Technisch behoben bedeutet nicht betriebssicher Wer darf die Fabrik neu starten?

Nach einem Cyberangriff kann eine Industrieanlage technisch eingedämmt, aber noch nicht betriebssicher sein. Ein Fünf-Gate-Modell zeigt, wie Cybersecurity, OT, Safety und Werksleitung gemeinsam bewerten und wer den Neustart freigibt.

Ein Cyberangriff auf eine Industrieanlage kann technisch eingedämmt sein, während die Anlage betrieblich noch nicht vertrauenswürdig ist. Genau hier entsteht eine Führungsfrage, die in vielen Incident-Response-Plänen zu kurz kommt: Wer darf den Neustart freigeben, wenn Cybersecurity Entwarnung meldet, OT und Engineering aber noch Zweifel an Steuerungslogik, Prozessdaten oder Maschinenzuständen haben?

The State of ICS/OT Cybersecurity 2025

22 Prozent der Industrieunternehmen erleben Cyberangriffe

Vier Perspektiven, eine Entscheidung

Bei einem industriellen Cybervorfall betrachten mehrere Funktionen denselben Zustand aus unterschiedlichen Blickwinkeln. Cybersecurity prüft, ob der Angreifer entfernt, Zugänge geschlossen und kompromittierte Konten bereinigt sind. OT und Engineering beurteilen, ob PLC-Logik, SCADA-Konfigurationen, Historian-Daten und Feldgeräte einen verlässlichen Zustand zeigen. Safety verifiziert Schutzfunktionen, Interlocks und Notabschaltungen. Die Werksleitung verantwortet Produktion, Personal, Lieferverpflichtungen und das verbleibende Betriebsrisiko.

Diese Perspektiven müssen zusammengeführt werden, aber gemeinsame Bewertung bedeutet nicht gemeinsame Letztverantwortung. Das Restart Board prüft die Nachweise aus Cybersecurity, OT/Engineering, Safety und Werksleitung. Die formale Freigabe erteilt dagegen eine vor dem Ereignis benannte Restart Authority innerhalb der geltenden gesetzlichen und betrieblichen Zuständigkeiten. Bei einer nicht beherrschten sicherheitsrelevanten Gefährdung kann Safety den Neustart stoppen. Lieferdruck oder Produktionsziele ersetzen diese Freigabe nicht.

OT Security Financial Risk Report von Dragos

Cyberangriffe auf Industrieanlagen – Schäden in Milliardenhöhe

Ein praxisnahes Entscheidungsmodell

Ein mögliches Modell besteht aus fünf Gates. Gate eins bestätigt die Eindämmung des Cybervorfalls. Es dürfen keine ungeklärten aktiven Zugänge, keine unbekannten administrativen Konten und keine laufenden Manipulationen mehr erkennbar sein. Gate zwei betrifft die Integrität der OT-Umgebung. Kritische Konfigurationen werden gegen vertrauenswürdige Baselines geprüft, die Steuerungslogik wird verifiziert und Veränderungen seit dem letzten bekannten sicheren Zustand werden erklärt.

Gate drei ist die Safety-Freigabe. Schutzsysteme werden funktional geprüft. Wo ein vollständiger Test vor Produktionsbeginn nicht möglich ist, wird dokumentiert, welche Schutzbarriere eingeschränkt ist und welche kompensierende Maßnahme gilt. Gate vier bewertet die Betriebsbereitschaft: qualifiziertes Personal, Kommunikationswege, Ersatzbetrieb, Lieferketten und die Fähigkeit, bei erneuten Auffälligkeiten kontrolliert abzuschalten.

Gate fünf trennt fachliche Bestätigung und formale Entscheidung. Cybersecurity, OT/Engineering, Safety und Werksleitung dokumentieren jeweils ihren Befund. Das Restart Board führt diese Befunde zusammen und empfiehlt den zulässigen Betriebszustand. Die benannte Restart Authority erteilt oder verweigert anschließend die formale Freigabe. Vollbetrieb, begrenzter Betrieb oder kein Neustart sind drei unterschiedliche Ergebnisse. Ein offener Safety-Einwand gegen eine nicht beherrschte Gefährdung sperrt die Freigabe, bis die Gefährdung beseitigt oder durch eine zulässige Maßnahme beherrscht ist.

Zero Trust für vernetzte Produktionsumgebungen

Zero Trust schützt den Zugang zu OT-Umgebungen

Ein realer Fall: Norsk Hydro 2019

Der Cyberangriff auf Norsk Hydro im März 2019 zeigt vor allem, wie eng IT-Recovery und Produktionswiederanlauf miteinander verbunden sein können. Nach Erkennung des Angriffs isolierte Hydro Anlagen und Betriebsbereiche und wechselte, soweit möglich, auf manuelle Verfahren. Mehrere Standorte waren zeitweise eingeschränkt oder gestoppt. Die öffentlichen Unternehmensupdates dokumentieren dabei die Wiederherstellung der IT-Systeme und den gestuften Hochlauf der Produktion; sie benennen jedoch nicht, welche konkrete Instanz den betrieblichen Wiederanlauf formal freigegeben hat.

Die Wiederherstellung erfolgte gestuft. Am 26. März berichtete Hydro, dass IT-Systeme schrittweise und sicher zurückgeführt würden; am 27. März lag die Produktion im besonders betroffenen Bereich Extruded Solutions wieder bei etwa 70 bis 80 Prozent, während Building Systems zunächst nur rund 20 Prozent erreichte. Hydro formulierte die Priorität ausdrücklich als sicheren und geschützten Wiederanlauf mit schrittweiser Rückkehr zum Normalbetrieb. Der Fall belegt damit einen kontrollierten, gestuften Recovery-Prozess – nicht die Anwendung des hier vorgeschlagenen Restart-Authority-Modells.

Die Übertragung auf das hier vorgeschlagene Modell ist daher eine Governance-Ableitung des Autors: Ein dokumentierter, gestufter Wiederanlauf sollte durch klar getrennte fachliche Bewertung und formale Freigabeverantwortung ergänzt werden.

Industrie im Visier des Cybercrime

IoT-Ransomware wird zur wachsenden Gefahr in der vernetzten Industrie

Die Freigabe braucht Stop-Trigger

Eine Restart Authority ist nur belastbar, wenn sie auch festlegt, wann eine Freigabe wieder entzogen wird. Dazu gehören beispielsweise unerklärte Änderungen an Steuerungslogik, Abweichungen zwischen Prozesswerten und unabhängigen Messungen, erneute verdächtige Authentifizierungen oder der Ausfall einer kompensierenden Safety-Maßnahme. Solche Stop-Trigger werden vor dem Neustart vereinbart und einer konkreten Eskalations- und Abschaltlogik zugeordnet. Damit ist im kritischen Moment klar, wer den Betrieb stoppen darf und wer über eine erneute Freigabe entscheidet.

Gefahr für OT-Umgebungen

Viele Remote-Access-Tools sind nicht für Unternehmen geeignet

OT-Recovery braucht technische und organisatorische Governance

NIST SP 800-82 Rev. 3 behandelt Response und Recovery ausdrücklich als Teil der OT-Sicherheit und verlangt, die besonderen Anforderungen an Performance, Zuverlässigkeit und Safety zu berücksichtigen. Für Response-Pläne empfiehlt NIST die Einbindung von Operations, Engineering, IT, Management, Lieferanten, Recht und Safety. Business-Continuity-Planung soll außerdem die Aufrechterhaltung oder Wiederherstellung der Produktion nach einer Unterbrechung abdecken. Damit ist Recovery keine isolierte Aufgabe des Cyberteams, sondern eine organisationsweite Betriebsentscheidung.

Auch CISA führt für Industrial Control Systems eine eigene Recommended Practice zum Aufbau einer ICS-Cybersecurity-Incident-Response-Fähigkeit. Für die Governance der eigentlichen Freigabe ist zusätzlich ein Blick in die Safety-Praxis hilfreich. Die seit 5. August 2026 geltende DOE O 425.1F für Hazard Category 1 und 2 Nuclear Facilities bezeichnet die formale Freigabeinstanz als Startup Approval Authority (SAA). Die Readiness Review liefert die Entscheidungsgrundlage; die SAA genehmigt den Startup oder Restart erst nach Erfüllung der vorgeschriebenen Voraussetzungen. Das DOE-Regelwerk ist nicht auf gewöhnliche Industrieanlagen übertragbar. Es veranschaulicht jedoch das Governance-Prinzip, auf dem das hier vorgeschlagene Modell aufbaut: Fachliche Readiness-Prüfung und formale Freigabeverantwortung sind getrennte Funktionen.

Lehren aus dem Hoya-Ransomware-Angriff

Warum viele Krisenpläne in der Industrie scheitern

Was Unternehmen jetzt vorbereiten sollten

Unternehmen sollten die Restart Authority bereits vor einem Vorfall definieren. Dazu gehören eine namentlich oder funktional bestimmte Freigabeinstanz, Stellvertretungen, die Rolle des Restart Boards, technische und Safety-Kriterien, dokumentierte Baselines, zulässige degradierte Betriebszustände und klare Stop-Trigger. Übungen sollten nach der Meldung „Angriff eingedämmt“ weiterlaufen. Erst dann zeigt sich, ob die Organisation entscheiden kann, unter welchen Bedingungen Produktion wieder verantwortbar ist.

Aus meiner Erfahrung in Security Operations, Risikomanagement und Leitstellenumgebungen hängt die Qualität einer Entscheidung wesentlich davon ab, ob Zuständigkeit und Nachweis schon vor dem Ereignis miteinander verbunden wurden. Unter Zeitdruck entstehen sonst zwei gefährliche Extreme: Alle warten auf die Freigabe eines anderen, oder wirtschaftlicher Druck beschleunigt eine Entscheidung, deren technische Voraussetzungen noch nicht ausreichend geklärt sind.

Der sichere Neustart ist kein einzelner Knopf und keine rein technische Freigabe. Er ist eine dokumentierte Risikoentscheidung mit klarer Rollenverteilung. Das Restart Board prüft und bündelt die fachlichen Nachweise; die vorab benannte Restart Authority trägt die formale Freigabeverantwortung. Wer diese Rolle innehat, welche Nachweise erforderlich sind, welche Safety-Befunde den Start sperren und welche Stop-Trigger eine Freigabe wieder entziehen, gehört in denselben Plan wie Erkennung, Eindämmung und Wiederherstellung.

Über den Autor: Abdulla Saeed Alhebsi ist Autor und Forscher aus den Vereinigten Arabischen Emiraten. Seine Arbeitsschwerpunkte sind Security Operations, Risikomanagement, Führung, Krisenmanagement und Leitstellen. Er verbindet operative Sicherheitserfahrung mit Forschung zu Entscheidungsqualität, Resilienz und kritischer Infrastruktur.

IT/OT-Konvergenz

Sicherung der OT-Umgebung gegen Cyber-Bedrohungen

(ID:51014235)