Kann die Fabrik noch in Betrieb bleiben, wenn sie von Cyber-Erpressung heimgesucht wird?

Kürzlich wurden mehrere Fabriken von Hackerangriffen heimgesucht und erpresst. Cybersicherheit ist längst kein fernes Ereignis in den Nachrichten mehr, sondern ein Betriebsrisiko, dem sich produzierende Unternehmen ernsthaft stellen müssen.

Früher konzentrierten sich Unternehmen bei der Digitalisierung hauptsächlich darauf, wie viel Effizienz durch Systeme wie ERP, MES, WMS und QMS gesteigert und wie viel Personalaufwand reduziert werden kann. Doch wenn diese Systeme plötzlich nicht mehr zugänglich sind, stellt sich ein viel realistischeres Problem:

Wie lange kann die Fabrik noch normal laufen, wenn die Geschäftssysteme des Unternehmens morgen plötzlich ausfallen?

Produktionspläne können nicht abgefragt werden, Lagerbestände lassen sich nicht bestätigen, Geräteprogramme und Prozessdokumente sind nicht zugänglich, Prüfprotokolle können nicht zurückverfolgt werden und Kundenbestellungen können nicht ausgeliefert werden. In diesem Fall steht das Unternehmen möglicherweise nicht nur vor einem IT-Ausfall, sondern vor einer Unterbrechung von Produktion, Qualität, Lieferkette und sogar des gesamten Betriebsablaufs.

Warum kann ein einziger Cyberangriff das gesamte Unternehmen zum Stillstand bringen?

Stellen Sie sich ein Unternehmen vor, das plötzlich von einem Ransomware-Angriff heimgesucht wird. Einige Server und Geschäftssysteme sind nicht mehr zugänglich, Bestell-, Lager-, Finanz- und Geschäftsdaten sind beeinträchtigt, und zahlreiche tägliche Arbeitsabläufe werden zwangsweise unterbrochen.

Einen Tag zuvor produzierte und lieferte das Unternehmen noch normal; am nächsten Tag stellen die Führungskräfte fest, dass viele gewohnte Vorgänge nicht mehr ausgeführt werden können.

Im Lager befinden sich Materialien, aber es lässt sich nicht bestätigen, welche bereits geprüft und freigegeben sind; in der Werkshalle gibt sich Halbfertigprodukte, aber es lässt sich nicht abfragen, welche Arbeitsschritte bereits abgeschlossen sind; Fertigprodukte sind bereits verpackt, aber die erforderlichen Prüf- und Rückverfolgungsprotokolle lassen sich nicht abrufen.

Obwohl das Unternehmen noch über Mitarbeiter, Geräte und Materialien verfügt, kann es den gewohnten Geschäftsrhythmus kaum aufrechterhalten, da keine zuverlässigen Informationen verfügbar sind.

Die Führungsebene muss sich einer Reihe von Fragen stellen: Welche Geschäftsvorgänge müssen eingestellt werden? Welche können vorübergehend fortgesetzt werden? Wie sollen Kundenlieferungen arrangiert werden? Wie lange kann das Unternehmen durchhalten, wenn die Systeme nicht kurzfristig wiederhergestellt werden können?

Was die Hacker sperren, sind nicht nur die Daten des Unternehmens, sondern möglicherweise auch die Verwaltungsordnung, auf die der normale Betrieb des Unternehmens angewiesen ist.

Warum ist der Geschäftsablauf nicht unbedingt wiederhergestellt, wenn das System wieder läuft?

Wenn ein Unternehmen von einem Cyberangriff betroffen ist, denkt es zuerst daran, IT-Mitarbeiter zu kontaktieren, Sicherheitsexperten zu suchen und die Server wiederherzustellen. Die Wiederherstellung des Systems ist aber nicht dasselbe wie die Wiederherstellung des Geschäftsablaufs.

Beispielsweise ist das ERP-System wiederhergestellt, aber das MES-System noch nicht, sodass Produktionspläne und tatsächliche Produktionsprotokolle möglicherweise nicht übereinstimmen; das MES-System ist wiederhergestellt, aber Geräteprogramme, Prozessparameter oder Prüfprotokolle sind noch nicht bestätigt, sodass die Produktion weiterhin Risiken birgt; das Lagersystem ist wiederhergestellt, aber die Ein- und Ausgangsbuchungen während der Ausfallzeit wurden nicht überprüft, sodass der Systembestand nicht mehr mit dem physischen Lagerbestand übereinstimmen könnte.

Daher muss das Unternehmen nicht nur eine Software wiederherstellen, sondern eine Gruppe miteinander verbundener Geschäftsfähigkeiten.

Die Führungsebene sollte im Voraus die wichtigsten Geschäftsvorgänge und ihre Systemabhängigkeiten identifizieren, klar festlegen, welche Aktivitäten vorrangig wiederhergestellt werden müssen, welche warten können und welche Bedingungen nach der Wiederherstellung erfüllt sein müssen, um den Betrieb wieder aufzunehmen.

Die IT-Abteilung kann das System wiederherstellen, aber die Fachabteilungen für Produktion, Qualität, Logistik und andere Bereiche müssen gemeinsam bestätigen, dass das wiederhergestellte System den normalen Geschäftsablauf tatsächlich unterstützen kann.

Warum kann die Wiederherstellung trotzdem fehlschlagen, obwohl täglich Datensicherungen durchgeführt werden?

Viele Unternehmen glauben, dass sie sich keine allzu großen Sorgen um Ransomware machen müssen, solange täglich automatische Sicherungen durchgeführt werden.

Aber wenn der Sicherungsserver dieselben Verwaltungsberechtigungen wie die Geschäftssysteme verwendet oder dauerhaft mit demselben Netzwerk verbunden ist, können auch die Sicherungsdaten angegriffen werden.

Selbst wenn die Sicherungsdateien noch vorhanden sind, bedeutet das nicht, dass der Geschäftsablauf sofort wiederhergestellt werden kann. Das Unternehmen muss außerdem bestätigen, ob die Sicherung vollständig ist, die Version geeignet ist, die Wiederherstellungsumgebung sicher ist und die zugehörigen Anwendungen und Schnittstellen ordnungsgemäß funktionieren.

Beispielsweise ist die Bestelldatenbank wiederhergestellt, aber die zugehörigen Zeichnungen, Prozessdokumente oder Geräteprogramme wurden nicht wiederhergestellt, sodass die Produktion nicht normal aufgenommen werden kann. Das System wurde auf den Stand von vor einigen Tagen zurückgesetzt, aber in der Zwischenzeit haben bereits Wareneingänge, Produktionsrückmeldungen und Kundenlieferungen stattgefunden, sodass Abweichungen zwischen den Daten und dem tatsächlichen Geschäftsablauf auftreten können.

Daher muss das Sicherungsmanagement nicht nur auf die Sicherungsfrequenz achten, sondern auch auf Isolationsschutz, Zugriffsberechtigungen, historische Versionen und Wiederherstellungstests. Das Unternehmen muss außerdem klar festlegen, wie lange eine Unterbrechung der wichtigsten Geschäftsvorgänge toleriert werden kann und wie groß der Datenverlust sein darf.

Eine wirklich zuverlässige Sicherung beweist nicht nur, dass Daten einmal kopiert wurden, sondern dass das Unternehmen mit vertrauenswürdigen Daten den Geschäftsablauf wieder aufnehmen kann.

Kann die Fabrik auf ein vorübergehendes Verwaltungsverfahren umstellen, wenn das System nicht nutzbar ist?

Nach dem Systemausfall schlagen einige Unternehmen möglicherweise vor: „Zuerst mit Excel oder Papierformularen aufzeichnen, und die Daten später nach der Wiederherstellung des Systems nacherfassen.“

Aber für produzierende Unternehmen ist dies kein vollständiges Notfallkonzept.

Beispielsweise: Wenn das Qualitätssystem nicht zugänglich ist, welche Version der Prüfnorm sollen die Prüfer verwenden? Wo werden die Prüfergebnisse aufgezeichnet? Wie wird die Rückverfolgbarkeit der Produktcharge aufrechterhalten? Wer hat die Befugnis, die Freigabe zu genehmigen?

Wenn das Lagersystem nicht nutzbar ist, wie wird eine doppelte Auslieferung verhindert? Wie wird die Materialcharge bestätigt? Wie wird die Übereinstimmung zwischen Buchbestand und physischem Bestand aufrechterhalten? Wer übernimmt nach der Wiederherstellung die Überprüfung und Nacherfassung?

Wenn diese Fragen nicht im Voraus geklärt sind, kann der vorübergehende Betrieb neue Qualitätsrisiken verursachen.

Daher muss das Unternehmen je nach Geschäftsrisiko im Voraus festlegen, welche Arbeiten unter kontrollierten Bedingungen vorübergehend fortgesetzt werden können und welche eingestellt werden müssen, und die Anforderungen an Verantwortung, Aufzeichnung, Genehmigung und Überprüfung nach der Wiederherstellung klar definieren.

Für Abläufe, bei denen Sicherheits-, Qualitäts- und Rückverfolgbarkeitsanforderungen nicht gewährleistet werden können, darf der Betrieb nicht zwangsweise aufrechterhalten werden, nur um die Produktionsmenge zu halten.

Der Notbetrieb kann die Arbeitsweise ändern, aber die wichtigen Qualitäts- und Sicherheitskontrollanforderungen dürfen nicht willkürlich herabgesetzt werden.

Warum kann Produktion und Auslieferung nicht sofort wieder aufgenommen werden, wenn das System wieder in Betrieb genommen wird?

Die durch den Cyberangriff verursachten Risiken enden nicht unbedingt mit der erneuten Inbetriebnahme der Server.

Das Unternehmen muss außerdem bestätigen, ob die wiederhergestellten Daten korrekt sind, wichtige Dateien nicht verändert wurden, die Geräteprogramme gültige Versionen sind und die Systemaufzeichnungen mit dem tatsächlichen Zustand vor Ort übereinstimmen.

Beispielsweise zeigt das System an, dass eine Produktcharge die Prüfung abgeschlossen hat, aber die Prüfer können keine zugehörigen Originalaufzeichnungen abrufen, sodass das Produkt nicht einfach anhand des Systemstatus als qualifiziert eingestuft werden darf.

Gleichermaßen können Abweichungen zwischen den wiederhergestellten Prozessdokumenten und den tatsächlich von den Geräten verwendeten Programmen oder ungeprüfte vorübergehende Aufzeichnungen aus der Ausfallzeit zu einem unkontrollierten Prozessablauf führen.

Daher müssen vor der Wiederaufnahme der Produktion nicht nur Fachkräfte die Systemsicherheit bestätigen, sondern auch die zuständigen Fachabteilungen wichtige Inhalte wie Zeichnungen, Stücklisten, Prozessnormen, Kontrollpläne, Prüfprotokolle, Lagerbestände und Produktrückverfolgbarkeit überprüfen.

Für Produkte, deren Qualitätszustand nicht bestätigt werden kann, müssen Maßnahmen wie Isolierung und Bewertung je nach Risiko ergriffen werden, und fehlende Daten dürfen nicht durch nachträgliche Unterzeichnung von Protokollen vertuscht werden.

Dass der Server wieder angemeldet werden kann, bedeutet nur, dass die technische Wiederherstellung Fortschritte gemacht hat; ob die Produkte weiter produziert und ausgeliefert werden können, hängt von der Erfüllung der entsprechenden Qualitätsfreigabebedingungen ab.

Warum darf ein Cyberangriff nicht nur der IT-Abteilung überlassen werden?

Cybersicherheitsexperten können beurteilen, wie angegriffene Geräte isoliert, Beweise geschützt und Systeme wiederhergestellt werden, aber sie können kaum allein entscheiden, welche Bestellungen vorrangig bearbeitet werden, welche Produktionsaktivitäten eingestellt werden müssen und wie Kunden über Lieferverzögerungen informiert werden.

Diese Entscheidungen betreffen Produktion, Qualität, Einkauf, Logistik, Vertrieb und Finanzen und erfordern eine einheitliche Koordination durch die Führungsebene.

Wenn es an einer einheitlichen Leitung fehlt, will die Produktion so schnell wie möglich wieder anlaufen, die Qualität fordert zusätzliche Überprüfungen, der Vertrieb hat den Kunden bereits Liefertermine zugesagt, und die IT ist weiterhin der Meinung, dass die betreffenden Systeme keine sichere Inbetriebnahme erlauben – das führt leicht zu neuen Unordnung.

Daher sollte das Unternehmen im Voraus einen Notfallentscheidungsmechanismus einrichten, klar festlegen, wer für die Einleitung des Notfalls verantwortlich ist, wer für die technische Bearbeitung zuständig ist, wer die Geschäftswiederherstellung übernimmt, wer mit den Kunden kommuniziert und wer bei großen Meinungsverschiedenheiten die Entscheidung trifft.

Ein Cyberangriff mag mit einem technischen Problem beginnen, aber die Wiederherstellung des normalen Betriebs erfordert die Beteiligung der gesamten Organisation.

Das Wichtigste, was das Unternehmen tun sollte, ist die Organisation einer echten Notfallübung

Viele Unternehmen haben Informationssicherheitsvorschriften und Notfallpläne erstellt, aber nie überprüft, ob diese Pläne nach einem Systemausfall tatsächlich umsetzbar sind.

Man kann ein Szenario festlegen: Am Montagmorgen um 8 Uhr sind ERP, MES und Lagersystem gleichzeitig nicht zugänglich, es gibt an diesem Tag dringende Bestellungen, die ausgeliefert werden müssen, und in der Werkshalle befinden sich zahlreiche Halbfertigprodukte.

Die Abteilungen für Führung, Produktion, Qualität, Logistik, Vertrieb und IT diskutieren gemeinsam: Wer leitet die Notfallreaktion ein? Welche Geschäftsvorgänge müssen eingestellt werden? Wie wird der Qualitätszustand der Produkte bestätigt? Wie werden vorübergehende Aufzeichnungen erstellt? Wer genehmigt die Wiederaufnahme von Produktion und Auslieferung? Wie werden die Daten nach der Systemwiederherstellung überprüft?

Diese Übungen erfordern keine tatsächliche Unterbrechung der Produktionssysteme. Zuerst kann eine Tischübung durchgeführt werden, danach führen Fachkräfte Wiederherstellungstests in einer isolierten Umgebung durch.

Übungen legen oft Probleme offen, die normalerweise nicht sichtbar sind: Notfallkontakte sind nicht mehr erreichbar, die Versionen der Ersatzdokumente sind zu alt, die Wiederherstellungsprioritäten der Abteilungen stimmen nicht überein oder die vorübergehenden Aufzeichnungen können nicht mit den Systemdaten verknüpft werden.

Wenn diese Probleme im Normalbetrieb entdeckt werden, sind sie eine Chance für die Verwaltungsverbesserung; wenn sie erst bei einem tatsächlichen Angriff entdeckt werden, erhöhen sie die Schwierigkeiten während des Wiederherstellungsprozesses.

Der Wert einer Notfallübung liegt nicht darin, zu beweisen, dass das Unternehmen bereits vorbereitet ist, sondern darin, im Voraus herauszufinden, welche Bereiche noch nicht vorbereitet sind.

Je tiefer die Digitalisierung voranschreitet, desto mehr muss man sich mit dem Fall des Systemausfalls auseinandersetzen

Die Cyber-Erpressung, von der diese Fabriken betroffen waren, lässt uns über ein wichtiges Problem des digitalen Aufbaus von Unternehmen nachdenken: Systeme müssen nicht nur berücksichtigen, wie viel Effizienz sie im Normalbetrieb steigern können, sondern auch, ob das Unternehmen nach einem schwerwiegenden Ausnahmefall Risiken kontrollieren und den Betrieb wiederherstellen kann.

Da Systeme wie ERP, MES, WMS und QMS immer tiefer in die Produktionsorganisation, Qualitätskontrolle und Betriebsentscheidungen eingebunden sind, dürfen Cybersicherheit, Datenintegrität, Geschäftskontinuität und Qualitätsmanagement nicht mehr voneinander getrennt werden.

Das Unternehmen braucht sowohl einen professionellen Cybersicherheitsschutz als auch einen klaren abteilungsübergreifenden Notfallmechanismus; sowohl eine zuverlässige Datensicherung als auch eine nachgewiesene Fähigkeit zur Geschäftswiederherstellung.

Ein wirklich ausgereiftes digitales Management sorgt nicht nur dafür, dass das Unternehmen im Normalbetrieb schneller läuft, sondern auch dafür, dass das Unternehmen auch bei einem schwerwiegenden Schock noch weiß, wie es Risiken kontrollieren, Entscheidungen treffen und den normalen Betrieb schrittweise wiederherstellen kann.

Denn für ein produzierendes Unternehmen ist das Wichtigste nicht nur, ob das System wiederhergestellt werden kann, sondern ob das Unternehmen auch nach einem Systemausfall die Kontrolle über seinen Geschäftsablauf behält.

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto "TPP Management Beratung", Autor: TPP Management Beratung, veröffentlicht mit Genehmigung von 36Kr.