Klingt nach Kindergeburtstag, macht Siemens aber sicherer. Was wir meinen? Zwei Cybersicherheits-Teams, die ihre Kräfte eng bündeln.

„Hab dich! Du bist verhaftet!“ haben wir als Kinder gerufen, wenn wir im Wald mit unseren Freunden Räuber und Gendarm gespielt haben. Wollten Sie lieber der Gute oder der Böse sein? Auch bei Siemens wird manchmal Räuber und Gendarm gespielt. Allerdings ist es Ernst, denn es geht dabei um unsere Sicherheit. Statt Gut und Böse gibt es ein rotes und ein blaues Team. Was hacken damit zu tun hat und warum Lila für Gemeinschaft steht, wollte ich von zwei Kollegen aus der Cybersicherheit wissen.

Wolfgang und Michael, eure beiden Abteilungen bilden quasi die Doppelspitze von Siemens‘ Cybersicherheit. Was sind eure Aufgaben?

Wolfgang Frankenberger (WF): Unsere Abteilung Detection Services bietet verschiedene interne Leistungen an: Penetration Testing, also von Siemens-internen Kunden beauftragte Tests, um etwa die Sicherheit einer Web-Anwendung zu prüfen, Scanning-Anwendungen, um Schwachstellen in den Siemens-Systemen zu finden, die Überprüfung der sicherheitsrelevanten Prozesse sowie freies Hacking im Red Team. Dazu gehöre auch ich. Wir suchen im Intranet nach Schwachstellen und nutzen diese aus, um uns Zugriff auf das System zu verschaffen. Genauso wie es ein echter Cyberangreifer machen würde. Die Schwachstellen teilen wir dann dem Verantwortlichen mit, damit er die Anwendung überarbeiten und die Lücke schließen kann. Dadurch konnten wir schon einige kritische Sicherheitslücken aufdecken und Siemens‘ Geschäft nachweislich schützen.

Michael Pascher (MP): Ich arbeite in der Abteilung Defense Services und dort im Cybersecurity Defense Center, dem Blue Team. Wir sind dafür zuständig, Angreifer im System schnellstmöglich zu erkennen und unschädlich zu machen. Dafür nutzen wir unter anderem sogenannte Endpoint Detection and Response (EDR) Tools, die ähnlich wie Virenscanner funktionieren. Sie senden Warnhinweise, sobald sie eine verdächtige Aktivität im System erkennen. Diese Hinweise prüfen wir, und wenn es sich um einen tatsächlichen Angriff handelt, eröffnen wir zusammen mit den Sicherheitsingenieuren von Siemens CERT einen Sicherheitsvorfall. Ein unternehmensweiter, mit allen Einheiten abgestimmter Prozess startet, die relevanten Stakeholder werden informiert und notwendige Maßnahmen eingeleitet. Je nach Schwere des Cyberangriffs können wir Netzwerkverbindungen kappen, User Accounts sperren oder ein System sogar komplett vom Netz nehmen. Manchmal reicht es aber auch, wenn ein Nutzer sein Passwort ändert.

Red Teams hatten ursprünglich die Geheimdienste, um sich in feindliche Staaten hineinzuversetzen und Angriffsszenarien durchzuspielen. Das Modell wurde von Unternehmen auf die Cybersicherheit übertragen. Als Gegenspieler zum angreifenden Red Team entstand das Blue Team, die Verteidiger.

Die beiden Farben der Cybersicherheit sind also Rot – Schwachstellen identifizieren und das System möglichst sicher machen – und Blau – Angriffe erkennen und unterbinden. Wie kommt da noch Lila ins Spiel?

WF: Beim Purple Teaming arbeiten Red und Blue Team eng zusammen, sprich Rot + Blau = Lila. Diese Sicherheitsübung haben wir im Dezember zum ersten Mal für eine Woche gemacht. Wir vom Red Team haben auf einem Testsystem verschiedenste Angriffswege und -techniken simuliert, die die Kollegen vom Blue Team mit Hilfe der EDR Tools zu erkennen versucht haben. Zum Beispiel haben wir einen klassischen Phishing-Angriff gestartet, bei dem der Nutzer einen E-Mail-Anhang öffnet. Haben wir so die Kontrolle über den Computer erlangt, können wir die Passwörter abgreifen und gelangen über das Netzwerk ins System. Liegen dort auf dem Server wichtige Daten, die wir herunterladen können, ist das der Jackpot. Gleichzeitig hat das Blue Team versucht, uns aufzuspüren und aus dem System zu drängen, bevor wir ernsthaften Schaden anrichten können. Es ist ein bisschen wie Räuber und Gendarm spielen aus unserer Kindheit, hat aber einen ernsten Hintergrund. Denn am Ende jeder Runde haben wir gemeinsam analysiert, welche Angriffe erkannt wurden und welche nicht und wie wir die Detection Tools optimieren können. Unser Ziel ist, dadurch die Erkennung von Cyberattacken immer weiter zu verbessern und Angreifer zu blockieren, bevor sie Siemens oder unseren Kunden schaden können.

Wart ihr Verteidiger vom Blue Team nicht frustriert, wenn ihr Angriffe nicht erkannt habt?

MP: Nein, wir haben es als Chance gesehen, gemeinsam unsere Fähigkeiten zu verbessern und voneinander zu lernen. Niemand hatte das Gefühl, schlecht dazustehen oder hat versucht, Dinge wegzudiskutieren. Im Gegenteil, es hat uns allen viel Spaß gemacht und wir haben uns in einem spielerischen Wettkampf gegenseitig immer wieder angespornt. Genau das ist der Geist des Purple Teaming, es geht nicht um Schuldzuweisungen. Natürlich hat die Tatsache, dass sich Red und Blue Team schon aus dem Tagesgeschäft kannten, den offenen Umgang miteinander erleichtert. Am Ende der Woche haben wir ein Ergebnis erzielt, mit dem beide Teams sehr zufrieden waren.

Michael Pascher (oben links) und das Purple Team beim virtuellen Event im Dezember

Das klingt nach Spaß. Gab es auch Herausforderungen?

WF: Vor allem Corona hat es uns schwer gemacht. Eigentlich hatten wir geplant, alle nach Portugal zu reisen, wo der Großteil des Blue Teams sitzt. Doch das war wegen der Pandemie natürlich nicht möglich. Stattdessen haben wir das Purple Teaming rein virtuell aus dem Homeoffice gemacht, viel gechattet, telefoniert und uns gegenseitig den Bildschirm freigegeben, damit jeder möglichst viel von den anderen mitbekommt. Das hat wirklich gut geklappt, trotzdem kam das Gemeinschaftsgefühl des Purple Teaming zu kurz.

MP: Normalerweise treffen sich für diese Events alle an einem Ort, buchen einen großen Konferenzraum, statten den mit allerlei Technik aus und bestellen Pizza (lacht) – eben wie bei einem echten Hackathon. Hoffentlich klappt das nächstes Mal. Wichtig bei solchen Veranstaltungen ist aber auch, ein konkretes Ziel festzulegen, auf das man hinarbeitet. Sonst verzettelt man sich. Und am Ende müssen die Ergebnisse eindeutig und reproduzierbar sein. Sprich: Wenn ein Angriff nicht funktioniert, muss man sicher ausschließen können, dass es Zufall war, etwa weil es im System ein Problem gab oder es gerade offline war. Hier muss man also genau nachprüfen und dokumentieren.

War das eine einmalige Sache oder findet bald wieder ein Purple Teaming Event statt, dann hoffentlich auch mit Pizza?

WF: Wir wollen das auf jeden Fall wiederholen. Da das Blue Team erstmal die Erkenntnisse umsetzen und Verbesserungsmöglichkeiten evaluieren muss, macht das nächste Purple Teaming allerdings erst zu einem späteren Zeitpunkt wieder Sinn. Wir vom Red Team brauchen ebenfalls Vorbereitungszeit, um neue Angriffstaktiken zu entwickeln. Dazu kommt natürlich, dass niemand weiß, wann die Corona-Lage wieder Reisen und persönliche Treffen erlauben wird.

MP: Langfristig ist unser Ziel, dass diese Art von Sicherheitsübung nicht nur in Form von Purple Teaming Projekten, sondern routiniert stattfindet und fester Bestandteil unserer Arbeit wird. So können wir das Wissen beider Teams kontinuierlich nutzen.

Wie schneidet Siemens hier im Vergleich mit anderen Unternehmen ab?

MP: Purple Teaming Events sind ein etabliertes Vorgehen in der Cybersicherheit, um die Erkennung von Hackerangriffen zu verbessern. Hier ist Siemens mit anderen Industrieunternehmen gleichauf. Wenn es uns allerdings gelingt, simulierte Angriffe wie im Purple Teaming zu automatisieren und zur kontinuierlichen Verbesserung zu nutzen, hätten wir die Nase vorn.

Wolfgang Frankenberger (rechts) mit seinen Kollegen vom Red Team: Benedikt Höfling (links) and Fabian Russwurm

Wie seid ihr zur Cybersicherheit gekommen und was macht euch an eurem Job am meisten Spaß?

WF: Ich habe wie viele Kollegen Informatik studiert und konnte auf der Uni in verschiedene Bereiche reinschnuppern. Cybersicherheit war und ist für mich ein sehr spannendes Thema, denn durch die rasante technische Entwicklung gibt es immer wieder neue Herausforderungen. Deshalb ist meine Arbeit für mich nach wie vor so reizvoll. Außerdem haben wir eine wichtige Rolle im Unternehmen, denn mit unserer Arbeit schützen wir Siemens vor Cyberverbrechen, die im schlimmsten Fall immense finanzielle Schäden und den Verlust unseres guten Rufs bedeuten können.

MP: Ich habe einen der ersten Studiengänge für Cybersicherheit absolviert. Schon damals war klar, dass es ein wichtiges Thema werden würde. Denn unsere Arbeit trägt entscheidend dazu bei, die Sicherheit von Siemens und damit auch die Sicherheit unserer Kunden zu verbessern. Das ist eine große Herausforderung: Die Angriffstechniken verändern sich ständig, sodass Cyberattacken immer schwieriger zu erkennen sind. Gleichzeitig macht genau das den Reiz unserer Arbeit aus.

Related links