Cyber-/OT-Schnittstellen im Betrieb

Zu den relevanten gebäudetechnischen Systemen gehören Gebäudeautomation, Energieverteilung, unterbrechungsfreie Stromversorgung, Notstromversorgung, Beleuchtung, Heizungs-, Lüftungs- und Klimatechnik, Brandmelde- und Alarmierungssysteme, Zutrittskontrolle, Einbruchmeldetechnik, Videoüberwachung, Aufzüge, Tore, Schranken und Systeme zur Verbrauchs- und Zustandsdatenerfassung. Neben den zentralen Managementplattformen sind auch Automationsstationen, Gateways, Controller, Sensoren, Aktoren und lokale Bediengeräte zu erfassen.

Für das Facility Management ist entscheidend, welche Funktionen lokal weiterarbeiten, wenn zentrale Server, Netzwerke oder Cloud-Verbindungen nicht verfügbar sind. Ebenso muss bekannt sein, ob eine Störung lediglich die zentrale Visualisierung betrifft oder auch Regelungs-, Alarmierungs- und Schutzfunktionen ausfallen. Systeme mit Auswirkungen auf Brandschutz, Fluchtwege, Raumklima, Energieversorgung oder Zutritt sind besonders sorgfältig hinsichtlich ihrer Abhängigkeiten, Rückfallebenen und erforderlichen Reaktionszeiten zu bewerten.

Die logistiknahe OT umfasst Fördertechnik, automatische Lager- und Kommissioniersysteme, Regalbediengeräte, Shuttle-Systeme, Sortieranlagen, Verpackungs- und Etikettiertechnik, Verladehilfen, Waagen, Scanner, Sensorik, speicherprogrammierbare Steuerungen, Antriebstechnik und industrielle Kommunikationsnetze. Einzubeziehen sind außerdem Materialflussrechner, Anlagenvisualisierungen, lokale Bedienpanels und Engineering-Systeme, mit denen Programme oder Parameter verändert werden können.

Die Bewertung muss entlang des tatsächlichen Materialflusses erfolgen. Dabei ist zu klären, welche Anlage von welcher Auftragsinformation abhängt, welche Steuerung eine Transportentscheidung trifft und an welchen Stellen ein sicherer manueller Eingriff möglich ist. Besonders kritisch sind Übergabepunkte zwischen Anlagen verschiedener Hersteller sowie Verbindungen zwischen Lagerverwaltung, Materialflusssteuerung und lokaler Anlagensteuerung. Fehler an diesen Übergängen können zu Blockaden, Kollisionen, Fehltransporten oder nicht mehr nachvollziehbaren Warenbeständen führen.

Zu den betriebsrelevanten IT-Systemen gehören Lagerverwaltungssysteme, Transportmanagementsysteme, ERP-Anbindungen, Leitstand- und Visualisierungssoftware, Identitäts- und Berechtigungsdienste, Datenbanken, mobile Endgeräte, Netzwerkmanagement, Zeitsynchronisation, Namensauflösung, Cloud-Dienste sowie Analyse- und Reporting-Plattformen. Auch scheinbar unterstützende Dienste können kritisch sein, wenn ohne sie keine Anmeldung, Auftragsübertragung oder Systemkommunikation mehr möglich ist.

Die Kritikalität eines IT-Systems ist deshalb anhand seiner Wirkung auf den physischen Betrieb zu bestimmen. Ein Ausfall des Reportings kann zeitweise tolerierbar sein, während der Ausfall eines Identitätsdienstes den Zugang zu mehreren Steuerungsplattformen gleichzeitig verhindern kann. Für jedes System sind fachlicher Eigentümer, technischer Betreiber, Datenverantwortung, Schnittstellen, Wiederherstellungsanforderungen und zulässige Betriebsarten bei eingeschränkter Verfügbarkeit festzulegen.

Die folgenden Schnittstellen verdeutlichen, wie eng Gebäude-, Logistik- und Informationssysteme miteinander verbunden sind. Für jede konkrete Verbindung muss dokumentiert werden, welche Daten übertragen werden, wer die Verbindung verantwortet, welche Systeme voneinander abhängig sind und wie der Betrieb bei einem Ausfall fortgeführt oder sicher beendet wird.

Das Schnittstellenverzeichnis sollte über eine reine Netzwerkübersicht hinausgehen. Es muss auch logische Abhängigkeiten, Authentisierungsdienste, gemeinsam genutzte Datenbanken, Energiepfade, Zeitquellen, Cloud-Komponenten und organisatorische Abhängigkeiten von Herstellern oder Einzelpersonen enthalten. Änderungen an einer Schnittstelle sind wie Änderungen an einem produktiven System zu behandeln und müssen bewertet, freigegeben, getestet und nachvollziehbar dokumentiert werden.

Gebäude-, Anlagen- und IT-/OT-Risiken sind als zusammenhängende Wirkungsketten zu betrachten. Ausgangspunkt ist nicht allein eine technische Schwachstelle, sondern die Frage, welche betrieblichen Folgen eintreten, wenn eine Funktion ausfällt, manipuliert wird oder nicht mehr vertrauenswürdig ist. Ein kompromittiertes Benutzerkonto kann beispielsweise zunächst den Zugriff auf eine zentrale Bedienplattform ermöglichen, anschließend Anlagenparameter verändern und schließlich einen Stillstand oder einen unsicheren Betriebszustand verursachen.

Die Risikobewertung sollte szenariobasiert erfolgen und technische Auslöser, betroffene Systeme, vorhandene Schutzmaßnahmen, mögliche Ausbreitungswege und betriebliche Auswirkungen gemeinsam abbilden. Neben Eintrittsmöglichkeit und Schadensausmaß sind Erkennbarkeit, Beherrschbarkeit, Wiederherstellungsdauer und Abhängigkeit von externen Parteien zu berücksichtigen. Für jedes wesentliche Risiko sind ein verantwortlicher Risikoeigentümer, festgelegte Maßnahmen, ein Umsetzungstermin und eine Entscheidung zum verbleibenden Restrisiko erforderlich.

Die Kritikalitätsbewertung priorisiert Systeme und Schnittstellen nach ihrer Bedeutung für Personensicherheit, Betriebsfähigkeit, Warenfluss, Lieferverpflichtungen, Compliance, Umweltschutz und Wiederanlauf. Dabei ist zwischen der Kritikalität eines einzelnen Geräts und der Kritikalität der von ihm unterstützten Funktion zu unterscheiden. Ein technisch unscheinbarer Netzwerkverteiler oder Identitätsdienst kann eine sehr hohe Kritikalität besitzen, wenn mehrere Anlagen oder Gebäude darüber betrieben werden.

Für kritische Funktionen sind die maximal tolerierbare Ausfallzeit, das erforderliche Wiederherstellungsziel, zulässiger Datenverlust, notwendige Personalstärke und benötigte Ersatzmittel festzulegen. Zusätzlich ist zu bewerten, ob ein System sicher ausfällt, in einem definierten Zustand weiterarbeitet oder bei Kommunikationsverlust unkontrolliert reagiert. Die Ergebnisse sollten in abgestufte Kritikalitätsklassen überführt werden, aus denen Mindestanforderungen an Segmentierung, Überwachung, Redundanz, Ersatzteilhaltung, Datensicherung und Wiederanlauftests abgeleitet werden.

Relevante Szenarien umfassen den Ausfall zentraler Steuerungs- oder Virtualisierungsplattformen, die Manipulation von Sollwerten und Anlagenparametern, unberechtigte Fernzugriffe, Schadsoftware in OT-Netzen, den Verlust von Netzwerkkommunikation sowie den Ausfall von Stromversorgung, Zeitsynchronisation oder zentralen Identitätsdiensten. Ebenso zu berücksichtigen sind kompromittierte Wartungsnotebooks, infizierte Wechselmedien, fehlerhafte Softwareupdates, nicht getestete Konfigurationsänderungen und der Ausfall externer Cloud- oder Herstellerservices.

Jedes Szenario sollte bis zu seinen konkreten betrieblichen Folgen analysiert werden. Dazu gehören blockierte Förderstrecken, fehlerhafte Lagerplätze, unvollständige Auftragsdaten, nicht bedienbare Tore, eingeschränkte Zutrittskontrolle oder fehlende Alarmweiterleitung. Die Bewertung muss auch klären, wie der Vorfall erkannt wird, welche Sofortmaßnahmen zulässig sind, welche Beweise gesichert werden müssen und unter welchen Voraussetzungen ein sicherer Wiederanlauf möglich ist.

Kaskadenrisiken entstehen, wenn der Ausfall eines Systems weitere technische oder betriebliche Funktionen beeinträchtigt. Konzentrationsrisiken liegen vor, wenn mehrere kritische Prozesse von derselben Plattform, Netzwerkkomponente, Energiezuführung, Leitstelle, Benutzerverwaltung oder Dienstleisterorganisation abhängen. Solche Abhängigkeiten sind besonders problematisch, wenn sie im Regelbetrieb wenig sichtbar sind oder keine eigenständige Rückfallebene besitzen.

Gemeinsam genutzte Virtualisierungsumgebungen, zentrale Verzeichnisdienste, einheitliche Administratorkonten, standortweite Netzwerkkerne und nicht redundant ausgelegte Datenverbindungen müssen deshalb ausdrücklich bewertet werden. Das Gleiche gilt für einzelne Spezialisten, proprietäre Herstellerwerkzeuge und Ersatzteile mit langen Lieferzeiten. Kritische Konzentrationen sind durch technische Trennung, unabhängige Wiederherstellungswege, lokale Notfallkonten, alternative Kommunikationswege oder vertraglich gesicherte Unterstützungsleistungen zu reduzieren.

Gebäudeautomation, sicherheitskritische Systeme, Logistik-OT, Büro-IT, Managementsysteme und externe Zugänge sind in klar definierte Sicherheitszonen zu gliedern. Verbindungen zwischen diesen Zonen dürfen nur dort bestehen, wo sie betrieblich erforderlich, dokumentiert und technisch kontrolliert sind. Der Zugriff sollte grundsätzlich auf die notwendigen Quell- und Zielsysteme, Protokolle, Ports und Kommunikationsrichtungen begrenzt werden.

Für besonders kritische Übergänge sind abgeschirmte Vermittlungszonen, sichere Gateways oder kontrollierte Datenaustauschpunkte vorzusehen. Direkte Verbindungen aus dem Internet oder aus nicht vertrauenswürdigen Netzen zu Steuerungskomponenten sind zu vermeiden. Die Segmentierung muss außerdem berücksichtigen, dass Wartung, Monitoring, Datensicherung und Zeitsynchronisation weiterhin funktionsfähig bleiben. Änderungen an Filterregeln sind regelmäßig zu überprüfen, und ungenutzte oder nicht mehr begründbare Freigaben sind zu entfernen.

Fernwartung darf ausschließlich über zentral freigegebene und abgesicherte Zugangswege erfolgen. Jeder Zugriff muss einer konkreten Person, einem Auftrag, einem betroffenen System und einem zulässigen Zeitfenster zugeordnet werden können. Für externe Dienstleister sind mehrstufige Authentisierung, ein kontrollierter Zugang über einen Sprungserver sowie die Protokollierung der Sitzung vorzusehen. Dauerhaft offene Herstellerverbindungen und gemeinsam genutzte Standardkonten sind nicht zulässig.

Vor Beginn einer Fernwartung müssen Zweck, Umfang, Ansprechpartner und mögliche Auswirkungen geklärt sein. Kritische Tätigkeiten sind durch internes Fachpersonal zu begleiten oder unmittelbar zu überwachen. Dateiübertragungen dürfen nur über geprüfte und freigegebene Verfahren erfolgen. Nach Abschluss sind der Zugang zu deaktivieren, durchgeführte Änderungen zu dokumentieren und die ordnungsgemäße Anlagenfunktion zu bestätigen. Für dringende Störungen ist ein Notzugangsverfahren mit klarer Autorisierung und nachträglicher Kontrolle festzulegen.

Zugriffsrechte sind personenbezogen, rollenbasiert und nach dem Minimalprinzip zu vergeben. Jede Person darf nur auf diejenigen Systeme und Funktionen zugreifen, die sie zur Erfüllung ihrer Aufgabe tatsächlich benötigt. Administrative Berechtigungen sind von normalen Benutzerrechten zu trennen und nur für die Dauer der erforderlichen Tätigkeit zu verwenden. Gemeinsame Konten sind auf technisch unvermeidbare Ausnahmefälle zu beschränken und durch zusätzliche Kontrollen abzusichern.

Ein geregelter Prozess für Eintritt, Rollenwechsel und Austritt muss sicherstellen, dass Berechtigungen zeitnah eingerichtet, angepasst und entzogen werden. Servicekonten, technische Konten und lokale Notfallkonten sind gesondert zu verwalten, sicher zu hinterlegen und regelmäßig zu überprüfen. Für kritische Zugriffe ist eine starke Authentisierung vorzusehen, sofern sie mit dem Anlagenbetrieb vereinbar ist. Notfallkonten müssen auch bei Ausfall zentraler Identitätsdienste nutzbar sein, dürfen aber nicht zum regulären Administrationsweg werden.

Für jede betriebliche Schnittstelle sind Datenrichtung, Dateninhalt, Kommunikationsprotokoll, beteiligte Systeme, Schutzbedarf, Verfügbarkeit und verantwortliche Stelle zu dokumentieren. Die Schnittstellenspezifikation muss außerdem beschreiben, wie ungültige, verspätete oder widersprüchliche Daten behandelt werden. Systeme dürfen fehlerhafte Eingangsdaten nicht ungeprüft in physische Steuerungsbefehle umsetzen.

Wo technisch und betrieblich möglich, sind Kommunikationsverbindungen gegen unberechtigte Einsicht, Manipulation und Identitätsmissbrauch zu schützen. Kritische Datenpfade sollten überwacht und auf ungewöhnliche Kommunikationsmuster geprüft werden. Für Verbindungen, deren Ausfall den Betrieb unmittelbar beeinträchtigt, sind lokale Betriebsoptionen, Ersatzwege oder klar definierte Notbetriebsverfahren vorzusehen. Auch unterstützende Dienste wie Zeitquelle, Namensauflösung und Zertifikatsverwaltung müssen in die Abhängigkeits- und Wiederherstellungsplanung einbezogen werden.

Redundanz muss auf den tatsächlichen Ausfallursachen basieren. Zwei Systeme bieten keinen ausreichenden Schutz, wenn beide dieselbe Stromversorgung, Netzwerkverbindung, Virtualisierungsplattform oder zentrale Benutzerverwaltung nutzen. Kritische Komponenten sind deshalb soweit erforderlich in unabhängigen Ausfallbereichen zu betreiben. Umschaltungen müssen kontrolliert erfolgen und regelmäßig unter realistischen Bedingungen getestet werden.

Zusätzlich zu technischer Redundanz sind gesicherte Konfigurationen, Systemabbilder, Ersatzhardware, Lizenzen, Zertifikate und nachvollziehbare Wiederherstellungsanleitungen erforderlich. Für zentrale IT- oder Kommunikationsausfälle müssen Anlagen lokal bedient, in einem sicheren Zustand weiterbetrieben oder kontrolliert stillgesetzt werden können. Manuelle Rückfallebenen sind so auszulegen, dass Personalbedarf, Sicherheitsgrenzen, reduzierte Kapazität und Dokumentationspflichten eindeutig festgelegt sind.

Cyber-/OT-Resilienz erfordert eine gemeinsame Governance, die technische Betriebsverantwortung, Informationssicherheit und betriebliche Kontinuität miteinander verbindet. Dazu sollte ein standortübergreifendes Steuerungsgremium eingerichtet werden, das Kritikalitäten, Risiken, Maßnahmen, Investitionsbedarfe und offene Entscheidungen regelmäßig bewertet. Auf Standortebene sind operative Ansprechpartner zu benennen, die Ereignisse, Änderungen und Abweichungen zeitnah in diese Struktur einbringen.

Die Governance muss verbindliche Richtlinien, Entscheidungsbefugnisse, Berichtslinien und Eskalationswege festlegen. Sie sollte außerdem sicherstellen, dass Sicherheitsmaßnahmen nicht isoliert durch die IT oder den Anlagenbetrieb umgesetzt werden. Änderungen mit Einfluss auf Verfügbarkeit, Safety, Brandschutz, Gewährleistung oder Betriebsabläufe sind gemeinsam zu bewerten. Offene Risiken müssen einem verantwortlichen Eigentümer zugeordnet und entweder behandelt, übertragen, vermieden oder formal akzeptiert werden.

Die Rollen müssen für jedes kritische System und jede wesentliche Schnittstelle konkretisiert werden. Neben der ausführenden Stelle ist festzulegen, wer die Gesamtverantwortung trägt, wer fachlich zu beteiligen ist und wer informiert werden muss. Überschneidungen dürfen nicht zu unklaren Entscheidungen führen. Insbesondere die Verantwortung für Netzwerkverbindungen, Systemupdates, Fernwartungsfreigaben, Datensicherungen und die betriebliche Wiederinbetriebnahme muss eindeutig zugeordnet sein.

Störungen und Sicherheitsereignisse sind anhand festgelegter Kriterien zu klassifizieren. Maßgeblich sind Auswirkungen auf Personen, Anlagen, Warenfluss, Datenintegrität, Lieferfähigkeit, mehrere Standorte und gesetzliche oder vertragliche Meldepflichten. Für jede Eskalationsstufe sind erreichbare Ansprechpartner, Reaktionszeiten, Kommunikationswege und Entscheidungsbefugnisse zu definieren.

Besonders klar muss geregelt sein, wer eine Anlage abschalten, Netzwerkverbindungen trennen, externe Fernzugänge sperren, den Notbetrieb aktivieren oder den Wiederanlauf freigeben darf. Bei widersprüchlichen Zielen hat die Sicherheit von Personen und Anlagen Vorrang vor der kurzfristigen Produktions- oder Lieferleistung. Entscheidungen und Maßnahmen sind fortlaufend zu dokumentieren, damit der Ereignisverlauf nachvollzogen und die spätere Wiederherstellung auf einer verlässlichen Informationsbasis durchgeführt werden kann.

Alle relevanten Gebäude-, Anlagen- und IT-/OT-Komponenten sind in einem aktuellen Asset- und Schnittstellenverzeichnis zu erfassen. Zu den Mindestinformationen gehören eindeutige Kennzeichnung, Standort, Funktion, Hersteller, Modell, Hardware- und Softwarestand, Netzwerkzuordnung, technische und fachliche Verantwortliche, Kritikalität, Supportstatus sowie Anforderungen an Datensicherung und Wiederherstellung.

Die Inventarisierung darf sich nicht auf zentral verwaltete Server und Steuerungen beschränken. Sie muss auch Feldgeräte, Gateways, Engineering-Stationen, mobile Wartungsgeräte, virtuelle Maschinen, Cloud-Komponenten, Lizenzen und externe Verbindungen einbeziehen. Automatisierte Erkennung darf in empfindlichen OT-Umgebungen nur mit geeigneten, möglichst passiven Verfahren eingesetzt werden. Festgestellte Abweichungen zwischen dokumentiertem und tatsächlichem Bestand sind zu untersuchen und kontrolliert zu bereinigen.

Softwareupdates, Parametrierungen, Netzwerkänderungen, neue Schnittstellen und der Austausch technischer Komponenten müssen über einen geregelten Änderungsprozess gesteuert werden. Vor der Umsetzung sind betriebliche Auswirkungen, Sicherheitsrisiken, Kompatibilität, Herstellervorgaben, Gewährleistung, Rückfallmöglichkeiten und erforderliche Betriebsunterbrechungen zu bewerten. Änderungen an kritischen Systemen sind in einer geeigneten Testumgebung oder anhand eines abgestimmten Prüfplans zu validieren.

Jede Änderung benötigt einen verantwortlichen Umsetzenden, eine fachliche Freigabe, einen festgelegten Zeitpunkt und einen dokumentierten Rückfallplan. Nach Abschluss sind Funktion, Kommunikation, Alarmierung und relevante Sicherheitsmerkmale zu prüfen. Anlagen- und Netzwerkdokumentation müssen den tatsächlichen Endzustand wiedergeben. Dringende Notfalländerungen dürfen den Prozess verkürzen, müssen jedoch autorisiert, nachvollziehbar protokolliert und nachträglich vollständig bewertet werden.

Sicherheitsanforderungen sind verbindlicher Bestandteil von Wartungs-, Betreiber- und Serviceverträgen. Verträge müssen regeln, welche Personen und Geräte eingesetzt werden dürfen, wie Zugriffe autorisiert werden, welche Dokumentationen zu liefern sind und innerhalb welcher Fristen Sicherheitsvorfälle oder Schwachstellen gemeldet werden müssen. Ebenso sind Reaktionszeiten, Eskalationskontakte, Unterstützungsleistungen im Notfall und Anforderungen an den Umgang mit vertraulichen Informationen festzulegen.

Wartungsgeräte müssen kontrolliert, aktuell und für den jeweiligen Einsatz freigegeben sein. Nicht autorisierte Software, private Datenträger oder unkontrollierte Internetverbindungen dürfen nicht in produktiven OT-Umgebungen verwendet werden. Nach Wartungsarbeiten sind Änderungen, ausgetauschte Komponenten, neue Softwarestände und offene Mängel zu dokumentieren. Für kritische Herstellerabhängigkeiten sind Vertretungsregelungen, Wissensübergabe, Ersatzteilversorgung und ein geordneter Ausstieg aus dem Vertragsverhältnis vorzubereiten.

Zu sichern sind nicht nur Geschäftsdaten, sondern auch Steuerungsprogramme, Anlagenparameter, Konfigurationsdateien, Systemabbilder, Netzwerk- und Firewallkonfigurationen, Benutzer- und Rollenmodelle, Zertifikate, Lizenzen sowie technische Dokumentationen. Sicherungsumfang und Häufigkeit richten sich nach Kritikalität, Änderungsrate und zulässigem Datenverlust. Kritische Sicherungen sind gegen unberechtigte Veränderung und gleichzeitige Kompromittierung mit den Produktivsystemen zu schützen.

Eine vorhandene Sicherung gilt erst dann als belastbar, wenn ihre Wiederherstellung praktisch erprobt wurde. Tests müssen zeigen, dass Daten vollständig, lesbar und mit verfügbarer Hardware beziehungsweise Software nutzbar sind. Wiederherstellungsanleitungen sind so zu dokumentieren, dass qualifizierte Vertretungen sie durchführen können. Abhängigkeiten von einzelnen Fachpersonen, proprietären Werkzeugen oder dem ursprünglichen Hersteller sind soweit möglich zu reduzieren.

Das Monitoring muss klassische IT-Sicherheitsereignisse und betriebliche Anlagenzustände gemeinsam betrachten. Zu überwachen sind unter anderem unberechtigte Anmeldeversuche, neue Kommunikationsverbindungen, Änderungen an Programmen oder Parametern, Ausfälle von Steuerungen, ungewöhnliche Netzwerklasten, wiederholte Fehlermeldungen und unerwartete Betriebszustände. Auch physische Auffälligkeiten wie häufige Not-Halt-Auslösungen oder nicht erklärbare Förderstopps können auf technische oder sicherheitsrelevante Ursachen hinweisen.

Für kritische Systeme ist ein zulässiges Normalverhalten zu definieren, gegen das Abweichungen bewertet werden können. Alarmmeldungen benötigen klare Prioritäten, zuständige Empfänger und verbindliche Reaktionswege. Eine hohe Anzahl unbewerteter Meldungen ist zu vermeiden, weil sie relevante Ereignisse verdecken kann. Technische Informationen sind mit Betriebsdaten, Wartungsaktivitäten und bekannten Änderungen abzugleichen, bevor Maßnahmen eingeleitet werden.

Cybervorfälle und technische Störungen sind über einen abgestimmten Prozess zu bearbeiten. Dieser beginnt mit der Erkennung und Erstbewertung, führt über Eindämmung, Beweissicherung und technische Wiederherstellung und endet mit der betrieblichen Freigabe sowie einer strukturierten Nachbereitung. Die Beteiligung von Facility Management, IT, OT, Logistik, Security und BCM richtet sich nach betroffenen Funktionen und möglichen Auswirkungen.

Eindämmungsmaßnahmen müssen die physische Prozesswirkung berücksichtigen. Das unmittelbare Trennen einer Netzwerkverbindung kann sinnvoll sein, darf jedoch keinen unkontrollierten Anlagenzustand hervorrufen. Vor größeren Eingriffen ist deshalb, soweit zeitlich möglich, die sichere Betriebsweise mit den Anlagenverantwortlichen abzustimmen. Nach dem Vorfall sind Ursache, Ausbreitungsweg, Wirksamkeit der Maßnahmen, entstandene Schäden und notwendige Verbesserungen nachvollziehbar zu dokumentieren.

Für kritische Logistik- und Gebäudeprozesse sind praktikable Ersatzverfahren festzulegen. Dazu können manuelle Warenbewegungen, lokale Bedienung einzelner Anlagen, Papierlisten, alternative Kommunikationsmittel, kontrollierte Zutrittslisten und definierte Verfahren zur sicheren Anlagenstillsetzung gehören. Das Ersatzverfahren muss beschreiben, wann es aktiviert wird, wer die Entscheidung trifft und welche Mindestvoraussetzungen erfüllt sein müssen.

Ein Notbetrieb ist in der Regel mit reduzierter Kapazität und erhöhtem Personalbedarf verbunden. Sicherheitsgrenzen, zulässige Warenarten, Prioritäten, Verantwortlichkeiten und Dokumentationsanforderungen sind deshalb im Voraus festzulegen. Nach Rückkehr zum Normalbetrieb müssen manuell erfasste Bewegungen, Bestände und Zugangsereignisse kontrolliert in die regulären Systeme übernommen und auf Widersprüche geprüft werden.

Der Wiederanlauf richtet sich nach Prozesskritikalität und technischen Abhängigkeiten. Zunächst sind sichere Energieversorgung, erforderliche Raum- und Umgebungsbedingungen sowie grundlegende Netzwerk-, Kommunikations- und Sicherheitsfunktionen herzustellen. Anschließend folgen zentrale Steuerungs- und Identitätsdienste, Anlagensteuerungen, Feldgeräte, Logistiksysteme und betriebliche Anwendungen.

Die Wiederinbetriebnahme muss stufenweise erfolgen. Nach jedem Schritt sind Systemzustand, Kommunikation, Datenintegrität, Sicherheitsfunktionen und Abhängigkeiten zu prüfen. Fördertechnik und automatische Lagersysteme dürfen erst freigegeben werden, wenn Auftrags- und Bestandsdaten konsistent sind und keine unklaren Materialpositionen bestehen. Die endgültige Betriebsfreigabe liegt beim dafür benannten betrieblichen Verantwortlichen und darf nicht allein aufgrund technischer Erreichbarkeit erteilt werden.

Notfall- und Wiederanlaufverfahren sind regelmäßig durch technische Wiederherstellungstests, Stabsübungen und standortbezogene Betriebsszenarien zu überprüfen. Übungen sollten sowohl einzelne Systemausfälle als auch kombinierte Ereignisse abbilden, beispielsweise den gleichzeitigen Ausfall von Lagerverwaltung, Fernzugang und zentraler Benutzerverwaltung. Auch die Erreichbarkeit externer Dienstleister und die Verfügbarkeit notwendiger Ersatzteile oder Werkzeuge sind einzubeziehen.

Für jede Übung sind Ziele, Teilnehmer, Ausgangslage, erwartete Reaktionen und Bewertungskriterien festzulegen. Abweichungen und Verbesserungspotenziale werden mit Verantwortlichen und Umsetzungsterminen dokumentiert. Die Wirksamkeit gilt erst dann als nachgewiesen, wenn festgestellte Mängel bearbeitet und die angepassten Verfahren erneut geprüft wurden. Erkenntnisse müssen in Risikoanalysen, Betriebsanweisungen, Schulungen und Investitionsentscheidungen einfließen.

Cyber- und OT-Sicherheitsanforderungen sind bereits in Bedarfsplanung, Ausschreibung, Vergabe, Planung und Abnahme zu berücksichtigen. Die Leistungsbeschreibung sollte Anforderungen an sichere Standardkonfigurationen, Rollen- und Berechtigungsmodelle, Protokollierung, Netzwerksegmentierung, Datensicherung, Updatefähigkeit, Schwachstellenbehandlung, Fernwartung und lokale Notbedienung enthalten. Auch erforderliche Dokumentationen und Schulungsleistungen sind verbindlich festzulegen.

Hersteller und Integratoren müssen die vorgesehenen Schnittstellen, Kommunikationsprotokolle, Systemabhängigkeiten und unterstützten Betriebsmodelle transparent beschreiben. Supportzeiträume, Ersatzteilverfügbarkeit und Reaktionszeiten bei Sicherheitsproblemen sind vor Vertragsabschluss zu bewerten. Vor der produktiven Abnahme sind Sicherheitsfunktionen, Wiederherstellung, Rollenmodell, Fernzugang und Verhalten bei Kommunikations- oder Energieausfall zu testen. Nicht erfüllte Anforderungen müssen dokumentiert und vor Betriebsaufnahme behandelt oder formal akzeptiert werden.

Nicht mehr unterstützte Hard- und Software stellt ein erhöhtes Betriebs- und Sicherheitsrisiko dar, weil Fehlerbehebungen, Sicherheitsupdates oder Ersatzteile möglicherweise nicht mehr verfügbar sind. Solche Systeme sind in einem gesonderten Register zu führen und hinsichtlich Exposition, Kritikalität, vorhandener Schwachstellen, Wiederherstellbarkeit und Ausfallfolgen regelmäßig zu bewerten.

Bis zur Ablösung können zusätzliche Schutzmaßnahmen erforderlich sein. Dazu gehören stärkere Netzwerkisolation, restriktive Kommunikationsfreigaben, kontrollierte Nutzung von Wechselmedien, Anwendungsfreigaben, verstärkte Überwachung, lokale Ersatzteilhaltung und begrenzte Benutzerrechte. Übergangslösungen müssen mit einem verbindlichen Migrationsplan, Budget, verantwortlicher Stelle und Zieldatum verbunden sein. Ein zeitlich unbegrenzter Weiterbetrieb ohne dokumentierte Risikentscheidung entspricht nicht dem Zielzustand.

Die Außerbetriebnahme muss geplant und freigegeben erfolgen. Vor dem Ausbau sind betriebliche Abhängigkeiten zu prüfen und erforderliche Daten, Konfigurationen oder Nachweise kontrolliert zu archivieren. Benutzerkonten, Zertifikate, Fernzugänge, Wartungsverbindungen, Cloud-Zuordnungen und Netzwerkfreigaben sind zu entfernen oder zu widerrufen.

Datenträger und interne Speicher sind entsprechend ihrem Schutzbedarf sicher zu löschen oder zu vernichten. Bei Rückgabe an Hersteller oder Leasinggeber ist nachzuweisen, dass keine vertraulichen Daten oder Zugangsinformationen verbleiben. Asset-Verzeichnis, Netzwerkpläne, Ersatzteilbestände, Wartungsverträge und Wiederanlaufdokumentationen müssen anschließend an den neuen Ist-Zustand angepasst werden.

Kennzahlen sollen die tatsächliche Beherrschung der Betriebsrisiken sichtbar machen und nicht nur die Anzahl formaler Aktivitäten abbilden. Für jede Kennzahl sind Berechnungsmethode, Datenquelle, Messhäufigkeit, Zielwert, Verantwortlichkeit und Eskalationsschwelle verbindlich zu definieren.

Die Kennzahlen sind regelmäßig gemeinsam durch Facility Management, IT, OT, Security und BCM zu bewerten. Verschlechterungen müssen zu konkreten Maßnahmen führen. Neben absoluten Werten ist die Entwicklung über mehrere Berichtsperioden zu betrachten. Eine hohe Inventarisierungsquote ist beispielsweise nur aussagekräftig, wenn Daten aktuell, Verantwortlichkeiten vollständig und technische Abweichungen zeitnah bereinigt sind.

Das FM-Zielbild ist erreicht, wenn kritische Gebäude-, Logistik- und IT-/OT-Systeme vollständig bekannt, nach ihrer betrieblichen Bedeutung klassifiziert und eindeutig verantwortet sind. Sämtliche wesentlichen Schnittstellen sind dokumentiert, freigegeben, auf das notwendige Maß beschränkt und technisch überwacht. Fernzugänge, Änderungen, Berechtigungen und Dienstleisterleistungen werden über nachvollziehbare Prozesse gesteuert.

Störungen und Cybervorfälle können frühzeitig erkannt, fachübergreifend bewertet und kontrolliert eingedämmt werden, ohne Personen- oder Anlagensicherheit zu gefährden. Getestete Rückfallebenen, Wiederherstellungsverfahren und Notbetriebsprozesse ermöglichen eine priorisierte Fortführung oder einen geordneten Wiederanlauf des Standorts. Cyber-/OT-Resilienz ist damit kein isoliertes IT-Projekt, sondern ein dauerhaft gesteuerter Bestandteil des Facility Managements, des technischen Betriebs, der Investitionsplanung und des standortbezogenen Business Continuity Managements.