Der Begriff Cyber Resilience wird in der maritimen Branche häufig mit IT-Sicherheit gleichgesetzt — Firewalls, Antivirensoftware, Passwortstärke. Das greift zu kurz. Cyber Resilience im IACS-Verständnis umfasst die gesamte digitale Integrität eines Schiffes: Brücke, Automation, Energieversorgung, Kommunikation und jedes vernetzte System, das für den sicheren Betrieb relevant ist.
Der entscheidende Unterschied liegt im Ansatz. IT-Sicherheit konzentriert sich auf Prävention — Angriffe verhindern, Zugriffe blockieren, Daten verschlüsseln. Resilience geht weiter. Sie fragt: Was passiert, wenn die Prävention versagt? Wie schnell erkennen wir eine Störung? Wie begrenzen wir den Schaden? Wie stellen wir kritische Funktionen wieder her?
Für ein Schiff auf See ist diese Perspektive existenziell. Ein Büro-Netzwerk kann man abschalten und im Notfall zwei Tage offline arbeiten. Navigation, Maschinensteuerung und Kommunikation auf See können nicht pausieren. Wenn das ECDIS ausfällt, die Alarmanlage nicht mehr kommuniziert oder das Power Management System kompromittiert ist, hat das unmittelbare Konsequenzen für die Sicherheit von Schiff und Besatzung.
IACS hat deshalb bewusst den Begriff Resilience gewählt — nicht Security. Es geht um die Fähigkeit eines Systems, unter widrigen Bedingungen funktionsfähig zu bleiben oder kontrolliert in einen sicheren Zustand überzugehen. Das betrifft Hardware, Software, Netzwerke, Verfahren und Menschen gleichermaßen.
Die IACS Unified Requirements verfolgen drei zentrale Ziele. Erstens: Risiken frühzeitig adressieren. Cyber-Resilienz soll kein nachträglicher Anbau sein, sondern integraler Bestandteil von Design, Beschaffung und Integration. Das bedeutet, dass bereits bei der Spezifikation eines Neubaus die Frage gestellt werden muss: Welche Computer-Based Systems kommen an Bord, wie sind sie vernetzt, und welche Risiken ergeben sich daraus?
Zweitens: Verantwortlichkeiten klären. UR E26 definiert die Pflichten des Schiffseigners, UR E27 die der Systemlieferanten. Damit ist erstmals regulatorisch festgelegt, wer für welchen Aspekt der Cyber-Resilienz verantwortlich ist. Das beendet die bisher übliche Praxis, bei der Cyber ein diffuses Querschnittsthema war, für das sich niemand konkret zuständig fühlte.
Drittens: Einen einheitlichen Mindeststandard schaffen. Vor UR E26/E27 gab es zwar Empfehlungen — BIMCO Guidelines, IMO MSC-FAL.1/Circ.3 — aber keine verbindlichen Anforderungen auf Klassifikationsebene. Jetzt müssen alle IACS-Mitgliedsgesellschaften die URs umsetzen. Das schafft ein globales Baseline-Niveau, auf dem Betreiber, Werften und OEMs aufbauen können.
Wichtig ist: Die URs definieren kein spezifisches technologisches Niveau. Sie verlangen einen Prozess — systematische Risikobewertung, nachvollziehbare Maßnahmen, dokumentierte Verfahren. Das gibt Betreibern Gestaltungsspielraum, fordert aber auch eigene Substanz. Wer eine generische Excel-Matrix vorlegt, wird bei der Klasse auf Widerstand stoßen.
Der NIST Cybersecurity Framework, auf den sich IACS implizit stützt, definiert fünf Kernfunktionen: Identify, Protect, Detect, Respond, Recover. In der maritimen Praxis wird der Großteil der Aufmerksamkeit auf Protect verwendet — Firewalls installieren, Ports schließen, USB-Sticks verbieten. Das ist notwendig, aber nicht ausreichend.
Detect bedeutet: Anomalien im Netzwerk erkennen, bevor sie eskalieren. In der Schifffahrt ist das schwieriger als an Land, weil es an Bord selten dedizierte Security Operations gibt. Wer bemerkt, wenn ein CBS plötzlich Datenverkehr an eine unbekannte IP-Adresse sendet? In den meisten Fällen niemand — bis es zu spät ist.
Respond bedeutet: Den Vorfall eindämmen. Welches System wird isoliert? Wer entscheidet? Gibt es einen Notfallplan, der an Bord bekannt ist und regelmäßig geübt wird? Die IMO hat mit MSC.428(98) gefordert, dass Cyber-Risiken im SMS adressiert werden. In der Praxis haben viele Reedereien das mit einem generischen Abschnitt im SMS abgehakt, ohne konkrete Verfahren für den Ernstfall.
Recover ist die am häufigsten vernachlässigte Funktion. Wie wird ein kompromittiertes ECDIS wiederhergestellt? Gibt es verifizierte Backups? Kennt die Besatzung die Rückfallprozeduren? Ist dokumentiert, in welcher Reihenfolge Systeme nach einem Totalausfall hochgefahren werden? Resilience bedeutet: Auf all diese Fragen eine getestete Antwort zu haben.
Cyber als technischen Dauerauftrag verstehen — nicht als einmaliges Projekt, das mit der Ablieferung oder dem nächsten Audit endet. Die regulatorische Landschaft entwickelt sich weiter. Die IMO arbeitet an einem Maritime Cyber Risk Management Framework, die EU hat mit NIS2 die Anforderungen an kritische Infrastruktur verschärft, und die Klassifikationsgesellschaften erweitern ihre Notations-Programme kontinuierlich.
Für Betreiber bedeutet das: Wer heute eine solide Grundlage schafft, investiert in Zukunftsfähigkeit. Das beginnt mit einem vollständigen CBS-Inventar, geht über eine realistische Risikobewertung und endet bei getesteten Recovery-Verfahren. Der Schlüssel liegt in der Integration — Cyber-Management darf nicht als isoliertes Thema neben dem regulären technischen Management stehen, sondern muss Teil der gleichen Prozesse sein.
Praktisch heißt das: Cyber-Themen gehören auf die Agenda jeder Superintendent-Besprechung, in die Checklisten für Schiffsbesuche und in die Bewertungskriterien für Lieferanten. Nicht als zusätzliche Bürokratie, sondern als selbstverständlicher Teil der technischen Sorgfaltspflicht.
Identify: Jedes CBS an Bord muss erfasst sein — Hardware, Software-Version, Netzwerkanbindung, Hersteller, Wartungsverantwortlicher. Das klingt trivial, ist in der Praxis aber die größte Hürde. Viele Schiffe haben Systeme, die nachträglich installiert wurden und in keinem Netzwerkplan auftauchen. Ein VSAT-Router hier, ein Service-Laptop dort, ein Diagnose-Interface am Hauptmotor, das dauerhaft verbunden ist.
Protect: Netzwerksegmentierung, Zugriffskontrolle, Härtung von Betriebssystemen, kontrollierte Update-Prozesse. Der Schutz muss verhältnismäßig sein — ein Crew-Welfare-System braucht nicht das gleiche Schutzniveau wie das Power Management. Die Kunst liegt in der risikoangemessenen Abstufung.
Detect: Auf Schiffen ohne dediziertes Security-Monitoring sind die Detektionsfähigkeiten meist rudimentär. Realistische Ansätze für die Schifffahrt umfassen Log-Aggregation auf einem zentralen System, automatisierte Benachrichtigungen bei Konfigurationsänderungen und regelmäßige Plausibilitätsprüfungen der Netzwerktopologie. High-End-Lösungen wie SIEM-Systeme sind technisch möglich, aber wirtschaftlich und personell auf den meisten Schiffen nicht tragbar.
Respond: Klare Eskalationswege definieren. Wer ist an Bord zuständig? Wann wird die Reederei informiert? Welche Systeme werden sofort isoliert? Die Antworten müssen im SMS verankert und regelmäßig geübt werden — nicht nur auf dem Papier.
Recover: Backup-Strategien, verifizierte Wiederherstellungsdatenträger, dokumentierte Startsequenzen. Besonders wichtig: Recovery-Verfahren müssen getestet werden. Ein Backup, das nie geprüft wurde, ist kein Backup.
Die Realität in vielen Reedereien sieht so aus: Cyber steht im SMS, aber die operative Substanz fehlt. Die Risikoanalyse wurde von einem externen Berater erstellt, der die konkreten Systeme an Bord nie gesehen hat. Die Netzwerktopologie ist dem Superintendenten nicht im Detail bekannt. Software-Updates werden durchgeführt, wenn der OEM-Techniker an Bord kommt, ohne dokumentiertes Verfahren.
Das ist kein Vorwurf — es spiegelt die Tatsache wider, dass Cyber-Resilienz als Thema in der Schifffahrt noch jung ist. Die meisten Superintendenten und technischen Manager sind mit mechanischen und elektrischen Systemen aufgewachsen, nicht mit Netzwerkprotokollen. Die Lernkurve ist steil, und es gibt noch keinen etablierten Industriestandard dafür, wie eine maritime Cyber-Organisation konkret aussehen sollte.
Was aber feststeht: Die Anforderungen werden nicht weniger. Wer jetzt beginnt, Substanz aufzubauen — CBS-Inventar, Netzwerkdokumentation, getestete Verfahren — ist für die nächsten regulatorischen Schritte besser positioniert als jemand, der wartet, bis die Klasse bei der nächsten Besichtigung konkret nachfragt.
Drei Prioritäten für Betreiber, die mit begrenzten Ressourcen maximale Wirkung erzielen wollen: Erstens das CBS-Inventar vervollständigen — jedes vernetzte System mit Hersteller, Software-Version, Netzwerkanbindung und Wartungsstatus erfassen. Zweitens die Fernzugriffspunkte identifizieren und kontrollieren — das ist in der Praxis der häufigste Angriffsvektor. Drittens ein realistisches Recovery-Szenario durchspielen — etwa: Was tun wir, wenn das ECDIS nicht mehr startet und wir auf See sind?
Diese drei Schritte kosten wenig, schaffen aber eine belastbare Grundlage für alles Weitere. Und sie zeigen bei jedem Audit, dass das Unternehmen Cyber-Resilienz nicht als Papierübung versteht, sondern als operative Realität.
Unverbindliches Erstgespräch – wir analysieren Ihre Situation und finden den besten Weg.
Beratung anfragen