Cybersicherheitslösungen für Yachten: Leitfaden zur

Cybersicherheitslösungen für Yachten: Leitfaden zur Systemhärtung

Wichtige Erkenntnisse

Es gibt kein einzelnes Cybersicherheitsprodukt für Yachten; Ein wirksamer Schutz besteht aus einer Reihe systemspezifischer Kontrollen für Navigation, Satellitenkommunikation, Maschinennetzwerke, AV/IT und Besatzungsgeräte.
Die MSC-FAL.1/Circ.3-Richtlinien der IMO machen das Cyber-Risikomanagement zu einem Teil des Sicherheitsmanagements, wobei der Eigentümer die Richtlinien festlegt, der Kapitän den Plan besitzt und die Besatzung für ihre Geräte verantwortlich ist.
Navigations- und ECDIS-Systeme stellen die Angriffsfläche mit den größten Folgen dar, USB-Kartenaktualisierungen und die Laptops von Ingenieuren, die zu Besuch sind, sind die üblichen Infektionswege.
Segmentieren Sie Netzwerke in Besatzungs-, Gast- und Betriebszonen und behandeln Sie Satellitenterminals als eigene Vertrauenszone mit geänderten Standardkennwörtern und deaktivierter WAN-Fernverwaltung.
Verknüpfen Sie Härtungsaufgaben mit Transporten und Umrüstungen, protokollieren Sie Firmware-Versionen, Passwortrotationen und Zugriffsgewährungen als datierte Arbeitsaufträge für Versicherer und Gutachter.

Cybersicherheitslösungen für Yachten sind praktische Kontrollen, die auf jedes Bordsystem angewendet werden: ECDIS und Navigationsgeräte, VSAT- und Starlink-Verbindungen, Motornetzwerke, AV/IT und Besatzungsgeräte. Dieser Leitfaden ordnet jedes System einer Härtungscheckliste zu, die Sie bei einem Transport oder einer Überholung ausführen können, sodass Cyber-Aufgaben wie Antifouling oder Generatorwartung geplant werden, anstatt in einem Compliance-Ordner zu verbleiben.

Was sind Cybersicherheitslösungen für Yachten?

Es gibt kein einzelnes Produkt namens „Yacht-Cybersicherheit“. Was funktioniert, ist eine Reihe systemspezifischer Kontrollen: Firewalls und Firmware-Updates für das Navigationskit, segmentierte Netzwerke für VSAT und Starlink, gesperrte Motor- und Automatisierungs-VLANs, verwaltetes WLAN für Mannschaftsgeräte und Zugriffsregeln für Auftragnehmer während einer Überholung. Eine moderne Yacht ist ein schwimmendes Netzwerk, und jede dieser Schichten versagt anders (Cybersicherheit und Bordsysteme auf modernen Yachten). Die Basislinie ist regulatorisch und nicht optional. Die Richtlinien der IMO zum maritimen Cyber-Risikomanagement (MSC-FAL.1/Circ.3) behandeln Cyberrisiken als Teil des Sicherheitsmanagements, das die Verantwortung dem Kapitän und dem Schiffsmanager überträgt, nicht nur dem IT-Auftragnehmer an Land. Für ein Schifffahrtsunternehmen ist der Arbeitsauftrag der praktische Einstiegspunkt: Bieten Sie die Vermessung, den Firewall-Austausch und die Netzwerkprüfung als Einzelposten an und verfolgen Sie sie dann wie bei jedem Überholungsauftrag.

Welche Bordsysteme sind tatsächlich gefährdet?

Eine moderne Yacht ist ein schwimmendes Netzwerk und jedes System, das damit in Berührung kommt, ist Teil der Angriffsfläche. Diejenigen, die wichtig sind, gliedern sich wie folgt auf:

System	Was ist aufgedeckt	Typischer Einstiegspunkt
Navigation und ECDIS	Kartendaten, Autopilot, GPS-Feed	USB-Karten, Wartungslaptops
Satellitenkommunikation	VSAT, Starlink, Flottenbreitband	Router-Administrationsbereich, Standardanmeldeinformationen
Motor und Automatisierung	Motorsteuerungsnetzwerke, Überwachung, Arbeitsauftragssysteme	Flache Netzwerke, die mit Gast-WLAN geteilt werden
AV/IT und CCTV	Gast-Streaming, Kamera-Feeds, Medienserver	Unsegmentierte VLANs, gemeinsame Passwörter
Besatzungsgeräte	Persönliche Telefone, Laptops, Tablets	Phishing, betrügerisches WLAN, infizierte USB-Sticks

Navigation und ECDIS

Kartenplotter und Autopiloten wurden für Zuverlässigkeit und nicht für Sicherheit gebaut. USB-Kartenaktualisierungen und Besuchslaptops von Ingenieuren sind die üblichen Infektionswege. Behandeln Sie das Navigations-LAN als eigene Zone.

Satellitenkommunikation und VSAT

VSAT- und Starlink-Terminals sind die Eingangstür der Yacht zum Internet. Standardmäßige Router-Passwörter und ungepatchte Firmware sind die häufigsten Schwachstellen, die uns bei der Umrüstungsplanung aufgefallen sind.

Motor- und Automatisierungsnetzwerke

Motorsteuerungs- und Überwachungssysteme teilen sich häufig einen Switch mit dem Büronetzwerk. Wenn sich eine Arbeitsauftrags- oder RFQ-Plattform im selben flachen Netzwerk befindet, kann ein gefährdeter Laptop den Maschinenraum erreichen.

AV/IT und Gastnetzwerke

Gast-WLAN, Videoüberwachung und Medienserver sind geringwertige Ziele mit hochwertigem Zugang. Segmentieren Sie sie von Betriebssystemen.

Besatzungsgeräte

Besatzungstelefone sind die am wenigsten kontrollierten und am häufigsten genutzten Geräte an Bord. Ein ausziehbares Fenster ist der praktische Moment, um sie zusammen mit Antifouling und anderen Gartenarbeiten zu überprüfen. Mehr dazu in unserem Ratgeber zu Cybersicherheit und Bordsysteme.

Was bedeuten die IMO-Anforderungen an das Cyber-Risikomanagement für eine Yacht?

Seit 2021 verlangt der ISM-Code von Schiffen, Cyber-Risiken als Teil ihres Sicherheitsmanagementsystems gemäß der IMO-Resolution MSC.428(98) und MSC-FAL.1/Circ.3 zu managen. Yachten über 500 BRZ im gewerblichen Einsatz fallen direkt darunter; Private Yachten sind nicht zur Einhaltung verpflichtet, aber Versicherer, Flaggenstaaten und Chartermanager verlangen ohnehin zunehmend den Nachweis eines Plans.

Wem gehört das Cyberrisiko auf einer Yacht?

Die BIMCO/ICS-Richtlinien zur Cybersicherheit an Bord von Schiffen Ordnen Sie die Verantwortlichkeit in dieser Reihenfolge an: Das Unternehmen oder der Eigentümer legt Richtlinien fest, der Kapitän setzt sie um und jedes Besatzungsmitglied befolgt sie. In der Praxis bedeutet das auf einer Med-Yacht, dass der Eigner ein Budget unterzeichnet, der Kapitän den Plan besitzt und ihn bei jedem Auslaufen oder Umbau überprüft und die Besatzung für die Geräte verantwortlich ist, die sie an Bord mitbringt. Wenn Sie als Techniker oder Lieferant Anfragen und Arbeitsaufträge über eine Plattform erledigen, sind Sie auch Teil der Angriffsfläche der Yacht. Nautaes wickelt dies seinerseits mit verifizierten Anbieterkonten ab, und die Preise sind öffentlich https://nautaes.com/en/pricing, aber Ihr eigener Laptop und Ihre Angebotsdokumente benötigen weiterhin eigene Bedienelemente.

Was ein Cyber-Risikoplan beinhalten muss

Ihr Plan erfordert eine Bestandsaufnahme der Bordsysteme, identifizierter Bedrohungen, Verfahren zur Reaktion auf einen Vorfall und benannte Verantwortlichkeiten für die Besatzung. Halten Sie es kurz genug, damit jemand es tatsächlich vor einem Werftaufenthalt liest.

Wie härtet man Navigationssysteme?

Die Navigation ist die Angriffsfläche mit den größten Folgen auf dem Boot und auch diejenige, bei der ein Aushol- oder Umbaufenster Ihnen ununterbrochenen Zugang ermöglicht. Arbeiten Sie es System für System durch, bevor die Werft die Besatzung um 06:00 Uhr weckt.

Checkliste für ECDIS und Kartenplotter

Bestätigen Sie, dass es sich bei der Firmware um die aktuelle Version des Herstellers handelt, und notieren Sie die Version im Arbeitsauftrag.
Ziehen Sie Diagrammaktualisierungen nur von der offiziellen IHO-konformen Vertriebsquelle; niemals von einem USB-Stick, den jemand mit an Bord gebracht hat.
Schreiben Sie eine USB-Richtlinie in die Schiffsordnung: Keine ungescannten Medien im ECDIS, Punkt.
Deaktivieren Sie alle nicht verwendeten Netzwerkports und platzieren Sie das ECDIS in einem eigenen VLAN, nicht in der Crew-WLAN-Brücke.
Protokollieren Sie jede Aktualisierung als Arbeitsauftrag, damit bei der nächsten Überholung eine Papierspur vorhanden ist.

Checkliste für GNSS und Autopilot

Überprüfen Sie die Firmware des GNSS-Empfängers anhand der aktuellen Version des Herstellers und aktualisieren Sie sie von einem kabelgebundenen, isolierten Laptop aus.
Aktivieren Sie die Multi-Konstellation und, sofern unterstützt, die Kurseingabe für mehrere Antennen, damit ein einzelnes gefälschtes Signal das Boot nicht stillschweigend steuern kann.
Platzieren Sie den Autopiloten im getrennten Bridge-Netzwerk, nicht im Unterhaltungs-VLAN.
Überprüfen Sie das Alarmverhalten: Ein verlorener oder abweichender Fix sollte auf der Brücke ertönen, nicht nur auf einem Bildschirm, den niemand sieht.

Auch hier lohnt sich ein Refit gleich doppelt. Wenn ohnehin Auftragnehmer an Bord sind, bündeln Sie die Navigationshärtung in derselben Ausschreibung, holen Sie sich ein Angebot vor Ort ein und lassen Sie Dock Assist die Arbeit in Gang halten. Mit Nautaes können Sie diesen Angebots- und Arbeitsauftragsablauf an einem Ort ausführen (https://nautaes.com/fr/blogs/nautaes-revolutionizing-the-yacht-service-industry-22), und wir sind ehrlich: Unsere Plattform kümmert sich um den Papierkram und die Anbieter, nicht um die Firmware-Updates selbst. Ihr Team muss den Laptop noch anschließen.

Wie sichern Sie VSAT, Starlink und WLAN an Bord?

Härtung des Satellitenterminals

Satellitenterminals sind die Eingangstür der Yacht zum Internet und werden direkt angegriffen. Ändern Sie die Standard-Administratorkennwörter auf den VSAT- und Starlink-Einheiten, deaktivieren Sie die Fernverwaltung auf der WAN-Seite und stellen Sie die Verwaltungsschnittstelle des Terminals in ein VLAN, das kein Gast erreichen kann. Überprüfen Sie die Firmware vor jedem Transport, nicht nach einem Vorfall. NIST-Leitfaden zur Segmentierung von OT- und IoT-Systemen (NIST SP 800-207) behandelt jedes Terminal als eigene Vertrauenszone.

WLAN-Segmentierung für Gäste und Crew

Betreiben Sie drei separate Netzwerke: Crew, Gäste und Betriebssysteme. Gäste erhalten nur Internet, keinen Zugriff auf Router, Kameras oder Motorüberwachung. Die Geräte der Crew befinden sich in einem eigenen Segment mit einem VPN für alles, was vertraulich ist. Auf See ist die Exposition größtenteils Ihre eigene Fehlkonfiguration; Im Hafen erben Sie alle Netzwerke rund um den Liegeplatz, also verschärfen Sie die Firewall-Regeln, wenn Sie anlegen.

Wenn ein Umbauhof oder ein Techniker Zugang benötigt, stellen Sie eine bereichsbezogene Angebotsanfrage über einen Arbeitsauftrag aus, anstatt Administratoranmeldeinformationen weiterzugeben. Aus genau diesem Grund haben wir Dock Assist und In-Situ-Angebote in Nautaes integriert, obwohl wir noch keine Netzwerkprüfung an Bord anbieten, sodass ein Kapitän immer noch einen Penetrationstest durch einen Dritten benötigt. Die eigene Sicherheitslage unserer Plattform ist in unserem Blog dokumentiert (https://nautaes.com/de/blogs/revolutionizing-yacht-services-the-nautaes-advantage-24).

Wie schützt man Motornetzwerke und Automatisierungssysteme?

Trennung des Motornetzwerks

Motorsteuerungs-, Überwachungs- und Automatisierungsnetzwerke sollten sich in einem eigenen VLAN oder physischen Segment befinden und von Gast-WLAN und Mannschaftsgeräten durch eine Firewall geschützt sein. Ein Arbeitsauftrag während eines Transports ist der richtige Zeitpunkt, um ihn abzubilden: Listen Sie alle Geräte im Motornetzwerk auf, von der SPS und den Motorschnittstellen bis hin zu Tankfüllstandssensoren, und dokumentieren Sie, was mit was kommuniziert. Wenn das Automatisierungssystem einen Schalter mit dem AV-Rack teilt, reparieren Sie diesen, bevor das Antifouling trocknet. Protokollieren Sie jede Änderung, damit der nächste Hofbesuch mit einem bekannten Zustand beginnt.

Fernzugriff für Anbieter und Techniker

Hersteller und Servicetechniker wünschen sich häufig einen Fernzugriff für Diagnosen und Updates. Gewähren Sie es pro Besuch, nicht dauerhaft: ein zeitlich begrenztes Konto, auf einem eingeschränkten Port, über einen von Ihnen kontrollierten Jump-Host, widerrufen, wenn die Angebotsanfrage geschlossen wird oder der Techniker sich abmeldet. Teilen Sie niemals die VPN-Anmeldung eines Anbieters auf der anderen Seite des Hofes. Binden Sie während einer Überholung den Technikerzugriff auf den Arbeitsauftrag ein, sodass jeder Auftragnehmer nur die von ihm angebotenen Systeme sieht, und überprüfen Sie das Zugriffsprotokoll, bevor das Schiff die Werft verlässt.

Was dürfen Besatzungsgeräte und Umrüstfirmen anfassen?

Richtlinien für Besatzungsgeräte

Behandeln Sie die Telefone und Laptops der Besatzung als nicht vertrauenswürdig. Platzieren Sie sie in einem Gast-VLAN, niemals in dem Netzwerk, das ECDIS, Autopilot oder Motorüberwachung bedient. Persönliche USB-Sticks komplett verbieten: Stellen Sie einen kleinen Pool gescannter, schiffseigener Laufwerke für Kartenaktualisierungen und Arbeitsaufträge bereit. Zwei Stunden Schulung zu Phishing, USB-Disziplin und der Frage, wen man anrufen sollte, sind besser als jedes Richtliniendokument, das niemand liest.

Zugang für Auftragnehmer während Umbauten

Ein Transport bringt fremde Laptops in Ihre Werft und Ihr Netzwerk. Geben Sie Auftragnehmern ein separates VLAN oder Hotspot, zeitlich begrenzte Anmeldeinformationen und keinen direkten Weg zu Navigations- oder Motorsystemen. Bitten Sie sie um einen Patch, bevor sie eine Verbindung herstellen: ECDIS- und VSAT-Anbieter veröffentlichen Empfehlungen über ICS-Beratungen von CISA, und ein Techniker, der sie nicht gelesen hat, sollte sie nicht anschließen. Protokollieren Sie jedes Gerät, das das Boot während des Umbaufensters berührt.

Wie erstellt man eine Yacht-Cybersicherheits-Checkliste, die man tatsächlich ausführen kann?

Planen von Cyber-Aufgaben rund um Transporte

Verknüpfen Sie jede Härteaufgabe mit der Arbeit, die Sie bereits erledigen. Passwortrotationen und Firmware-Updates für Navigations- und Motornetzwerke passen in das Winterumrüstungsfenster, wenn die Systeme der Werft bereits abgeschaltet sind. Vierteljährliche Kontrollen, wie die Überprüfung des WLAN-Gastzugangs und der Regeln für die Geräte der Besatzung, finden zwischen den Transporten in weniger als einer Stunde statt. Wenn ein Sanierungsunternehmer einen Netzwerkzugang benötigt, gewähren Sie ihn per Arbeitsauftrag und widerrufen Sie ihn bei der Übergabe.

Dokumentation für Versicherer und Gutachten

Führen Sie ein datiertes Protokoll über jede Änderung: angewendete Firmware-Versionen, geänderte Passwörter, wer den Netzwerkzugriff hatte und wann dieser widerrufen wurde. Versicherer und Flaggengutachter verlangen zunehmend Beweise dafür, dass Cyber-Risikomanagement eine Routinetätigkeit und kein einmaliger Vorgang ist. Ein Ordner mit signierten Checklisten pro Wartungsfenster beantwortet diese Fragen ohne Probleme.

FAQ

Benötige ich einen Cyber-Sicherheitsplan für eine Privatyacht unter 500 BRZ?

Rechtlich gesehen nein: Die ISM-Code-Anforderung zielt auf Schiffe über 500 BRZ im kommerziellen Einsatz ab. In der Praxis ja, denn Versicherer, Flaggenstaaten und Chartermanager verlangen zunehmend einen Nachweis eines Plans, bevor sie ein Angebot abgeben oder unterzeichnen. Ein kurzes Dokument, das die Systeminventur, die benannten Verantwortlichkeiten und die Schritte zur Reaktion auf Vorfälle abdeckt, reicht aus, um die meisten dieser Anforderungen zu erfüllen.

Wie viel kostet die Cybersicherheit auf Yachten pro Jahr?

Die Kosten werden in einmalige und wiederkehrende Arbeiten aufgeteilt. Ein Refit-Fenster deckt die großen Aufgaben ab: Firewall-Installation, Netzwerksegmentierung und Firmware-Updates, die wie bei jedem anderen Gartenauftrag veranschlagt werden. Die wiederkehrenden Kosten sind gering: Die vierteljährliche Überprüfung des WLAN-Zugangs und der Teamgeräteregeln dauert weniger als eine Stunde, dazu kommen gelegentliche Penetrationstests durch Dritte. Erwarten Sie, dass die Gesamtsumme einem Generator-Serviceposten ähnelt und nicht einer größeren Überholung.

Kann jemand den Autopiloten oder das GPS einer Yacht hacken?

Ja, grundsätzlich. GNSS-Empfänger können gefälscht werden. Aus diesem Grund sind Kurseingaben mit mehreren Konstellationen und mehreren Antennen wichtig: Ein einziges gefälschtes Signal kann das Boot nicht ruhig steuern. Autopiloten sind erreichbar, wenn sie ein Netzwerk mit Gast-WLAN oder Teamgeräten teilen. Indem die Bridge in ihrem eigenen VLAN bleibt und das Alarmverhalten für einen verlorenen oder abweichenden Fix überprüft wird, werden die praktischen Routen geschlossen.

Was ist der erste Schritt zur Sicherung des Netzwerks einer Yacht?

Ordnen Sie es zu. Listen Sie jedes Gerät an Bord auf, vom ECDIS und dem VSAT-Terminal bis hin zu Tankfüllstandssensoren und Besatzungstelefonen, und dokumentieren Sie, was mit was kommuniziert. Die meisten Yachten verfügen über flache Netzwerke, bei denen ein gefährdeter Laptop den Maschinenraum erreicht. Sobald Sie wissen, was alles zusammenhängt, wird die Segmentierung von Besatzung, Gast und Betriebssystemen zu einer einfachen Umrüstungsaufgabe und nicht mehr zu einem Rätselraten.

Wer ist für die Cybersicherheit an Bord verantwortlich: Eigner, Kapitän oder Besatzung?

Alle drei, in dieser Reihenfolge. Der Eigner legt die Richtlinien fest und unterzeichnet das Budget, der Kapitän ist Eigentümer des Plans und überprüft ihn bei jedem Ausholvorgang, und die Besatzung trägt die Verantwortung für die Geräte, die sie an Bord mitnimmt. Lieferanten und Techniker, die Arbeitsaufträge über eine Plattform ausführen, sind ebenfalls Teil der Angriffsfläche. Daher sollte der Zugriff des Auftragnehmers an jeden Auftrag gebunden und bei der Übergabe widerrufen werden.