Penetration Testing im OT-Umfeld nach IEC 62443

Die Normenreihe IEC 62443 definiert Anforderungen an die Cybersicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS / OT-Security). Im Vergleich zu klassischen Informationssicherheitsstandards wie ISO/IEC 27001 liegt der Schwerpunkt hier auf der Verfügbarkeit, Integrität und dem Schutz der physischen Prozesse (Safety).

Innerhalb der Normenreihe wird das Thema Penetration Testing aus zwei Perspektiven adressiert: dem sicheren Entwicklungsprozess des Herstellers sowie den technischen Sicherheitsfähigkeiten des Gesamtsystems.

Abgrenzung zur operativen Praxis

Die IEC 62443 fordert keine undifferenzierten Black-Box-Penetrationstests in produktiven Industrieanlagen. Die Normenreihe unterscheidet stattdessen zwischen den prozessualen Pflichten des Herstellers während der Produktentwicklung und den technischen Sicherheitsanforderungen an das eingesetzte Steuerungssystem.

1. IEC 62443-4-1: Der sichere Produktlebenszyklus

Teil 4-1 definiert Anforderungen an den Entwicklungsprozess von Komponenten- und Systemherstellern. Sicherheitsüberprüfungen sind dabei ein integraler Bestandteil von Praxis 5: Sicherheitsverifizierung und Validierungstests (SVV). Die Norm fordert hierbei die Etablierung und kontinuierliche Anwendung von Prozessen innerhalb des Secure Product Development Lifecycle, nicht bloß die punktuelle Bereitstellung eines einzelnen Testberichts.

Folgende Kernanforderungen müssen herstellerseitig prozessual umgesetzt werden:

• SVV-3: Vulnerability Testing: Gefordert wird ein strukturierter Prozess zur Identifikation und Charakterisierung potenzieller Sicherheitslücken im Produkt. Dieser umfasst unter anderem Abuse-Case-Tests, Tests mit unerwarteten oder fehlerhaften Eingaben (z. B. Fuzzing), Attack-Surface-Analysen, Scans auf bekannte Schwachstellen, Software Composition Analysis (SCA) sowie dynamische Tests auf Ressourcen- und Laufzeitprobleme.
• SVV-4: Penetration Testing: Dieser Prozess dient der Identifikation und Charakterisierung von sicherheitsbezogenen Problemen durch Prüfverfahren, die gezielt auf das Auffinden und Ausnutzen von Schwachstellen ausgerichtet sind. Im Unterschied zum Vulnerability Testing steht hierbei die Angreiferperspektive im Vordergrund. Dies schließt die Untersuchung ein, ob mehrere Schwachstellen miteinander verkettet werden können, um die Vertraulichkeit, Integrität oder Verfügbarkeit des Produkts zu kompromittieren.
• Anforderungen an die Unabhängigkeit bei SVV-4: Für die Durchführung der Penetrationstests legt die Norm formale Kriterien an die Prüfinstanz fest. Eine rein personelle Trennung innerhalb des unmittelbaren Projektteams ist nicht ausreichend. Gemäß den Vorgaben der Norm müssen diese Tests durch eine unabhängige Abteilung innerhalb des Herstellers oder durch eine externe Organisation (z. B. einen spezialisierten Sicherheitsdienstleister) erfolgen.
• Kontextbasierte Testplanung: Die Planung und Ausgestaltung der Testfälle sollte nicht generisch erfolgen. Um eine fundierte Aussagekraft zu erzielen, sollte die Testplanung den spezifischen Produktkontext, das zugrundeliegende Threat Model (Bedrohungsanalyse), die konkrete Angriffsfläche (Attack Surface) sowie die vorgesehenen Einsatzbedingungen des Produkts berücksichtigen. Ein generischer Penetrationstest, der ohne Bezug zu den spezifischen Eigenschaften und der Angriffsfläche der jeweiligen OT-Komponente durchgeführt wird, ist im regulatorischen Kontext der Norm als nur eingeschränkt aussagekräftig anzusehen.
• Prozessuale Schwachstellenverfolgung: Identifizierte Sicherheitslücken müssen dokumentiert, bewertet, risikobasiert behandelt und über die dafür definierten Prozesse des Security Defect Management (Praxis 6) und des Security Update Management (Praxis 7) nachverfolgt werden. Die Norm verlangt keine pauschale Behebung aller gefundenen Schwachstellen vor jeder Produktfreigabe; die Handhabung und Priorisierung erfolgen differenziert auf Basis des ermittelten Risikos, des Schweregrads, verfügbarer Kompensationsmaßnahmen sowie der finalen Release-Entscheidung.

2. IEC 62443-3-3: System-Sicherheitsanforderungen

Teil 3-3 adressiert die technischen Sicherheitsanforderungen an das Steuerungssystem (Control System) beziehungsweise das betrachtete System innerhalb eines IACS (System under Consideration - SuC) und definiert die zu erreichenden Sicherheitsstufen (Security Levels - SL). Dieser Normteil fordert keinen Penetrationstest als eigenständige oder zwingende Maßnahme. Er legt jedoch fest, welche technischen Fähigkeiten das Steuerungssystem besitzen muss, um Sicherheitsüberprüfungen zu ermöglichen und die Widerstandsfähigkeit gegen definierte Bedrohungen zu unterstützen.

Der beste Bezugspunkt für Penetration-Testing-Methoden und Sicherheitsvalidierungen in diesem Normteil ist SR 3.3 (Security functionality verification):

• SR 3.3 – Verifikation von Sicherheitsfunktionen: Das Steuerungssystem muss so konzipiert sein, dass es die Verifikation der vorgesehenen Funktion von Security-Features unterstützt. Zudem muss es in der Lage sein, Anomalien oder Abweichungen während der Werksabnahme (FAT), der Vor-Ort-Abnahme (SAT) sowie im Rahmen der geplanten Wartung zu melden. Penetration-Testing-Methoden können hierbei als Nachweismethode dienen – vorausgesetzt, sie werden risikobasiert geplant und sind mit den Anforderungen an Verfügbarkeit und funktionale Sicherheit (Safety) vereinbar.

Weitere relevante Systemanforderungen (Foundational Requirements - FR) im Kontext von Sicherheitsüberprüfungen:

• FR 2 – Use Control: FR 2 regelt die Zugriffskontrolle und Autorisierung auf Systemebene. Im Rahmen einer Sicherheitsüberprüfung wird hierbei die Durchsetzung von Privilegien-Zuweisungen, Mechanismen wie Session Locks und Remote Session Termination sowie die ordnungsgemäße Erfassung sicherheitsrelevanter Ereignisse validiert. Letztere dient gleichzeitig als notwendige Grundlage für die Anforderungen aus FR 6.
• FR 6 – Timely response to events: Diese Anforderung fokussiert auf die zeitnahe Reaktion auf sicherheitsrelevante Ereignisse, den kontrollierten Zugriff auf Audit-Informationen sowie ein kontinuierliches Monitoring (Continuous Monitoring). Eine Sicherheitsüberprüfung kann dazu genutzt werden, die Effektivität, Abdeckung und Meldekette der entsprechenden Überwachungssysteme praktisch zu evaluieren.
• FR 7 – Resource Availability: Diese Anforderung regelt die Verfügbarkeit von Systemressourcen, um das Steuerungssystem gegen die Erschöpfung von Kapazitäten (z. B. durch potenzielle Denial-of-Service-Risiken) zu schützen. Da automatisierte Prüfwerkzeuge eine hohe Netzwerklast erzeugen können, muss die Ressourcenverfügbarkeit während des Tests berücksichtigt und geschützt werden. Die Härtung von Netzwerkkomponenten gegen Anomalien – wie etwa unvollständige oder fehlerhafte Netzwerkpakete – kann hierbei als praxisbewährtes Beispiel für die Umsetzung dienen, ist jedoch kein explizites Normzitat.

Die Rolle des Target Security Levels (SL-T)

Höhere angestrebte Sicherheitsstufen (SL 3 und SL 4) setzen voraus, dass das System eine gesteigerte Widerstandsfähigkeit gegen vorsätzliche Angriffe aufweist. Die Unterscheidung der Stufen erfolgt über das angenommene Angreiferprofil, das bei SL 3 und SL 4 durch signifikant höhere Ressourcen, erweiterte Fähigkeiten, IACS-spezifisches Wissen, hohe Motivation sowie eine gesteigerte Angriffskomplexität gekennzeichnet ist.

Systemintegratoren nutzen methodische Sicherheitsprüfungen und Penetration-Testing-Methoden während der Werksabnahme (FAT - Factory Acceptance Test) oder der Vor-Ort-Abnahme (SAT - Site Acceptance Test) als unterstützende Nachweisführung. Die Durchführung solcher Tests führt jedoch nicht automatisch zum Nachweis eines bestimmten Security Levels; sie dient als Teilkomponente innerhalb eines umfassenden Konformitäts- und Validierungsprozesses.

Relevanz für die Pentest-Praxis (Key Takeaways)

Bei der Planung und Durchführung von Penetrationstests im Regulierungsumfeld der IEC 62443 sind folgende Aspekte zu berücksichtigen:

1. Prüfscope präzise abgrenzen: Es muss im Vorfeld definiert werden, auf welcher Ebene die Sicherheitsprüfung ansetzt:
2. Produktprüfung beim Hersteller: Fokus auf IEC 62443-4-1, insbesondere das systematische Testen aus Angreiferperspektive nach SVV-4.
3. Prüfung einer Automation Solution / eines IACS: Fokus auf IEC 62443-3-3 zur Verifikation technischer Sicherheitsfunktionen und der Einhaltung systemweiter Sicherheitsanforderungen.
4. Risikominimierung bei Systemtests: Prüfungen in produktionsnahen oder operativen OT-Umgebungen (Teil 3-3) dürfen nur nach einer expliziten Risikobewertung, in enger Abstimmung mit dem Betreiber und unter Einsatz möglichst schonender Methoden erfolgen. Unabdingbar sind hierbei präzise abgestimmte, risikominimierte Testfenster sowie vorab definierte Abbruchkriterien, um unvorhergesehene Auswirkungen auf den Anlagenbetrieb zu verhindern.
5. Nachweisbarkeit für die Konformitätsbewertung: Für eine erfolgreiche Konformitätsbewertung reicht der reine Ergebnisbericht des Tests nicht aus. Die Dokumentation muss den Nachweis des zugrundeliegenden Prozesses, die organisatorische Unabhängigkeit der Prüfinstanz, die nachvollziehbare Herleitung der Testfälle (unter Berücksichtigung von Kontext und Threat Model) sowie den definierten Umgang mit den identifizierten Findings umfassen.

Fazit

Die Normenreihe IEC 62443 differenziert das Thema Penetration Testing nach dem jeweiligen Einsatzkontext. Während die IEC 62443-4-1 das Penetration Testing ausdrücklich als SVV-4 im sicheren Produktentwicklungsprozess (Secure Product Development Lifecycle) verankert, fordert die IEC 62443-3-3 keinen pauschalen Penetrationstest im laufenden Betrieb. Stattdessen beschreibt Teil 3-3 technische Systemanforderungen, anhand derer Sicherheitsfunktionen, Widerstandsfähigkeit und Überwachbarkeit eines IACS geplant, umgesetzt und überprüft werden können.