Cybersicherheitsforschung für die Zukunft

Ob selbstfahrende Autos oder Elektromobilität  – die Digitalisierung verändert Fahrzeuge und Automobilindustrie. Moderne Autos enthalten heute mehr Programmiercode als ein Flugzeug und der Fahrer hinterlässt heute Datenspuren – zum Beispiel Bewegungs- und Geschwindigkeitsprofile. Autohersteller nutzen solche Informationen, um ihre Produkte zu verbessern. Versicherungen können anhand des Fahrverhaltens beispielsweise Vergünstigungen für umsichtige Fahrer anbieten. Datenschützer sehen das Ganze allerdings skeptisch: Denn bislang hat der Fahrer keine Kenntnis und keinen Einfluss darauf, welche Daten er preisgibt. Dies wollen Forscher vom Fraunhofer-Institut für Sichere Informationstechnologie SIT im Projekt »Selbstdatenschutz im vernetzten Fahrzeug – SeDaFa« nun gemeinsam mit Partnern aus Forschung, Bund und Industrie ändern.

Mit steigender Komplexität der Fahrzeug-IT wachsen zudem auch die Risiken der Hackerangriffe. Gleich in mehreren EU-Projekten entwickeln Fraunhofer-Forscher deshalb durchgängige und einheitliche IT-Sicherheitskonzepte für die Car2X-Kommunikation, um die Authentizität, Integrität und Vertraulichkeit beim Austausch von sensiblen Daten sicherzustellen.

Ein weiteres mögliches Sicherheitsrisiko der Autos der Zukunft betrifft das Thema tanken: Wie kann man sicherstellen, dass niemand sein Auto auf Kosten anderer betankt? Wie lässt sich vermeiden, dass sich aufgrund der Tankvorgänge Bewegungsprofile erstellen lassen? Solchen und ähnliche Fragen widmen sich Forscher im Projekt »Delta«.

Produktionsanlagen waren bislang kaum an das Netz angebunden – und somit vor Angriffen aus dem Internet geschützt. Im Zuge von Industrie 4.0 ändert sich das: Die Maschinen kommunizieren miteinander, die Netzwerke werden weiter geöffnet, sei es innerhalb des Unternehmens oder zu externen Partnern. Die Anlagen sind damit verwundbarer: Pro Jahr entsteht allein der Industrie ein Schaden von mehr als 22 Milliarden Euro durch Datendiebstahl, Spionage und Sabotage, ermittelte der Branchenverband Bitkom 2016.

Um vernetzte Industrieanlagen effektiv vor Cyberangriffen und Spionage zu schützen, wurde das »Nationale Referenzprojekt für IT-Sicherheit in der Industrie 4.0«, kurz IUNO, ins Leben gerufen. 21 Partner ziehen dort an einem Strang – darunter drei Fraunhofer-Institute sowie Bosch, Siemens und Volkswagen.

Speziell auf Produktions- und Automatisierungstechnik zugeschnitten ist das IT-Sicherheitslabor des Fraunhofer IOSB. In dem Labor können Wissenschaftler die gesamte komplexe IT-Infrastruktur einer Fabrik nachbilden, samt Büronetz sowie den Netzen zur Produktionsplanung, -überwachung und –steuerung.

Wie es um rechtliche, organisatorische und technische Aspekte in punkto IT-Sicherheit für die Industrie steht, haben die Forscher mehrerer Fraunhofer-Institute gemeinsam mit weiteren Partnern für die gleichnamige Studie des Bundesministeriums für Wirtschaft und Energie BMWi analysiert.

Energie, Wasser, medizinische Versorgung – legen Cyberangriffe solche Infrastrukturen lahm, sind die Ausmaße enorm. Doch gerade für kleinere Versorgerunternehmen ist es oftmals schwer, sich und damit das gesamte System adäquat zu schützen. Vor allem für diese Zielgruppe vereinfachen Fraunhofer-Forscher Schutz und Risikobewertung.

Die Herausforderung: Im Zuge der Energiewende sind die Anlagen nicht nur direkt miteinander, sondern zunehmend auch über das Internet verbunden. Was energiepolitisch viel Sinn macht, bedeutet aus Sicht der Cybersicherheit große Herausforderungen und verlangt leistungsstarke Sicherheitslösungen. Für die Verantwortlichen in den Betreiberanlagen heißt das: Sie müssen die IT-Sicherheit jederzeit auf dem neuesten Stand und flächendeckend aufrechterhalten – und zwar nicht  für eine zentralisierte Struktur, sondern für zahlreiche heterogene, regionale Unternehmen. Doch gerade für sie ist es oft schwierig, die Sicherheit zu gewährleisten.

Das Bundesamt für Sicherheit in der Informationstechnik BSI gibt zwar eine standardisierte Beurteilung – eine Art umfassender Fragenkatalog – vor, um Risiken zu identifizieren. Allerdings ist diese zu komplex für kleinere Unternehmen. Forscher des Fraunhofer-Instituts für Angewandte und Integrierte Sicherheit AISEC arbeiten daher im Projekt MOSAIK daran, diese Bewertung zu verschlanken: »Wir vereinfachen das Experten-zentrierte Verfahren des BSI auf ein einfacheres Vorgehen, welches auch Fachanwender durchführen können.«, sagt Dr. Jörn Eichler, Abteilungsleiter am AISEC.

Langfristig soll es dann sogar möglich sein, vorab verschiedene Maßnahmen durchzuspielen und zu testen, wie hilfreich sie jeweils gegen die konkret ermittelten Bedrohungen sind, ohne den laufenden Betrieb zu stören.

Seien es Suchmaschinen oder Online-Shops: Datenbasierte digitale und überall verfügbare Services erleichtern den Alltag. Aber wie ist es um die Sicherheit von Diensten, Schutz von Daten sowie letztlich auch Vermögenswerten und Identität bestellt? »Daten sind zum vierten Produktionsfaktor geworden«, sagt Michael Ochs, Geschäftsfeldmanager am Fraunhofer IESE. »Schutz der Privatsphäre, Identität und geistigem Eigentum sowie Vertrauen in die Services werden zu einer wesentlichen Fragestellung bei der Nutzung digitaler Dienste.«

Will man bestimmte Dienste nutzen, so geht das meist nicht, ohne die Geschäftsbedingungen zu akzeptieren. Ganz oder gar nicht. Das heißt aber auch: Man hat keinen Einfluss darauf, wer wann was mit den persönlichen Daten machen kann (be white). Möchte jemand nicht so transparent werden, bleibt nur, diese Dienste nicht zu nutzen (be black). Fraunhofer-Forscher ermöglichen nun eine dritte – und vor allem sicherere – Option: Be gray and be secure.