Vom Nice-to-have zur Pflicht: Cybersecurity im Verpackungsmaschinenbau

Flexibel, leistungsstark, effizient und gleichzeitig leicht zu bedienen: Die Anforderungen an moderne Verpackungsmaschinen sind alles andere als einfach zu erfüllen. Reine Mechanik und Automatisierungsfeatures reichen dazu längst nicht mehr aus. Erst intelligente Steuerungen und Vernetzung machen sie zu den intelligenten Kraftpaketen, die Maschinenbauer heute auf den Markt bringen. 

Software, digitale Schnittstellen, Fernwartungszugänge sowie vernetzte Steuerungen und Linienkomponenten haben die Maschinen inzwischen zum Teil eines komplexen IT- und OT-Systems gemacht. Diese Vernetzung bringt echten Mehrwert: transparentere Prozesse, lückenlose Rückverfolgbarkeit, datenbasierte Produktionsoptimierung, vorausschauende Wartung und schnellere Serviceeinsätze. Doch genau diese Stärke wird zur Schwäche: Je enger Maschinen, Unternehmensnetzwerke und externe Dienstleister verbunden sind, desto größer die Angriffsfläche für Cyberangriffe. Der gewünschte Datenaustausch steht damit in einem direkten Spannungsverhältnis zu Sicherheits- und Security-Aspekten. „Ein Cyberangriff kann nicht nur zu Produktionsausfällen und erheblichen finanziellen Schäden führen, sondern auch die Produktsicherheit gefährden oder sensible Daten kompromittieren“, betont Christian Meyer, Senior Solution Architect – Cybersecurity bei Siemens.

Cybersicherheit von der Designphase bis zum Support-Ende

Auch regulatorisch nimmt der Handlungsdruck spürbar zu: NIS2 richtet den Blick auf die Sicherheit von Unternehmen, der Cyber Resilience Act (CRA) adressiert die Cybersicherheit vernetzter Produkte und ihrer Hersteller beziehungsweise Inverkehrbringer, und auch die europäische Maschinenverordnung verknüpft Safety – den Schutz von Mensch und Umwelt vor Gefahren der Maschine – zunehmend mit Security, also dem Schutz der Maschine vor gezielten Cyberangriffen.

Wer ist betroffen – und wer haftet?

Alle Verpackungsmaschinen, die über digitale Schnittstellen verfügen oder Software enthalten, sind vom CRA betroffen. Dazu gehören Steuerungen (PLCs), HMI-Systeme, industrielle PCs, aber auch Sensoren und Aktoren, die vernetzt sind, sowie die gesamte Kommunikationsinfrastruktur. „Komponenten, die als eigenständige Produkte mit digitalen Elementen in den Verkehr gebracht werden, fallen ebenfalls unter den CRA“, ergänzt Meyer.

Der CRA verteilt die Verantwortlichkeiten dabei unterschiedlich. So müssen Hersteller sicherstellen, dass ihre Maschinen bzw. Komponenten zum Zeitpunkt ihres Inverkehrbringens und während des Unterstützungszeitraums CRA-konform sind. Einführer und Händler wiederum unterliegen Überprüfungs-, Nachweis- und Informationspflichten in Bezug auf die Produktkonformität.

Automatisierungspartner und Komponentenlieferanten wie Siemens sind zwar nicht direkt Adressaten der EU-Verordnung, ihre Rolle bei der Bereitstellung cybersicherer Produkte und Informationen ist für den Hersteller jedoch von entscheidender Bedeutung, wie Meyer betont. Schließlich sei der Integrator für das von ihm hergestellte Produkt einschließlich der darin enthaltenen Fremdkomponenten verantwortlich.

Der Betreiber fällt nicht in den Anwendungsbereich des CRA. Er ist jedoch weiterhin für den sicheren Betrieb der gesamten Anlage in seiner spezifischen Umgebung verantwortlich. „Dies beinhaltet die Bewertung von Risiken für seine Betriebsumgebung, das zeitnahe Einspielen von Sicherheitsaktualisierungen, die von den Herstellern bereitgestellt werden, sowie den Schutz seiner eigenen IT- und OT-Infrastruktur“, sagt Meyer.

CRA: Marathon statt Sprint – was jetzt zu tun ist

Der CRA wird zwar erst im Dezember 2027 wirksam, doch die Vorbereitung darauf ist nicht zu unterschätzen. „Verpackungsmaschinenhersteller sollten umgehend eine Bestandsaufnahme ihrer Produkte vornehmen und bewerten, welche davon unter den CRA fallen“, rät Meyer und betont weiter: „Eine Risikoanalyse ist unerlässlich, um potenzielle Schwachstellen zu identifizieren.“ Zudem ist es Meyer zufolge entscheidend, „Security by Design“-Prinzipien in den Entwicklungsprozess zu integrieren und Prozesse für das Schwachstellenmanagement und die Bereitstellung von Sicherheitsaktualisierungen zu etablieren.

Anwender wiederum sollten nach den Worten des Senior Solution Architects ihre eigenen Betriebsprozesse auf Cybersicherheit ausrichten, beispielsweise durch regelmäßige Schulungen ihrer Mitarbeiter. Zu weiteren wichtigen Maßnahmen gehören:

• Netzwerksegmentierung: trennt kritische Produktionsbereiche von weniger schützenswerten Netzen und verhindert die Ausbreitung von Angriffen
• Firewalls und Anomalieerkennungssysteme: blockieren unerlaubte Zugriffe und erkennen verdächtige Aktivitäten
• Sichere Authentifizierungs- und Autorisierungsmechanismen: stellen sicher, dass nur befugtes Personal Zugriff auf die Maschinen hat
• Verschlüsselung von Kommunikationsdaten: schützt vor dem Abhören sensibler Informationen
• Regelmäßige Sicherheitsupdates und Patches für alle Softwarekomponenten schließen bekannte Schwachstellen.

Cybersecurity wird zum Wettbewerbsfaktor

Vor dem Hintergrund der CRA wandelt sich Cybersecurity von einer reinen Compliance-Anforderung zu einem entscheidenden Wettbewerbsfaktor im Verpackungsmaschinenbau. „Kunden, insbesondere große Konzerne, werden zunehmend Maschinen bevorzugen, die nachweislich hohe Sicherheitsstandards erfüllen“, ist Meyer überzeugt.

Eine robuste Cybersicherheit geht weit über den Schutz vor Angriffen hinaus. Denn wenn Ausfallzeiten durch Cybervorfälle minimiert werden, erhöht das die Anlagenverfügbarkeit. Hersteller wiederum können mit überzeugenden Maßnahmen Vertrauen schaffen und ihre Reputation stärken. „Ähnlich wie Energieeffizienz oder Servicefähigkeit wird die Cyberresilienz einer Maschine zu einem Qualitätsmerkmal, das Kaufentscheidungen maßgeblich beeinflusst“, sagt Meyer und ergänzt: „Hersteller, die frühzeitig in Cybersicherheit investieren und dies transparent kommunizieren, werden sich einen klaren Vorteil am Markt sichern.“