Beiträge

Sicherheitsbedenkenreduktion

In meiner Kolumne für das Factory-Magazin beschäftige ich mich mit dem für Industrieunternehmen zunehmend relevanten Thema Security: https://factorynet.at/menschen/trauen-sie-keiner-software-die-sie-selbst-nicht-hacken-koennen/

Trauen Sie keiner Software, die Sie selbst nicht hacken können!

Man solle keiner Statistik trauen, die man nicht selbst gefälscht hat. So lautet eine beliebte Redewendung. Für Außenstehende ist eine Statistik oft eine Blackbox, der man nicht ganz traut. Dem kann man entgegenwirken, z.B. durch Quellenangaben oder durch Einblicke in die Datenbasis. Das schafft Vertrauen. Ähnlich verhält es sich bei Software im Industrie-Einsatz.

Vertrauen ist gut…

Wann verlassen Sie sich auf eine Software? Wird eine Software z.B. von Lieferanten, Kundinnen oder Partnern empfohlen, dann ist das zumeist vertrauensstärkend. Auch Lösungen, die global verbreitet oder bei vielen Unternehmen im Einsatz sind, wird häufig vertraut.

Die breite Nutzung einer Software garantiert jedoch nicht deren Sicherheit. Sicherheitslücken sind auch bei großen Lösungsanbietern keine Seltenheit, wie z.B. der Angriff auf die Firma SolarWinds 2020 zeigte. Auch fehlerhafte Software-Updates können gravierende Probleme verursachen, wie z.B. beim jüngsten Ausfall der EDR-Lösung der Firma Crowdstrike. Viele Nutzerinnen schützen also noch nicht vor Ausfällen oder Schäden.

… Kontrolle besser…

Proprietären Software-Lösungen wird häufig ihre Intransparenz als Sicherheitsdefizit vorgeworfen. Ist der Code einer Software eine Blackbox, dann lässt sich nicht kontrollieren, ob Sicherheitslücken vorhanden sind. Von „Security through obscurity“ raten Security-Experten zumeist ab.

Abhilfe schafft Open Source Software. Der transparente Quellcode einer Software kann dabei helfen, potenzielle Sicherheitslücken schnell zu entdecken und zu schließen. Theoretisch können die eigenen Entwicklerinnen sich selbstständig auf die Fehlersuche begeben und zur Sicherheit der Software beitragen.

In der Praxis ist das aber häufig nicht der Fall. Allzu oft wird die Sicherheit zentraler IT-Infrastruktur durch ehrenamtlich arbeitende Einzelpersonen auf Selbstausbeuterbasis aufrechterhalten. Das kann große Probleme verursachen. Anfang des Jahres wurde z.B. in der Software XZ Utils eine potenziell äußerst gefährliche Hintertür nur durch Zufall entdeckt und geschlossen. Offener Quellcode schützt demnach auch nicht vollständig vor Ausfällen oder Schäden.

… professionelle Validierung und vielfaches Testen am besten.

Gerade in der Produktion wird die Sicherheit von Software in Zeiten vernetzter Fabriken und verschmelzender IT-/OT-Systeme immer wesentlicher. Was kann man also abseits der Anbieterwahl und der Einforderung von Quellcode-Transparenz tun, wenn man möglichst sichere Software einsetzen möchte?

Eine Möglichkeit bieten Normen und Standards. In der Automobilindustrie spielen z.B. die Norm ISO/SAE 21434 oder der TISAX-Standard wichtige Rollen. Durch deren Einhaltung bzw. entsprechende Zertifizierungen können Software-Anbieterinnen Vertrauen schaffen. Standards und bekannte Bedrohungen können auch mit entsprechender Software schon im Produktdesign berücksichtigt werden. Die steirische AVL setzt dabei z.B. auf die ThreatGet-Software, die u.a. vom österreichischen AIT entwickelt wurde.

Darüber hinaus kann die Resilienz einer Software durch die gezielte Schaffung von Extremsituationen und durch darauf aufbauende Anpassungen erhöht werden. Die von Netflix entwickelte Open Source Software Chaos Monkey hilft z.B. genau dabei. Das Prinzip dahinter: gezielte Sabotage zur Erhöhung der Sicherheit. Diese Vorgehensweise empfiehlt auch der renommierte Security-Experte Bruce Schneier.

Schneier wiederum ist namensgebend für „Schneier’s Law“ – einen Merksatz, der auch für produzierende Unternehmen im Zusammenhang mit Software und Vertrauen gilt: Jeder kann ein Sicherheitssystem entwickeln, das so durchdacht ist, dass man selbst sich nicht vorstellen kann, wie man es zerstören könnte.

Regionaldigitalisierung

Gemeinsam mit den Wirtschafts- und Standortagenturen der österreichischen Bundesländer erstelle ich in meiner beruflichen Funktion regelmäßig Steckbriefe, die die österreichische Angebote zu Digitalisierung & Industrie 4.0 auf regionaler Ebene zusammenfassen. Die Steckbriefe beinhalten u.a. Informationen zu Ansprechpersonen, Förderungen, Kompetenzzentren oder Flagship-Projekten.

Seit kurzem ist die 11. Version der Steckbriefe online: https://plattformindustrie40.at/blog/2024/09/03/digitalisierung-und-industrie-4-0-in-oesterreichs-regionen/

Outsourcingkonsequenzen

In meiner Kolumne für das Factory-Magazin schreibe ich über die „digitale Fertigungstiefe“ in der Produktion: https://factorynet.at/menschen/outsourcing-die-digitale-fertigungstiefe-als-strategische-entscheidung/

Outsourcing: die digitale Fertigungstiefe als strategische Entscheidung

„Pfusch am Bau“ ist eine beliebte Fernsehsendung. Im Mittelpunkt stehen Probleme beim Hausbau, rund um Wasser in der Wand, minderwertige Materialien etc. Quelle der Versäumnisse sind häufig scheinbar günstige (Sub-)Unternehmen, die an der falschen Stelle sparen und Häuslbauer, die das nicht beurteilen können.

Immer wieder: Make-or-Buy?

Selber machen oder externe Leistungen zukaufen? Diese Frage beschäftigt nicht nur österreichische Häuslbauer. Die Suche nach der richtigen Balance aus eigenem und zugekauftem Knowhow findet sich in der Industrie im Konzept der Fertigungstiefe. Sie misst den Anteil der Eigenfertigung am gesamten Produktionsprozess.

Produzierende Unternehmen müssen laufend und strategisch entscheiden, wie hoch die eigene Fertigungstiefe sein soll. Dabei gibt es kein eindeutiges Richtig oder Falsch. Industrieunternehmen, die viel selbst fertigen, sind in wirtschaftlich schwierigen Zeiten oft resilienter. Solche, die viel outsourcen, sind oft flexibler. Die Tatsache, dass die OEMs der Automobilindustrie ihre Fertigungstiefe reduzierten, bildet die Grundlage für die wichtige österreichische Zulieferindustrie.

Mit der Plattform Industrie 4.0 haben wir kürzlich eine Roadmap veröffentlicht, in der u.a. die Wichtigkeit des Domänenwissens am Industriestandort Österreich betont wird. Damit gemeint ist das betriebsinterne Wissen zur Herstellung von Produkten und zu Produktionsprozessen. Ist die Fertigungstiefe in einem Bereich besonders ausgeprägt, dann ist zumeist auch viel spezifisches Domänenwissen vorhanden – Betriebe haben in der Folge ein Alleinstellungsmerkmal.

Outsourcing im OT- und IT-Bereich

Wie sieht die Situation rund um Industrie 4.0 aus? Steuerungen, Sensoren, digitale Messtechnik, Roboter, AGVs etc. – sie sind aus der Produktion, dem OT-Bereich, nicht mehr wegzudenken. Viele österreichische Firmen haben daher beschlossen, solche Systeme selbst herzustellen und als Produkte anzubieten. Zwei Beispiele: die Anlagenbauer von Andritz bieten selbst Automatisierungslösungen an, der Automatisierungsspezialist Beckhoff entwickelt in Wien seit kurzem eigene Roboter.

Auch Datenbanken, digitale Zwillinge oder innovative Softwarelösungen sind in der Produktion weit verbreitet. Und auch im IT-Bereich gibt es produzierende Unternehmen, die selbst weitgehende Lösungen entwickeln, z.B. die steirische AVL in der Automobilindustrie.

Aktuell beschäftigt die Frage nach der „digitalen Fertigungstiefe“ zahlreiche Firmen im Bereich der IT-Infrastruktur. Hybride Cloudumgebungen – eine Mischung aus eigenem Rechenzentrum und öffentlicher Cloud – verbreiten sich zunehmend. Vorteilen wie der Skalierbarkeit oder der Verfügbarkeit öffentlicher Cloud-Systeme stehen Security-Fragen oder einseitige Abhängigkeiten gegenüber. Dabei gilt wie immer: nicht alles, was glänzt, ist Gold. „Serverless Computing“ funktioniert nicht ohne Server und Kostenvorteile können sich umkehren, wie das Beispiel des IT-Unternehmens Basecamp zeigt.

In jedem Fall: Kompetenz benötigt

Gerade wenn es darum geht, das vorhandene Domänenwissen mit IT-Knowhow anzureichern und auszubauen, ist der Aufbau entsprechender Teams notwendig. Das betrifft heute z.B. das Thema der praktisch sinnvollen Datennutzung oder den zunehmend wichtigen Bereich der IT-Sicherheit. Eigene, kompetente IT-Mitarbeiter:innen sind selbst dann notwendig, wenn externe Expertise zugekauft wird.

Natürlich gilt auch im digitalen Raum, dass es per se kein Richtig oder Falsch rund um Outsourcing gibt. Es gilt jedoch: trotz Auslagerung braucht die Industrie das Knowhow, um die Steuerung ihrer Auftragnehmer und die Qualitätskontrolle sicherzustellen. Pfusch ist nicht nur am Bau langfristig teuer.