Historisch wurden Embedded-Systeme als isolierte Lösungen konzipiert, die streng definierte Funktionen innerhalb einer geschlossenen Infrastruktur erfüllten. In den Anfangstagen beschränkte sich das Bedrohungsmodell meist auf physischen Zugriff und interne Konfigurationsfehler.

Mit der Weiterentwicklung der Vernetzung und der Anbindung von Geräten an Unternehmensnetzwerke und das Internet hat sich die Risikolandschaft jedoch dramatisch erweitert. Remote-Zugriff, Cloud-Dienste und Integration mit externen Systemen machen Embedded-Geräte zu vollwertigen Teilnehmern der gesamten Cyber-Umgebung.

Sicherheit in dieser neuen Realität umfasst sowohl eine technische Ebene (Gerät, Netzwerk, Infrastruktur) als auch eine menschliche Ebene (Prozesse, Verhalten, Vertrauen und Fehler).

Der menschliche Faktor begann nicht mit IoT

Lange bevor es „smarte Wasserkocher“, intelligente Lampen und modernes IoT gab, nutzten Hacker Social Engineering, um die Informationen zu erhalten, die sie für unbefugten Zugriff benötigten.

Ein bekanntes Beispiel ist Kevin Mitnick, ein amerikanischer Computersicherheitsberater und verurteilter Hacker, der zeigte, dass Schwachstellen nicht immer in der Software, sondern in organisatorischen Prozessen und dem Vertrauen der Menschen liegen können. Damals war es nicht immer das System selbst, das verwundbar war – die Menschen vertrauten ihm (und dem Angreifer). Mitnick rief Administratoren an, gab sich als legitimer Benutzer aus und erhielt so den benötigten Zugriff.

Seine Arbeit veranschaulichte eine zentrale Erkenntnis, die bis heute gilt: Systemschutz ist nicht nur ein Stück Hardware zwischen externen und internen Netzwerken, sondern ein fortlaufender Prozess.

Das Problem der Internetanbindung: größer als es scheint

Heute haben viele Geräte entweder direkten Internetzugang (manchmal sogar mit statischer öffentlicher IP-Adresse) oder sind über Zwischenservices verbunden, die über vordefinierte Workflows mit ihnen interagieren.

Die Praxis zeigt, dass einige Geräte, die kritische Infrastrukturen unterstützen:

• Keine effektiven Zugangsbeschränkungen haben,
• Sicherheitsvorgaben auf Standardwerte belassen (z. B. admin/admin).

Praktisches Beispiel: öffentliche Warnungen als Routine

Dienste wie Shodan machen das Ausmaß des Problems sichtbar, indem sie internetexponierte industrielle Automatisierungsgeräte indexieren.

In Deutschland veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig Warnungen zu solchen Vorfällen und zeigt damit, dass dieses Thema nicht theoretisch ist. Heute ist es relevanter denn je.

Internetexponierte SCADA- und Energiesysteme (HMI-Panels, Webinterfaces für kritische Infrastruktur, Leitstellensysteme u. v. m.) stellen seit langem eine ernsthafte Bedrohung für öffentliche Sicherheit dar und werden dies weiterhin tun. Ein Beispiel, das dieses Risiko untersucht, ist die Studie „Investigation of risks for Critical Infrastructures due to the exposure of SCADA systems and industrial controls on the Internet based on the search engine Shodan“ der Technischen Hochschule Brandenburg.

Schwachstellen existieren sowohl auf physischer als auch auf Software-Ebene

Um Bedrohungen zu verhindern und zu mindern, nutzen Organisationen Mechanismen, die Schwachstellen über mehrere Ebenen analysieren, darunter:

• Physische Zugriffspfade (z. B. über USB-Schnittstellen, CAN-Bus),
• Software-Zugriffspfade (z. B. öffentlich zugängliche Ein-/Ausgangsports, offene Services, falsch konfigurierte Schnittstellen).

In diesem Umfeld reicht es für ein Produktionsunternehmen nicht aus, „ein sicheres System einmal zu bauen“. Sicherheit erfordert kontinuierliche Überwachung und Reaktion – genau hier kommt PSIRT ins Spiel.

Was ist PSIRT und warum es nicht „nur ein Team“ ist

PSIRT steht für Product Security Incident Response Team. Trotz des Namens ist PSIRT nicht einfach eine Gruppe von Personen, die für ein einzelnes Produkt (oder eine Produktlinie) verantwortlich ist. In reifen Organisationen wird PSIRT am besten als wiederholbarer Prozess verstanden, der Folgendes umfasst:

• Überwachung öffentlich verfügbarer und abonnierter Sicherheitsbulletins, z. B. der National Vulnerability Database (NVD) und Common Vulnerabilities and Exposures (CVEs).
• Bewertung, wie veröffentlichte Schwachstellen das Produkt beeinflussen.
• Regelmäßige Bereitstellung von Sicherheitsupdates für eingesetzte Systeme, die das Team unterstützt.
  Koordination der Kommunikation mit Kunden, Klienten und externen Forschern.
• Veröffentlichung von Sicherheitshinweisen und zugehöriger Dokumentation.

In der Praxis reagiert PSIRT nicht nur auf CVEs. Es umfasst kontinuierliche Überwachung, Risikobewertung, Behebung, Kommunikation, Dokumentation und Verbesserungen des Entwicklungsprozesses.

PSIRT gehört in den Secure Development Lifecycle

Ein wichtiger Punkt: PSIRT sollte in den Produktlebenszyklus integriert werden – oft als Secure SDLC / SSDLC diskutiert – und nicht als isolierte Funktion bestehen. Eine zugängliche Übersicht zu Grundlagen sicherer Entwicklung bietet die OWASP-Leitlinie Secure Development.

Externe Tests sind ebenfalls wichtig

Bewährt hat sich zudem die Zusammenarbeit mit unabhängigen Spezialisten, die Systeme von außen auf Schwachstellen testen, sogenannte Penetration Tester.

Warum Embedded-Produkte besonders schwer zu sichern sind

Embedded-Systeme enthalten fast immer einen komplexen Stack, zum Beispiel:

• RTOS oder ein Betriebssystem auf Basis des Linux-/BSD-Kernels,
• Drittanbieter-Bibliotheken (OpenSSL, mbedTLS, zlib usw.),
• Gerätetreiber,
• Proprietäre Softwarekomponenten,
• Schnittstellen für Benutzerinteraktion (UI und/oder APIs).

Ja, es gibt wichtige Technologien, die unterstützen, wie:

• Trusted Platform Module (TPM),
• Robust Auto-Update Controller (RAUC),
• Firmware-/Code-Signierung,
• Rollback-Mechanismen für eine Rückkehr zu einer früheren Firmware-Version.

Aber das sind nur Teile des gesamten Sicherheitskonzepts. Ohne einen funktionierenden Prozess darum herum entfalten sie nicht ihren vollen Wert.

Was ein gut aufgebauter PSIRT-Prozess leisten sollte

Ein starker PSIRT-Prozess sollte mindestens Folgendes tun:

Lange Lebenszyklen von Geräten bedeuten lange Sicherheitsverpflichtungen

Da Embedded-Geräte (insbesondere in der industriellen Automatisierung) oft lange Lebenszyklen haben, wird von Herstellern erwartet, dass sie über längere Zeit Sicherheitsunterstützung und Updates bereitstellen.

Gleichzeitig hängt Sicherheit selbst bei einem ausgereiften PSIRT-Prozess nicht allein vom Hersteller ab. Die endgültige Sicherheitslage wird auch geprägt durch:

• Systemkonfiguration,
• Operative Disziplin,
• Rechtzeitige Patch-Bereitstellung,
• Organisatorische Kontrollen und Verfahren.

PSIRT, Regulierung und Standards: Es wird Pflicht

PSIRT wird zunehmend Teil einer umfassenderen Governance für Produktsicherheit.

Cyber Resilience Act in der EU

In der Europäischen Union verlangt der Cyber Resilience Act (CRA) von Herstellern digitaler Produkte, die Cybersicherheit über den gesamten Produktlebenszyklus sicherzustellen. Effektiv formalisiert der CRA Schwachstellenmanagement-Praktiken, die PSIRT-Prozesse traditionell implementiert haben.

Industrielle Automatisierung: IEC 62443

In der industriellen Automatisierung spiegeln sich ähnliche Erwartungen in der IEC-62443-Normenfamilie wider. Insbesondere IEC 62443-4-1 beschreibt Anforderungen an einen sicheren Entwicklungs-Lifecycle, einschließlich Schwachstellenmanagementprozessen.

Fazit

Moderne Embedded-Systeme sind keine isolierten Geräte mehr, die in geschlossenen Umgebungen arbeiten. Sobald sie direkt oder indirekt mit dem Internet und externen Diensten verbunden sind, übernehmen sie die Realität der modernen Bedrohungslandschaft.

Ein gut gestalteter PSIRT-Prozess ist nicht nur ein Compliance-Häkchen. Er ist ein praktischer Mechanismus, der Cyberrisiken reduziert, indem er kontinuierliches Schwachstellen-Monitoring, Anwendbarkeitsanalyse, Patching, Kommunikation und Verbesserungen der Sicherheit über den gesamten Lebenszyklus ermöglicht.

Wenn Ihre Organisation Embedded- oder IoT-Produkte entwickelt oder betreibt, kann SaM Solutions Sie dabei unterstützen, eine PSIRT-Funktion zu entwerfen, zu implementieren und zu optimieren – von der Einrichtung der Prozesse bis hin zum täglichen Schwachstellenmanagement.

Im vorherigen Artikel haben wir KI durch die Brille von John Maynard Keynes und der Geschichte technologischer Veränderungen betrachtet. Wenn wir akzeptieren, dass Automatisierung Arbeit nicht vollständig beseitigt, sondern ihre Natur verändert, ergibt sich eine neue Geschäftsfrage: Was passiert, wenn Technologie schneller wächst als neue Märkte und Rollen entstehen können?

Für Führungskräfte ist dies kein theoretisches, sondern ein strukturelles Problem.

Wenn die Produktivität steigt, die Nachfrage aber nicht

Mit künstlicher Intelligenz sieht die Dynamik folgendermaßen aus:

• Tools werden leistungsfähiger.
• Unternehmen arbeiten effizienter.
• Neue Bereiche und Aufgaben wachsen jedoch nicht im gleichen Tempo.

Infolgedessen stellen Unternehmen dasselbe Produkt auf demselben Markt her – aber mit weniger Mitarbeitenden. Das Arbeitsvolumen sinkt, der Wettbewerb unter Spezialisten nimmt zu.

Aus Kostensicht mag dies wie Optimierung wirken, aus Marktperspektive kann es jedoch auf eine Schrumpfung statt auf Expansion hinweisen.

Ein Business-Beispiel für KI-Disruption: Der Stock-Illustration-Markt

Ein anschauliches Beispiel liefert die Stock-Illustrationsbranche.
Bis zu einem bestimmten Punkt florierte der Markt dank freiberuflicher Illustratoren, Stockbild-Plattformen und lizenzierten visuellen Inhalten. Mit dem Aufkommen generativer Tools wie OpenAI (DALL‑E), Midjourney und Stability AI sanken die Kosten für die Produktion akzeptabler Bilder stark.

Unternehmen begannen, visuelle Inhalte intern zu erzeugen. Das führte dazu:

• Die Nachfrage nach Mass-Market-Stock-Illustrationen sank.
• Die Einkünfte vieler Stock-Künstler gingen zurück.
• Der breitere Markt für visuelle Inhalte überlebte.
• Das Niedrigkosten-Segment für Stock-Bilder schrumpfte deutlich.

Die Lektion für Unternehmen ist klar: KI senkt Produktionskosten, kann aber gleichzeitig ganze Segmente von Wertschöpfungsketten komprimieren.

Das entgegengesetzte Szenario: Wenn Produktivität neue Märkte schafft

Kostensenkung führt jedoch nicht immer zu einem Rückgang der Beschäftigung. Es gibt auch das gegenteilige Szenario, in dem steigende Produktivität eine neue Welle der Nachfrage nach Spezialisten auslöst.

Beispielsweise erleichterten die Einführung von Compilern und Programmiersprachen auf höherer Ebene die Softwareentwicklung und machten sie erschwinglicher. Dies öffnete den Weg für Mass-Market-Software, Webanwendungen, Mobile-Entwicklung und viele weitere Bereiche.

Infolgedessen stieg die Zahl der Arbeitsplätze, und völlig neue Kompetenzen entstanden.

Kernkompetenzen im KI-Zeitalter

Wenn KI die Struktur der Arbeit verändert, welche Fähigkeiten werden für Fachkräfte und Organisationen strategisch wichtig?

Markterweiterung oder Überhitzung?

In einem Umfeld günstiger Generierung sind zwei Makroszenarien möglich:

• Expansion durch neue Ideen und Richtungen,
• Überproduktion mit zu vielen Lösungen und abnehmender Differenzierung.

Ein Spezialist, der versteht, warum ein Produkt existiert und welches Problem es löst, befindet sich in einer stabilen Position. KI ersetzt keine Fachkräfte – sie erhöht das Denklevel, das von ihnen verlangt wird.

Vom Ausführenden zum Strukturgestalter

Jede der beschriebenen Fähigkeiten erfüllt eine spezifische Funktion:

• Die klare Formulierung der Aufgabe reduziert das Risiko, Lösungen zu entwickeln, die zunächst nicht dem realen Problem entsprechen.
• Die Überprüfung des Ergebnisses hilft, überzeugend formulierte Antworten von korrekt funktionierenden Lösungen zu unterscheiden.
• Architektonisches Denken ermöglicht es, die Auswirkungen neuer Lösungen auf das gesamte System zu betrachten, nicht nur auf einzelne Fragmente.
• Eine systemische Perspektive zeigt Zusammenhänge und Folgen von Veränderungen auf.
• Integration verwandelt den Einsatz von KI in einen strukturierten Prozess, statt in eine Reihe isolierter Aktionen.
• Verantwortung stellt sicher, dass der Spezialist die Rolle des final entscheidenden Akteurs behält.

Diese Fähigkeiten steigern nicht nur die persönliche Effektivität. Sie entscheiden darüber, ob ein Spezialist weiterhin lediglich schneller arbeitet oder zum Gestalter der Arbeitsstruktur selbst wird. Im ersten Fall reduziert KI die Zahl der Beteiligten im Prozess. Im zweiten Fall schafft sie neue Rollen und Richtungen.

Vor fast einem Jahrhundert sagte John Maynard Keynes voraus, dass technologischer Fortschritt schließlich das Problem der Knappheit der Menschheit lösen würde. Anstatt zu arbeiten, um zu überleben, würden künftige Generationen seiner Ansicht nach arbeiten, um sich selbst zu verwirklichen.

Heute, da künstliche Intelligenz beginnt, nicht nur körperliche, sondern auch kognitive Arbeit zu automatisieren, einschließlich Softwareentwicklung, wirkt Keynes’ Frage wieder verblüffend aktuell: Eliminieren KI-Systeme Jobs, oder verändern sie die Struktur der Arbeit in der IT grundlegend? Dieser Artikel untersucht, wie der Aufstieg generativer KI an frühere technologische Revolutionen anknüpft und was er wirklich für Produktivität, Fähigkeiten und die Zukunft des Berufs bedeutet.

Keynes’ Vorhersage: Von Knappheit zu Überfluss

1930 schrieb John Maynard Keynes in seinem Aufsatz Economic Possibilities for Our Grandchildren, dass das zentrale ökonomische Problem der Menschheit — der Kampf ums Überleben — nicht dauerhaft sei. Durch Kapitalakkumulation, wissenschaftlichen Fortschritt und maschinenbasierte Produktion würde die Produktivität so stark steigen, dass die Gesellschaft innerhalb eines Jahrhunderts nicht Knappheit, sondern Überfluss erleben würde.

Keynes argumentierte, dass Arbeit, sobald die Produktivität ein ausreichendes Niveau erreicht habe, nicht mehr primär ein Mittel zum Überleben sein, sondern vielmehr ein Bereich der Selbstverwirklichung und freiwilligen Teilnahme werden würde.

Die Maschinenrevolution und technologische Arbeitslosigkeit

Keynes betrachtete den Übergang von Handarbeit zu maschinenbasierter Produktion als historischen Wendepunkt. Zum ersten Mal ersetzten Maschinen systematisch menschliche Muskelkraft. Dies führte zu dem, was er „technologische Arbeitslosigkeit“ nannte — ein vorübergehendes Ungleichgewicht zwischen der Geschwindigkeit der Automatisierung und der Fähigkeit der Gesellschaft, neue Rollen zu schaffen.

Langfristig erwartete er jedoch, dass die Arbeitszeit schrumpfen und der Schwerpunkt menschlicher Tätigkeit sich von reiner Produktion hin zu kultureller und intellektueller Entwicklung verschieben würde.

Der Wandel hin zur Automatisierung des Denkens

Heute erleben wir einen ähnlichen, aber tiefergehenden Übergang: von der Automatisierung körperlicher Arbeit hin zur Automatisierung kognitiver Arbeit. Künstliche Intelligenz und „Vibe-Coding“-Tools beginnen nicht nur manuelle Aufgaben zu ersetzen, sondern auch wesentliche Teile intellektueller Arbeit, einschließlich Programmierung, Analyse und Design.

Wenn die Industrieära den Körper mechanisierte, mechanisiert die KI-Ära das Denken. Das wirft dieselbe grundlegende Frage auf, die Keynes vor fast einem Jahrhundert stellte: Wenn die Produktivität schneller wächst als der Bedarf an menschlicher Beteiligung, wie werden sich Beschäftigungsstrukturen, der Wert von Fähigkeiten und die Natur der Arbeit selbst verändern?

Das Paradoxon generativer KI in der Softwareentwicklung

Die aktuelle KI-Landschaft in der IT ist zutiefst widersprüchlich. Generative Modelle können enorme Mengen an Code erzeugen, doch dieser Code ist oft redundant, nicht idiomatisch oder schlecht in die Projektarchitektur integriert.

Einige Open-Source-Communities sehen sich bereits einer Flut von Pull Requests gegenüber, die vollständig oder teilweise von großen Sprachmodellen (LLMs) generiert werden und mehr Zeit zur Prüfung erfordern als manuelle Beiträge. Viele dieser Einsendungen werden abgelehnt, und einige Projekte haben sogar KI-gesteuertes „Bug Hunting“ eingeschränkt.

In diesem Sinne führt KI eine neue Form von „technologischem Rauschen“ ein: Quantitative Produktivitätssteigerungen treten auf, während qualitative Ergebnisse nicht immer folgen.

Die versteckten Kosten beim Ersatz von Entwicklern durch LLMs

In einigen Unternehmen haben Versuche, Entwicklungsteams durch LLM-basierte Tools zu ersetzen, versteckte Kosten verursacht: wachsende technische Schulden, verschlechterte Architektur und komplexere Wartung.

Code kann schnell generiert werden. Doch Systemverständnis, architektonische Verantwortung und langfristiges Design-Denken skalieren nicht im gleichen linearen Maß. Das erzeugt Unsicherheit bei Fachleuten, die KI nicht als Werkzeug, sondern als destabilisierende Kraft auf dem Arbeitsmarkt sehen.

Ein wiederkehrendes Muster in technologischen Revolutionen

Historisch betrachtet erleben wir keine einzigartige Krise, sondern eine typische Phase einer technologischen Revolution.

Jede große technologische Transformation senkt die Eintrittsbarrieren und steigert die „oberflächliche“ Produktivität, während gleichzeitig ein Überangebot an minderwertigen Ergebnissen entsteht. Dies geschah während der Industrialisierung, der Massenproduktion, mit dem Aufstieg des Personal Computers und der Verbreitung des Internets.

Die Übergangsphase ist stets geprägt von überhitzten Erwartungen, Illusionen über den schnellen Ersatz des Menschen und der anschließenden Korrektur.

KI als Umverteilung von Komplexität und neue Infrastrukturschicht

Folgt man der Logik von Keynes, geht es bei KI in der IT weniger um die Eliminierung von Arbeit als um die Umverteilung von Komplexität. Maschinen beginnen, die routinemäßige kognitive Ebene zu automatisieren, während der Wert nach oben verschoben wird – hin zu Architektur, Systemdenken, Integration, Prüfung und Risikomanagement.

Es geht nicht um das Verschwinden des Berufs, sondern um seine Transformation.

Wie bei früheren technologischen Umbrüchen löst KI zunächst Angst aus, verteilt Rollen neu und verschärft den Wettbewerb. Langfristig erweitert sie jedoch die produktive Kapazität der Gesellschaft.

In diesem Sinne kann künstliche Intelligenz nicht als Ersatz für Spezialisten betrachtet werden, sondern als neue Infrastrukturschicht, vergleichbar mit der Dampfmaschine, Elektrizität oder dem Internet.

Die Kernfrage der Produktivität

Die grundlegende Frage bleibt dieselbe wie 1930: Wird steigende Produktivität die Routinearbeit verringern und Burnout reduzieren, oder wird sie einfach Erwartungen und Wettbewerb unter Fachkräften verschärfen?

Das Problem liegt nicht in der Technologie selbst, sondern darin, ob sie die menschliche Produktivität steigert oder primär für kurzfristige Kostenoptimierung eingesetzt wird. KI kann als Instrument zur Kostensenkung dienen oder als Beschleuniger für Forschung, Prototyping und interdisziplinäre Integration wirken.

Automatisierung erhöht die Komplexität, sie beseitigt die Arbeit nicht

Historisch gesehen hat Automatisierung Arbeit nicht zerstört. Sie hat das Komplexitätsniveau erhöht. Maschinen verdrängten körperliche Routinetätigkeiten, schufen aber neue Berufe in Ingenieurwesen, Management und Wissenschaft.

Ähnlich automatisiert KI Teile der kognitiven Routinearbeit und schafft Raum für komplexere Aufgaben: Systemdesign, Modellierung, Generierung wissenschaftlicher Hypothesen und groß angelegte architektonische Lösungen.

In diesem Sinne fungiert KI nicht als Ersatzwerkzeug, sondern als Treiber eines neuen wissenschaftlichen und technologischen Zyklus, der die Zeit zwischen Idee und Umsetzung verkürzt.

Die eigentliche Frage ist nicht, ob Spezialisten verschwinden, sondern welche Kompetenzen in einem sich schnell entwickelnden beruflichen Umfeld zentral werden.