Als wirtschaftlich bedeutender Teil der Infrastruktur war das Schienennetz stets im Visier staatlich unterstützter Bedrohungsakteure. Wie die jüngsten Vorfälle in Rumänien gezeigt haben, sind wir in eine Ära opportunistischer Cyberangriffe eingetreten. Das bedeutet, dass Cyberverteidiger nun jederzeit wachsam sein müssen und ihre Schutzmaßnahmen stark und robust halten müssen, um jegliche Form von Cyberaggressionen abzuwehren.    

Die Ära der "Sicherheit durch Isolation" und perimeterbasierte Verteidigung im Eisenbahnsektor ist offiziell vorbei. Mit dem Fortschreiten in Richtung 2026 hat die Branche nun den digitalen Zwilling, das automatisierte Betriebsmanagement bereichsübergreifend, FRMCS (Future Railway Mobile Communication System) und KI-gestützte prädiktive Wartung vollständig integriert. Das Internet der Dinge unterstützt Eisenbahnbetreiber tatsächlich bei der Verfolgung von Vermögenswerten, dem Infrastrukturmanagement und mehr. Diese Konnektivität hat das Eisenbahnnetz jedoch auch in eine massive, verteilte Angriffsfläche verwandelt, die kompromittiert werden könnte.

Für Eisenbahnbetreiber und Zulieferer ist CLC/TS 50701 (bald in Richtung des globalen IEC 63452 übergehend) nicht mehr nur eine einfache technische Spezifikation. Vielmehr ist es ein Grundsatz für die Gewährleistung einer robusten Cyberabwehr in einer Ära, die durch komplexe Cyberangriffe und -verletzungen gekennzeichnet ist.  

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag über den Leitfaden 2026 zu ANSSI OT-Risikobewertungen hier zu überprüfen.

Die Realität 2026: Dritte Parteien und die "agentische" Bedrohung

Im Jahr 2026 erleben wir eine Verschiebung in der Art der Verletzungen. Wir sind weit über einfache Ransomware hinaus. Stattdessen stehen wir jetzt vor Sabotage in der Lieferkette und KI-gestützter sozialer Manipulation. Bedrohungsakteure erweitern die Grenzen von Verletzungen wie nie zuvor. Anstatt einfach zu warten, bauen Bedrohungsakteure jetzt einen Weg zu einem Verstoß auf.

• Der Dritten-Tsunami: Kürzliche Verletzungen (erinnernd an die Entstellung des UK-Bahnhof-WLANs 2024) haben bewiesen, dass Angreifer Ihre Firewall nicht durchbrechen müssen. Sie müssen lediglich ein Administratorkonto eines Unterauftragnehmers oder sogar eine generische E-Mail-ID kompromittieren. Im Jahr 2026 muss Ihre TS 50701-Bewertung tief in die Softwarestückliste (SBOMs) Ihrer Anbieter hineinreichen und ein höheres Maß an erweitertem Bewusstsein für Vermögenswerte, Prozesse, Personen und Netzwerke einbringen.

• Agentische KI-Angriffe: Bedrohungsakteure nutzen jetzt ein breites Spektrum an ausgebildeten, autonomen KI-Agenten, um OT-Netzwerke (Operational Technology) der Eisenbahn in Echtzeit auf Schwachstellen zu untersuchen. Solche Werkzeuge verbessern sich nun in Bezug auf Genauigkeit. Das bedeutet, dass manuelle, "einmal im Jahr" Bewertungen schnell veraltet werden; kontinuierliche Überwachung und Maßnahmen sind der neue Standard.

• Mangel an einheitlichem Training und Reaktionsfähigkeiten bei Zwischenfällen: Aufgrund eines Mangels an Standardisierung in beiden kritischen Bereichen werden sowohl die Aktualität als auch die Qualität der Reaktion beeinträchtigt. Dies führt zu einer weiteren Verbreitung eines Verstoßes und zum Verlust weiterer Daten.

Branchenspezifische Herausforderungen, denen sich Eisenbahnbetreiber stellen müssen

Die Eisenbahnen stehen vor vielen einzigartigen Herausforderungen, denen traditionelle IT-Umgebungen oft nicht gegenüberstehen, z.B. in den Bereichen Sicherheit, Schutz und Langlebigkeit.

• Sicherheit vs. Schutz: Im Eisenbahnwesen dürfen Schutzmaßnahmen die funktionale Sicherheit (RAMS) niemals gefährden. Ein Sicherheits-"Lockdown", der verhindert, dass ein Notsignal einen Zug erreicht, ist ein Misserfolg, kein Erfolg.

• Legacy-Inheritance: Viele der heute laufenden Systeme wurden in den 1990er Jahren entwickelt. Die Nachrüstung der Anforderungen von TS 50701 auf 30 Jahre alte Stellwerke erfordert eine richtige Balance aus "Kompensationskontrollen" und nicht nur einfachen Software-Patches.

• Unverschlüsselte Signalisierung: Wie bei den Vorfällen mit "Radio Stop" in Polen 2023 gesehen, bleiben unverschlüsselte VHF-Frequenzen eine Schwachstelle. Die Bewertungen von 2026 fokussieren sich stark auf den Übergang zu verschlüsselten FRMCS-Protokollen.

Wie man eine TS 50701-Bewertung im Jahr 2026 durchführt

Eine moderne Bewertung der Eisenbahninfrastruktur ist eine mehrphasige Reise, die mit dem Lebenszyklus von EN 50126 übereinstimmt.

Die grundlegende Risikofunktion, die in diesen Bewertungen verwendet wird, bleibt:

Gesamtrisiko = Wahrscheinlichkeit mal Auswirkung

 Im Jahr 2026 wird die Wahrscheinlichkeit jedoch aufgrund der Automatisierung von Angriffen neu bewertet, was oft höhere Sicherheitsniveaus (SL) erfordert, als zuvor erforderlich war. Das bedeutet, dass Sie sich standardmäßig auf einem höheren Niveau bewegen müssen, als Sie es heute tun. Die SL-Ziele müssen jedes Jahr durch Hinzufügung weiterer Kontrollen überarbeitet werden.

Auswahl eines Anbieters: Rote Fahnen gegen grüne Fahnen

Mieten Sie nicht einfach eine "Standard"-IT-Sicherheitsfirma. Railway OT ist ein ganz anderes Kaliber.

• Grüne Fahnen:

  • Fachkenntnis: Kennen sie den Unterschied zwischen einem ERTMS Balise und einem standardmäßigen IoT-Sensor?

  • Sicherheitsbewusstsein: Sie sollten die Sprache der "SIL" (Safety Integrity Level) ebenso fließend sprechen wie die der "CVE".

• Rote Fahnen:

  • Sie schlagen "Aktives Scannen" in Live-OT-Netzwerken vor (dies kann ältere Signalisierungssysteme zum Absturz bringen).

  • Sie konzentrieren sich rein auf ISO 27001, ohne IEC 62443 oder TS 50701 zu erwähnen.

Ein Unternehmen mit umfangreichen und spezialisierten Kenntnissen in der OT-Sicherheit ist wünschenswert.

Der Fahrplan 2026 zur Einhaltung der Vorschriften

Q1: Der Bestandsreset

Führen Sie eine vollständige Asset-Entdeckung und -Validierung durch. Im Jahr 2026 umfasst dies "Shadow OT" über nicht autorisierte 4G/5G-Modems, die von Wartungsteams für "leichtem Zugang" installiert wurden.

Q2: SBOM und Überprüfung Dritter

Überprüfen Sie die Softwarestückliste für alle kritischen Komponenten. Stellen Sie sicher, dass Ihre Anbieter die Anforderungen des Cyber Resilience Act (CRA) erfüllen.

Q3: Lückenanalyse und Behebung

Führen Sie eine formelle Lückenanalyse gegen TS 50701:2023 durch. Implementieren Sie "Virtuelle Patches" für Altsysteme, die nicht aktualisiert werden können.

Q4: Zertifizierung und kontinuierliche Überwachung

Finalisieren Sie Ihren "Cybersecurity Case". Setzen Sie ein OT-spezifisches IDS (Intrusion Detection System) wie Shieldworkz ein, um von statischer Einhaltung zu dynamischer Widerstandsfähigkeit zu wechseln.

Der 2026 TS 50701-Konformitätschecklist

Governance und Systemdefinition (Das Fundament)

• [ ] Definieren Sie das System unter Betrachtung (SuC): Haben Sie einen klaren Umfang um die zu bewertenden Anlagen (z.B. an Bord, trackside oder Kontrollzentrum) gezogen?

• [ ] Asset Inventory 2.0: Enthält Ihr Inventar "Shadow OT", alte Serielle-zu-IP-Konverter und alle temporären Wartungslaptops?

• [ ] Safety-Security Sync: Ist ein formelles Treffen zwischen dem CISO und dem Sicherheitsingenieur (RAMS) erfolgt, um sicherzustellen, dass Sicherheitskontrollen nicht unerwartet "Sicherheitszustände" auslösen?

• [ ] Policy Alignment: Ist Ihre Cybersicherheitsrichtlinie aktualisiert, um den NIS2-Anforderungen und der Umstellung von TS 50701 auf IEC 63452 gerecht zu werden?

Zonierung und Architektur (Mit Segmentierung)

• [ ] Zonenplanung: Sind kritische Signalgebungsfunktionen (z.B. Stellwerk, RBC) logisch und physisch von nicht-kritischen Systemen (z.B. Passagier-Informationssysteme) isoliert?

• [ ] Leitungsanalyse: Haben Sie jeden Datenpfad (Leitung) identifiziert, der Zonengrenzen überschreitet?

• [ ] Grenzschutz: Sind Firewalls oder unidirektionale Gateways (Daten-Dioden) zwischen IT- und OT-Zonen implementiert?

• [ ] Drahtlose Härtung: Für FRMCS- oder Wi-Fi-Zonen, ist Verschlüsselung auf der Verbindungsebene erzwungen, um "Radio Stop" oder Spoofing-Angriffe zu verhindern?

Risikobewertung und Sicherheitsniveaus (AKA die Strategie)

• [ ] Bedrohungsmodellierung: Haben Sie eine auf STRIDE oder CSM-RA basierende Risikobewertung durchgeführt, die "Agentic AI"-Bedrohungsszenarien umfasst?

• [ ] SL-T-Zuweisung: Haben Sie ein Zielsicherheitsniveau (SL-T) von mindestens SL-3 für sicherheitskritische Signalgebungszonen zugewiesen?

• [ ] Wirkungsanalyse: Wie ich immer frage. Haben Sie den Einfluss einer Verletzung quantifiziert, nicht nur in "Datenverlust", sondern in "verlorenen Zugkilometern" und/oder "Passagiersicherheitsrisiko"? Die Quantifizierung des Risikos und dessen Zuordnung zu einer gut verstandenen Metrik hilft Mitarbeitern, dem Vorstand und anderen Interessengruppen, die Bedrohung und das Risiko zu visualisieren.

4. Lieferkette und Dritte (Die 2026 Front)

• [ ] SBOM-Verifizierung: Haben Sie eine Softwarestückliste für jede neue Komponente? Können Sie diese automatisch auf "Zero-Day"-Schwachstellen scannen?

• [ ] Vertragliches "Recht auf Audit": Erlauben Ihre Verträge mit Unterauftragnehmern (z.B. Instandhalter von Rollmaterial), unangekündigte Sicherheitsüberprüfungen ihrer Fernzugriffswerkzeuge durchzuführen?

• [ ] Fernzugriffs-Sperrung: Wird jede Wartung durch Dritte über einen Secure Access Service Edge (SASE) oder einen "Jump Server" mit Multi-Faktor-Authentifizierung (MFA) durchgeführt?

5. Betriebspfleger (AKA das lange Spiel)

• [ ] Schwachstellenmanagement: Haben Sie einen Prozess, um VEX (Vulnerability Exploitability eXchange)-Dateien zu empfangen, um zu priorisieren, welche OT-Patches tatsächlich kritisch sind?

• [ ] Vorfallreaktion: Gibt es einen "Schienenspezifischen" IR-Plan? (z.B. Weiß das SOC, wen es im Dispatch-Zentrum anrufen muss, wenn ein Zug sich seltsam verhält?)

• [ ] Der Cybersecurity Case: Haben Sie den "Cyber Case" zusammengestellt - den Beweiskorpus, der beweist, dass alle Anforderungen von TS 50701 erfüllt wurden - und sind bereit für den unabhängigen Sicherheitsprüfer (ISA)?

Wie man diese Checkliste verwendet

Im Jahr 2026 ist "Compliance" kein statisches Dokument mehr mit alten Fragen, die man ohne weiteres ablegt, ohne darüber nachzudenken. TS 50701 ist jetzt die Grundlage für den Cyber Resilience Act (CRA) und sogar NIS2. Wenn Sie nicht mindestens 80 % dieser Punkte überprüfen können, steht Ihr System möglicherweise nicht nur einem Verstoßrisiko, sondern könnte auch erhebliche regulatorische Prüfungen erwartet werden, einschließlich Geldbußen und "Stop-Service"-Anordnungen nationaler Eisenbahnbehörden.

Zuletzt der wichtigste Punkt für 2026: Compliance ist der Boden, nicht die Decke. Ein "konformes" System, das nicht überwacht wird, ist einfach ein Ziel, das auf die Suche nach dem richtigen KI-Agenten wartet.

Benötigen Sie Hilfe bei Ihren TS 50701-Konformitätsanforderungen? Sprechen Sie mit unserem Experten.

Mehr über unsere NIS2-Konformitätsdienste.

Erfahren Sie etwas mehr über die Incident-Response-Dienste von Shieldworkz

Testen Sie unsere OT-Sicherheitsplattform hier.