Der Schutz der Produktivsysteme vor externen Cyberangriffen hat für Rotkäppchen-Mumm schon immer einen hohen Stellenwert. Mit der NIS2 hat das Thema jedoch eine neue Brisanz erhalten. Max Gutberlet, CISO von Rotkäppchen-Mumm, und Max Rahner, Senior Manager Business Development beim Exposure-Management-Anbieter Tenable, erklären im Interview, warum ein leistungsstarkes Schwachstellen-Management für einen sicheren Betrieb heute unverzichtbar ist.
Herr Gutberlet, das Thema OT-Security wurde in vielen Industrieunternehmen lange vernachlässigt. Rotkäppchen-Mumm hat in dem Umfeld schon früh viele Weichen gestellt – auch mit der Einführung eines dedizierten OT-Schwachstellen-Managements. Warum stand das Thema bei Ihnen so hoch auf der Agenda?
Gutberlet: Wir haben schon vor einigen Jahren festgestellt, dass ein zeitgemäßes Vulnerability Management mit Blick auf den sicheren, performanten und effizienten Betrieb unserer komplexen Produktionsumgebung unverzichtbar ist. Das gilt umso mehr, da wir als Hersteller von Nahrungsmitteln und von Roh-Alkohol gleich doppelt von der anstehenden Umsetzung der NIS2 betroffen sind – und deren Allgefahrenansatz klar die Operation Technology (OT) einschließt. Daher entschieden wir uns Ende 2023, das Thema Schwachstellenanalyse neu anzugehen.
Herr Rahner – könnten Sie als Vulnerability-Management-Experte die Herausforderung eines solchen Projekts zusammenfassen?
Rahner: Rotkäppchen-Mumm betreibt als einer der Marktführer im deutschen Sekt-, Markenwein- und Spirituosenmarkt eine sehr komplexe OT-Landschaft – von Abfüll- und Brennereianlagen über Steuer- und Messsysteme bis hin zu Automatisierungs- und Logistik-Tools. An den vier deutschen Produktionsstandorten finden sich hochmoderne Anlagen, aber auch Systeme, die schon seit Jahrzehnten zuverlässig laufen. Einen solchen Maschinenpark akkurat zu inventarisieren und zu überwachen, ist schwer – und erfordert Schwachstellen-Scanner, die unterschiedlichste Protokolle, Sprachen und Schnittstellen beherrschen.
Weil die OT-Security mit allen Assets im Netzwerk kommunizieren muss?
Rahner: So ist es, und genau dafür ist unsere Lösung ausgelegt. Sie kann OT- und IT-Assets auch in heterogenen Umgebungen zuverlässig erkennen, ohne deren Betrieb zu beeinträchtigen. Das durften wir bei Rotkäppchen-Mumm im Rahmen eines kurzfristig organisierten Proofs-of-Concept am Standort Nordhausen unter Beweis stellen. Nach minimaler Feinjustierung lieferte Tenable OT Security sehr detaillierte Angaben zu Softwareversionen, Schwachstellen und Kommunikationsbeziehungen. Das war ein belastbares Fundament für risikobasierte Entscheidungen und NIS2-konforme Prozesse.
