Die am 28. Juli 2026 von der CISA und dem australischen Cyber Security Centre gemeinsam veröffentlichte „CI Fortify“-Leitlinie gibt Betreibern kritischer Infrastrukturen eine klare Vorgabe: Sie sollen die Fähigkeit aufbauen, wichtige OT- und OT-unterstützende Systeme von allen anderen Netzwerken zu isolieren. Die technischen Argumente dafür sind stichhaltig. Durch die Isolierung wird die Fähigkeit eines Angreifers eingeschränkt, sich in vernetzte Systeme einzuschleusen, Angriffe zu eskalieren und Kettenreaktionen mit weitreichenden Schäden auszulösen.

Die Isolierung des operativen Netzwerks (OT) konzentriert sich auf Systeme wie HMIs, SPSen, SCADA-Umgebungen, Engineering-Arbeitsplätze und die zugehörigen OT-Netzwerke. Ihre betrieblichen Auswirkungen reichen jedoch noch weiter. Sobald die Isolierung beginnt, benötigen Einsatzteams, Führungskräfte, Mitarbeiter vor Ort und externe Partner weiterhin zuverlässige Möglichkeiten, um Entscheidungen zu koordinieren, den Status auszutauschen, Probleme zu eskalieren und die Kontinuität aufrechtzuerhalten.

Für viele Unternehmen ergibt sich daraus die Notwendigkeit, die Kontinuität der Kommunikation zu gewährleisten: eine vertrauenswürdige Koordinierungsebene, die auch dann verfügbar bleibt, wenn die primäre Infrastruktur nicht verfügbar ist, kompromittiert wurde oder absichtlich vom Netz getrennt wurde. Die BlackBerry® Secure Communications-Lösungen können diese Ebene als Ergänzung zur Planung der OT-Isolierung unterstützen.

Die gemeinsamen Leitlinien von CI Fortify spiegeln einen allgemeinen Wandel in der Sichtweise der Regulierungs- und Sicherheitsbehörden auf OT-Risiken wider. Die Isolierung wird nicht mehr als Notfallmaßnahme betrachtet, die nur für Worst-Case-Szenarien vorgesehen ist, sondern entwickelt sich zu einer zentralen operativen Vorgehensweise.

In den Leitlinien wird konkret festgelegt, was Organisationen vorbereiten müssen:

• Identifizieren Sie Ihre lebenswichtigen Systeme

• Stellen Sie Ihre Verbindungen dar

• Physische Isolationspunkte einrichten

• Testen Sie Ihren stufenweisen Isolationsplan

• Die Wirksamkeit durchgehend überwachen

Was dabei jedoch nicht im Detail geklärt wird, ist die Frage, mit der Führungskräfte in dem Moment konfrontiert sind, in dem die Isolation beginnt: Wie koordinieren, kommunizieren und sichern die Menschen die Führung, wenn die üblichen Systeme nicht verfügbar sind oder kein Vertrauen mehr in sie besteht?

Diese Frage weist auf eine Schwachstelle hin, die sich durch Netzwerkdiagramme und Firewall-Konfigurationen allein nicht beheben lässt. Außerdem tritt sie häufiger auf, als viele Unternehmen annehmen.

Die Kluft zwischen Selbstvertrauen und Kompetenz bei der Krisenbewältigung

Laut der BlackBerry-Studie „State of Secure Communications 2026“geben 90 Prozent der Sicherheitsverantwortlichen an, Vertrauen in ihre Krisenmanagementfähigkeiten zu haben. Dennoch verfügen nur 49 Prozent über eine einheitliche Plattform zur Koordination der Krisenreaktion.

Die Ergebnisse decken eine strukturelle Schwachstelle auf, nicht etwa eine geringfügige Abweichung.

Wenn OT-Umgebungen isoliert sind, können automatisierte Datenflüsse und bestimmte IT-gestützte Koordinationswege unterbrochen werden. Manuelle Prozesse treten an ihre Stelle, und die Einsatzteams benötigen alternative Wege, um Entscheidungen zu koordinieren, den Status auszutauschen, die Lage vor Ort zu melden und externe Abhängigkeiten zu verwalten. Wie CI Fortify feststellt, müssen Organisationen darauf vorbereitet sein, in diesem Zustand „über einen längeren Zeitraum“ zu arbeiten.

Selbstvertrauen ohne Kompetenz ist keine Widerstandsfähigkeit. Es ist ein Risiko, das noch nicht auf die Probe gestellt wurde.

Was CI Fortify zusätzlich zum Netzwerkplan benötigt

CI Fortify beschreibt einen mehrstufigen Ansatz zur Isolierung: Identifizierung wichtiger Systeme und kritischer Kunden, Erfassung der Verbindungen zwischen kritischen und nicht kritischen Netzwerken, Einrichtung physischer Trennungs- und Isolierungsmaßnahmen sowie Erstellung eines abgestuften Plans, der umgesetzt werden kann, sobald sich die Bedrohungslage verschärft.

Jeder Schritt ist technischer Natur, doch in den Leitlinien wird auch der menschliche und operative Aufwand berücksichtigt, der für dessen Umsetzung erforderlich ist.

Betrachten Sie folgende Passage: Unternehmen müssen sich mit folgenden Punkten befassen: „die Beseitigung externer Abhängigkeiten zum Zwecke der Isolierung oder der ersten Wiederherstellung, die Überprüfung von Service Level Agreements für priorisierten Support sowie die Einrichtung von Notfallkommunikationswegen für das reguläre Personal und für etwaige verbleibende Abhängigkeiten von Drittanbietern.“

Der Ausdruck „vorab festgelegte Notfallkommunikation“ ist von Bedeutung, da er verdeutlicht, dass die Planung für den Isolationsfall nicht bei der Netzwerkarchitektur enden darf. CI Fortify schreibt keine bestimmte sichere Kommunikationsplattform vor, verlangt jedoch von den Organisationen, dass sie festlegen, wie sich die Mitarbeiter abstimmen, wenn die üblichen Kommunikationskanäle nicht verfügbar, kompromittiert oder nicht mehr vertrauenswürdig sind.

In den Leitlinien wird zudem darauf hingewiesen, dass staatlich geförderte Cyberakteure kritische Infrastrukturen ins Visier nehmen, „um sich im Falle einer Krise oder eines Konflikts auf störende und zerstörerische Auswirkungen vorzubereiten“. Mit anderen Worten: Der Gegner befindet sich möglicherweise bereits innerhalb des Sicherheitsperimeters und beobachtet Abhängigkeiten und Kommunikationsmuster, noch bevor die Isolierung beginnt.

Wie man die Koordination während einer OT-Isolationsmaßnahme aufrechterhält

Die folgenden Schritte setzen die technischen Vorgaben von CI Fortify in die operative Praxis um: Was muss vor einem Isolationsvorfall geplant und getestet werden, und wie lassen sich Koordination, Gerätesteuerung und sichere Kommunikation aufrechterhalten, sobald dieser beginnt?

Schritt 1: Einrichtung einer Out-of-Band-Krisenkoordination

Legen Sie bereits vor dem Eintreten eines Isolationsvorfalls eine „Out-of-Band“-Koordinationsplattform fest, die nicht über die Netzwerke läuft, die Sie isolieren möchten. Registrieren Sie im Voraus das Personal, die Rollen und die externen Ansprechpartner, die erreichbar sein müssen, und konfigurieren Sie Benachrichtigungsabläufe so, dass die Isolation automatisch über die richtigen Kanäle die richtigen Personen erreicht. BlackBerry^® AtHoc^® unterstützt dies durch die gleichzeitige Mehrkanal-Übermittlung per SMS, E-Mail, Sprachansage, Desktop-Benachrichtigungen und mobilen Anwendungen.

Legen Sie Eskalationswege im Voraus fest: Wer erhält die erste Benachrichtigung, wer wird benachrichtigt, wenn innerhalb einer festgelegten Frist keine Bestätigung eingeht, und wer ist befugt, an behördenübergreifende Ansprechpartner zu eskalieren? Richten Sie eine bidirektionale Berichterstattung ein, damit die Teams vor Ort den Status bestätigen, die Lage melden und aufkommende Probleme an die Einsatzleitung weiterleiten können. Testen Sie diese Arbeitsabläufe vor einem Vorfall und dokumentieren Sie die Abfolge in Ihrem Offline-Isolationsplan.

Stellen Sie sicher, dass für jede aktive Isolationsrolle ein registrierter und getesteter Out-of-Band-Kontaktweg vorhanden ist. Bei verteilten Standorten sollten Sie vor einem Vorfall die Erreichbarkeit zwischen den Standorten überprüfen. Dokumentieren Sie, wer in jeder Phase der Isolationssequenz die Entscheidungsbefugnis hat, und stellen Sie sicher, dass diese Personen registriert, verifiziert und über Kanäle außerhalb der vom Netz genommenen Netzwerke erreichbar sind.

Wenden Sie dieselbe Sorgfalt auch auf externe Abhängigkeiten an. Identifizieren Sie vor einem Vorfall alle Organisationen, von denen Ihr Betrieb während der Isolierung abhängt, einschließlich Versorgungsunternehmen, Netzplaner, Rettungsdienste, Aufsichtsbehörden und kritische Drittanbieter. Legen Sie „Out-of-Band“-Kontaktwege fest, benennen Sie Ansprechpartner und dokumentieren Sie Eskalationsprotokolle, die nicht auf die Netzwerke angewiesen sind, die Sie isolieren möchten. BlackBerry AtHoc Halten Sie diese organisationsübergreifenden Kommunikationswege außerhalb eines kompromittierten oder isolierten Netzwerkperimeters aufrecht, damit die Koordination auch dann fortgesetzt werden kann, wenn die interne Infrastruktur vollständig offline ist.

Schritt 2: Gewährleistung der Gerätekonformität und Zugriffskontrolle durch Isolierung

Richten Sie vor Beginn der Isolierung eine sichere MDM-Lösung wie beispielsweise BlackBerry ein^®UEM , um Richtlinien zur Einhaltung der Mindestanforderungen für Geräte unabhängig vom Netzwerkstatus durchzusetzen. Legen Sie fest, welche Geräte für den Zugriff auf sensible Systeme autorisiert sind, registrieren Sie alle Mitarbeiter mit aktiven Isolationsrollen, stellen Sie sicher, dass deren Geräte die Sicherheitsanforderungen Ihres Unternehmens erfüllen, und entziehen Sie jedem Gerät, das die Compliance-Anforderungen nicht mehr erfüllt, den Zugriff. Richten Sie ein Protokoll zur Fernlöschung für verlorene, gestohlene oder kompromittierte Geräte ein und speichern Sie Richtlinienkonfigurationen sowie Geräte-Registrierungsdaten in einem Format, auf das auch offline zugegriffen werden kann.

CI Fortify warnt davor, dass isolierte Systeme möglicherweise nicht mehr auf dem aktuellen Stand sind und dass Wechseldatenträger, die für Updates verwendet werden, möglicherweise nicht ausreichend überprüft werden. Konfigurieren Sie Ihre „ UEM “-Lösung so, dass Geräte, die innerhalb eines festgelegten Zeitraums keine Updates erhalten haben, gekennzeichnet werden, dokumentieren Sie, wie Wechseldatenträger vor der Verwendung überprüft werden, und weisen Sie eine benannte Rolle zu, die den Patch-Status während der gesamten Veranstaltung überwacht.

Wenden Sie in hybriden oder teilweise isolierten Umgebungen Richtlinien für den bedingten Zugriff an, die für den gesamten Gerätebestand dieselbe Compliance-Grundlage durchsetzen. Stellen Sie sicher, dass die Durchsetzung der Richtlinien zur „ UEM “ nicht von isolierten Netzwerksegmenten abhängt, verhindern Sie, dass nicht verifizierte oder nicht konforme Geräte Zugriff auf sensible Systeme erhalten, dokumentieren Sie, welche Zugriffsrichtlinien in jeder Phase eines schrittweisen Isolationsvorgangs gelten, und weisen Sie eine benannte Rolle zur Überwachung des Compliance-Status zu.

Schritt 3: Sprach- und Nachrichtenkanäle sichern, bevor die Isolierung beginnt

Beginnen Sie mit einer Bestandsaufnahme der Sprach- und Nachrichtenkanäle, auf die sich Ihre Betriebs- und Einsatzteams stützen, und ermitteln Sie anschließend, welche davon auf von Netzbetreibern bereitgestellte, extern verwaltete oder anderweitig nicht unter eigener Kontrolle stehende Infrastruktur angewiesen sind. CI Fortify fordert Unternehmen nachdrücklich auf, externe Abhängigkeiten zu berücksichtigen, die die Isolierung oder Wiederherstellung beeinträchtigen könnten; die Kommunikationsplanung sollte denselben Grundsätzen folgen.

Prüfen Sie für jeden Kanal, ob er über einen Out-of-Band-Pfad umgeleitet werden kann, der nicht von den isolierten Netzwerken abhängt, oder ob er für die Dauer des Vorfalls durch eine staatlich kontrollierte Alternative ersetzt werden sollte. Dokumentieren Sie, welche Mitarbeiter auf diese Kanäle angewiesen sind, weisen Sie Alternativen zu, bevor ein Vorfall eintritt, und stellen Sie sicher, dass diese Alternativen eingerichtet, getestet und erreichbar sind. Speichern Sie diese Zuordnung in Ihrem Offline-Isolationsplan, damit sie auch dann zugänglich bleibt, wenn die primäre Infrastruktur nicht verfügbar ist.

Wenn ein Kanal auf einer vom Netzbetreiber bereitgestellten oder extern verwalteten Infrastruktur basiert, ersetzen Sie ihn durch eine staatlich kontrollierte Alternative, die unabhängig von den zu isolierenden Netzwerken betrieben werden kann. Diese sollte durchgehend verschlüsselte Sprach- und Nachrichtenübertragung bieten, Infrastruktur vermeiden, die nicht unter der Kontrolle Ihrer Organisation steht, und die für Ihre Betriebsumgebung relevanten Zertifizierungsstandards erfüllen. BlackBerry^® SecuSUITE^® erfüllt die Zertifizierungsanforderungen der NSA CSfC und der NATO Restricted und wird auf einer Infrastruktur betrieben, die unter der direkten Kontrolle Ihrer Organisation steht, was es zu einer validierten Option für diese Rolle macht. Registrieren Sie Mitarbeiter mit aktiven Koordinationsaufgaben, stellen Sie die Erreichbarkeit über Ihren Out-of-Band-Netzwerkpfad sicher und testen Sie die Plattform, bevor ein Vorfall dies erforderlich macht.

Bevor der Isolationsvorgang abgeschlossen ist, sollten Sie beurteilen, welche Erkenntnisse sich aus den Kommunikationsmustern gewinnen lassen. Selbst ohne den Inhalt der Nachrichten können Angreifer anhand von Anrufprotokollen, Teilnehmeridentitäten, zeitlichen Mustern und der Kommunikationshäufigkeit Rückschlüsse auf die Organisationsstruktur, Entscheidungsabläufe und operative Prioritäten ziehen. BlackBerry „ SecuSUITE “ trägt dazu bei, diese Metadaten während des gesamten Vorfalls zu schützen, indem Anrufprotokolle verborgen, die Identitäten der Teilnehmer maskiert und die Sichtbarkeit von Datenverkehrsmustern unterdrückt werden. Weisen Sie eine benannte Rolle zu, um zu überprüfen, ob die Kontrollmechanismen zum Schutz der Metadaten aktiv sind, bevor sichere Sprach- und Nachrichtenkanäle in Betrieb genommen werden, und stellen Sie sicher, dass diese während jeder Kommunikationssitzung wirksam bleiben.

Die CI Fortify-Leitlinien in die Praxis umsetzen

Viele Unternehmen haben erhebliche Investitionen in Tools zur Erkennung, Absicherung der Netzwerkgrenzen, Segmentierung und Reaktion auf Vorfälle getätigt. Der Aufrechterhaltung der Kommunikation – also der Infrastruktur zur Koordination der Mitarbeiter, die es den Teams ermöglicht, auch unter Isolationsbedingungen weiterzuarbeiten – wurde hingegen weniger systematische Aufmerksamkeit gewidmet.

Das ist kein Versagen der Absicht. Die Planung der Krisenkommunikation ist schwieriger zu definieren, schwieriger zu testen und schwieriger zuzuweisen als die Arbeit an der Netzwerkarchitektur. Das führt dazu, dass die technischen Möglichkeiten zur Isolierung die operative Bereitschaft, diese aufrechtzuerhalten, übersteigen können.

CI Fortify setzt neue Maßstäbe für Betreiber kritischer Infrastrukturen. Wenn die CISA und die ASD Organisationen gemeinsam anweisen, Isolationskapazitäten aufzubauen, signalisieren sie damit, dass sich das Bedrohungsumfeld so weit entwickelt hat, dass Isolation nicht mehr nur ein theoretisches Planungsszenario ist. Es handelt sich vielmehr um einen operativen Zustand, auf den man sich in der Praxis vorbereiten muss.

Organisationen, die ihre Koordinations- und Kommunikationsfähigkeiten noch nicht anhand eines realistischen OT-Isolationsszenarios einem Stresstest unterzogen haben, sollten diese Leitlinien als Aufforderung betrachten, dies zu tun.

Betrachten Sie die Aufrechterhaltung der Kommunikation als einen wesentlichen Bestandteil Ihres Isolationsplans und nicht als nachrangigen Aspekt. Erfassen Sie Koordinationsabhängigkeiten mit derselben Sorgfalt, die Sie bei der Netzwerkarchitektur anwenden, und klären Sie diese, bevor ein Vorfall eintritt, bei dem Sie darauf angewiesen sind.

Für viele Organisationen bedeutet dies, drei unterstützende Funktionen aufeinander abgestimmt zu planen: einen vorab eingerichteten Koordinationskanal, der unabhängig von isolierten Netzwerken verfügbar bleibt, einen Steuerungsmechanismus, der sicherstellt, dass Reaktionsgeräte während des gesamten Vorfalls verifiziert und der Zugriff kontrolliert wird, sowie einen vertrauenswürdigen Sprach- und Nachrichtenübertragungsweg, den Angreifer nicht ohne Weiteres überwachen oder stören können. Jede dieser Funktionen sollte geplant, eingerichtet und getestet werden, bevor ein Isolationsvorfall eintritt. Keine davon sollte unter Druck improvisiert werden.

Umsetzung der CI Fortify-Leitlinien in konkrete Maßnahmen

• Richten Sie Out-of-Band-Kommunikationskanäle ein, die nicht über die Netzwerke verlaufen, die Sie isolieren möchten. „ BlackBerry AtHoc “ und „BlackBerry SecuSUITE “ unterstützen diese Funktion über verschiedene Kommunikationsmodi hinweg.

• Legen Sie Notfallkontakte und Kommunikationsprotokolle für Mitarbeiter, Kollegen und externe Partner fest, bevor ein Vorfall Sie dazu zwingt, improvisieren zu müssen.

• Stellen Sie während des gesamten Isolationszeitraums die Einhaltung der Geräte-Compliance-Vorgaben und die Zugriffskontrollen mithilfe von BlackBerry „ UEM “ sicher, um zu verhindern, dass kompromittierte Endgeräte zu einem sekundären Angriffsvektor werden.

• Führen Sie Tests des Isolationsplans durch, die nicht nur technische Übungen zur Netzwerktrennung, sondern auch Kommunikations- und Koordinationsszenarien umfassen.

Die CI Fortify-Leitlinien empfehlen, Isolationspläne regelmäßig zu testen und sichere Offline-Versionen aufzubewahren. Ihr Plan zur Aufrechterhaltung der Kommunikationskontinuität verdient dieselbe Sorgfalt.

Die Aufrechterhaltung der Kommunikation sorgt für die betriebliche Nachhaltigkeit der OT-Isolierung

Isolation ist eine defensive Haltung. Erst durch Koordination wird sie operativ tragfähig.

Die Kluft zwischen den 90 Prozent der Führungskräfte, die sich im Krisenmanagement sicher fühlen, und den 49 Prozent, die über die entsprechenden Voraussetzungen verfügen, um dies umzusetzen, ist keine Wissenslücke. Es handelt sich um eine Kompetenzlücke, die gerade dann sichtbar wird, wenn der Druck am größten ist.

BlackBerry AtHoc, BlackBerry UEM und BlackBerry SecuSUITE können Unternehmen dabei unterstützen, die Krisenbewältigung zu koordinieren, die Endgeräte-Governance aufrechtzuerhalten und vertrauenswürdige Sprach- und Nachrichtenkommunikation während einer Isolationsmaßnahme zu schützen.

Unternehmen, die die Aufrechterhaltung der Kommunikation als Nebensache im Vergleich zur OT-Isolierung betrachten, lösen damit nur einen Teil des Problems. Die Möglichkeit, die Verbindung zu trennen, ist vor allem dann von Bedeutung, wenn sich die Teams auch während der Trennung koordinieren können. Da die Isolierung zunehmend von der Notfallplanung zur Standardpraxis im Betrieb wird, verdient die Kommunikationsebene dieselbe Sorgfalt, dieselbe Steuerung und dieselbe Disziplin bei der Einsatzbereitschaft wie die Netzwerkarchitektur, die sie unterstützt.