Die Diskussion "Crew Awareness oder technische Maßnahmen?" wird in der maritimen Branche regelmäßig geführt — und sie führt regelmäßig in die Irre. Die Frage suggeriert, dass man sich für eine Seite entscheiden müsste. In der Realität ist beides unverzichtbar und nur in Kombination wirksam.
Technische Maßnahmen ohne geschulte Besatzung sind wie eine Feuerlöschanlage ohne jemanden, der den Alarm erkennt. Eine Firewall schützt das Netzwerk — aber wenn ein Besatzungsmitglied einen infizierten USB-Stick direkt an einen Automations-PC anschließt, weil es die Anweisung nicht kennt, umgeht es jede Netzwerkschutzmaßnahme. Umgekehrt nützt das beste Awareness-Programm wenig, wenn das Netzwerk so konfiguriert ist, dass ein einzelner kompromittierter Rechner alle Systeme erreichen kann.
IACS hat das in UR E26 klar adressiert: Cyber-Resilienz erfordert sowohl technische als auch organisatorische Maßnahmen. Die IMO Guidelines MSC-FAL.1/Circ.3 betonen ebenfalls, dass Schulung und Technik Hand in Hand gehen müssen. Der Ansatz muss ganzheitlich sein — Defence in Depth, wie es in der Sicherheitsterminologie heißt. Mehrere Schutzschichten, die sich gegenseitig ergänzen.
Die praktische Herausforderung liegt darin, beide Ebenen aufeinander abzustimmen. Die Awareness-Schulung muss die tatsächlichen technischen Gegebenheiten an Bord widerspiegeln. Und die technischen Maßnahmen müssen berücksichtigen, dass die Besatzung mit den Systemen arbeiten muss — unter Zeitdruck, bei Schichtübergaben, unter widrigen Bedingungen.
Technische Maßnahmen stoßen dort an ihre Grenzen, wo Menschen mit Systemen, Lieferanten und externen Schnittstellen interagieren. Vier Bereiche sind besonders kritisch:
Erstens: OEM-Fernwartung. Wenn ein Automation-Techniker sich per VPN auf den Automations-Server verbindet, ist das technisch ein autorisierter Zugriff. Ob der Techniker tatsächlich der ist, der er vorgibt zu sein, ob er nur die vereinbarten Arbeiten durchführt und ob die Session nach Abschluss ordnungsgemäß beendet wird — das kann Technik allein nicht sicherstellen. Hier braucht es eine geschulte Person an Bord, die den Zugriff überwacht und dokumentiert.
Zweitens: Software-Updates. OEMs liefern Updates per USB-Stick oder Remote-Session. Ein technisches System kann den USB-Stick auf Schadsoftware prüfen — aber ob der Stick tatsächlich vom OEM kommt und nicht von einer unbekannten Quelle, kann nur eine Person verifizieren, die den Prozess kennt und die Herkunft prüft.
Drittens: Alarme und Anomalien. Ein Monitoring-System kann eine ungewöhnliche Netzwerkaktivität erkennen und einen Alarm ausgeben. Aber die Entscheidung, ob es sich um einen regulären Vorgang (z.B. ein geplantes Update) oder um einen Vorfall handelt, erfordert menschliche Beurteilung. Ohne geschultes Personal, das Alarme richtig einordnen kann, werden sie entweder ignoriert oder lösen ungerechtfertigte Panik aus.
Viertens: Physische Zugriffe. Ein Besatzungsmitglied oder ein Werftarbeiter, der während eines Hafenaufenthalts ein Gerät an einen Netzwerkport anschließt, umgeht jede netzwerkseitige Schutzmaßnahme. Die Awareness muss vermitteln, warum unbekannte Geräte nicht angeschlossen werden dürfen und welche Ports physisch gesichert sein sollten.
Crew Awareness im Cyber-Kontext ist nicht die jährliche PowerPoint-Präsentation über Phishing-E-Mails. Es geht um das Etablieren sicherer Routinen, die im Bordalltag verankert sind. Vier Bereiche stehen im Vordergrund:
Zugangskontrolle: Wer darf auf welche Systeme zugreifen? Besatzungsmitglieder müssen wissen, dass Standardpasswörter geändert werden müssen, dass Zugangsdaten nicht geteilt werden und dass jeder Zugriff auf sicherheitskritische Systeme nachvollziehbar sein muss. Das ist keine IT-Schulung — es ist Teil der Bordorganisation.
Umgang mit Wechseldatenträgern: USB-Sticks sind der häufigste physische Infektionsvektor an Bord. Die Besatzung muss verstehen, warum unbekannte USB-Sticks nicht an vernetzte Systeme angeschlossen werden dürfen. Das betrifft nicht nur den Kapitän, sondern jeden, der Zugang zu einem PC hat — vom Ingenieur bis zum Kadetten.
Meldewesen: Wenn etwas Ungewöhnliches passiert — ein System reagiert langsam, ein unbekanntes Fenster öffnet sich, ein Netzwerkgerät zeigt eine unerwartete Aktivität — muss die Besatzung wissen, wem sie das melden soll und dass eine Meldung keine Bestrafung nach sich zieht. Viele Vorfälle werden nicht gemeldet, weil die Crew Angst hat, etwas falsch gemacht zu haben.
Fernzugriffe: Wenn ein OEM-Techniker Fernzugriff anfordert, muss die Besatzung wissen, was sie prüfen und dokumentieren soll. Wer hat den Zugriff autorisiert? Auf welches System? Für welchen Zeitraum? Was wurde gemacht? Diese Informationen müssen erfasst werden — nicht als Bürokratie, sondern als Grundlage für die Nachvollziehbarkeit.
Die Verbindung von technischen Maßnahmen und Crew Awareness gelingt, wenn beide auf derselben Risikobasis aufbauen. Konkret heißt das: Die Risikoanalyse identifiziert die kritischen CBS und ihre Schwachstellen. Daraus werden technische Maßnahmen abgeleitet (Segmentierung, Zugriffskontrolle, Monitoring) und organisatorische Verfahren (Handlungsanweisungen, Meldeprotokolle, Schulungsinhalte).
Das SMS ist der natürliche Ort für diese Integration. Cyber-Verfahren sollten dort nicht als separates Kapitel stehen, sondern in die bestehenden Abschnitte eingebettet werden — Navigation, Maschinenbetrieb, Notfallverfahren. So wird Cyber Teil der normalen Bordorganisation und nicht als Fremdkörper wahrgenommen.
Ein praktisches Beispiel: Das Verfahren für OEM-Fernwartung. Technisch wird der VPN-Zugang über einen kontrollierten Conduit geführt und nach Abschluss der Session automatisch getrennt. Organisatorisch dokumentiert der Chief Engineer den Zugriff im Logbuch, prüft die Identität des Technikers und bestätigt den Abschluss. Beides greift ineinander — das technische System begrenzt den Zugriff, die organisatorische Maßnahme stellt die Überwachung sicher.
Defence in Depth — Verteidigung in der Tiefe — ist kein Marketing-Begriff, sondern ein bewährtes Sicherheitskonzept. Es basiert auf der Annahme, dass keine einzelne Schutzmaßnahme perfekt ist. Stattdessen werden mehrere Schutzschichten übereinander gelegt, so dass ein Versagen einer Schicht durch die nächste aufgefangen wird.
Übertragen auf ein Schiff sieht das so aus: Schicht 1 ist die Netzwerkperimeter-Kontrolle — die Firewall zwischen VSAT und Bordnetzwerk. Schicht 2 ist die Netzwerksegmentierung — die Trennung von OT, Navigation und Crew-Internet. Schicht 3 ist die System-Härtung — das Deaktivieren unnötiger Dienste, das Ändern von Standardpasswörtern, das Einspielen von Patches. Schicht 4 ist die Zugriffskontrolle — wer darf auf welche Systeme zugreifen. Schicht 5 ist das Monitoring — das Erkennen von Anomalien. Schicht 6 ist die Crew Awareness — das menschliche Element, das die Lücken zwischen den technischen Schichten schließt.
Jede Schicht für sich ist unvollständig. Die Firewall kann umgangen werden (USB-Stick). Die Segmentierung kann durchbrochen werden (unkontrollierter Switch). Die Härtung kann veralten (fehlende Patches). Die Zugriffskontrolle kann versagen (geteilte Passwörter). Das Monitoring kann überfordert sein (zu viele Alarme). Aber in Kombination schafft das mehrschichtige Konzept eine Resilienz, die weit über die Summe der Einzelmaßnahmen hinausgeht.
Für Betreiber bedeutet das: Nicht in eine einzelne Technologie investieren und hoffen, dass sie alles abdeckt. Stattdessen ein ausgewogenes Portfolio an Maßnahmen aufbauen — technisch und organisatorisch — das in sich konsistent ist und regelmäßig überprüft wird.
Die effektivsten Awareness-Programme in der Schifffahrt sind diejenigen, die konkret und bordnah sind. Generische Online-Kurse über Phishing-E-Mails an Land sind für eine Besatzung, die mit Automationssystemen und Navigationsgeräten arbeitet, nur begrenzt hilfreich.
Was funktioniert: Schulungen, die auf den konkreten Systemen an Bord basieren. Welche Systeme sind vernetzt? Wo sind die Fernzugriffspunkte? Was tun wir, wenn ein System sich ungewöhnlich verhält? Diese Fragen sollten in jeder Einweisung neuer Besatzungsmitglieder und in regelmäßigen Auffrischungen behandelt werden.
Tabletop-Übungen haben sich als besonders wirksam erwiesen. Ein Szenario wird durchgespielt: "Das ECDIS zeigt einen Bluescreen. Was sind die nächsten Schritte?" Die Besatzung diskutiert die Handlungsoptionen, identifiziert Lücken im Verfahren und entwickelt ein besseres Verständnis für die Zusammenhänge. Solche Übungen kosten kein Equipment, nur eine Stunde Zeit — und sie erzeugen ein nachhaltigeres Verständnis als jede Präsentation.
Unverbindliches Erstgespräch – wir analysieren Ihre Situation und finden den besten Weg.
Beratung anfragen