„Verant­wort­lich­keiten sind noch nicht geklärt“

Herr Mach­anek, wie ist es denn um das Thema Indus­trial Security im Maschi­nenbau und bei den Kunden bestellt?

David Mach­anek: Es herrscht nach wie vor eine große Unsi­cher­heit. Gleich­zeitig regis­trieren wir, dass der Wissens­durst unserer Kunden groß ist, denn die Sorge vor Cyber­at­ta­cken wächst – beson­ders in kleinen und mittel­stän­di­schen Unter­nehmen. In diesem Span­nungs­feld befinden sich viele Betriebe und die Unsi­cher­heit wird durch die gesetz­li­chen und norma­tiven Ände­rungen, die auf uns zukommen, verstärkt.

Wie kommen Sie zu diesem Eindruck?

Wir haben bei rund 150 Herstel­lern und Betrei­bern nach­ge­fragt, wie der Wissens­stand bei Security ist. Wir wollten erfahren, wie der öster­rei­chi­sche Markt auf das Thema vorbe­reitet ist und wer im Unter­nehmen dafür zuständig ist. Eine wesent­liche Erkenntnis ist, dass viele Kunden im Bereich Indus­trial Security noch nichts unter­nommen haben, obwohl ihnen die Rele­vanz durchaus bewusst ist.

Welche Schlüsse ziehen Sie aus diesen Erkennt­nissen?

Die wich­tigste Conclusio für mich war, dass in den Betrieben die Verant­wort­lich­keiten für Security an Maschinen und Anlagen noch gar nicht geklärt sind. Das ist auch bei den Herstel­lern noch nicht geklärt. Klar ist, dass die IT die IT Security macht, aber wer macht die Security an der Maschine? Dafür ist bei den befragten Betrei­bern eher die Instand­hal­tung zuständig. Dass Indus­trial Security spezi­elles Wissen voraus­setzt und dass fehlende Zustän­dig­keiten und Maßnahmen Angrei­fern eine offene Flanke bieten, ist den Unter­nehmen häufig gar nicht bewusst. Umso wich­tiger ist es, dass wir – genau wie bei der Maschi­nen­si­cher­heit – Aufklä­rungs­ar­beit leisten. Denn Pilz ist nicht nur Botschafter für Safety, sondern auch für Security. Safety ergibt sich für mich aus der Kombi­na­tion von Sicher­heit und Security.

Welche Frage­stel­lungen treiben Maschi­nen­bauer und Betreiber aktuell um?

Im Zentrum steht die Frage, welche Auswir­kungen eine Cyber­at­tacke auf das Unter­nehmen hätte. Mein Tipp: Jedes Unter­nehmen sollte ein Brain­stor­ming machen und durch­spielen, wie der Arbeits­alltag durch einen solchen Angriff verän­dert werden würde. Aus eigener Erfah­rung nach dem Cyber­an­griff auf Pilz 2019 gebe ich beispiels­weise den einfa­chen Rat, dass man die Kontakt­daten seiner wich­tigsten Kontakte auch auf Papier parat haben sollte. Das erstaunt viele zunächst. Über die Bedro­hungs­lage hinaus beschäf­tigen sich Maschi­nen­bauer und Betreiber zudem mit der neuen Maschi­nen­ver­ord­nung und auch NIS 2 hat einen großen Stel­len­wert.

Wo sehen Sie Gefahren?

Im Gespräch bekomme ich häufig die Antwort, dass die eigenen Maschinen gar nicht an ein ERP-System oder eine Cloud ange­bunden seien und daher keine Security-Maßnahmen erfor­der­lich wären. Frage ich dann, ob es einen USB-Port gibt und ob dieser von einem Bediener zum Laden eines Mobil­ge­räts verwendet werden könnte und damit nicht doch plötz­lich ein Einfallstor offen wäre, horchen meine Gesprächs­partner auf. Es ist unsere Aufgabe, zu hinter­fragen und unsere Kunden best­mög­lich zu beraten.

Wie aufwendig ist es denn, eine Bestands­an­lage safe und secure zu gestalten?

Es macht keinen großen Unter­schied, ob eine Maschine neu oder alt ist, denn Security-Lösungen können häufig per „plug-and-play“ inte­griert werden. Unser Zugangs­berechtigungs­system PITreader ist ein Beispiel dafür. Security-Retro­fits sind defi­nitiv ein Thema! Wir unter­stützen unsere Kunden mit den passenden Dienst­leis­tungen, denn häufig fehlen Betrei­bern die Ressourcen, um solche Maschi­nen­um­bauten safe und secure umzu­setzen.