Cybersecurity in der Fabrikautomation: Warum Softwarehersteller und Produktionsbetreiber gemeinsam handeln müssen
In modernen Produktionsumgebungen sind IT und OT eng verbunden. Maschinen, Sensoren und Software kommunizieren in Echtzeit, Datenströme steuern ganze Fertigungslinien und ein ungeplanter Stillstand kann binnen Minuten hohe Kosten verursachen.
Doch während der Fokus lange auf Verfügbarkeit und Performance lag, wächst ein anderer Risikofaktor stetig: die Sicherheit der Systeme selbst. Cyberangriffe auf industrielle Anlagen sind keine theoretische Bedrohung mehr, sondern Teil des Alltags. Laut IBM sind die durchschnittlichen Kosten eines Datenlecks in Deutschland zwar gesunken, belaufen sich aber immer noch auf 3,87 Millionen Euro.¹
Cybersecurity ist damit längst nicht mehr nur ein Thema für die IT-Abteilung. Sie betrifft die gesamte industrielle Wertschöpfung, von der Steuerung einer Produktionslinie bis zur Softwareentwicklung im Maschinenbau. Und sie verlangt etwas, das in der Praxis oft fehlt: eine enge und vertrauensvolle Zusammenarbeit zwischen Herstellern und Betreibern.
Der regulatorische Rahmen: Sicherheit bekommt Struktur
Die europäische Gesetzgebung zieht die Zügel spürbar an. Mit NIS-2 (Network and Information Security Directive) und dem Cyber Resilience Act (CRA) werden erstmals klare Pflichten für Softwarehersteller, Integratoren und Betreiber definiert. Ziel ist es, Sicherheitslücken nicht erst im Feld, sondern schon im Entwicklungsprozess zu schließen.
Für die Industrie liefert zudem die DIN EN IEC 62443 den passenden Rahmen. Sie beschreibt, wie industrielle Automatisierungs- und Steuerungssysteme systematisch abgesichert werden können – von der Risikoanalyse über die IT- und Softwarearchitektur bis zur Wartung.
Alle Regularien vermitteln die gleiche Botschaft: Sicherheit ist kein Add-on, sondern ein Gesamtkonzept. Wer Software oder Maschinen entwickelt, muss Cybersecurity mitdenken und wer sie betreibt, muss sie aktiv leben.
Die technische Realität: Alte Systeme, neue Gefahren
Viele Produktionsumgebungen bestehen aus neuen und alten Softwarelösungen. Vor allem Legacy-Systeme bilden oft das Rückgrat der Fertigung. Sie sind robust, vertraut, aber auch schwer wartbar. Obwohl ihre Isolation auf den ersten Blick Sicherheit verspricht, steigt das Sicherheitsrisiko, wenn sie in eine vernetzte Produktion eingebunden werden. Sobald Datenflüsse über Netzwerke, Cloud-Schnittstellen oder Fernwartung laufen, entstehen Angriffsvektoren. Angriffsvektoren sind Wege und Methoden, die Angreifende nutzen können, um in Systeme und Netzwerke einzudringen.
Ebenfalls weit verbreitet sind Eigenentwicklungen, die maßgeschneiderte Funktionen bieten, aber oft unzureichend dokumentiert, schwer wartbar und selten sicherheitstechnisch geprüft sind. Fehlende Patch-Prozesse oder veraltete Frameworks können zu erheblichen Sicherheitslücken führen.
Ein zentrales Missverständnis bleibt die Priorisierung der Verfügbarkeit über Sicherheit. Ein System, das aus Angst vor Stillstand nicht aktualisiert wird, gefährdet langfristig die gesamte Produktionssicherheit. Wie es treffend heißt: Sicherheit kostet weniger als ein einziger erfolgreicher Angriff.
Sicherheit als Prozess: Vom Konzept bis zum laufenden System
Produktionsbetreiber tragen Verantwortung für den sicheren Betrieb ihrer Systeme. Dazu gehören organisatorische, technische und personelle Maßnahmen – von regelmäßigen Updates und Patches über Netzwerksegmentierung bis hin zu Disaster-Recovery-Strategien. Besonders wichtig ist eine kontinuierliche Risikobewertung, sobald neue Software oder Maschinen integriert werden.
Ebenso zentral ist die Sensibilisierung der Mitarbeitenden, denn menschliches Fehlverhalten bleibt einer der häufigsten Gründe für Sicherheitsvorfälle. Schulungen und klare Prozesse schaffen hier ein solides Fundament gegen mögliche Bedrohungslagen.
Sicherheit aus Entwicklersicht bei der Kontron AIS
Wir verstehen Cybersecurity als durchgängigen Bestandteil unserer Produktentwicklung im Bereich Fabrikautomation. Ob FabEagle®LC, FabEagle®MES oder FabEagle®Connect – jedes dieser Softwareprodukte folgt klar definierten Sicherheitsprozessen, die bereits in der Entwicklungsphase beginnen.
So wird der Quellcode in einem geschützten TFS-Repository verwaltet, was Manipulationen verhindert. Die Entwicklung erfolgt zudem in einem agilen Scrum-Prozess mit klarer Rollenverteilung und regelmäßigen Reviews, was die Sicherheit durch definierte Qualitätskontrollen erhöht. Eine Software Bill of Materials (SBOM) ermöglicht zusätzlich vollständige Transparenz über eingesetzte Bibliotheken und externe Komponenten, während ein Dependency Track automatisch auf neue Schwachstellen hinweist.
Durch die Nutzung einer automatisierten Build-Pipeline inklusive Unittests werden Releases reproduzierbar und sicher erstellt. Ergänzend stellen automatisierte Tests und das Vier-Augen-Prinzip bei Codefreigaben sicher, dass Fehler frühzeitig erkannt werden. Die Codequalität wird zudem für hohe Sicherheits- und Qualitätsstandards kontinuierlich mit SonarQube, einer Plattform zur statischen Analyse und Bewertung der technischen Qualität von Quellcode, überwacht.
Der Fokus aller Aktivitäten liegt dabei nicht nur auf der technischen Absicherung, sondern auf auch auf der Verlässlichkeit der Software im laufenden Betrieb. Sicherheitsfunktionen sollen Anwenderinnen und Anwender unterstützen – nicht behindern.
Für die stetige Verbesserung der Datensicherheit spielt die enge Zusammenarbeit mit Kunden eine zentrale Rolle. Rückmeldungen aus der Praxis fließen direkt in die Weiterentwicklung unserer Software ein. So entstehen Sicherheitsmechanismen, die nicht theoretisch, sondern praxisorientiert sind – von sicheren Authentifizierungsverfahren bis hin zu robusten Update-Prozessen im Brownfield.
Gemeinsame Verantwortung als Zukunftsmodell
Cybersecurity ist kein statischer Zustand, sondern ein fortlaufender Prozess. Hersteller, Integratoren und Betreiber müssen Informationen, Erfahrungen und Risiken aktiv austauschen. Nur durch diese Zusammenarbeit entlang der gesamten Lieferkette kann ein belastbares Sicherheitsniveau erreicht werden.
Wir verstehen regulatorische Anforderungen wie NIS-2 oder der CRA dabei nicht als Belastung, sondern als Chance, Prozesse und Softwareprodukte zu professionalisieren und langfristig widerstandsfähiger zu werden. Denn Datensicherheit in der Industrie beginnt nicht im Rechenzentrum und endet nicht an der Produktionshalle. Sie entsteht dort, wo Softwareentwicklung, Maschinenbau und Betriebssicherheit aufeinander abgestimmt werden. Nur wenn Hersteller und Betreiber gemeinsam Verantwortung übernehmen, kann aus technischer Sicherheit betriebliche Stabilität werden.
Sie suchen sichere Software für Ihre Produktion? Ich helfe Ihnen gern weiter!
