Schwere Zeiten für Hacker

Der erste Blick am frühen Morgen gilt wie immer den Sicherheitsvorfällen und den neuesten Entwicklungen bei den Sicherheitsregularien. Jian Jun Hu nickt zufrieden, keine besonderen Vorkommnisse letzte Nacht. Jetzt erstmal einen Tee holen und dann steht schon das erste Meeting an. Dort bespricht der Chief Cybersecurity Officer von Siemens in China mit seinem Team, wie es Infrastrukturtechnologie von Siemens noch besser schützen kann. Denn Hacker haben es in China immer häufiger auf Industrieanlagen abgesehen, um sich wichtig zu machen, um Konkurrenten zu schaden oder um Lösegeld zu erpressen. An Anlagen mit Siemens-Technik beißen sich die Cyberkriminellen aber fast immer die Zähne aus. Denn Hu hat 2016 das Siemens Cyber Defense Center in Suzhou gegründet als Teil einer ganzheitlichen Sicherheitsstrategie. Siemens ist zum Beispiel das erste multinationale Unternehmen, welches das Sicherheitslevel 3 in China erfüllt. 

Die Abteilung für Cybersecurity in China besteht seit 2004 und Hu war einer der ersten Praktikanten dort. Nach seinem Master-Abschluss in Computer Science an der Beijing University stieg er 2005 als Pen-Tester ein. „Meine Aufgabe damals: Dinge zerstören.“ Natürlich nicht wirklich, denn Hu war ein so genannter White Hat Hacker, also einer von den Guten, die IT-Systeme angreifen, um Schwachstellen zu finden, bevor es bösen Black Hat Hackern gelingt. Das machte der junge Experte so gut, dass es unaufhaltsam aufwärts ging: vom Entwickler von Sicherheits-Tools über Cybersecurity-Consultant bis zum Berater für Cybersecurity in der Industrie und schließlich Abteilungsleiter für Forschung. Seit einem Jahr ist Jian Jun Hu bei Siemens China Chief Cybersecurity Officer und führt die Cybersecurity-Community mit mehr als 100 Mitarbeitern. 

Welche Auswirkungen Cybersecurity auf das Geschäft haben kann, erlebte Hu erstmals richtig im Jahr 2010, als der Computerwurm Stuxnet eine iranische Atomanlage lahmlegte. „Das war ein echter Notfall“, erinnert sich Hu. Plötzlich wollten alle Kunden etwas über die Hintergründe erfahren und wissen, wie Siemens in Zukunft die Sicherheit seiner Produkte sichern wolle. Stuxnet ist mittlerweile Geschichte ist, das Unternehmen hat aus dem Vorfall gelernt und seine weltweiten Cybersicherheitsaktivitäten massiv ausgedehnt. Doch die Herausforderungen sind geblieben und sogar noch gewachsen. „Auch wenn wir unsere Hausaufgaben gemacht haben und heute Cybersecurity-Vorreiter sind: Einen 100prozentigen Schutz gibt es nicht, wir müssen daher permanent wachsam sein“, mahnt er. 

Schnelligkeit ist von entscheidender Bedeutung, aber der wirkliche Schlüssel zum Erfolg ist Transparenz – intern wie extern. „Erkenne dich selbst und kenne deinen Feind, dann wirst du den Krieg gewinnen“, sagte einst der chinesische Militärstratege Sun Tzu, ein guter Leitgedanke, findet Hu. „Wir müssen das aktuelle Bedrohungsbild von außen kennen“, deshalb halte sein Team ständig Kontakt mit dem Hauptquartier, den beteiligten lokalen Akteuren und Instituten wie dem National Computer Network Emergency Response Technical Team. Und sein Team erforscht Angriffs- und Verteidigungstechnologien und entwickelt Systeme zur automatischen Erfassung und Verfolgung von Cybersicherheitsvorfällen, außerdem erstellt es Berichte und Nachrichten zu den Siemens-Portfolios in China – eine anspruchsvolle Arbeit, die nie endet. 

Auf der Grundlage der oben genannten Philosophie hat das Team von Hu eine Lösung namens Operational Technology Cybersecurity Appliance (OSA) auf Basis Künstlicher Intelligenz entwickelt, die in einigen Fabriken von Siemens und von führenden Kunden wie BaowuSteel and SINOPEC im Einsatz ist. „Wir und unsere Kunden sind immer auf der Suche nach der besten Technologie für die Cybersicherheit und gemeinsam finden wir die beste Lösung.“ 

Siemens hat mehr getan als es gesetzlich müsste. 2017 trat in China das Gesetz zur Cybersicherheit in Kraft, das einerseits wie die europäische Datenschutzgrundverordnung Daten von Personen schützen soll, andererseits aber auch hohe Anforderungen an den Schutz kritischer Infrastrukturen wie Kraftwerke, Telekommunikationsnetze, Banken und Verkehrssysteme stellt. Das Gesetz nennt Pflichten, die ein Produkt oder eine Dienstleistung in Sachen Cybersicherheit erfüllen muss, damit es in China verkauft werden darf – „wie ein Führerschein, ohne den man auch nicht Auto fahren darf“, vergleicht Hu. Darüber hinaus gibt es weitere Maßnahmen – Siemens erfüllt sie alle. 

Das Team hat ein Programm für das gesamte Unternehmen gestartet, um das Gesetz zu analysieren, Lücken zu erkennen, Maßnahmen zur Schadensbegrenzung zu implementieren und regelmäßige Aktualisierungen vorzunehmen. Vertrauen muss mit jahrelanger Arbeit erworben werden – und es kann leicht verloren gehen. „Was mich nachts wachhält? Der Gedanke, dass das Vertrauen der Kunden und des Marktes in Siemens beschädigt werden könnte“, sagt Hu. Deshalb tue sein Team alles, um die Latte noch ein Stückchen höher zu legen. So sei Siemens das erste Unternehmen, das eine komplette Reihe von Speicherprogrammierbaren Steuerungen in China zertifiziert bekam. 

Neben rund 60 Vollzeitbeschäftigten in China gibt es weitere Kollegen, die an der Schnittstelle zur Wirtschaft arbeiten. Außerdem hat das Team von Hu ein Netzwerk mit Interessenvertretern wie Kunden, Normungsgremien und Instituten aufgebaut.  „Durch dieses Netzwerk sammeln wir die neuesten Informationen, tauschen Erfahrungen aus, erhalten Unterstützung und entwickeln unsere Talente. Und wir können Cybersicherheit effizienter in unserem Unternehmen anwenden.“  Hu: „Der Erfolg der Cybersicherheit hängt von einer guten Zusammenarbeit ab.“