Railway Security: OT-Sicherheit für Bahnbetreiber und Zulieferer
Wir prüfen Leit- und Sicherungstechnik, ETCS-Umfeld und Fahrzeuge im Fenster des Fahrplans, bauen die Erkennung dafür auf und üben den Ernstfall am eigenen Zugmodell. Für Infrastrukturbetreiber, Eisenbahnverkehrsunternehmen und Zulieferer.
Stellwerkstechnik mit Lebenszyklen von Jahrzehnten, ETCS-Komponenten und moderne Diagnoseplattformen arbeiten im selben Verbund. Für Sicherheitsprüfungen heißt das: Verfügbarkeit und Safety haben Vorrang und geprüft wird im Fenster des Fahrplans.
Vier Vorfälle und keiner traf die Sicherungstechnik
Im August 2023 kamen in Polen rund zwanzig Züge zum Stehen, weil jemand über den analogen Zugfunk das Radio-Stop-Signal absetzte. Dafür genügen drei Töne auf einer bekannten Frequenz. Es gibt keine Authentisierung, weil das Verfahren aus einer Zeit stammt, in der die Sendetechnik selbst die Zugangshürde war.
2022 wurden an taiwanischen Bahnhöfen Anzeigetafeln mit fremden Inhalten bespielt, ein Jahr zuvor hatte ein Angriff auf die iranische Eisenbahn Fahrgastinformation und Betriebsabläufe gestört. Ende 2023 wurde öffentlich, dass in der Steuerungssoftware einer Fahrzeugbaureihe Logik hinterlegt war, die Fahrzeuge nach Wartung in einer fremden Werkstatt stilllegte.
Die Lehre daraus ist nicht, dass Stellwerke unsicher wären. Keiner dieser Vorfälle traf die zugelassene Sicherungstechnik. Getroffen wurden der Funk, die Fahrgastinformation und die Lieferkette, also genau die Bereiche, die im Zulassungsverfahren keine Rolle spielen und in denen die Digitalisierung am schnellsten voranschreitet.
Was in den letzten Jahren dazugekommen ist
Die Sicherungstechnik ist streng geregelt. Alles daneben ist es nicht und dort ist die Vernetzung gewachsen.
IP in der Leittechnik
Elektronische Stellwerke werden durch digitale ersetzt, Kommunikation läuft zunehmend über IP statt über Punkt-zu-Punkt-Verbindungen. RaSTA sichert die Übertragung, ersetzt aber keine Netzsegmentierung.
Fernwartung und Werkstatt
Hersteller brauchen Zugang für Diagnose und Update, Instandhaltung arbeitet mit mobilen Geräten. Der kürzeste Weg ins Fahrzeug führt heute über die Werkstatt, nicht über die Strecke.
Funk zwischen Fahrzeug und Strecke
ETCS bringt eine dauerhafte Funkverbindung, während der analoge Zugfunk parallel weiterläuft. Zwei Generationen von Übertragungstechnik nebeneinander, mit sehr unterschiedlichen Sicherheitseigenschaften.
Was wir im Bahnumfeld gemacht haben
An einer Stellwerkslandschaft haben wir über sechs Monate geprüft, ohne in den laufenden Verkehr einzugreifen. Ergebnis war ein Risk-Assessment mit Zonen- und Conduit-Modell, nicht eine Liste von Scanbefunden. Ein Beispiel dazu finden Sie unten auf dieser Seite.
Dazu haben wir mehrere Security Operations Center für den Schienenverkehr aufgebaut. Sie sind seit 2019 in Betrieb, mit Use-Case-Entwicklung als eigenem Team und mit Datenquellen aus IT und OT in denselben Auswertungen.
Die dafür nötige Protokollkenntnis stammt nicht aus Normentexten allein. Wir haben Netzwerkanalysen und Datenaufzeichnungen an echten Zügen durchgeführt, unter anderem auf einem Forschungszug von DB Systemtechnik und an einem ICE TD der Baureihe 605.
Wie im Bahnumfeld geprüft wird
Ein Schwachstellenscan, der in einem Büronetz unauffällig bleibt, kann in einer Signaltechnik-Umgebung eine Störung auslösen. Verfügbarkeit und Safety stehen vor Vertraulichkeit und Zulassungsstände dürfen nicht angetastet werden.
Prüfungen laufen deshalb passiv oder in klar abgegrenzten, freigegebenen Netzbereichen. Testfenster orientieren sich am Fahrplan, nicht am Projektplan, Abbruchkriterien stehen vorher fest. Wo eine Aussage nur durch Eingriff zu bekommen wäre, bilden wir sie am eigenen Aufbau nach.
Geprüft werden die Leit- und Sicherungstechnik mit ihren SCI-Schnittstellen und der Übertragung über RaSTA, das ETCS-Umfeld mit Streckenzentrale, Balisen und Funkstrecke, die Betriebsleitzentrale mit Disposition und Störungsmanagement und fahrzeugseitig die Busse samt Diagnosezugang.
Angriffserkennung auf dem Fahrzeugbus
Der Multifunction Vehicle Bus ist in IEC 61375 genormt, aber die Umsetzungen der Hersteller gehen auseinander. Eine Überwachung, die nur eine Variante versteht, ist im gemischten Fuhrpark wertlos. Wir haben deshalb eine herstellerneutrale Erkennung dafür gebaut: Aufzeichnungen aus Systemen unterschiedlicher Herkunft und eine eigene virtuelle Umgebung laufen über schlanke Adapter in ein gemeinsames, normkonformes Datenmodell.
Erkannt wird hybrid, regelbasiert für bekannte Muster und lernbasiert für statistische Abweichungen. Der Bus kennt keine Absenderprüfung, wer auf ihm senden darf, kann sich als jede Komponente ausgeben. Genau das haben wir am eigenen Aufbau nachgestellt: ein kompromittiertes Anzeigegerät, das Sicherheitstelegramme fälscht und damit eine ungeplante Notbremsung und einen Brandmelde-Fehlalarm auslöst.
Erprobt unter realen Betriebsbedingungen auf einem Forschungszug. Dort zeigen sich die Randbedingungen, die ein Zug mitbringt: Die Mobilfunkanbindung ist begrenzt, deshalb filtern die Sensoren vor. Verbindungen brechen ab, deshalb wird an Bord gepuffert.
Training am Zugmodell
An einem Zug im Betrieb kann man nicht üben. Deshalb steht bei uns ein Modell mit den Systemen, die ein echtes Fahrzeug ausmachen: Antriebssteuerung, Klimatisierung, Türsteuerung und Anzeige, verbunden über die Busse, die im Schienenfahrzeug tatsächlich eingesetzt werden.
Daran arbeiten technische Teams an Protokollanalyse, Anomalieerkennung und dem Schreiben eigener Erkennungsregeln. Für Verantwortliche und Instandhaltung geht es um Verständnis und um die Abwägung, die im Ernstfall unter Zeitdruck fällt: Betriebseinschränkung oder Weiterfahrt, eingrenzen oder beobachten, wann wird gemeldet.
Eine Angriffstaxonomie, die die Schiene abbildet
Für die strukturierte Bewertung von Bedrohungen braucht es ein gemeinsames Vokabular. In der klassischen IT leistet das MITRE ATT&CK. Für Fahrzeuge und Schiene greift es zu kurz: Es kennt keine Feldbusse, keine Balisen und keinen Zugfunk und es bildet nicht ab, dass ein Angriff hier unmittelbar physische Folgen hat.
Wir haben deshalb in einem geförderten Verbundvorhaben eine eigene Taxonomie entwickelt und 2023 auf einem ACM-Symposium vorgestellt. Sie ordnet gegnerisches Vorgehen in vierzehn Taktikklassen, von der Manipulation der Umgebung über den Erstzugriff bis zur Auswirkung. Darunter beschreibt sie die konkreten Techniken. Angriffe über Funk sind darin eine eigene Technik, weil sie sich in keiner IT-Kategorie sinnvoll unterbringen lassen.
Praktisch dient sie an drei Stellen: als Raster, gegen das ein Assessment seine Vollständigkeit prüft, als Quelle für Erkennungsregeln und als gemeinsame Sprache, wenn ein Befund zwischen Betreiber, Hersteller und Prüfer eingeordnet werden muss.
Mehrere Regelwerke gleichzeitig, mit verschiedenen Fragen
Für die Bahn treffen mehrere Regelwerke aufeinander. Die CENELEC-Normen EN 50126, 50128 und 50129 regeln Zuverlässigkeit, Software und Sicherheit in der Leit- und Sicherungstechnik. TS 50701 bringt Cybersicherheit in diese Welt. Daneben stehen IEC 62443, die Meldepflichten aus dem BSIG und die Anforderungen aus NIS2.
Der praktische Konflikt liegt selten im Text der Normen, sondern in ihrer Gleichzeitigkeit. Ein Nachweis nach TS 50701 beantwortet nicht automatisch die Meldepflichten aus dem BSIG und eine NIS2-Registrierung sagt nichts darüber aus, ob eine Stellwerkslandschaft technisch segmentiert ist.
Wir ordnen zu Beginn ein, welche Anforderung durch welchen Nachweis abgedeckt ist und welche offen bleibt.
Wie ein Einstieg konkret aussieht
Der übliche Anfang ist eine abgegrenzte Architektur- und Segmentierungsprüfung, nicht ein Großprojekt.
Erstgespräch, etwa eine Stunde
Architekturrahmen, Zulassungsstände, regulatorische Einordnung und die Frage, welche Testfenster überhaupt zur Verfügung stehen.
Was Sie bereitstellen
Netzpläne und Anlagendokumentation, Ansprechpartner aus Leit- und Sicherungstechnik sowie IT und die Möglichkeit, an einem freigegebenen Übergang passiv mitzuschneiden.
Abgegrenzte Prüfung
Architektur, Segmentierung und reale Kommunikationspfade an einem definierten Ausschnitt, passiv im Betrieb, aktiv nur im freigegebenen Fenster.
Ergebnis und Priorisierung
Zonen- und Conduit-Modell, dokumentierte Befunde mit technischer Einordnung und eine Reihenfolge, die zwischen sofort, nächstem Wartungsfenster und Restrisiko trennt.
Was Betreiber und Zulieferer uns vorher fragen
Ja, passiv. Architekturbewertung, Konfigurationsprüfung und Analyse der Kommunikationsbeziehungen laufen ohne Eingriff. Aktive Tests gehören in ein freigegebenes Fenster, einen abgegrenzten Netzbereich oder an einen Laboraufbau.
Nein. Wir verändern keine zugelassenen Konfigurationen. Wo eine Prüfung nur durch Eingriff möglich wäre, bilden wir sie am eigenen Aufbau nach.
Einer der besten. Vor der Abnahme eines Digitalisierungsvorhabens oder beim Anbinden neuer Fernwartungswege lässt sich das Zonenkonzept noch gestalten, statt es hinterher zu korrigieren.
Ja. Fahrzeugseitige Kommunikation ist ein eigener Schwerpunkt, einschließlich der Erkennung auf dem Fahrzeugbus. Dafür haben wir ein eigenes Zugmodell aufgebaut.
Zuerst die Reichweitenfrage: Was war von dort tatsächlich erreichbar. Wir arbeiten die realen Kommunikationspfade heraus und grenzen ein, welche Bereiche betroffen sein konnten und welche nicht.
