Kann ein Cybervorfall letztlich eine Zündquelle wirksam werden lassen?
Eine Prozessanlage kann mechanisch vollständig intakt sein. Die Ex-Geräte können korrekt ausgewählt sein. Die Zoneneinteilung kann aktuell sein und Prüfungen können bestätigen, dass sich die Anlage technisch in einem ordnungsgemäßen Zustand befindet.
Trotzdem kann sich ein wesentlicher Bestandteil des Explosionsschutzkonzeptes verändern, ohne dass an der Anlage eine erkennbare mechanische Änderung vorgenommen wurde.
Moderne Prozessanlagen sind zunehmend auf Mess-, Steuer- und Regeleinrichtungen angewiesen, um Betriebsbedingungen einzuhalten, die unmittelbar für den Explosionsschutz relevant sind.
Dazu gehören beispielsweise Lüftungssysteme zur Begrenzung brennbarer Gas- oder Dampfkonzentrationen, Inertisierungssysteme zur Begrenzung des Sauerstoffgehaltes, Temperatur- und Drucküberwachungen, Füllstands- und Durchflussmessungen sowie Verriegelungen und Abschaltfunktionen.
Explosionsschutz besteht deshalb längst nicht mehr ausschließlich aus Stahl, Kabeln, Kabelverschraubungen und explosionsgeschützten Geräten.
Sensorik, Software, Steuerungslogik, Kommunikation und Aktoren können Bestandteil der sicherheitsrelevanten Schutzkette sein.
Damit entsteht eine entscheidende Frage:
Was geschieht, wenn Verfügbarkeit oder Integrität einer solchen Funktion durch einen Cybervorfall beeinträchtigt werden?
Ein Cybervorfall muss selbst keine Zündquelle darstellen.
Er kann jedoch Bedingungen verändern, unter denen eine gefährliche explosionsfähige Atmosphäre entsteht oder eine vorhandene potenzielle Zündquelle wirksam werden kann.
Ein manipuliertes Temperatursignal kann beispielsweise verhindern, dass eine Abschaltung ausgelöst wird. Eine veränderte Sollwertvorgabe kann den Prozess außerhalb des vorgesehenen Betriebsbereiches führen. Der Ausfall einer Lüftung kann die Konzentration brennbarer Dämpfe beeinflussen. Eine beeinträchtigte Inertisierung kann zu einer Veränderung der Sauerstoffkonzentration führen. Eine unwirksam gewordene Alarm- oder Abschaltfunktion kann dazu führen, dass ein gefährlicher Betriebszustand bestehen bleibt.
Die Wirkungskette kann damit lauten:
Cyberbeeinträchtigung → Verlust oder Beeinträchtigung einer Sicherheitsfunktion → veränderte Prozessbedingungen → veränderte Explosionsgefährdung.
Das deutsche Regelwerk stellt diese Verbindung inzwischen ausdrücklich her.
Nach § 12 GefStoffV hat der Arbeitgeber auf Grundlage der Gefährdungsbeurteilung Maßnahmen gegen Brand- und Explosionsgefährdungen festzulegen. Dabei gilt die Rangfolge: gefährliche Mengen oder Konzentrationen vermeiden, Zündquellen beziehungsweise explosionsauslösende Bedingungen vermeiden und die Auswirkungen von Bränden oder Explosionen begrenzen. Arbeitsbereiche, Arbeitsmittel und deren Verbindungen müssen so gestaltet, errichtet, verwendet und instand gehalten werden, dass daraus keine Brand- und Explosionsgefährdungen entstehen.
Parallel verlangt die Betriebssicherheitsverordnung eine Gefährdungsbeurteilung für die Verwendung von Arbeitsmitteln. § 8 BetrSichV fordert ausdrücklich, dass Arbeitsmittel mit den sicherheitstechnisch erforderlichen Mess-, Steuer- und Regeleinrichtungen ausgestattet sein müssen, damit sie sicher und zuverlässig verwendet werden können. Für Arbeitsmittel in Bereichen mit gefährlicher explosionsfähiger Atmosphäre verweist § 9 BetrSichV zusätzlich auf die erforderlichen Explosionsschutzmaßnahmen nach Gefahrstoffrecht.
Besonders relevant ist deshalb TRBS 1115 Teil 1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen“. Diese Technische Regel konkretisiert den Umgang mit Cyberbedrohungen bei sicherheitsrelevanten MSR-Einrichtungen im Rahmen der Betriebssicherheit. Die Regel wurde zuletzt mit Veröffentlichung im Gemeinsamen Ministerialblatt vom 15. Januar 2026 geändert.
Damit erhält eine scheinbar reine Automatisierungsänderung eine andere Bedeutung.
Eine Änderung an PLC-Logik, Firmware, Netzwerkarchitektur, Fernzugriff, Alarmmanagement oder sicherheitsrelevanten Sollwerten kann Auswirkungen auf eine Schutzmaßnahme haben, auf der das Explosionsschutzkonzept beruht.
Dann reicht die Frage nicht mehr aus:
Ist die Schutzfunktion vorhanden?
Entscheidender wird:
Kann über den gesamten Lebenszyklus nachgewiesen werden, dass eine für den Explosionsschutz erforderliche Funktion zuverlässig verfügbar bleibt und gegen unbeabsichtigte oder unbefugte Veränderungen ausreichend geschützt ist?
An dieser Stelle treffen Explosionsschutz, funktionale Sicherheit, OT-Cybersicherheit, Instandhaltung und Management of Change unmittelbar aufeinander.
Für die Unternehmensführung ist diese Schnittstelle wesentlich. Cybersicherheit kann nicht ausschließlich der IT zugeordnet werden, wenn digitale Systeme physische Schutzmaßnahmen gewährleisten. Gleichzeitig kann Explosionsschutz nicht isoliert betrachtet werden, wenn seine Wirksamkeit von Automatisierung und sicherheitsrelevanten MSR-Einrichtungen abhängt.
Die Robustheit einer modernen Ex-Anlage wird nicht allein durch Geräte bestimmt, die eine Zündung verhindern sollen, sondern ebenso durch die Integrität der Systeme, die den Prozess innerhalb der Bedingungen halten, auf denen der Explosionsschutz beruht.
Quellen: Gefahrstoffverordnung, insbesondere § 12 und Anhang I; Betriebssicherheitsverordnung, insbesondere §§ 3, 8 und 9; TRBS 1115 und TRBS 1115 Teil 1; IEC 60079-Reihe.