Betreiber kritischer Infrastrukturen werden aufgefordert, sich auf eine härtere Realität einzustellen: Das Netzwerk ist möglicherweise während des Vorfalls, zu dessen Bewältigung es eigentlich beitragen soll, nicht vertrauenswürdig.

Sehen Sie sich das On-Demand-Webinar an: Was CI Fortify über Kommunikation verschweigt

Das ist die Grundidee hinter CI Fortify, den gemeinsamen Leitlinien der CISA, des Australian Cyber Security Centre des Australian Signals Directorate, des FBI sowie internationaler Partner, darunter das britische Cyber Security Centre, das Canadian Centre for Cyber Security und neuseeländische nationale Sicherheitszentren. Der Schwerpunkt der Leitlinien liegt auf der Isolierung kritischer Betriebstechnologie und der Systeme, die diese unterstützen, damit wesentliche Dienste auch in Krisenzeiten weiterlaufen können.

Das technische Ziel ist sinnvoll. Doch es wirft eine operative Frage auf, die jede Organisation im Bereich kritischer Infrastrukturen vor dem nächsten Vorfall beantworten muss: Wie kommunizieren die für die Reaktion zuständigen Mitarbeiter, sobald das Netzwerk unterbrochen ist?

Isolation verändert das Kommunikationsproblem

Im Normalbetrieb laufen Kommunikationsvorgänge häufig über Unternehmensnetzwerke, cloudbasierte Tools für die Zusammenarbeit, Netzwerke von Netzbetreibern oder öffentliche Internetverbindungen. Bei einem Cybervorfall können diese Kanäle jedoch nicht verfügbar, überlastet, kompromittiert oder absichtlich unterbrochen sein.

Das bedeutet, dass der Notfallplan nicht darin bestehen kann, „private Mobiltelefone zu nutzen“ oder „auf eine Messenger-App für Privatanwender auszuweichen“. Diese Tools liegen möglicherweise außerhalb der Kontrolle des Unternehmens, sind nur unzureichend nachprüfbar, hängen von denselben beeinträchtigten Netzwerken ab oder können die nach dem Vorfall benötigten Nachweise nicht liefern.

„‚Private Handys nutzen‘ oder ‚auf eine Messenger-App für Privatanwender umsteigen‘ darf nicht die Notlösung sein.“ — Ramon Pinero, Vizepräsident und Geschäftsführer, BlackBerry AtHoc

„Out-of-Band“ bedeutet mehr als nur einen separaten Pfad

Ein Out-of-Band-Kommunikationsweg muss unabhängig von den zu isolierenden Systemen sein. Er muss vertrauenswürdig sein und vor dem Vorfall getestet worden sein. Er muss auch unter erschwerten Bedingungen funktionsfähig bleiben – nicht nur in einer theoretischen Übung – und die Funktionen bereitstellen, auf die eine Reaktion angewiesen ist: Alarmierung, Bestätigung, Rückruf, sichere Koordination und Berichterstattung. 

Das ist für Ihr Unternehmen von Bedeutung, da Einsatzteams oft klein sind. Ein Energieversorger verfügt beispielsweise möglicherweise nur über wenige Mitarbeiter, die die Anlage kennen, die Steuerungsumgebung verstehen und unter Druck die richtigen betrieblichen Entscheidungen treffen können. Wenn diese Mitarbeiter nicht erreichbar sind und nicht koordiniert werden können, wird die technische Isolierung keine betriebliche Widerstandsfähigkeit gewährleisten.

Die Koordinierungsaufzeichnungen sind wichtig

Die Widerstandsfähigkeit wird heute im Nachhinein gemessen. Aufsichtsbehörden, öffentliche Stellen, Gremien und Gemeinden müssen möglicherweise wissen, wer benachrichtigt wurde, wer reagiert hat, welche Maßnahmen ergriffen wurden und wann wichtige Informationen weitergegeben wurden. Eine Kommunikationsplattform, die ausschließlich auf Reichweite und nicht auf Nachweismöglichkeiten ausgelegt ist, hinterlässt eine Lücke, wenn Ihre Reaktionsmaßnahmen überprüft werden.

Die Out-of-Band-Kommunikation sollte im Rahmen jedes Notfallplans finanziert und getestet werden. Sie dient der Übermittlung von Befehlsentscheidungen, der Rechenschaftspflicht des Personals, der Koordination vor Ort und der externen Berichterstattung, wenn die normale Infrastruktur nicht mehr zuverlässig ist. Das ist keine reine Komfortfunktion.

Bereite es vor, bevor es passiert

Der Praxistest ist einfach: Kann sich Ihr Team auch nach einer Netzwerkisolierung noch intern und mit externen Partnern abstimmen? Wenn die Antwort „Ich bin mir nicht sicher“ lautet, haben Sie eine Lücke in der Ausfallsicherheit entdeckt.

Um diese Lücke zu schließen, muss ein vertrauenswürdiger Out-of-Band-Kanal eingerichtet, müssen reaktionskritische Geräte validiert, die Zustellung und Bestätigung von Warnmeldungen überprüft und der Prozess mit derselben Sorgfalt durchgespielt werden, die auch bei der technischen Isolierung zum Tragen kommt. Ein Isolationsplan, der keine Kommunikation ermöglicht, ist unvollständig. Ihr Unternehmen benötigt beides: Systeme, die weiterlaufen können, und Mitarbeiter, die die Koordination aufrechterhalten können.

Wenn die Betriebstechnik ausfällt, ist eine Koordination nicht mehr möglich

Die jüngsten Cyberangriffe auf US-amerikanische Wasserversorger waren ein eindringlicher Weckruf. OT-Netzwerke in kritischen Infrastrukturen sind bevorzugte Ziele für Angreifer, und das Risiko ist längst keine theoretische Gefahr mehr. Deshalb ist die CI-Fortify-Empfehlung der CISA vom 28. Juli eine klare Anweisung: Bereiten Sie sich schon heute darauf vor, lebenswichtige OT-Systeme zu isolieren und den wesentlichen Betrieb aufrechtzuerhalten.

Weitere Informationen: Besuchen Sie das BlackBerry CI Fortify Resource Center