Datensicherheit in der Auftragsfertigung: Das Modell der geteilten Verantwortung in der OEM-EMS-Beziehung

Die Auslagerung der Produktion bedeutet heute, einem Partner etwas weit Wertvolleres anzuvertrauen als einen bloßen Montageauftrag. Der OEM übergibt vollständige Konstruktionsunterlagen, Gerber-Dateien, Stücklisten (BOM), Firmware, Testergebnisse und häufig auch Geschäfts- und personenbezogene Daten seiner eigenen Kunden. In dem Moment, in dem diese Informationen die Server des Auftraggebers verlassen, ist Datensicherheit nicht mehr das Problem einer einzelnen Organisation — sie wird zu einer von beiden Parteien geteilten Verantwortung. Dieser Artikel erklärt, was das Modell der geteilten Verantwortung in der OEM-EMS-Beziehung tatsächlich ist, wie sich die Pflichten zwischen den Partnern aufteilen lassen und wie sich eine Konstellation aufbauen lässt, die sowohl einem Ransomware-Angriff als auch einem NIS2-Compliance-Audit standhält. Wir veranschaulichen dies zudem anhand der bei Assel angewandten Praktiken.

Inhaltsverzeichnis

1. Warum Datensicherheit zum Kriterium bei der Wahl eines EMS-Partners geworden ist
2. Was das Modell der geteilten Verantwortung in der OEM-EMS-Beziehung ist
3. Eine Karte der Informationswerte in einem EMS-Projekt — was genau schützen wir
4. Die Bedrohungslage, gestützt auf Forschung
5. Der regulatorische Rahmen: NIS2, das KSC-Gesetz, DSGVO und ISO-Normen
6. Die Verantwortungsmatrix: Wer ist wofür zuständig
7. Das Modell der geteilten Verantwortung in der Praxis: der Ansatz von Assel
8. Fallstudie: ein Projekt aus der Sicherheitsbranche
9. Die organisatorisch-rechtliche Ebene: Verträge, NDAs und Audits
10. Due Diligence: wie man einen EMS-Partner überprüft
11. Umsetzung des Modells der geteilten Verantwortung Schritt für Schritt
12. Sicherheit über den gesamten Produktlebenszyklus
13. Fazit
14. Häufig gestellte Fragen (FAQ)

Warum Datensicherheit zum Kriterium bei der Wahl eines EMS-Partners geworden ist

Jahrelang waren die entscheidenden Kriterien bei der Auswahl eines Anbieters für die Auftragsfertigung von Elektronik Preis, Qualität und Termintreue. Heute ist ein viertes, ebenso wichtiges Kriterium hinzugekommen: die Reife im Bereich der Informationssicherheit. Dieser Wandel ist keine Modeerscheinung, sondern beruht auf harten Zahlen.

Laut dem IBM-Bericht „Cost of a Data Breach 2024“ belief sich der durchschnittliche Schaden einer Datenschutzverletzung im Industriesektor auf 5,56 Mio. USD — 18 % mehr als ein Jahr zuvor, womit die Industrie zur drittteuersten der siebzehn untersuchten Branchen wird und 13 % über dem globalen Durchschnitt (4,88 Mio. USD)^[1] liegt. Der Fertigungssektor sticht auch bei der Reaktionszeit hervor: Im Durchschnitt dauert es 199 Tage, eine Verletzung zu erkennen, und weitere 73 Tage, sie einzudämmen. In einer Produktionsumgebung kann jede Stunde ungeplanten Stillstands — etwa infolge eines Ransomware-Angriffs — ein Werk je nach Branche bis zu 125.000 USD^[2] kosten. Das sind Zahlen, die Sicherheit von einem Kostenposten in ein hartes Geschäftsargument verwandeln.

Für einen OEM bedeutet das eines: Wer einen Auftragsfertigungspartner wählt, wählt zugleich das Risikoniveau, das die gesamte Organisation auf sich nimmt. Das schwächste Glied in der Lieferkette ist nicht nur die eigene Infrastruktur, sondern jede Einheit, der Daten anvertraut werden. Umgekehrt kann ein reifer EMS-Partner diese Verantwortung schultern und sie in einen Wettbewerbsvorteil verwandeln. Nicht zufällig führen immer mehr Kunden bereits in der Onboarding-Phase Sicherheitsaudits bei ihren Lieferanten durch oder versenden detaillierte Sicherheitsfragebögen — eine Praxis, die wir bei Assel regelmäßig beobachten.

Was das Modell der geteilten Verantwortung in der OEM-EMS-Beziehung ist

Der Begriff des *Shared-Responsibility-Modells* ist vor allem aus dem Cloud-Computing bekannt, wo der Infrastrukturanbieter für die Sicherheit „der Cloud“ und der Kunde für die Sicherheit „in der Cloud“ verantwortlich ist. Dieselbe Logik beschreibt die OEM-EMS-Beziehung perfekt, auch wenn sie in der Fertigungspraxis weit seltener formalisiert wird.

Im OEM-EMS-Modell der geteilten Verantwortung teilen sich beide Parteien die Kontrolle über verschiedene Schutzebenen der Informationen — entscheidend ist jedoch, dass keine Ebene ohne Eigentümer bleibt. Der OEM bleibt Eigentümer des geistigen Eigentums und legt fest, was ein Geschäftsgeheimnis ist und wie Daten zu klassifizieren sind. Der EMS-Partner ist für die operative Sicherheit der Umgebung verantwortlich, in der diese Daten verarbeitet werden: Netzsegmentierung, Zugangskontrolle in der Fertigung, Absicherung der Arbeitsstationen, die die SMT-Linien steuern, sowie die Art der Aufbewahrung von Unterlagen.

Das Wesen des Modells besteht nicht darin, Risiken auf die andere Seite abzuwälzen, sondern sie bewusst und dokumentiert aufzuteilen. Die gefährlichsten Sicherheitslücken entstehen nicht dort, wo eine Partei versagt hat, sondern dort, wo beide Parteien annahmen, der jeweils andere sei für einen Bereich zuständig. Ein gutes Beispiel ist die auf der Produktionslinie aufgespielte Firmware: Der OEM nimmt an, der EMS sichere die Programmierstationen ab, der EMS nimmt an, der OEM liefere digital signierte Images — während in Wirklichkeit niemand die Integrität der Datei zwischen dem einen und dem anderen Schritt prüft. Das Modell der geteilten Verantwortung beseitigt genau diese „Grauzonen“. Dabei ist zu betonen, dass sich diese Aufteilung in der Praxis vor allem aus den vom Kunden definierten Anforderungen ergibt, an die sich der EMS-Partner anpasst — der Kunde behält das vollständige Bild der Absicherung, und seine Anforderungen bestimmen den Verantwortungsumfang jeder Partei. Sie nimmt selten die Form eines einzigen, minutiös verfassten Dokuments an; häufiger ist sie die Summe der mit dem Kunden vereinbarten Anforderungen, die der Partner konsequent umsetzt.

Eine Karte der Informationswerte in einem EMS-Projekt — was genau schützen wir

Bevor die Verantwortung aufgeteilt wird, muss der Gegenstand des Schutzes präzise bestimmt werden. In einem typischen Projekt der Auftragsfertigung von Elektronik gehen mehrere Kategorien sensibler Informationswerte durch die Hände des EMS-Partners, von denen jede ein anderes Risikoprofil trägt.

Die erste Kategorie sind die Konstruktions- und Entwicklungsunterlagen: Schaltpläne, Gerber-Dateien, CAD/CAM-Daten, mechanische Zeichnungen und Spezifikationen. Das ist der Kern des geistigen Eigentums des Produkts — ein Leck ermöglicht es, die Konstruktion für einen Wettbewerber nachzubilden oder eine unautorisierte Parallelproduktion aufzunehmen.

Die zweite Kategorie ist die Stückliste (BOM) samt Lieferantendaten und Einkaufspreisen der Bauteile. Die Offenlegung der BOM bedeutet nicht nur den Verlust eines technologischen Geheimnisses, sondern auch die Offenlegung der Kostenstruktur und der Geschäftsbeziehungen des Herstellers.

Die dritte, oft unterschätzte Kategorie ist Firmware und eingebettete Software. Während der Produktion aufgespielter Code ist zugleich wertvolles geistiges Eigentum und ein potenzieller Angriffsvektor — eine unautorisierte Änderung eines Firmware-Images auf der Linie kann eine Hintertür in das fertige Gerät einbringen.

Die vierte Kategorie sind Produktions- und Testdaten: Prozessparameter, Ergebnisse von Funktions- und In-Circuit-Tests, Ausbeute- und Fehlerdaten. Sie erlauben es, Prozess- und Qualitäts-Know-how zu rekonstruieren.

Die fünfte Kategorie, vor allem in den Bereichen MedTech, Industrie und Energie relevant, können personenbezogene und regulierte Daten sein. Ihr Schutz unterliegt der DSGVO und branchenspezifischen Vorschriften, und die Verantwortung dafür wird nach den Grundsätzen der Auftragsverarbeitung geteilt. In der Praxis verfügt ein reifer EMS-Partner häufig gar nicht über solche Daten — Assel etwa verarbeitet in keinem der gefertigten Produkte Patientendaten, weshalb dieser Fall vom Geltungsbereich der ISO-13485-Zertifizierung ausgenommen bleibt.

Ein wirksames Modell der geteilten Verantwortung beginnt mit einer gemeinsamen Klassifizierung dieser Werte und der Zuweisung eines Vertraulichkeitsniveaus zu jedem einzelnen. Erst auf dieser Grundlage lässt sich sinnvoll definieren, wer die Daten wie und wie lange aufbewahrt und wer für ihre Absicherung in jeder Phase verantwortlich ist.

Die Bedrohungslage, gestützt auf Forschung

Die Aufteilung der Verantwortung ergibt nur dann Sinn, wenn sie realen Bedrohungen entspricht. Die moderne Elektronik-Lieferkette wird an mehreren Fronten zugleich angegriffen, und die Forschung der letzten Jahre hilft, diese zu ordnen.

Angriffe auf die Lieferkette (*Supply-Chain-Angriffe*) gehören zu den am schnellsten wachsenden Bedrohungskategorien. In ihren „Threat Landscape“-Berichten benennt die Agentur der Europäischen Union für Cybersicherheit (ENISA)^[3] die Lieferkette konsequent als einen der Schlüsselvektoren und hebt den wachsenden Anteil staatlich geförderter Angriffe hervor sowie die Tatsache, dass die Kompromittierung eines einzigen Lieferanten es einem Angreifer erlaubt, viele Organisationen zugleich zu erreichen. Im OEM-EMS-Modell bedeutet das, dass ein Angreifer die Abwehr eines gut geschützten OEM nicht durchbrechen muss — es genügt, eine Lücke bei einem seiner Partner oder Subunternehmer zu finden.

Eine eigene, in der wissenschaftlichen Literatur gut dokumentierte Risikoklasse sind gefälschte Bauteile (Counterfeit Electronics) und Hardware-Trojaner. Unter anderem in IEEE-Zeitschriften und auf ScienceDirect^[4] veröffentlichte Arbeiten analysieren, wie sich bösartige Implantate in verschiedenen Phasen der Lieferkette in Leiterplatten einbringen lassen und wie schwer sie nachträglich zu erkennen sind. Für die OEM-EMS-Beziehung ist der Schluss eindeutig: Die Kontrolle der Echtheit und Herkunft der Bauteile — die sich von der Rückverfolgbarkeit (Traceability), also der Verfolgung des Produktflusses durch die Produktion, unterscheidet — sowie vertrauenswürdige Beschaffungskanäle sind integraler Bestandteil der Datensicherheit und keine gesonderte Logistikfrage — ein gefälschter integrierter Schaltkreis ist ebenfalls ein potenzielles Einfallstor für den Abfluss von Informationen aus dem fertigen Gerät.

Die dritte Front ist Ransomware und Bedrohungen für die OT-Umgebung (Operational Technology). Anders als in der klassischen IT endet ein Angriff in einer Produktionsumgebung nicht mit dem Diebstahl von Daten — er legt Linien still, deaktiviert Maschinen und erzeugt die genannten Stillstandskosten von bis zu 125.000 USD pro Stunde. Die Konvergenz von IT- und OT-Netzen, angetrieben von der Idee der Industrie 4.0, vergrößert die Angriffsfläche: Systeme, die einst vom Internet isoliert waren, sind heute mitunter mit Unternehmensnetzen verbunden.

Schließlich dürfen der menschliche Faktor und Insider-Bedrohungen nicht übersehen werden. IBM-Daten zeigen, dass im Industriesektor 47 % der Verletzungen auf gezielte Angriffe zurückgehen, aber immerhin 27 % auf menschliches Versagen und 26 % auf Systemausfälle^[5]. Das bedeutet, dass mehr als die Hälfte der Vorfälle eine Ursache hat, die sich durch gute Verfahren, Schulungen und Zugangskontrolle verhindern lässt — und nicht allein durch fortschrittliche Technologie.

Der regulatorische Rahmen: NIS2, das KSC-Gesetz, DSGVO und ISO-Normen

Das Modell der geteilten Verantwortung agiert nicht im rechtsfreien Raum. In den letzten Jahren haben EU- und nationale Regelungen die Sicherheit der Lieferkette von einer guten Praxis in eine harte Pflicht verwandelt, deren Vernachlässigung empfindliche Strafen nach sich zieht.

Die NIS2-Richtlinie und das polnische Gesetz über das nationale Cybersicherheitssystem

Die NIS2-Richtlinie, die durch die Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC) in polnisches Recht umgesetzt wird, weitet die Verantwortung für Cybersicherheit auf die gesamte Lieferkette aus. Als „wesentlich“ oder „wichtig“ eingestufte Einheiten — und viele Fertigungsunternehmen fallen in diese Kategorien — müssen ihre bedeutenden Lieferanten identifizieren, das damit verbundene Risiko bewerten und ein strukturiertes Management dieses Risikos nachweisen.

In der Praxis bedeutet das die Pflicht, Sicherheitsrichtlinien für die Lieferkette aufzubauen, eine Due-Diligence der Lieferanten durchzuführen und in Verträgen Auditrechte, Regeln für Subunternehmer sowie Pflichten zur Meldung von Vorfällen zu verankern. Besonders wichtig: Die Verantwortung liegt persönlich beim Leitungsorgan — Mitglieder der Geschäftsführung bleiben für die Compliance verantwortlich, auch wenn sie Aufgaben delegieren. Die Sicherheit der Lieferkette wird damit zur Chefsache.

Das Ausmaß möglicher Sanktionen ist erheblich: Für wesentliche Einheiten können die Geldbußen 10 Mio. Euro oder 2 % des Jahresumsatzes erreichen, für wichtige Einheiten 7 Mio. Euro oder 1,4 % des Umsatzes^[6], und Führungskräfte können mit individuellen Strafen belegt werden. Die neuen Vorschriften setzen zudem konkrete Fristen für die Einführung von Informationssicherheits-Managementsystemen und für regelmäßige Cybersicherheits-Audits. Für die OEM-EMS-Beziehung ist diese Regelung ein Wendepunkt: Ein Hersteller, der als wesentliche Einheit für seine Lieferanten verantwortlich ist, muss sicher sein, dass sein EMS-Partner angemessene Standards erfüllt — und ein EMS-Partner, der dies dokumentieren kann, wird zur natürlichen Wahl.

DSGVO und die Auftragsverarbeitung von Daten

Wo personenbezogene Daten im Spiel sind, kann die OEM-EMS-Beziehung die Form einer Auftragsverarbeitung im Sinne der DSGVO annehmen. Der Hersteller tritt in der Regel als Verantwortlicher auf und der EMS-Partner als Auftragsverarbeiter, der auf dokumentierte Weisung des Verantwortlichen handelt. Dies erfordert einen Auftragsverarbeitungsvertrag (AVV), einen definierten Umfang und Zweck der Verarbeitung sowie angemessene technische und organisatorische Maßnahmen. In der Praxis strebt ein reifer EMS-Partner danach, die Verarbeitung personenbezogener Kundendaten zu minimieren — sie auf die notwendige Projektkommunikation zu beschränken — und behandelt den Abschluss eines AVV als Teil der Absprachen für ein konkretes Projekt. Das ist ein Musterbeispiel geteilter Verantwortung, bei dem sich der Pflichtenumfang jeder Partei unmittelbar aus Gesetz und Vertrag ergibt.

ISO-Normen und Branchenstandards als Sprache geteilter Verantwortung

Auf ISO-Normen gestützte Managementsysteme bieten eine gemeinsame, messbare Sprache, in der beide Parteien die Aufgabenteilung beschreiben können. ISO/IEC 27001 definiert ein Informationssicherheits-Managementsystem (ISMS) und ist heute der De-facto-Standard, den OEMs von reifen EMS-Partnern erwarten. Ergänzt wird sie durch Branchennormen: ISO 9001 (Qualitätsmanagement), ISO 13485 (Medizinprodukte, wo Datenschutz und Rückverfolgbarkeit eine regulatorische Dimension haben) und ISO 14001 (Umwelt). Die Widerstandsfähigkeit gegen Stillstände beschreibt wiederum die Norm ISO 22301 zum Betriebskontinuitätsmanagement, deren Methodik unabhängig vom Status des Zertifikats selbst eine wertvolle Referenz bleibt. Im Montagebereich ordnen Standards wie IPC-A-610 die Qualitätsanforderungen, die die Rückverfolgbarkeit und Prozesskontrolle indirekt unterstützen.

Ein EMS-Partner mit einem reifen Satz von Managementsystemen liefert dem OEM einen auditierbaren Nachweis der Prozessreife, was die Erfüllung der NIS2-Pflichten radikal vereinfacht. Assel arbeitet auf Basis der Zertifikate ISO 9001, ISO 13485 und ISO 14001, unterhält einen an der ISO-22301-Methodik ausgerichteten Betriebskontinuitätsplan, und die Einführung eines Informationssicherheits-Managementsystems nach ISO/IEC 27001 befindet sich in der Endphase — mit einem vorgeschlagenen Geltungsbereich, der „Dienstleistungen der Auftragsfertigung elektronischer und elektromechanischer Produkte“ umfasst.

Die Verantwortungsmatrix: Wer ist wofür zuständig

Im Zentrum des Modells der geteilten Verantwortung steht eine klare Aufgabenteilung. Die folgende Matrix ordnet die typische Verteilung der Pflichten zwischen OEM und EMS-Partner. In der Praxis erfordert jedes Projekt eine individuelle Anpassung, doch die folgende Aufstellung ist ein Ausgangspunkt.

Die Verantwortung des OEM umfasst vor allem: festzulegen, welche Informationen ein Geschäftsgeheimnis darstellen und wie sie zu klassifizieren sind; Unterlagen sicher und in minimal notwendigem Umfang bereitzustellen (Need-to-know-Prinzip); Firmware digital zu signieren und Images nachvollziehbar zu übergeben; Sicherheitsanforderungen in Vertrag und Spezifikation zu definieren; sowie den Partner regelmäßig zu auditieren. Der OEM bleibt Eigentümer des strategischen Risikos und entscheidet über das dem Produktwert angemessene Schutzniveau. Zu betonen ist, dass die Aufsicht über die Kundendokumentation selbst beim Kunden verbleibt — der EMS-Partner beaufsichtigt seine eigene Dokumentation sowie den Prozess der Änderung der ihm anvertrauten Unterlagen.

Die Verantwortung des EMS-Partners umfasst wiederum: die operative Sicherheit der Umgebung, in der Daten verarbeitet werden; die Segmentierung von IT- und OT-Netzen und die Isolierung der Produktionsstationen; die Kontrolle des physischen Zugangs zur Halle und des logischen Zugangs zu Systemen; die sichere Aufbewahrung und Vernichtung von Unterlagen gemäß der vereinbarten Aufbewahrung; das Management von Subunternehmern und die Kontrolle ihres Datenzugriffs; die Rückverfolgbarkeit von Bauteilen; sowie die Reaktion auf Vorfälle und deren Meldung an den Auftraggeber innerhalb einer vereinbarten Frist.

Geteilte Bereiche — die eine gemeinsame Abstimmung beider Parteien erfordern — umfassen unter anderem: die Klassifizierung der Informationswerte, das Änderungsmanagementverfahren, den Vorfallreaktionsplan (wer wen in welcher Zeit informiert), die Regeln zur Datenvernichtung am Projektende und Übungen zur Betriebskontinuität. Gerade in den geteilten Bereichen entstehen die gefährlichsten „Grauzonen“, weshalb sie am ausführlichsten beschrieben werden müssen.

Ein praktisches Werkzeug zur Formalisierung dieser Aufteilung ist eine RACI-Matrix (Responsible, Accountable, Consulted, Informed), die gemeinsam bei der Aufnahme der Zusammenarbeit auf Basis der Anforderungen des Kunden und noch vor Beginn der NPI vereinbart wird. Ein solches Dokument beseitigt Mutmaßungen und wird später zur Grundlage des Audits.

Das Modell der geteilten Verantwortung in der Praxis: der Ansatz von Assel

Theorie gewinnt erst dann an Wert, wenn sie sich in alltägliche Prozesse übersetzt. Im Folgenden zeigen wir, wie die einzelnen Ebenen des Modells der geteilten Verantwortung bei Assel in der Praxis aussehen — nicht als Liste von Erklärungen, sondern als konkrete operative Mechanismen.

Sichere Übergabe und Aufbewahrung der Unterlagen

Ausgangspunkt ist die Art, wie die Projektunterlagen zum Partner gelangen. Assel stellt Kunden einen dedizierten Cloud-Kanal zur Übermittlung von Spezifikationen bereit, sodass sensible Dateien nicht auf ungesicherten Wegen wandern müssen. Auf EMS-Seite werden die Unterlagen auf Speicherressourcen mit eingeschränktem Zugang übertragen, der nach dem Need-to-know-Prinzip gewährt wird. Einsicht in die Spezifikation haben nur die Abteilungen, die sie für die frühe Analyse einer Anfrage und für die Umsetzung tatsächlich benötigen — Engineering, Vertrieb, Kalkulation und das Strategieteam. Dieses rollenbasierte Zugangsmodell begrenzt den Kreis der Personen, die mit dem geistigen Eigentum des Kunden in Berührung kommen, auf das notwendige Minimum.

Netzsegmentierung und physische Sicherheit

Die technische Umgebung beruht auf der Trennung von Netzzonen. Das Büronetz ist von dem Netz getrennt, in dem die Produktionsmaschinen arbeiten, und der Gastverkehr läuft über ein dediziertes Besuchernetz. Dadurch öffnet die Kompromittierung einer Zone nicht automatisch den Zugang zu den übrigen.

Die digitale Ebene wird durch umfassende physische Sicherheit ergänzt. Der Zugang zu Räumen wird durch elektronische Lesegeräte gesteuert, und die Berechtigungen sind Personengruppen nur für jene Zonen zugewiesen, zu denen die jeweilige Gruppe Zutritt haben soll. Das Objekt und sein Gelände sind mit CCTV überwacht, und das Ganze wird rund um die Uhr (24/7) von einem professionellen Sicherheitsunternehmen geschützt. Das ist die praktische Umsetzung des Grundsatzes, dass Datensicherheit bereits an der Tür zur Halle beginnt.

Firmware-Schutz — drei Modelle der Zusammenarbeit

Firmware ist eines der sensibelsten Elemente eines Projekts, weshalb die Art ihres Schutzes individuell mit dem Kunden vereinbart wird und von der Gestaltung des Programmierprozesses abhängt. In der Praxis führt Assel Projekte in drei Varianten durch, die die Idee der geteilten Verantwortung hervorragend veranschaulichen. In der ersten wird die Firmware direkt aus dem externen Netz des Kunden in das Gerät geladen, und der EMS-Partner hat keinen Zugriff darauf — die volle Kontrolle verbleibt beim OEM. In der zweiten erfolgt die Programmierung von dedizierten Datenträgern, die streng kontrolliert und nach Gebrauch in verschlossenen Schränken aufbewahrt werden. In der dritten befindet sich die Firmware auf Testgeräten, und das Schutzniveau ergibt sich daraus, wie der Kunde diese Stationen konstruiert hat. In jeder Variante ist die Verantwortungsgrenze klar gezogen — und das ist der Kern des Modells.

Mengenkontrolle und Traceability — Schutz vor Überproduktion

Eine der häufigsten Sorgen von OEMs ist das Risiko einer Produktion „nebenbei“ — der Fertigung von Stücken über die bestellte Menge hinaus. Assel begegnet dem auf mehreren Ebenen. Ein System der MES-Klasse überwacht jedes gefertigte Stück, und auf dieser Grundlage werden die montierten Erzeugnisse gemeldet. Die Auftragsmengen werden für einen konkreten Auftrag festgelegt, und die Produktion beginnt genau für diese Menge. Wo es die Konstruktion der PCBA oder des Produkts zulässt, erhält jedes Stück eine individuelle Seriennummer, was die vollständige Rückverfolgbarkeit sicherstellt. Ergänzt wird dies durch einen kontinuierlichen Inventurprozess, in dem die Übereinstimmung der nach der Produktion zurückgegebenen Materialmenge überprüft wird. Dieser Satz von Mechanismen sorgt dafür, dass jede Abweichung zwischen dem ausgegebenen Material, der Zahl der gefertigten Stücke und dem Auftrag rasch erkannt wird.

Der Datenlebenszyklus: Aufbewahrung, Rückgabe und Löschung

Die Verantwortung für Daten endet nicht mit dem letzten gefertigten Stück. Assel wendet eine je nach Dokumententyp differenzierte Aufbewahrungsrichtlinie an, und bei individuellen Absprachen mit dem Kunden können ausgewählte Daten nach gesonderten, projektbezogenen Regeln aufbewahrt werden. Der Kunde kann die Rückgabe oder Löschung von Unterlagen verlangen — eine Frage der Absprache, die sich formell bestätigen lässt. Dadurch „lebt“ das geistige Eigentum nicht länger als nötig in der Umgebung des Partners.

Vorfallreaktion, Betriebskontinuität und Governance

Das Verfahren zur Meldung von Verletzungen ist zweifach definiert: Einerseits ergibt es sich aus rechtlichen Anforderungen — der NIS2-Richtlinie und der darauf beruhenden Novelle des KSC-Gesetzes — andererseits unterliegt es der Abstimmung mit dem Kunden hinsichtlich Umfang und Frist der Benachrichtigung über einen Vorfall, der seine Daten betrifft. Die Betriebskontinuität beruht auf einem an der ISO-22301-Methodik ausgerichteten Plan, dessen Arbeitsweise operativ aufrechterhalten wird. Die Governance der Informationssicherheit und der DSGVO-Compliance liegt bei einer klar zugewiesenen Struktur: Die interne Koordination führt eine benannte Führungsrolle, während die Verantwortung für die externe Kommunikation, einschließlich der Beziehungen zur Aufsichtsbehörde (Datenschutzbehörde), bei der Geschäftsführung liegt — im Einklang mit dem Geist von NIS2, der die Verantwortung für Cybersicherheit auf die höchste Führungsebene verlagert.

Subunternehmer und die Grenzen des Prozesses

Der Grundsatz, Vertraulichkeits- und Sicherheitsanforderungen an Subunternehmer weiterzugeben, ist im Modell der geteilten Verantwortung verpflichtend. Im Fall von Assel ist jedoch eine wichtige Tatsache anzumerken: Prozesse rund um die Montage elektronischer Geräte werden intern durchgeführt und nicht nach außen delegiert, was die Verantwortungskette vereinfacht. Wo ein Prozess seiner Natur nach außerhalb des Werks stattfindet — etwa das Aufbringen einer Parylene-Beschichtung — wird er auf der Kundenseite abgewickelt. Je kürzer und besser kontrolliert die Kette, desto kleiner die Risikofläche.

Fallstudie: ein Projekt aus der Sicherheitsbranche

Die Idee der geteilten Verantwortung lässt sich am besten an einem realen, wenn auch anonymisierten Beispiel veranschaulichen. Assel montiert Geräte für einen Kunden aus der Sicherheitsbranche, in der Vertraulichkeit und Datenschutz von besonderer Bedeutung sind. Die Aufteilung der Verantwortung ist hier auf die Spitze getrieben — und genau deshalb funktioniert sie mustergültig.

Die Testgeräte des Kunden befinden sich in einem gesonderten, abgetrennten Netz, zu dem der EMS-Partner keinen Zugang hat. Die Anmeldung an den Rechnern des Kunden ist nur für von ihm freigegebene Personen möglich. Sämtliche Änderungen und die Firmware werden unmittelbar vom Kunden kontrolliert. Vom Kunden festgelegte Datenträger werden ausschließlich durch autorisierte, externe Stellen vernichtet. Im Rahmen der Abläufe dieses Kunden ist Assel Teil seines Audit- und Zertifizierungsprozesses für Sicherheit auf hohem Niveau (EAL4+). Dieses Beispiel zeigt, dass ein reifes Modell der geteilten Verantwortung nicht darin besteht, dass der EMS-Partner „Zugang zu allem hat“, sondern darin, dass jedes Element der richtigen Partei zugeordnet ist — und die Grenzen technisch durchgesetzt und nicht bloß im Vertrag festgehalten werden.

Die organisatorisch-rechtliche Ebene: Verträge, NDAs und Audits

Selbst die besten technischen Schutzmaßnahmen bleiben fragil ohne ein solides organisatorisches und rechtliches Fundament. Erst in Verträgen und Verfahren erhält das Modell der geteilten Verantwortung bindende Kraft.

Die Grundlage bildet eine Geheimhaltungsvereinbarung (NDA), die für sich genommen jedoch nicht ausreicht. Reife OEM-EMS-Beziehungen stützen sich auf detaillierte Klauseln im Hauptvertrag, die Folgendes präzisieren: die Klassifizierung und den Umfang der anvertrauten Informationen, die geforderten Sicherheitsmaßnahmen, die Regeln für den Einsatz von Subunternehmern, Auditrechte, Pflichten zur Meldung von Vorfällen samt Fristen, die Regeln zur Aufbewahrung und Vernichtung von Daten nach Ende der Zusammenarbeit sowie die Verantwortungsaufteilung im Fall einer Verletzung. Im DSGVO-Kontext kommt ein gesonderter Auftragsverarbeitungsvertrag hinzu.

Auditrechte sind ein Instrument, das Erklärungen in überprüfbare Verpflichtungen verwandelt. Der OEM sollte in der Lage sein — selbst oder durch eine unabhängige Stelle — zu prüfen, ob der EMS-Partner die vereinbarten Maßnahmen tatsächlich anwendet. Zunehmend übernehmen diese Rolle auch Zertifikate unabhängiger Stellen (z. B. ISO/IEC 27001), die den Bedarf an einem jeweils eigenen Audit verringern.

Das Management von Subunternehmern schließt den Kreis der Verantwortung. Ein EMS-Partner, der selbst Zulieferer nutzt, muss sicherstellen, dass er angemessene Sicherheitsanforderungen an sie weitergibt — sonst bleibt die Lieferkette nur so stark wie ihr schwächstes, für den OEM oft unsichtbares Glied. Die NIS2-Richtlinie macht diese Pflicht besonders deutlich.

Due Diligence: wie man einen EMS-Partner überprüft

Bevor ein OEM Daten anvertraut, sollte er eine gründliche Bewertung des Partners vornehmen. Die folgende Checkliste ordnet die wichtigsten Bereiche für die Überprüfung eines Anbieters der Auftragsfertigung von Elektronik unter dem Gesichtspunkt der Datensicherheit.

Es lohnt zu prüfen: ob der Partner ein ISO/IEC-27001-Zertifikat oder ein gleichwertiges Informationssicherheits-Managementsystem besitzt (oder sich in einer fortgeschrittenen Phase der Einführung befindet); welche Qualitäts- und Branchennormen er umgesetzt hat (ISO 9001, ISO 13485, ISO 14001); wie er die Betriebskontinuität umsetzt (z. B. auf Basis von ISO 22301); wie seine IT/OT-Netzsegmentierung und die Isolierung der Produktionsumgebung aussehen; welche Mechanismen der physischen und logischen Zugangskontrolle er einsetzt; wie er die Firmware-Integrität und die Rückverfolgbarkeit der Bauteile verwaltet; wie er das Produktionsvolumen kontrolliert und Überproduktion verhindert; welche Aufbewahrungs- und Vernichtungsrichtlinie für Daten er hat; wie er Subunternehmer steuert; wie sein Vorfallreaktionsverfahren aussieht; und ob er bereit ist, Auditrechte und angemessene Vertragsklauseln zu akzeptieren. Die Antworten auf diese Fragen trennen rasch jene Partner, die Sicherheit als Teil ihrer Strategie begreifen, von jenen, für die sie eine Formalität bleibt.

Ein wertvolles Signal ist auch die Reife des Prozesses der Neuprodukteinführung (NPI). Ein Partner, der die vom Kunden definierten Sicherheitsanforderungen — zu Datenklassifizierung, Verantwortungsaufteilung und Vorfallreaktion — zuverlässig erfassen und prüfen und sich anschließend konsequent an sie anpassen kann, zeigt, dass das Modell der geteilten Verantwortung bei ihm systemischen und nicht deklarativen Charakter hat. Ausgangspunkt sind stets die Anforderungen des Kunden und keine Mutmaßungen über seine Absichten.

Umsetzung des Modells der geteilten Verantwortung Schritt für Schritt

Die folgende Abfolge ist ein empfohlenes Modell — in der Praxis hängt ihr Detaillierungsgrad von den vom Kunden definierten Anforderungen ab, und Ausgangspunkt ist stets, diese Anforderungen vor Beginn der Zusammenarbeit festzulegen und abzustimmen. Die Umsetzung der Theorie in die Praxis lässt sich in eine Abfolge von Schritten fassen, die man zu Beginn jedes bedeutenden Projekts gemeinsam durchführen sollte.

Der erste Schritt ist eine gemeinsame Inventur und Klassifizierung der Informationswerte — die Festlegung, welche Daten verarbeitet werden und welches Vertraulichkeitsniveau sie haben. Der zweite Schritt ist die Abbildung des Datenflusses über den gesamten Projektlebenszyklus, von der Übergabe der Unterlagen über die Produktion bis zu Service und Ausmusterung. Der dritte Schritt ist die Erstellung einer Verantwortungsmatrix (RACI) und die Zuordnung jedes Bereichs zu OEM, EMS oder als geteilter Bereich. Der vierte Schritt ist die Festschreibung der Absprachen im Vertrag — mit Auditrechten, einem Vorfallverfahren und Aufbewahrungsregeln. Der fünfte Schritt ist die Umsetzung und Überprüfung technischer Maßnahmen auf EMS-Seite und der Datenübergabemechanismen auf OEM-Seite. Der sechste Schritt sind Tests und Übungen — von einer Vorfallsimulation bis zu einem Compliance-Audit. Der siebte Schritt ist eine regelmäßige Überprüfung des Modells, da sich sowohl Technologie als auch Regulierung (und NIS2 ist das beste Beispiel) ständig weiterentwickeln.

Sicherheit über den gesamten Produktlebenszyklus

Die Verantwortung für Daten endet nicht in dem Moment, in dem das Erzeugnis die Linie verlässt. Das Modell der geteilten Verantwortung umfasst den gesamten Projektlebenszyklus.

Bereits vor der Phase der Neuprodukteinführung (NPI) — bei der Aufnahme der Zusammenarbeit — sollten die Datenklassifizierung, die Verantwortungsaufteilung und die Kanäle des Dokumentenaustauschs als Teil der Anforderungen des Kunden vereinbart und geprüft werden. In der Phase der Serienproduktion, die im Rahmen der vor ihrem Beginn vereinbarten Anforderungen erfolgt, sind laufende Zugangskontrolle, Firmware-Integrität, Mengenkontrolle und Rückverfolgbarkeit entscheidend. In der Phase von Service und Instandhaltung ist die Sicherheit der Rücklauf- und Diagnosedaten zu gewährleisten. Schließlich wird in der Phase des Lebensendes (EOL) und des Projektabschlusses die sichere, dokumentierte Vernichtung oder Rückgabe von Daten und Unterlagen entscheidend — damit geistiges Eigentum nach dem Ende der Zusammenarbeit nicht „abfließt“. Jede dieser Phasen hat einen anderen Hauptverantwortlichen, doch alle verbindet derselbe Grundsatz: keine Bereiche ohne Eigentümer.

Fazit

Datensicherheit in der Auftragsfertigung ist keine rein technische Frage mehr, sondern ein Element von Strategie und regulatorischer Compliance geworden. Das Modell der geteilten Verantwortung in der OEM-EMS-Beziehung ordnet diese Komplexität um einen grundlegenden Grundsatz: Jede Schutzebene hat einen klar zugewiesenen Eigentümer, und die geteilten Bereiche werden am sorgfältigsten beschrieben. Harte Zahlen — 5,56 Mio. USD durchschnittlicher Schaden einer Verletzung in der Industrie, bis zu 125.000 USD pro Stunde Stillstand oder Geldbußen von bis zu 10 Mio. Euro im NIS2-Regime — zeigen, dass nicht nur die Reputation auf dem Spiel steht, sondern das Überleben des Geschäfts.

Für einen OEM lautet die praktische Schlussfolgerung: Die Wahl eines EMS-Partners ist die Wahl des Risikoniveaus für die gesamte Organisation, weshalb Reife in der Datensicherheit — bestätigt durch Zertifikate, operative Mechanismen und die Bereitschaft zur geteilten Verantwortung — ebenso schwer wiegen sollte wie Preis und Qualität. Für einen EMS-Partner ist die Schlussfolgerung komplementär: Die Fähigkeit, geteilte Verantwortung zu tragen und sie mit auditierbaren Prozessen zu dokumentieren, ist heute einer der stärksten Wettbewerbsvorteile. Bei Assel betrachten wir sie als integralen Bestandteil der Auftragsfertigungsdienstleistung — von der sicheren Übergabe einer Spezifikation über die Mengen- und Firmware-Kontrolle bis zu einer klaren Rollenteilung bis zum Ende des Projektlebens.

Häufig gestellte Fragen (FAQ)

Quellen und Fußnoten

1. IBM, „Cost of a Data Breach 2024“ — Industriesektor: durchschnittlicher Schaden 5,56 Mio. USD (+18 % ggü. Vorjahr), 199 Tage bis zur Erkennung und 73 Tage bis zur Eindämmung. Quelle: ibm.com. ↩
2. IBM, „Cost of a Data Breach 2024“ — geschätzte Kosten ungeplanten Stillstands in Industrieanlagen: bis zu 125.000 USD pro Stunde. Quelle: ibm.com/think/insights. ↩
3. ENISA (Agentur der EU für Cybersicherheit), „Threat Landscape“-Berichte — die Lieferkette als einer der zentralen Angriffsvektoren. Quelle: enisa.europa.eu. ↩
4. Wissenschaftliche Literatur zu Hardware-Trojanern und gefälschten Bauteilen, u. a. IEEE und ScienceDirect (z. B. „malicious implants in PCBs throughout the supply chain“). ↩
5. IBM, „Cost of a Data Breach 2024“ — Aufschlüsselung der Ursachen von Verletzungen im Industriesektor: 47 % gezielte Angriffe, 27 % menschliches Versagen, 26 % Systemausfälle. ↩
6. NIS2-Richtlinie (EU) 2022/2555 und die Novelle des polnischen Gesetzes über das nationale Cybersicherheitssystem (KSC); Geldbußen bis zu 10 Mio. Euro oder 2 % des Umsatzes (wesentliche Einheiten) und 7 Mio. Euro oder 1,4 % (wichtige Einheiten). ↩