Tür auf oder Tür zu - Wie Safety und Security diesen Zielkonflikt entscheidet

VDI: Herr Wolf, wie definieren Sie die Begriffe „Safety“ und „Security“ – und wo überschneiden sie sich?

Wolf: Safety bezieht sich auf zufällige Ereignisse, die häufig von technischen Systemen ausgelöst werden und Leben, Gesundheit oder Wohlbefinden von Menschen beeinträchtigen können. Security hingegen adressiert gewollte Angriffe, die zu denselben Beeinträchtigungen führen können. Die Überschneidung liegt im Schutzziel, der Unterschied in der menschlichen Willensbildung – und daraus ergeben sich andere Anforderungen an die Risikomodellierung.

VDI: Oft wird unter „Security“ vor allem IT-Sicherheit verstanden. Sie kommen aus der physischen Sicherheit – wo liegt dort der Fokus?

Wolf: Physische Sicherheit ist eigentlich älter als IT-Security. Es geht um Türen, Zäune, Videoüberwachung, Detektion, Verzögerung und Intervention. Also darum, Menschen und Sachwerte gegen klassische Angriffe zu schützen. IT-Security ist durch die zunehmende Vernetzung hinzugekommen. Heute werden auch sicherheitsrelevante Systeme, etwa in Fahrzeugen oder der Prozessindustrie, über IT angreifbar. Das heißt: Cybersecurity und funktionale Sicherheit sind enger gekoppelt als vielen lieb ist. Ein wesentlicher Unterschied ist das Prinzip „Defense in Depth“, das in der physischen Sicherheit lange etabliert ist: Mehrere Verteidigungslinien von der äußeren Umzäunung bis zur Intervention erschweren Angreifern den Zugang. In der IT-Security ist dieses mehrschichtige Vorgehen bislang weniger konsequent umgesetzt.

VDI: Wie verändert die Digitalisierung die Anforderungen an Safety und Security?

Wolf: Die Vernetzung macht technische Systeme vulnerabel für Cyberangriffe. Das betrifft inzwischen auch Systeme der funktionalen Sicherheit, etwa Airbags, Bremssysteme oder Schutzeinrichtungen in der Prozessindustrie. Die Anforderungen an Safety- und Security-Funktionen sind dabei oft widersprüchlich. Deshalb wird es immer wichtiger, beide Bereiche bei der Entwicklung technischer Systeme integriert zu betrachten, um diese Widersprüche überhaupt zu erkennen und, wenn möglich, aufzulösen. Durch die globale Vernetzung entstehen zudem neue Angriffswege, etwa über Lieferketten. Nicht nur die Betreiber kritischer Infrastrukturen, sondern auch deren Zulieferer müssen heute hohe Sicherheitsanforderungen erfüllen.

VDI: Worin besteht dieser Zielkonflikt konkret?

Wolf: Ein klassisches Beispiel ist das Gebäude mit verriegelten Außentüren. Verriegelung erhöht die Security, behindert aber im Brandfall die Flucht, also die Safety. Ähnlich bei funktionalen Sicherheitssystemen: Ein Airbag muss im Ernstfall extrem schnell auslösen. Würde man vor jeder Auslösung eine zusätzliche Security-Prüfung einbauen, könnte das die Safety gefährlich beeinträchtigen, weil es zu Verzögerungen kommt.

VDI: Wie lassen sich solche Widersprüche entschärfen?

Wolf: Der Königsweg ist die Szenarioentkopplung. In Gebäuden sieht man das etwa am Panikschloss: Von außen kann die Tür verriegelt sein, von innen lässt sie sich im Notfall immer öffnen. Technisch ist das eine richtungsabhängige Szenariounterscheidung, das System „versteht“, ob gerade ein Security-Szenario (Schutz vor unbefugtem Zutritt) oder ein Safety-Szenario (Evakuierung im Brandfall) im Vordergrund steht. Ähnliche Prinzipien brauchen wir in vielen anderen Bereichen.

VDI: Sie betonen, dass sich Security-Risiken nicht so einfach berechnen lassen wie klassische Safety-Risiken. Warum ist das so schwierig?

Wolf: In der Safety können wir vieles mit Wahrscheinlichkeiten und Verteilungen modellieren – technisches Versagen, Komponentenfehler, selbst bestimmte Formen menschlichen Fehlverhaltens. Im Security-Bereich haben wir es dagegen mit bewussten Angreifern zu tun. Deren Verhalten lässt sich nicht zuverlässig probabilistisch erfassen. Wir sprechen von epistemischer Unsicherheit. Unsicherheiten dieser Art können eine auf Risikomodellen basierende Entscheidungsfindung infrage stellen. Das muss man explizit berücksichtigen.

VDI: Wie können Unternehmen mit dieser Unsicherheit umgehen?

Wolf: An einigen Stellen kommt man um Managemententscheidungen nicht herum. Dort, wo ich Unsicherheiten nicht berechnen kann, muss ich bewusst festlegen: Wie viel Risiko will ich mir leisten? Welche Angriffsarten möchte ich auf jeden Fall ausschließen? Man wird oft gut beraten sein, bei Security eher „draufzusatteln“, solange Maßnahmen nicht die Safety beeinträchtigen und wirtschaftlich vertretbar sind. Es ist immer ein Mix aus quantitativer Analyse und bewussten Entscheidungen.

VDI: Welche Rolle spielt die Sicherheits- und Zuverlässigkeitskultur in den Organisationen?

Wolf: Eine sehr große. Safety ist seit Langem hoch priorisiert. „Safety first“ ist ein etablierter Slogan. Security muss eine ähnlich hohe Priorität bekommen. Dazu gehört, dass Führungskräfte Verantwortung übernehmen, dass es klare Zuständigkeiten für Safety und Security auf Vorstandsebene gibt und dass operatives Personal geschult wird. Nicht alle Schutzziele lassen sich mit Technik erreichen. Informierte Mitarbeitende, klare Abläufe im Fall von Sicherheitsvorkommnissen und Sicherheitsexperten auf allen Hierarchieebenen sind unverzichtbar.

Es gibt keine Patentlösung für den Zielkonflikt zwischen Safety und Security. Der Weg zu einer optimalen Balance erfordert immer eine kontextspezifische, lernbereite Herangehensweise und die Bereitschaft, Erfahrungswissen aus unterschiedlichen Disziplinen zusammenzuführen.

Das Interview führte: Gudrun Huneke

Fachlicher Ansprechpartner:
Dr. Kim-Julia Kass 
VDI-Gesellschaft Produkt- und Prozessgestaltung
Fachbereich Sicherheit und Zuverlässigkeit
Telefon: +49 211 6214-8657
E-Mail: gpp@vdi.de