Mehrfaktor-Authentifizierung – oft mit MFA abgekürzt, eine zusätzliche Überprüfung neben dem Passwort, beispielsweise ein Code auf dem Telefon – ist in der NIS2-Richtlinie oder dem Cybersicherheitsgesetz nicht wörtlich als Pflicht aufgeführt. Was dort tatsächlich steht, in der Sorgfaltspflicht von Artikel 21, ist, dass Organisationen angemessene technische und organisatorische Maßnahmen ergreifen, unter anderem für Zugangskontrollen. Für die meisten Bürosysteme, Cloud-Anwendungen und den externen Zugriff in der Metall- und Fertigungsindustrie bedeutet das in der Praxis nahezu immer: ja, Mehrfaktor-Authentifizierung gehört dazu. Für Maschinen und Steuerungssysteme auf dem Werkgelände ist das differenzierter zu betrachten, und dieser Artikel geht darauf näher ein.
Der Unterschied liegt darin, was ein System technisch leisten kann und wie groß das Risiko ist, wenn ein Passwort allein sich als unzureichend erweist. Ein Login-Portal zum Arbeiten von zu Hause aus oder eine Cloud-Administration kann fast immer einen zusätzlichen Authentifizierungsschritt durchführen. Eine zwanzig Jahre alte SPS-Konsole auf der Produktionslinie oft nicht, dann verschiebt sich die Frage von "MFA oder nicht" zu "welche andere Maßnahme gleicht diesen Mangel aus".
Was die Sorgfaltspflicht von Ihnen verlangt
Die Sorgfaltspflicht führt keine feste Liste von Produkten oder Marken auf. Aufsichtsbehörden und die Richtlinie selbst sprechen von Maßnahmen, die zu den Risiken, zum Stand der Technik und zu den Implementierungskosten passen. Zugangskontrollen sind dabei eines der wiederkehrenden Themen: wer hat Zugriff auf was, wie wird das überprüft, und was passiert, wenn ein Passwort gestohlen oder erraten wird. Mehrfaktor-Authentifizierung ist derzeit eine der häufigsten Methoden, um diese Frage zu beantworten, und kommt daher in nahezu jeder Ausarbeitung dieser Maßnahme vor, die wir antreffen – auch bei Aufsichtsbehörden in anderen Mitgliedstaaten. Wie dies genau in Ihrem Land umgesetzt wurde und welche weitere Erläuterung die Aufsichtsbehörde dazu gibt, können Sie über die Ausarbeitung pro Thema durchgehen.
Wo mehrstufige Authentifizierung in der Regel zu erwarten ist
In einem Metallbetrieb oder Fertigungsunternehmen liegen die Stellen, wo dies am naheliegendsten ist, häufig an den gleichen Orten: der Zugriff auf die Cloud-Umgebung und die Verwaltung, die Posteingänge der Mitarbeiter, der externe Zugriff über VPN für Remote-Arbeit und vor allem die Konten mit Administratorrechten — der IT-Administrator, der Systemadministrator des ERP-Systems, die Person, die auf die Sicherungen zugreifen kann. Genau diese Administratorkonten sind für einen Angreifer attraktiv, weil ein gestohlenes Passwort dort sofort Zugriff auf viel mehr als nur ein Postfach ermöglicht. Auftraggeber, die einen Sicherheitsfragebogen versenden, fragen hier fast immer explizit nach, und eine leere Antwort auf diese Frage ist normalerweise schwerer zu rechtfertigen als ein ehrliches „noch nicht überall, mit diesem Zeitplan".
Wo Produktionssysteme einen anderen Ansatz erfordern
Die Werkstatt ist ein anderes Thema. Eine CNC-Maschine, ein SCADA-System oder eine SPS, die Jahrzehnte hält, wurde oft nicht mit einem Login-Bildschirm konstruiert, der einen zweiten Authentifizierungsschritt unterstützt. Hier ersetzt die Sorgfaltspflicht das Unmögliche nicht durch eine Verpflichtung, sondern verlagert die Aufmerksamkeit auf andere, ergänzende Maßnahmen: das System in einem separaten Netzwerksegment abschotten, den physischen Zugriff auf den Bedienraum beschränken und ordnungsgemäß dokumentieren, wer wann auf welche Maschine zugreifen konnte. Segmentierung — das Trennen des Produktionsnetzwerks vom Büronetzwerk — ist in solchen Fällen oft die Maßnahme, die die Lücke füllt, die mehrstufige Authentifizierung anderswo schließt. Wenn eine Maschine tatsächlich mit dem Unternehmensnetzwerk verbunden ist, etwa für die Fernüberwachung oder Software-Updates, gilt diese Verbindung selbst als ein Risiko, das Aufmerksamkeit verdient, auch wenn das nichts an der Technik der Maschine ändert.
Wie Sie diesen Unterschied in der Praxis treffen
Ein nützlicher erster Schritt ist eine Übersicht aller Systeme, die Zugriff auf Geschäftsdaten oder Produktionsprozesse gewähren, mit der Frage pro System: Kann dieses System technisch mehrfaktoren-Authentifizierung unterstützen, und wenn nicht, was setzen wir stattdessen ein. Diese Übersicht ist genau dort, wo ein lebendes Dossier seinen Wert beweist, weil eine heutige Antwort durch ein morgen durchgeführtes Software-Update überholt sein kann. Ob Ihre Organisation selbst unter die Sorgfaltspflicht fällt oder ob Sie diese Frage stellen, weil ein Auftraggeber das von Ihnen verlangt, können Sie in fünf Fragen sehen Sie, wo Sie stehenWenn Sie noch Zweifel an Begriffen wie Segmentierung oder Verwaltungskonto haben, finden Sie dies auch dort Antwort auf häufig gestellte Fragen zum Abschluss bereit.
Mehrfaktor-Authentifizierung ist daher kein Häkchen, das überall gleich aussieht, sondern eine Maßnahme, die je System eine andere Ausgestaltung erhält. Für die eigene Situation und für die Frage, ob eine bestimmte Ausnahme für Ihre Maschinen gegenüber einem Auftraggeber oder einer Aufsichtsbehörde haltbar ist, bleibt rechtliche Beratung oder Rücksprache mit der Aufsichtsbehörde der angegebene Weg — secria.eu beschreibt, was anwendbar ist und hilft, dies festzuhalten, urteilt aber nicht über Ihre individuelle Situation.
Möchten Sie diese Übersicht für Ihr eigenes Unternehmen anzeigen lassen, einschließlich der Systeme, die bei Ihnen infrage kommen und welche nicht? Führen Sie den kostenlosen Quick-Scan durch oder lesen Sie zunächst die Themen durch.