Direkt gesagt: AIOps kann aus unvollständiger, semantisch unklarer oder zeitlich verschobener OT-Telemetrie keine belastbare Evidenz erzeugen. Bevor Sie Alarme korrelieren oder ein Runbook empfehlen lassen, brauchen Sie einen passiven Evidenzpfad. Er hält fest, was beobachtet wurde, wann die Beobachtung erfolgte, wie die Zeit hergeleitet wurde, welches Asset und welche Zone die Daten lieferten und ob das Signal verwertbar war. Automatisierung folgt diesem Evidenzvertrag – nicht umgekehrt.
Das bedeutet nicht, jeden Netzwerkverkehr unbegrenzt zu spiegeln. Es ist ein Verfahren, um je Use Case festzulegen, welche Signale erhoben werden, wie lange Evidenz vorliegen muss und wann die Umgebung für Analytik bereit ist. NIST SP 800-82 Rev. 3 beschreibt OT als Systeme mit eigenen Anforderungen an Leistung, Zuverlässigkeit und Sicherheit. Deshalb sind passive Beobachtung und ein getrennter Steuerpfad erforderlich.
Architektur: Evidenz vor Inferenz
Beginnen Sie mit einem einseitigen oder eng kontrollierten passiven Erhebungspfad. Ein Netzwerk-TAP, eine SPAN-Quelle oder ein Protokoll-Gateway beobachtet freigegebenen OT-Verkehr. Collector normalisieren Datensätze, ohne auf Controller zu schreiben. Ein Zeitdienst und ein Asset-/Topologie-Register reichern jedes Ereignis an. Ein unveränderbarer Evidenzspeicher hält Roh- und Normalformen vor. Die AIOps-Schicht erhält diese Evidenz und erstellt Hypothesen, Konfidenz und ein nachvollziehbares Evidenzpaket. Sie erhält keinen Weg zu PLC-, SIS- oder Aktorkommandos.
Evidenzfluss
Passiver TAP / Protokoll-Gateway → protokollbewusster Collector → Normalisierung von Zeit und Qualität → Asset- und Zonenkontext → unveränderbare Evidenz-Tiers → AIOps-Korrelation → Evidenzpaket für Operator → freigabegesteuertes Runbook. Der Steuerpfad bleibt getrennt und ist kein Output dieser Pipeline.
Die Datenvertragsarbeit ist die Grundlage. Definieren Sie mit dem Muster für industrielle KI-Datenverträge Asset-Identität, Engineering Units, Zustand und zulässige Nutzung, bevor ein Alert-Modell Zufallskorrelationen lernt.
Was jedes Ereignis belegen muss
Ein brauchbares Ereignis ist mehr als Wert und Zeitstempel. Bewahren Sie auf: Quellzeit; Empfangszeit des Collectors; Identität und Synchronisationszustand der Zeitquelle; Sequenz oder Erfassungsreihenfolge; Protokoll- und Parser-Version; Asset-Identität; Netzwerkzone; Qualitätsflag; Einheiten- und Zustandssemantik; Erhebungsrichtlinie; sowie Content Hash oder unveränderbare Objektreferenz. Behalten Sie den Original-Payload dort, wo Safety, Incident Response und Datenminimierung es rechtfertigen; verwenden Sie eine Normalform für die Korrelation.
Warum zwei Zeiten? Die Gerätezeit beschreibt, wann das Asset die Bedingung beobachtet haben will. Die Collector-Zeit beschreibt, wann die Monitoring-Landschaft sie sah. Ist die Uhr nicht synchron, ist die Differenz Evidenz – kein Fehler, den Sie überschreiben sollten. Protokollieren Sie die Unsicherheit. Korrelation darf ihr Fenster erweitern oder das Ereignis verwerfen, aber keine Präzision erfinden.
Readiness Score: ein Gate, keine Reifegradtheater
Bewerten Sie jeden priorisierten Use Case auf fünf Evidenzdimensionen. 0 bedeutet unbekannt oder ungetestet, 1 vorhanden aber nicht gemessen, 2 gemessen und verantwortet. Starten Sie advisierende Korrelation nur, wenn jede sicherheitsrelevante Dimension 2 und die Summe mindestens 8 von 10 ist. Darunter finanzieren Sie Beobachtungs-Remediation statt Modell-Tuning.
Tabelle zur OT-Evidenzbereitschaft
| Dimension | 0 – blockiert | 1 – teilweise | 2 – bereit | Verantwortung |
|---|---|---|---|---|
| Asset- und Zonenkontext | Quelle keinem Asset/keiner Zone zuordenbar | Inventar vorhanden, aber veraltet | Owner, Asset-ID und Zone abgeglichen | OT Engineering |
| Zeitprovenienz | Herkunft unbekannt | NTP/PTP ohne Zustandsnachweis | Quelle, Sync-Status und gemessener Offset erhalten | OT-Plattform |
| Protokollqualität | opake oder verlustbehaftete Erfassung | Parser-Ausnahmen unbekannt | protokollbewusstes Parsing, Qualitätsflags und Replay-Set | Automation Engineering |
| Retention und Replay | keine Incident-Evidenz | nur Roh- oder Normaldaten | Tiered Retention plus geschütztes Replay-Sample | Security Operations |
| Sicherheit der Erhebung | aktives Polling verändert Risiko | Ausnahmen undokumentiert | passiver Pfad geprüft, Steuerpfad isoliert | OT Security |
Retention-Tiers folgen der Entscheidung
Nutzen Sie einen kurzen, volumenstarken operativen Tier für normalisierte Telemetrie, einen längeren Incident-Evidence-Tier für ausgewählte Rohmitschnitte und Enrichment-Snapshots sowie einen Release-Evidence-Tier für Korrelationsregeln, Modellversionen, Schwellenwerte und Freigaben. Retention ist eine Kosten- und Expositionsentscheidung: Rohdaten können im Incident wertvoll, im großen Maßstab aber teuer und sensibel sein. Zweck, Zugriff und Löschung definieren Security, Betrieb und Datenschutz gemeinsam.
CISA fordert in seiner Leitlinie zur sicheren KI-Integration in OT kontinuierliches Monitoring, Validieren und Verfeinern von KI-Modellen. Das funktioniert nur, wenn sich eine markierte Empfehlung gegen die damals vorhandene Evidenz wiedergeben lässt.
Fehlermodi, die Korrelation intelligenter erscheinen lassen als sie ist
1. Clock Drift erzeugt eine falsche Kausalkette. Gegenmaßnahme: Quell- und Empfangszeit behalten, Offset überwachen und Ereignisse außerhalb einer erklärten Unsicherheitsgrenze abwerten oder ausschließen.
2. Nach einem Austausch wird eine Asset-Identität wiederverwendet. Gegenmaßnahme: stabile Asset-Identität, Serien-/Konfigurationsepoche und Topologieversion verbinden; Historie nicht allein über IP-Adresse führen.
3. Ein Protokollparser übersetzt ein schlechtes Qualitätskennzeichen still in „gut“. Gegenmaßnahme: native Qualität erhalten, Parser versionieren, bekannte Captures in CI replays testen und bei Parser-Fallbacks alarmieren.
4. Eine überbuchte SPAN-Quelle verliert gerade den relevanten Burst. Gegenmaßnahme: Collector-Verlust messen, bei Bedarf TAPs einsetzen und Abdeckungslücken sichtbar machen statt Beobachtungen zu imputieren.
5. Eine AIOps-Empfehlung wird zur impliziten Steueranweisung. Gegenmaßnahme: Beobachtung, Inferenz und Steuerung wie an der OT-KI-Sicherheitsgrenze trennen; Evidenz und begrenztes Runbook gehen an eine benannte freigabeberechtigte Person.
Zero Trust gilt auch für Telemetrie
Sichtbarkeit ist keine Berechtigung. CISA betont in der OT-Zero-Trust-Leitlinie vollständige Asset-Transparenz, Identity and Access Management, Segmentierung und geschichtete Kontrollen. Erteilen Sie Collectors nur minimalen Lesezugriff, machen Sie Zugriff auf Enrichment-Services explizit, segmentieren Sie den Evidenzspeicher und protokollieren Sie Analysten- sowie Modellzugriffe. Ein weitreichendes Monitoring-Konto bleibt ein hochwertiges Credential.
Was dieser Ansatz nicht löst
Ein Evidenzmodell macht keinen Legacy-Prozess sicher, ersetzt fehlende Instrumentierung nicht, legt keine rechtliche Retention-Frist fest und beweist keine Kausalität. Es autorisiert auch keine automatische Remediation. Safety Cases, sektorale Pflichten, Betriebsrat, Datenschutz und Retention sind Fragen für die zuständigen Rechts-, Safety- und Governance-Funktionen. Die Engineering-Empfehlung ist enger: Machen Sie Provanienz, Unsicherheit und Zugriffskontrollen testbar, bevor Sie AIOps-Analytik ausrollen.
Erster Workshop mit praktischem Ergebnis
Wählen Sie eine wiederkehrende Incident-Klasse, etwa intermittierenden Netzwerkausfall an einer Produktionszelle. Kartieren Sie Assets und Zonen, erfassen Sie passiv, messen Sie Zeitoffset und Verlust, definieren Sie Qualitätssemantik und spielen Sie ein bekanntes Ereignis nach. Erst danach setzen Sie eine Korrelationsregel und verlangen Operator-Bestätigung. Der freigabegesteuerte industrielle AIOps-Workflow zeigt, wo dieses Evidenzpaket vor der Remediation enden muss. Wenn Sie die Evidenzbereitschaft prüfen möchten, kann Ade einen fokussierten Workshop für OT-Observability- und AIOps-Architektur moderieren.
Quellen
NIST SP 800-82 Rev. 3, Guide to Operational Technology Security
CISA, Principles for the Secure Integration of Artificial Intelligence in Operational Technology
CISA, Adapting Zero Trust Principles to Operational Technology
