Gebäudeautomation als betriebliche Infrastruktur behandeln
Operational Technology umfasst Systeme, die physische Prozesse überwachen oder steuern. Im FM gehören dazu unter anderem Gebäudeautomation, Energieanlagen und technische Sicherheitseinrichtungen. Neubau, Vertragsneustart und Anbieterwechsel können die Personen und Organisationen mit Zugriff auf diese Systeme verändern. Dadurch können unbeabsichtigt offene Zugänge, verlorene Administrationsrechte oder nicht mehr betreute Komponenten entstehen. Die Übernahme muss Informationssicherheit und sichere Anlagenfunktion gemeinsam betrachten. Beim Neubau beginnt die Absicherung der Gebäudeautomation bereits mit der Überführung der Errichterzugänge in den geregelten Betrieb. Temporäre Baustellenverbindungen, Herstellerkonten und Testeinstellungen müssen geprüft und eindeutig übernommen oder beendet werden. Bei einer turnusmäßigen Neuausschreibung können geänderte Fernwartungsanforderungen neue Berechtigungen und Unterstützungsmodelle erfordern, auch wenn der Anbieter bleibt. Der Start-up betrachtet deshalb jede Änderung der Betriebs- und Vertragsorganisation als Anlass für einen kontrollierten Abgleich. Bestehende Erreichbarkeit beweist keine angemessene Berechtigung. Umgekehrt kann ein vorschneller Rechteentzug die Versorgung gefährden, wenn wichtige Dienste unbemerkt daran gebunden sind. Die Bewertung verbindet Sicherheitsbedarf und tatsächliche Anlagenabhängigkeiten und wird durch zuständige Fachpersonen durchgeführt. Das OT-Inventar erfasst Systeme, Netzverbindungen, Softwarestände, verantwortliche Stellen und bekannte Einschränkungen. Besonders wichtig sind externe Zugänge und Verbindungen zur Unternehmens-IT. Die tatsächliche Architektur wird mit den Unterlagen abgeglichen. Ein pauschaler Hinweis auf eine lokale Gebäudeleittechnik genügt nicht, wenn externe Hersteller oder frühere Dienstleister weiterhin über zusätzliche Kommunikationswege zugreifen können.
Fernzugriffe sicher und kontrolliert einrichten
Berechtigungen kontrolliert übergeben
Personenbezogene Konten werden anhand der künftig benötigten Aufgaben eingerichtet. Rechte für Beobachtung, Bedienung, Parametrierung und Administration sind zu unterscheiden. Gemeinsame Konten erschweren die Zuordnung von Änderungen und sollten, soweit technisch möglich, durch nachvollziehbare Zugänge ersetzt werden. Für unvermeidbare technische Konten werden Verantwortlichkeit, Schutz und Verwendung gesondert geregelt. Zugangsdaten gehören in eine dafür geeignete geschützte Verwaltung. Der Rechteentzug beim bisherigen Dienstleister erfolgt abgestimmt mit der Aufnahme der neuen Organisation. Vorher werden automatische Dienste, Schnittstellen und Wartungszugänge identifiziert, die von bestehenden Konten abhängen. Ein unvorbereiteter Passwortwechsel kann Alarmweiterleitung oder Datenerfassung unterbrechen. Die Umschaltung benötigt deshalb einen überprüften Ablauf mit Verantwortlichen und einem Verfahren für unvorhergesehene Auswirkungen.
Fernwartung auf konkrete Zwecke begrenzen
Fernzugriffe werden auf berechtigte Personen, erforderliche Systeme und zulässige Zeiträume begrenzt. Das Zugangskonzept beschreibt Freigabe, Authentisierung, Protokollierung und Beendigung einer Sitzung. Soweit technisch umsetzbar, unterstützen zusätzliche Authentisierungsfaktoren und getrennte Zugangswege die Absicherung. Die Empfehlungen des BSI zur industriellen Fernwartung bieten einen fachlichen Orientierungsrahmen; ihre Umsetzung wird an die vorhandene Architektur und die betrieblichen Risiken angepasst. Steuernde Eingriffe benötigen zusätzlich eine Abstimmung mit der örtlichen Betriebsorganisation. Ein aus der Ferne gestarteter Antrieb oder veränderter Sollwert kann Personen und Prozesse beeinflussen. Daher muss klar sein, wer den sicheren Zustand vor Ort bestätigt und wer die Anlage anschließend zurücknimmt. Eine technisch autorisierte Sitzung bedeutet nicht automatisch eine Freigabe für jede betriebliche Handlung. Die Vertragspflichten beider Partner werden für den Fernzugriff einzeln erfasst. Dazu zählen die Bereitstellung des vereinbarten Zugangswegs, Benennung berechtigter Personen, Freigabe bestimmter Eingriffe, Meldung von Vorfällen und Entfernung nicht mehr benötigter Rechte. Verantwortlich für ein Unternehmensnetz ist nicht automatisch derjenige, der eine Anlage wartet. Der Auftraggeber klärt die internen Zuständigkeiten; der Auftragnehmer setzt die ihm zugeordneten Anforderungen um. Für jeden Eingriff bleibt erkennbar, wer die sichere Situation vor Ort beurteilt und wer die technische Änderung ausführt. Eine allgemeine Freigabe der Fernwartung darf nicht als dauerhafte Erlaubnis für beliebige Schalthandlungen verstanden werden. Die Schnittstelle wird mit einem konkreten, begrenzten Test praktisch überprüft.
Änderungen und Wiederherstellung vorbereiten
Konfigurationen, Programme und Parameter werden vor der Übernahme gesichert und ihrer Anlage eindeutig zugeordnet. Eine vorhandene Sicherungsdatei ist nur dann hilfreich, wenn sie mit geeigneter Software und den verfügbaren Rechten wiederhergestellt werden kann. Für kritische Systeme werden Wiederherstellungswege erprobt oder mit belastbaren Nachweisen bewertet. Abhängigkeiten von Herstellern, Lizenzschlüsseln und Spezialhardware sind ausdrücklich festzuhalten. Updates und sicherheitsbezogene Änderungen werden mit Betriebsfenstern und Funktionstests verbunden. Nicht jede aus der Büro-IT bekannte Maßnahme lässt sich unverändert auf Anlagensteuerungen übertragen. Für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen ist der einschlägige Regelungsrahmen, einschließlich anwendbarer TRBS, zu berücksichtigen. Änderungen dürfen Schutzfunktionen, Verfügbarkeit oder bestehende Freigaben nicht unbewertet beeinträchtigen.
Störungen gemeinsam bearbeiten
Die neue Betriebsorganisation benötigt einen abgestimmten Meldeweg für Cyberereignisse und technische Ausfälle. Ungewöhnliche Zugriffe, unerklärte Parameteränderungen oder ausgefallene Kommunikation werden nicht allein als IT-Problem behandelt. FM, Informationssicherheit und technische Fachverantwortliche bewerten gemeinsam die Auswirkungen. Eingriffe zur Eingrenzung eines Vorfalls müssen den sicheren Anlagenzustand berücksichtigen und nachvollziehbar dokumentiert werden. Ein lehrreicher Prüffall ist der Ausfall des Fernzugangs während einer technischen Störung. Das Team muss erkennen, welche Funktionen lokal weiterlaufen, welche Informationen fehlen und welche alternative Unterstützung tatsächlich verfügbar ist. Eine vollständige Internetverbindung ist nicht für jede lokale Regelungsfunktion notwendig; einzelne Alarm- oder Auswertedienste können jedoch davon abhängen. Diese Unterschiede werden vorab dokumentiert. Die Prüfung umfasst auch die Erreichbarkeit des Herstellers und die benötigten Nutzungsrechte für Diagnosewerkzeuge. Werden Schwachstellen erst in dieser Probe sichtbar, erhalten sie konkrete Maßnahmen vor der Freigabe. Der Regelbetrieb übernimmt anschließend einen überprüften Zugangsbestand und einen abgestimmten Störungsprozess, statt sich auf historisch gewachsene, personengebundene Verbindungen zu verlassen. Eine praktische Übung prüft Erreichbarkeit, Entscheidung und Wiederherstellung anhand eines begrenzten Szenarios. Das Ergebnis zeigt, ob externe Spezialisten verfügbar sind und erforderliche Unterlagen tatsächlich vorliegen. Nach dem Start werden Zugänge regelmäßig überprüft und ausgeschiedene Personen zeitnah entfernt. So bleibt die beim Wechsel hergestellte Kontrolle auch während der Vertragslaufzeit wirksam.
