Automatisierung Defence Industrie: Was Entscheider in der deutschen Rüstungsproduktion wissen müssen

Geeignete Automatisierung in der Defence Industrie ist ausschließlich solche, die vollständig auf eigener Infrastruktur betrieben werden kann, nachvollziehbare Auditierbarkeit bietet und keine Daten an externe Server überträgt. Das ist keine Präferenz. Es ist eine Voraussetzung.

Das Sondervermögen der Bundeswehr in Höhe von 100 Milliarden Euro, beschlossen 2022, treibt Kapazitätserweiterungen durch die gesamte Lieferkette. Tier-1- und Tier-2-Zulieferer planen neue Fertigungslinien oder modernisieren Bestandsanlagen. Gleichzeitig verschärft die NIS2-Richtlinie die Cybersicherheitsanforderungen, und das geplante KRITIS-Dachgesetz wird weitere Pflichten für sicherheitsrelevante Produzenten einführen.

Der Markt an Automatisierungstools ist nicht das Problem. Die meisten davon sind in diesem Umfeld schlicht nicht einsetzbar.

Warum Automatisierung in der Defence-Industrie anders ist

Die Rüstungsproduktion unterliegt nationalen Sicherheitsverpflichtungen, Exportkontrollvorschriften nach ITAR, EAR und §44 AWG sowie Datenschutzvorgaben, die weit über die DSGVO hinausgehen. Produktionsdaten sind potenziell klassifizierungsrelevant, auch wenn sie auf den ersten Blick rein technisch wirken.

Viele Automatisierungsanbieter haben keine Erfahrung mit regulierten Branchen. Sie bauen für die allgemeine Fertigung, optimieren für schnelle Inbetriebnahme und setzen stillschweigend voraus, dass Cloud-Konnektivität kein Hindernis ist. Genau das ist der Punkt, an dem die meisten Lösungen in einer Defence-Umgebung scheitern.

Das eigentliche Problem: Viele Werkzeuge, harte Grenzen

Moderne SCADA-Plattformen, MES-Systeme und Robotik-Integrationsumgebungen kommen heute fast selbstverständlich mit Cloud-Anbindung. SaaS-basierte Lösungen senden Telemetriedaten, erfordern externe Lizenzserver oder bieten Remote-Diagnose, die standardmäßig aktiviert ist. Für einen Automobilzulieferer ist das oft akzeptabel. Für einen Hersteller von Munitionskomponenten oder Führungssystemteilen nicht.

Konkrete Risiken in der Automatisierung Defence Industrie:

• Cloud-Abhängigkeit: Viele Plattformen funktionieren ohne aktive Internetverbindung eingeschränkt oder gar nicht.
• Unkontrollierte Datenabflüsse: Telemetrie- und Diagnosefunktionen senden Produktionsdaten an Hersteller-Server, häufig außerhalb der EU.
• Vendor Lock-in bei Nicht-EU-Anbietern: Fehlende Transparenz über Datenhaltung und Zugriffspfade.
• Proprietäre Systeme ohne Quellcode-Zugang lassen sich weder durch interne IT-Sicherheitsteams noch durch BSI-konforme Prüfprozesse verifizieren.

Das trifft Tier-2-Zulieferer besonders hart. Prime-Contractors wie Rheinmetall oder KNDS haben eigene Sicherheitsabteilungen und Beschaffungsrichtlinien. Mittlere Betriebe mit 200 bis 800 Mitarbeitern stehen bei der Anbieterauswahl oft ohne klares Anforderungsprofil da.

Datensouveränität: Keine Verhandlungssache

Automatisierungssysteme erzeugen kontinuierlich Daten: Prozessparameter, Maschinenzustände, Taktzeiten, Qualitätsprotokolle, Chargengrößen. Im zivilen Kontext sind das Betriebskennzahlen. Im Defence-Kontext können dieselben Daten Rückschlüsse auf Produktionsvolumina und Lieferrhythmen für sicherheitsrelevante Systeme zulassen.

Die DSGVO ist dabei die unterste Anforderungsstufe. BSI-Grundschutz, insbesondere die Bausteine für industrielle Steuerungssysteme, setzt spezifischere Maßstäbe. NIS2 verpflichtet Betreiber wesentlicher Einrichtungen zu technischen und organisatorischen Maßnahmen, die auch die eingesetzte Automatisierungstechnik umfassen.

Die einzige Architektur, die diese Anforderungen zuverlässig erfüllt, ist die vollständige On-Premise-Installation: ohne externe API-Verbindungen, ohne Cloud-Historian, ohne Abhängigkeit von Herstellerservern für Betrieb oder Lizenzvalidierung.

Selbst-gehostete Architektur in der Praxis

Konkret: SPS-Netzwerke auf Basis von Siemens S7 oder Beckhoff TwinCAT kommunizieren ausschließlich über lokale Bussysteme wie PROFINET oder EtherCAT. Ein lokaler SCADA-Server speichert Prozessdaten in einem Historian auf dem Betriebsgelände. Software-Updates erfolgen über kontrollierte, interne Patch-Prozesse, nicht über automatische Cloud-Downloads.

Nachträgliche Absicherung einer Cloud-basierten Lösung ist teurer und weniger verlässlich als die richtige Architektur von Beginn an. Ein erfahrener Automatisierungspartner löst das Wartungsproblem durch lokalen Support und definierte Serviceverträge, nicht durch Remote-Zugriff über das Internet.

Retrofit im laufenden Betrieb

Viele Defence-Zulieferer betreiben Linien aus den 1990er- oder frühen 2000er-Jahren. Eine vollständige Ablösung ist oft weder finanzierbar noch operativ möglich, weil laufende Aufträge keine Stillstandzeiten erlauben.

Der pragmatische Weg ist der Retrofit: Bestehende Maschinen werden mit modernen Steuerungsschichten versehen, ohne die Kerntechnik zu ersetzen. Der Prozess beginnt mit einer Schnittstellenanalyse: Welche Signale stehen zur Verfügung? Welche Bussysteme lassen sich nachrüsten? Welche Sicherheitszonen müssen erhalten bleiben? Das erfordert einen Partner mit nachgewiesener Erfahrung an Bestandsanlagen.

Robotikintegration ohne Kompromisse bei der Sicherheit

Robotische Systeme gewinnen auch in der Rüstungsproduktion an Bedeutung: Handhabung sensibler Komponenten, Montageprozesse, Sichtprüfung. Sicherheitszertifizierung nach ISO 10218 und EN ISO 13849 ist Pflicht.

Darüber hinaus müssen Robotersteuerungen auf Cloud-Lizenzierung und eingebettete Remote-Diagnosefunktionen geprüft werden. Einige Hersteller aktivieren standardmäßig Verbindungen zu ihren eigenen Servern. In einer gesicherten Fertigungsumgebung ist das nicht tolerierbar. Robotikintegration in der Automatisierung Defence Industrie erfordert individuelle Konfiguration und dokumentierte Netzwerkisolation, ohne Ausnahmen.

Worauf Entscheider bei der Anbieterauswahl achten sollten

Geeignete Partner für die Rüstungsindustrie erfüllen diese Kriterien:

• Vollständige On-Premise-Fähigkeit: Die Lösung funktioniert ohne jede externe Verbindung, einschließlich Lizenzserver.
• Erfahrung in regulierten Branchen: Referenzen aus Defence, Medizintechnik oder Luft- und Raumfahrt sind relevanter als allgemeine Fertigungsprojekte.
• Quellcode-Zugang und Dokumentation: Steuerungssoftware muss durch interne IT-Sicherheitsteams prüfbar sein.
• Lokaler Support in Deutschland: Abhängigkeit von ausländischen Support-Centern ist nicht akzeptabel.
• Auditierbarkeit: Die Architektur muss BSI-Grundschutz-konform dokumentierbar sein.
• Retrofit-Kompetenz mit nachgewiesener Arbeit an Bestandsanlagen.

Anbieter, die einzelne dieser Punkte nicht eindeutig beantworten können, sind für Defence-Umgebungen nicht geeignet.

Weitere Einblicke zu Automatisierungsprojekten in regulierten Umgebungen finden sich im PNX Automation Blog.

Fazit: Automatisierung ja, aber auf den richtigen Grundlagen

Die Chance für Automatisierung in der deutschen Defence Industrie ist real. Datensouveränität und selbst-gehostete Architektur sind dabei keine Verhandlungspositionen. Wer diese Anforderungen zurückstellt, schafft Risiken, die sich nachträglich kaum beheben lassen.

Der richtige Partner baut zur Anforderung, nicht um sie herum.

Frequently Asked Questions

Q: Welche Automatisierungslösungen sind für die deutsche Defence-Industrie geeignet?
Geeignet sind ausschließlich Lösungen, die vollständig auf eigener Infrastruktur betrieben werden können, keine externen Serververbindungen voraussetzen und vollständig auditierbar sind. Dazu zählen on-premise SCADA-Systeme, lokal betriebene SPS-Netzwerke und MES-Lösungen ohne Cloud-Abhängigkeit.

Q: Warum müssen Automatisierungssysteme in der Rüstungsindustrie selbst gehostet werden?
Weil Produktionsdaten in der Rüstungsfertigung potenziell sicherheitsrelevant sind. Prozessparameter, Taktzeiten und Chargengrößen können Rückschlüsse auf Kapazitäten und Lieferrhythmen für sicherheitskritische Systeme ermöglichen. NIS2, BSI-Grundschutz und das geplante KRITIS-Dachgesetz verlangen technische Maßnahmen, die Cloud-basierte Architekturen in diesem Kontext ausschließen.

Q: Was unterscheidet Automatisierung in der Defence-Branche von anderen Sektoren?
Defence-Hersteller unterliegen Exportkontrollvorschriften nach ITAR, EAR und §44 AWG sowie Datenschutzanforderungen, die über die DSGVO hinausgehen. Standardlösungen setzen Cloud-Konnektivität und Remote-Diagnose voraus – beides ist in Defence-Umgebungen häufig nicht zulässig.

Q: Was müssen Entscheider bei der Auswahl eines Automatisierungspartners beachten?
Die wichtigsten Kriterien sind: vollständige On-Premise-Deploymentfähigkeit ohne externe Lizenzserver, nachgewiesene Erfahrung in regulierten Branchen, Quellcode-Zugang, lokaler Support in Deutschland sowie Retrofit-Kompetenz für Bestandsanlagen.

Q: Welche Datenschutzanforderungen gelten für Automatisierungssysteme in der deutschen Verteidigungsindustrie?
Die DSGVO bildet die Mindestanforderung. Darüber hinaus gelten BSI-Grundschutz-Vorgaben, NIS2-Anforderungen sowie perspektivisch das KRITIS-Dachgesetz. In der Praxis bedeutet das: keine externen API-Verbindungen, kein Cloud-Historian, kein automatisches Telemetrie-Reporting an Hersteller-Server.

Sources

• Universität Pittsburgh, Office of Research Security: ITAR-Übersicht, researchsecurity.pitt.edu
• UK National Cyber Security Centre: Cloud-hosted SCADA Guidance, ncsc.gov.uk
• UK National Cyber Security Centre: SCADA and ICS Security Blog, ncsc.gov.uk
• U.S. Government Accountability Office: GAO-25-107283, gao.gov, Juli 2025
• Deutscher Bundestag: Sondervermögen Bundeswehr, bundestag.de
• Tagesschau/ARD: Berichterstattung zum Sondervermögen Bundeswehr, tagesschau.de