In vier Schritten zu mehr Cybersicherheit für Schiffe

Durch die zunehmende Ausstattung mit Datentechnik sowie Vernetzung von OT (Operational Technology) und IT ist Cybersicherheit auch bei Schiffen ein Thema. Durch die moderneren Techniken bieten sie eine ebenso große Angriffsfläche wie klassische Unternehmen an Land.

Ob es die Navigationssysteme auf der Schiffsbrücke, die Wartung der gewaltigen Motoren oder die Dokumente der einzelnen Container betrifft: Immer mehr Datentechnik hält an Bord Einzug.

Sensoren und Sender können beispielsweise Informationen über den Zustand der Technik an Land schicken. Wird eine Störung gemeldet, können Mitarbeiter bei der Ankunft im nächsten Hafen direkt mit den notwendigen Ersatzteilen bereitstehen. Das spart erhebliche Kosten ein, die normalerweise für das Einfliegen von Technikern und Teilen anfallen. Um diesen Echtzeit-Status für alle Arten von Systemen wie Motoren, Ruder, Propeller und Vorschaltgeräten zu erreichen, ist eine Vernetzung zwischen OT- und IT-Systemen unabdingbar. Diese Vernetzung allerdings entfernt die wasserdichten Schotten, die es früher zwischen beiden Systemen gab, und öffnet Cyberkriminellen zahlreiche neue Einfallstore. Werden Schiffe Opfer eines erfolgreichen Hacker-Angriffs, könnte es zu unkontrollierbaren Schiffen auf hoher See oder in Hafengebieten kommen bis hin zu provozierten Zusammenstößen. Solche Schreckensszenarien werden insbesondere beim Betrieb unbemannter Schiffe befürchtet, mit denen mittelfristig zu rechnen ist.

Andere Szenarien sind zum Beispiel Cyberangriffe auf große Häfen, die Terminals außer Betrieb setzen oder Containerladungen und vertrauliche Daten manipulieren. Solche Angriffe können zu erheblichen Schäden durch Betriebsunterbrechungen oder zu Reputationsverlusten führen. Um das Risiko von Cyberattacken abzuschwächen, müssen Unternehmen mögliche Szenarien simulieren und geeignete Maßnahmen zur Risikominderung identifizieren.

Die Security Division von NTT Ltd., einem weltweit führenden Technologie-Dienstleister, rät zu folgenden Schritten für mehr Sicherheit im Cyberbereich:

1. ein „ethisches Hacking“
   Security-Tests mit professionellen Penetrationstestern, die die Branche gut kennen, helfen, Sicherheitslücken in allen Bereichen, von Zugangssystemen über Netzwerke bis hin zu Betriebssystemen, zu finden und dann mit geeigneten Maßnahmen zu schließen. Aus NTT-Erfahrungen sind hier maritime Steuersysteme wie Navigation oder die Steuerung der Balasttankpumpen immer wieder ein leichtes Ziel.
2. Überwachung der Netzwerke rund um IT- und OT-Umgebung
   Dies kann mit Sensoren geschehen, die den Netzwerkverkehr passiv „abhören“, analysieren und nach Abweichungen zum „Normalverhalten“ suchen. Diese werden dann automatisch gemeldet.
3. Bearbeitung aller Alarme rund um die Uhr
   Meldet das Überwachungssystem Fehler, sollten Experten sofort prüfen, ob es sich um einen ernstzunehmenden Vorfall oder um normalen Traffic handelt. Hier gibt es natürlich Einschränkungen bei der zentralen Analyse durch Satellitenverbindungen der Schiffe auf hoher See.
4. umfassendes Notfallmanagement und Incident-Response-Programm
   Bei einer ernsthaften Warnung müssen sofort Maßnahmen ergriffen werden, um einen erfolgreichen Angriff auf Daten zu verhindern. Das setzt das nötige Fachwissen voraus, damit erst gar kein Schaden entsteht, der Menschen, Materialien, Finanzen und Reputation gefährdet.

„Cyberrisiken sind für die Schifffahrtindustrie, die stark vernetzt ist und in ihrem Betrieb zunehmend auf Automatisierung setzt, eine neue Gefahr. Ein Hacker-Angriff auf die Technik an Bord, insbesondere auf die elektronischen Navigationssysteme, könnte zu einem Totalverlust führen und sogar mehrere Schiffe einer Reederei betreffen. Die Unternehmen sollten deshalb mögliche Szenarien simulieren und geeignete Maßnahmen zur Risikominderung identifizieren“, erklärt Christian Koch, Director GRC und IoT/OT bei der Security Division von NTT Ltd. „Zwar ist das Sicherheitsthema für vernetzte IT- und OT-Systeme auf Schiffen noch so jung, dass gesetzliche Regelungen bislang die Ausnahme sind. Es gibt jedoch einige Normen wie NIS, MTSA3 und VIQ7, die entsprechende Richtlinien enthalten. Unternehmen, die die genannten vier Schritte befolgen, sind auf dem besten Weg zur Einhaltung dieser Standards.“