OT-/Cyber-Resilienz — Gebäudeautomation und Fernzugriffe absichern

HLK-Steuerungssysteme regeln Heizung, Lüftung, Klima, Kälte, Befeuchtung, Entfeuchtung, Luftmengen, Raumdruck und Temperaturzonen. In Industriegebäuden beeinflussen sie nicht nur Komfort, sondern auch Prozessstabilität, Produktschutz, Reinraumbedingungen, Lagerfähigkeit und Arbeitssicherheit. Unbefugte Änderungen an Sollwerten, Zeitprogrammen oder Regelparametern können hohe betriebliche Auswirkungen haben.

Beleuchtungssteuerungssysteme steuern Innen- und Außenbeleuchtung, Produktionsbereiche, Fluchtwege, Lagerzonen, Parkflächen und Sicherheitsbereiche. Sie tragen zur Energieeffizienz, Arbeitssicherheit und Standortverfügbarkeit bei. In kritischen Bereichen muss sichergestellt werden, dass Lichtsteuerungen nicht unberechtigt deaktiviert oder manipuliert werden.

Zutrittskontrollsysteme schützen Gebäude, Technikräume, Leitwarten, Rechenräume, Lagerbereiche, Produktionszonen und sensible Anlagenbereiche. Sie müssen gegen unbefugte Benutzerverwaltung, Manipulation von Berechtigungen, Ausfall zentraler Controller und unsichere Schnittstellen geschützt werden. Die Verbindung zwischen physischer Sicherheit und Cyber-Sicherheit ist hier besonders eng.

Brand- und Lebenssicherheitssysteme dienen dem Schutz von Personen und Anlagen. Dazu gehören Brandmeldung, Alarmierung, Rauchabzug, Sprinklerüberwachung, Notbeleuchtung, Evakuierungsunterstützung und Schnittstellen zu Lüftung oder Zutrittskontrolle. Diese Systeme dürfen durch Cyber-Sicherheitsmaßnahmen nicht in ihrer zertifizierten oder vorgeschriebenen Funktion beeinträchtigt werden.

Plattformen zur Medien- und Versorgungsüberwachung erfassen Energie, Wasser, Gas, Dampf, Druckluft, Kälte, Wärme und weitere Betriebsmedien. Sie unterstützen Energieoptimierung, Abrechnung, Lastmanagement und Verfügbarkeitsanalysen. Da sie häufig Schnittstellen zu Gebäudeleittechnik, Produktionsplanung oder Nachhaltigkeitsberichten besitzen, müssen Datenintegrität und Zugriffsschutz gewährleistet sein.

Der Schutz der operativen Funktionalität steht im Mittelpunkt. Gebäudeautomation muss die vorgesehenen Steuerungs-, Regelungs- und Überwachungsfunktionen zuverlässig erfüllen. Sicherheitsmaßnahmen müssen so geplant werden, dass sie den Anlagenbetrieb unterstützen und nicht unbeabsichtigt blockieren.

Die Verhinderung unautorisierter Steuerung ist wesentlich. Unberechtigte Personen dürfen keine Sollwerte verändern, Anlagen starten oder stoppen, Alarme quittieren, Zeitprogramme bearbeiten, Benutzerrechte vergeben oder sicherheitsrelevante Funktionen beeinflussen. Besonders kritisch sind Fernzugriffe, Lieferantenzugänge und Administratorrechte.

Die Aufrechterhaltung der Systemintegrität bedeutet, dass Konfigurationen, Steuerungslogiken, Messwerte, Trenddaten, Alarme und Benutzerrechte korrekt und nachvollziehbar bleiben. Manipulierte Messwerte oder unerkannte Konfigurationsänderungen können zu falschen Betriebsentscheidungen führen.

Die Sicherstellung kontinuierlicher Dienstverfügbarkeit verlangt, dass Gebäudeautomationssysteme auch bei Störungen, Wartung, Teilnetzausfällen oder Sicherheitsereignissen betriebsfähig bleiben. Dazu gehören Redundanzen, definierte Ersatzbetriebsarten, lokale Bedienmöglichkeiten, getestete Backups und klare Wiederanlaufverfahren.

Benutzerzugriff muss auf nachweisbare betriebliche Aufgaben beschränkt werden. Bediener, Schichtleiter, Facility-Techniker, Systemadministratoren, Dienstleister und Lieferanten benötigen unterschiedliche Rechte. Kritische Funktionen wie Benutzerverwaltung, Programmänderungen, Netzwerkparameter oder sicherheitsrelevante Abschaltungen sollten nur besonders autorisierten Rollen vorbehalten sein.

Systemkonfigurationen müssen gegen unbeabsichtigte oder unautorisierte Änderungen geschützt werden. Dazu gehören sichere Passwortrichtlinien, definierte Standardparameter, dokumentierte Sollwerte, gesicherte Projektdateien, Versionsstände und regelmäßige Abgleiche zwischen Soll- und Ist-Konfiguration.

Kommunikation innerhalb der Gebäudeautomation sollte auf erforderliche Verbindungen begrenzt sein. Unsichere oder nicht benötigte Dienste sind zu deaktivieren. Wo technisch möglich, sollten verschlüsselte und authentifizierte Verbindungen genutzt werden. Bei älteren Systemen, die keine modernen Sicherheitsfunktionen unterstützen, sind kompensierende Maßnahmen wie Netzwerkisolierung, Firewall-Regeln, Jump-Server und enges Monitoring erforderlich.

Gerätemanagement umfasst die laufende Pflege von Steuerungen, Gateways, Servern, Bediengeräten und Netzwerkkomponenten. Firmwarestände müssen bekannt sein, Schwachstellen müssen bewertet werden und Updates müssen in kontrollierten Wartungsfenstern erfolgen. Nicht mehr unterstützte Geräte sollten in einer Modernisierungsplanung erfasst werden.

Monitoring stellt sicher, dass technische Störungen und sicherheitsrelevante Ereignisse erkannt werden. Dazu gehören fehlgeschlagene Anmeldungen, ungewöhnliche Zugriffszeiten, Änderungen an Sollwerten, unerwartete Neustarts, Kommunikationsabbrüche, neue Geräte im Netzwerk und Konfigurationsabweichungen.

Rollenbasierte Zugriffskontrolle stellt sicher, dass Benutzer nur die Rechte erhalten, die sie für ihre Aufgaben benötigen. Ein Bediener darf beispielsweise Anlagenzustände überwachen und definierte Betriebsparameter anpassen, aber keine Steuerungslogik ändern. Ein Servicetechniker darf Wartungsfunktionen ausführen, erhält jedoch keinen dauerhaften Administratorzugang ohne Freigabe.

Die Benutzerkontenverwaltung muss den gesamten Lebenszyklus abdecken. Neue Konten dürfen nur auf Grundlage genehmigter Anforderungen erstellt werden. Änderungen von Rollen, Abteilungswechsel, Dienstleisterwechsel und Austritte müssen zeitnah im System abgebildet werden. Inaktive Konten sind zu sperren oder zu löschen.

Privilegiertes Zugriffsmanagement ist für Administratoren, Lieferanten, Integratoren und Personen mit erweiterten Rechten erforderlich. Diese Zugriffe sollten besonders geschützt, protokolliert und zeitlich begrenzt sein. Gemeinsame Administratorpasswörter sind zu vermeiden. Wo sie technisch nicht vermeidbar sind, müssen sie streng kontrolliert, sicher verwahrt und nach Nutzung geändert werden.

Regelmäßige Zugriffsüberprüfungen sind verpflichtend einzuplanen. Facility Management sollte gemeinsam mit Systemverantwortlichen prüfen, ob Benutzer, Rollen und Berechtigungen noch erforderlich und angemessen sind. Die Ergebnisse sind zu dokumentieren, Abweichungen sind zu korrigieren und offene Maßnahmen sind nachzuverfolgen.

Konfigurationsdokumentation ist die Grundlage für sicheren Betrieb und schnelle Wiederherstellung. Sie sollte Systemarchitektur, Netzwerkinformationen, Controller-Programme, Parameter, Sollwerte, Benutzerrollen, Schnittstellen, Datenpunkte, Alarmgrenzen und Versionen enthalten. Dokumentationen müssen aktuell, zugänglich und gegen unbefugte Änderung geschützt sein.

Genehmigungsverfahren stellen sicher, dass Änderungen vor Umsetzung fachlich, technisch und sicherheitsbezogen bewertet werden. Jede Änderung sollte Anlass, Umfang, betroffene Systeme, Risiko, Testanforderungen, Wartungsfenster, Rückfallplan und Verantwortliche enthalten. Kritische Änderungen sollten zusätzlich durch Produktion, Arbeitssicherheit oder IT-Sicherheit freigegeben werden.

Systemmodifikationen müssen kontrolliert erfolgen. Dazu gehören Programmänderungen an Steuerungen, Anpassungen von Zeitprogrammen, Änderung von Sollwertgrenzen, Einbindung neuer Geräte, Aktualisierung von Software, Änderungen an Schnittstellen und Anpassungen von Benutzerrechten. Ungeplante Notfalländerungen sind zulässig, müssen aber nachträglich dokumentiert, geprüft und genehmigt werden.

Konfigurationssicherung und Wiederherstellung müssen regelmäßig getestet werden. Projektdateien, Datenbanken, Controller-Backups, Visualisierungen und Netzwerkkonfigurationen sollten nach jeder freigegebenen Änderung gesichert werden. Wiederherstellungsverfahren müssen so dokumentiert sein, dass sie auch bei Ausfall von Schlüsselpersonen durchgeführt werden können.

Die Überwachung des Anlagenstatus umfasst Betriebszustände, Störmeldungen, Kommunikationsstatus, Verfügbarkeit von Controllern, Serverzustände, Sensorwerte, Aktorstellungen und Medienversorgung. Facility Manager sollten sicherstellen, dass kritische Anlagen mit eindeutigen Alarmprioritäten und Eskalationswegen versehen sind.

Die Systemleistungsverfolgung dient der frühzeitigen Erkennung schleichender Probleme. Wichtige Kennwerte sind Reaktionszeiten, Regeldifferenzen, Energieverbräuche, Laufzeiten, Schalthäufigkeiten, Temperaturen, Drücke, Durchflüsse, Serverauslastung und Kommunikationsqualität. Abweichungen können auf technische Defekte, falsche Einstellungen oder sicherheitsrelevante Ereignisse hinweisen.

Alarmmanagement muss strukturiert erfolgen. Alarme sollten priorisiert, verständlich beschrieben und mit klaren Handlungsanweisungen versehen sein. Wiederkehrende Alarme, Alarmfluten, dauerhaft quittierte Alarme oder unterdrückte Meldungen müssen analysiert werden, da sie die Reaktionsfähigkeit des Betriebs beeinträchtigen.

Die Erkennung unautorisierter Zugriffe umfasst fehlgeschlagene Anmeldungen, Anmeldungen außerhalb üblicher Betriebszeiten, Zugriffe aus ungewohnten Netzbereichen, Nutzung deaktivierter Konten und wiederholte Authentifizierungsfehler. Solche Ereignisse müssen bewertet und bei Bedarf eskaliert werden.

Verdächtige Aktivitäten können ungewöhnliche Sollwertänderungen, unerwartete Programmänderungen, neue Geräte im OT-Netz, häufige Verbindungsabbrüche, nicht geplante Neustarts oder auffällige Datenübertragungen sein. Facility Management sollte definieren, welche Aktivitäten als kritisch gelten und welche Reaktionen erforderlich sind.

Die Überwachung von Konfigurationsänderungen ist besonders wichtig, da viele OT-Vorfälle nicht sofort als Cyber-Ereignis sichtbar werden. Jede Änderung an Steuerungslogik, Benutzerrechten, Netzwerkparametern, Alarmgrenzen oder Zeitschaltprogrammen sollte nachvollziehbar sein. Nicht genehmigte Änderungen sind zu untersuchen.

Sicherheitsereignisprotokollierung unterstützt Nachweisführung, Ursachenanalyse und Auditfähigkeit. Protokolle sollten relevante Informationen wie Benutzer, Zeitstempel, System, Aktion, Ergebnis und betroffene Komponente enthalten. Die Aufbewahrungsdauer muss an Betriebsanforderungen, Compliance-Anforderungen und forensische Erfordernisse angepasst werden.

Remote Facility Management ermöglicht die Überwachung und teilweise Steuerung technischer Anlagen unabhängig vom Standort. Dies ist insbesondere bei verteilten Liegenschaften, 24/7-Betrieb, Bereitschaftsdiensten, zentralen Leitstellen oder spezialisierten Expertenteams relevant. Der Nutzen liegt in schneller Reaktion, reduzierten Anfahrtszeiten und besserer Verfügbarkeit technischer Kompetenz.

Lieferantenwartung ist in vielen OT-Umgebungen notwendig, da Hersteller und Systemintegratoren spezifisches Wissen über Steuerungen, Leitsysteme, Software, Lizenzen und proprietäre Schnittstellen besitzen. Fernzugriff kann die Störungsbehebung beschleunigen, muss aber kontrolliert und nachvollziehbar erfolgen.

Fehlerdiagnose und Troubleshooting profitieren von Remote-Zugriffen auf Logs, Trends, Visualisierungen, Controllerzustände und Systemmeldungen. Dadurch können Ursachen schneller eingegrenzt und Maßnahmen vorbereitet werden. Dennoch darf Diagnosezugriff nicht automatisch vollständige Steuerungs- oder Administrationsrechte bedeuten.

Standortübergreifende Betriebsüberwachung unterstützt Organisationen mit mehreren Werken, Produktionsstandorten oder technischen Gebäuden. Zentrale Teams können Kennzahlen vergleichen, Energieverbräuche auswerten, Störungen verfolgen und Standards einheitlich umsetzen. Dabei müssen Datenflüsse und Zugriffsrechte je Standort klar geregelt sein.

Unautorisierter externer Zugriff zählt zu den größten Risiken. Offen erreichbare Systeme, unsichere Fernwartungssoftware, schlecht geschützte VPN-Zugänge oder falsch konfigurierte Firewalls können Angreifern direkten Zugang zu kritischen technischen Systemen ermöglichen.

Kompromittierte Zugangsdaten können entstehen, wenn Passwörter wiederverwendet, unsicher gespeichert, gemeinsam genutzt oder durch Phishing erlangt werden. Da Fernzugänge häufig erhöhte Rechte besitzen, muss der Schutz von Anmeldeinformationen besonders streng sein.

Drittparteien erhöhen die Sicherheitskomplexität. Lieferanten, Wartungsfirmen, Systemintegratoren und externe Experten bringen eigene Geräte, Prozesse, Sicherheitsniveaus und Unterauftragnehmer mit. Ohne klare Governance entsteht ein schwer kontrollierbares Risiko.

Malware-Eintragungsrisiken bestehen durch Wartungsnotebooks, Remote-Verbindungen, Dateiübertragungen, USB-Medien, Softwareupdates und Diagnosewerkzeuge. Besonders ältere OT-Systeme sind oft empfindlich gegenüber Schadsoftware, da sie nicht immer aktuelle Schutzmechanismen unterstützen.

Das Prinzip der geringsten Rechte verlangt, dass jeder Remote-Benutzer nur die minimal erforderlichen Berechtigungen erhält. Lesender Zugriff, Bedienzugriff, Konfigurationszugriff und Administratorzugriff müssen klar unterschieden werden. Temporäre Aufgaben dürfen nicht zu dauerhaft erweiterten Berechtigungen führen.

Need-to-know-Autorisierung bedeutet, dass Zugriff nur auf Systeme gewährt wird, die für eine konkrete Aufgabe erforderlich sind. Ein Kälteanlagenlieferant benötigt beispielsweise keinen Zugriff auf Zutrittskontrollsysteme oder Energieverteilung, sofern dies nicht ausdrücklich begründet ist.

Zeitlich begrenzte Zugriffsberechtigungen reduzieren das Risiko unbemerkter Dauerzugänge. Remote-Zugänge sollten nur für genehmigte Zeitfenster aktiviert werden. Nach Abschluss der Tätigkeit müssen Sitzungen beendet und Berechtigungen automatisch oder manuell entzogen werden.

Funktionstrennung verhindert Interessenkonflikte und unkontrollierte Einzelentscheidungen. Eine Person sollte nicht gleichzeitig uneingeschränkt Zugriff beantragen, genehmigen, ausführen und nachträglich prüfen können. Kritische Tätigkeiten sollten durch Freigabe- und Kontrollmechanismen abgesichert werden.

Multi-Faktor-Authentifizierung sollte für alle externen Zugriffe auf OT- und Gebäudeautomationsumgebungen verpflichtend sein. Sie reduziert das Risiko, dass ein kompromittiertes Passwort allein zu einem erfolgreichen Zugriff führt.

VPN-Konnektivität kann sichere Kommunikationskanäle bereitstellen, darf jedoch nicht als alleinige Sicherheitsmaßnahme betrachtet werden. VPN-Zugriffe müssen mit Benutzerrollen, Netzwerksegmentierung, MFA, Protokollierung und klaren Freigabeprozessen kombiniert werden.

Jump-Server dienen als kontrollierter Einstiegspunkt in die OT-Umgebung. Benutzer verbinden sich nicht direkt mit Steuerungen oder Leitsystemen, sondern über eine zentrale, überwachte und gehärtete Plattform. Dadurch lassen sich Zugriffe besser begrenzen, protokollieren und beenden.

Sitzungsüberwachung schafft Transparenz über laufende Remote-Aktivitäten. Kritische Sitzungen sollten in Echtzeit beobachtet oder zumindest vollständig nachvollziehbar aufgezeichnet werden. Facility Management muss definieren, welche Systeme und Tätigkeiten eine erhöhte Überwachung benötigen.

Zugriffsprotokollierung stellt sicher, dass nachgewiesen werden kann, wer wann auf welches System zugegriffen hat und welche Tätigkeiten durchgeführt wurden. Diese Informationen sind für Audits, Vorfallanalysen, Vertragskontrolle und Verantwortlichkeitsklärung wichtig.

Freigabeprozesse für Zugriffe müssen vor der Aktivierung stattfinden. Ein Antrag sollte Benutzer, Organisation, Zweck, betroffene Systeme, benötigte Rechte, Zeitraum, Ansprechpartner, Risiko und geplante Tätigkeiten enthalten. Ohne dokumentierte Freigabe darf kein externer Remote-Zugang aktiviert werden.

Sitzungsstartkontrollen stellen sicher, dass nur genehmigte, authentifizierte und autorisierte Benutzer eine Verbindung aufbauen können. Der Zugang sollte über definierte technische Wege erfolgen. Direkte Modemverbindungen, unverwaltete Fernwartungstools oder dauerhaft offene externe Ports sind zu vermeiden.

Anforderungen an Aktivitätsüberwachung müssen abhängig von Kritikalität und Tätigkeit festgelegt werden. Reine Diagnose kann eine geringere Überwachung erfordern als Änderungen an Steuerungsprogrammen, Firmwareupdates oder Arbeiten an Sicherheits- und Versorgungssystemen. Bei besonders kritischen Tätigkeiten sollte ein interner Ansprechpartner die Sitzung begleiten.

Verfahren zur Sitzungsbeendigung müssen sicherstellen, dass Verbindungen nach Abschluss getrennt und Berechtigungen entzogen werden. Offene Sitzungen, ungenutzte VPN-Tunnel, aktive Lieferantenkonten und nicht widerrufene temporäre Rechte sind regelmäßig zu prüfen und zu schließen.

Anforderungen an die Lieferantenqualifikation sollten vor Vertragsabschluss definiert werden. Facility Management muss prüfen, ob Dienstleister über geeignete Sicherheitsprozesse, geschultes Personal, sichere Fernwartungsmethoden, dokumentierte Rollen und klare Eskalationswege verfügen. Kritische Lieferanten sollten risikobasiert bewertet werden.

Vertragliche Sicherheitsverpflichtungen müssen eindeutig regeln, wie externe Parteien mit Zugangsdaten, Kundensystemen, Wartungsgeräten, Daten, Unterauftragnehmern und Sicherheitsvorfällen umgehen. Anforderungen an Vertraulichkeit, Protokollierung, Meldepflichten, Schwachstellenmanagement und Rückgabe oder Löschung von Zugängen sollten verbindlich festgelegt sein.

Zugriffsautorisierungsverfahren müssen sicherstellen, dass Lieferanten keinen pauschalen oder dauerhaften Zugriff erhalten. Jede Zugriffserteilung sollte auf einem konkreten Auftrag, genehmigtem Zeitraum und definierten Systemumfang basieren.

Verantwortlichkeiten müssen klar zugeordnet werden. Facility Management verantwortet die betriebliche Kontrolle und Freigabe. IT- oder Cybersecurity-Teams unterstützen bei technischen Schutzmaßnahmen und Monitoring. Lieferanten verantworten die sichere Durchführung ihrer Tätigkeiten und die Einhaltung vereinbarter Vorgaben.

Temporäre Zugriffserteilung sollte der Standard für externe Unterstützung sein. Zugänge werden nur für die Dauer einer genehmigten Tätigkeit aktiviert und danach deaktiviert. Dauerhaft aktive Lieferantenzugänge sind nur in gut begründeten Ausnahmefällen zulässig und benötigen erhöhte Überwachung.

Überwachte Remote-Aktivitäten reduzieren das Risiko fehlerhafter oder unautorisierter Handlungen. Ein interner Verantwortlicher sollte bei kritischen Tätigkeiten verfügbar sein, um Maßnahmen zu begleiten, Fragen zu klären und bei unerwarteten Auswirkungen einzugreifen.

Sitzungsaufzeichnungen können für besonders kritische Systeme erforderlich sein. Sie unterstützen Nachvollziehbarkeit, Schulung, Ursachenanalyse und Streitfallklärung. Dabei sind Datenschutz, Betriebsvereinbarungen und vertragliche Regelungen zu beachten.

Zugriffsaufhebungsprozesse müssen konsequent umgesetzt werden. Nach Abschluss von Wartung, Projektende, Vertragsende, Personalwechsel oder Sicherheitsvorfall sind Zugänge zu deaktivieren, Passwörter zu ändern, Berechtigungen zu prüfen und betroffene Systeme auf unautorisierte Änderungen zu kontrollieren.

Die asset-basierte Risikoidentifikation beginnt mit einem vollständigen Überblick über relevante OT-Systeme. Für jedes System sollten Funktion, Kritikalität, Abhängigkeiten, Standort, Netzwerkanbindung, Verantwortliche, Lieferanten, Softwarestände und mögliche Auswirkungen eines Ausfalls erfasst werden. Ohne belastbares Inventar können Risiken nicht zuverlässig bewertet werden.

Bedrohungsidentifikation betrachtet mögliche Ursachen für Sicherheitsereignisse. Dazu gehören externe Angriffe, kompromittierte Benutzerkonten, Insiderhandlungen, Fehlbedienung, unsichere Fernwartung, Schadsoftware, Lieferkettenrisiken, Fehlkonfigurationen, Systemalterung, physischer Zugriff und unzureichende Wartung.

Schwachstellenbewertung untersucht technische und organisatorische Lücken. Typische Schwachstellen sind Standardpasswörter, ungepatchte Systeme, fehlende Segmentierung, veraltete Betriebssysteme, ungesicherte Protokolle, unzureichende Backups, fehlende Protokollierung, unklare Zuständigkeiten und nicht dokumentierte Schnittstellen.

Expositionsanalyse bewertet, wie erreichbar oder angreifbar ein System ist. Ein isolierter Controller ohne externe Verbindung besitzt eine andere Risikolage als ein BMS-Server mit Fernwartungszugang, Cloud-Schnittstelle oder Verbindung zur Büro-IT. Auch physischer Zugang zu Technikräumen und Schaltschränken ist zu berücksichtigen.

Die operative Auswirkung bewertet, wie stark ein Cyber-Ereignis die Produktion oder den Gebäudebetrieb beeinträchtigt. Dabei sind Dauer des Ausfalls, betroffene Prozesse, Ersatzmöglichkeiten, Wiederanlaufzeit und Abhängigkeiten zu betrachten.

Die Sicherheitsauswirkung bewertet mögliche Gefährdungen für Personen, Anlagen und Umwelt. Manipulierte Lüftung, fehlerhafte Druckregelung, unkontrollierte Abschaltungen, gestörte Zutrittskontrolle oder beeinträchtigte Alarme können sicherheitskritische Folgen haben.

Die finanzielle Auswirkung umfasst Produktionsverluste, Vertragsstrafen, Reparaturen, externe Unterstützung, Ersatzteile, Energieverluste, Wiederherstellungsaufwand und mögliche Versicherungsfolgen. Eine realistische Bewertung erleichtert die Priorisierung von Investitionen.

Die Compliance-Auswirkung betrifft gesetzliche Vorgaben, branchenspezifische Anforderungen, Kundenanforderungen, Zertifizierungen, Versicherungsbedingungen und interne Konzernrichtlinien. Fehlende Nachweise können ebenso kritisch sein wie technische Schwachstellen.

Die Reputationsauswirkung berücksichtigt Vertrauen und Außenwirkung. Ein sichtbarer Ausfall, ein Sicherheitsereignis oder eine unzureichende Reaktion kann das Vertrauen von Kunden, Mitarbeitenden, Behörden und Eigentümern beeinträchtigen.

Sicherheitsarchitekturkontrollen reduzieren Risiken bereits durch strukturelle Gestaltung. Dazu gehören Zonierung, sichere Gateways, definierte Kommunikationsbeziehungen, gehärtete Systeme, sichere Fernzugriffswege und klare Trennung kritischer Funktionen.

Netzwerksegmentierung begrenzt die Ausbreitung von Störungen und Angriffen. Kritische OT-Systeme sollten nicht im selben Netz wie Bürogeräte, Drucker, Gäste-WLAN oder unverwaltete Geräte betrieben werden. Segmentierung muss dokumentiert, getestet und regelmäßig überprüft werden.

Zugriffsmanagementkontrollen verhindern unberechtigte Nutzung. Dazu zählen MFA, rollenbasierte Rechte, zeitlich begrenzte Zugänge, privilegiertes Zugriffsmanagement, Lieferantenkontrolle und regelmäßige Rezertifizierung von Berechtigungen.

Sichere Konfigurationspraktiken verringern Fehlfunktionen und Manipulationsmöglichkeiten. Standards für Härtung, Änderungskontrolle, Backup, sichere Parameter, Versionsverwaltung und Inbetriebnahmeprüfungen sollten verbindlich angewendet werden.

Kontinuierliche Überwachung ermöglicht die Erkennung technischer und sicherheitsrelevanter Abweichungen. Sie sollte zentrale OT-Systeme, Remote-Zugänge, Netzwerkübergänge, kritische Controller, Server und Benutzeraktivitäten umfassen.

Sicherheitsereigniserkennung konzentriert sich auf verdächtige Muster. Dazu gehören ungewöhnliche Anmeldeversuche, Zugriffe außerhalb genehmigter Zeitfenster, nicht autorisierte Konfigurationsänderungen, neue Netzwerkgeräte oder unerwartete Datenflüsse.

Log-Analyse unterstützt Ursachenklärung und Trendbewertung. Protokolle sollten nicht nur gesammelt, sondern regelmäßig ausgewertet werden. Relevante Ereignisse müssen priorisiert, eskaliert und in Maßnahmen überführt werden.

Prozesse zur Bedrohungsidentifikation helfen, neue Risiken rechtzeitig zu erkennen. Dazu gehören Informationen von Lieferanten, interne Störungsberichte, Schwachstellenmeldungen, Auditfeststellungen, Änderungen in der Anlagenlandschaft und Erkenntnisse aus Vorfällen.

Maßnahmen zur Vorfalleindämmung sollen verhindern, dass sich ein Ereignis ausweitet. Je nach Situation können betroffene Zugänge deaktiviert, Netzsegmente isoliert, Systeme in sichere Betriebszustände versetzt, Lieferanten informiert oder manuelle Betriebsverfahren aktiviert werden.

Systemwiederherstellungsverfahren müssen klare Prioritäten enthalten. Nicht jedes System wird gleichzeitig wiederhergestellt. Lebenssicherheit, Energieversorgung, Produktionsunterstützung und zentrale Steuerungssysteme sind risikobasiert zu priorisieren.

Korrekturmaßnahmen müssen nach einem Ereignis konsequent umgesetzt werden. Dazu können Passwortwechsel, Regelanpassungen, Patches, Konfigurationskorrekturen, zusätzliche Segmentierung, Schulungen oder Vertragsänderungen gehören.

Die Integration von Lessons Learned stellt sicher, dass Erkenntnisse aus Störungen und Vorfällen in dauerhafte Verbesserungen münden. Nach jeder relevanten Störung sollten Ursachen, Reaktionszeiten, Kommunikationsqualität, technische Wirksamkeit und organisatorische Schwächen bewertet werden.

Rollen und Verantwortlichkeiten müssen vor einem Vorfall festgelegt werden. Facility Management, OT-Betrieb, IT-Sicherheit, Produktion, Arbeitssicherheit, Kommunikation, Einkauf, Rechtsabteilung und Lieferanten benötigen klare Aufgaben. Unklare Zuständigkeiten verzögern Entscheidungen und erhöhen Betriebsschäden.

Eskalationswege müssen festlegen, wann ein technischer Alarm zu einem Sicherheitsereignis wird und wer informiert werden muss. Kritische Szenarien wie Ausfall der Gebäudeleittechnik, unautorisierter Remote-Zugriff, Manipulation von Steuerungen, Ausfall der Energieversorgung oder Beeinträchtigung von Sicherheitssystemen benötigen definierte Eskalationsstufen.

Kommunikationsverfahren sollten interne und externe Kommunikation regeln. Dazu gehören Ansprechpartner, Meldewege, Lageberichte, Entscheidungsfreigaben, Lieferantenkommunikation und Kommunikation mit Behörden, Kunden oder Eigentümern, sofern erforderlich.

Die Entscheidungsstruktur muss im Notfall handlungsfähig sein. Facility Manager sollten wissen, wer Anlagen abschalten darf, wer Netzwerkisolierungen freigibt, wer Produktionseinschränkungen entscheidet und wer den Wiederanlauf genehmigt. Entscheidungen müssen dokumentiert werden.

Die Backup-Strategie muss technische und betriebliche Anforderungen erfüllen. Kritische Steuerungsprogramme, BMS-Datenbanken, Serverimages, Visualisierungen, Netzwerkkonfigurationen, Benutzerverwaltungen und Lizenzinformationen müssen gesichert werden. Backups sollten gegen Manipulation und Verschlüsselung geschützt sein.

Prioritäten für die Systemwiederherstellung sollten vorab definiert werden. Zuerst sind Systeme wiederherzustellen, die Lebenssicherheit, Energieversorgung, sichere Gebäudezustände und produktionskritische Versorgung ermöglichen. Danach folgen Optimierungs-, Reporting- und Komfortfunktionen.

Aktivitäten zur Wiederherstellungsvalidierung prüfen, ob Systeme nach der Wiederherstellung korrekt funktionieren. Dazu gehören Funktionstests, Alarmtests, Kommunikationsprüfungen, Abgleich von Sollwerten, Prüfung von Benutzerrechten, Trenddatenkontrolle und Freigabe durch Betriebsverantwortliche.

Kriterien für den operativen Wiederanlauf legen fest, wann ein System oder Bereich wieder in den Normalbetrieb übergehen darf. Kriterien können stabile Kommunikation, verifizierte Konfiguration, bestätigte Sicherheitsfunktionen, verfügbare Bedienung, abgeschlossene Risikobewertung und Freigabe durch Facility Management und Produktion sein.

Governance soll Verantwortlichkeit herstellen. Für jedes kritische OT-System muss klar sein, wer Eigentümer ist, wer es betreibt, wer Änderungen genehmigt, wer Zugriffe verwaltet und wer bei Sicherheitsereignissen entscheidet. Ohne Verantwortlichkeit entstehen Lücken zwischen Facility Management, IT, Produktion und Dienstleistern.

Sicherheitsverantwortlichkeiten müssen definiert und dokumentiert werden. Facility Management trägt in der Regel die operative Verantwortung für gebäudetechnische Systeme, während Cybersecurity-Teams Methoden, Überwachung und Risikobewertungen unterstützen. Dienstleister müssen vertraglich eingebunden und kontrolliert werden.

Eine konsistente Anwendung von Richtlinien stellt sicher, dass Sicherheitsanforderungen nicht standort- oder projektabhängig unterschiedlich umgesetzt werden. Standards für Fernzugriff, Benutzerrechte, Segmentierung, Backup, Änderungskontrolle und Dokumentation sollten verbindlich gelten.

Governance unterstützt operative Resilienz, indem sie Sicherheitsentscheidungen mit Betriebsanforderungen verbindet. Ziel ist nicht nur Regelkonformität, sondern ein belastbarer Betrieb, der Störungen vermeiden, erkennen, bewältigen und daraus lernen kann.

Facility Management koordiniert die Sicherheitsanforderungen im technischen Gebäudebetrieb. Dazu gehören Priorisierung kritischer Anlagen, Freigabe von Wartungszugriffen, Überwachung von Dienstleistern, Umsetzung von Betriebsverfahren und Sicherstellung der Wiederherstellungsfähigkeit.

Das OT-Betriebsteam setzt technische Maßnahmen an Steuerungen, Leitsystemen, Netzwerken und Feldgeräten um. Es pflegt Konfigurationen, dokumentiert Änderungen, unterstützt Tests und stellt den sicheren Anlagenbetrieb sicher.

Das Cybersecurity-Team unterstützt mit Risikoanalysen, Sicherheitsarchitektur, Monitoring, Incident Response, Richtlinien und Auditmethoden. Es sollte eng mit Facility Management zusammenarbeiten, da OT-Sicherheit nur mit Kenntnis der betrieblichen Abläufe wirksam umgesetzt werden kann.

Die Geschäftsleitung stellt Ressourcen, Prioritäten und Entscheidungsfähigkeit bereit. Dazu gehören Budget für Modernisierung, Personal, Schulung, Monitoring, Backup-Lösungen, Segmentierung und externe Unterstützung.

Dienstleister müssen die Sicherheitsanforderungen des Betreibers einhalten. Sie benötigen klare Vorgaben für Fernzugriff, Umgang mit Zugangsdaten, Wartungsgeräte, Dokumentation, Meldepflichten, Unterauftragnehmer und Änderungen an Systemen.

Die OT-Sicherheitsrichtlinie legt grundlegende Anforderungen für Schutz, Betrieb und Verwaltung technischer Systeme fest. Sie sollte Rollen, Risikobewertung, Segmentierung, Zugriffskontrolle, Monitoring, Backup, Lebenszyklusmanagement und Vorfallbehandlung abdecken.

Die Richtlinie für Gebäudeautomation konkretisiert Anforderungen an BMS, Controller, Gateways, Bedienplätze, Protokolle, Benutzerrechte, Alarmierung, Konfiguration und Wartung. Sie sollte auch Anforderungen für Neubauprojekte, Umbauten, Modernisierungen und Integratoren enthalten.

Die Fernzugriffsrichtlinie definiert, wer unter welchen Bedingungen remote auf OT-Systeme zugreifen darf. Sie sollte MFA, Genehmigung, zeitliche Begrenzung, Jump-Server, Protokollierung, Sitzungsüberwachung, Lieferantenanforderungen und Zugriffsaufhebung regeln.

Vorfallreaktionsverfahren beschreiben, wie technische und sicherheitsrelevante Ereignisse erkannt, bewertet, eskaliert, eingedämmt, behoben und dokumentiert werden. Sie müssen mit betrieblichen Notfallplänen, Krisenmanagement und Wiederanlaufprozessen abgestimmt sein.

Asset-Inventare müssen alle relevanten OT-Systeme und Komponenten enthalten. Sie sollten regelmäßig aktualisiert und mit Wartungs-, Risiko- und Lebenszyklusinformationen verknüpft werden.

Netzwerkarchitekturdiagramme dokumentieren Zonen, Verbindungen, Firewalls, Gateways, Remote-Zugänge, Server, Controller, Schnittstellen und Datenflüsse. Sie sind für Fehlersuche, Risikoanalyse, Audit und Incident Response unverzichtbar.

Risikobewertungsunterlagen belegen, welche Risiken identifiziert, bewertet, akzeptiert oder behandelt wurden. Sie sollten Verantwortliche, Maßnahmen, Fristen und Restrestrisiken enthalten.

Zugriffsautorisierungsnachweise dokumentieren Benutzer, Rollen, Genehmigungen, Zeiträume, Drittparteienzugriffe, privilegierte Rechte und regelmäßige Überprüfungen. Sie sind für Nachvollziehbarkeit und Compliance entscheidend.

Vorfallmanagementdokumentation enthält Ereignisdetails, Zeitachsen, Entscheidungen, betroffene Systeme, getroffene Maßnahmen, Kommunikation, Wiederherstellung, Ursachenanalyse und Lessons Learned. Sie unterstützt Verbesserung und Nachweispflichten.

Interne Sicherheitsaudits prüfen, ob Richtlinien, technische Kontrollen und Betriebsverfahren eingehalten werden. Sie sollten risikobasiert geplant und auf kritische OT-Systeme, Fernzugänge, Dienstleister und Dokumentation ausgerichtet sein.

Zugriffskontrollprüfungen bewerten, ob Benutzerrechte aktuell, angemessen und genehmigt sind. Besonders zu prüfen sind Administratoren, Lieferantenkonten, inaktive Benutzer, gemeinsame Konten und temporäre Zugänge.

Sicherheitsbewertungen untersuchen Architektur, Segmentierung, Härtung, Backup, Monitoring, Schwachstellen, Fernzugriff und Vorfallbereitschaft. Ergebnisse sollten priorisiert und in einen Maßnahmenplan überführt werden.

Richtlinienkonformitätsprüfungen stellen fest, ob Vorgaben in Projekten, Wartung, Betrieb und Dienstleistersteuerung tatsächlich angewendet werden. Abweichungen müssen dokumentiert, bewertet und korrigiert werden.

Die Genauigkeit des Asset-Inventars zeigt, ob Facility Management die eigene OT-Landschaft ausreichend kennt. Eine hohe Datenqualität erleichtert Wartung, Risikobewertung, Ersatzteilplanung und Incident Response.

Die Abschlussquote von Zugriffsüberprüfungen misst, ob Berechtigungen regelmäßig kontrolliert werden. Zusätzlich sollten Anzahl entfernter veralteter Konten, Anzahl privilegierter Benutzer und Dauer temporärer Zugriffe betrachtet werden.

Die Wirksamkeit des Monitorings zeigt sich nicht nur in der Anzahl erkannter Ereignisse, sondern auch in Qualität, Reaktionsfähigkeit und Vermeidung von Fehlalarmen. Relevante Ereignisse müssen erkannt, bewertet und bearbeitet werden.

Reaktions- und Wiederherstellungszeiten geben Auskunft über die operative Belastbarkeit. Dabei ist zwischen Erkennung, Erstreaktion, Eindämmung, Wiederherstellung und vollständiger Normalisierung zu unterscheiden.

Die Abschlussquote von Audit-Feststellungen zeigt, ob erkannte Schwächen konsequent behoben werden. Offene Maßnahmen sollten nach Risiko priorisiert, terminiert und durch Verantwortliche nachverfolgt werden.

Periodische Risikoneubewertungen sind erforderlich, weil sich Anlagen, Netzwerke, Bedrohungen, Lieferanten, Produktionsanforderungen und gesetzliche Rahmenbedingungen verändern. Facility Management sollte Risikobewertungen regelmäßig und zusätzlich nach wesentlichen Änderungen durchführen.

Überprüfungen der Wirksamkeit von Sicherheitskontrollen stellen sicher, dass eingeführte Maßnahmen tatsächlich funktionieren. Segmentierung, Zugriffskontrolle, Backups, Monitoring, Härtung und Fernzugriffsprozesse sollten getestet und nicht nur dokumentiert werden.

Auswertungen von Lessons Learned aus Vorfällen helfen, wiederkehrende Schwächen zu beseitigen. Jede relevante Störung sollte genutzt werden, um Prozesse, Technik, Schulung, Kommunikation und Dokumentation zu verbessern.

Aktualisierungen des Governance-Rahmenwerks halten Verantwortlichkeiten, Richtlinien, Rollen, Kennzahlen und Entscheidungswege aktuell. Veränderungen in Organisation, Technologie, Dienstleisterstruktur oder Produktionsanforderungen müssen in Governance und Betriebsprozessen abgebildet werden.