aiMOOC

IT-Sicherheit und OT-Sicherheit – Schutzziele für technische Systeme bestimmen

QR-Code

Einleitung

IT-Sicherheit und OT-Sicherheit – Schutzziele für technische Systeme bestimmen

Kurzbeschreibung: Du bestimmst für technische Systeme die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit und begründest ihren Schutzbedarf. In der OT beachtest Du zusätzlich Auswirkungen auf Menschen und Maschinen.

Zielgruppe: Ausbildung in IT, Mechatronik, Automatisierung und verwandten Berufen. Dauer: etwa 55 Minuten plus Vertiefung. Voraussetzung: Grundkenntnisse von Computer und Steuerung.

Sicherheitsregel: Arbeite nur mit den erfundenen Angaben dieses Kurses und eigenen lokalen Dateien. Keine Tests an fremden Netzen, Produktivanlagen, Geräten, Zugangsdaten oder Kundendaten. OT-Änderungen dürfen ausschließlich Verantwortliche nach Freigabe und Sicherheitsprüfung durchführen. Externe Medien und LearningApps sind optional und können beim Aufruf Browserdaten an Drittanbieter übermitteln; nutze sie nur nach Zustimmung und übermittle keine Übungs- oder Personendaten.

Die CIA-Triade. Bild: Picturesqua, Wikimedia Commons, CC BY-SA 4.0.

Lernweg und Ausbildungsfall

Einheit	Zeit	Du kannst anschließend ...
1. Drei Schutzziele	8 Minuten	V, I und A unterscheiden
2. IT und OT	8 Minuten	Schutzfolgen im Anlagenumfeld erkennen
3. Schutzbedarf	10 Minuten	eine begründete Matrix erstellen
4. Maßnahmen	9 Minuten	Zielkonflikte sicher abwägen
5. Offline-Labor	20 Minuten	fiktive Fälle testen und Daten visualisieren

Durchgehender Ausbildungsfall: In der vollständig erfundenen Lernfabrik Nordstern verpackt eine simulierte Linie Kartons. Eine Rezeptdatei legt die Sollmenge je Karton fest. Ein Bedienbildschirm (HMI) zeigt Werte, eine SPS würde im echten Betrieb Signale an ein Förderband geben. Hier gibt es weder eine echte Anlage noch einen Steuerungsanschluss.

Fiktives Buero -- freigegebener Datenaustausch -- Produktionsplanung
                                                |
                                          Bedienbildschirm
                                                |
                                           SPS-Modell
                                                |
                                       Foerderband-Modell

Eigene schematische Darstellung; keine Netzkonfiguration und keine Anleitung für reale Anlagen.

Lerneinheit 1: Vertraulichkeit, Integrität, Verfügbarkeit

Ziel	Leitfrage	Fiktives Beispiel	Möglicher Schutz
Vertraulichkeit (V)	Wer darf etwas erfahren?	Eine unbefugte Person liest den internen Personalplan.	Rollen und Zugriffsrechte
Integrität (I)	Sind Daten und Funktionen korrekt?	Der Rezeptwert wird unbemerkt von 50 auf 55 verändert.	Freigabe, Vergleich mit geprüfter Referenz
Verfügbarkeit (A)	Funktioniert das System rechtzeitig?	Das Bedienbild ist während der vorgesehenen Schicht nicht erreichbar.	Wiederanlaufplanung, geprüfte Sicherungen

Merke: Die englischen Anfangsbuchstaben heißen CIA: Confidentiality, Integrity, Availability. Eine Störung kann mehrere Schutzziele gleichzeitig treffen.

Video: „Drei Schutzziele der Informationssicherheit“, Informationssicherheit ganz einfach. Beobachtungsauftrag: Finde zu jedem Ziel ein neues Ausbildungsbeispiel.

Basis-Check: Jemand liest eine gesperrte Datei, ohne sie zu verändern. V ist unmittelbar betroffen, weil eine unberechtigte Einsicht stattgefunden hat. Nicht schon deshalb I oder A: Eine Änderung oder ein Ausfall ist nicht beschrieben.

Lerneinheit 2: Was ändert sich bei OT?

IT verarbeitet etwa Dokumente, Nachrichten und Verwaltungsdaten. OT erfasst oder beeinflusst physische Prozesse, zum Beispiel mit Sensoren, Aktoren, SPS und SCADA. Beide brauchen V, I und A. In OT sind Betriebssicherheit (Safety), Verfügbarkeit und Integrität oft besonders kritisch. Die Priorität ist aber immer anhand des konkreten Systems zu begründen und keine starre Reihenfolge für jeden Fall.

Beispiel für SPS-Hardware. Bild: Bisgaard, Wikimedia Commons, CC BY-SA 3.0.

Vereinfachtes SCADA-Schema. Bild: HaPi, Wikimedia Commons, vom Urheber gemeinfrei freigegeben.

Frage	Büro-IT	OT der Lernfabrik
Was ist betroffen?	Fiktives Dokument	Rezeptwert oder Steuerungsfunktion
Typische Folge	Informationsabfluss oder Arbeitsunterbrechung	Ausschuss, Stillstand, mögliche Gefährdung
Was muss vor Änderungen geschehen?	Geregelte Freigabe und Tests	Zusätzlich Abstimmung mit Anlagenverantwortlichen und Safety-Prüfung

Video: „Operational Technology (OT) Security | Explained in 90 seconds“, mindsquare. Prüffrage: Warum darf eine Büro-IT-Maßnahme nicht ungeprüft auf eine Anlage übertragen werden?

Wichtig: Funktionale Sicherheit schützt vor Gefahren durch Fehlfunktionen. Informationssicherheit schützt unter anderem vor unbefugter Änderung. Beide müssen zusammen betrachtet werden. Im Zweifel hat der Schutz von Menschen Vorrang vor dem Weiterbetrieb.

Lerneinheit 3: Schutzbedarf bestimmen

Nutze im Übungsfall die Skala 1 = gering, 2 = mittel, 3 = hoch. Diese Zahlen sind didaktisch erfundene Beispielbewertungen und keine Messwerte oder amtlichen Einstufungen.

Fiktives Objekt	V	I	A	Begründung der Schwerpunktsetzung
Rezeptdatei	2	3	2	Falsche Sollmengen können fehlerhafte Kartons erzeugen.
SPS-Modell	1	3	3	Falsche Funktionen oder ein Ausfall stören den Prozess.
Personalplan	3	2	1	Unberechtigte Einsicht steht hier im Vordergrund.

Visualisierung der fiktiven Daten (mehr Blöcke = höherer Übungswert):

                 V     I     A
Rezeptdatei      ██    ███   ██
SPS-Modell       █     ███   ███
Personalplan     ███   ██    █
                 1–3 je Schutzziel

Drei Schritte: Erst das Objekt nennen, dann mögliche Folgen für jedes Schutzziel beschreiben, danach je Ziel einen Schutzbedarf mit Begründung festlegen. Ein hoher Einzelwert darf nicht durch Mittelwertbildung verschwinden. Die tatsächliche Schutzbedarfsfeststellung orientiert sich an dokumentierten Schadensszenarien.

Allgemeiner Aufbau eines SCADA-Systems. Bild: deramsey, Wikimedia Commons, CC BY-SA 4.0.

Anwendungsfrage: Warum erhält das SPS-Modell bei Integrität eine 3? Musterfeedback: Weil falsche Steuerungswerte selbst dann Schäden bewirken können, wenn das System technisch noch erreichbar ist. Die Bewertung beschreibt eine angenommene Folge im Ausbildungsfall.

Lerneinheit 4: Geeignete Maßnahmen und Zielkonflikte

Problem	Ziel	Geeignete geprüfte Reaktion
Unbefugte Einsicht	V	Rechtekonzept und getrennte Rollen
Falscher Rezeptwert	I	Plausibilitätsprüfung und freigegebene Version
Langer Ausfall	A	Wiederherstellungsplan und getestete Sicherung
Unkontrollierter Übergang von Büro zu Anlage	I, A, V	Netzsegmentierung und abgestimmte Übergaberegeln

Beispiel einer VLAN-Segmentierung, keine fertige OT-Sicherheitsarchitektur. Bild: Luca Ghio, Wikimedia Commons, CC BY-SA 4.0.

Zielkonflikt: Ein ungeplanter Neustart könnte eine IT-Störung beheben, in OT aber einen Prozess unterbrechen. Deshalb niemals ungeprüft neustarten oder Updates einspielen. Vorher Zuständigkeiten, Zeitfenster, Wiederanlauf und Safety klären.

Video: „Operational Technology: Wie stärkt man Industrieumgebungen und Kritische Infrastrukturen?“, SySS. Das Video dient dem Verständnis; Tests im Kurs bleiben ausschließlich lokal.

Lerneinheit 5: Zwei isolierte Offline-Labore

Voraussetzung: Python 3 auf Deinem eigenen Ausbildungsrechner. Speichere jeden Code in der genannten lokalen Datei und starte ihn im Terminal. Die Programme benötigen keine zusätzlichen Pakete, keinen Netzwerkzugang, keine Berechtigungen und keine angeschlossene Hardware. Daten und Bewertungen sind vollständig erfunden.

Labor A: Schutzbedarf visualisieren und Fälle lösen

Speichere den folgenden Code als ot_labor.py und starte python3 ot_labor.py (je nach Einrichtung python ot_labor.py). Antworte mit V, I oder A. Mit H und HH bekommst Du gestufte Hinweise. Alle Ausgaben entstehen lokal.

# Reine lokale Simulation; keine Netzwerk- oder Hardwarezugriffe.
werte = {
    "Rezeptdatei": {"V": 2, "I": 3, "A": 2},
    "SPS-Modell": {"V": 1, "I": 3, "A": 3},
    "Personalplan": {"V": 3, "I": 2, "A": 1},
}
faelle = [
    ("Eine fiktive Rezeptdatei wird unbemerkt verändert.", "I",
     "Unbemerkte Änderungen gefährden korrekte Sollwerte.",
     "Geht es um Lesen, Ändern oder Nichtnutzen?",
     "Denke an die Richtigkeit der Werte."),
    ("Das simulierte Bedienbild fällt 20 Minuten aus.", "A",
     "Die benötigte Funktion ist nicht rechtzeitig nutzbar.",
     "Liegt ein Ausfall oder eine Preisgabe vor?",
     "Entscheidend ist die rechtzeitige Nutzbarkeit."),
    ("Jemand liest den fiktiven Personalplan unberechtigt.", "V",
     "Unbefugtes Lesen gefährdet Vertraulichkeit.",
     "Wer darf die Information überhaupt sehen?",
     "Es geht um unberechtigte Einsicht."),
]
print("FIKTIVER SCHUTZBEDARF: 1=gering, 2=mittel, 3=hoch")
for name, ziele in werte.items():
    print(name)
    for ziel in ("V", "I", "A"):
        zahl = ziele[ziel]
        print(" ", ziel, "█" * zahl, zahl)
print("\nWähle V, I oder A; H und HH geben Hinweise.")
for fall, richtig, grund, hilfe1, hilfe2 in faelle:
    print("\nFall:", fall)
    while True:
        antwort = input("Deine Wahl: ").strip().upper()
        if antwort == "H":
            print("Hilfe 1:", hilfe1)
        elif antwort == "HH":
            print("Hilfe 2:", hilfe2)
        elif antwort in ("V", "I", "A"):
            if antwort == richtig:
                print("Richtig:", grund)
            else:
                print("Noch nicht richtig. Schwerpunkt:", richtig)
                print("Begründung:", grund)
            break
        else:
            print("Gib V, I, A, H oder HH ein.")
print("\nFertig: keine Verbindung zu einer Anlage.")

Begründetes Feedback: Die Fälle benennen jeweils das unmittelbar verletzte Hauptziel. Im realen Ereignis können mehrere Ziele betroffen sein. Die Balken sind keine Messungen, sondern eine Darstellung der angenommenen Schutzbedarfe.

Labor B: Integrität einer fiktiven Rezeptdatei prüfen

Speichere den Code als integritaet_demo.py und starte ihn ebenfalls lokal. Hier verändert sich ausschließlich eine Zeichenkette im Speicher.

import hashlib

original = "Kartonmenge=50;Linie=Demo"
veraendert = "Kartonmenge=55;Linie=Demo"

def pruefsumme(text):
    return hashlib.sha256(text.encode("utf-8")).hexdigest()

referenz = pruefsumme(original)
print("Referenz:", referenz)
for name, text in [("Original", original),
                   ("Geändert", veraendert)]:
    passt = (pruefsumme(text) == referenz)
    print(name, "unverändert:", passt)

Erwartung: Original = True, geändert = False. Grenze: Eine Prüfsumme erkennt Änderungen nur im Vergleich mit einer vertrauenswürdigen Referenz. Ohne zusätzlich geschützte Referenz ist sie kein Nachweis für die Identität des Absenders und verhindert keine Manipulation.

Zusatzexperiment: Ändere nur die fiktive Zahl 55 auf 51. Beobachte, warum sich das Ergebnis nicht ändert: Auch 51 weicht von 50 ab.

Labor-Regeln und Hilfen

Stufe	Wenn Du nicht weiterkommst ...
Hilfe 1 – Erkennen	Frage: Wird etwas gelesen, verändert oder zeitweise unbenutzbar?
Hilfe 2 – Zuordnen	Lesen ohne Berechtigung = V; falscher Wert = I; Ausfall = A.
Hilfe 3 – Begründen	Nenne die konkrete Folge für die Lernfabrik und erst dann die Bewertung.

Isolation prüfen: In beiden Programmen gibt es weder Netzwerkbibliotheken noch Geräteadressen, Steuerbefehle oder den Zugriff auf reale Anlagen. Sie verwenden ausschließlich die im Quelltext vorhandenen Testwerte.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Welches Schutzziel betrifft unbefugtes Lesen einer Datei unmittelbar? (Vertraulichkeit) (!Verfügbarkeit) (!Integrität) (!Ausfallsicherheit)

Welches Ziel betrifft eine unbemerkte Änderung am Rezeptwert? (Integrität) (!Vertraulichkeit) (!Verfügbarkeit) (!Datensparsamkeit)

Welches Ziel ist beim Ausfall eines benötigten Bedienbilds unmittelbar betroffen? (Verfügbarkeit) (!Vertraulichkeit) (!Pseudonymisierung) (!Geheimhaltung)

Was unterscheidet OT in diesem Ausbildungsfall besonders von Büro-IT? (OT wirkt auf physische Prozesse) (!OT verarbeitet niemals Daten) (!OT benötigt keine Berechtigungen) (!OT kann nicht ausfallen)

Welche Aussage über die Priorität von Schutzzielen ist fachlich richtig? (Sie hängt von System und Schadensfolgen ab) (!Sie ist für alle Systeme gleich) (!Vertraulichkeit spielt in OT nie eine Rolle) (!Verfügbarkeit spielt in IT nie eine Rolle)

Was ist eine passende Maßnahme gegen unberechtigte Einsicht? (Rollenbasierte Zugriffsrechte) (!Ungeprüfter Anlagenneustart) (!Weglassen jeder Sicherung) (!Ausschalten sämtlicher Protokolle)

Was zeigt ein Vergleich mit einer vertrauenswürdigen Prüfsumme? (Ob ein Datenstand vom Referenzstand abweicht) (!Wer eine Datei gelesen hat) (!Ob eine Anlage gefahrlos starten kann) (!Ob jede Person berechtigt ist)

Warum darf ein OT-System nicht ungeprüft neu gestartet werden? (Weil physische Prozesse und Safety betroffen sein können) (!Weil OT keine Software nutzt) (!Weil Sicherheitsregeln nur für Bürorechner gelten) (!Weil ein Neustart immer alle Probleme löst)

Was bedeutet die Zahl drei in der Übungsmatrix? (Hoher angenommener Schutzbedarf) (!Drei dokumentierte Angriffe) (!Drei Minuten Ausfallzeit) (!Drei vorhandene Sicherungen)

Wo dürfen die praktischen Kursbeispiele ausgeführt werden? (Nur lokal mit fiktiven Daten) (!In beliebigen fremden Netzen) (!An laufenden Produktionsanlagen) (!Mit echten Kundendaten)

Memory

Vertraulichkeit	Schutz vor unbefugtem Lesen
Integrität	Schutz vor unbemerkter Veränderung
Verfügbarkeit	Nutzbarkeit zur benötigten Zeit
SPS	Programmierbare Steuerung
HMI	Bedienoberfläche einer Anlage
Prüfsumme	Vergleichswert für Datenstände

Drag and Drop

Ordne die richtigen Begriffe zu.	Ausbildungsfall
Unbefugte Einsicht	Personalplan wird gelesen
Datenveränderung	Rezeptmenge wird verfälscht
Funktionsausfall	Bedienbild ist nicht erreichbar
Zugriffsregelung	Rollen begrenzen die Einsicht
Wiederanlaufplanung	Geprüfte Rückkehr nach einem Ausfall

Kreuzworträtsel

Vertraulichkeit	Welches Schutzziel verhindert eine unbefugte Preisgabe?
Integritaet	Welches Schutzziel schützt vor unbemerkter Veränderung?
Verfuegbarkeit	Welches Schutzziel bezeichnet die rechtzeitige Nutzbarkeit?
Steuerung	Wie heißt ein System zur Beeinflussung technischer Abläufe?
Sensor	Welches Bauteil erfasst eine physische Größe?
Backup	Wie heißt eine Sicherungskopie auf Englisch?

LearningApps

Dies ist eine Themensuche; einzelne Treffer müssen fachlich und rechtlich geprüft werden.

Lückentext

Das Schutzziel gegen unbefugtes Lesen heißt

.

Die Unversehrtheit von Rezeptdaten betrifft ihre

.

Die rechtzeitige Nutzbarkeit eines Dienstes heißt

.

Die englische Abkürzung der drei Grundwerte lautet

.

Eine speicherprogrammierbare Steuerung wird mit

abgekürzt.

Die Bedienoberfläche einer Anlage heißt häufig

.

In der OT müssen mögliche Folgen für die

beachtet werden.

Eine nicht bemerkte Änderung des Sollwerts verletzt zunächst die

.

Ein nicht erreichbares Bedienbild gefährdet die

.

Gegen unbefugte Einsicht helfen geeignete

.

Zum Erkennen geänderter Inhalte dient ein Vergleich mit einer vertrauenswürdigen

.

Die Zahlen der Übungsmatrix sind ausdrücklich

.

Ein geplanter Anlagenneustart braucht eine fachliche

.

Die Python-Labore laufen ausschließlich

.

Offene Aufgaben

Leicht – Basis

Karten-Set: Gestalte drei Symbolkarten zu V, I und A mit je einem erfundenen Beispiel.
Rollenspiel: Stelle in einer Skizze dar, wer einen fiktiven Schichtplan lesen darf.
Fehlerbild: Zeichne Rezeptwert 50 und einen unbemerkt veränderten Wert 55; erkläre die mögliche Folge.
Zeitlinie: Zeichne eine Schicht mit einer angenommenen Unterbrechung und beschreibe die Wirkung.

Standard – Anwendung

Bewertungsmatrix: Bewerte das fiktive Bedienbild getrennt nach V, I und A mit 1 bis 3 und je einem Grund.
Komponentenplakat: Erstelle eine beschriftete Übersicht von Sensor, SPS, Bedienbild und Förderbandmodell.
Lokaler Vergleich: Führe Labor B mit zwei anderen erfundenen Zahlen aus und dokumentiere die Ergebnisse ohne personenbezogene Daten.
Maßnahmenkarten: Ordne jedem der drei Störfälle eine geeignete Schutzmaßnahme und eine Nebenwirkung zu.

Schwer – Transfer

Zielkonflikt: Verfasse eine Entscheidungsvorlage, warum ein ungeprüfter Neustart nicht freigegeben werden darf.
Zonenmodell: Entwirf auf Papier eine Trennung von Büro-IT und Produktionsmodell mit nur ausdrücklich freigegebenen Übergaben.
Priorisierung: Ändere die erfundenen Folgen so, dass Vertraulichkeit bei einer OT-Komponente am wichtigsten wird; begründe Deine Neubewertung.
Ausbildungsprojekt: Produziere ein dreiminütiges Erklärvideo mit erfundenen Beispielen, eigener Grafik und dokumentierten Medienlizenzen.

Begründetes Feedback zu den Aufgaben

Niveau	Daran erkennst Du eine gute Lösung	Typischer Denkfehler und Rückmeldung
Basis	Ziel, Beispiel und Folge stimmen überein.	„Jeder Fehler ist ein Ausfall“: Eine falsche Rezeptzahl kann trotz erreichbarem System die Integrität verletzen.
Anwendung	Du bewertest V, I und A getrennt und nennst eine plausible Maßnahme.	„SPS immer dreimal hoch“: Schutzbedarf hängt vom konkret beschriebenen Schaden ab.
Transfer	Du erklärst Folgen, Zuständigkeiten, Safety und Nebenwirkungen.	„Neustart sofort“: Ohne Freigabe kann die Maßnahme die Betriebssicherheit gefährden.

Selbstkontrolle: Kann jemand anders Deine Entscheidung anhand der beschriebenen Folgen nachvollziehen? Falls nicht, ergänze ein konkretes Weil ....

Lernkontrolle

Fallwechsel: Eine fiktive Rezeptdatei ist vertraulich, aber eine falsche Menge kann mehr Schaden auslösen. Begründe die Priorisierung und eine verbleibende Unsicherheit.
Sicherheitsentscheidung: Eine Simulation meldet einen unplausiblen Sensorwert. Erkläre, warum eine Prüfung vor dem Weiterbetrieb nötig ist, ohne reale Steuerungsmaßnahmen vorzuschlagen.
Wiederanlauf: Erstelle einen freigabeorientierten Wiederanlaufplan auf Papier und erläutere den Unterschied zwischen Datenverfügbarkeit und sicherem Betrieb.
Nachweisgrenze: Erläutere, warum ein unveränderter Hashwert allein nicht beweist, dass ein Absender berechtigt war.
Abwägung: Vergleiche eine unkontrollierte Direktverbindung und einen freigegebenen Datenaustausch zwischen IT und OT hinsichtlich V, I, A und Safety.
Transfer: Übertrage das Bewertungsverfahren auf eine fiktive Wasserpumpe, ohne eine reale Anlage zu verwenden.

Lernnachweis

Für Deinen Lernnachweis gibst Du nur selbst erstellte und vollständig fiktive Unterlagen ab:

Ein übersichtliches Blatt mit den Definitionen von V, I und A samt Beispielen.
Eine dreispaltige Schutzbedarfsmatrix mit nachvollziehbaren Schadensbegründungen.
Ein ausgewählter Zielkonflikt zwischen IT-Maßnahme und OT-Betriebssicherheit.
Die lokalen Ausgaben aus Labor A und B sowie eine Erklärung ihrer Grenzen.
Eine begründete Schutzmaßnahme pro Schutzziel und eine Reflexion zur sicheren Testumgebung.

Bewertungsmaßstab: Korrekte Zuordnung, plausible Folgen, begründete Priorität, beachtete Safety, ausschließlich fiktive Daten. Nicht einzureichen sind Zugangsdaten, echte Kundeninformationen, Anlagenprotokolle oder Netzwerkaufzeichnungen.

OERs zum Thema

Vertiefende Fachquellen:

BSI-Standard 200-2: IT-Grundschutz und Schutzbedarfsfeststellung.
BSI: ICS-Security-Kompendium: Besonderheiten industrieller Systeme.
NIST SP 800-82 Rev. 3: Operational Technology, Safety und Sicherheitsanforderungen.
DKE zur IEC 62443: IT, OT und Cybersicherheit der Automatisierung.

Medienrechte: Die fünf eingebetteten Wikimedia-Commons-Bilder sind oben jeweils mit Urheber, konkreter Dateiseite und Lizenz bzw. Gemeinfreiheit ausgewiesen. Urhebernennung und Share-Alike-Bedingungen gelten bei Wiederverwendung weiter. Die drei YouTube-Videos sind verlinkt beziehungsweise im offiziellen Player eingebettet; daraus folgt keine offene Nachnutzungslizenz. Sie dürfen nicht ohne gesonderte Rechteprüfung heruntergeladen, geschnitten oder als eigenes OER weiterverbreitet werden. Die Zahlen, die Fallbeschreibung und die Textgrafiken dieses Kurses sind eigens erzeugte, fiktive Lehrbeispiele.