Kompromittierung industrieller Steuerung

Die Bedrohung

Eine kompromittierte Engineering-Workstation öffnet den Weg ins Steuernetz. Sollwerte driften, ein Sicherheitssystem löst aus, und das Werk steht vor einer echten Personensicherheits-Entscheidung, nicht nur einer Datenfrage.

Zentrale Injects

• 01PLC-Heartbeat auf einer kritischen Linie verloren; Verriegelung löst aus.
• 02Betrieb will weiterlaufen; Security will isolieren.
• 03Sensorwerte wirken manipuliert: Sind sie vertrauenswürdig?
• 04Die Aufsicht fragt, ob die öffentliche Sicherheit gefährdet ist.

Was bewertet wird

• Safety-First-Entscheidungen unter Angriff
• Klare IT/OT-Zuständigkeit & Eskalation
• Vertrauen in Telemetrie & manuelle Rückfallebene
• Kommunikation zur öffentlichen Sicherheit

Übungsziele

• Binnen 45 Minuten eine dokumentierte Safe-State-Entscheidung treffen (weiterfahren, drosseln oder abfahren), mit ausdrücklichem Vorrang der Anlagensicherheit vor Verfügbarkeit.
• Den Konflikt IT-Security gegen Betrieb über eine klar verantwortliche Instanz auflösen statt auszusitzen.
• Bewerten, welcher Telemetrie noch zu trauen ist, und betroffene Linien wo nötig auf Hand- bzw. Lokalbetrieb umstellen.
• Behörden-Briefing (KRITIS-/NIS2-Meldeweg) und eine Aussage zur öffentlichen Sicherheit vor Übungsende bereit haben.

Rollen am Tisch

• ●Krisenstabsleitung · Hält Safety, Security und Betrieb in einer Entscheidungsschleife; führt Protokoll und Uhr.
• ●IT / SOC · Verfolgt den Pfad von der Engineering-Workstation ins Steuernetz; sucht Persistenz, ohne den Betrieb zu brechen.
• ●OT-Engineering · Weiß, was PLCs, Verriegelungen und das Sicherheitssystem wirklich tun, und was Handbetrieb tatsächlich bedeutet.
• ●Kommunikation · Formulierungen zur öffentlichen Sicherheit, Information der Belegschaft, Linie zu Presse und Anwohnern.
• ●Recht / Regulatorik · KRITIS-/NIS2-Meldeweg, Haftung der Wiederanlauf-Entscheidung, Beweissicherung.
• ●Werksleitung (Geschäftsführung) · Trägt die Fahr-/Stopp-Entscheidung und ihre Produktionskosten; das Safety-Veto beendet jede Debatte.

Diskussionsfragen

• 01Das Sicherheitssystem hat einmal ausgelöst. Vertrauen Sie darauf, dass es wieder auslöst, und würden Sie ein Leben darauf wetten?
• 02Der Betrieb will wieder anfahren; Security kann Persistenz im Steuernetz nicht ausschließen. Wer gewinnt, und auf welcher Evidenz?
• 03Welchen Sensorwerten trauen Sie noch, wenn Manipulation im Raum steht, und wie sieht Ihre manuelle Rückfallebene konkret aus?
• 04Die Aufsicht fragt, ob die öffentliche Sicherheit gefährdet ist. Was sagen Sie, wenn die ehrliche Antwort „Wir wissen es noch nicht“ lautet?
• 05Engineering-Workstations überbrücken IT und OT. Wem gehören sie heute, und wem sollten sie gehören?
• 06Wenn Sie das Werksnetz isolieren: Was fällt unbemerkt mit aus, Verriegelungen, Historian, Fernwartung?

Empfohlener Ablauf

• 00:00–00:25PLC-Heartbeat verloren, Verriegelung ausgelöst: erstes Lagebild
• 00:25–01:05Safe-State-Entscheidung: fahren, drosseln oder abfahren, Safety hat das Veto
• 01:05–02:00Telemetrie-Vertrauen, Handbetrieb, Persistenzsuche gegen Betriebsdruck
• 02:00–02:40Behörden- und Sicherheitskommunikation (KRITIS-/NIS2-Meldeweg)
• 02:40–03:00Hot Wash: Wiederanlauf-Voraussetzungen und Entscheidungsrückschau