Die Widerstandsfähigkeit der Lebensmittelproduktion steht auf Messers Schneide. Genauso titelt das Fraunhofer-Institut für System- und Innovationsforschung ISI seine aktuelle Studie[1] zur Gefahrenlage der Branche. Sie verdichtet in ihrem Papier 183 Einzelrisiken zu 19 Risikoclustern. Es überrascht wenig, dass Cybercrime und IT-Risiken zu den sechs Risikofeldern mit starkem Handlungsbedarf zählen. Besonders prekär scheint für die Branche die Verflechtung der Risiken. Ein Cyberangriff auf eine vernetzte Anlage kann sowohl Produktionsprozesse stören und Produktsicherheit berühren als auch Betriebsunterbrechungen auslösen und zu guter Letzt die Reputation des Betriebs beschädigen.
In Molkereien trifft die angespannte Lage einen sensiblen Betrieb, in dem Rohmilch angenommen, gekühlt und verarbeitet wird. Dabei greifen Pasteurisierung, Abfüllung, Labor, Chargenfreigabe, Lager und Versand eng ineinander.
Auf vernetzte Systeme, wie sie die Studie benennt, treffen Hacker in der modernen Milchwirtschaft allemal. ERP Systeme, Produktionsplanung, Qualitätsdatenbanken, Leitstände, SCADA Systeme, SPS Steuerungen und Fernwartungszugänge gehören heute zum betrieblichen Alltag. Fällt ein Teil dieser Kette aus, bröckeln Kühlketten und damit verschieben sich zwangsläufig Lieferfenster.
An dieser Achillesverse setzt Forensic Readiness an. Der Begriff meint die Fähigkeit eines Unternehmens, im Cybervorfall sofort untersuchungsfähig und flink wieder anlauffähig zu sein. Wenn nach einem Incident IT- Forensik-Teams kommen, sollen sie nicht erst klären müssen, welche Systeme existieren, welche Schnittstellen zur Produktion führen, welche Dienstleister Zugriff haben oder wo relevante Protokolle liegen. Diese Informationen müssen vorbereitet sein. Sonst verlieren Unternehmen in den ersten Stunden wertvolle Zeit.
Wiederanlauf beginnt vor dem Angriff
Viele Cybervorfälle werden erst sichtbar, wenn Systeme ausfallen oder verschlüsselt werden. Der eigentliche Angriff beginnt aber häufig viel früher, sobald sich Täter Zugang über gestohlene Zugangsdaten verschaffen, Mailkonten manipulieren und ungeschützte Schnittstellen oder Fernwartungswege ausnutzen. Peu à peu erweitern sie Rechte und verschaffen sich Zugang zu Backups. Ihr Ziel ist es, Prozesse mit maximaler Wirkung zu identifizieren. In Molkereien liegen solche Hebel oft nahe an Abfüllungs- und Kühlanlagen, aber auch am Labor oder der Warenwirtschaft.
Im Ernstfall tritt häufig ein Zielkonflikt zutage: Produktion und Geschäftsführung drängen auf schnellen Wiederanlauf. Die IT-Forensik muss jedoch Spuren sichern, betroffene Systeme eingrenzen und verhindern, dass kompromittierte Zugänge beim Neustart weiter bestehen. Wer Systeme zu früh löscht, neu installiert oder aus Backups wiederherstellt, verliert möglicherweise Beweise und übersieht Hintertüren. Wer hingegen zu lange wartet, riskiert Verderb und Ausfälle im Handel. Das Instrument Forensic Readiness schafft vorher Regeln für diese Abwägung.
Die Grundlage bildet ein belastbares Bild der eigenen Systemlandschaft. Jede Molkerei sollte wissen, welche IT und OT Assets im Einsatz sind, wo Daten zwischen ERP, Produktionsplanung, Leitstand, Labor und Logistik fließen und welche externen Partner darauf zugreifen. Neue Anlagen, Cloud Dienste, mobile Wartungszugänge und Dienstleisterwechsel sollten laufend ergänzt werden.
Transparenz entscheidet über Tempo
In klassischen IT-Umgebungen liegen oft mehr Logdaten vor als in der Produktion. Dort laufen Anlagen über Jahre stabil und folgen anderen Wartungsfenstern als Office-IT. Genau das erschwert im Cybervorfall die Rekonstruktion. Wenn nicht nachvollziehbar ist, welcher Zugriff wann auf welchem System erfolgte, kann niemand schnell beurteilen, ob Produktionsparameter verändert wurden oder ob eine Anlage unter Beobachtung wieder anlaufen darf.
Molkereien sollten deshalb im ersten Schritt definieren, welche Protokolle für den Ernstfall gebraucht werden. Dazu zählen bestimmte Konten, Fernwartungszugriffe, Änderungen an Steuerungen, Rezepturen oder Produktionsparameter. Auch Schnittstellenbewegungen zwischen IT und OT sowie Informationen zu Backups spielen eine Rolle. Diese relevanten Daten müssen geschützt, ausreichend lange vorgehalten und im Krisenfall schnell verfügbar sein.
Als ebenso wichtig hat sich die Netzwerksegmentierung erwiesen. Office-IT, Produktionssteuerung, Labor, Lager und externe Zugänge dürfen nicht so fließend verbunden sein, dass ein kompromittiertes Konto ungehindert bis zur Abfülllinie führt. Abgesicherte Jump Server, Multi Faktor Authentifizierung, zeitlich begrenzte Fernwartung und saubere Rechtekonzepte senken das Risiko erheblich.
Qualitätssicherung ist Krisenstab-Sache
Bei Cyberresilienz in der Molkerei geht es nicht nur darum, ob die Server wieder laufen. Nach einem Angriff muss das Unternehmen auch im Nachhinein prüfen, ob Prozessdaten vollständig sind, Temperaturverläufe belastbar bleiben, Chargen eindeutig rückverfolgbar sind und Freigaben nachvollzogen werden können. Wenn Steuerungen oder Qualitätsdaten im Verdacht stehen, manipuliert worden zu sein, sollte nicht allein die IT darüber entscheiden, ob der Betrieb wieder anläuft. Produktion, Technik und Qualitätssicherung müssen gemeinsam bewerten, welche Anlagen priorisiert starten und welche Ware verkehrsfähig bleibt.
Um diese Entscheidungen schnell und souverän zu treffen, braucht es einen Krisenstab. Neben Geschäftsführung und IT sollten dafür im Idealfall Werkleitung, Produktion, Qualitätssicherung, Instandhaltung, Datenschutz, Recht, Kommunikation und externe IT Forensik am Tisch zusammenkommen. Für jede Rolle braucht es Stellvertretungen, Notfallkontakte und Entscheidungsbefugnisse.
Den Ernstfall üben
Forensic Readiness wird erst nach einer Prüfphase belastbar. Spezielle Übungen zeigen, wo Annahmen nicht stimmen: Vielleicht fehlt ein aktueller Netzplan, Notfallnummern liegen nur im Mailpostfach vor oder nur ein Dienstleister kennt den Zugang zu einer Anlage. Genau diese Lücken lassen sich schließen, solange die Produktion läuft.
Auch externe Hilfe sollte vorbereitet sein. Wenn IT-Forensiker bereits vor dem Vorfall Ansprechpartner, Systemlandschaft, Eskalationswege und Dokumentationen kennen, gewinnen sie Zeit.
Cyberangriffe treffen in der Lebensmittelindustrie Produktion, Produktsicherheit, Rückverfolgbarkeit, Lieferfähigkeit und öffentliche Wahrnehmung gleichzeitig. Molkereien sollten Cyberresilienz deshalb nicht als Spezialthema der IT behandeln, sondern als Teil ihres gesamtunternehmerischen Risikomanagements.
Forensic Readiness als ein wichtiger Baustein der Resilienz stellt sicher, dass ein Unternehmen im Ernstfall schneller versteht, was passiert ist und unter welchen Bedingungen der Betrieb wieder anlaufen kann. In einer Molkerei kann genau das den Unterschied machen zwischen einem kontrollierten Wiederanlauf und einem Stillstand, der von der IT-Systemlandschaft bis zum Kühlhaus Wellen schlägt.
Über die Autorin
Joanna Lang-Recht, M.Eng., M.A., arbeitet als Director IT-Forensics bei der intersoft consulting services AG. Als Vorfall-Expertin des Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie zertifizierte Cyber Security Expert (CSE) ist sie auf die Analyse und Aufklärung komplexer Cyberangriffe spezialisiert. Ihre fachliche Qualifikation wird durch internationale Zertifizierungen wie GIAC Certified Forensic Examiner (GCFE) und GIAC Battlefield Forensics and Acquisition (GBFA) ergänzt.
In ihrer täglichen Arbeit rekonstruiert sie Angriffsverläufe, identifiziert Schwachstellen in IT-Systemen und bewertet die tatsächliche Wirksamkeit bestehender Sicherheitsmaßnahmen. Ihr Fokus liegt dabei auf der IT-forensischen Analyse realer Angriffsszenarien und der Frage, warum Systeme trotz vorhandener Schutzmechanismen kompromittiert werden.
Mehr Informationen unter: https://it-forensik.de/
Aufmacherfoto: Kevin Horvat Unsplash
