Produktsicherheit durch Penetrationstests

Unter dem Schlagwort Industrie 4.0 werden auch Produktionsanlagen immer digitaler und smarter gemacht. Die vernetzte Produktion konfrontiert Unternehmen zunehmend mit dem Thema IT-Sicherheit. Gerade im Herstellungsprozess sind die Auswirkungen durch einen Hackerangriff besonders spürbar. Um Produktsicherheit zu gewährleisten, werden immer häufiger Penetrationstests gegen solche Anlagen oder deren Komponenten durchgeführt.

Bei einem Penetrationstest handelt es sich um einen simulierten Hackerangriff. Der Penetrationstester verwendet hierbei dieselben Techniken, die auch ein krimineller Hacker anwenden würde. Je nach Testgegenstand sind unterschiedliche Experten beteiligt. Bei Industriegeräten mit Cloud-Anbindung ist es z.B. sinnvoll, Experten für Embedded-Systeme, Webanwendungen und Cloud-Infrastrukturen einzusetzen.

Nach der Planung, in der Vorbereitungsphase schafft der Auftraggeber die nötigen Rahmenbedingungen. Sollen beispielsweise einzelne Komponenten einer Produktionsstraße geprüft werden, so braucht der Tester die entsprechenden Komponenten in mehrfacher Ausführung.

Während der Durchführung des Penetrationstests sollte immer ein Ansprechpartner für Rückfragen erreichbar sein. Funktioniert ein Gerät nach einem Angriff nicht mehr korrekt, ist ein enger Kontakt zwischen Pentester und Auftraggeber notwendig, um Fehler schnell beheben zu können.

Beim Test der Hardware eines Industriegeräts werden zuerst die erreichbaren Schnittstellen, wie Netzwerkanschlüsse oder proprietäre Stecker geprüft. Häufig wird zusätzlich das Gehäuse geöffnet, um dessen Inhalt zu untersuchen. Da die Sicherheit der Speicherbausteine bei der Entwicklung nicht selten vernachlässigt wird, kann ein Pentester u.U. den Betriebssystemspeicher des Geräts extrahieren und manipulieren und so das gesamte Gerät kompromittieren.

Im Fokus von Embedded-Tests stehen außerdem sogenannte Debug-Schnittstellen. Diese werden während der Entwicklung der Hardware benötigt und erlauben direkten Zugriff auf das System. Gelegentlich werden diese Schnittstellen in der finalen Produktion nicht entfernt oder deaktiviert. Gibt es zu dem Gerät eine Back-End-Komponente, so ist zu empfehlen, diese zusätzlich zu testen.

Genau wie ein Hacker interessiert sich ein Penetrationstester hier unter anderem für die Authentifizierungs- und Autorisierungskonzepte sowie für die Möglichkeiten, seine eigenen Rechte zu erweitern und fremde Kundendaten auszulesen.

Am Ende eines Pentests steht ein Bericht mit detaillierten Erklärungen zu den gefundenen Schwachstellen. Um diese beheben zu können, sollten sie so beschrieben sein, dass der Kunde sie selbstständig nachstellen kann. Für Rückfragen zu Schwachstellen oder deren Behebung sollte das durchführende Unternehmen selbstverständlich zur Verfügung stehen.