Fernwartbare Anlagen überwachen — Kurzantwort
Das Prinzip: Eine Anlagensteuerung überwacht sich gegen ihren eigenen Sollwert. Fällt ein Kompressor aus, steigt die Temperatur über den Sollwert, die Steuerung alarmiert. Wird aber der Sollwert selbst geändert, fährt die Steuerung exakt das, was sie soll, und meldet „alles in Ordnung“. Dass der Tiefkühlraum dabei auftaut, die Heizung durchläuft oder die Produktionslinie mit falschen Parametern arbeitet, sieht nur, wer den realen Prozess unabhängig misst.
Wen das betrifft: Jeden Betrieb mit Anlagen, auf die jemand von außen zugreifen kann. Das ist heute die Regel, nicht die Ausnahme. Der Kältefachbetrieb wartet die Kühlung aus der Ferne, der Heizungsbauer die Wärmepumpe, der Installateur den Wechselrichter, der Systemintegrator die MSR-Technik, der Maschinenhersteller die Produktionslinie. Jeder dieser Zugänge ist nützlich, und jeder ist ein Weg, über den ein Sollwert geändert werden kann.
Zwei Aufgaben, zwei Werkzeuge:
| Aufgabe | Werkzeug | Wer kümmert sich |
|---|---|---|
| Zugriff auf die Steuerung absichern | Netztrennung, VPN, aktuelle Firmware, geänderte Passwörter, Zugangsverwaltung | IT, Fachbetrieb, Hersteller |
| Abweichung des realen Prozesses erkennen und Schaden begrenzen | Unabhängige Messebene: eigene Fühler, Soll-Ist-Vergleich, Alarmregeln, Eskalation | Betriebsleitung, Energiemanagement, Plattform |
Dieser Beitrag behandelt die zweite Aufgabe. Eine Checkliste zum Ausfüllen hilft, beide Teile im eigenen Betrieb durchzugehen.
Ein Beispiel: Kältesteuerungen in Frankreich
Wie schnell aus einer geänderten Einstellung ein Schaden wird, hat der Oktober 2026 gezeigt. In der Nacht auf den 12. Oktober wurden in Frankreich die Kältesteuerungen vieler Supermärkte aus der Ferne in den Abtaumodus versetzt. Gekühlte und tiefgekühlte Ware verdarb, bevor jemand den Temperaturanstieg bemerkte. Die französische Sicherheitsbehörde nannte als Ursache Verwaltungsoberflächen von Steuerungen, die offen im Internet erreichbar waren.
Das Besondere an dem Fall ist nicht die Kältetechnik, sondern das Muster: Die Steuerungen haben während des gesamten Vorgangs keinen Fehler gemeldet. Sie haben getan, was in ihnen eingestellt war. Dasselbe Muster entsteht ohne jeden Angreifer, wenn ein Dienstleister bei der Fernwartung einen Zeitplan verstellt, ein neuer Mitarbeiter eine Betriebsart wählt oder ein Firmware-Update die Parameter zurücksetzt.
Welche Anlagen betroffen sind
| Anlage | Typischer Fernzugriff | Was bei einer Abweichung passiert | Woran die zweite Ebene es erkennt |
|---|---|---|---|
| Kälte und Tiefkühlung | Kältefachbetrieb, Hersteller-Portal | Ware verdirbt, Kühlkette unterbrochen | Temperaturanstieg je Viertelstunde, Kompressorstrom, Abtaumuster |
| Heizung und Wärmepumpe | Heizungsbauer, Hersteller-App | Durchlaufender Betrieb, Komfortverlust, hohe Stromkosten | Vorlauftemperatur, Leistungsaufnahme, Laufzeit außerhalb des Zeitplans |
| PV-Anlage und Wechselrichter | Installateur, Monitoring-Portal | Abregelung, Einspeisung bleibt aus, Erträge fehlen | Leistung gegen Einstrahlung, Vergleich mit Nachbaranlagen |
| Lüftung und MSR-Technik | Systemintegrator, GLT-Fernzugang | Falsche Luftmengen, Frostschutz aus, Energieverbrauch steigt | Volumenstrom, Ventilatorstrom, Raumtemperatur gegen Sollwert |
| Produktionsanlagen | Maschinenhersteller, Teleservice | Falsche Rezeptur oder Parameter, Ausschuss, Stillstand | Taktzeit, Energie je Stück, Prozesswerte gegen Rezeptur |
| Druckluft und Pumpen | Hersteller, Wartungsvertrag | Dauerlauf, Leckage bleibt unbemerkt | Leistung ohne Abnahme, Druckverlauf in Pausen |
In allen Fällen ist die Logik dieselbe: Der Prozess hat einen Normalverlauf, der sich aus wenigen Messwerten erkennen lässt. Weicht er ab, soll in den ersten Minuten jemand Bescheid bekommen, nicht erst am nächsten Morgen.
Die Checkliste als PDF: Fernwartbare Anlagen, wann bemerken Sie die Abweichung?
Vier Seiten zum Ausfüllen, mit Ihrem Team und Ihren Fachbetrieben: Welche Steuerungen sind von außen erreichbar, was wird an Kälte, Heizung, Lüftung, PV und Produktion typisch verstellt, wer würde es bemerken, und wie sieht eine Alarmregel aus, die mit vorhandenen Messwerten funktioniert?
- Teil A Bestandsliste je Steuerung: Zugang von außen, Zuständigkeit
- Teil B Häufige Fälle: was an sechs Anlagentypen typisch verstellt wird, und wann es auffällt
- Teil C Zweite Ebene: die Fragen je kritischer Anlage und eine Beispielregel je Anlagentyp
Checkliste anfordern
Sie bekommen den Download sofort nach dem Absenden.
Warum die Steuerung allein kein Wächter sein kann
Jede Steuerung vergleicht Istwert und Sollwert. Das funktioniert bei einem Defekt. Bei einer geänderten Einstellung versagt dieses Prinzip, weil der Sollwert selbst die Abweichung ist. Die Steuerung fährt dann exakt das, was sie soll. Aus ihrer Sicht gibt es keinen Alarm.
Die zweite Ebene ist nur dann eine zweite Ebene, wenn sie vier Dinge getrennt hält: den Fühler (ein eigener Sensor statt des Messwerts aus der Steuerung), den Kommunikationsweg (ein eigener Datenpfad, der die Steuerung umgeht), die Stromversorgung (ein Ausfall der Steuerung darf die Überwachung nicht mitnehmen) und die Alarmierung (ein Kanal, der auch dann funktioniert, wenn der erste gestört ist).
Wie eine unabhängige Messebene aussieht
In der Praxis sind das wenige Messstellen je Anlage. Entscheidend ist, was die Regeln daraus machen:
| Was gemessen wird | Was die Regel erkennt | Was das verhindert |
|---|---|---|
| Temperatur, Druck oder Vorlauf | Verlauf schneller oder in die falsche Richtung als im Normalbetrieb, auch unterhalb der absoluten Grenze | Schaden, weil die Warnung während der Entwicklung kommt, nicht erst am Grenzwert |
| Sollwert und Istwert zusammen | Istwert stimmt, der Sollwert passt nicht zum gewohnten Betrieb | Eine Änderung, die die Steuerung selbst als normal ansieht |
| Stromaufnahme oder Leistung | Temperatur steigt, Kompressor läuft nicht; Sonne scheint, Wechselrichter liefert nicht; Pumpe läuft ohne Abnahme | Falsche Betriebsart, Ausfall, Dauerlauf |
| Zeitpläne und Zyklen | Abtauung, Nachtabsenkung oder Produktionspause häufiger oder länger als das gelernte Muster | Verstellte Zeitpläne, egal durch wen |
| Datenverbindung | Messwerte bleiben aus oder sind unplausibel | Ein stilles Loch in der Überwachung |
| Mehrere Standorte | Zeitgleiche Abweichung in vielen Filialen, Werken oder Liegenschaften | Ein übergreifendes Problem wird als solches erkannt, statt als Einzelfall |
Die letzte Zeile ist für Betriebe mit vielen Standorten die wichtigste. Ein einzelner Alarm ist ein Störfall. Zwanzig gleichzeitige Alarme um drei Uhr nachts sind ein Muster, und dieses Muster soll die Plattform erkennen, nicht der Mitarbeiter in der Rufbereitschaft.
Ein Beispiel für eine Regel: Abtauung im Tiefkühlraum
In eco2lot lässt sich diese Logik mit vorhandenen Funktionen aufbauen. Die Datenpunkte liefern Temperatur, Kompressorstrom und Abtaustatus. SmartCalc berechnet daraus den Temperaturanstieg je Viertelstunde und vergleicht ihn mit dem Normalprofil der Anlage. Ein Alarm löst aus, wenn drei Bedingungen zusammentreffen: Der Anstieg liegt über der gelernten Schwelle, der Kompressor zieht keinen Strom, und es ist kein geplanter Abtauzyklus.
Ein Beispiel mit frei gewählten Werten: Im Tiefkühlraum steigt die Temperatur im Normalbetrieb während einer Abtauung um höchstens 1,5 Kelvin in 15 Minuten und fällt danach wieder. Die Regel setzt die Schwelle auf 2,0 Kelvin je 15 Minuten außerhalb des Abtaufensters. Steigt die Temperatur schneller, geht nach fünf Minuten ohne Gegenreaktion eine Meldung an die Rufbereitschaft. Nach weiteren zehn Minuten eskaliert der Alarm an die Betriebsleitung. Die Werte werden in den ersten Wochen mit echten Daten der Anlage eingestellt, damit reguläre Abtauphasen keinen Fehlalarm auslösen.
Für eine Wärmepumpe sieht die Regel ähnlich aus, nur mit anderen Größen: Laufzeit außerhalb des Zeitplans, Vorlauftemperatur über dem gewohnten Bereich, Leistungsaufnahme ohne Wärmeabnahme. Für eine PV-Anlage ist es die Leistung gegen die Einstrahlung oder gegen die Nachbaranlage. Für automatische Eingriffe, etwa das Blockieren einer unzulässigen Betriebsart, empfehlen wir eine lokale Schutzfunktion in der SPS. Die Plattform beobachtet, vergleicht und alarmiert. Sie ist die zweite Ebene, und sie bleibt es.
Wie Sie sich bestmöglich schützen: ein Vorgehen für vier Wochen
Die Erfahrung aus Frankreich läuft auf eine Liste hinaus, die zwei Hälften hat, und beide sind nötig. So lässt sie sich in einem Monat abarbeiten, ohne Projekt und ohne Berater. Für größere Betriebe ab 50 Beschäftigten in Energie, Lebensmitteln oder verarbeitendem Gewerbe verlangen die NIS-2-Gesetze in Deutschland und Österreich seit kurzem ohnehin, dass Zugänge bekannt und geregelt sind; die Liste erledigt das nebenbei.
| Woche | Was passiert | Wer macht es |
|---|---|---|
| 1 | Bestandsliste: jede Steuerung, auf die jemand von außen zugreifen kann, mit Zugangsweg, Zuständigkeit und Firmware-Stand. Dienstleister nach ihren Zugängen fragen, viele wurden bei der Inbetriebnahme eingerichtet und seither nicht angefasst. | Betriebsleitung, Technik |
| 2 | Steuerungen aus dem Internet nehmen, Fernzugriff nur über VPN oder ein geschütztes Netz. Standardpasswörter ersetzen, persönliche Zugänge mit Mehr-Faktor-Anmeldung, alte Zugänge löschen. Firmware aktualisieren; Geräte ohne Sicherheitsupdates ersetzen oder vom Netz nehmen. | IT, Fachbetrieb, Hersteller |
| 3 | Je kritischer Anlage die zweite Ebene: eigener Fühler, Stromaufnahme des Hauptverbrauchers, Betriebsstatus. Prüfen, welche dieser Messwerte im Energiemanagement schon vorliegen. | Betriebsleitung, Energiemanagement |
| 4 | Alarmregel je Anlage: Anstieg je Zeiteinheit, Laufzeit außerhalb des Zeitplans, Leistung ohne Abnahme. Reguläre Zyklen hinterlegen, ausbleibende Messwerte als Alarm behandeln, Eskalationskette festlegen: wer nach wie vielen Minuten, über welchen Kanal. | Energiemanagement, Plattform |
Die ersten beiden Wochen sind Sache Ihrer IT und Ihrer Fachbetriebe, und sie sind die Voraussetzung. Die Wochen drei und vier sind der Teil, den eine Plattform wie eco2lot übernimmt. Sie macht die ersten beiden Wochen nicht überflüssig, aber sie sorgt dafür, dass ein Fehler dort in Minuten auffällt statt am nächsten Morgen. Danach bleibt eine Routine: Bei jedem neuen Gerät und jedem Dienstleisterwechsel die Bestandsliste ergänzen, nach jeder Fernwartung die Konfiguration prüfen, einmal im Quartal die Alarmregeln gegen echte Daten nachjustieren. Die Checkliste zum Ausfüllen führt durch beide Hälften.
Was die Plattform selbst sicher macht
Eine Plattform, die Daten aus Anlagen liest und auf Wunsch Sollwerte zurückschreibt, muss dieselbe Frage beantworten, die dieser Beitrag stellt. Bei eco2lot gilt: Der Standard ist lesend. Schreiben braucht eine ausdrückliche Freigabe je Datenpunkt mit zulässigem Wertebereich und Rolle. Jeder Befehl wird protokolliert und per Rücklesen vom Gerät bestätigt. Der eco2node sitzt im OT-Segment hinter Ihrer Firewall und baut die Verbindung zur Plattform verschlüsselt von innen nach außen auf. Eingehende Ports bleiben geschlossen. Die Antworten auf die fünf Fragen, die IT- und Betriebsleitung dazu stellen, stehen im Trust-Center.
Für wen das relevant ist
In der Lebensmittelproduktion hängen Kühlhäuser, Reifekammern und Schockfroster an Steuerungen, die der Kältefachbetrieb aus der Ferne betreut. In Liegenschaften mit vielen Standorten sind es Heizung, Lüftung, Kälte und PV, oft von verschiedenen Herstellern und Dienstleistern. In der Produktion kommen Maschinen mit Teleservice-Zugang des Herstellers dazu, in Kommunen Schwimmbäder, Schulküchen und Rechenzentren.
Viele dieser Betriebe haben die zweite Ebene bereits, ohne sie so zu nennen: Die Temperatur-, Strom- und Leistungsdaten, die für das Energiemanagement erfasst werden, sind genau die Daten, die eine Abweichung früh zeigen. Was fehlt, ist meist nur die Regel, die daraus einen Alarm macht.
Quellen
- CERT-FR: Bulletin d’alerte CERTFR-2026-ALE-012, 12. Oktober 2026, aktualisiert 13. Oktober 2026 (cert.ssi.gouv.fr).
- heise online: „Cyberangriff auf französische Supermarkt-Kühlschränke: Hunderte Waren verdorben“, 12. Oktober 2026.