Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Beitrag drucken

Komplexe Systeme kontrollieren

Risikomanagement in der Produktion

Trotz allem technologischen Fortschritt lassen sich Risikismen wie Maschinenstillstände und Produktionsausfälle nicht vollständig vermeiden. Bedingt durch unter Kosten- und Effizienzdruck optimierte Produktionsabläufe, bei denen ‚Just-in-time‘ oder ‚Just-in-sequence‘ geliefert wird, fallen die Folgen von Fehlfunktionen, Unfällen oder anderen Unwägbarkeiten für produzierende Unternehmen sogar zunehmend gravierender aus. Grund genug für Betriebe, potenzielle Risikofelder unter die Lupe zu nehmen, um im Notfall besser gerüstet zu sein. Denn mangelnde Sicherheitsvorkehrungen können die Existenz eines Betriebs gefährden.

Bild: Fotolia – th-photo

Die Zeiten haben sich geändert. Geschäftsführer und Vorstände müssen sich aufgrund komplexer Liefernetzwerke und damit zunehmender Abhängigkeit von äußeren Einflüssen nicht mehr ’nur‘ um den Schutz der eigenen Mitarbeiter und unternehmensinternen Anlagen kümmern. Auch die vertraglichen Verpflichtungen gegenüber Kunden und Lieferanten haben in den letzten Jahren stark zugenommen. Und nicht zu vergessen gilt es die zahlreichen gesetzlichen Verpflichtungen im Bereich IT-Sicherheit entlang der gesamten Wertschöpfungskette – angefangen bei Forschung und Entwicklung (F&E) bis hin zur Auslieferung der fertigen Produkte – die Betriebe ebenfalls erfüllen müssen.

Insgesamt kein leichtes Unterfangen für die Verantwortlichen. Denn das Risiko von negativen Auswirkungen auf den Geschäftserfolg hat sich potenziert: Neben unwägbaren wirtschaftlichen Schwankungen erwächst auch aus dem Bereich der Informationstechnologie zunehmend ein hohes Risikopotenzial. Gleichwohl ist die Bedeutung der IT für die Weiterführung der Geschäftstätigkeit nicht der einzige Grund dafür, ein gehöriges Maß an Aufmerksamkeit auf die Absicherung der eigenen IT-Systeme zu richten. Auch der Gesetzgeber fordert dies mit Nachdruck ein: Zum Beispiel im Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (Kontrag), im Bundesdatenschutzgesetz (BDSG) oder auch im Aktiengesetz (AktG) sind Normen aufgeführt, die unter anderem den ordnungsgemäßen Umgang mit Unternehmensdaten festlegen. Besonders bei Branchen, in denen Hersteller unternehmensübergreifend mit vielen Zulieferern und Kunden zusammenarbeiten und ein ständiger Austausch sensibler Daten stattfindet, wird von Unternehmen gefordert, dass sie sich mit Themen rund um IT-Sicherheit und Verfügbarkeit genauestens auseinandersetzen. Bei Nichtbeachtung drohen im schlimmsten Fall zivilrechtliche Haftung gegenüber dem eigenen Unternehmen und Dritten genauso wie strafrechtliche Verantwortlichkeit.

Abhängigkeit von der Infrastruktur birgt Risiken

Auch die Anforderungen in der Produktion sind zunehmend gestiegen: Bedingt durch Fertigung basierend auf Just-in-time- (JIT) und Just-in-sequence-Szenarien (JIS) stehen Betriebe vor drastisch verkürzten Produktentwicklungsprozessen oder dem Anspruch, Änderungen bis zum letzten Moment in die laufende Produktion überführen zu müssen. Dies alles wäre ohne IT-Unterstützung nicht realisierbar, folglich sind IT-Systeme als integraler Bestandteil der Wertschöpfungskette nicht mehr wegzudenken. Darüber hinaus ist die Infrastruktur im Unternehmen auch Träger sämtlicher Prozesse, Anwendungen und Daten. Genau hier liegt der Knackpunkt: Eine unvorhersehbare Krise kann die Existenz des Unternehmens gefährden. Denn aufgrund der hohen Abhängigkeit von der Infrastruktur bedeuten IT-Störungen oftmals eine umgehende Unterbrechung von Geschäfts- und Fertigungsprozessen.

Vom Druckerstillstand zum Lieferengpass

Die Ursachen für eine Krise sind mitunter recht trivial. Wenn etwa aufgrund einer defekten Druckerstation keine Fracht- und Lieferpapiere ausgefüllt werden können, behindert dies eventuell eine rechtzeitige Auslieferung von dringend angeforderten Ersatzteilen. Aber die Sachlage kann auch sichtbar gravierend sein, insbesondere in der Fertigung, weil die industriellen Produktionsanlagen immer anfälliger für Angriffe von außen werden. Denn hier sind heute vermehrt statt herstellerspezifischer Kommunikationsprotokolle zusammenhängende Ethernet-Lösungen oder Betriebssysteme wie Windows oder Linux im Einsatz. Die Nutzung von Informationstechnologien ermöglichen dabei eine so genannte vertikale Integration, also die Zusammenführung von technischen Prozessen und Geschäftsprozessen. Eine Kehrseite der Medaille: Durch das Zusammenwachsen der bis dato isolierten Produktions- und Bürobereiche entstehen neue Schwachstellen im System. Denn über diese Vernetzung können auch in Produktionsanlagen schwerwiegende Konsequenzen, etwa Maschinenschäden oder Produktionsausfälle, durch Schadsoftware wie Viren oder Würmer hervorgerufen werden. Das zeigte im letzten Jahr das Schadprogramm Stuxnet.

Einführung und Umsetzung von Risikomanagement

Empfohlene Vorgehensweisen und zentrale Werkzeuge

  • Business Impact Analyse (BIA): Hierdurch wird unter anderem ermittelt, welche konkreten finanziellen Auswirkungen der Ausfall bestimmter Geschäfts- und Fertigungsprozesse bedeutet.
  • Information Security Management System (ISMS): Ein Managementsystem für Informationssicherheit klassifizert Daten, etwa nach Relevanz für den Unternehmenserfolg oder gesetzlichen Auflagen – beispielsweise für den Datenschutz.
  • Bestandsaufnahme der IT: Aufnahme zentraler IT-Komponenten und Prozesse sowie deren verständliche Darstellung in einem geschäftsbezogenen logischen Modell.
  • Bestandsaufnahme von Risiken (Risk-Assessment): Als Grundlage dient der Abgleich der Prozesse mit zugehörigen IT-Anwendungen, sowie die entsprechende Bewertung der Risiken (Scoring und Priorisierung).
  • Bestandsaufnahme des Sicherheits-Status (Security-Assessment): Im Rahmen dieser Überprüfung wird zum Beispiel durch Penetrationstests und andere Angriffsverfahren ermittelt, wie schnell sich ein Unbefugter Zugriff zum Unternehmensnetzwerk verschaffen kann.

Gezieltes Risikomanagment als Gegenmittel

Für den richtigen Umgang mit solchen Vorfällen und ihren potenziellen Auswirkungen muss ein Prozess im Unternehmen etabliert werden, um alle internen und externen Risiken systematisch zu identifizieren und erfassen sowie im Weiteren einzeln zu definieren und zu beschreiben. Der nächste Schritt auf dem Weg zur optimalen Einführung von IT-Risikomanagements besteht aus der Bewertung aller Risiken um die kritischen Punkte herauszukristallisieren, die etwa die Existenz des Unternehmens bedrohen könnten. Hierzu muss unter anderem untersucht werden, welche Abläufe essenziell für die Gewinnerzielung des Unternehmens sind, welche Services diese Prozesse unterstützen und welche Verfügbarkeitsanforderungen an die IT bestehen. Dabei gilt es auch Ausfallfolgen wie Konventionalstrafen oder schlechte Reputation zu bedenken. Für die wirtschaftliche Betrachtung von Risiken müssen wiederum Eintrittswahrscheinlichkeit und die zu erwartende Schadenshöhe in Relation gesetzt werden. Eine sorgfältige Abschätzung der Risiken ist auch wichtig, da bei einer vernünftigen Kosten-/Nutzenbetrachtung nicht die gesamte IT gleichmäßig abgesichert werden kann. Daher muss die Geschäftsführung entscheiden, welche Risiken sie noch zu tragen bereit ist.

Insgesamt unterstützt ein so aufgebauter Risikomanagement-Prozess neben dem bewussten Umgang mit organisatorischen Risiken durch den Einsatz von IT letztlich auch eine optimale Absicherung der Infrastruktur, orientiert an Unternehmenszielen und Geschäftsfunktionen. Dazu ist es unumgänglich, alle zur Absicherung nötigen technischen, organisatorischen und rechtlichen Schritte zusammenzufassen. Daraufhin können konkrete Maßnahmen für Business Continuity und Business Secirity angeleitet werden. Darunter fällt das Einrichten eines Backup-Servers, der im Bedarfsfall sofort in Betrieb genommen werden kann, genauso wie Verschlüsselungsmaßnahmen, um das Unternehmen gegen Spionage abzusichern. Der hohe Schutzbedarf produzierender Unternehmen fordert eine intelligente und umfassende Strategie – überhastete, punktuelle Aktionen sind nur selten zielführend.

Durchgehende Sicherheit benötigt einen Regelkreis

Risikomanagement ist Chefsache – für Einführung und Kontrolle bedarf es der Festlegung klarer Zuständigkeiten. Des Weiteren muss ein systematischer Regelkreislauf etabliert werden. Denn für eine effiziente Sicherheitsstrategie gilt es, unternehmensspezifische Gegebenheiten regelmäßig zu überprüfen – und damit unter anderem auch, ob Schutzziele und Bedrohungsszenarien noch bestehen oder ob sich neue Sachverhalte ergeben haben. Insgesamt entsteht durch diesen Prozess eine Transparenz, die nicht nur zur Reduzierung von Kosten führt, sondern auch das zeitnahe Schließen von Sicherheitslücken ermöglicht. So trägt Risikomanagement dazu bei, betriebliche und IT-bedingte Ausfälle möglichst im Vorfeld zu verhindern und notfalls auf mögliche Folgen eines Ausfalls angemessen reagieren zu können.


Das könnte Sie auch interessieren:

Die 16. FMB – Zuliefermesse Maschinenbau findet vom 10. bis 12. November 2021 im Messezentrum Bad Salzuflen statt. Zu den Topthemen kürte Veranstalter Easyfairs die Oberflächentechnik und Digitalisierung.‣ weiterlesen

Produktionsunternehmen sollen mit den neuen IoTmaxx-Mobilfunk-Gateways Maschinendaten besonders schnell in die AnyViz-Cloud übertragen können.‣ weiterlesen

Self-Service-Technologie, digitale Assistenten, künstliche Intelligenz - die Digitalwerkzeuge fürs Kundenbeziehungsmanagement werden immer ausgefeilter. Sind CRM- und ERP-System gut integriert, lassen sich im Sinn des xRM-Ansatzes auch leicht die Beziehungen zu Geschäftspartnern IT-gestützt pflegen.‣ weiterlesen

Vor allem KMU befürchten häufig, bei der IT-gestützten Prozessoptimierung im Vergleich zu Großkonzernen nicht mithalten zu können. Die beiden Technologieprojekte IIP Ecosphere und FabOS, die im Rahmen des KI-Innovationswettbewerbs vom BMWi gefördert werden, wollen diesen Firmen den Zugang zu KI-Anwendungen erleichtern.‣ weiterlesen

Emerson hat die Einführung der Software Plantweb Optics Data Lake bekanntgegeben. Die Datenmanagement-Lösung identifiziert, erfasst und kontextualisiert unterschiedliche Daten in großem Maßstab entweder vor Ort in industriellen Anlagen oder mithilfe von Cloud-Technologie.‣ weiterlesen

Im September 2021 erscheint die Richtlinie VDI/VDE 2185 Blatt 2 'Funkgestützte Kommunikation in der Automatisierungstechnik - Koexistenzmanagement von Funksystemen'. Wenn unterschiedliche Funksysteme bei Automatisierungsaufgaben unterstützen, ist mit einer gegenseitigen Beeinflussung der Systeme zu rechnen.‣ weiterlesen

Klare Sicht auf das Werksgeschehen und die Rückverfolgbarkeit von Produkten und Prozessen sind zunehmend wichtige Erfolgsfaktoren. Mit dem MES Valeris will WSW Software gerade mittelständischen Fertigern helfen, diese Ziele zu erreichen. Das System soll schnell und günstig einsatzfähig sein, konfiguriert wird es in Eigenregie.‣ weiterlesen

Unternehmen verwalten heute mehr als zehn Mal so große Datenmengen wie noch vor fünf Jahren. Dabei befürchteten 62 % der Befragten in einer aktuellen Untersuchung von Dell Technologies, ihre Maßnahmen zur Datensicherung könnten nicht ausreichend vor Malware-Attacken schützen. 74 % der Umfrageteilnehmer gaben zudem an, dass mit der steigenden Anzahl an Home-Office-Mitarbeitern das Risiko von Datenverlust ansteige.‣ weiterlesen

Der MES-Anbieter Proxia Software kapselt Funktionen seiner Software, um Anwendern mehr Flexibilität beim Cloud-Betrieb ihres Produktionssteuerungssystems zu ermöglichen. Eine Datenvorverarbeitung im sogenannten Fog Layer soll durch eine geringere Anzahl an Transaktionen für mehr IT-Sicherheit und reduzierte Transaktionskosten sorgen.‣ weiterlesen

Thin Clients sind meist robust und wartungsarm. Mit ihrer Hardware-reduzierten Ausstattung eignen sie sich für Fabriken und Büros gleichermaßen. Wo die schlanken Geräte noch punkten, schreibt Ulrich Metz, Geschäftsführer bei Rangee.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige