OT Cybersecurity & Funktionale Sicherheit integrieren: Praxis-Insights von Weber-Hydraulik
Silos aufbrechen für maximale Resilienz: Maher Sahli von Weber-Hydraulik erklärt, wie die Kombination von Funktionaler Sicherheit und Cybersecurity regulatorische Hürden meistert und warum kein Monitoring-Tool menschliches Prozesswissen ersetzt.
Wo funktionale Sicherheit auf Cybersecurity trifft: Die Verzahnung von physischer Maschinensicherheit (Safety) und digitalem Schutz (Security) bildet das Fundament moderner Industrieanlagen. Wie Maher Sahli betont, lässt sich echte Resilienz in der OT-Umgebung nur durch das Zusammenspiel integrierter Prozesse, klarer Datenstrukturen und des unverzichtbaren Prozesswissens der Mitarbeitenden vor Ort erreichen.
Symbolbild - KI-generiert
Key Takeaways
Ganzheitlicher Ansatz: Die Zusammenlegung von Funktionaler Sicherheit (Safety) und Cybersecurity begegnet Wechselwirkungen bei vernetzten Produkten (z. B. Over-the-Air-Updates) effektiv.
Effizienz bei Regulierung: Gemeinsame Strukturen wie PSIRT (Produktschwachstellen) und SBOM (Software-Stücklisten) decken Anforderungen vom Cyber Resilience Act bis zur Maschinenverordnung ab.
Mensch vor Technologie: Beim OT-Monitoring setzt Weber-Hydraulik auf schrittweise Transparenz und die Einbindung von Betriebspersonal, da Tools prozessuales Anlagenwissen nicht ersetzen können.
Klare Prozesse vor dem Ernstfall: Bei der Vorfallbewältigung entscheiden organisatorische Abläufe, saubere Protokolldaten und geregelte Entscheidungswege zwischen Beweissicherung und Produktions-Wiederanlauf.
Die Zusammenlegung von funktionaler Sicherheit und Cybersecurity in einem Kompetenzzentrum ist bei vielen Mittelständlern noch die Ausnahme - oft existieren beide Disziplinen als getrennte Silos. Welche konkreten Vorteile hat diese integrierte Struktur gebracht, und was würden Sie Unternehmen raten, die vor der Entscheidung stehen, ähnliche Strukturen aufzubauen?
Der Experte
Maher Sahli ist Leiter des gruppenweiten Kompetenzzentrums für Funktionale Sicherheit und Produkt-Cybersicherheit der Weber-Hydraulik GmbH
Maher Sahli: Wer funktionale Sicherheit und Cybersecurity getrennt betrachtet, übersieht schnell entscheidende Wechselwirkungen. Gerade bei vernetzten Produkten, beispielsweise mit Funkverbindungen oder Over-the-Air-Updates, können Cybersecurity-Maßnahmen Auswirkungen auf sicherheitsrelevante Funktionen haben – und umgekehrt.
Deshalb betrachten wir beide Disziplinen gemeinsam. Das ermöglicht uns, Risiken ganzheitlich zu bewerten, Kompetenzen zu bündeln und regulatorische Anforderungen effizienter umzusetzen. So schaffen wir beispielsweise mit Strukturen für den Umgang mit Produktschwachstellen (PSIRT) oder Software-Stücklisten (SBOM) gemeinsame Grundlagen, die für verschiedene regulatorische Anforderungen relevant sind – vom Cyber Resilience Act bis zur Maschinenverordnung.
Unternehmen, die ähnliche Strukturen aufbauen möchten, würde ich empfehlen, mit einer gemeinsamen Methodik zu beginnen, gezielt Kompetenzen in beiden Bereichen aufzubauen und die Entwicklung sowie die Produktion frühzeitig einzubeziehen. Denn entscheidend ist nicht nur, Safety und Security gemeinsam zu organisieren, sondern ihre Wechselwirkungen von Anfang an mitzudenken.
Das Monitoring von OT-Systemen ist technisch anspruchsvoll, da viele Anlagen nicht für kontinuierliche Sicherheitsüberwachung ausgelegt sind und klassische IT-Monitoring-Tools hier an Grenzen stoßen. Welche Monitoring-Ansätze haben sich Ihnen bewährt, um echte Bedrohungen von gewöhnlichen Prozessanomalien zu unterscheiden und belastbare Impact-Analysen zu erstellen?
Maher Sahli: Wie bei vielen mittelständischen Industrieunternehmen befindet sich auch unser OT-Monitoring noch im Aufbau. Die größte Herausforderung sehen wir aktuell weniger in der Technologie als in der richtigen Einordnung von Auffälligkeiten. Ein ungewöhnlicher Messwert deutet nicht zwangsläufig auf einen Cyberangriff hin. Umgekehrt kann sich ein Angriff zunächst wie eine gewöhnliche technische Störung äußern.
Hier profitieren wir von der Verbindung aus funktionaler Sicherheit und Cybersecurity. Erkenntnisse aus Fehleranalysen und Gefährdungsbeurteilungen helfen uns, das Verhalten einer Anlage besser zu verstehen und Abweichungen einzuordnen.
Unser Ansatz ist bewusst schrittweise: Zunächst schaffen wir Transparenz über die vorhandenen Anlagen und Systeme. Anschließend geht es darum, deren Normalverhalten zu verstehen – möglichst durch passive Überwachung, ohne in die Steuerung einzugreifen. Eine zentrale Rolle spielen dabei die Mitarbeitenden aus Betrieb und Instandhaltung. Sie kennen die Anlagen am besten und können häufig unmittelbar einschätzen, ob eine Auffälligkeit beispielsweise auf eine Wartung oder Umrüstung zurückzuführen ist.
Synergien bei Regulierung und Compliance
Die Zusammenführung von Safety und Security schafft synergetische Grundlagen für verschiedene gesetzliche Vorgaben:
PSIRT (Product Security Incident Response Team): Strukturen für den zentralen Umgang mit Produktschwachstellen.
SBOM (Software Bill of Materials): Software-Stücklisten zur transparenten Erfassung aller Komponenten.
Regulatorische Abdeckung: Effiziente Erfüllung relevanter Vorgaben vom Cyber Resilience Act bis hin zur Maschinenverordnung.
Bei der Bewertung möglicher Auswirkungen betrachten wir drei Dimensionen: die Produktion, die Sicherheit von Menschen und die geschäftlichen Folgen. Die Perspektiven aus Produkt-, IT- und Produktionssicherheit führen wir in unserem Cybersecurity Steering Board zusammen.
Unsere wichtigste Erkenntnis: Kein Monitoring-Tool kann das Prozesswissen der Menschen ersetzen, die täglich mit den Anlagen arbeiten.
Die Analyse bereits erfolgter Angriffe liefert wertvolle Erkenntnisse - erfordert aber eine forensische Tiefe, die viele Unternehmen erst aufbauen müssen. Welche konkreten Lektionen haben Sie aus der Nachverfolgung im Unternehmen gezogen, und welche Überraschungen gab es dabei?
Maher Sahli: Aus bisherigen Verdachtsfällen und Übungen haben wir vor allem eines gelernt: Bei der Bewältigung von Cybersecurity-Vorfällen sind organisatorische Abläufe mindestens ebenso entscheidend wie technische Maßnahmen.
Im Ernstfall muss klar sein, wer Entscheidungen trifft, welche Eskalationswege gelten und wie IT, OT und Produktsicherheit zusammenarbeiten. Ebenso wichtig ist eine verlässliche Datenbasis. Fehlende Protokolldaten oder ungenaue Zeitstempel lassen sich nachträglich nicht rekonstruieren. Häufig geht wertvolle Zeit bereits bei der Klärung verloren, welche Informationen überhaupt verfügbar sind und wer darauf zugreifen kann.
Eine besondere Herausforderung im industriellen Umfeld ist das Spannungsfeld zwischen digitaler Beweissicherung und einem möglichst schnellen Wiederanlauf der Produktion. Solche Abwägungen und Zuständigkeiten sollten bereits im Vorfeld geklärt werden.
Und ja, es gab Überraschungen. Eine davon: Die Grenzen zwischen IT, OT und Produktsicherheit verlaufen in der Praxis oft anders als auf dem Organigramm.
Mein Fazit: Wer Cyberangriffe nachvollziehen und daraus lernen möchte, muss die organisatorischen und technischen Voraussetzungen dafür schaffen – bevor es zum Ernstfall kommt.
Häufig gestellte Fragen
Warum sollten Funktionale Sicherheit und Cybersecurity zusammengelegt werden? - Eine getrennte Betrachtung blendet Wechselwirkungen aus. Cybersecurity-Maßnahmen bei vernetzten Produkten (z. B. bei Over-the-Air-Updates) können die funktionale Sicherheit direkt beeinflussen. Eine integrierte Struktur erlaubt eine ganzheitliche Risikobewertung und nutzt Synergien bei Regularien wie dem Cyber Resilience Act.
Was sind die größten Herausforderungen beim OT-Monitoring im Mittelstand? - Die Hauptschwierigkeit liegt in der Einordnung von Anomalien. Ein abweichender Messwert kann eine gewöhnliche Störung oder eine Wartung sein, aber auch ein Cyberangriff. Klassische IT-Tools stoßen hier an Grenzen, weshalb das Prozesswissen der Anlagenbediener unerlässlich ist.
Wie bewertet Weber-Hydraulik die Auswirkungen von OT-Sicherheitsvorfällen? - Die Impact-Analyse erfolgt über drei zentrale Dimensionen: die Auswirkungen auf die laufende Produktion, die physische Sicherheit von Menschen sowie die finanziellen und geschäftlichen Folgen. Die Perspektiven werden im Cybersecurity Steering Board zusammengeführt.
Welche organisatorischen Vorkehrungen sind für die Analyse von Cyberangriffen notwendig? - Vorab müssen klare Zuständigkeiten, Eskalationswege sowie der Zugriff auf lückenlose Protokolldaten und genaue Zeitstempel geregelt sein. Zudem muss im Vorfeld geklärt werden, wie der Zielkonflikt zwischen digitaler Beweissicherung und schnellem Wiederanlauf der Produktion gehandhabt wird.
