Trendinterview mit Prof. Dr. Christoph Göldi vom Institut für Netzwerke und Sicherheit (INS) der Ostschweizer Fachhochschule (OST) zur «maintenance Schweiz» 2026
Die vernetzte Instandhaltung bietet grosse Chancen für die Industrie. Beispiele sind Remote Support, Predictive Maintenance und Industrie 4.0. Sie bringt jedoch auch neue Angriffsflächen zwischen OT, IT und Cloud mit sich. Auf der «maintenance Schweiz 2026» moderiert Prof. Christoph Göldi vom Institut für Netzwerke und Sicherheit (INS) der Ostschweizer Fachhochschule (OST) auf der Vortragsbühne des neuen Messeformats «Service Dialog» gemeinsam mit dem Schweizer Service Verband (SKDV), Open Systems (Zero Trust und ZTNA), Vayron (OT Security) und Siemens (industrielle Praxis) das interaktive Panel «Cybersecurity in der vernetzten Instandhaltung». Im Trendinterview spricht er über realistische erste Schritte, Zero Trust in Brownfield-Umgebungen und die häufigsten Denkfehler in der Praxis.
,,Sicherheit und Verfügbarkeit sind keine Gegensätze.“
Der Name sagt es bereits. Das Institut für Netzwerke und Sicherheit bearbeitet die Themen Cloud, Netzwerke und Sicherheit. Wir arbeiten genau an der Schnittstelle für die spannenden Entwicklungen rund um OT und vernetzte Instandhaltung. Moderne Vernetzung und Cloud-Technologien schaffen neue Anwendungen sowie bessere Betriebsmodelle. Gleichzeitig entstehen dort neue Sicherheitsrisiken. Wir möchten den Unternehmen helfen, diese neuen Chancen zu nutzen, aber dabei kontrolliert vorzugehen, so dass die Sicherheit erhalten bleibt.
Die Vernetzung rechtfertigt ein eigenes Institut. Dieser riesige Bereich spielt in der Ausbildung eine sehr grosse Rolle. Vor 20 Jahren besass die Vernetzung kaum Bedeutung. Heutzutage arbeitet fast jedes elektronische Gerät in einem Netzwerk. Jedes dieser Geräte erfordert einen entsprechenden Schutz. Dieses Thema nimmt in Lehre und Forschung an der Fachhochschule viel Raum ein.
,,Cybersecurity ist zuerst ein Verfügbarkeitsthema.“
,,Frühere Industriesysteme wurden nie für die Vernetzung entwickelt.“
Zahlreiche Menschen verstehen das falsch. Cybersecurity ist zunächst ein Thema der Verfügbarkeit. Die Vernetzung von Anlagen und Automationsinfrastruktur bringt enorme Gewinne bei der Effizienz. Beispiele sind die Fernwartung und der datenbasierte Betrieb. Aber niemand entwickelte diese Systeme für eine Vernetzung. Diese Anlagen existieren in der Regel seit Jahrzehnten. Damals plante niemand einen Anschluss ans Netzwerk, was grosse Angriffsflächen schafft. Bei einem Angriff fällt ein solches System aus. Das betrifft dann nicht nur die IT, sondern auch direkt den Betrieb. Der Stillstand einer industriellen Anlage bedeutet direkte Verluste. Sogar Fachleute unterschätzen die Kosten solcher Ausfälle regelmässig. Die zentrale Frage, um die Sicherheit bei der Vernetzung im Griff zu halten, lautet deshalb: Wer wann und unter welchen Bedingungen Zugriff auf welche Systeme erhält.
Thema: Erste Schritte und Prioritäten
Wenige Massnahmen erreichen in der Regel bereits einiges. Der Einstieg ist meistens eine Übersicht, die Inventarisierung. Ein Unternehmen fragt sich, welche Anlagen und Systeme es besitzt. Darauf folgt die Bewertung, welche davon kritisch sind, keinen Ausfall dulden oder sensible Prozesse betreffen. Danach geht es an die Netzwerke. Firmen teilen sie auf und segmentieren sie. Zum Schluss klären sie, wer wo Zugriff und wo nicht erhält.
Insbesondere in KMU fehlt zumeist das interne Fachwissen. Ein erfahrener Partner hilft hier sehr, der die typischen Architekturen kennt. Er reduziert die Zugriffe konsequent auf das Notwendige. Hier kommt Zero Trust ins Spiel. Konkrete Lösungen wie Zero Trust Network Access (ZTNA) erlauben zeitlich begrenzte, protokollierte und eindeutig definierte Zugriffe.
,,Man kann nichts schützen, was man nicht kennt.“
Ich entscheide mich für die Sichtbarkeit. Niemand kann unbekannte Dinge schützen. Ohne Inventar fehlt jede Grundlage. Nach dieser Sichtbarkeit und Inventarisierung folgt sehr schnell die Segmentierung. Wo braucht es eine eigene Zone für kritische Komponenten? Wo existieren ältere Legacy-Geräte ohne Eignung für eine Vernetzung? Ein weiterer relevanter Punkt ist das Verständnis für die Kommunikation dieser Komponenten. Nur so können Unternehmen die Kommunikation sinnvoll und gezielt einschränken.
Thema: Zero Trust in industriellen Umgebungen
,,Zero Trust ist eine Denkweise – kein Neustart.“
,,Zero Trust ist ein Zielmodell mit Reifegraden.“
Fachleute sprechen von Brownfield-Umgebungen bei bestehenden Anlagen und Infrastrukturen, die über Jahre oder Jahrzehnte gewachsen sind. Das Gegenteil sind Greenfield-Umgebungen. Dort beginnt ein Projekt neu auf der «grünen Wiese».
Zero Trust ist eine Denkweise und kein Produkt. Der Grundsatz lautet: Das System stuft niemanden und nichts automatisch als vertrauenswürdig ein. Es prüft und autorisiert jeden Benutzer, jedes Gerät und jeden Zugriff explizit. Zero Trust ist ein Zielmodell mit Reifegraden. Zahlreiche Unternehmen glauben an einen Irrtum. Sie denken an einen kompletten Neubau ihrer Brownfield-Umgebung. Das stimmt nicht. Firmen arbeiten sich schrittweise zu höheren Reifegraden vor.
Wir begleiten konkrete Kundenprojekte. Ein Betrieb plant zum Beispiel den Abruf von Telemetriedaten aus seinen CNC-Maschinen. Fachleute installieren dafür gezielt Geräte, die nur diese Telemetriedaten in die IT leiten. Das passiert eingeschränkt und sauber definiert. Es öffnen sich keine unbeabsichtigten Türen. Zero Trust in Brownfield ist zumeist realistischer als erwartet.
IEC 62443 funktioniert ähnlich wie Zero Trust. Es beschreibt ein Zielbild und eine optimale Architektur. Kaum ein Unternehmen setzt das von heute auf morgen um. Deshalb hilft ein pragmatischer Weg. Dieser führt in der Regel über eine Asset-Inventarisierung, eine Netzwerksegmentierung mit eindeutig definierten Zonen und eine Auslegeordnung. Das klärt relevante Fragen: Welche Zugriffe erfolgen auf welche Systeme? Welche Rollen existieren? Welche Berechtigungen gelten? Diese Massnahmen bleiben idealerweise nicht isoliert, sondern bilden den Teil einer langfristigen Strategie. Unternehmen setzen diese schrittweise um. Dadurch stellen Firmen insbesondere am Anfang eines Projekts zahlreiche zentrale Weichen richtig.
Thema: Das INS als Partner für KMU
Ja, das machen wir. Wenn ein Unternehmen damit neu beginnt, schauen wir uns die Situation an und erarbeiten einen Plan. Solche Projekte wachsen schnell. Dann arbeiten wir mit anderen Firmen zusammen. Unsere Unabhängigkeit ist unsere Stärke. Wir vermitteln zwischen der IT-Welt und der Industriewelt. Ausserdem bauen wir Testumgebungen auf, damit Kunden die Funktion einer Lösung in der Praxis sehen. Erst danach investieren sie in ihre Produktion.
In historisch gewachsenen Brownfield-Umgebungen funktioniert überraschend viel. Das meiste hat mit Hygiene zu tun. Unternehmen ersetzen Standardpasswörter, entfernen unnötige Fernzugänge ohne Nutzung seit Jahren, überprüfen Administrationskonten und löschen verwaiste Konten. Sie erstellen demnach ein aussagekräftiges Inventar. Auch kleinere Unternehmen schaffen diese Aufgaben.
Die Trennung von Produktionsnetzwerken und Büronetzwerken bringt ebenfalls viel. Firmen koppeln also OT- und IT-Umgebungen voneinander ab. Unternehmen vergessen in der Regel den Back-up- und Wiederherstellungsprozess. Back-ups existieren meistens, die Firmen testen sie in der Regel jedoch schlecht. Ein Back-up funktioniert im Ernstfall am besten durch regelmässige Prüfungen. Solche Massnahmen gelingen einfach und reduzieren das Risiko deutlich.
,,Hacker automatisieren heute die meisten Angriffe.“
Der grösste Denkfehler in KMU lautet: «Uns kennt niemand, daher sind wir kein interessantes Ziel.» Die Realität sieht anders aus. Hacker automatisieren heutzutage die meisten Angriffe. Algorithmen finden verwundbare Systeme im Internet sofort. Die Bekanntheit eines Unternehmens spielt keine Rolle.
Der zweite Denkfehler betrifft die Umsetzung selbst. Zahlreiche Menschen sehen einen Widerspruch zwischen Sicherheit und Produktivität. Aufmerksame Nachrichtenleser sehen das Gegenteil. Angegriffene Unternehmen erleiden massive Ausfälle. Zwei Wochen Stillstand passieren regelmässig. Für kleinere Unternehmen bedeutet das meistens eine Gefahr für die Existenz.
Thema: Ökosystem, externe Partner & Ausblick
Eine sehr zentrale Rolle. Grössere Unternehmen bauen eigene IT- und OT-Security-Teams auf. Kleineren Unternehmen fehlt dagegen sowohl das Fachwissen als auch die Kapazität beim Personal. Der laufende IT-Betrieb lastet sie in der Regel voll aus. OT-Security arbeitet zusätzlich übergreifend. Sie umfasst IT, OT, Betrieb und Engineering. Die gemeinsame Koordination überfordert zahlreiche Organisationen im Alleingang.
Erfahrene Partner helfen enorm. Fachleute installieren, betreiben und überwachen Sicherheitslösungen rund um die Uhr. Die meisten Unternehmen schaffen das nicht allein. Ein guter Partner leistet Support, macht die Massnahmen transparent und kontrolliert die Zugriffe. Hinzu kommt die regulatorische Dimension. Die Geschäftsleitung haftet in der EU persönlich für die Einhaltung der geforderten Sicherheitsstandards.
,,Die Welt ist gefährlicher geworden.“
Wir sehen noch sehr viel Arbeit. Das Spannungsfeld beschäftigt die Branche in den kommenden Jahren stark. Ein Grund dafür sind die regulatorischen Anforderungen aus der EU. Fachleute durchdringen zahlreiche Themen noch nicht bis auf den Grund. Jedes Unternehmen prüft am besten genau den Umgang mit den eigenen Risiken.
Die regulatorischen Anforderungen kommen nicht aus dem Nichts. Die Welt verhält sich in diesem Bereich sehr rau. Cyberangriffe auf Infrastrukturen nehmen zu. Geopolitische Motive spielen dabei eine grosse Rolle. Unternehmen nehmen diese Gefahr sehr ernst.
Thema „Service Dialog“ an der „Maintenance Schweiz 2026“
Wir verkaufen kein Produkt, sondern bringen Technologieanbieter und Industrieunternehmen zusammen. Dadurch entstehen tragfähige Lösungen für die Praxis. Das Panel-Format bietet den Raum für echten Austausch und Rückfragen. Es zeigt die Herausforderungen aus jedem Blickwinkel. Das hilft den Technologieanbietern. Sie verstehen dadurch den Standpunkt und die Bedürfnisse der Industrieunternehmen besser.
,,Cybersecurity und Zero Trust sind keine Hexerei.“
Ich habe zwei Kernbotschaften. Erstens: Cybersecurity und Zero Trust bilden keine Option mehr. Sie schaffen die Voraussetzung für einen sicheren und regelkonformen Betrieb. Zweitens: Das ist keine Hexerei. Das ist die gute Nachricht. Wenn Unternehmen das System einmal annehmen, helfen einfache Schritte am Anfang. Dadurch erreichen sie mit einem überschaubaren Aufwand sehr viel.
Mich persönlich fasziniert das Spannungsfeld zwischen Industrie und IT. Die beiden Welten sprechen unterschiedliche Sprachen. Sie nutzen grundsätzlich andere Denkmuster. Genau das macht die Aufgabe spannend. Wir bringen Menschen zusammen, suchen gemeinsam nach Lösungen, fördern den Dialog und räumen mit falschen Annahmen auf. Ich zeige sehr gerne die schnellen Erfolge nach einem Start.
Das Interview mit Prof. Dr. Christoph Göldi führte Markus Frutig im Namen von Easyfairs Switzerland GmbH am 09.07.2026.
