Anlagenrealität und systemische Randbedingungen
Die betrachteten Systemlandschaften sind typisch für Wasserwirtschaft, Energieversorgung und Prozessindustrie. Mehrere räumlich verteilte Anlagen werden über ein zentrales Leitsystem geführt. Pumpwerke, Aufbereitungsstufen und Nebenanlagen arbeiten automatisiert und sind über eigene Netze verbunden. Prozessdaten werden historisiert, Wartungszugänge existieren oft über lange Zeiträume hinweg. Unterschiedliche Automatisierungsstände und Lebenszyklen prägen das Gesamtbild.
Aus Sicht des Betriebs steht die Verfügbarkeit im Vordergrund. Eingriffe in laufende Prozesse sind zu vermeiden, Änderungen erfolgen geplant und selten. Aus Sicht der IT-Sicherheit liegt der Fokus auf Zugriffen, Verbindungen und Protokollen. Beide Perspektiven sind fachlich korrekt, greifen jedoch zu kurz, wenn sie getrennt bleiben. Netzwerkalarme entstehen ohne Bezug zum Prozess. Prozessstörungen werden als rein technische Effekte behandelt. Die Folge ist hoher Analyseaufwand bei gleichzeitig geringer Aussagekraft.
In der Praxis zeigt sich dieses Spannungsfeld deutlich. Ein Pumpwerk startet außerhalb der üblichen Betriebszeiten mit erhöhter Leistung. Es liegt kein hydraulischer Bedarf vor, keine klassische Störmeldung wird ausgelöst. Technische Schutzmechanismen verhindern einen Schaden. Erst in der Rückschau fällt auf, dass zuvor ein externer Zugriff über einen alten Wartungszugang erfolgt ist. Jede Beobachtung für sich ist erklärbar. In der Gesamtschau entsteht jedoch ein sicherheitsrelevanter Kontext, der ohne Verknüpfung der Informationen nicht erkennbar wäre.
Korrelation von Prozess und Sicherheit
Ein wirksamer Ansatz zur Bewertung solcher Situationen setzt nicht auf zusätzliche Einzelalarme, sondern auf deren Einordnung. Sicherheit wird als Ergebnis mehrerer zusammenwirkender Informationsquellen verstanden. Das Leitsystem liefert den aktuellen Betriebszustand. Historische Daten beschreiben das normale Verhalten der Anlage. Passives Netzwerkmonitoring erfasst Kommunikationsmuster und Zugriffe, ohne den Betrieb zu beeinflussen. Angriffserkennungssysteme identifizieren bekannte technische Auffälligkeiten. Entscheidend ist die zeitliche und inhaltliche Zusammenführung dieser Daten.
Grundvoraussetzung ist eine konsistente Zeitbasis. Prozesswerte, Steuerbefehle, Zustandswechsel, Netzwerkverbindungen und Authentifizierungsereignisse müssen auf einer gemeinsamen Zeitleiste liegen. Ohne diese Synchronisation bleiben Zusammenhänge unscharf. Erst wenn Ursache und Wirkung zeitlich sauber zueinander passen, entsteht eine belastbare Bewertung.
Statische Grenzwerte reichen dafür nicht aus. Industrielle Prozesse sind zustandsabhängig. Betriebsarten wechseln, Lastfälle verändern sich zyklisch, Wartungszustände unterscheiden sich deutlich vom Regelbetrieb. Sicherheitsrelevante Eingriffe orientieren sich zunehmend an diesen legitimen Abläufen. Eine Bewertung muss daher relativ zum aktuellen Zustand erfolgen.
Hier setzen algorithmische Verfahren an. Der Normalbetrieb wird auf Basis historischer Prozessdaten modelliert und nach Betriebszuständen getrennt betrachtet. Sonderfälle werden bewusst ausgeschlossen. Aktuelle Ereignisse werden fortlaufend gegen diese Referenz bewertet. Zeitliche Auffälligkeiten zeigen sich, wenn Aktivitäten außerhalb üblicher Muster auftreten. Prozessreaktionen werden analysiert, indem erwartete Antworten auf Steuerbefehle mit dem tatsächlichen Verhalten verglichen werden. Langfristige Veränderungen lassen sich über gleitende Zeitfenster erkennen.
Einzelne Abweichungen sind dabei selten aussagekräftig. Erst die Korrelation mehrerer schwacher Signale erzeugt Relevanz. Aus dieser Kombination wird ein Bewertungswert abgeleitet, der eine nachvollziehbare Eskalation erlaubt. Unterhalb definierter Schwellen erfolgt keine Aktion. Im Übergangsbereich wird beobachtet. Erst bei klarer Abweichung entsteht ein Alarm, der immer mit Prozesskontext versehen ist und für den Betrieb technisch erklärbar bleibt.
Dezentrale Ausführung und multifunktionaler Einsatz
Damit algorithmische Bewertungen im Anlagenbetrieb sinnvoll nutzbar sind, dürfen sie weder in Steuerungen noch im Leitsystem selbst verankert sein. Bewährt hat sich eine dezentrale Ausführung auf einem externen System innerhalb der OT-Umgebung, etwa auf einem Industrie PC oder Server mit ausschließlich lesendem Zugriff. Der Anlagenbetrieb bleibt davon unberührt, Verantwortlichkeiten bleiben klar getrennt und Änderungen lassen sich unabhängig vom Prozess umsetzen.
Als Laufzeitumgebung eignet sich Node Red, da sich Datenflüsse und Auswertelogik modular abbilden lassen. Prozesswerte, Zustände und Meldungen werden über definierte Schnittstellen aus dem Leitsystem oder dem Historian übernommen. Parallel fließen Netzwerk und Security Ereignisse aus passiven Monitoringsystemen oder Protokollquellen ein. Die Auswertung erfolgt erst nach Vereinheitlichung der Daten und zeitlicher Zuordnung. Ergebnisse werden als korrelierte Meldungen an eine zentrale Alarmierung, ein Ticketsystem oder an externe Bewertungsstellen weitergegeben.
Die Algorithmen selbst sind in getrennte Funktionsblöcke gegliedert. Zunächst wird der aktuelle Anlagenzustand bestimmt. Darauf aufbauend erfolgt der Vergleich mit Referenzdaten des Normalbetriebs. Zeitliche Auffälligkeiten, unplausible Prozessreaktionen und langfristige Verhaltensänderungen werden separat bewertet und anschließend zusammengeführt. Erst die Kombination mehrerer Indikatoren führt zu einer relevanten Bewertung, nicht das Einzelereignis. Der Ansatz ist bewusst multifunktional ausgelegt. Sobald verschiedene Systeme über geeignete Schnittstellen verfügen, lässt sich die gleiche Architektur wiederverwenden. Unterschiedliche Leitsysteme, Historian oder Netzwerksensoren können angebunden werden, ohne die Grundlogik zu verändern. Node Red dient dabei als Integrationsschicht. Neue Datenquellen werden ergänzt, die Bewertungslogik bleibt stabil.
So entsteht ein flexibler Baustein, der schrittweise erweitert werden kann, ohne bestehende Automatisierung zu verändern. Voraussetzung ist lediglich der saubere Zugriff auf belastbare Daten. Sind diese vorhanden, lässt sich die algorithmische Bewertung dezentral betreiben und zuverlässig in den Anlagenalltag integrieren.
Einordnung und Grenzen
In der Anwendung zeigt sich, dass sich sicherheitsrelevante Ereignisse früher erkennen lassen, wenn ihre Wirkung im Prozess berücksichtigt wird. Ungewöhnliche Zugriffe werden sichtbar, weil sie sich im Anlagenverhalten niederschlagen. Gleichzeitig treten Fehlkonfigurationen oder unklare Automatisierungseffekte deutlicher hervor. Die Anzahl unnötiger Alarme sinkt, die Qualität der Bewertung steigt.
Diese Ansätze sind jedoch kein Selbstläufer. Die Qualität der Ergebnisse hängt unmittelbar von der Qualität der Daten ab. In älteren Anlagen sind Prozesswerte oft grob aufgelöst oder unvollständig. Historische Daten sind nicht immer konsistent. Die initiale Modellierung erfordert Fachwissen und Aufwand. Modelle müssen gepflegt und an veränderte Betriebsbedingungen angepasst werden.
Technik allein reicht nicht aus. Zuständigkeiten zwischen IT und OT müssen klar geregelt sein. Ereignisse müssen gemeinsam bewertet werden. Betriebspersonal muss die Ergebnisse nachvollziehen können, sonst fehlt die Akzeptanz. Korrelation ersetzt weder Netzsegmentierung noch klassische Angriffserkennung. Sie ergänzt diese um eine Wirkungssicht mit Fokus auf den Betrieb.
Sicherheit in der industriellen Automatisierung entsteht dort, wo Prozessverständnis und Sicherheitsbewertung zusammengeführt werden. Wer den Normalbetrieb kennt, erkennt Abweichungen. Prozessdaten sind ein relevanter Sicherheitsindikator. Nicht die Pumpe meldet Security, sondern ihr Verhalten liefert den Hinweis. Diese Hinweise richtig einzuordnen entscheidet darüber, ob aus einer technischen Auffälligkeit ein beherrschbares Ereignis oder ein realer Schaden wird.
