Cybersecurity und Vertrauensgrenzen

Ein Wartungszugang verändert den Dienst

Die Talbahn lässt Gruppenkonfigurationen aus der Ferne warten. Ein kompromittiertes Wartungskonto könnte die Zuordnung so verändern, dass Niko die falschen Teilnehmer erreicht. Die Funkversorgung und die MCPTT-Software könnten dabei technisch weiterarbeiten. Der Schutz muss deshalb auch Verwaltung, Identitäten und Änderungen umfassen.

Ein Schutzgut ist etwas, dessen Beeinträchtigung verhindert oder begrenzt werden soll. Hier ist es die korrekte und verfügbare Gruppenzuordnung. Eine Bedrohung beschreibt einen möglichen schädigenden Vorgang, etwa eine unberechtigte Änderung. Sie benennt, was dem Schutzgut passieren könnte. Eine Schwachstelle ist eine Eigenschaft, die diesen Vorgang erleichtert, beispielsweise ein gemeinsam genutztes Konto ohne ausreichende Zugriffsbeschränkung. Diese Eigenschaft bietet dem Angreifer eine nutzbare Möglichkeit.

Das Risiko verbindet die mögliche Auswirkung mit der Einschätzung, unter welchen Bedingungen und mit welcher Wahrscheinlichkeit sie eintreten kann. Eine solche Bewertung hängt vom System und seinem Einsatz ab. Die Talbahn übernimmt deshalb keine pauschale Risikostufe allein aus dem Namen einer Technik.

Eine Kette mit nachweisbaren Massnahmen

Least Privilege bedeutet, einem Konto nur die für seine Aufgabe benötigten Rechte zu geben. Ein Wartungskonto, das Messwerte lesen soll, benötigt deshalb nicht automatisch das Recht, Gruppen zu ändern. Zero Trust beschreibt einen Ansatz, bei dem Zugriffe ausdrücklich geprüft werden, statt allein aufgrund eines vermeintlich vertrauenswürdigen Netzorts zugelassen zu werden. NIST SP 800-207 erläutert diesen ergänzenden Ansatz; es ersetzt keine bahnspezifische Bewertung. [S34]

Regelwerke haben unterschiedliche Gegenstände

CLC/TS 50701 ordnet Cybersecurity in den Lebenszyklus von Bahnanwendungen ein. Die IEC-62443-Reihe liefert unter anderem Grundlagen für Risikobewertung, Systemschutz, Komponenten und sichere Entwicklung. Welche Teile passen, hängt von Systemgrenze und Verantwortung ab. [S14, S26]

3GPP TS 33.180 behandelt die Sicherheitsarchitektur von Mission-Critical-Diensten. Sie ist für den MCX-Anteil relevant, deckt aber nicht allein jede Wartungsorganisation und jeden Fahrzeugzugang ab. EN 50159 behandelt sicherheitsbezogene Kommunikation über Übertragungssysteme. S27 weist die veröffentlichte Ausgabe 2026 über den offiziellen EVS-Katalog nach. Dessen Gültigkeitsdatum 1. September 2026 betrifft die estnische Übernahme; es ist kein allgemeines europäisches Anwendungsdatum. Die projektbezogen geltende nationale Ausgabe und Übergangsregeln werden gesondert geprüft. EN 50159 ist daher nicht als allgemeiner Ersatz für Cybersecurity-Anforderungen zu verwenden. EN 50126 verbindet die erforderliche RAMS-Betrachtung mit dem Lebenszyklus. [S25, S27, S15]

NIS2 betrifft Pflichten bestimmter Einrichtungen im europäischen Rechtsrahmen, darunter einschlägige Verkehrsakteure. Anwendbarkeit und konkrete Pflichten müssen nach Rechtsraum und nationaler Umsetzung ermittelt werden. Eine NIS2-Nennung ist weder Produktzertifikat noch technische Prüfanforderung für jedes einzelne FRMCS-Gerät. [S28]

Auch die Wiederherstellung gehört dazu

Authentisierung prüft die behauptete Identität eines Beteiligten. Sie klärt beispielsweise, ob die Anmeldung tatsächlich zum angegebenen Wartungskonto gehört. Autorisierung entscheidet, welche Handlungen diese Identität ausführen darf. Sie begrenzt den Zugriff auf die freigegebenen Funktionen. Eine gültig angemeldete Person darf deshalb nicht automatisch jede Konfiguration ändern.

Für die Fallakte erhält jede Massnahme eine verantwortliche Stelle und einen Prüfpunkt. Die Talbahn berücksichtigt auch abgelaufene Zugangsberechtigungen, verlorene Verwaltungsverbindungen und die kontrollierte Rückkehr zu einem freigegebenen Zustand. Ein Schutzmechanismus, der den vorgesehenen Dienst unbeabsichtigt dauerhaft blockiert, braucht ebenfalls eine geregelte Behandlung.

Eine Vertrauensgrenze braucht konkrete Datenflüsse

Eine Vertrauensgrenze trennt Bereiche mit unterschiedlichen Zugriffs- oder Verwaltungsannahmen. Im FRMCS-Fall kann sie zwischen Anwendung und Gateway, zwischen Betreiberorganisationen oder am öffentlichen Zugang liegen. Die Talbahn zeichnet die dort übertragenen Identitäten, Konfigurationsdaten, Signalisierung und Nutzdaten ein. Eine einzige Box «verschlüsselt» beantwortet nicht, wer die Gegenstelle authentisiert oder eine Änderung autorisiert.

Für die Wiederherstellung wird festgelegt, wie aktuelle Berechtigungen und Schlüsselstände festgestellt werden. Ein Rückspielen veralteter Konfiguration darf nicht unbemerkt entzogene Rechte reaktivieren. Der Test betrachtet daher nicht nur die wieder eingeschaltete Plattform, sondern die Dienstnutzung und den korrekten Schutzstatus. [S25]

Prüfe dein Verständnis

Der Anbieter nennt Verschlüsselung als vollständige Antwort auf die manipulierte Gruppenzuordnung. Was fehlt?

Musterantwort

Verschlüsselung kann Inhalte auf einem Übertragungsweg schützen. Sie verhindert nicht automatisch eine Änderung durch ein berechtigtes oder entwendetes Verwaltungskonto. Benötigt werden Identitätsprüfung, begrenzte Änderungsrechte, kontrollierte Freigabe, Protokollierung und Wiederherstellung mit passenden Tests. Der Nachweis muss den Verwaltungsweg und die Wirkung auf den Dienst einschliessen.

Das nimmst du mit

Eine Schutzmassnahme wird an einem konkreten Risiko und ihrer nachgewiesenen Wirkung beurteilt.

Deine Talbahn-Fallakte

Verbinde die mögliche Manipulation der Gruppenzuordnung mit Schutzmassnahmen, Verantwortlichen und einem Wiederherstellungstest.