Ein weit verbreiteter Irrtum: Cyber-Audits an Bord sind reine Dokumentenprüfungen. Der Surveyor kommt, schaut sich die Ordner an, prüft ob ein Cyber-Kapitel im SMS existiert und hakt ab. Das war vielleicht 2021 noch so, als die Integration von Cyber-Risiken ins SMS (gemäß MSC.428(98)) gerade erst Pflicht geworden war. Heute — und insbesondere für Schiffe unter UR E26/E27 — geht die Prüftiefe deutlich weiter.
Moderne Cyber-Audits prüfen die Kohärenz zwischen Dokumentation, technischer Realität und organisatorischem Verständnis. Stimmt der Netzwerkplan mit der tatsächlichen Installation überein? Kennt die Besatzung die Verfahren, die im SMS beschrieben sind? Sind die technischen Maßnahmen, die in der Risikobewertung als "umgesetzt" markiert sind, tatsächlich vorhanden?
Das ist ein fundamentaler Unterschied zur reinen Papierkontrolle. Es reicht nicht, ein gut geschriebenes Dokument vorzulegen. Der Auditor wird fragen: "Zeigen Sie mir den Netzwerkplan und dann das tatsächliche Netzwerk." Er wird fragen: "Wer hat zuletzt Fernzugriff auf das Automationssystem gehabt, und wo ist das dokumentiert?" Er wird den Chief Engineer fragen: "Was tun Sie, wenn das ECDIS morgen nicht startet?"
Die Prüfer kommen zunehmend mit technischem Hintergrund. Während ISM-Auditoren traditionell aus dem Safety-Management-Bereich stammten, werden Cyber-Aspekte heute oft von Surveyors mit IT/OT-Erfahrung geprüft. Das verändert die Dynamik erheblich.
Vier Bereiche stehen bei Cyber-Audits regelmäßig im Fokus:
Systeminventar: Gibt es ein aktuelles Verzeichnis aller CBS an Bord? Enthält es Hersteller, Software-Versionen, Netzwerkanbindungen und Fernzugriffspunkte? Stimmt es mit der tatsächlichen Installation überein? Ein veraltetes oder unvollständiges Inventar ist eines der häufigsten Findings.
Zugriffskontrolle: Wie werden Benutzerkonten auf CBS verwaltet? Gibt es individuelle Accounts oder werden generische Logins verwendet? Werden Standardpasswörter bei der Inbetriebnahme geändert? Gibt es eine Übersicht, wer auf welche Systeme zugreifen darf? In der Praxis sind generische Logins und unveränderte Standardpasswörter die Regel, nicht die Ausnahme.
Fernzugriffe: Welche Fernzugriffsmöglichkeiten existieren? Wer kontrolliert sie? Gibt es ein Protokoll, das zeigt, wer wann worauf zugegriffen hat? Sind permanente VPN-Tunnel dokumentiert? Auditor werden gezielt nach OEM-Fernwartungszugängen fragen — und erwarten eine nachvollziehbare Antwort.
Wiederanlauf-Verfahren: Existieren Recovery-Prozeduren für kritische Systeme? Sind sie dokumentiert, der Besatzung bekannt und getestet worden? Ein Recovery-Plan, den niemand an Bord kennt, ist wertlos. Auditoren werden stichprobenartig fragen: "Was sind Ihre ersten drei Schritte, wenn das Power Management System ausfällt?"
Das größte Risiko bei Cyber-Audits ist die Diskrepanz zwischen Dokumentation und Realität. Wenn der Netzwerkplan drei getrennte Netzwerksegmente zeigt, aber an Bord ein einziger unkontrollierter Switch alles verbindet, ist das ein Finding. Wenn die Risikobewertung Firewalls als Schutzmaßnahme aufführt, aber keine Firewall installiert ist, ist das ein Finding. Wenn das SMS ein Fernzugriffs-Protokoll beschreibt, aber der Chief Engineer noch nie davon gehört hat, ist das ein Finding.
Auditoren prüfen auf Plausibilität. Sie vergleichen, was geschrieben steht, mit dem, was sie an Bord vorfinden. Diese Prüfung ist nicht destruktiv — es geht nicht darum, Fehler zu suchen. Es geht darum zu verifizieren, dass das Cyber-Risikomanagement tatsächlich funktioniert und nicht nur auf dem Papier existiert.
Die häufigsten Plausibilitätslücken in der Praxis: Netzwerkpläne, die den Zustand bei Ablieferung zeigen, aber nicht die nachträglichen Änderungen (VSAT, neue Systeme, Austausch von Rechnern). Risikobewertungen, die von externen Beratern erstellt wurden und keinen Bezug zu den tatsächlichen Systemen an Bord haben. SMS-Verfahren, die generisch formuliert sind und keine konkreten Handlungsanweisungen für die Besatzung enthalten.
Für Betreiber bedeutet das: Die Investition in aktuelle, akkurate Dokumentation ist wichtiger als die Investition in teure Technik. Ein gut dokumentiertes Schiff mit einer geschulten Besatzung besteht ein Audit besser als ein technisch perfekt gesichertes Schiff, dessen Dokumentation nicht stimmt.
Die beste Vorbereitung auf ein Cyber-Audit ist keine Audit-Vorbereitung, sondern ein funktionierendes Cyber-Risikomanagement im Tagesgeschäft. Wer das hat, muss sich vor keinem Auditor fürchten. Wer es nicht hat, wird durch kurzfristiges Aufbereiten von Dokumenten keine Substanz vortäuschen können.
Dennoch gibt es pragmatische Schritte, die Betreiber vor einer Besichtigung durchgehen sollten: Erstens den Netzwerkplan aktualisieren — stimmt er mit der Realität überein? Gibt es Systeme, die nicht erfasst sind? Zweitens die Fernzugriffe prüfen — welche VPN-Tunnel sind aktiv? Sind alle dokumentiert? Gibt es Zugänge, die seit der letzten Wartung nicht deaktiviert wurden?
Drittens die Besatzung briefen — nicht um Antworten auswendig zu lernen, sondern um sicherzustellen, dass die grundlegenden Verfahren bekannt sind. Wer ist für Cyber-Themen zuständig? Was wird gemeldet und an wen? Was sind die ersten Schritte bei einem Systemausfall?
Viertens realistische Bordszenarien durchspielen: Wer darf auf welches System zugreifen? Was passiert bei einem ECDIS-Ausfall? Wie wird ein Fernzugriff autorisiert und dokumentiert? Diese Übungen sind nicht nur Audit-Vorbereitung — sie sind der operative Kern eines funktionierenden Cyber-Managements.
Die konkrete Prüfpraxis variiert zwischen Klassifikationsgesellschaften, folgt aber einem gemeinsamen Muster. Bei Neubauten unter UR E26 wird die gesamte Cyber-Dokumentation geprüft: CBS-Inventar, Netzwerktopologie, Risikobewertung, Schutzmaßnahmen, Recovery-Verfahren. Der Surveyor vergleicht die Dokumentation mit der tatsächlichen Installation und verifiziert, dass kritische Maßnahmen umgesetzt sind.
Bei bestehenden Schiffen konzentriert sich die Prüfung auf das SMS. Gemäß MSC.428(98) müssen Cyber-Risiken im SMS adressiert sein. Der Surveyor prüft: Gibt es ein Cyber-Kapitel? Enthält es eine Risikobewertung? Sind Verfahren für Fernzugriff, Software-Updates und Incident-Response definiert? Kennt die Besatzung diese Verfahren?
Typische Prüfschritte im Detail: Der Surveyor lässt sich den Netzwerkplan zeigen und geht dann mit dem Chief Engineer durch den Maschinenraum, um die tatsächlichen Netzwerkverbindungen zu verifizieren. Er fragt nach der Software-Version des ECDIS und vergleicht sie mit dem Inventar. Er prüft, ob Standardpasswörter geändert wurden, indem er einen Login-Versuch beobachtet. Er fragt nach dem letzten Fernzugriff und prüft, ob ein Protokoll existiert.
Bei Findings unterscheiden die Gesellschaften zwischen Observations (Verbesserungsempfehlungen) und Non-Conformities (Abweichungen, die korrigiert werden müssen). Ein fehlendes CBS-Inventar ist typischerweise eine Non-Conformity. Eine veraltete Software-Version kann eine Observation sein, wenn eine Mitigationsmaßnahme vorhanden ist.
Die fünf häufigsten Cyber-Findings bei Bordaudits basieren auf Erfahrungswerten aus der Branche:
1. Netzwerkplan veraltet oder nicht vorhanden. Vermeidung: Den Netzwerkplan bei jeder Systemänderung aktualisieren. Ein einfaches Netzwerkdiagramm, das alle CBS und ihre Verbindungen zeigt, reicht als Grundlage.
2. Kein CBS-Inventar oder unvollständig. Vermeidung: Ein Inventar erstellen, das mindestens Systemname, Hersteller, Software-Version, Betriebssystem und Netzwerkanbindung enthält. Bei der nächsten Besichtigung systematisch vervollständigen.
3. Standardpasswörter nicht geändert. Vermeidung: Alle Standardpasswörter bei Inbetriebnahme oder spätestens bei der nächsten Wartung ändern. Eine Liste der geänderten Credentials sicher verwahren.
4. Fernzugriffe nicht dokumentiert. Vermeidung: Ein Fernzugriffs-Logbuch einführen. Für jeden Zugriff: Datum, System, Techniker, Zweck, Dauer, Autorisierung durch. Kann in Papierform sein — Hauptsache es wird geführt.
5. Kein Recovery-Verfahren für Navigation. Vermeidung: Ein einfaches, einseitiges Dokument erstellen: Was tun bei ECDIS-Ausfall? Backup-Navigation? Wer informiert die Reederei? Im Brückenbereich aushängen und einmal pro Quartal durchsprechen.
Unverbindliches Erstgespräch – wir analysieren Ihre Situation und finden den besten Weg.
Beratung anfragen