Konsortium um Fraunhofer IAO erarbeitet systematisches Vorgehen zur Prävention von Angriffen auf kritische Infrastrukturen

Dem Stillstand vorbeugen

News / 29. August 2023

Wie können Cybersicherheitsvorfälle bei kritischen Infrastrukturen rechtzeitig erkannt und verhindert werden? Zusammen mit der Fraport AG als Betreiber einer kritischen Infrastruktur untersuchen das Fraunhofer IAO, das Institut für Arbeitswissenschaft und Technologiemanagement IAT der Universität Stuttgart und die Goethe Universität Frankfurt im Projekt AEROKI diese Fragestellung unter Förderung des Bundesministeriums für Bildung und Forschung BMBF.

Die Bildkomposition unterstreicht die Verflechtung und Bedeutung von Technologie, Sicherheit und Verkehr. Das Bild besteht aus einer isometrischen Ansicht von verschiedenen Objekten und Strukturen. Es zeigt überwiegend einen blauen Hintergrund, der mit verschiedenen Elementen gefüllt ist. Die Elemente sind miteinander um die Verflechtung darzustellen. In der Mitte des Bildes befindet sich eine isometrische Darstellung eines Flughafens mit Flugzeugen und einem Tower. Im Vordergrund befinden sich ein Server. In der rechten oberen Ecke befindet sich eine Wolke, ein isometrisch dargestelltes Cloud-Computing-System. In der rechten Mitte des Bildes befindet sich ein Computer, auf dem ein Vorhängeschloss abgebildet wird, das Sicherheitsmaßnahmen symbolisiert. Außerdem ist in der rechten unteren Ecke des Bildes ein blauer Lastwagen. — © Fraunhofer IAO unter Verwendung von Adobe Stock

Kritische Infrastrukturen sind aufgrund ihrer Komplexität, aber auch durch ihre Bedeutung für die Funktionsfähigkeit von Wirtschaft und Gesellschaft ein attraktives Ziel für kompetente Angreifende. So existieren mutmaßlich staatlich finanzierte Angreifergruppen die sich hauptsächlich auf die Kompromittierung kritischer Infrastruktur konzentrieren. Wie kann dem vorgebeugt werden?

Systematische Methodik zum Erkennen von Schwachstellen der Cybersecurity

Antworten auf diese Frage entwickelt das Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO seit 1. Juni 2023 in dem vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Projekt AEROKI. Projektpartner sind neben dem kooperierenden Institut für Arbeitswissenschaft und Technologiemanagement IAT der Universität Stuttgart die Goethe Universität Frankfurt und die Fraport AG, die verschiedene kritische Infrastrukturen in sich vereint – vom Flug- und Terminalbetrieb über Energieversorgung bis hin zum Medical Center. Ziel des Projekts ist es, für solche komplexe Strukturen der Cybersicherheit effizient anwendbare Methoden und Werkzeuge zu entwickeln, die es ermöglichen, angesichts sich stetig verändernder Bedrohungsszenarien die eigene Sicherheitslage jederzeit umfassend bewerten zu können.

Kernstück des Projekts ist das sogenannte Risk Value Scoring. Hier laufen alle Informationen zusammen, um zu entscheiden, ob im Hinblick auf die aktuelle Bedrohungslage der Nutzen eines Systems das mit dem Betrieb verbundene Risiko übersteigt. Um Bedrohungen frühzeitig erkennen zu können, muss man zum einen die in der kritischen Infrastruktur betriebenen Systeme und Komponenten erfassen. Dazu gehört nicht nur die klassische Informations- und Kommunikationstechnologie (IT) sondern auch die Operational Technologie (OT). Dies ist Aufgabe des sogenannten Assetmanagements. Sprich alle Systeme, die mit dem Internet verbunden sind, müssen zunächst identifiziert und auf Sicherheitsfragestellungen geprüft werden. Zum anderen muss die aktuelle Bedrohungslage erfasst werden. Dazu gehören Informationsquellen wie offizielle Cyber-Sicherheitswarnungen vom Bundesamt für Sicherheit in der Informationstechnik, aber potenziell auch Chats in Sozialen Medien.

Wie sicher bestimmte Zulieferer von Software und Komponenten sind, ermittelt das Forschungsteam des Fraunhofer IAO basierend auf sogenannter Open Source Intelligence, also öffentlich frei verfügbarer Informationen. Die so im Projekt entwickelten Kennzahlsysteme fließen im Risk-Value-Scoring zusammen und können künftig dabei helfen, die Sicherheitslage automatisiert und aktuell im Blick zu haben, potenzielle Gefahrenstellen frühzeitig zu erkennen und gegebenenfalls zu beheben. »Dem wirtschaftlichen Druck auf bestehende Strukturen zur Aufrechterhaltung der IT-Sicherheit wird in AEROKI durch weitgehende Automatisierung dieser Komponenten Rechnung getragen«, versichert Projektleiter Dr. Christian Schunck, der sich am Fraunhofer IAO auf Cybersicherheitsvorfälle spezialisiert hat.

Eine übertragbare Analysemethodik

© Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI)
Aspekte kritischer Infrastruktur laut Bundesamt für Sicherheit in der Informationstechnik.

Der von Fraport betriebene Frankfurter Flughafen, anhand dessen eine solche Methodik der Cybersicherheitsanalyse erarbeitet werden soll, dient gewissermaßen als Mikrokosmos, da er über viele Aspekte kritischer Infrastruktur verfügt: Neben den flughafenspezifischen Geschäftsfeldern Ground Handling und Terminalbetrieb gibt es im Fraport Handlungsfelder wie Facility Management, Handels- und Vermietungsmanagement, Infrastrukturmanagement (Bau), Energienetzbetrieb, eine eigene medizinische Klinik, und eine große Feuerwehr.. Dies wird begleitet von zentralen Diensten wie Personal, IT, Rechtsanwälte, Rechnungswesen, Zentraleinkauf u. v. m. Durch eine große Anzahl an wechselnden Zulieferern, Soft- und Hardwareeinkäufen sowie einer erheblichen Anzahl an IT-Systemen werden diese Bereiche gewissermaßen »geöffnet« und dadurch potenziell verwundbar. »Die systematische Sicherheitsanalyse, die das Projektteam gemeinsam erarbeitet, soll nicht nur das Sicherheitsniveau des Flughafen Frankfurt weiter erhöhen, sondern auch als Blaupause für andere Branchenunternehmen, sowie grundsätzlich jede kritische Infrastrukturen dienen und hat das Potenzial, die Zukunft der zivilen Sicherheit ebenso wie die Cybersecurity produzierender Unternehmen nachhaltig zu prägen«, erklärt Alexander Döhne, Leiter Cyber Security und IT-Governance, zur Motivation der Teilnahme von Fraport.

Das resiliente Sicherheitsnetz von morgen

Profitieren können beispielsweise Behörden, Unternehmen und Servicedienstleister, die kritische Infrastrukturen betreiben: Energie- und Gesundheitssektor ebenso wie Stadtwerke, Kommunen, Transport- und Verkehrswesen, Finanz- und Versicherungswesen, aber auch Verantwortliche für die IT-Sicherheit in der Produktion von Unternehmen.

News