OT-Sicherheit

Fernwartung ermöglicht es externen Dienstleistern, Systemintegratoren und technischen Spezialisten, Diagnose, Softwareunterstützung, Fehlerbehebung, Parametrierung und Updates durchzuführen, ohne vor Ort auf dem Campus anwesend zu sein. Dies kann die Reaktionszeit bei Störungen verkürzen und den Betrieb komplexer technischer Systeme unterstützen.

Im Facility Management darf Fernwartung jedoch nicht als ungeprüfter Standardzugang verstanden werden. Jeder Fernzugriff auf OT-Systeme stellt ein potenzielles Sicherheitsrisiko dar und muss daher genehmigt, technisch abgesichert, zeitlich begrenzt und nachvollziehbar dokumentiert werden.

Fernzugänge müssen über zentrale, kontrollierte Zugangspunkte erfolgen. Direkte Verbindungen zu Steuerungen, Servern oder Automationsgeräten sind zu vermeiden. Jeder externe Benutzer muss eindeutig identifizierbar sein. Gemeinsame Konten oder dauerhaft aktive Herstellerzugänge sind aus Sicherheits- und Nachvollziehbarkeitsgründen nicht zulässig.

Die Autorisierung muss auf dem Prinzip der geringsten Rechte basieren. Ein Dienstleister, der nur eine Lüftungsanlage prüfen soll, darf keinen Zugriff auf Energieversorgung, Zutrittskontrolle oder Laborsteuerungen erhalten. Zugriffsrechte müssen auf System, Zeitraum und Tätigkeit beschränkt werden.

Vor jeder Fernwartung ist eine Freigabe durch die zuständige Facility-Management-Stelle oder eine benannte technische Betriebsverantwortung erforderlich. Die Freigabe muss Zweck, betroffene Systeme, Zeitraum, beteiligte Personen und geplante Tätigkeiten enthalten.

Wartungsfenster sind mit dem Gebäudebetrieb, dem akademischen Kalender und gegebenenfalls mit Labor- oder Forschungszeiten abzustimmen. Arbeiten an kritischen Systemen sollten nur durchgeführt werden, wenn fachkundige interne Mitarbeitende verfügbar sind und Auswirkungen auf den Betrieb kontrolliert werden können.

Bei kritischen Systemen ist eine beaufsichtigte Fernwartung vorzusehen. Das bedeutet, dass interne Verantwortliche die Sitzung begleiten, Aktivitäten beobachten und bei unerwarteten Auswirkungen sofort eingreifen können.

Alle durchgeführten Maßnahmen sind zu dokumentieren. Dazu gehören Systemänderungen, Konfigurationsanpassungen, Softwareupdates, Fehlermeldungen, Prüfungen und abschließende Funktionstests. Nach Abschluss der Arbeiten ist der Fernzugriff unverzüglich zu deaktivieren. Temporäre Berechtigungen müssen entfernt oder gesperrt werden.

Fernwartung kann zu unbefugtem externem Zugriff führen, wenn Zugangsdaten kompromittiert, Konten nicht deaktiviert oder Verbindungen nicht ausreichend geschützt werden. Besonders kritisch sind dauerhafte Herstellerzugänge, die außerhalb der Kontrolle der Universität betrieben werden.

Ein weiteres Risiko ist die Einschleusung von Schadsoftware über externe Geräte oder Wartungsumgebungen. Dienstleister können unbeabsichtigt kompromittierte Laptops, unsichere Tools oder nicht geprüfte Software einsetzen. Deshalb sollten technische Mindestanforderungen für Dienstleister definiert und vertraglich geregelt werden.

Fehlende Transparenz über Aktivitäten Dritter kann die Betriebssicherheit erheblich beeinträchtigen. Ohne Protokollierung und klare Zuständigkeit ist im Störungsfall schwer nachvollziehbar, welche Änderung zu welchem Zeitpunkt vorgenommen wurde.

Die Verwaltung von Zugriffsrechten stellt sicher, dass nur berechtigte Personen OT-Systeme in Universitätsgebäuden bedienen, konfigurieren oder verändern können. Sie schützt den Gebäudebetrieb vor unbeabsichtigten Fehlbedienungen, unbefugten Eingriffen und vorsätzlicher Manipulation.

Eine wirksame Zugriffskontrolle unterstützt die Betriebssicherheit, weil Verantwortlichkeiten eindeutig zugeordnet werden. Jede Änderung an technischen Systemen muss auf eine konkrete Person, Rolle oder genehmigte Tätigkeit zurückgeführt werden können.

Facility Operators benötigen Zugriff auf Visualisierung, Alarme, Betriebszustände, Zeitprogramme und definierte Sollwerte. Sie sollten technische Anlagen bedienen können, ohne tiefgreifende Systemkonfigurationen zu verändern.

Systemadministratoren benötigen erweiterte Rechte für Server, Datenbanken, Schnittstellen, Benutzerverwaltung, Backup, Wiederherstellung und Systemkonfiguration. Diese Rechte müssen besonders geschützt und streng begrenzt werden.

Externe Dienstleister erhalten nur zeitlich befristeten Zugriff auf die Systeme, für die sie beauftragt wurden. Der Zugriff endet unmittelbar nach Abschluss der Tätigkeit.

Laborpersonal benötigt häufig Zugriff auf spezifische Betriebsparameter, etwa Raumtemperatur, Luftwechselrate oder Medienversorgung. Diese Rechte müssen so gestaltet sein, dass Forschungsprozesse unterstützt werden, ohne übergeordnete Gebäudesicherheit oder zentrale Anlagenfunktionen zu gefährden.

Sicherheitsteams benötigen Zugriff auf Meldungen, Ereignisse und Notfallfunktionen. Dabei muss klar geregelt sein, welche Eingriffe im Ereignisfall zulässig sind.

Zugriffsrechte sind nach dem Prinzip der geringsten Rechte zu vergeben. Jede Person erhält nur die Rechte, die für ihre konkrete Aufgabe erforderlich sind. Allgemeine Administratorrechte dürfen nicht für Routineaufgaben verwendet werden.

Jede Benutzerkennung muss eindeutig einer Person zugeordnet sein. Gruppenkennungen, gemeinsam genutzte Konten oder unpersönliche Standardzugänge sind zu vermeiden, da sie die Nachvollziehbarkeit einschränken.

Berechtigungen sind rollenbasiert zu vergeben. Rollen sollten regelmäßig überprüft und an organisatorische Änderungen angepasst werden. Wenn Mitarbeitende die Abteilung wechseln, Projekte enden oder Dienstleisterverträge auslaufen, müssen Zugriffsrechte sofort angepasst oder entfernt werden.

Inaktive, abgelaufene oder nicht mehr benötigte Konten sind unverzüglich zu sperren. Die regelmäßige Rezertifizierung von Benutzerrechten sollte Teil der Betriebsroutine sein.

Für OT-Systeme sind starke Passwortregeln festzulegen. Passwörter müssen ausreichend komplex sein, dürfen nicht mehrfach verwendet werden und sind sicher zu speichern. Standardpasswörter von Herstellern müssen vor Inbetriebnahme geändert werden.

Für kritische Systeme und privilegierte Konten ist Multi-Faktor-Authentifizierung einzusetzen. Dies gilt insbesondere für Fernzugriffe, administrative Konten, Gebäudeleittechnik-Server und zentrale Managementplattformen.

Automatische Sitzungszeitüberschreitungen verhindern, dass unbeaufsichtigte Arbeitsstationen oder Browser-Sitzungen missbraucht werden. Engineering-Workstations, Bedienplätze und mobile Wartungsgeräte müssen gegen unbefugte Nutzung geschützt werden.

Soweit technisch möglich, sollte ein zentrales Identitäts- und Berechtigungsmanagement verwendet werden. Administrative Zugangsdaten sind besonders zu schützen, getrennt von Standardbenutzerkonten zu verwalten und nur für genehmigte Tätigkeiten einzusetzen.

Patch-Management dient der sicheren und stabilen Aktualisierung von OT-Systemen. Es korrigiert bekannte Schwachstellen, verbessert Softwarestabilität und reduziert das Risiko, dass Angreifer bekannte Sicherheitslücken in Gebäudesystemen ausnutzen.

Im universitären Gebäudebetrieb muss Patch-Management besonders sorgfältig geplant werden, weil technische Anlagen häufig durchgehend verfügbar sein müssen. Ein ungeprüftes Update kann Betriebsstörungen verursachen, Schnittstellen beeinträchtigen oder Steuerungsfunktionen verändern. Deshalb benötigt jede Aktualisierung eine technische Bewertung, eine Testphase, eine Umsetzungsplanung und eine Nachkontrolle.

Universitätsgebäude enthalten oft heterogene und alternde Automationssysteme mit unterschiedlichen Kompatibilitätsanforderungen und betrieblichen Einschränkungen.

Altsysteme sind häufig nicht mehr vollständig vom Hersteller unterstützt. In solchen Fällen muss das Risiko durch zusätzliche Schutzmaßnahmen wie Segmentierung, Zugriffsbeschränkung, Überwachung oder Ersatzplanung reduziert werden.

Kontinuierlicher Betrieb ist in Universitäten ein zentrales Thema. Bibliotheken, Rechenzentren, Tierhaltungen, Labore, Kühllager, Reinräume und Sicherheitsbereiche können nicht beliebig abgeschaltet werden. Wartungsfenster müssen daher sorgfältig mit Nutzern und Verantwortlichen abgestimmt werden.

Zunächst müssen betroffene Assets eindeutig identifiziert werden. Dazu gehören Server, Automationsstationen, Bedienplätze, Datenbanken, Gateways, Steuerungen und eingebundene Drittanwendungen.

In der Risikobewertung wird geprüft, wie kritisch die Schwachstelle ist, ob das System exponiert ist und welche betrieblichen Folgen ein Ausfall hätte. Nicht jede Aktualisierung hat dieselbe Priorität. Kritische Sicherheitslücken in erreichbaren Systemen sind bevorzugt zu behandeln.

Vor der Installation ist zu testen, ob das Update mit bestehenden Anwendungen, Treibern, Schnittstellen und Steuerungsprogrammen kompatibel ist. Nach der Installation müssen Funktion, Kommunikation, Alarme, Trends, Zeitprogramme und Schnittstellen geprüft werden.

Vor jeder Aktualisierung ist ein vollständiges Backup relevanter Systeme und Konfigurationen zu erstellen. Dazu gehören Serverdaten, Datenbanken, Steuerungsprogramme, Projektdateien und Gerätekonfigurationen.

Rollback-Verfahren müssen vorab definiert sein. Wenn ein Update fehlschlägt oder den Betrieb beeinträchtigt, muss der vorherige stabile Zustand schnell wiederhergestellt werden können.

Updates sind mit akademischen Abläufen, Prüfungszeiten, Laborplänen und Forschungsbetrieb zu koordinieren. Besonders in Laboren oder technischen Sonderbereichen müssen Nutzer frühzeitig informiert werden.

Alle installierten Patches sind zu dokumentieren. Die Dokumentation muss Datum, System, Version, Verantwortliche, Testergebnis, Besonderheiten und abschließenden Systemstatus enthalten.

Systemhärtung reduziert Angriffsflächen, indem unnötige Funktionen, Dienste, Konten, Kommunikationswege und Softwarekomponenten entfernt oder eingeschränkt werden. Ziel ist ein sicherer Betriebszustand, der nur die Funktionen erlaubt, die für den Gebäudebetrieb tatsächlich erforderlich sind.

Für Facility-Management-Systeme ist Systemhärtung besonders wichtig, da viele OT-Komponenten dauerhaft betrieben werden und nur selten ersetzt werden. Eine konsequente Härtung verbessert die Grundsicherheit und verringert die Wahrscheinlichkeit, dass Fehlkonfigurationen oder Standardfunktionen ausgenutzt werden.

Standardkonten und Standardpasswörter sind vor der Inbetriebnahme zu entfernen oder zu ändern. Nicht benötigte Benutzergruppen und administrative Rechte sind zu deaktivieren.

Nicht erforderliche Netzwerkdienste erhöhen die Angriffsfläche und sollten abgeschaltet werden. Dies betrifft zum Beispiel alte Fernwartungsdienste, unverschlüsselte Verwaltungsprotokolle oder nicht genutzte Dateifreigaben.

Gerätekonfigurationen müssen sicher dokumentiert und gegen unbefugte Änderung geschützt werden. Steuerungen, Gateways und Bediengeräte sollten nur die notwendigen Kommunikationsbeziehungen zulassen.

Nicht unterstützte Software darf nicht dauerhaft auf OT-Systemen betrieben werden, wenn dadurch Sicherheitsrisiken entstehen. Engineering-Tools, alte Treiber oder Hilfsprogramme müssen regelmäßig überprüft werden.

Universitäten benötigen standardisierte Sicherheitskonfigurationen über den gesamten Campus. Ein einheitlicher Basisstandard erleichtert Betrieb, Wartung, Auditierung und Störungsanalyse.

Labor- und forschungsnahe Automationssysteme sind besonders zu schützen. Hier können Fehlfunktionen nicht nur technische Störungen verursachen, sondern auch Forschungsergebnisse, Proben, Geräte oder Sicherheitsbedingungen gefährden.

Engineering-Workstations müssen sicher eingerichtet werden. Sie sollten aktuelle Sicherheitssoftware, eingeschränkte Benutzerrechte, kontrollierte Schnittstellen und dokumentierte Softwarestände besitzen.

Übergeordnete Server, Datenbanken und Managementplattformen sind besonders kritisch. Sie müssen durch sichere Benutzerverwaltung, eingeschränkte Dienste, regelmäßige Backups, Protokollierung und kontrollierte Administration geschützt werden.

Feldgeräte, Automationsstationen und Controller sind ebenfalls in die Härtung einzubeziehen. Auch wenn sie nur begrenzte Sicherheitsfunktionen bieten, können sichere Passwörter, eingeschränkte Kommunikationspfade und dokumentierte Konfigurationen das Risiko deutlich reduzieren.

Systemhärtung muss regelmäßig überprüft werden. Härtungschecklisten helfen dabei, einheitliche Mindeststandards umzusetzen und Abweichungen sichtbar zu machen.

Konfigurationsaudits sollten in festgelegten Abständen durchgeführt werden. Dabei wird geprüft, ob Systeme noch dem freigegebenen Sicherheitsstandard entsprechen oder ob unautorisierte Änderungen erfolgt sind.

Sicherheitsbaselines dienen als Referenz für den zulässigen Betriebszustand. Jede Abweichung ist zu bewerten, zu genehmigen oder zu korrigieren.

Änderungen an gehärteten Systemen müssen in das Change-Management eingebunden werden. Dadurch wird verhindert, dass Wartungsarbeiten oder Projektänderungen unbeabsichtigt Sicherheitsmaßnahmen aufheben.

Prozesse zur Reaktion auf Sicherheitsvorfälle dienen dazu, Angriffe, Fehlkonfigurationen, unbefugte Zugriffe oder technische Störungen in OT-Umgebungen frühzeitig zu erkennen, einzudämmen und den sicheren Betrieb wiederherzustellen.

Für Universitäten ist eine strukturierte Incident-Response-Fähigkeit besonders wichtig, weil Gebäudesysteme Lehre, Forschung, Sicherheit und Infrastrukturversorgung unterstützen. Eine unkoordinierte Reaktion kann Betriebsstörungen vergrößern oder sicherheitsrelevante Anlagen beeinträchtigen.

Unbefugter Zugriff kann dazu führen, dass Sollwerte, Zeitprogramme, Alarme oder Steuerungslogiken verändert werden. Dies kann Komfort, Energieeffizienz, Sicherheit und Anlagenverfügbarkeit beeinträchtigen.

Malware kann Bedienplätze, Server oder Engineering-Systeme stören. In OT-Umgebungen kann bereits der Ausfall einzelner Systeme erhebliche betriebliche Auswirkungen haben.

Ungeplante Konfigurationsänderungen sind besonders kritisch, wenn sie nicht dokumentiert sind. Sie können zu schleichenden Fehlfunktionen, falschen Alarmen oder instabilen Anlagenzuständen führen.

In der Erkennungsphase werden technische Alarme, Netzwerkereignisse, Benutzeraktivitäten, Störungsmeldungen und ungewöhnliche Anlagenzustände ausgewertet. Facility-Management-Teams müssen wissen, welche Anzeichen auf einen OT-Sicherheitsvorfall hinweisen können.

Die Bewertung bestimmt, welche Systeme betroffen sind, ob Sicherheit oder Betrieb gefährdet sind und welche Sofortmaßnahmen erforderlich sind. Dabei ist zwischen IT-Sicherheitsrisiken und gebäudetechnischen Betriebsrisiken zu unterscheiden.

Bei der Eindämmung können betroffene Netzwerksegmente isoliert, Zugänge gesperrt, Fernwartungen deaktiviert oder Systeme in einen sicheren Betriebszustand versetzt werden. Maßnahmen dürfen jedoch nicht unkontrolliert durchgeführt werden, wenn dadurch technische Sicherheitseinrichtungen beeinträchtigt werden könnten.

Die Wiederherstellung erfolgt kontrolliert. Systeme werden geprüft, bereinigt, aus Backups wiederhergestellt oder neu konfiguriert. Vor der Rückkehr in den Normalbetrieb sind Funktionstests und Plausibilitätsprüfungen durchzuführen.

Das Facility Management koordiniert die betrieblichen Maßnahmen, bewertet Auswirkungen auf Gebäude, Nutzer und technische Anlagen und sorgt für die sichere Aufrechterhaltung oder Wiederherstellung des Betriebs.

Die IT-Sicherheitsabteilung unterstützt bei Analyse, Eindämmung, Netzwerkbewertung, Protokollauswertung und forensischer Untersuchung. Eine enge Zusammenarbeit zwischen IT und Facility Management ist zwingend erforderlich.

Hersteller und Dienstleister können notwendig sein, wenn Spezialwissen zu Automationssystemen, Steuerungen oder proprietären Plattformen erforderlich ist. Ihre Einbindung muss kontrolliert und dokumentiert erfolgen.

Bei schwerwiegenden Vorfällen ist eine Eskalation an die Universitätsleitung erforderlich. Dies gilt insbesondere, wenn Forschung, Lehre, Gebäudesicherheit, Datenschutz oder kritische Infrastruktur betroffen sind.

Betroffene Nutzergruppen, Fakultäten, Laborleitungen und Betriebsverantwortliche müssen situationsgerecht informiert werden. Die Kommunikation sollte sachlich, abgestimmt und handlungsorientiert erfolgen.

Nach einem Sicherheitsvorfall ist eine Ursachenanalyse durchzuführen. Ziel ist es, den Auslöser, den Angriffsweg, betroffene Systeme und vorhandene Schwachstellen zu verstehen.

Systemschwachstellen sind zu bewerten und zu beheben. Dazu können Patch-Management, Systemhärtung, Anpassung von Zugriffsrechten, Verbesserung der Segmentierung oder zusätzliche Überwachung gehören.

Betriebliche Verfahren sind zu aktualisieren, wenn der Vorfall zeigt, dass Zuständigkeiten, Meldewege oder technische Maßnahmen unzureichend waren.

Sicherheitskontrollen müssen verbessert werden. Dazu gehören strengere Fernwartungsprozesse, bessere Protokollierung, gezieltere Alarmierung oder zusätzliche Schulungen.

Erkenntnisse aus dem Vorfall sind in die Sensibilisierung von Mitarbeitenden einzubeziehen. Facility-Management-Teams, Betreiber, Administratoren und Dienstleister sollten verstehen, welche Maßnahmen künftig erforderlich sind.

Eine wirksame OT-Sicherheits-Governance erfordert klare Verantwortlichkeiten, definierte Betriebsprozesse und eine geregelte Zusammenarbeit zwischen Facility Management, IT-Abteilungen, Laborverantwortlichen, Sicherheitsorganisation und externen Dienstleistern.

Die Governance muss festlegen, wer für OT-Systeme verantwortlich ist, wer Änderungen genehmigt, wer Zugriffe verwaltet, wer Vorfälle koordiniert und wer die Einhaltung von Sicherheitsvorgaben überprüft. Ohne klare Verantwortlichkeiten entstehen Lücken im Betrieb, bei der Wartung und in der Sicherheitsüberwachung.

Für Universitäten sollte die Governance campusweit gelten, aber die Besonderheiten einzelner Gebäude und Forschungsbereiche berücksichtigen. Kritische Einrichtungen wie Rechenzentren, Labore, Tierhaltungen, Reinräume oder Energiezentralen benötigen ergänzende Regelungen.

Netzwerkarchitekturdiagramme müssen aktuell gehalten werden. Sie sollten Netzwerkzonen, Firewalls, Server, Steuerungen, Schnittstellen, Fernzugriffspunkte und externe Verbindungen abbilden.

Zugriffsprotokolle dienen der Nachvollziehbarkeit. Sie müssen zeigen, wer wann auf welches System zugegriffen hat und welche wesentlichen Aktionen durchgeführt wurden.

Wartungsnachweise dokumentieren technische Eingriffe, Prüfungen, Reparaturen, Konfigurationsänderungen und Funktionskontrollen. Sie sind wichtig für Betriebssicherheit, Gewährleistung, Auditierung und Störungsanalyse.

Patch-Register ermöglichen die Bewertung des Sicherheitsstands. Sie zeigen, welche Systeme aktuell sind, welche Updates fehlen und welche Risiken noch offen sind.

Vorfallberichte dokumentieren Ablauf, Auswirkungen, Maßnahmen und Erkenntnisse aus Sicherheitsereignissen. Sie bilden die Grundlage für Verbesserungen im Betrieb.

OT-Sicherheit ist kein einmaliges Projekt, sondern ein dauerhafter Betriebsprozess. Regelmäßige Sicherheitsbewertungen helfen, neue Risiken, technische Veränderungen und organisatorische Schwachstellen zu erkennen.

Zugriffsrechte sind regelmäßig zu überprüfen. Änderungen bei Personal, Dienstleistern, Forschungsprojekten oder Gebäuden müssen zeitnah in der Berechtigungsstruktur abgebildet werden.

Die Wirksamkeit der Segmentierung muss getestet werden. Dabei wird geprüft, ob Netzwerkzonen korrekt getrennt sind, ob unerlaubte Verbindungen blockiert werden und ob Monitoring-Systeme auffällige Ereignisse erkennen.

Incident-Response-Verfahren sollten regelmäßig geübt werden. Übungen helfen, Rollen, Kommunikationswege, Entscheidungsprozesse und technische Maßnahmen zu verbessern.

Kontinuierliche Überwachung betrieblicher Risiken unterstützt einen stabilen Gebäudebetrieb. Dazu gehören technische Zustandsdaten, Sicherheitsereignisse, Wartungsinformationen, Schwachstellenbewertungen und Rückmeldungen aus dem operativen Betrieb.