Schneider, Rechtsanwalt/ Partner, Osborne Clarke

Unternehmen haben nicht nur ein ureigenstes Interesse daran, sich vor Angriffen zu schützen. Auch das Recht macht teilweise Vorgaben, wie technische Systeme zu schützen sind. Und vor allem: Was passieren muss, wenn es zu einem Angriff kommt. Der Beitrag skizziert, welche rechtlichen Pflichten Sie kennen sollten und wie Sie sich rechtlich für den Fall eines Incidents wappnen können.

In den folgenden 60 Minuten finden zweimal parallele Breakout Sessions im Wechsel von je 30 Minuten statt. Sie haben somit Gelegenheit, an beiden Sessions teilzunehmen.

Session 1: „Schwachstelle System“ 

Moritz Krebbel, Geschäftsführer, automITe-Engineering GmbH

automITe hat uns zwei Themen angeboten: beide waren so spannend, dass wir uns nicht entscheiden konnten. Wir haben den Teilnehmern angeboten, ihr Wunschthema zu benennen. Die Wahl ist mehrheitlich auf „Schwachstelle System“ gefallen, welches nun auch vorgestellt wird.

Am 14.04. hat ein Webinar zum Thema „Schwachstelle Mensch“ stattgefunden. Hier geht es zur Aufzeichnung.

Schwachstelle System

In dieser Breakout-Session wird ein typischer Angriff auf ein Produktionsnetzwerk demonstriert. Dabei wird vorgestellt, wie ein Angreifer von außen in Unternehmensnetzwerke eindringen kann und sich Zugang zu verschiedenen Geräten innerhalb des Netzwerkes verschaffen kann. Weiterhin wird demonstriert, welchen Schaden ein Angreifer verursachen kann – vom Stehlen von Daten bis hin zum Verschlüsseln von Rechnern.

Session 2: Industrial Cyber Security: Herausforderungen und Lösungen für den Mittelstand

Caroline Neufert, Senior Manager Cyber Security   und 
Bernd Koberwein, Head of Security Services, BearingPoint

In der Breakout Session werden wir die Herausforderungen beleuchten, denen sich der Mittelstand beim Thema OT- bzw. Industrial Security stellen muss und welche Lösungsansätze es gibt. Den Schwerpunkt setzen wir auf die technischen Möglichkeiten und erläutern, wie mittels eines strukturierten Vorgehens und bereits bekannter Maßnahmen aus der IT die Angriffsfläche effizient reduziert werden kann. 

Have a break…

Zusammenfassung der Breakout-Sessions

Start-ups stellen sich vor:

PHYSEC GmbH – Dr. Heiko Koepke, CFO & Mitgründer

Wie man kryptografische Beweise von Bits auf Atome erweitert“

Die PHYSEC Technologie wurde entwickelt, um die Abrüstung von Atomwaffen aus der Ferne zu verifizieren. Die digitale Welt und die physische Welt wachsen aber auch in anderen Branchen immer weiter zusammen. PHYSEC schafft hierfür einen mitlernenden Vertrauensanker durch ihr innovatives Anti Tamper Radio und die KI-assistierte Service Plattform IoTree. 2016 gegründet, bietet PHYSEC heute ganzheitliche digitale Zwillinge beliebig komplexer Anlagen. Die Lösung wurde vom MIT Technology Review ausgezeichnet und 2019 für den deutschen Zukunftspreis vorgeschlagen.

asvin GmbH – Mirko Ross, CEO

„Security for Software Supply Chains“

Daten-Lieferketten sind komplexen Bedrohungen ausgesetzt. Software ist in weiten Teilen unseres Lebens ein fester Bestand und versorgt uns mit Komfort, Flexibilität und Sicherheit. Sicherheit? Derzeit gehen wir davon aus, dass die Dinge, die wir benutzen und mit Software ausgestattet sind, auch sicher sind. Aber entlang der Lieferkette von Software, von der Entwicklung bis zu den Updates, gibt es vielfache Angriffsflächen für Angreifer. Und die werden immer besser, was dazu führt, dass sie regelmäßig neue Schwachstellen aufspüren und Schadcode implementieren. Bei sicherheitsrelevanten Geräten, wie beispielsweise in Energienetzen, der Luftsicherheit, als Teil von industriellen Anlagen oder in autonomen Fahrzeugen wird die Gesellschaft als Ganzes und jedes Individuum ernsthaft bedroht. Software Supply Chains müssen ganzheitlich überwacht werden, um potenzielle Angriffe rechtzeitig zu verhindern und geeignete Maßnahmen im Rahmen des Risiko-Managements zu implementieren.

Wie kommen wir von „Doomed to fail“ zu „Secure by Design“?

Prof. Dr. Eric Bodden, Direktor Forschungsbereich Softwaretechnik und IT-Sicherheit, Fraunhofer-Institut für Entwurfstechnik Mechatronik IEM

Auch unabhängig von der aktuell angespannten IT-Sicherheitslage durch den Ukrainekrieg, stehen Unternehmen in Deutschland vor großen Herausforderungen in Punkto IT-Security. Was sind die derzeit größten Bedrohungen? Und was ist kurz- und langfristig der Ausweg aus dieser Situation? Wie können Sie als Unternehmen am besten Ihre Investitionen priorisieren? Der Vortrag wird sich diesen Fragestellungen widmen und erklären, wie Security by Design und Risikoanalysen bei der Beantwortung helfen.

Best Practice – von der Risikoanalyse zum Security Konzept

Hauke Kästing, Industrial Security Consultant, PHOENIX CONTACT

Wollen Sie Ihre Anlage umfassend schützen, ist es unabdingbar, dass Sie das Vorhaben ganzheitlich angehen, neben der Technik also auch prozessuale und menschliche Aspekte berücksichtigen. Dieses übergreifende Vorgehen spiegelt sich auch in der zukunftsorientierten Norm für Industrial Security – IEC 62443 wider.

Wir zeigen Ihnen einen „Best Practice” Weg von der Erfassung der Anlageninformationen zum Security Konzept.

Offener Austausch und Zusammenfassung

Ende der Veranstaltung