Létitia Combes
OT-Security: Warum digitale Souveränität allein nicht ausreicht.
In der Diskussion um digitale Souveränität stehen oftmals nur IT-Systeme im Fokus. Operational Technology (OT) und OT-Security wird dabei häufig außenvor gelassen. Warum sich auch bei der digitalen Souveränität ein Blick auf OT-Systeme lohnt und welche ganz eigenen Herausforderungen diese mitbringen.
Zusammenfassung (TL; DR):
- Digitale Souveränität ist für viele gleichbedeutend mit einem europäischen Anbieter, der seine Dienste in der EU hostet und auch EU-Gerichtsbarkeit unterliegt.
- Mit Blick auf die Produktionsinfrastruktur reicht digitale Souveränität im Sinne einer Anbietersouveränität allerdings nicht aus.
- Die Frage ist daher: Wie kann ich sicherstellen, dass ich meine Produktionsanlage jederzeit ohne externe Abhängigkeiten betreiben kann, also wie ist es um meine OT-Security bestellt?
Digitale Souveränität lautet das Motto der Stunde. Gerade mit Blick auf die angespannte geopolitische Situation werden aus Politik und Wirtschaft Stimmen laut, dass sich Europa konsequent von digitalen Abhängigkeiten lösen sollte. Was bedeutet das aber konkret im Kontext eines produzierenden Unternehmens?
Digitale Souveränität ist für viele gleichbedeutend mit einem europäischen Anbieter, der seine Dienste in der EU hostet und auch EU-Gerichtsbarkeit unterliegt. Das ist nachvollziehbar und mag in der IT auch ausreichen. Mit Blick auf die Produktionsinfrastruktur reicht digitale Souveränität im Sinne einer Anbietersouveränität allerdings nicht aus. Hier ist Betriebssouveränität, also OT-Security, das Gebot der Stunde, also die Frage: Wie können wir die Produktionsanlage ohne externe Abhängigkeiten betreiben, sichern und im Notfall wieder in Betrieb nehmen?
OT-Security – das ist bereits geschehen
Dabei handelt es sich keinesfalls um eine rein theoretische Fragestellung. Das zeigt folgendes Beispiel aus dem Jahr 2018: Ein US-amerikanischer Produktionsstandort in Russland musste quasi über Nacht die Produktion einstellen. Russische Behörden hatten nämlich große IP-Bereiche von AWS blockiert, um den Messengerdienst Telegram einzuschränken. Diese IP-Bereiche hosteten auch Salesforce, das über Nacht nicht mehr verfügbar war. Da bestimmte Produktionsprozesse aber von Salesforce abhängig waren, geriet die gesamte Produktion ins Stocken. Der Produktionsausfall war demnach nicht das Ergebnis eines Cyberangriffs oder eines technischen Ausfalls, sondern einer politischen Entscheidung.
Die Frage, die sich produzierende Unternehmen stellen müssen, ist folglich nicht nur: Sitzen meine Anbieter alle in Europa? Sondern: Wie kann ich sicherstellen, dass ich meine Produktionsanlage jederzeit ohne externe Abhängigkeiten betreiben kann?
