Digitale Eingriffe, reale Risiken: Was die TRBS 1115 Teil 1 jetzt von Betreibern verlangt

Wenn technische Sicherheit digital angreifbar wird: Cybersicherheit überwachungsbedürftige Anlagen

Überwachungsbedürftige Anlagen standen lange unter einer klaren Prämisse: Technik darf Menschen nicht gefährden. In der Vergangenheit lag der Schwerpunkt dabei eher auf konventionellen, um nicht zu sagen mechanischen Komponenten. Nunmehr rückt jedoch auch die zunehmende Digitalisierung verstärkt in diesen Fokus. Woraus sich heute eine zusätzliche Frage ergibt: Was passiert, wenn digitale Steuerungen angreifbar sind, wenn sie manipuliert werden?

Die TRBS 1115 Teil 1 hat diese Perspektive deutlich geschärft. Cybersicherheit ist darin kein optionaler Zusatz mehr, sondern integraler Bestandteil der Gefährdungsbeurteilung. Sobald sicherheitsrelevante MSR-Einrichtungen digital beeinflusst werden können - sei es über Netzwerke, Fernzugriffe oder Konfigurationsschnittstellen - müssen mögliche Gefährdungen systematisch betrachtet werden. Mit der Version 2026 wurde die Regel weiter konkretisiert. Der Anwendungsbereich ist klarer gefasst, angrenzende IT- und OT-Komponenten werden ausdrücklich mitgedacht, Fehlanwendungen und missbräuchliche Handlungen berechtigter Personen sind explizit berücksichtigt.

Parallel dazu übersetzt der EK-ZÜS-Beschluss B-002 rev 5 die Anforderungen in prüfbare Maßstäbe für zugelassene Überwachungsstellen (ZÜS). Der Beschluss ist eine verbindliche Vorgabe des Erfahrungsaustauschkreises zugelassener Überwachungsstellen (EK ZÜS): Es werden einheitliche Prüfstandards für überwachungsbedürftige Anlagen (z.B. Aufzüge, Druckanlagen) in Deutschland festgelegt, die dann von ZÜS-Sachverständigen bei Prüfungen Anwendung finden. Ab April 2026 gilt: Cybersicherheitsmaßnahmen müssen nachvollziehbar geplant, fachkundig abgeleitet, dokumentiert und auf Wirksamkeit überprüft sein.

• Was bedeutet das für Betreiber in der Praxis?
• Wo liegen typische Schwachstellen?
• Und wie lässt sich Cybersicherheit strukturiert und prüffest in bestehende Sicherheitskonzepte integrieren?

Wir haben unter anderem zu diesen Fragestellungen mit dem TÜV Thüringen-Sachverständigen für Cyber Security Herrn Sebastian Mann gesprochen, der die Entwicklung seit Einführung der TRBS 1115 Teil 1 eng begleitet und in Prüfungen täglich erlebt, wo Unternehmen stehen.

 

TRBS 1115 Teil 1: Cybersicherheit als Teil der Gefährdungsbeurteilung

Warum ist Cybersicherheit für sicherheitsrelevante MSR-Einrichtungen heute kein „Nice-to-have“ mehr, sondern explizit Teil der Gefährdungsbeurteilung?

Sebastian Mann: Weil der Gesetzgeber sehr klar gemacht hat, dass Cybersicherheit kein separates IT-Thema ist, sondern Teil des Arbeitsschutzes. Sobald eine sicherheitsrelevante MSR-Einrichtung digital beeinflusst werden kann, muss ich mich fragen, ob dadurch eine Gefährdung für Menschen entstehen kann. Und genau das ist der Kern der Gefährdungsbeurteilung. Es geht also nicht darum, ob ein Angriff wahrscheinlich ist, sondern ob er prinzipiell möglich ist und welche Folgen er hätte. Diese Logik zieht sich heute durch die TRBS 1115 Teil 1. Gerade bei überwachungsbedürftigen Anlagen ging es bisher vor allem um den Schutz von Menschen vor Gefahren, die von Technik ausgehen. Im Zuge der Digitalisierung wird nun auch der Schutz der Technik vor Gefahren, die von Menschen ausgehen, betrachtet. Implizit geht es dabei natürlich auch wieder um den Schutz von Menschen, da manipulierte Technik Gefahren hervorrufen kann.

 

Was sich mit der Version 2026 ändert

Wenn Cybersicherheit damit integraler Bestandteil der Gefährdungsbeurteilung ist, stellt sich die Frage nach der Ausgestaltung in der aktuellen Regelung. Was hat sich mit der Version 2026 der TRBS 1115 Teil 1 konkret verändert?

Sebastian Mann: Die Regel ist deutlich praxisnäher geworden. Zum einen wird klarer beschrieben, welche Einrichtungen überhaupt betrachtet werden müssen – und das sind eben nicht nur klassische sicherheitsrelevante MSR, sondern auch Notruf- oder Notbefehlseinrichtungen, bestimmte angrenzende IT- und OT-Komponenten und sogar MSR, die auf den ersten Blick nicht sicherheitsrelevant erscheinen. Zum anderen wird jetzt viel deutlicher gesagt, dass auch Fehlanwendungen oder missbräuchliche Handlungen berechtigter Personen eine Rolle spielen können. Und ganz wichtig: Mit dem neuen Anhang gibt es endlich konkrete Beispiele und Erläuterungen, die Unternehmen bei der Umsetzung wirklich helfen.

 

Ab wann wird es cybersicherheitsrelevant?

Die erweiterte Betrachtung wirft in der Praxis eine zentrale Abgrenzungsfrage auf und viele Betreiber sind unsicher: Ab wann ist eine sicherheitsrelevante MSR-Einrichtung überhaupt cybersicherheitsrelevant?

Sebastian Mann: Das lässt sich eigentlich recht einfach beantworten. Immer dann, wenn eine Einrichtung digitale Schnittstellen hat und man sich vorstellen kann, dass jemand darüber eingreift, muss man genauer hinschauen. Wenn durch so einen Eingriff zum Beispiel eine Sicherheitsfunktion blockiert wird, falsch auslöst oder Parameter verändert werden, dann reden wir über Cybersicherheitsrelevanz. Ob das Ganze über ein großes Netzwerk läuft oder nur über ein Konfigurationsgerät spielt dabei erst einmal keine entscheidende Rolle.

 

Von der Regel in die Prüfpraxis

Neben der TRBS selbst prägt ein weiteres Dokument die betriebliche Realität erheblich. Wie passt dazu der EK-ZÜS-Beschluss B-002 rev 5?

Sebastian Mann: Der Beschluss ist im Grunde die Übersetzung der TRBS in die Prüfpraxis der zugelassenen Überwachungsstellen, wie dem TÜV Thüringen. Er legt fest, wie die ZÜSen Cybersicherheitsmaßnahmen bewerten sollen. Das bedeutet: Es wird nicht mehr nur gefragt, ob irgendetwas „gemacht“ wurde, sondern ob es nachvollziehbar geplant, dokumentiert, fachkundig festgelegt und umgesetzt worden ist. Für Betreiber heißt das ganz klar, dass Cybersicherheit prüfbar geworden ist und zwar ähnlich strukturiert wie andere sicherheitstechnische Themen auch. Ab April 2026 findet der Beschluss Anwendung, wenn der TÜV-Prüfer ins Haus kommt.

 

Welche Vorgehensweisen akzeptiert werden

Für Betreiber entscheidend ist weniger die Theorie als die konkrete Bewertung im Prüfprozess. Welche Vorgehensweisen akzeptiert die ZÜS bei der Prüfung?

Sebastian Mann: Das ist die Frage, die wir regelmäßig von unseren Kunden hören. Die Antwort ist relativ einfach: Es gibt keine vorgeschriebene Form der Dokumentation der abgeleiteten Cybersicherheitsmaßnahmen. Das hilft natürlich nicht weiter. Es gibt sicherlich verschiedene Möglichkeiten. Eine Orientierung gibt der Anhang 1 des EK-ZÜS-Beschluss B-002 rev 5. Dort gibt es eine Schritt-für-Schritt-Anleitung, die genutzt werden kann - aber nicht muss. Ebenso denkbar ist eine Anlehnung an etablierte Standards wie ISA/IEC 62443, BSI-Standard 200, BSI IT-Grundschutz oder BSI ICS-Security-Kompendium.

 

Typische Schwachstellen in der Praxis

Die Anforderungen sind definiert. Doch wo liegen aktuell die größten Defizite? Was sind typische Schwachstellen, die Sie aktuell in Prüfungen sehen?

Sebastian Mann: Sehr häufig sehen wir, dass es zwar technische Maßnahmen gibt, aber keine saubere Herleitung. Es fehlt dann zum Beispiel eine Bedrohungsanalyse oder eine klare Beschreibung, welchen Sollzustand man eigentlich erreichen wollte. Ganz häufig erleben wir, dass als einzige Maßnahme ein Zutrittsschutz etabliert ist. Abgeschlossene Schaltschränke, Türen und Firmengelände reichen aber als alleinige Cybersicherheitsmaßnahmen in vielen Fällen nicht aus. Ein weiteres Thema sind Fernzugriffe, die historisch gewachsen sind und nie richtig geregelt wurden. Und oft sind organisatorische Maßnahmen, wie Zuständigkeiten oder Unterweisungen, entweder unvollständig oder gar nicht dokumentiert. Eine große Herausforderung stellt die Möglichkeit der drahtlosen Parametrisierung bspw. via Bluetooth dar. Hier sehen wir regelmäßig Nachlässigkeiten in der Absicherung wie z.B. fehlende oder schlechte Passwörter.