Die jüngsten Cyber-Angriffe auf Pharmaunternehmen weltweit zeigen: Die Branche steht im Zentrum eines bedrohlichen Trends. Angesichts politisch motivierter Hacker-Angriffe und gezielter Attacken auf der OT-Ebene sind Hersteller, Zulieferer und IT-Dienstleister gleichermaßen gefordert. Edgardo Moreno, Cybersecurity-Experte bei Hexagon, benennt in einem Expertenkommentar die größten Schwachstellen. Er schlägt drei zentrale Schritte vor, wie Unternehmen ihre industrielle Infrastruktur absichern können. Ob AEP in Deutschland, Eisai in Japan oder Cencora in den USA: Kaum eine Woche vergeht, ohne dass ein Pharmaunternehmen als Opfer einer Ransomware-Attacke in die Schlagzeilen gerät. Dabei warnen Cyber-Sicherheitsexperten vor besorgniserregenden Trends: Der Anstieg politisch motivierter Hacker-Angriffe und Cyber-Attacken auf OT-Ebene steht im Kontrast zu den noch ausbaufähigen OT-Security-Kompetenzen der Arzneimittelhersteller. Vor diesem Hintergrund gilt es für gefährdete Unternehmen vor allem, Transparenz zu schaffen.

Aus der Praxis: Cyber-Vorfälle im Pharmaumfeld in UK

Viele Ransomware-Kollektive greifen die Unternehmen an, die am verwundbarsten sind. Davon berichtet die britische Cyber-Sicherheitsbehörde. So sind innerhalb der Pharmabranche Großhändler, Distributoren und Anbieter von Spezial-Software besonders häufig von Angriffen betroffen. Dies verleiht Cyber-Risiken durch Dritte eine enorme Brisanz. Nach aktuellen Untersuchungen des Cyber-Sicherheitsunternehmens Bluevoyant erleben beispielsweise 98 Prozent der Pharmaunternehmen in Großbritannien negative Auswirkungen durch Cyber-Vorfälle bei externen Partnern. Das Datenleck bei Cencora führte beispielsweise dazu, dass Patienteninformationen aus den Datenbanken von elf verschiedenen großen Herstellern in Umlauf kamen.

Pharmahersteller müssen im aktuellen geopolitischen Klima auch mit politisch motivierten Hackern rechnen, die andere Ziele als Profit verfolgen. Dies ist beispielsweise bei Voltzite der Fall, einer Gruppe, die mit den Interessen des chinesischen Staates in Verbindung gebracht wird. Sie attackieren gezielt kritische Branchen wie Pharmaunternehmen.

Cyber-Angriffe auf OT-Ebene auf dem Vormarsch

Im Zuge der zunehmenden internationalen Spannungen zielen immer mehr politisch motivierte Hackergruppen auf die OT-Umgebung von Industrieunternehmen. Diese Infrastruktur bringt nämlich physische Prozesse, Geräte und ganze Produktionsumgebungen durcheinander. So entwickeln laut Online-Magazin Security Week vor allem Länder wie der Iran, China oder Russland zunehmend Malware, die es auf industrielle Steuerungssysteme abgesehen hat. Bei einer Umfrage von Palo Alto Networks gaben 76 Prozent der befragten Unternehmen an, in den vergangenen zwölf Monaten Opfer von Cyber-Attacken geworden zu sein. Und das Cyber-Sicherheitsunternehmen Dragos weist in einem aktuellen Cyber- Sicherheitsbericht darauf hin, dass sogar Heizungs-, Lüftungs- und Klimaanlagen oder intelligente Beleuchtung Ziel von Cyber-Angriffen sein können.

Noch bevor ein Cyberangriff die OT-Ebene erreicht, nimmt er in der Regel seinen Ausgangspunkt auf der IT-Ebene. Dort versuchen die Angreifer, sich Zugang zu verschaffen, um sich dann ihren Weg durch das Netzwerk zu bahnen. Dies kann Monate oder Jahre dauern. Und sie tun alles in ihrer Macht Stehende, um unentdeckt zu bleiben. Im Gegensatz zum klassischen Hacking, bei dem Skripte auf den betroffenen Systemen installiert werden, infiltrieren einige Angreifer bereits vorhandene, legitime Tools. Diese Vorgehensweise, die unter dem Radar herkömmlicher Cybersecurity Tools bleibt, wird als „Lotl“ (Abkürzung für Living off the Land) bezeichnet. Finanzielle Erpressung ist nur eines der möglichen Motive hinter der Infiltration der OT-Umgebung. Hinter solchen Hacks könnten auch der Diebstahl geistigen Eigentums, Spionage oder die Manipulation von Prozessen stecken.

Dringender Ausbau der Kompetenz für OT-Security erforderlich

Die gute Nachricht lautet, dass die Pharmaindustrie sich dieses Nachholbedarfs bewusst ist. Immerhin für 68 Prozent der Verantwortlichen bei europäischen Pharmaherstellern haben Investitionen in Cyber-Sicherheit in den kommenden zwölf Monaten oberste Priorität. Das Thema hat damit sogar eine höhere Priorität als Zukunftstechnologien wie das Internet der Dinge oder auf natürlicher Sprache basierende KI. Zu diesem Ergebnis kommt Forrester Consulting in einer Umfrage im Auftrag von Hexagon. Denn 67 Prozent sehen Verbesserungspotenzial im Umgang der Unternehmen mit Schwachstellen und Cyber-Risiken.

Verschärft wird die prekäre Situation durch mehrere Faktoren: An erster Stelle sehen 77 Prozent der Befragten in der Forrester-Studie den Fachkräftemangel. Darunter leidet die industrielle Cyber-Sicherheit besonders stark. Zwei Drittel der befragten Unternehmen im europäischen Gesundheitswesen geben an, dass sie keine klaren Zuständigkeiten für dieses Thema haben. Ein Drittel hat kein Budget dafür bereitgestellt.
Das führt in der Praxis häufig dazu, dass Cyber-Sicherheitsbeauftragte ohne OT-Kompetenz das Thema ausschließlich von der IT-Seite her angehen. Sie beschränken beispielsweise das Inventar auf IP-fähige Geräte. Dadurch vernachlässigen sie jedoch kritische Steuerungssysteme und Sicherheitslücken. Dies belegt auch die entsprechende Studie von Dragos. 61 Prozent der untersuchten Unternehmen haben kaum oder gar keinen Überblick über ihre IT-Landschaft, was den Umgang mit Cyber-Risiken erheblich erschwert. Die Sicherstellung einer umfassenden Transparenz ist der erste wesentliche Schritt auf dem Weg zu einem soliden Sicherheitskonzept.

Konzept für OT-Security muss Angriffe verhindern

Das Sans-Institut, das die grundlegenden „Five Critical Controls for ICS/OT Cybersecurity" erarbeitet hat, gibt zu bedenken: Allzu oft sind gängige Cybersecurity-Frameworks darauf ausgerichtet, einen Angriff zu verhindern, anstatt darauf zu reagieren. Bei den bekanntesten und meistgenutzten Frameworks sind zwischen 60 und 95 Prozent aller Anweisungen präventiver Natur. Das hat zur Folge, dass viele Unternehmen nur fünf Prozent ihrer Ressourcen in Angriffserkennung, Reaktion, Bewältigung und Wiederherstellung nach einer Kompromittierung investieren.

Ganzheitlicher Ansatz sorgt für OT-Security

Der rein präventive Ansatz stößt an seine Grenzen, wenn Hacker bekannte Tools nutzen und sich direkt im System verstecken. Palo Alto Security und Hexagon empfehlen daher einen ganzheitlichen Ansatz, der auf drei Säulen basiert:

• Sichtbarkeit schaffen: Verschaffen Sie sich einen Überblick darüber, welche OT-Assets im Unternehmen vorhanden sind, wie sie miteinander vernetzt sind und mit welchen Systemen sie sonst noch kommunizieren. Neu hinzugekommene Assets sollten sofort sichtbar und identifizierbar sein.
• Schwachstellen prüfen: Welche Schwachstellen haben die OT-Assets, wo befinden sie sich, wer verwaltet sie? Welche Patches sind aktuell, welche müssen noch aktualisiert werden und von wem? Auch die zeitliche Entwicklung der Schwachstellen muss professionell beobachtet werden.
• Systematisierung der OT-Sicherheit: Es muss ein unternehmensübergreifendes OT-Cyber-Risikoprofil erstellt werden, das auch die effektivsten Gegenmaßnahmen aufzeigt. Ebenso müssen Compliance-Fragen und Themen wie Berechtigungs- und Konfigurationsmanagement umfassend geklärt werden.

Zusammengefasst: Um der immer komplexer werdenden Bedrohungslage gewachsen zu sein, müssen die besonders gefährdeten Pharmaunternehmen einen umfassenden, systematischen Sicherheitsansatz verfolgen, der das Zusammenspiel zwischen IT- und OT-Ebene nicht außer Acht lässt.

Hintergrundinformationen zum Autor

Edgardo Moreno ist Executive Industry Consultant in der Asset Lifecycle Intelligence Division von Hexagon. Er verfügt über mehr als 20 Jahre Erfahrung in den Bereichen OT-Security und Cyber Security. Moreno kam 2007 zu Hexagon und war seitdem weltweit in verschiedenen Positionen tätig. Die Asset Lifecycle Intelligence Division von Hexagon bietet Pharmaunternehmen spezialisierte Cyber-Sicherheitslösungen, die auf den Schutz von Operational Technology (OT) und Industrial Control Systems (ICS) ausgerichtet sind. Das Kernprodukt PAS Cyber Integrity beispielsweise bietet automatisierte Funktionen wie Änderungsverfolgung und Schwachstellen-Management, um die Sicherheit und Widerstandsfähigkeit von Industrieanlagen zu erhöhen.