Grundlagen industrieller Steuerungssysteme

Industrielle Steuerungssysteme (ICS) sind Computer und Geräte, die physische Prozesse überwachen und betreiben: Stromnetze, Wasseraufbereitung, Fertigungsstraßen, Pipelines und Gebäudesysteme. Zusammen mit der übergeordneten Kategorie der Operational Technology (OT) bilden sie die Verbindung zwischen digitaler und physischer Welt.

Ein Ausfall bedeutet hier nicht nur Datenverlust, sondern kann Produktionsstillstand, Umweltschäden oder eine Gefahr für Menschenleben bedeuten.

Eine speicherprogrammierbare Steuerung (SPS) ist ein robustes Industriecomputersystem, das Sensoreingänge liest und Aktorausgänge in Echtzeit ansteuert. Es führt die Steuerungslogik in einem kontinuierlichen Scan-Zyklus aus: Eingänge lesen, Programm ausführen, Ausgänge schreiben, wiederholen.

• Deterministisch und zuverlässig, für raue Umgebungen ausgelegt
• Häufig in Kontaktplan programmiert, der Relaisplänen ähnelt
• Steuert Ventile, Motoren, Pumpen und Leistungsschalter direkt

Verwandte Feldgeräte erweitern die Steuerung um entfernte und spezialisierte Aufgaben.

• RTU (Remote Terminal Unit) — ähnlich wie eine SPS, aber für geografisch verteilte Standorte optimiert, mit Telemetrie über weitreichende Verbindungen; häufig in Versorgungsnetzen und Pipelines
• IED (Intelligent Electronic Device) — speziell entwickelte Steuerungen wie Schutzrelais in Umspannwerken

Diese Geräte erfassen Daten und führen Befehle am Netzwerkrand aus, häufig an unbesetzten Standorten.

SCADA (Supervisory Control and Data Acquisition) ist ein System, mit dem Bediener verteilte Prozesse von einem zentralen Standort aus überwachen und steuern können. Es steuert den Prozess nicht direkt, sondern überwacht die SPS und RTUs, die dies tun.

• Erfasst Telemetriedaten von vielen Feldgeräten
• Stellt sie Bedienern dar und speichert sie historisch
• Sendet übergeordnete Steuerbefehle (Sollwerte, Start/Stopp)

Stellen Sie sich SCADA als Cockpit und die SPS als Motoren vor.

Die Mensch-Maschine-Schnittstelle (HMI) ist das Fenster des Bedieners in den Prozess: Grafische Bildschirme zeigen Tankfüllstände, Temperaturen, Durchflussmengen und Alarme an und bieten Bedienelemente zur Anpassung des Prozesses.

Aus Sicht der Sicherheit ist die HMI relevant, weil ihre Kompromittierung es einem Angreifer ermöglichen kann, den Bediener zu blenden (indem normale Werte angezeigt werden, während der Prozess sabotiert wird) oder direkt gefährliche Befehle auszugeben.

Ein Distributed Control System (DCS) ist ein eng verwandtes System für eng gekoppelte, kontinuierliche Prozesse innerhalb einer einzelnen Anlage, etwa in einer Raffinerie oder einem Chemiewerk.

• SCADA — geografisch verteilt, überwachend und tolerant gegenüber Latenz (Pipelines, Stromnetze)
• DCS — lokal in der Anlage, auf Prozesssteuerung ausgerichtet, Regelkreise mit geringer Latenz (Raffinerien, Kraftwerke)

In der Praxis sind die Grenzen fließend, und beide Systeme unterliegen denselben Sicherheitsproblemen, die in diesem Kurs behandelt werden.

Ein Datenhistorian zeichnet Zeitreihendaten des Prozesses (Messwerte, Sollwerte, Alarme) mit hoher Auflösung für Analysen, Compliance und die Fehlersuche auf.

Sicherheitsrelevanz:

• Er überspannt häufig OT- und IT-Netzwerke, um Geschäftsanalyen zu versorgen, und ist dadurch ein häufiger Ausgangspunkt für Seitwärtsbewegungen
• Seine Daten sind für Angreifer wertvoll, die den Prozess erkunden
• Er muss geschützt werden, ohne den Echtzeit-Steuerpfad zu beeinträchtigen

Die Engineering-Workstation (EWS) dient zum Programmieren und Konfigurieren von PLCs und anderen Controllern. Sie enthält die Projektdateien und die Software, mit der sich Steuerungslogik hochladen, herunterladen und ändern lässt.

Damit ist sie eines der gefährlichsten Ziele in OT: Ein Angreifer, der die EWS kontrolliert, kann die Logik umschreiben, die physische Anlagen steuert. Die Kompromittierung einer EWS spielte bei mehreren aufsehenerregenden ICS-Angriffen eine Rolle.

Am physischen Rand des Systems schließen zwei Gerätetypen den Regelkreis:

• Sensoren messen den Prozess: Druck, Temperatur, Füllstand, Durchfluss, Position
• Aktoren verändern den Prozess: Ventile, Motoren, Pumpen, Leistungsschalter, Heizungen

Der Controller liest die Sensoren ein, trifft Entscheidungen und steuert die Aktoren an. Eine zentrale Erkenntnis für die Sicherheit: Wenn ein Angreifer Sensorwerte oder Aktorbefehle verfälscht, trifft die Steuerungslogik falsche Entscheidungen, obwohl sie scheinbar ordnungsgemäß funktioniert.

Ein Safety Instrumented System (SIS) ist eine unabhängige Ebene, deren einzige Aufgabe darin besteht, den Prozess in einen sicheren Zustand zu bringen, wenn gefährliche Bedingungen auftreten, beispielsweise indem es einen Reaktor bei Überdruck abschaltet.

Das SIS ist bewusst vom Steuerungssystem getrennt, damit ein Ausfall der Steuerung nicht zugleich die Sicherheit außer Kraft setzen kann. Ein berüchtigter Angriff richtete sich gezielt gegen ein SIS und sollte die Sicherheitsfunktionen deaktivieren. Deshalb gelten die Isolation und die Integrität des SIS als von höchster Bedeutung.

Eine typische Steuerungshierarchie von unten nach oben:

• Sensoren und Aktoren wirken auf den physischen Prozess ein
• PLCs / RTUs / IEDs führen die Echtzeitsteuerung aus
• SCADA / HMI / DCS überwachen den Prozess und ermöglichen dem Bedienpersonal, einzugreifen
• Historian und EWS unterstützen Analyse und Engineering
• SIS schützt die Sicherheit unabhängig

Das Verständnis dieses Stacks bildet die Grundlage für die Sicherheitsunterschiede und Schutzmaßnahmen im weiteren Verlauf des Kurses.

Ordnen Sie jeder Komponente ihre Bedeutung für die Sicherheit zu.

Sie haben die Bausteine industrieller Steuerung kennengelernt.

• PLCs, RTUs, IEDs führen die Echtzeitsteuerung physischer Prozesse aus
• SCADA, HMI, DCS überwachen den Prozess und ermöglichen dem Bedienpersonal, ihn zu überwachen und einzugreifen
• Historian-Systeme speichern Prozessdaten; EWS programmiert die Controller
• Sensoren und Aktoren schließen den Regelkreis; ihre Verfälschung führt die Logik in die Irre
• Das SIS ist eine unabhängige Sicherheitsebene und ein kritisches Schutzziel

Als Nächstes: Warum sich die Absicherung von OT grundlegend von der Absicherung von IT unterscheidet.