Die vernetzte Fabrik sichern: Cybersicherheit in der Industrie im Zeitalter der Spitzen-KI

Einführung: Vernetzung vergrößert die Angriffsfläche der Industrie

Die industrielle Automatisierung tritt in eine neue Phase ein, in der künstliche Intelligenz, Cloud-Anbindung, Robotik und datengesteuerte Steuerungssysteme zunehmend miteinander vernetzt sind. Diese Technologien helfen Herstellern, die Produktion besser zu überblicken, die Anlagenleistung zu optimieren und auf veränderte betriebliche Anforderungen zu reagieren. Sie bringen jedoch auch neue Cybersicherheitsherausforderungen in den Bereichen Informationstechnologie (IT), Betriebstechnologie (OT), Engineering-Systeme und Zugangsstellen Dritter mit sich.

Frontier-KI verändert die Bedrohungslage, indem sie Angreifern hilft, Schwachstellenforschung zu beschleunigen, Exploits zu entwickeln und ausgefeiltere Angriffe zu planen. Für Hersteller geht die Sorge über den Diebstahl von Daten oder kompromittierte Büronetzwerke hinaus. Ein Cybervorfall kann die Produktion unterbrechen, die Produktqualität beeinträchtigen, geistiges Eigentum offenlegen oder unsichere Betriebsbedingungen schaffen.

Aus Sicht des Ingenieurwesens in der Industrie besteht die eigentliche Herausforderung nicht einfach darin, unbefugten Zugriff zu verhindern. Es geht darum, die Kontrolle über die gesamte Produktionsumgebung aufrechtzuerhalten, wenn ein Sicherheitsvorfall eintritt. Cybersicherheit muss daher als Teil der betrieblichen Resilienz betrachtet werden. Schutzstrategien müssen sich an Anlagenverhalten, Prozessabhängigkeiten und Sicherheitsanforderungen orientieren.

Wie Frontier-KI die industrielle Cybersicherheit verändert

KI-gestützte Angriffe können die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung verkürzen. Sicherheitsteams, die auf manuelle Untersuchungen, fragmentierte Anlagenverzeichnisse und langwierige Genehmigungsverfahren angewiesen sind, haben möglicherweise Schwierigkeiten, zu reagieren, bevor ein Eindringen Produktionssysteme beeinträchtigt.

Das Risiko wird komplexer, wenn Fernwartungsverbindungen, Engineering-Workstations, industrielle Ethernet-Netzwerke und Unternehmensanwendungen mit Steuerungssystemen interagieren. Eine Schwachstelle in einem Bereich kann einen Zugangspunkt zu einem anderen schaffen, insbesondere wenn Netzwerksegmentierung und Zugriffsbeschränkungen unzureichend sind.

Der zunehmende Einsatz digitaler Zwillinge, autonomer Roboter, maschineller Bildverarbeitung und KI-gestützter Prozessoptimierung schafft zusätzliche Schnittstellen, die geschützt werden müssen. Diese Systeme können von Softwarediensten, externen Datenquellen, spezialisierten Steuerungen und vom Anbieter verwalteten Verbindungen abhängig sein.

Ein Punkt verdient besondere Aufmerksamkeit: Eine vernetzte Fabrik lässt sich nicht wirksam schützen, indem jedes einzelne Gerät als isolierter IT-Endpunkt behandelt wird. Eine kompromittierte Engineering-Workstation kann beispielsweise ein anderes Maß an Betriebsrisiko darstellen als ein kompromittiertes Überwachungsterminal – abhängig von seinen Berechtigungen und seiner Verbindung zu Steuerungen, Sicherheitssystemen und Produktionsanlagen. Sicherheitsentscheidungen müssen diese Unterschiede berücksichtigen.

Die Lücke bei der Reaktion im Betrieb: Die Erkennung ist erst der Anfang

Viele Hersteller haben in Firewalls, Endgeräteschutz, Angriffserkennung und Sicherheitsüberwachung investiert. Doch allein das Vorhandensein dieser Tools garantiert nicht, dass ein Unternehmen wirksam auf einen Sicherheitsvorfall reagieren kann.

In industriellen Umgebungen sind die Zuständigkeiten häufig auf Cybersicherheitsteams, Automatisierungsingenieure, Anlagenbediener, Wartungspersonal, das Engineering-Management und externe Dienstleister verteilt. Jede Gruppe kennt möglicherweise einen Teil des Systems, doch fehlen klar zugewiesene Entscheidungsbefugnisse, kann dies die Eindämmung und Wiederherstellung verzögern.

In herkömmlichen IT-Umgebungen lässt sich ein kompromittierter Endpunkt möglicherweise relativ einfach isolieren. In einer Produktionsanlage kann das Trennen eines Geräts einen Regelkreis unterbrechen, die Überwachung beeinträchtigen oder einen abgestimmten Prozess stören. Ein sofortiger Produktionsstopp ist nicht immer die sicherste Reaktion; ein kompromittiertes System verbunden zu lassen, ist jedoch auch nicht unbedingt akzeptabel.

Welche Maßnahme die richtige ist, hängt vom Prozess, der Systemarchitektur, den verfügbaren Ausweichmechanismen und den Folgen eines Kontroll- oder Sichtbarkeitsverlusts ab. Hersteller benötigen Verfahren für Sicherheitsvorfälle, die zwischen IT-Eindämmung, OT-Eindämmung, kontrolliertem Produktionsstopp und der Wiederherstellung eines nachweislich sicheren Betriebszustands unterscheiden.

Die Personalkapazitäten stellen eine weitere Herausforderung dar. Deloitte hat auf den Bedarf der Fertigungsindustrie hingewiesen, erhebliche Personalengpässe zu bewältigen. Dazu zählen rund 2,3 Millionen voraussichtliche offene Stellen in der Fertigung zwischen 2025 und 2030. Deshalb wird es immer wichtiger, Verfahren zu entwickeln, die vorhandenen Mitarbeitenden fundierte Entscheidungen ermöglichen, ohne vollständig von einer kleinen Zahl von Cybersicherheitsspezialisten abhängig zu sein.

Fünf praktische Schritte zur Sicherung der vernetzten Fabrik

1. Einheitliche Governance für IT, OT und Engineering etablieren

Die Cybersicherheits-Governance sollte unternehmensweite Sicherheitsrichtlinien mit den praktischen Anforderungen des Anlagenbetriebs verbinden. Ein dauerhaft eingerichtetes, funktionsübergreifendes Team sollte Cybersicherheitsspezialisten, Automatisierungsingenieure, Betriebsleiter, Sicherheitspersonal und relevante Entscheidungsträger aus dem Unternehmen umfassen.

Zuständigkeiten sollten vor einem Vorfall dokumentiert werden. Für jedes Reaktionsszenario sollte festgelegt sein, wer den Fernzugriff entziehen, ein Netzwerksegment isolieren, einen Dienst deaktivieren, eine Änderung an einer Steuerung genehmigen oder eine Produktionsunterbrechung autorisieren kann.

Vorab genehmigte Maßnahmen können Verzögerungen verringern, müssen sich jedoch innerhalb festgelegter technischer und sicherheitsbezogener Grenzen bewegen. Änderungen, die eine Sicherheitsfunktion, einen kritischen Regelkreis oder die Prozessstabilität beeinträchtigen könnten, sollten die entsprechenden technischen Prüfungs- und Genehmigungsverfahren durchlaufen.

Meiner Ansicht nach ist Governance nur dann wirksam, wenn sie zu umsetzbaren Entscheidungen führt. Eine Richtlinie, die eine Eskalation verlangt, ohne die entscheidungsbefugte Person, die Reaktionsfrist und sichere Handlungsalternativen festzulegen, bietet bei einem sich schnell entwickelnden Vorfall nur begrenzte Hilfe.

2. Anlagen nach den betrieblichen Folgen priorisieren

Ein vollständiges Anlageninventar ist der Ausgangspunkt, nicht das endgültige Ziel. Hersteller müssen außerdem verstehen, wie die Anlagen zusammenwirken und was passiert, wenn eine bestimmte Komponente nicht mehr verfügbar ist oder ihre Integrität verliert.

Bei der Priorisierung sollten speicherprogrammierbare Steuerungen (SPS), Server von Prozessleitsystemen (PLS), Sicherheitssysteme, Engineering-Workstations, Mensch-Maschine-Schnittstellen (HMIs), industrielle Netzwerkinfrastruktur, Prozessdatenarchive und Fernzugangsgateways berücksichtigt werden. Die tatsächlichen Prioritäten hängen vom jeweiligen Standort und Prozess ab.

Die Kritikalität von Anlagen sollte anhand mehrerer Faktoren bewertet werden:

• Die möglichen Auswirkungen auf die Sicherheit des Personals und den Umweltschutz.
• Die Folgen eines Verlusts der Prozesssteuerung oder der betrieblichen Übersicht.
• Die Möglichkeit von Produktionsunterbrechungen, Qualitätsabweichungen oder Anlagenschäden.
• Die Verfügbarkeit redundanter Anlagen, manueller Betriebsabläufe und Wiederherstellungsoptionen.
• Der Grad der Vernetzung mit externen Netzwerken und Systemen Dritter.

Dieser Ansatz unterstützt ein risikobasiertes Schwachstellenmanagement. Eine Schwachstelle auf einer für die Produktion kritischen Engineering-Workstation kann dringender behandelt werden müssen als ein ähnlicher Befund auf einem nicht verbundenen Testsystem.

Auch veraltete Anlagen müssen berücksichtigt werden. Einige industrielle Steuerungen können nicht kurzfristig gepatcht werden, weil die Firmware dies nicht zulässt, der Hersteller Einschränkungen vorgibt, Zertifizierungsanforderungen gelten oder eine geplante Wartungsabschaltung erforderlich ist. In solchen Fällen können Zugriffsbeschränkungen, Netzwerksegmentierung, Anwendungskontrollen und andere bewährte kompensierende Maßnahmen die Gefährdung verringern, während ein sicherer Behebungsplan ausgearbeitet wird.

3. KI zur Abwehr einsetzen, ohne ihr unkontrollierte Befugnisse zu erteilen

KI kann Sicherheitsteams dabei helfen, Warnmeldungen miteinander zu verknüpfen, ungewöhnliches Netzwerkverhalten zu erkennen, die Gefährdung durch Schwachstellen zu analysieren, potenzielle Angriffswege abzubilden und Maßnahmen zur Behebung zu priorisieren. Diese Fähigkeiten können den Zeitaufwand für wiederkehrende Analysen verringern und Ingenieuren helfen, sich auf Vorfälle mit größeren betrieblichen Folgen zu konzentrieren.

KI-generierte Empfehlungen sind jedoch nicht automatisch korrekt, und ein KI-Agent mit Zugriff auf Produktionssysteme kann zusätzliche Risiken verursachen, wenn seine Berechtigungen nicht sorgfältig festgelegt sind.

Hersteller sollten den Zugriff nach dem Prinzip der geringsten Berechtigung gestalten, zulässige Aktionen einschränken, überprüfbare Protokolle führen und festlegen, wann eine menschliche Genehmigung zwingend erforderlich ist. Änderungen mit erheblichen Auswirkungen, die Steuerungskonfigurationen, sicherheitsrelevante Systeme, die Netzwerkisolierung oder Produktionsstilllegungen betreffen, sollten ausdrücklich genehmigten Verfahren folgen, statt unterschiedslos autonomen Agenten übertragen zu werden.

Vor dem Einsatz sollten KI-gestützte Sicherheitsabläufe in einer repräsentativen, isolierten Umgebung getestet werden. Die Tests sollten unzutreffende Warnmeldungen, unvollständige Anlageninformationen, nicht verfügbare Dienste, nicht autorisierte Anfragen und unerwartete Interaktionen mit industriellen Protokollen abdecken.

Eine praktische Abgrenzung ist notwendig: KI sollte Analysen und klar begrenzte Reaktionsaufgaben beschleunigen, nicht aber das technische Urteilsvermögen ersetzen, wenn physische Prozesse und die Sicherheit von Personen betroffen sind. Der angemessene Automatisierungsgrad hängt von den Folgen einer falschen Maßnahme ab und nicht nur davon, wie schnell ein Modell sie ausführen kann.

4. Reaktion auf Vorfälle unter realistischen industriellen Bedingungen testen

Schriftliche Verfahren und Planspiele sind hilfreich, können aber nicht jede technische Abhängigkeit in einer laufenden Fabrik abbilden. Hersteller sollten ihre Reaktionsfähigkeit durch kontrollierte Übungen überprüfen, die die tatsächliche Netzwerkarchitektur, das Anlagenverhalten und die Wiederherstellungsanforderungen berücksichtigen.

Bei Tests sollte geprüft werden, ob Teams betroffene Anlagen identifizieren, das Ausmaß eines Eindringens bestimmen, kompromittierte Verbindungen eindämmen, die erforderliche Prozessübersicht aufrechterhalten und Systeme in einen verifizierten Zustand zurückversetzen können.

Zu den nützlichen Leistungsindikatoren zählen:

• Zeit bis zur Erkennung und ersten Bewertung eines Vorfalls.
• Zeit bis zur Genehmigung einer Eindämmungsmaßnahme.
• Zeit bis zur Eindämmung der Bedrohung, ohne ein unannehmbares Betriebsrisiko zu schaffen.
• Zeit bis zur Wiederherstellung einer sicheren, stabilen Produktion.
• Anteil kritischer Anlagen mit verifizierter Zuständigkeit und aktuellen Konfigurationsaufzeichnungen.
• Risiken im Zusammenhang mit Lieferantenkonten und Fernzugriffswegen.
• Produktionsausfälle oder Prozessabweichungen im Zusammenhang mit Reaktionsmaßnahmen.

Das Ziel ist nicht, um jeden Preis die kürzestmögliche Reaktionszeit zu erreichen. Eine schnelle, aber unzureichend geprüfte Änderung kann einen zweiten Vorfall verursachen. Die Reaktionsleistung sollte daran gemessen werden, wie schnell die Organisation Risiken senken und zugleich die Sicherheit und die betriebliche Kontrolle wahren kann.

Wenn eine sofortige Installation von Patches nicht möglich ist, sollten vorübergehende Eindämmungsmaßnahmen dokumentiert, überwacht und überprüft werden, bis die dauerhafte Behebung im Rahmen eines genehmigten Änderungsmanagementprozesses abgeschlossen werden kann.

5. Cybersicherheitswissen in der gesamten Belegschaft aufbauen

Industrialcybersicherheit liegt nicht allein in der Verantwortung der IT-Abteilung. Bediener, Wartungstechniker, Steuerungsingenieure, Systemintegratoren und externe Dienstleister beeinflussen alle die Sicherheit vernetzter Produktionsumgebungen.

Die Schulung sollte auf die jeweiligen Zuständigkeiten der einzelnen Gruppen zugeschnitten sein. Bedienpersonal muss ungewöhnliches Systemverhalten erkennen und Eskalationsverfahren verstehen. Automatisierungsingenieure müssen die Auswirkungen von Konfigurationsänderungen und Netzwerkisolierungen beurteilen können. Wartungsteams benötigen klare Regeln für den Fernzugriff, tragbare Engineering-Geräte und die Installation von Software.

KI-gestützte Werkzeuge können Mitarbeitenden dabei helfen, Warnmeldungen zu interpretieren, relevante Verfahren zu finden und auf technische Anleitungen zuzugreifen. Diese Werkzeuge sollten jedoch etablierte Betriebsverfahren unterstützen, statt widersprüchliche Anweisungen zu geben oder nicht autorisierte Änderungen zu begünstigen.

Hersteller sollten außerdem realistische Szenarien üben, darunter kompromittierte Zugangsdaten von Anbietern, verdächtige Aktivitäten an Engineering-Arbeitsplätzen, Ransomware, die Überwachungssysteme beeinträchtigt, sowie der Verlust der Kommunikation mit kritischen Anlagen.

Gut geschulte Mitarbeitende können den Weg von der ersten Beobachtung bis zu einer fundierten Maßnahme verkürzen. Das ist besonders wertvoll in Anlagen, in denen Cybersicherheitsspezialisten nicht ständig vor Ort verfügbar sind.

Industrielle Netzwerkarchitektur und Lebenszyklusmanagement sind entscheidend

Die fünf oben genannten Maßnahmen werden durch eine klare industrielle Netzwerkarchitektur und ein diszipliniertes Lebenszyklusmanagement wirksamer.

Hersteller sollten Unternehmens-IT, industrielle Überwachungsnetzwerke, Steuerungsnetzwerke und sicherheitsbezogene Umgebungen entsprechend ihren betrieblichen Anforderungen voneinander trennen. Die Kommunikation zwischen Zonen sollte ausdrücklich geregelt, überwacht und auf notwendige Dienste beschränkt sein. Der Fernwartungszugriff sollte über authentifizierte, autorisierte und nachvollziehbare Zugangswege erfolgen, nicht über uneingeschränkte Verbindungen.

Altanlagen erfordern besondere Aufmerksamkeit. Älteren SPSen, DCS-Komponenten, Kommunikations-Gateways und Engineering-Werkzeugen fehlen möglicherweise moderne Sicherheitsfunktionen, oder sie bleiben im Einsatz, weil ein Austausch erhebliche Kosten und Validierungsaufwand mit sich bringen würde. Ihr weiterer Einsatz sollte durch dokumentierte Risikobewertungen, eingeschränkte Konnektivität, Konfigurationssicherungen und erprobte Wiederherstellungsverfahren abgesichert werden.

Sicherheitsmaßnahmen müssen außerdem mit deterministischer Kommunikation, der Verfügbarkeit von Prozessen und den vom Hersteller unterstützten Konfigurationen vereinbar sein. Der Einsatz eines unbekannten Prüfwerkzeugs oder eine ungeprüfte Änderung der Firewall direkt in einem Produktionsnetzwerk kann zu betrieblichen Problemen führen, selbst wenn das Sicherheitsziel sinnvoll ist.

Aus diesem Grund sollten Cybersicherheitsprojekte bereits in der Entwurfsphase Automatisierung und Prozessentwicklung einbeziehen. Sicherheitsanforderungen lassen sich leichter umsetzen, wenn Netzwerksegmentierung, Identitätsmanagement, Protokollierung, Wiederherstellungsarchitektur und Lebenszyklusbetreuung bereits beim Systementwurf berücksichtigt werden, statt sie erst nach der Inbetriebnahme hinzuzufügen.

Resilienz messen – über die Anzahl der Sicherheitstools hinaus

Die Zahl der eingesetzten Sicherheitsprodukte sagt nur wenig darüber aus, wie gut eine Fabrik einem Cybervorfall standhalten kann. Aussagekräftiger ist die Frage, ob die Organisation weiß, welche Anlagen sie betreibt, deren Abhängigkeiten versteht und unter Druck sicher reagieren kann.

Hersteller sollten regelmäßig Anlagenverzeichnisse überprüfen, Backups durch Wiederherstellungsübungen testen, privilegierte Konten kontrollieren, den Lieferantenzugriff bewerten und sicherstellen, dass Notfallverfahren mit den aktuellen Anlagenkonfigurationen vereinbar sind. Aus den Erkenntnissen sollten konkrete Korrekturmaßnahmen mit klaren Fristen und verantwortlichen Personen abgeleitet werden.

Zur Resilienz sollte auch die Wiederherstellung nach dem Ausfall essenzieller Dienste gehören. So sollte ein Notfallplan festlegen, wie Bedienerinnen und Bediener ein angemessenes Bild des Prozessgeschehens bewahren, wenn Leitsysteme nicht verfügbar sind, und wie die technischen Teams die Steuerungskonfigurationen prüfen, bevor sie die normale Kommunikation wiederherstellen.

Diese Aktivitäten verknüpfen Cybersicherheit mit vertrauten Disziplinen der industriellen Technik: Änderungsmanagement, funktionale Sicherheit, Instandhaltungsplanung, Qualitätssicherung und betriebliche Risikobewertung. Durch die Integration dieser Disziplinen lassen sich Sicherheitsmaßnahmen praxisgerechter gestalten und über den gesamten Lebenszyklus der Anlagen leichter aufrechterhalten.

Fazit: Cybersicherheit als betriebliche Fähigkeit verankern

Frontier-KI erhöht die Geschwindigkeit und Raffinesse potenzieller Cyberbedrohungen. Doch nicht die Technologie allein entscheidet darüber, welche Hersteller erfolgreich reagieren. Das Ergebnis hängt auch davon ab, wie gut Anlagen erfasst sind, wie die Netzarchitektur aufgebaut ist, wer Entscheidungsbefugnis hat, wie konsequent technische Standards eingehalten werden und wie gut die Belegschaft vorbereitet ist.

Hersteller sollten vorrangig Maßnahmen ergreifen, die kritische Prozesse schützen, unnötige Vernetzung begrenzen und eine schnelle, klar geregelte Eindämmung unterstützen. KI kann Erkennung und Analyse verbessern, sofern ihr Zugriff und ihre Aktionen angemessenen Schutzmaßnahmen unterliegen. Reaktionspläne müssen anhand realer industrieller Abhängigkeiten geprüft werden und dürfen nicht bloß als Compliance-Übung dokumentiert sein.

Die zentrale Erkenntnis ist einfach: Eine sichere vernetzte Fabrik ist keine Fabrik, die davon ausgeht, jeden Angriff verhindern zu können. Sie kann vielmehr ungewöhnliche Zustände erkennen, fundierte Entscheidungen treffen, Bedrohungen innerhalb festgelegter Sicherheitsgrenzen eindämmen und den Betrieb nach einem erprobten Verfahren wiederherstellen. Im Zeitalter der Frontier-KI sollte diese Fähigkeit als messbarer Bestandteil der industriellen Leistungsfähigkeit und betrieblichen Resilienz gelten.