Jahrzehntelang existierten OT (Operational Technology) und IT (Information Technology) an Bord in getrennten Welten. Die Automation lief auf proprietären Bussystemen, Navigation auf dedizierten Netzwerken, und die IT beschränkte sich auf ein paar PCs im Büro des Kapitäns. Diese Trennung war nie geplant — sie war ein Nebeneffekt der Tatsache, dass die Systeme technologisch inkompatibel waren.
Das hat sich grundlegend geändert. Moderne Automationssysteme kommunizieren über Ethernet. ECDIS, Radar und AIS teilen sich Netzwerkinfrastruktur. Power-Management-Systeme senden Daten an Land-basierte Analyseplattformen. Alarmmanagement-Systeme aggregieren Informationen aus Dutzenden von Quellen über ein gemeinsames Netzwerk. Die technologische Konvergenz von OT und IT ist auf modernen Schiffen bereits Realität.
Für die Klassifikation hat das weitreichende Konsequenzen. Bisher wurden Automationssysteme nach ihrer Funktion bewertet — leistet das System, was es soll? Jetzt kommt die Frage hinzu: Ist das System auch cyber-resilient? Kann ein Angriff auf das IT-Netzwerk die OT-Systeme beeinträchtigen? Sind die Übergangspunkte zwischen IT und OT kontrolliert?
IACS hat mit UR E26 und E27 reagiert und Cyber-Resilienz als Klassifikationsanforderung etabliert. Aber die Umsetzung trifft auf eine Branche, in der die organisatorische Trennung von IT und OT oft tiefer verwurzelt ist als die technische. Der Superintendent kümmert sich um die Maschine, die IT-Abteilung um E-Mail und SAP. Wer kümmert sich um das VSAT-System, das beides verbindet?
Die Neubewertung betrifft alle Systeme, die an der Schnittstelle zwischen OT und IT stehen oder beide Domänen überbrücken. Konkret sind das:
Automationssysteme: Moderne Alarm- und Monitoring-Systeme (AMS) kommunizieren über Ethernet und haben oft Webinterfaces für die Konfiguration. Sie sind funktional OT, technologisch aber IT. Ein kompromittierter AMS-Server kann Alarme unterdrücken oder falsche Zustände anzeigen — mit direkten Sicherheitsfolgen.
Brückensysteme: ECDIS, Radar, AIS und Autopilot sind zunehmend vernetzt. Die Integration über INS (Integrated Navigation Systems) schafft Abhängigkeiten: Wenn das zentrale Netzwerk ausfällt, sind potenziell alle Navigationssysteme gleichzeitig betroffen. Klasse bewertet deshalb nicht mehr nur die einzelne Funktion, sondern auch die Resilienz der Gesamtarchitektur.
Leistungselektronik: Power Management Systeme auf Schiffen mit elektrischer Propulsion oder DP-Systemen sind sicherheitskritisch. Wenn ein PMS kompromittiert wird und Generatoren falsch zu- oder abschaltet, kann das zum Blackout führen — auf einem DP-Schiff mit möglicherweise katastrophalen Folgen.
Fernzugriffsarchitektur: VSAT-Systeme, OEM-VPN-Tunnel und Shore-to-Ship-Verbindungen sind die Brücke zwischen dem Internet und den Bordsystemen. Sie fallen in keine klassische Domäne — weder IT noch OT — und werden deshalb oft von niemandem systematisch verwaltet. Genau das macht sie zum kritischsten Punkt in der Gesamtarchitektur.
In Neubauprojekten und größeren Retrofits werden IT- und OT-Entscheidungen traditionell in getrennten Projektspuren getroffen. Der Automation-Lieferant definiert sein Netzwerk, der Navigations-Lieferant seins, und die IT-Abteilung kümmert sich um VSAT und Crew-Internet. Am Ende treffen drei unkoordinierte Netzwerke aufeinander, und die Integration wird zur Improvisation.
UR E26 verlangt, dass die Netzwerktopologie als Gesamtsystem geplant wird. Das erfordert einen Integrator — jemanden, der versteht, wie OT- und IT-Systeme zusammenspielen, welche Datenflüsse zwischen den Domänen existieren und wo kontrollierte Übergänge nötig sind. In der Praxis ist das oft weder der Automation-Ingenieur noch der IT-Manager, sondern eine Rolle, die neu geschaffen werden muss.
Für Projektteams hat das konkrete Auswirkungen auf den Zeitplan. Cyber-Aspekte müssen in der Spezifikationsphase berücksichtigt werden, nicht erst bei der Inbetriebnahme. Die Netzwerktopologie muss vor der Bestellung der Subsysteme stehen, damit die Lieferanten ihre Systeme entsprechend konfigurieren können. FAT und SAT müssen um Cyber-Tests erweitert werden.
Das bedeutet mehr Koordinationsaufwand, aber es verhindert die teure Nachbesserungsphase vor der Ablieferung. Projekte, die IT und OT von Anfang an als eine vernetzte Domäne behandeln, haben in der Endphase weniger Überraschungen als solche, die das Thema bis zum Schluss ignorieren.
Die technische Konvergenz von OT und IT erfordert eine organisatorische Antwort. Betreiber müssen Verantwortlichkeiten klarer definieren und die Schnittstellen zwischen den Abteilungen aktiv moderieren. Die Frage "Wer ist für die Cyber-Sicherheit an Bord zuständig?" muss eine eindeutige Antwort haben — und diese Antwort muss im SMS verankert sein.
In der Praxis haben sich verschiedene Modelle herausgebildet. Einige Reedereien haben die Verantwortung beim Superintendenten angesiedelt, weil dieser die Bordsysteme am besten kennt. Andere haben einen dedizierten Cyber-Verantwortlichen geschaffen, der zwischen IT und technischem Management vermittelt. Wieder andere haben das Thema beim DPA (Designated Person Ashore) verankert, weil dieser ohnehin für die Gesamtheit des SMS verantwortlich ist.
Keines dieser Modelle ist per se besser als das andere. Entscheidend ist, dass die Rolle klar definiert ist, dass der Verantwortliche die nötigen Kompetenzen hat oder erhält und dass die Schnittstellen zwischen IT-Abteilung, technischem Management und Bordbetrieb funktionieren. Ein Superintendent, der für Cyber zuständig ist, aber keinen Zugang zu Netzwerkdiagnosetools hat und keine Schulung erhalten hat, wird die Rolle nicht ausfüllen können.
Die Konvergenz von OT und IT an Bord lässt sich an konkreten Beispielen illustrieren. Ein modernes Schiff hat typischerweise folgende Netzwerkdomänen: das Automationsnetzwerk (Kongsberg, Wärtsilä, ABB oder andere — proprietäres Protokoll über Ethernet), das Navigationsnetzwerk (ECDIS, Radar, AIS — zunehmend über standardisiertes Ethernet), das administrative Netzwerk (E-Mail, ERP-Zugang, Dokumentenmanagement), das Crew-Welfare-Netzwerk (Internet für die Besatzung) und das Shore-to-Ship-Netzwerk (VSAT, 4G/5G, Fleetbroadband).
In der Theorie sind diese Domänen getrennt. In der Praxis gibt es zahlreiche Übergänge: Der Automation-Server sendet Betriebsdaten an eine Cloud-Plattform an Land — über das VSAT-Netzwerk. Der ECDIS-Rechner empfängt Chart-Updates über das Internet. Der Superintendent greift per VPN auf das Automationsnetzwerk zu, um Logs zu prüfen. Jeder dieser Übergänge ist ein Punkt, an dem die OT/IT-Grenze durchbrochen wird.
Die IEC 62443-Norm, die in der Industrie-Automation als Standard gilt, bietet einen nützlichen Rahmen für die Segmentierung. Sie definiert Zonen (Gruppen von Systemen mit gleichem Schutzniveau) und Conduits (kontrollierte Übergänge zwischen Zonen). Übertragen auf den maritimen Kontext bedeutet das: Die Automation ist eine Zone, die Navigation eine andere, das Crew-Internet eine dritte. Jeder Datenfluss zwischen diesen Zonen muss über einen kontrollierten Conduit laufen — eine Firewall, einen Application Gateway oder eine Data Diode.
Die Herausforderung liegt in der Umsetzung. Viele maritime OEMs haben ihre Systeme nicht nach IEC 62443 entwickelt. Die Härtungsrichtlinien fehlen, die Netzwerk-Anforderungen sind nicht dokumentiert, und die Systeme setzen Zugriffsmuster voraus, die mit einer strikten Segmentierung kollidieren. Hier müssen Betreiber und Integratoren pragmatische Kompromisse finden — ohne die Sicherheitsintegrität zu untergraben.
Ein Betreiber bringt ein 8 Jahre altes Container-Feederschiff zur Zwischenbesichtigung. Der Klasse-Surveyor fragt nach dem aktuellen Netzwerkplan. Der Superintendent zeigt den Plan aus der Bauzeit — aber seit der Ablieferung wurden ein neues VSAT-System installiert, das Ballastwasser-Treatment-System nachgerüstet und der Automation-Server durch ein neueres Modell ersetzt. Keiner dieser Eingriffe ist im Netzwerkplan dokumentiert.
Der Surveyor stellt fest, dass das VSAT-System über einen unkontrollierten Switch mit dem Automationsnetzwerk verbunden ist — eine Konfiguration, die bei der VSAT-Installation als "temporäre Lösung" eingerichtet wurde und nie bereinigt wurde. Das Ergebnis ist ein Finding, das bis zur nächsten Besichtigung geschlossen werden muss.
Dieses Szenario ist keine Ausnahme, sondern die Regel. Die meisten Bestandsschiffe haben Netzwerktopologien, die über die Jahre gewachsen sind und nicht mehr der Dokumentation entsprechen. Für Betreiber ist das ein klares Signal: Die Aktualisierung der Netzwerkdokumentation sollte Teil jeder größeren Systemänderung sein — nicht ein Nachgedanke, der bei der Besichtigung auffällt.
Betreiber, die die OT/IT-Konvergenz organisatorisch adressieren wollen, sollten drei Schritte priorisieren. Erstens: Einen Verantwortlichen für die Netzwerkintegrität des Schiffes benennen — nicht für IT oder OT einzeln, sondern für die Gesamttopologie. Zweitens: Jeden Netzwerkeingriff dokumentieren — jede neue Installation, jede Umkonfiguration, jeder Fernzugriffspunkt. Drittens: Die Schnittstelle zwischen IT-Abteilung und technischem Management formalisieren — gemeinsame Reviews, abgestimmte Entscheidungsprozesse, geteilte Verantwortung für Cyber-Themen.
Der Aufwand ist überschaubar. Der Nutzen — weniger Findings bei Besichtigungen, bessere Übersicht bei Störfällen, klarere Entscheidungswege — ist erheblich.
Unverbindliches Erstgespräch – wir analysieren Ihre Situation und finden den besten Weg.
Beratung anfragen