Flotten im Fadenkreuz von Cyber-Kriminellen

Täglich transportieren ganze Lkw-Flotten wertvolles Gut. Dr. Michael Müller, CEO der Magility GmbH, erklärt, warum Logistiker und vernetzte Flotten besonders im Fadenkreuz von Hackern stehen.

Moderne Logistikdienstleister kommen um das Thema Cyber-Security nicht herum. Foto: Fotolia – Redpixel / Shutter81

Herr Dr. Müller, Sie warnen davor, dass die Vernetzung etwa von Lkw oder ganzen Logistikketten auch Angriffsflächen für Cyber-Attacken eröffnet. Wie groß ist diese Bedrohung nach Ihrer Einschätzung?

Müller: Sogenannte End-to-End Solutions wie zum Beispiel vernetzte Logistikketten bieten eine große Oberfläche für Cyber-Angriffe. Die Bedrohung wächst kontinuierlich mit der zunehmenden Anzahl vernetzter Nutzfahrzeuge. Fahrzeugflotten mit terminkritischen oder verderblichen Frachten bieten ein bevorzugtes Angriffsziel für verbrecherische Organisationen.

Haben Hacker überhaupt Interesse an Zielen in der Logistik?

Müller: Wie schon das Schadprogramm WannaCry in 2017 gezeigt hat, sind auch Logistikketten attraktive Ziele, um die Prozesseigner zur Zahlung von Lösegeld – eines bestimmten Betrages in einer Kryptowährung – zu zwingen. Dieser Cyber-Angriff betraf mehrere global tätige Unternehmen wie die Logistikunternehmen FedEx und Schenker. Insgesamt wurden Ziele in über hundert Ländern erfolgreich angegriffen, allein bei der Deutschen Bahn wurden rund 450 Rechner infiziert. In China konnten Kunden an mehr als 20.000 Tankstellen nur noch in bar bezahlen. Angriffe wie WannaCry könnten auch zukünftig gegen Nutzfahrzeugflotten stattfinden, wenn nicht entsprechend vielschichtige, technische und organisatorische Schutzmaßnahmen durchgeführt werden.

Aber lässt sich nicht auf andere Weise – zum Beispiel mit dem Klau von Bezahldaten – schneller und unkomplizierter Geld machen?

Müller: Ein Angreifer wählt immer die Lücke, mit der er am einfachsten ein End-to-End System penetrieren kann. Hierbei ist es völlig egal, ob der Angriff über das Nutzfahrzeug, über das Logistik-Backend oder über eine mobile Applikation auf dem Smartphone erfolgt. Welche Daten dann entwendet oder manipuliert werden, hängt von dem konkreten Angriffsziel des Hackers ab.

Sind die heute in der Industrie eingesetzten Kommunikationsstandards ausreichend sicher? Wo müsste noch nachgelegt werden?

Müller: Es gibt grundsätzlich keine hundertprozentige Cyber-Security, denn Hard- und Software werden immer ein Stück weit fehlerhaft sein. Diese Lücken werden von Hackern genutzt, um Systeme zu penetrieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bezüglich der zahlreichen und unterschiedlichen Protokolle und Kommunikationsstandards sogenannte IT-Grundschutz-Kataloge veröffentlicht. Wir empfehlen dringend die Anwendung und Umsetzung dieser BSI-Empfehlungen.

Dr. Michael Müller ist Geschäftsführer der Magility GmbH. Foto: Magility

Raten Sie Flottenmanagern und Logistikdienstleistern angesichts der Risiken, auf Vernetzung ganz zu verzichten oder solche Ambitionen zumindest einzuschränken?

Müller: Logistik muss auch in der Zukunft international effizient und effektiv geleistet werden, hierzu ist der Einsatz von IT unumgänglich. Allerdings müssen neben der funktionalen Sicherheit auch von Anfang an die Themen Cyber-Security und Privacy miteinbezogen werden. Hierzu sollte jede Logistikfirma ein Cyber-Security-Management System (CSMS) einführen, mit dem sie die eingesetzten Cyber-Security Technologien, die Prozesse, die Organisation sowie die Qualifikation ihrer Mitarbeiter konsequent steuern kann. Magility berät Kunden bei der Implementierung und Ausgestaltung von CSMS.

Wer steht in der Verantwortung? Muss sich jedes Unternehmen selbst kümmern oder gibt es auch übergreifende Ansätze?

Müller: Zunächst steht ein Unternehmen natürlich direkt in der eigenen Verantwortung für alle internen Cyber-Security-Aktivitäten. Allerdings müssen auch die komplette Wertschöpfungskette aus Hard- und Software sowie die Schnittstellen in die Kundensysteme abgesichert werden. Dies erfordert einen holistischen Ansatz, der sorgfältig ausgestaltet und ständig weiterentwickelt werden muss. Hierzu sind immer wieder Risikoanalysen und Penetration Tests durchzuführen. Auch muss die aktuelle Gefährdungslage beobachtet werden. Hierzu geben unter anderem das schon erwähnte BSI sowie die Allianz für Cybersicherheit wertvolle Hinweise.

Wie stellen sich Logistikdienstleister am besten und konkret für das Thema Cyber-Security auf?

Müller: Cyber-Security muss ein elementarer Bestandteil des Managementsystems eines Unternehmens werden. Hierzu muss die Unternehmensleitung klare Zielvorgaben für ein Cyber Security Management System (CSMS) definieren. In einem ersten Schritt ist eine klare Organisations- und Prozesslandschaft festzulegen. In einem zweiten Schritt ist eine Risikoabschätzung für die End-to-End Solution entlang der kompletten Wertschöpfungskette durchzuführen.

In einem dritten Schritt ist ein Cyber-Security-Programm mit klaren Verantwortlichkeiten und ausreichenden Budgets aufzustellen, um die erkannten Cyber-Risiken rasch einzudämmen. Als vierter Schritt sind die Mitarbeitenden des Unternehmens in Cyber-Security zu qualifizieren, und das Thema muss in die Regelkommunikation mit aufgenommen werden. Im fünften Schritt ist die Implementierung der Cyber-Security-Maßnahmen sukzessive, konsequent und auch gegen Widerstände umzusetzen. In regelmäßigen Abständen muss ein Effektivitäts-Monitoring installiert werden, das die Umsetzung der beschlossenen Maßnahmen überprüft und kontrolliert.

Dr. Michael Müller

Dr. Michael Müller hat an der Technischen Universität Wien und der Universität der Bundeswehr München studiert. Der ausgewiesene Cyber-Security-Experte ist Geschäftsführer der Magility GmbH sowie President EMEA der mittlerweile zu Continental gehörenden Argus Cyber Security Ltd. Die Magility GmbH berät und unterstützt operativ bei der Implementierung kundenspezifischer CSMS (Cyber-Security-Management System). DEKRA Certification zertifiziert die Cyber-Security Organisation und die Prozesse nach den aktuellen gesetzlichen Vorgaben und Richtlinien.