Ohne ausreichende Security kein gesicherter 5G Betrieb, denn die Frage nach neuen Angriffsrisiken ist auch bei 5G mit Ja zu beantworten. (Symbolbild: Pixabay)

Neue Technologien bringen vielfältige Chancen – aber meist auch neue Risiken mit sich. Im Fall des neuen Mobilfunkstandards 5G ist vor allem auch die Industrie sehr an den neuen Möglichkeiten interessiert. Doch viele Entscheider zögern noch, da 5G im Produktionsumfeld als kritische Infrastruktur wahrgenommen wird. In seinem Vortrag auf der 5G CMM Expo erläutert Dirk Kretzschmar, CEO des Geschäftsbereich IT bei TÜV Informationstechnik GmbH die Gefahren und zeigt neue Betriebsanforderungen auf, um das Potenzial von 5G in der Produktion nutzten zu können. Im Interview gibt er vorab Einblicke.

Wenn 5G explizit im Echtzeitbetrieb einer Produktion eingesetzt werden soll, welchen Anforderungen muss dieses Netz dann genügen?

Dirk Kretzschmar, CEO des Geschäftsbereichs IT bei TÜV Informationstechnik GmbH

„Ein Echtzeitbetrieb ist im Grunde genommen als Zeiteinheit nicht klar definiert. Es geht darum, dass eine auslösende Information in der Zeit verarbeitet und beantwortet werden muss, um rechtzeitig eine notwendige Aktion auszulösen. Kommt diese Reaktion zu spät, dann ist das System gestört. Um dies zu umgehen, müssen entweder weitere informationstechnische Sicherungsschichten den Regelzustand wiederherstellen, oder man schafft es, die Signallaufzeiten so zu verkürzen, dass das System stabil arbeitet. Jeder von uns kennt das bei Telefonaten bei sehr schlechter Verbindung. Früher gab es analoge Störgeräusche, heute digitale Zeitverzögerungen. Ab ca. 400 Millisekunden Verzögerung fällt man sich gegenseitig ständig ins Wort und ein sinnvoller Dialog kommt nicht mehr zustande…“

…was im privaten Umfeld ärgerlich, aber im Produktionsbetrieb ein Ausschlusskriterium ist?

Kretzschmar: „Richtig. In der Produktion oder beim autonomen Fahren können zeitliche Verzögerungen zu gravierenden Ausfällen oder gar Unfällen führen, wenn die Reaktion auf erkannte Zustände zu lange dauert. Zusätzliche Sicherungsschichten der Informationsintegrität helfen da nicht wirklich, wenn eine konkrete Situation zu meistern ist. Hier geht es dann um Echtzeitanforderungen, die je nach Anwendung von wenigen 100 ms bis den Bereich der Mikrosekunden geht. Werden solche geringen Latenzzeiten notwendig, ist das in heutigen Netzen nur mit sehr hohen Geschwindigkeiten und der Vermeidung des Einflusses anderer Ressourcen oder Anwendungen, wie dedizierten Netzen, realisierbar. 

Mit 5G-Technologie sollen Latenzzeiten <10 ms bis < 1ms realisierbar werden. Daher ist diese Technologie in zeitkritischen Anwendungen von höchstem Interesse. Da auch in 5G-Netzen von Mobilfunkbetreibern die Ressourcen mit anderen Anwendern geteilt werden, stellt sich die Frage der Realisierbarkeit. Die Antwort darauf lautet Networkslicing. Hier wird eine vorhandene Netzinfrastruktur virtuell auf eine konkrete Dienstanforderung festgelegt und deren Einhaltung über QoS-Messungen nachgewiesen.“

Wo genau liegt der Unterschied zu früher?

Kretzschmar: „Es gibt nicht mehr nur eine Dienstart wie in 4G, sondern auf den Bedarf individuell zugeschnittene Dienste. Daher spricht man bei 5G von einem dienstorientierten Netzwerk. Virtuell wie ein VPN zugeordnet heißt zwar exklusiv nutzbar, aber die Dimensionierung der zugrundeliegenden Hardware ist die Herausforderung. Diese Technologien kommen heute in bekannten Cloud-Infrastrukturen zum Einsatz. Diese Technologie wird nun auch bei 5G eingesetzt. Durch Software Defined Networking (SDN) und Network Function Virtualization (NFV) kann ein flexibles Ressourcenmanagement zwischen Network Core und Radio Accessbereich realisiert werden. Sowohl im Core- als auch im Accessbereich kommen Cloud-Technologien zum Einsatz. Kurze Latenzzeiten realisiert man daher mit Edge Cloud Management, also hohe Rechen- und Cacheleistung nahe an der Anwendung.“

Wo liegt die Herausforderung für die Ausrüster?

Kretzschmar: „Es bestehen Anforderungen an die auszuwählenden Komponenten der 5G-Netzwerkausrüster, also der Systemtechnik, und im Betrieb kommen dann die Anforderungen an die korrekte Planung und Dimensionierung noch hinzu.  Die Echtzeitfunktionen umfassen konkret Access Network Scheduling, Link Adaptation, Power Control, Interference Coordination, Retransmission, Modulation, und Coding. Diese Funktionen erfordern eine sehr hohe Rechenleistung mit hoher Performance der Hardwarekomponenten. Besonders bei der Planung und Dimensionierung des Echtzeitbetriebes werden Nutzer auf eigene 5G Infrastrukturen, die 5G Campus Netze zurückgreifen.“

Hohe Bandbreiten, eine hohe Zahl von Funkteilnehmern, parallel installierte Funknetze auf Basis von WLAN und anderen Protokollen: kann man in einer solchen Umgebung die Zuverlässigkeit eines Netzes überhaupt noch realistisch konzipieren – und nach der Inbetriebnahme zuverlässig prüfen?

Kretzschmar: „5G ist in der Regel keine komplett neue Netzwerkinfrastruktur auf der grünen Wiese, sondern integriert vorhandene Vorgängerversionen (LTE), aber auch weitere Technologien wie WLAN. Man kann die Einführung also als Evolution bezeichnen. Diese Integrationsfähigkeit ist also als Chance zu sehen, die Komplexität und Diversität verschiedener Netzwerktechnologien über ein einheitliches Management realisiert zu bekommen. Sicher wird auch ein Teil bisheriger komplexer Infrastruktur obsolet werden. Da heute nur eine begrenzte Anzahl an z.B. Funksensorik über WLAN kapazitiv verarbeitet werden können, werden parallel Verbindungen über Ethernet realisiert. Oft ist auch zusätzlich Bluetooth im Einsatz. Mit 5G könnten diese vielfältigen Anschlussarten vereinheitlich über ein 5G-Funkmodul realisiert werden.“

Was steht dem an Aufwand gegenüber?

Kretzschmar: „Die Anwender müssen Know-how für diese 5G- bzw. Informations- und Telekommunikationstechnologie aufbauen. Besonders bei 5G-Campusnetzen wird das für künftige Betreiber eine Herausforderung werden, die bisher keine Berührung zu Mobilfunkinfrastrukturen hatten. Hier wird man die Unterstützung von Experten als Unterstützer bei Planung, IT und Netzwerksicherheit, Frequenzmanagement und Betrieb nutzen. Es wird auch sicher Betreiber mehrerer 5G-Campusnetze im Outsourcing-Modell geben. Da mit 5G eigene Frequenzen beantragt und genutzt werden können, rückt auch das Management des Spektrums in den Fokus. Es wird nicht eine Frequenz, sondern ein ganzes Spektrum an Frequenzen genutzt, die auf die einzelnen Sende- und Empfangseinheiten und Dienstarten zugeordnet werden müssen. Eine vollständige Spektrumplanung und das Management sind erforderlich.“

Schafft ein 5G-Netz zusätzliche Angriffsrisiken? Wie kann man diesen am effektivsten begegnen?

Kretzschmar: „Die Frage nach neuen Angriffsrisiken ist mit Ja zu beantworten. Allerdings ist zwischen Sicherheitsrisiken der verwendeten 5G-Systemtechnik und der Absicherung der Infrastruktur im Betrieb zu unterscheiden. Für die 5G-Hersteller gibt es die internationale Standardisierung der Vorgaben für Interoperabilität und Sicherheit der Komponenten im 3G Partnership Programm (3GPP). Auf Basis der Vorgängergenerationen von Mobilfunktechnik gibt es Erfahrungen, dass es Versuche gab und gibt, die Integrität der Signalisierung und  der User-Daten zu stören. Hier hat die Next Generation Mobile Networks Alliance (NGMN) bereits im Februar 2015 ein Whitepaper mit Forderungen an die Standardisierung aufgestellt, die die 5. Generation besser vor Angriffen schützen soll. Es geht hier vereinfacht gesagt hauptsächlich um verwendete Authentisierungs- und Verschlüsselungsverfahren, die gerade in Roamingsituationen nachgebessert werden müssen. Im Fokus standen auch Szenarien die zu einer Überlastung der Infrastruktur durch z.B. DDoS Attacken führen können  als auch Schutz gegen Jammer. „Man in the middle“, „mascerading“, „bidding down“,.. sind bekannte Angriffsmethoden gegen die Netzwerkinfrastruktur, die künftig durch die Hersteller verhindert werden sollen.“

Das klingt hochkomplex. Muss der Anwender alle diese Aspekte überblicken?

Kretzschmar: „Nein, in der Regel hat der Betreiber dieser Infrastruktur wenig Einblick in die Fähigkeiten und Wirksamkeit der Schutzmaßnahmen gegen Hackerangriffe beim Kauf der Technik. Er muss dem Hersteller vertrauen. Da auch nun Hersteller in den politischen Verdacht geraten sind, die Infrastruktur für entfernte staatliche Dienste zugänglich zu machen, ist die Diskussion nicht nur in Deutschland im Gange, wie man der Systemtechnik vertrauen könnte. In Deutschland wird deshalb gerade eine Änderung des Telekommunikationsgesetzes §109 durchgeführt. BNetzA und BSI erarbeiten einen neuen Kriterienkatalog systemkritischer Kernkomponenten der Netzinfrastruktur, die dann verpflichtend einer BSI Zertifizierung zugeführt werden müssen, bevor sie in Deutschland eingesetzt werden dürfen.

Zusätzlich werden verschärfte Anforderungen an die öffentlichen Betreiber gestellt. Diese gehen in die Richtung, Abhängigkeiten von einem Anbieter zu vermeiden und Multi-Vendor-Netze zu betreiben, ein aktives Monitoring der Netze zu betreiben und Störquellen sofort zu melden und zu eliminieren. Auch ausreichende Redundanzen müssen sichergestellt werden und ausreichend qualifiziertes Fachpersonal nachgewiesen werden. Diese Anforderungen gelten zunächst nicht für Betreiber von Campus-Netzen. Aber auch hier ist die verpflichtende Überprüfung der Netzkomponenten und des gesamten Systems nach der Industrienorm ISO 62443 absehbar.

Neue Risiken entstehen auch durch mögliche Angriffsfälle auf die Funkversorgung durch Störsender. Da die 5G Infrastruktur gerade im Produktionsumfeld die kritische Infrastruktur schlechthin ist, können verdeckt mitgeführte Jammer oder Drohnenüberflug erhebliche Schäden im Produktionsablauf erwirken, wenn diese nicht entdeckt werden. Permanentes Spektrum-Monitoring und Detektion von Drohnen wird eine der neuen Betriebsanforderungen werden.“

Wie lauten die drei Sicherheitstipps für seine Organisation/Struktur, die jeder Industrie-Anwender berücksichtigen sollte, bevor er mit der Konzeption eines 5G-Netzes beginnt?

Kretzschmar: „Ich werde das in meinem Vortrag auf der 5G CMM Expo ausführlich besprechen. In Kurzform würde ich sagen:

1. Ohne ausreichende Security kein gesicherter 5G Betrieb: Nutzung zertifizierter Komponenten und Einführung eines Informationssicherheits-Management Systems (ISMS) nach ISO 27001 (oder BSI Grundschutz).

2. Planung, Aufbau, Betrieb auf Basis einer zu erstellenden IT-Sicherheitsarchitektur (Security by Design). Aufbau von IT-Security-Expertise oder Nutzung von externem Expertenwissen

3. Permanentes Monitoring des Spektrums und Überprüfung der gesamten Infrastruktur durch vertrauenswürdige Penetrationstester (Ethical Hacker)

Für alle der genannten Unterstützungsleistungen in IT-Sicherheit von Komponenten und Systemen, Beantragung der Frequenzen, Planung der Infrastruktur, Abnahme und Betrieb, sowie Spektrumsverwaltung bietet TÜViT ein umfangreiches Leistungsspektrum.“

Herr Kretschmar, vielen Dank für das Gespräch.