Der öffentliche Verkehr leistet einen wichtigen Beitrag zur Mobilität moderner Gesellschaften. Fahrgäste und Kunden des Schienenverkehrs erwarten einen sicheren, zeitnahen und komfortablen Service. Um dieser Nachfrage gerecht zu werden, haben Sicherheitsingenieure über Jahrzehnte Strategien entwickelt, um Risiken zu beseitigen und die Sicherheit zu erhöhen. Sie manifestieren sich in Eisenbahnsignalsystemen, die für den sicheren Zugbetrieb von heute von grundlegender Bedeutung sind. In den letzten Jahren hat die Digitalisierung Eingang in die Eisenbahn-Leit- und Sicherungstechnik gefunden, jedoch leider auf Kosten ihrer Anfälligkeit für Cybersicherheitsbedrohungen. Die Sicherheitslücken können sich auch auf die Sicherheit des Zugbetriebs auswirken und letztendlich die Ursache für Unfälle mit potenziell schwerwiegenden und tragischen Folgen sein. Daher sind sich Wissenschaftler und Ingenieure, die sich mit Eisenbahnsignaltechnik befassen, einig, dass ein System, das nicht "safe" ist, auch nicht "secure" sein kann. Wie der Schutz gegen Angriffe auf Bahnsysteme gestaltet werden sollte, wird derzeit von Fachleuten diskutiert. Systemarchitekturen werden vorgeschlagen und getestet, Methoden zur Risikobewertung diskutiert, Sicherheitsmaßnahmen ausgewählt und integriert, nationale und internationale Standards geschrieben und das Zusammenspiel und die Integration von funktionaler Sicherheit und IT-Sicherheit untersucht. Glücklicherweise wurde der Schienenverkehr bisher von größeren Cyberangriffen verschont. Allerdings werden immer mehr Vorfälle in anderen Kritischen Infrastrukturen bekannt. Kombiniert mit dem potenziellen Schaden, der Bedeutung für die Gesellschaft und der fortschreitenden Digitalisierung, wird der Schienenverkehr zu einem attraktiven Ziel für Angriffe. Die vorliegende Dissertation trägt zur Erforschung des Zusammenspiels von funktionaler Sicherheit und IT-Sicherheit bei.

Wir beginnen mit der Analyse der IT-Sicherheitsanforderungen der sicherheitskritischen Eisenbahnsignaltechnik und schlagen darauf aufbauend eine neue IT-Sicherheitsarchitektur vor. Die Architektur hat den Vorteil, dass sie gleichzeitig als Plattform für "Safety"- und "Security"-Funktionen dient. Die notwendige Trennung zwischen den Funktionen wird von der physischen Welt in eine virtuelle Umgebung verschoben, sodass die Angriffsfläche verkleinert wird. Wir untersuchen das Zusammenspiel, indem wir IT-Sicherheitsmaßnahmen betrachten, die in der Architektur eingesetzt werden können. Zunächst analysieren wir ein sicheres Transportprotokoll und erweitern es, um eine kryptografisch sichere Nachrichtenauthentizität bereitzustellen. Anschließend schlagen wir zwei Anomalie-Erkennungssysteme vor, um die Eisenbahn-Leit- und Sicherungstechnik vor semantischen Angriffen zu schützen. Semantische Angriffe werden in der Regel von Angreifern ausgeführt, die detaillierte Kenntnisse über das Verhalten des Steuerungssystems ausnutzen, um schwerwiegende Schäden und Konsequenzen zu provozieren. Daher ist es unvermeidlich, die Strategien der IT-Sicherheit mit den Sicherheitsprinzipien der Eisenbahnsignaltechnik zu kombinieren. Für das erste System kodieren wir die Prinzipien so, dass die Aktuatoren ihre Aktionen selbst verteilt validieren und IT-Sicherheit gewährleisten können, indem sie in einem kontrollierten Rahmen in die Sicherheitskommunikation eingreifen können. Im zweiten vorgeschlagenen System nutzen wir künstliche neuronale Netze und trainieren sie anhand normaler, vorfallfreier Kommunikation, um implizit ein Modell der Sicherheitsprinzipien zu lernen. In ähnlicher Weise erlauben wir dem System, in die Sicherheitskommunikation einzugreifen, um die Signaltechnik widerstandsfähiger gegen semantische Angriffe zu machen. Schließlich entwickeln wir aus den gesammelten Erfahrungen eine Methodik, um IT-Sicherheitsmaßnahmen in unmittelbarer Nähe von Sicherheitssystemen einzusetzen, die wir als Sensor-Aktuator-Systeme verallgemeinern und nicht auf Eisenbahnsignaltechnik beschränken. Kern der Methodik ist die aktive Umwandlung eines IT-Sicherheitsvorfalls in ein Sicherheitsrisiko durch die erkennende IT-Sicherheitsmaßnahme. Die Methodik eignet sich auch für die Anwendung auf die IT-Sicherheitsarchitektur, die wir zu Beginn präsentieren und trägt auf diese Weise dazu bei, die IT-Sicherheit sicherheitskritischer Systeme zu stärken und damit ihre funktionale Sicherheit zu erhalten.