SCADA

Was ist SCADA?

SCADA steht für Supervisory Control and Data Acquisition: eine Leittechnik-Architektur, um Prozesse, die sich über große Flächen verteilen, aus einer zentralen Leitstelle zu überwachen und zu steuern. Stromnetze, Wasser- und Abwassernetze, Gaspipelines, Fernwärme und Bahninfrastruktur laufen auf SCADA. Bediener sehen den Zustand des gesamten Netzes auf ihren Bildschirmen, bekommen Alarme und schicken Befehle wie das Öffnen eines Leistungsschalters oder den Start einer Pumpe.

Ein SCADA-System besteht aus einem zentralen SCADA-Server (oft Master oder MTU genannt), HMIs für die Bediener, einem Historian, der Prozessdaten speichert, und Feldgeräten in den Außenstationen: Fernwirkgeräten (RTUs) und SPS, die Sensoren lesen und Aktoren ansteuern. Leitstelle und Außenstationen sind über Standleitungen, Funk, Mobilfunk und zunehmend normale IP-Netze verbunden. Die typischen Protokolle sind IEC 60870-5-104 bei europäischen Energie- und Wasserversorgern, DNP3 (IEEE 1815) in Nordamerika, Modbus überall, IEC 61850 innerhalb von Umspannwerken und OPC UA in Richtung Unternehmenssysteme.

Wo ist es definiert?

SCADA ist eine Architektur, keine Norm. NIST SP 800-82 Rev. 3 beschreibt SCADA, DCS und SPS-basierte Systeme und ihre Sicherheit; IEC 62443-1-1 liefert die Begriffe und ordnet SCADA in das Modell industrieller Automatisierungs- und Steuerungssysteme ein. Die Protokolle haben eigene Normen: IEC 60870-5-104 für Fernwirktechnik über TCP/IP, IEEE 1815 für DNP3 und die Reihe IEC 62351 für die Absicherung von Energieprotokollen mit TLS und Authentifizierung auf Anwendungsebene. Für Betreiber fällt SCADA unter Artikel 21 NIS2 und in Deutschland unter die KRITIS-Regeln des BSIG; die SCADA-Produkte selbst fallen unter den Cyber Resilience Act.

Was es in der Praxis bedeutet

Typische Findings in SCADA-Umgebungen, von Versorgern bis Industriestandorten:

• Leitstelle in der Bürodomäne. SCADA-Server und HMIs hängen im Active Directory des Unternehmens, eine Phishing-Mail im Büro ist damit einen Schritt von der Leitstelle entfernt.
• Geteilte Bedienerkonten. HMIs laufen mit einem Konto, das nie geändert wurde, weil ein Logout die Bildschirme leeren würde.
• Fernwirktechnik ohne Authentifizierung. IEC 60870-5-104 und DNP3 nehmen Befehle von jedem Host an, der Port 2404 oder 20000 erreicht; die sicheren Authentifizierungserweiterungen sind nicht aktiv, weil die RTUs sie nicht unterstützen.
• Außenstationen im Internet. Mobilfunkmodems und Router an entfernten Standorten mit Standardpasswörtern, aus dem Internet erreichbar und in Suchmaschinen für vernetzte Geräte sichtbar.
• Web-HMIs mit Web-Schwachstellen. Moderne SCADA-Produkte liefern browserbasierte HMIs, und die haben dieselben Injection-, Authentifizierungs- und Session-Probleme wie jede Webanwendung. Wir testen sie als Webanwendungen, in einer Testumgebung.
• Historian als Brücke. Die Historian-Datenbank ist für Reporting aus dem Büronetz erreichbar und von dort aus dem Steuerungsnetz.

Der Test eines SCADA-Systems folgt OT-Regeln: zuerst passiver Mitschnitt des Fernwirkverkehrs, Konfigurationsreview von Servern und Firewalls, aktive Tests nur gegen Test- oder Staging-Systeme und keine Schreibbefehle an laufende Außenstationen. Zyberum testet SCADA-Umgebungen und die Web- und Backend-Komponenten darum herum, analysiert RTU- und SPS-Firmware im Labor und überwacht Steuerungsnetze mit dem Managed SOC Zyberdome.

Häufige Missverständnisse

SCADA ist kein Synonym für alle industrielle Steuerung; es ist die überwachende Ebene. “Proprietäre Protokolle schützen uns” stimmt nicht: Für jedes gängige Fernwirkprotokoll gibt es Wireshark-Dissektoren und Open-Source-Clients. Und ein SCADA-Netz ist nicht isoliert, weil das Diagramm es so zeigt; die Wartungsverbindung, die Historian-Anbindung und die Mobilfunkrouter sind die Wege, die Angreifer tatsächlich nutzen.