{"id":305155,"date":"2024-10-12T08:59:55","date_gmt":"2024-10-12T06:59:55","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=305155"},"modified":"2024-10-12T09:00:57","modified_gmt":"2024-10-12T07:00:57","slug":"software-stuecklisten-noch-kein-standard-in-der-industrie","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/10\/12\/software-stuecklisten-noch-kein-standard-in-der-industrie\/","title":{"rendered":"Software-St\u00fccklisten: (Noch) kein Standard in der Industrie"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>Ein St\u00fcckliste der Software, die in einem vernetzten Ger\u00e4t verwendet wird, ist eigentlich essentiell, um dessen Sicherheit und Patchstand zu gew\u00e4hrleisten. Eine Studie hat nun aber gezeigt, dass solche St\u00fccklisten der verwendeten Software (Software Bill of Materials, kurz SBOM) in der Industrie weiterhin die Ausnahme sind. Wird zum rechtlichen Problem, wenn 2027 der EU Cyber Resilience Act ab 2027 in Kraft tritt.<\/p>\n<p><!--more--><\/p>\n<h2>Software Bill of Materials (SBOM)<\/h2>\n<p>Eine Software Bill of Materials (SBOM) ist eine St\u00fcckliste aller Software-Komponenten in einem vernetzten Ger\u00e4t. Diese Inventarisierung ist eigentlich essentiell, wenn man wissen will, welche Software in seinen Unternehmensger\u00e4ten eingesetzt wird. Das ist bei Bekannt-werden von Schwachstellen eigentlich lebenswichtig, um die betroffenen Ger\u00e4te zu identifizieren.<\/p>\n<h2>Studie zeigt: Software-St\u00fccklisten sind die Ausnahme<\/h2>\n<p>Die D\u00fcsseldorfer Cyber\u00adsicherheits\u00adfirma <a href=\"https:\/\/www.onekey.com\/\" target=\"_blank\" rel=\"noopener, nofollow noopener\">ONEKEY<\/a> wollte genauer wissen, wie es um das Thema Software-St\u00fccklisten in der deutschen Industrie steht. Dazu hat man eine Umfrage unter 300 F\u00fchrungskr\u00e4ften aus der Industrie gemacht. Befragt wurden Chief Executive Officers (CEO), Chief Information Officers (CIO), Chief Information Security Officers (CISO) und Chief Technology Officers (CTO) und IT-Verantwortliche.<\/p>\n<p>Das ern\u00fcchternde Ergebnis: Eine solche Software Bill of Materials (SBOM) stellt in der deutschen Industrie die Ausnahme dar, obgleich sie als unverzichtbare Voraussetzung f\u00fcr einen wirksamen Schutz gegen Cyberangriffe gilt.<\/p>\n<h3>Veraltete Software als Einfallstor f\u00fcr Angreifer<\/h3>\n<p>Laut Umfrage f\u00fchrt nicht einmal ein Viertel (24 Prozent) der Industrieunternehmen eine vollst\u00e4ndige Software Bill of Materials. \"W\u00e4hrend Computer- und Netzwerksoftware in der Regel erfasst wird, fehlt h\u00e4ufig der \u00dcberblick \u00fcber die eingebettete Software in zahllosen Ger\u00e4ten mit Netzwerkzugang, wie Maschinen und Anlagen aller Art\", sagt Jan Wendenburg, der CEO von ONEKEY.<\/p>\n<p>\"Das ist fatal\", meint Wendenburg, \"denn veraltete Software in industriellen Steuerungen ist ein immer beliebteres Einfallstor f\u00fcr Hacker.\" Als typische Beispiele nennt er Fertigungsroboter, CNC-Maschinen, F\u00f6rderb\u00e4nder, Verpackungs\u00admaschinen, Produktionsanlagen, Geb\u00e4ude\u00adautomatisierungs\u00adsysteme, Heizungs- und Klimaanlagen.<\/p>\n<p>\"Alle diese Systeme sind an das Firmennetzwerk angebunden und in fast jeder einzelnen Komponente steckt Software\", verdeutlicht Jan Wendenburg die gro\u00dfe Angriffsfl\u00e4che, die Unternehmen Cyberkriminellen bieten, wenn sie ihre Programme etwa in der Produktions- und Logistikkette nicht up-to-date halten. Die Mehrheit der Unternehmen (51 Prozent) verf\u00fcgt jedoch entweder \u00fcber gar keine oder bestenfalls \u00fcber eine unvollst\u00e4ndige Software-St\u00fcckliste.<\/p>\n<h3>Software-St\u00fccklisten mit vielen L\u00fccken und Unsicherheiten<\/h3>\n<p>\"Die Software-St\u00fccklisten vernetzter Ger\u00e4te in vielen Firmen haben viele L\u00fccken und Unsicherheiten\", formuliert Jan Wendenburg, und gibt zu bedenken: \u201eEin einziges veraltetes Programm in einer Maschine kann ausreichen, um Hackern Eingang ins Firmennetz zu erm\u00f6glichen.\" Besonders erschreckend laut Report: Ein knappes Viertel der befragten Unternehmen ist sich nicht einmal dar\u00fcber im Klaren, ob und wo \u00fcberhaupt Software-St\u00fccklisten bestehen.<\/p>\n<p>\"Das ist wie nachts auf der Autobahn fahren ohne Licht\", verdeutlicht der ONEKEY-CEO das Gefahrenpotenzial und res\u00fcmiert: \"Angesichts von durchschnittlich mehr als 2.000 aufgedeckten Softwareschwachstellen pro Monat stellt sich f\u00fcr eine Firma, die ihre Programme nicht st\u00e4ndig automatisch \u00fcberwacht und auf dem neuesten Stand h\u00e4lt, gar nicht die Frage, <em>ob<\/em> sie Opfer einer Cyberattacke wird, sondern nur <em>wann<\/em> und mit welchen Folgen.\"<\/p>\n<h3>Lieferanten und Drittanbieter werden kaum gepr\u00fcft<\/h3>\n<p>Der mangelnde \u00dcberblick \u00fcber die Softwarekomponenten im Maschinen- und Anlagenpark ist laut ONEKEY-Report darauf zur\u00fcckzuf\u00fchren, dass die wenigsten Industriebetriebe eine umfassende Pr\u00fcfung der eingebetteten Software ihrer Ger\u00e4telieferanten und Drittanbieter vornehmen.<\/p>\n<ul>\n<li>Gut ein Drittel (34 Prozent) verwenden Frageb\u00f6gen von Branchenverb\u00e4nden wie dem VDMA, um die Cybersicherheitslage ihrer Lieferanten einsch\u00e4tzen zu k\u00f6nnen.<\/li>\n<li>31 Prozent verlassen sich auf standardisierte Bewertungen und Zertifizierungen.<\/li>\n<li>Mehr als ein Zehntel (11 Prozent) verf\u00fcgt eigenen Angaben zufolge \u00fcber gar kein systematisches Verfahren, um sich zu vergewissern, ob die f\u00fcr den betrieblichen Einsatz angeschafften Ger\u00e4te, Maschinen und Anlagen ausreichend gegen Cyberangriffe gesch\u00fctzt sind.<\/li>\n<\/ul>\n<p>\"Wir raten jedem Industrieunternehmen, sich mit einer Software Bill of Materials einen \u00dcberblick \u00fcber die Cyberrisiken von der Produktion \u00fcber die Logistik bis zur Geb\u00e4udeautomatisierung zu verschaffen. So k\u00f6nnen die aufgedeckten Sicherheitsl\u00fccken wirksam bewertet und neutralisiert werden, bevor sie von Hackern entdeckt und ausgenutzt werden\", mahnt Jan Wendenburg zur Eile.<\/p>\n<p>Er gibt zu bedenken: \"Eine moderne Analyse Plattform erstellt eine Software-St\u00fcckliste (SBOM) v\u00f6llig automatisch zu vergleichsweise sehr geringen Kosten und Aufwand. Richtig teuer kann es jedoch werden, wenn sich Hacker \u00fcber den Shopfloor Zugang zum Firmennetz verschaffen, weil veraltete Software im Einsatz ist.\"<\/p>\n<h2>EU Cyber Resilience Act tritt ab 2027 in Kraft<\/h2>\n<p>Der ONEKEY-Chef weist darauf hin, dass ab 2027 die Ger\u00e4te-, Maschinen- und Anlagenhersteller durch den EU Cyber Resilience Act (CRA) gesetzlich verpflichtet sind, ihre Steuerungssysteme mit aktueller Software gegen Cyberangriffe zu sch\u00fctzen.<\/p>\n<p>\"Hersteller, die dann noch Systeme mit bekannten Sicherheitsl\u00fccken im Programm ausliefern oder bei neu entdeckten Schwachstellen nicht umgehend ein Update bereitstellen, werden f\u00fcr die Folgen haften m\u00fcssen, wenn Hacker \u00fcber ihre veraltete Software eindringen und Schaden anrichten\", appelliert er an alle Zulieferer der Industrie 4.0, sich rechtzeitig auf die neue CRA-Gesetzgebung einzustellen.<\/p>\n<p>Ein Drittel der im Rahmen der Umfrage kontaktierten Unternehmen ist bereits heute auf dem neuesten Stand: Sie aktualisieren ihre Software, sobald ein entsprechender Patch zur Behebung der Schwachstelle zur Verf\u00fcgung steht.<\/p>\n<ul>\n<li>Immerhin 28 Prozent pr\u00fcfen automatisch, ob die bereits an die Kunden ausgelieferten Ger\u00e4te eine Sicherheitsl\u00fccke aufweisen.<\/li>\n<li>30 Prozent begn\u00fcgen sich mit gelegentlichen manuellen \u00dcberpr\u00fcfungen.<\/li>\n<li>31 Prozent verzichten auf einen Sicherheitspatch zwischendurch und warten auf das n\u00e4chste geplante Release, mit dem das Einfallstor f\u00fcr Hacker geschlossen wird.<\/li>\n<\/ul>\n<p>\"Eine zeitliche Verz\u00f6gerung, die sich als fatal erweisen kann, denn genau dieses Zeitfenster zwischen Aufdeckung und Behebung wird nat\u00fcrlich auch von Cyberkriminellen ausgenutzt\", warnt Jan Wendenburg.\u00a0Es bleibt insgesamt aber noch viel zu tun:<\/p>\n<ul>\n<li>So \u00fcberpr\u00fcfen 16 Prozent der Befragten die Ger\u00e4te nach Auslieferung \u00fcberhaupt nicht mehr auf Sicherheitsl\u00fccken.<\/li>\n<li>10 Prozent liefern keine Updates oder Sicherheitspatches mehr und bemerkenswerte 26 Prozent der Befragten sind sich \u00fcber die Update-Politik ihrer Industrieausr\u00fcstung nicht im Klaren.<\/li>\n<\/ul>\n<p>Die Studie <em>OT+IoT Cybersecurity Report 2024<\/em> \u00fcber die Cyberresilienz von industriellen Steuerungen (Operational Technology, OT) und Ger\u00e4ten f\u00fcr das Internet der Dinge (Internet of Things, IoT) erscheint im Oktober 2024 auf der ONEKEY-Website (Link liegt mir noch nicht vor).<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ein St\u00fcckliste der Software, die in einem vernetzten Ger\u00e4t verwendet wird, ist eigentlich essentiell, um dessen Sicherheit und Patchstand zu gew\u00e4hrleisten. Eine Studie hat nun aber gezeigt, dass solche St\u00fccklisten der verwendeten Software (Software Bill of Materials, kurz SBOM) in &hellip; <a href=\"https:\/\/borncity.com\/blog\/2024\/10\/12\/software-stuecklisten-noch-kein-standard-in-der-industrie\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459],"tags":[4328,3836],"class_list":["post-305155","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/305155","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=305155"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/305155\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=305155"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=305155"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=305155"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}