Technischen Systemzugang nicht automatisch als Steuerfreigabe behandeln
Fernwartung benötigt einen sicheren Zugang, aber Zugangsfreigabe und Bedienfreigabe sind unterschiedliche Entscheidungen. Ein Herstellerkonto kann technisch authentisiert und für ein definiertes Zeitfenster aktiviert sein, ohne dass jede Änderung am laufenden Betrieb zulässig ist. BSI-Grundschutz beschreibt Fernwartung im industriellen Umfeld als eigenen Schutzgegenstand; für Gebäudeautomation werden abgesicherte Zugriffe und geeignete Zugriffsschutzmaßnahmen gefordert. IEC 62443-3-3 ordnet Autorisierung und rollenbezogene Nutzung kontrollierter Systeme als zentrale Security-Anforderungen ein. Die Betriebsorganisation ergänzt diese Security-Sicht um die fachliche Steuerhoheit: Welche Anlage darf betrachtet, parametriert, geschaltet oder neu gestartet werden und wer bestätigt die betriebliche Verträglichkeit?
Fernzugriffe kontrolliert freigeben und überwachen
Zweck, Umfang und erlaubte Bedienhandlungen vor Sitzungsbeginn festlegen
Eine Fernwartungsfreigabe sollte mindestens Zielsystem, Anlass, Person oder Organisation, Zeitfenster und zulässige Tätigkeiten nennen. Bei kritischen Systemen kommen erwartete Betriebswirkungen, notwendige Vorbedingungen, Rückfallweg und interne Kontaktfunktion hinzu. Dauerhafte, pauschale „Hersteller darf alles“-Zugänge schwächen sowohl Security als auch Betreibersteuerung. Ebenso ungeeignet ist ein Verfahren, bei dem zwar VPN und MFA sauber geregelt sind, aber niemand fachlich beurteilt, ob der geplante Eingriff gerade zulässig ist. Bestehende Fachprozesse zu OT-Sicherheit und Netzwerkanforderungen behandeln Zugangsschutz und Segmentierung; ergänzt wird nur die Hoheitsentscheidung über aktive Steuerhandlungen.
|
| Zugang | Person, System, Zeitfenster | dauerhaft offener Herstellerzugang |
| Tätigkeit | Diagnose/Änderung/Neustart konkret | pauschal „Support“ |
| Betriebswirkung | erwartete Auswirkung und Grenze | nur IT-Sicherheitsfreigabe |
| Aufsicht | interne Rolle nach Kritikalität | bloße Kontaktliste |
| Abschluss | Änderungen, Tests, Rechte, Rückgabe | nur Session schließen |
Interne technische Ansprechfähigkeit an Kritikalität und Eingriffsart koppeln
Nicht jede Remote-Sitzung erfordert eine permanente zweite Person. Bei kritischen Anlagen oder Änderungen mit unmittelbarer Betriebswirkung kann jedoch eine interne fachliche Begleitung sinnvoll oder aufgrund interner Vorgaben erforderlich sein. Die aufsichtführende Rolle muss die Anlage, den freigegebenen Umfang und die Abbruchkriterien kennen und tatsächlich eingreifen können. Reine telefonische Erreichbarkeit ohne System- oder Anlagenkenntnis erfüllt diesen Zweck nicht. Die Entscheidung über den Aufsichtsgrad sollte risikobasiert erfolgen und im Betriebskonzept festgelegt sein; daraus wird keine pauschale gesetzliche Pflicht zur Dauerbeaufsichtigung jeder Fernwartung abgeleitet.
Unerwartete Wirkung sofort in einen sicheren Entscheidungszustand überführen
Treten während der Fernwartung unerwartete Schaltungen, Kommunikationsverluste, Alarmserien oder Abweichungen vom vereinbarten Umfang auf, muss die Sitzung kontrolliert gestoppt oder auf Beobachtung begrenzt werden können. Maßgeblich sind vorher definierte Abbruchkriterien. Der externe Zugriff wird beendet oder technisch eingeschränkt, sofern dadurch keine zusätzliche Gefährdung entsteht; parallel übernimmt die zuständige interne Rolle die weitere Betriebsentscheidung. Bei erforderlicher Störungsbearbeitung greifen anschließend die vorhandenen Incident-, Blindbetriebs- oder Ausnahmeprozesse. Die Hoheitsregel verhindert, dass in einer unklaren Lage externe und interne Bediener gleichzeitig gegensätzliche Maßnahmen auslösen.
Sitzung, Änderungen und Betriebszustand gemeinsam schließen
Eine Fernwartung endet nicht mit dem Schließen des VPN-Fensters. Zu bestätigen sind ausgeführte Änderungen, verbleibende offene Punkte, Systemzustand, aktive Overrides, Alarmstatus und gegebenenfalls neu gesetzte Benutzer- oder Konfigurationsrechte. Relevante Änderungen werden in den bestehenden Change- und Konfigurationsprozess übergeben. Temporäre Zugänge sind zu entziehen oder automatisch auslaufen zu lassen. Erst wenn technische Funktion und organisatorische Steuerhoheit wieder eindeutig beim Regelbetrieb liegen, ist der Vorgang abgeschlossen. Protokolle dienen als Nachweis, dürfen aber nicht mit einer fachlichen Funktionsfreigabe verwechselt werden.
