Cybersicherheit im Bahnsektor wurde lange vor allem unter einer Frage betrachtet: Erfüllt ein Produkt die geforderten Standards? Mit der IEC 62443 steht dafür ein etabliertes Rahmenwerk zur Verfügung. Insbesondere eine Zertifizierung nach IEC 62443-4-2 Security Level 2 (SL2) gibt Betreibern, Systemintegratoren und Beschaffungsverantwortlichen eine nachvollziehbare Grundlage dafür, dass Netzwerkkomponenten definierte Sicherheitsanforderungen erfüllen.
Mit der zunehmenden Vernetzung von Schienenfahrzeugen greift diese Betrachtung jedoch zu kurz. Ethernet Consist Network (ECN), Ethernet Train Backbone Nodes (ETBN), Train-to-Ground-Kommunikation (T2G), Steuerungs- und Diagnosesysteme sowie weitere Subsysteme bilden gemeinsam eine komplexe Kommunikationsarchitektur. Die einzelnen Komponenten können normgerecht abgesichert sein – Schwachstellen können trotzdem dort entstehen, wo Identitäten, Daten und Zugriffsrechte zwischen Geräten, Subsystemen und teilweise auch verschiedenen Herstellern ausgetauscht werden.
Vom sicheren Gerät zum resilienten System
Damit erweitert sich die zentrale Frage von „Sind wir compliant?“ zu „Ist unser System sicher und resilient?“. Bei Sicherheit geht es darum, Angriffe zu verhindern, zu erkennen und zu begrenzen. Resilienz entscheidet darüber, ob kritische Funktionen auch im Angriffsfall aufrechterhalten und Systeme anschließend geordnet wiederhergestellt werden können. Beides entsteht nicht durch ein einzelnes Gerät, sondern durch das abgestimmte Zusammenspiel von Komponenten, Kommunikationswegen und Schutzmechanismen. Genau hier ergänzen sich IEC 62443 und der europäische Cyber Resilience Act (CRA). Während die IEC 62443 technische und organisatorische Methoden für die Entwicklung und den Betrieb sicherer industrieller Systeme beschreibt, macht der CRA Cybersicherheit für Produkte mit digitalen Elementen zu einer verbindlichen Aufgabe über den Produktlebenszyklus. Security by Design, Schwachstellenmanagement und die Bereitstellung von Sicherheitsupdates werden damit von einzelnen technischen Maßnahmen zu einem langfristigen Entwicklungs- und Supportthema.
Das ist für die Bahn besonders relevant. Schienenfahrzeuge und ihre Infrastruktur sind für lange Betriebszeiten ausgelegt. Die Bedrohungslage, Softwarestände und bekannte Schwachstellen entwickeln sich jedoch deutlich schneller als die eingesetzten Systeme erneuert werden können. Ein System, das bei der Inbetriebnahme ein hohes Sicherheitsniveau erreicht, muss deshalb so ausgelegt sein, dass dieses Niveau auch Jahre später noch aufrechterhalten werden kann.
Security by Design beginnt bei der Architektur
Eine sichere Bahnarchitektur muss bereits in der Entwicklungsphase festlegen, wie Kommunikation und Zugriffe über Systemgrenzen hinweg kontrolliert werden. Gleichzeitig muss sie so ausgelegt sein, dass sich ein Sicherheitsvorfall nicht ungehindert auf weitere Systeme ausbreiten kann. Ein Zug kann beispielsweise über ein T2G-Gateway mit dem Betriebszentrum kommunizieren, Daten über Layer-3-Router zwischen Subsystemen übertragen und über Layer-2-Switches zahlreiche Endgeräte anbinden. Jeder dieser Kommunikationspfade besitzt ein eigenes Risikoprofil.
Sicherheitszonen und klar definierte Kommunikationskanäle helfen dabei, diese Komplexität beherrschbar zu machen. Segmentierung begrenzt die Ausbreitung möglicher Angriffe, während rollenbasierte Zugriffskontrollen, Authentifizierung und definierte Kommunikationsbeziehungen verhindern, dass ein kompromittierter Zugang automatisch Zugriff auf weitere Teile des Systems ermöglicht. Ergänzend schaffen Monitoring und Protokollierung die notwendige Transparenz über sicherheitsrelevante Ereignisse.
Dieser Defense-in-Depth-Ansatz entspricht auch den Grundprinzipien der IEC 62443: Nicht eine einzelne Schutzmaßnahme soll sämtliche Risiken abdecken, sondern mehrere aufeinander abgestimmte Sicherheitsebenen. Damit kann die Architektur auch Risiken auffangen, die sich zum Zeitpunkt der Entwicklung noch nicht vollständig vorhersehen lassen.
Wenn Security Level 2 allein nicht mehr genügt
IEC 62443-4-2 SL2 bildet für zahlreiche Projekte eine sinnvolle technische Grundlage. Gleichzeitig nimmt mit Cloud-Anbindungen, Fernzugriffen und Multi-Vendor-Architekturen die Zahl potenzieller Angriffspunkte zu. Dadurch gewinnen Schutzmechanismen an Bedeutung, die über die Mindestanforderungen hinausgehen.
Dazu zählen beispielsweise hardwarebasierte Vertrauensanker, eine stärker identitätsbasierte Zugriffskontrolle oder besonders robuste Authentifizierungsmechanismen. Funktionen dieser Art werden häufig mit höheren Sicherheitsniveaus wie SL3 in Verbindung gebracht. Sie pauschal für jedes Subsystem vorzuschreiben wäre allerdings ebenso wenig zielführend wie grundsätzlich bei SL2 stehenzubleiben. Entscheidend ist die konkrete Risikoanalyse: Welche Systeme sind erreichbar? Welche Auswirkungen hätte ihre Kompromittierung? Und welche Schutzmaßnahmen sind erforderlich, um den Betrieb auch bei einem gezielten Angriff aufrechtzuerhalten?
Cybersicherheit wird damit zunehmend zu einer klassischen Engineering-Aufgabe. Schutzbedarf, Systemarchitektur, Verfügbarkeit, Wartbarkeit und Lebenszyklus müssen gemeinsam betrachtet werden.
Sicherheit braucht Zusammenspiel aller Beteiligten
Technische Architektur allein reicht jedoch nicht aus. In Bahnprojekten arbeiten Fahrzeughersteller, Betreiber, Systemintegratoren und zahlreiche Technologieanbieter zusammen. Werden Sicherheitsanforderungen erst spät in Ausschreibungen oder bei der Integration berücksichtigt, lassen sie sich oft nur mit hohem Aufwand ergänzen. Fließen sie dagegen bereits in die Systemarchitektur und die Auswahl der Komponenten ein, werden sie zu einer planbaren Systemeigenschaft.
Hinzu kommt das langfristige Schwachstellenmanagement. Hersteller müssen Sicherheitslücken identifizieren, bewerten und geeignete Maßnahmen bereitstellen können. In Bahnanwendungen lassen sich Updates jedoch in der Regel nicht unmittelbar einspielen. Sie müssen zunächst geprüft und getestet werden, bevor sie kontrolliert auf die betroffenen Fahrzeuge und Systeme ausgerollt werden können. Während dieses Zeitraums muss die Architektur das Risiko einer Ausnutzung der Schwachstelle durch Segmentierung, Zugriffskontrollen, Monitoring oder kompensierende Schutzmaßnahmen begrenzen. Langfristige Sicherheit kann deshalb nicht allein auf Patchmanagement beruhen, sondern muss durch geeignete architektonische Maßnahmen ergänzt werden.
Compliance ist der Ausgangspunkt
Normen und regulatorische Vorgaben bleiben für den Bahnsektor unverzichtbar. Sie schaffen ein gemeinsames Sicherheitsniveau und erleichtern es Betreibern und Integratoren, Anforderungen gegenüber Lieferanten eindeutig zu formulieren. Zertifizierte Komponenten bilden deshalb eine wichtige Grundlage für sichere Systeme. Entscheidend ist jedoch, wie diese Komponenten ausgewählt, konfiguriert und in die Gesamtarchitektur integriert werden. Ergänzende Beratungs- und Engineering-Leistungen können Betreiber und Systemintegratoren dabei unterstützen, den erforderlichen Schutzbedarf zu bestimmen, geeignete Sicherheitszonen zu definieren und eine Architektur für höhere Sicherheitsanforderungen zu entwickeln.
Die entscheidende Aufgabe beginnt jedoch dort, wo die Zertifizierung des einzelnen Produkts endet: an den Schnittstellen zwischen Geräten, Subsystemen und Organisationen. Genau dort muss eine moderne Cybersecurity-Architektur dafür sorgen, dass Zugriffe kontrolliert, Kommunikationswege begrenzt und Angriffe möglichst früh erkannt und eingedämmt werden.
Für langfristig betriebene Bahnsysteme lässt sich Cybersicherheit deshalb nicht als einmal erreichter Zertifizierungsstatus verstehen. Sie ist eine kontinuierliche Aufgabe. Compliance schafft die Grundlage. Resilienz entscheidet darüber, wie gut ein Bahnsystem auf das vorbereitet ist, was danach kommt.
