## Die vernetzte Fabrik steht nicht wegen „eines Virus“ still, sondern wegen unsichtbarer Entscheidungen
Wenn mir jemand sagt „wir haben Angst vor einem Angriff“, starte ich bei dem, was wirklich weh tut:
Stillstände, gerissene Termine, Nacharbeit, Umplanung, Marge, die verschwindet.
In der Praxis kommt ein Incident oft als gefährliche Normalität: ein Zugriff, der nie existieren dürfte, geerbte Rechte, geteilte Passwörter, ein „temporärer“ Rechner, der bleibt, eine Ausnahme ohne Dokumentation.
Und plötzlich hängt Kontinuität an Dingen, die nie bewusst entschieden wurden.
## Was ich unter vernetzter Fabrik verstehe
Nicht nur Maschinen im Netz. Sondern ein Ablauf, in dem Managementsysteme, Arbeitsplätze, industrielle Netze, Erfassungsgeräte und Datenflüsse zusammenlaufen, um Tempo zu gewinnen.
Tempo ist real. Die Konsequenz auch:
ohne Governance für Identitäten und Zugriffe wird die Fabrik fragil.
## Der häufigste Fehler: Sicherheit als Produkt kaufen
Antivirus, Appliance, „Dienstleister kümmert sich“.
Operative Cybersicherheit ist eine Disziplin.
Sie beginnt mit der Frage:
wer darf was anfassen – und was passiert, wenn es schiefgeht?
## Was auf dem Spiel steht: Kontinuität, Zusage, Reputation
Stillstand → Termine rutschen → Koordination explodiert → Entscheidungen werden schlechter → Nacharbeit → Marge sinkt.
Prinzip: Was nicht begrenzt ist, wird zum Incident.
## Die OT/IT-Grenze
Zwei Welten: Management und Operation.
Verbinden ist normal. Risiko entsteht, wenn daraus eine informelle Brücke wird: unkontrollierte Zugriffe, falsche Geräte, Remote-Tools ohne Spur, Ausnahmen als Routine.
Alarmzeichen: „es läuft, weil jemand es weiß“, nicht weil das System Grenzen erzwingt.
## „Uns passiert das nicht“ heißt oft „wir würden es nicht kommen sehen“
Auswirkung braucht kein Zielbild, nur Exposition.
Und es sieht nicht immer nach „Cyber“ aus: Logins scheitern, Systeme werden langsam, Aufträge verschwinden, Dateien öffnen nicht.
Ohne operative Signale nennt man es „IT-Problem“ – bis es zu spät ist.
## 9 Symptome für Exposition
Geteilte Passwörter, generische Accounts, geerbte Rechte, Remote-Zugriff ohne klare Logs, Geräte ohne Owner, Backups ohne Restore-Test, Updates endlos verschoben, mehrere Wahrheiten in Systemen, kleine Incidents normalisiert.
Das sind Governance-Signale.
## Der Kern: Identität, Berechtigung, Nachvollziehbarkeit
Wenn ich nur eine Ebene wähle: Identität + Rechte + Audit-Trail.
Drei Fragen: wer ist die Person? was darf sie genau? welche Evidenz bleibt?
Wenn das klar ist, arbeitet man nicht mehr mit Annahmen.
## Vollautonomie ist ein Mythos: es braucht Gates
Routine darf fließen. Kritisches geht durch ein Gate. Irreversibles braucht Freigabe.
Das ist kein Formalismus, sondern Margenschutz.
## Was zuerst bricht
Meist bricht Koordination: Prioritäten, Zusagen, Bestätigungen, Vertrauen in Daten.
Darum ist Cybersicherheit auch Krisenfähigkeit: entscheiden mit Evidenz.
## Fragen zur Blast-Radius-Einschätzung
Was kann weiterlaufen, wenn ein Kernsystem ausfällt? wie schnell erkennst du gefährdete Aufträge? Liste kritischer Assets? wer stoppt/wer startet? welche Remote-Zugriffe und wer auditiert? Restore getestet? Changes mit Freigabe? Konflikte zwischen Systemwahrheiten? wer entscheidet zuerst was?
## Abschluss
Ich will niemanden erschrecken. Ich will Heldentum aus Kontinuität entfernen.
Wenn du willst, schaue ich es mit dir in 15 Minuten an: wahrscheinliche Expositionspunkte, realer Blast Radius und Kriterien, um zu starten ohne den Betrieb zu lähmen.
