«Cybersicherheit und Verfügbarkeit gehen in Energienetzen Hand in Hand»

Die Energiebranche muss mit immer mehr Daten umgehen können. Ist das eine Chance oder ein neues Risiko?

Tim Senn: Eine Chance: Umfangreiche Daten bieten die Möglichkeit, effizientere und nachhaltigere Energiesysteme zu entwickeln. Dazu werden Bereiche der Energieproduktion und des Netzmanagements mit IT angebunden.

Zu welchem Preis?

In der Folge kommunizieren immer mehr Industrie-Anlagen, IoT-Geräte und Sensoren im internen Netzwerk und ins Internet. Das Netzwerk wird dadurch kritisch für das Kerngeschäft und Zwischenfälle im Netzwerk erzeugen hohen Kosten. Diese entstehen nicht nur durch Cyberangriffe, sondern auch durch Inkonsistenzen in der Architektur des IT- und OT-Netzwerks und Fehlkonfigurationen.

Sind die Energieversorger und Verteilnetzbetreiber für dieses neue Zusammenspiel von Operations- (OT) und Informationstechnologien (IT) gerüstet?

Das Bewusstsein ist vorhanden und die Unternehmen arbeiten aktiv an ihrer Resilienz. Gerade in der OT sind sie mit spezifischen Herausforderungen konfrontiert. OT-Netzwerke sind historisch gewachsen, sind sehr heterogen und folgen zum Teil geographischen Gegebenheiten. Während in der IT der typische Lebenszyklus eines Geräts oder Servers drei bis fünf Jahre beträgt, sind in der OT die vernetzte Anlagen auch mal 15 Jahre im Betrieb. Gleichzeitig ist das Schadenspotenzial in der OT höher.

Tim Senns Tipp 1
Fokus auf das Wesentliche: Prävention ist die Basis. Grundlage dafür sind Transparenz sowie ein sicheres und stabiles Design. Grössere Investitionen in Detektion und Reaktion bauen darauf auf, können diese Basics aber nicht ersetzen.

Was muss getan werden?

Die historisch gewachsene Architektur des Netzwerks muss überarbeitet werden, sodass sie diesen Eigenheiten Rechnung trägt. Dafür gibt es spezifische Normen und Architekturmodelle wie den IEC-62443 Standard und das Purdue Modell. Das ist keine Raketenwissenschaft, bedeutet aber Arbeit – und dies in einer Situation, wo es wenige Fachkräfte im Bereich Infrastruktur gibt. Zudem muss man erst einmal Transparenz schaffen.

Kennen die Energieunternehmen denn ihre Assets?

Viele haben mittlerweile einen Überblick über ihre Assets, doch der Grad der Transparenz variiert. Wir sprechen hier von potenziell hunderten Trafostationen und tausenden Assets. Gerade bei der Netzwerkinfrastruktur gilt es, die Topologie und Konfiguration ganzheitlich zu kennen, zu analysieren und Veränderungen laufend nachvollziehen zu können. Ein Fokus auf einzelne Assets und Geräte lenkt dabei eher vom Wesentlichen ab. Viele Assets sind und bleiben für sich gesehen verwundbar. Auf der Netzwerkebene kann ich sie jedoch schützen. Eine weitere Herausforderung ist, dass das Wissen verteilt an einzelnen Personen gebunden ist und die Dokumentation – wenn vorhanden – manuell geschieht. Dadurch geht Information verloren und es ist jeweils unklar, wie gross die Differenz zwischen der Dokumentation, dem Wissen in den Köpfen und der Realität ist.

Ist die KI im Energienetz die Lösung oder nur ein neues Problem?

Es gibt vielversprechende Ansätze. Vor allem im Bereich der Automatisierung, wie z.B. die automatische Analyse und Erstellung von Konfigurationen, Policies etc. sowie automatische Detektion und Klassifikation von Vorkommnissen. Es ist jedoch kein Allheilmittel. Ich mag es, zuerst nach simplen, schlanken Ansätzen zu suchen, die direkter zum Ziel führen. In der Praxis zeigt sich die Herausforderung, dass z.B. bei komplexen Systemen immer noch ein Mensch maschinelle Entscheide validieren muss – insbesondere in kritischen OT-Umgebungen wird das AI-System sonst selber zum Risikofaktor. Menschlichen Aktionen und Entscheide sollten darum nur unterstützt, nicht aber ersetzt werden.

Tim Senns Tipp 2
Teure Hersteller Lock-ins und Marketingversprechen vermeiden: Der Kauf von teuren Lizenzen und Hardware löst die Herausforderungen nicht. Man kann sehr viel Geld ausgeben ohne wirklich voranzukommen.

Nach der Ransomware nun die Blackoutware: Wie beurteilen Sie die aktuelle und künftige Bedrohungslage für die Energienetzbetreiber?

Das Cybersecurity-Business ist leider häufig ein Spiel mit der Angst. Meiner Meinung nach wird zu wenig über tatsächliche Vorfälle und zu viel über Hypothetisches geredet. Neben Ransomware-Angriffen nun auch über sogenannte Blackoutware, die darauf abzielt, ganze Stromnetze zu destabilisieren. Dabei sollte man sich aber nicht von fiktiven Horrorszenarien leiten lassen. Für kommerzielle Ransomware-Banden gibt es einfachere Wege Geld zu verdienen als einen Blackout anzustreben. Staatliche Akteure haben potenziell eine andere Motivation. Dennoch sehen wir z.B. im Kontext des Ukraine-Kriegs, dass die Realität nicht mit der Phantasie des prophezeiten Cyber Wars mithalten kann. Bereits vor dem Krieg wurde 2016 in Kiew zwar mit der Malware Industroyer durch das irreguläre Ausschalten mehrerer Umspannwerke ein Stromausfall bewirkt. Doch solche Operationen sind extrem aufwendig. Der damit erzielte Ausfall dauerte nur ungefähr eine Stunde und steht in keinem Verhältnis zum Aufwand. Ein erneuter Versuch 2022 schlug fehl.

Was bedeutet das für die Risikoanalyse?

Angriffsvektoren und -szenarien sollten systematisch analysiert werden. Jedoch auf Basis der eigenen Infrastruktur und Business-Prozesse und nicht anhand von Anekdoten. Das digitale Risikospektrum umfasst zudem mehr als nur Cyberangriffe. Viele Ausfälle werden durch Fehlfunktionen, Fehlkonfigurationen und eine zu wenig robuste Gesamtarchitektur erzeugt. Auch Firewalls erzeugen zum Beispiel Störungen und weisen kritische Sicherheitslücken auf. Schauen wir uns nur mal an, was kürzlich mit Crowdstrike und Microsoft passiert ist – da hatte vermutlich niemand Böses im Sinn. Aus dieser Perspektive sehe ich ein grosses Risiko für die Cyberresilienz von Unternehmen in der wachsenden digitalen Monokultur. Wenn unsere kritische Infrastruktur zunehmend von ein paar wenigen Systemen und Anbietern abhängig ist, dann werden vermeintliche Lösungen plötzlich zu einem grossen Klumpenrisiko. Das gilt sowohl für einzelne Unternehmen als auch für die Gesellschaft.

Tim Senns Tipp 3
Organisation überdenken: Die Reduktion von Silo-Denken und der fragmentierten Systemlandschaft bietet grosse Hebeleffekte. Resilienz wird nur erreicht, wenn die Zusammenarbeit zwischen IT und OT neu gedacht wird. Das bedeutet neue Rollenmodelle zu entwickeln, bedingt aber auch kulturellen Wandel.

Wie schaffen Unternehmen der Energiebranche die Transformation des Energiesystems ohne neue Sicherheitsrisiken einzugehen?

Cyberresilienz ist ein kontinuierlicher Prozess. Mit neuen Technologien und zunehmender Vernetzung wird es immer auch neue Risiken geben. Gleichzeitig steigt auch der digitale Reifegrad der Unternehmen kontinuierlich. Der Schutz der eigenen Kronjuwelen ist nicht mit einem Projekt, mit der Anschaffung einer bestimmen Lösung oder mit der Verlagerung in die Cloud abgeschlossen. Es braucht eine pragmatische Herangehensweise mit klaren Prioritäten, eigener Kompetenz und Kontinuität – dann lässt sich das Risiko gut managen. Ich sehe das optimistisch.

Über den Gesprächspartner

Dr. Tim Senn ist Mitgründer von narrowin. Er hat zu ‚Digital Ecosystems‘ doktoriert und berät an der Schnittstelle zwischen Technologie, Innovation und Organisation. An der Hochschule Luzern und an der Fachhochschule Nordwestschweiz engagiert er sich als externer Dozent für «Digitale Transformation» sowie «Digital Trust».

Assets von OT und IT auf einen Blick

Der «Lightweight Network Explorer» generiert beispielsweise automatisch einen digitalen Zwilling des IT- und OT-Netzwerks. Dieser spart viel Zeit und bietet zugleich die Datengrundlage für die Umsetzung regulatorischer Standards. Zum Kundenkreis zählen vor allem kritische Infrastrukturen, aber auch Produktionsbetriebe und der Bildungssektor. Mehr Informationen: narrowin.ch