Cybersecurity in Produktionssystemen.
Nicht im Büro.
Nicht im Rechenzentrum.
Sondern dort, wo Anlagen laufen, Roboter sich bewegen und Medikamente produziert werden.
Das ist eine andere Welt.
Und wer sie einmal gesehen hat, merkt schnell:
Viele Sicherheitsprobleme haben weniger mit Hackern zu tun – und mehr mit Architektur, Prozessen und Entscheidungen, die Jahre vorher getroffen wurden.
In diesem Beitrag möchte ich einige Punkte aus dem Gespräch vertiefen.
Viele IT-Leute gehen zunächst davon aus, dass Produktionssysteme im Grunde dasselbe sind wie klassische IT.
Server.
Netzwerke.
Software.
Teilweise stimmt das auch.
Aber sobald man näher an den eigentlichen Prozess kommt, wird es anders.
OT - also Operational Technology - steuert physische Prozesse: Pumpen, Ventile, Roboter, Produktionsanlagen oder Stromnetze. Während IT hauptsächlich Informationen verarbeitet, beeinflusst OT direkt die reale Welt.
Das führt zu völlig anderen Prioritäten.
In vielen industriellen Systemen gilt:
Ein Produktionssystem darf nicht einfach neu gestartet werden wie ein Laptop.
Und genau hier beginnt das Spannungsfeld zwischen IT-Security und OT-Realität.
Ein wichtiger Punkt wird oft übersehen:
Viele industrielle Systeme wurden nie für vernetzte Umgebungen entwickelt.
Ursprünglich waren Produktionsanlagen:
Security war schlicht kein Thema.
Erst mit der zunehmenden Digitalisierung und Vernetzung wurden diese Systeme plötzlich Teil der Unternehmens-IT.
Damit wächst auch die Angriffsfläche. Studien zeigen, dass immer mehr industrielle Geräte öffentlich erreichbar sind und häufig bekannte Schwachstellen enthalten.
Das Ergebnis:
Eine Infrastruktur, die ursprünglich nicht für Cybersecurity gebaut wurde, hängt heute im Netzwerk.
Genau aus diesem Grund entstehen neue regulatorische Rahmenwerke.
Ein besonders wichtiger Baustein ist der Cyber Resilience Act (CRA) der EU.
Der CRA definiert erstmals verbindliche Sicherheitsanforderungen für Produkte mit digitalen Elementen, also Hardware und Software, die mit Netzwerken verbunden sind.
Die Idee dahinter ist simpel:
Security darf nicht erst beim Betreiber anfangen.
Sie muss bereits im Produkt selbst vorhanden sein.
Der CRA verpflichtet Hersteller deshalb unter anderem dazu:
Damit verschiebt sich Verantwortung.
Von den Betreibern
hin zu den Herstellern.
Und das ist für viele Industriebereiche ein Paradigmenwechsel.
Neben Regulierung spielen auch technische Standards eine wichtige Rolle.
Einer der wichtigsten ist die IEC 62443.
Diese internationale Normenreihe beschreibt, wie industrielle Automatisierungs- und Steuerungssysteme sicher gestaltet werden können.
Das Besondere daran:
Sie betrachtet nicht nur Technik.
Sondern auch:
Die Norm verfolgt dabei einen risikobasierten Ansatz und definiert Sicherheitsniveaus, die sich an möglichen Angreifern orientieren.
Damit wird Security systematisch planbar.
Zumindest theoretisch.
Der größte Fehler in vielen Projekten passiert viel früher.
Ganz am Anfang.
In vielen Industrieprojekten läuft es ungefähr so:
Das Problem:
Zu diesem Zeitpunkt sind die Architekturentscheidungen längst gefallen.
Und dann wird Security zum teuren Nachrüstprojekt.
Dabei ist die wichtigste Erkenntnis eigentlich banal:
Security funktioniert nur, wenn sie von Anfang an Teil der Architektur ist.
Oder anders gesagt:
Wenn Sicherheit erst kurz vor Go-Live diskutiert wird, ist das Projekt bereits verloren.
Ein Punkt aus dem Gespräch ist mir besonders wichtig.
Security ist keine Checkliste.
Sie ist eine Priorisierungsaufgabe.
In komplexen Systemen kann man nie alles absichern.
Deshalb braucht man ein Werkzeug, um Entscheidungen zu treffen.
Genau dafür sind Risikoanalysen da.
Richtig eingesetzt helfen sie dabei:
Der eigentliche Wert einer Risikoanalyse liegt nicht im Dokument.
Sondern im Systemverständnis, das dabei entsteht.
Viele Unternehmen verstehen ihre eigenen digitalen Prozesse danach deutlich besser als vorher.
Ein letzter Gedanke.
Viele Security-Diskussionen drehen sich um spektakuläre Angriffe.
Nation-State-Hacker.
Zero-Day-Exploits.
Cyberkrieg.
In der Realität sieht es meistens anders aus.
Die meisten erfolgreichen Angriffe nutzen:
Also Dinge, die eigentlich vermeidbar wären.
Security beginnt deshalb selten mit High-Tech.
Sondern mit:
Wenn wir über digitale Transformation sprechen, denken viele zuerst an Datenplattformen, KI oder Automatisierung.
Aber ein digitales Mindset bedeutet auch:
Verantwortung für die Systeme zu übernehmen, auf denen unsere Industrie läuft.
Gerade in regulierten Branchen wie Pharma, Biotech oder MedTech ist das kein theoretisches Thema.
Es geht um:
Security ist kein Selbstzweck.
Aber ohne Security funktioniert Digitalisierung langfristig nicht.
Das komplette Gespräch mit Sarah Fluchs über OT-Security, Cyber Resilience Act und Risikoanalysen findest du hier: