AO 2020 Standard Vollständige FIDV Simulation

FIDV Modul 12: AP2 FIDV Gesamtprüfungssimulation (Echtzeit)

Abschlussprüfungssimulation für Fachinformatiker/-in Digitale Vernetzung nach bundeseinheitlichem ZPA-Standard. Realistisches 100-Punkte-Schema für PB 1 (Vernetzte Systeme & Cyber-Physical Systems), PB 2 (Konzeption & Fehleranalyse) und PB 3 (WiSo) inklusive Live-Countdown, industriellen Netzwerkprotokollen und Notenrechner.

🌐

Prüfungskontext: AeroTech Industries GmbH

Die AeroTech Industries GmbH modernisiert ihre Fertigungsstätte für Leichtbau-Komponenten zu einer volldigitalisierten Industrie-4.0-Smart-Factory. Als verantwortliche/r Fachinformatiker/-in für Digitale Vernetzung leiten Sie die Konvergenz von Operational Technology (OT) und Information Technology (IT). Ihr Aufgabengebiet umfasst die Segmentierung nach dem Purdue-Modell, Time-Sensitive Networking (TSN), 5G-Campusfunknetze für Fahrerlose Transportsysteme (FTS), die Absicherung nach IEC 62443, IoT-Gateways mit OPC-UA/MQTT sowie die PCAP-Netzwerkanalyse in konvergenten Netzen.

Wählen Sie Ihren FIDV-Prüfungsteil für die Simulation:

Handlungsschritt 1: Konvergente Netzwerkinfrastruktur & Purdue-Modell

25 Punkte

AeroTech vernetzt computergesteuerte 5-Achs-Fräszentren, Industrieroboter und fahrerlose Transportsysteme (OT) mit dem übergeordneten SAP ERP und MES (IT). Zur Vermeidung von Sicherheitsrisiken und unkontrollierten Datenströmen wird die Netzwerkarchitektur nach dem Purdue Enterprise Reference Architecture (PERA) Modell strukturiert.

1.1 Purdue Enterprise Reference Architecture (Level 0 bis Level 4) (10 Punkte):

Beschreiben Sie die hierarchischen Schichten des Purdue-Modells (Level 0 bis Level 4) und ordnen Sie jeder Ebene die typischen Komponenten und Protokolle bei AeroTech zu:
• Level 0: Physischer Prozess (Sensoren, Aktoren)
• Level 1: Grundlegende Steuerung (SPS / PLC)
• Level 2: Prozessführung & Visualisierung (SCADA / HMI)
• Level 3: Fertigungsleitsystem (MES / Historian)
• Level 3.5: Industrial DMZ (IDMZ)
• Level 4 / 5: Enterprise IT & Cloud (ERP, Office, Business Analytics).

1.2 Industrial Ethernet vs. Standard Office Ethernet (8 Punkte):

Vergleichen Sie Industrial Ethernet (z. B. PROFINET RT/IRT, EtherCAT) und Standard-Büronetzwerk (IEEE 802.3 CSMA/CD) anhand folgender 4 Kriterien:
1. Determinismus und Echtzeitfähigkeit (Cycle Time, Jitter)
2. Physikalische Steckverbinder und Schutzarten (RJ45 vs. M12, IP20 vs. IP65/IP67)
3. Umgebungsbedingungen (Temperaturbereich, Vibration, EMV-Schirmung)
4. Topologie & Ringredundanz im Feld.

1.3 Chancen und Risiken der IT/OT-Konvergenz (7 Punkte):

a) Nennen Sie 2 wesentliche wirtschaftliche oder produktionstechnische Chancen der direkten IT/OT-Kopplung.
b) Nennen Sie 2 gravierende Cyber-Security-Risiken, wenn Standard-Office-Netze unzureichend von Produktionsnetzen getrennt sind (z. B. Ransomware-Lateraleffekte).

Musterlösung & IHK-Kriterien (HS 1):

Zu 1.1 (10 Pkt. – je 2 Pkt. für Level-Gruppen):
• Level 0 (Field/Process): Physikalische Sensoren (Druck, Temperatur, Vibration), Aktoren (Servomotoren, Ventile). Protokolle: IO-Link, analog 4-20mA, HART. (2 Pkt.)
• Level 1 (Basic Control): Steuerungen (SPS/PLC), CNC-Steuerungen, Robotik-Controller. Zyklische Echtzeitkommunikation: PROFINET IRT, EtherCAT. (2 Pkt.)
• Level 2 (Area Supervisory Control): SCADA-Systeme, HMI-Bedienpanels, Engineering Workstations. Protokolle: Modbus TCP, OPC-UA Client/Server. (2 Pkt.)
• Level 3 (Site Operations / MES): Manufacturing Execution System (MES), Batch-Management, Plant Historian (Zeitreihendatenbank). Protokolle: OPC-UA, MQTT, SQL. (2 Pkt.)
• Level 3.5 (IDMZ) & Level 4 (Enterprise): IDMZ: Jump-Hosts, Reverse Proxy, Historian-Replikation. Level 4: SAP ERP, Active Directory, Office-Clients, Cloud-Analytics via HTTPS/TLS. (2 Pkt.)

Zu 1.2 (8 Pkt. – je 2 Pkt. pro Kriterium):
1. Determinismus: Office-Ethernet arbeitet nach Best-Effort (CSMA/CD / Switching ohne garantierte Latenz, variabler Jitter). Industrial Ethernet nutzt Time-Slots oder modifizierte MAC-Layer für garantierte Zykluszeiten < 1 ms mit Jitter < 1 µs. (2 Pkt.)
2. Steckverbinder: Büro: RJ45 (IP20, bruchanfällige Plastikrastnase). Industrie: Schraubbare M12-Steckverbinder (D- oder X-kodiert) mit Schutzart IP65/IP67 (staub- und wasserdicht). (2 Pkt.)
3. Umgebung: Büro: 0 °C bis 40 °C. Industrie: Erweiterter Temperaturbereich (-40 °C bis +75 °C), Schock- und Vibrationsfestigkeit (DIN EN 60068), doppelte Schirmung (S/FTP) gegen elektromagnetische Störfelder (EMV) von Frequenzumrichtern und Schweißrobotern. (2 Pkt.)
4. Topologie: Büro: Stern-/Baum-Topologie. Industrie: Ring- und Linientopologie mit integrierten 2-Port-Switches direkt in Feldgeräten für minimale Verkabelungskosten und Ausfallsicherheit (Ringredundanz). (2 Pkt.)

Zu 1.3 (7 Pkt.):
• Chancen (3,5 Pkt.): Echtzeit-Transparenz über Fertigungskennzahlen (OEE), automatisierter Auftragsabgleich zwischen ERP und Maschinen, vorausschauende Instandhaltung (Predictive Maintenance) durch Telemetrie-Analytics, Reduzierung von Rüstzeiten.
• Risiken (3,5 Pkt.): Laterale Ausbreitung von Ransomware aus Phishing-Mails im Office-Netz in die Fertigung (Produktionsstillstand mit Millionenverlusten), Manipulation von SPS-Logiken (Stuxnet-Szenario), Sabotage von Safety-Funktionen, Industriespionage von Rezepturen und Konstruktionsdaten.

Handlungsschritt 2: Time-Sensitive Networking (TSN) & Ausfallsicherheit

25 Punkte

In der Montagezelle arbeiten 6-Achs-Roboter synchron mit Laserschweißanlagen. Zur Zusammenführung von harter Echtzeit und normalem TCP/IP-Kamera-Videostreaming auf einer einzigen physischen Infrastruktur wird Time-Sensitive Networking (TSN) nach IEEE 802.1 implementiert.

2.1 TSN Kernstandards nach IEEE 802.1 (10 Punkte):

Erläutern Sie die Funktionsweise und das Zusammenspiel folgender 3 IEEE-TSN-Standards:
a) IEEE 802.1AS-Rev: Timing and Synchronization for Time-Sensitive Applications (PTP / Precision Time Protocol)
b) IEEE 802.1Qbv: Time-Aware Shaper (TAS) und zyklische Zeitschlitze (Gate Control List)
c) IEEE 802.1Qbu / 802.3br: Frame Preemption (Unterbrechung von Best-Effort-Frames).

2.2 Redundanzprotokolle im Vergleich: MRP vs. PRP vs. HSR (8 Punkte):

Vergleichen Sie die industriellen Redundanzmechanismen:
• MRP (Media Redundancy Protocol nach IEC 62439-2)
• PRP (Parallel Redundancy Protocol nach IEC 62439-3)
• HSR (High-availability Seamless Redundancy nach IEC 62439-3)
hinsichtlich Topologie, Umschaltzeit im Fehlerfall (Reconfiguration Time) und Eignung für sicherheitskritische Motion-Control-Systeme.

2.3 Latenz, Jitter und Paketverlust im Echtzeitnetzwerk (7 Punkte):

a) Definieren Sie die Begriffe Latenz (Propagation Delay) und Jitter (Latenzschwankung).
b) Warum ist für geregelte Antriebsachsen (Motion Control) ein niedriger Jitter oft kritischer als eine absolute Latenz? Welche Grenzwerte gelten in der Robotik?

Musterlösung & IHK-Kriterien (HS 2):

Zu 2.1 (10 Pkt.):
• IEEE 802.1AS (3,5 Pkt.): Präzise netzwerkweite Zeitsynchronisation aller Netzwerkknoten (Grandmaster Clock, Transparent Clocks). Basiert auf IEEE 1588 PTP und synchronisiert Knoten auf Sub-Mikrosekunden-Genauigkeit (< 1 µs) über Hard-Timestamping auf MAC-Ebene.
• IEEE 802.1Qbv (3,5 Pkt.): Time-Aware Shaper (TAS). Teilt die Bandbreite zeitgesteuert in feste Zeitfenster (TDMA). Während des exklusiven Zeitschlitzes für Real-Time (RT) Traffic öffnen sich nur die Gatter für hochpriore Queues; Best-Effort-Traffic wird blockiert. Garantiert kollisionsfreie Übertragung.
• IEEE 802.1Qbu / 802.3br (3 Pkt.): Frame Preemption. Ein laufender, großer Best-Effort-Frame (z. B. 1.500 Byte Video) kann mittendrin pausiert werden, um einem eintreffenden zeitkritischen RT-Frame sofort Vorrang zu gewähren. Nach Durchlauf des RT-Frames wird der Best-Effort-Frame nahtlos fortgesetzt (kein Verwerfen/Neuübertragen).

Zu 2.2 (8 Pkt.):
• MRP (IEC 62439-2) (2,5 Pkt.): Ringtopologie mit einem Media Redundancy Manager (MRM). Blockiert einen Port zur Schleifenvermeidung. Umschaltzeit im Fehlerfall typisch 20 ms bis 200 ms. Für langsame Prozessdaten ausreichend, für synchrone Motion Control ungeeignet.
• PRP (IEC 62439-3) (3 Pkt.): Paralleles Netzwerk (zwei vollständig getrennte LANs A und B). Geräte (DANP – Dual Attached Nodes) senden jeden Frame redundant auf beiden Netzen gleichzeitig. Der Empfänger verarbeitet den ersten eintreffenden Frame und verwirft das Duplikat. Umschaltzeit = 0 ms (nahtlose Redundanz). Ideal für Mission-Critical-Systeme.
• HSR (IEC 62439-3) (2,5 Pkt.): Ringtopologie mit Duplizierung. Jeder Knoten leitet Frames in beide Ringrichtungen weiter. Umschaltzeit = 0 ms. Nachteil: Verdopplung der Ringlast; Geräte benötigen spezielle HSR-Chips.

Zu 2.3 (7 Pkt.):
• Definition (3 Pkt.): Latenz ist die Zeitspanne vom Absenden eines Datenpakets bis zu seinem Empfang. Jitter ist die zeitliche Varianz/Schwankung der Latenz zwischen aufeinanderfolgenden Paketen.
• Bedeutung Motion Control (4 Pkt.): Regelkreise (PID-Regler für Motorposition und Drehmoment) berechnen Steuerwerte in exakten äquidistanten Zeitschritten (z. B. alle 250 µs). Wenn Pakete schwanken (hoher Jitter), geraten Regler aus dem Takt, was zu Ruckeln, mechanischem Verschleiß, Achsfehlern oder Notabschaltungen führt. Grenzwerte: Jitter < 1 µs bei Zykluszeiten von 125 µs bis 1 ms.

Handlungsschritt 3: Industrielle Funknetze: 5G Campus vs. Industrial WLAN

25 Punkte

In der Fertigungshalle versorgen 25 Fahrerlose Transportsysteme (FTS / AGVs) die Montagestationen unterbrechungsfrei mit Bauteilen. Sie evaluieren den Einsatz eines privaten 5G-Campusnetzes gegenüber einem industriellen Wi-Fi-6E-Funknetz.

3.1 Privates 5G Campusnetz (Standalone - 5G SA) (10 Punkte):

a) In welchem Frequenzbereich vergibt die Bundesnetzagentur (BNetzA) in Deutschland Lizenzen für lokale private 5G-Campusnetze der Industrie?
b) Erläutern Sie die 5G-Kerntechnologie URLLC (Ultra-Reliable Low-Latency Communication) und deren Relevanz für autonome FTS.
c) Was versteht man unter Network Slicing und wie kann AeroTech damit Safety-kritische Steuerungsdaten von normalem Datenverkehr logisch isolieren?

3.2 Industrial WLAN (Wi-Fi 6 / 6E) & Fast Roaming (8 Punkte):

a) Warum führt Standard-WLAN beim Übergang beweglicher FTS von einem Access Point zum nächsten oft zu Verbindungsabbrüchen (Sticky Client Problem)?
b) Erläutern Sie die IEEE-Standards für unterbrechungsfreies Roaming: 802.11r (Fast BSS Transition) und 802.11k/v (Radio Measurement & BSS Transition Management).

3.3 Funkfeldausleuchtung & Störeinflüsse in Fertigungshallen (7 Punkte):

Nennen Sie 4 physikalische Besonderheiten und Störquellen für Funkwellen in einer industriellen Fertigungshalle (z. B. Reflexionen an Metallregalen, Multipath-Fading, Fresnel-Zone, Elektromotoren) und erläutern Sie eine Gegenmaßnahme.

Musterlösung & IHK-Kriterien (HS 3):

Zu 3.1 (10 Pkt.):
• Frequenzbereich (2 Pkt.): 3,7 GHz bis 3,8 GHz (genau: 3.700 MHz – 3.800 MHz, bis zu 100 MHz Bandbreite für lokale Campusnetze der Industrie).
• URLLC (4 Pkt.): Dienstklasse für extrem zuverlässige (> 99,999 % Packet Delivery Rate) Kommunikation mit garantierter Latenz von < 1 ms. Für FTS zwingend erforderlich, um bei Hindernissen Not-Stopps ohne Verzögerung auszulösen und Kollisionen zu verhindern.
• Network Slicing (4 Pkt.): Logische Aufteilung einer physischen 5G-Netzinfrastruktur in mehrere unabhängige virtuelle Subnetze (Slices) mit garantierten Quality-of-Service (QoS)-Parametern. Slice 1: FTS-Safety (höchste Priorität, minimale Latenz); Slice 2: Maschinentelemetrie; Slice 3: Office-WLAN/Gästenetz. Verhindert Bandbreitenüberlastung der Safety-Daten.

Zu 3.2 (8 Pkt.):
• Sticky Client Problem (3 Pkt.): Der WLAN-Client entscheidet selbst über den Wechsel des Access Points (AP). Viele Clients bleiben so lange wie möglich mit dem alten AP verbunden, bis die Signalstärke kollabiert (Paketverlust, Latenzanstieg), bevor eine langwierige Neuanmeldung (Authentifizierung) am neuen AP erfolgt. Führt zum Stillstand von FTS.
• Fast Roaming Standards (5 Pkt.):
- 802.11r (Fast Transition): Schlüsselableitung (PMK-R0/R1) im Voraus. Handshake mit dem neuen AP erfolgt vor dem Abbruch der Verbindung zum alten AP. Roamingzeit sinkt von 500 ms auf < 20-50 ms (kein spürbarer Paketverlust). (3 Pkt.)
- 802.11k & 802.11v: APs übermitteln dem Client Radio Resource Measurements (Nachbarlisten) und fordern ihn aktiv zum Wechsel auf den stärksten Nachbar-AP auf. (2 Pkt.)

Zu 3.3 (7 Pkt. – je 1,5 Pkt. für Störquellen + 1 Pkt. Gegenmaßnahme):
1. Multipath Fading / Mehrwegeausbreitung: Signale werden an Stahlträgern und Metallgehäusen reflektiert und treffen phasenverschoben ein (Auslöschung / Intersymbol-Interferenz).
2. Abschattung & Fresnel-Zone: Hochregallager und fahrbare Kräne verdecken die direkte Sichtverbindung (Line of Sight - LoS) und dämpfen das Signal massiv ab.
3. Elektromagnetische Störungen (EMV): Schweißroboter, Induktionsöfen und Hochstromleitungen erzeugen transiente Störimpulse im Frequenzspektrum.
4. Koexistenz-Interferenzen: Bluetooth-Handscanner, private Smartphones und Mikrowellen im 2,4-GHz-Band führen zu Kanalüberlastungen.
• Gegenmaßnahmen: Professionelle 3D-Funkfeldausleuchtung (Site Survey unter realen Produktionsbedingungen), Einsatz von MIMO-Antennen, Frequenzwechsel auf 5 GHz / 6 GHz (Wi-Fi 6E) oder dediziertes 3,7-GHz-Campus-5G mit garantiert interferenzfreiem Spektrum.

Handlungsschritt 4: OT-Security nach IEC 62443 & Industrial DMZ

25 Punkte

Zur Abwehr von Advanced Persistent Threats (APTs) und zur Einhaltung der NIS-2-Richtlinie wird das gesamte Fertigungsnetz nach der internationalen Norm IEC 62443 gehärtet.

4.1 IEC 62443 Struktur: Security Levels, Zones & Conduits (9 Punkte):

a) Erläutern Sie das Konzept der Zonen (Zones) und Leitungsbündel/Kanäle (Conduits) nach IEC 62443-3-2.
b) Definieren Sie die 4 Sicherheitsstufen (Security Level SL 1 bis SL 4) nach IEC 62443 und ordnen Sie das Bedrohungsprofil zu (vom zufälligen Fehler bis zum staatlichen Angreifer).

4.2 Architektur der Industrial DMZ (Level 3.5) (8 Punkte):

Zur strikten Entkopplung von Enterprise IT (Level 4) und Operational Technology (Level 3/2) wird eine Industrial DMZ (IDMZ) eingerichtet.
a) Nennen Sie 3 zentrale Dienste/Server, die zwingend in der IDMZ platziert werden müssen.
b) Erläutern Sie die „Goldene Regel der IDMZ“ bezüglich direktem Durchgangsverkehr zwischen IT und OT.

4.3 Sicherer Fernwartungszugang für Maschinenhersteller (8 Punkte):

Ein externer Maschinenbauer muss zur Störungsbehebung auf die Steuerung eines Fräszentrums zugreifen.
Entwerfen Sie ein sicheres Fernwartungskonzept nach IEC 62443 (Authentifizierung, Tunnelung, organisatorische Freigabe durch den Schichtleiter, Session-Aufzeichnung).

Musterlösung & IHK-Kriterien (HS 4):

Zu 4.1 (9 Pkt.):
• Zonen & Conduits (4 Pkt.): Eine Zone ist eine logische oder physische Gruppierung von Assets mit vergleichbarem Schutzbedarf und einheitlichem Sicherheitslevel. Ein Conduit (Kanal) ist ein kontrollierter Verbindungspfad zwischen Zonen. Datenverkehr darf Zonen nur über Conduits passieren, die mit Sicherheitsmaßnahmen (z. B. Stateful Inspection Firewall, Intrusion Detection) überwacht werden.
• Security Levels (SL) nach IEC 62443 (5 Pkt. – je 1,25 Pkt.):
- SL 1: Schutz vor zufälligen/unbeabsichtigten Fehlern und fahrlässigen Handlungen.
- SL 2: Schutz vor vorsätzlichen Angriffen mit einfachen Mitteln (Skript-Kiddies, Standard-Tools).
- SL 3: Schutz vor gezielten Angriffen durch erfahrene Hacker mit branchenspezifischem Wissen.
- SL 4: Schutz vor hochkomplexen Angriffen durch staatliche Akteure (Nation-State Hackers / APT) mit unbegrenzten Ressourcen. (Fertigungskritische Safety-Systeme streben SL 3/4 an).

Zu 4.2 (8 Pkt.):
• Dienste in der IDMZ (4 Pkt.): Jump-Host / Bastion Host (für RDP/SSH-Zugriffe), Data Historian Replikationsserver, zentraler Patch-Management- / WSUS-Server für OT, AV-Signatur-Verteilserver, Reverse Proxies.
• Goldene Regel (4 Pkt.): Es darf niemals direkter Datenverkehr zwischen der Enterprise IT (Level 4) und dem Fertigungsnetz (Level 3/2/1) geroutet werden. Jede Kommunikation muss in der IDMZ terminieren (Protokollbruch / Proxy). IT-Benutzer verbinden sich per Jump-Host in die IDMZ und von dort aus in die OT.

Zu 4.3 (8 Pkt.):
• Fernwartungskonzept (8 Pkt. – je 2 Pkt.):
1. Netzwerkzugang: Keine dauerhafte VPN-Verbindung; Einwahl über IPsec/WireGuard-Tunnel mit Mutual TLS (Zertifikate) und zwingender Multi-Faktor-Authentifizierung (MFA).
2. Organisatorische Kontrolle: Vier-Augen-Prinzip: Physikalische Freischaltung des Fernwartungsschalters (Schlüsselschalter) am Schaltschrank durch den Schichtleiter; zeitlich befristetes Freigabefenster.
3. Sitzungsführung: Remote Desktop über einen dedizierten IDMZ-Jump-Host (Privileged Access Management - PAM). Kein direkter L2/L3-Zugriff auf das Steuerungssubnetz.
4. Audit Trail & Logging: Vollständige Video-Aufzeichnung der RDP-Sitzung, lückenloses Logging aller Befehle und übertragenen Dateien zur späteren forensischen Nachvollziehbarkeit.

Handlungsschritt 5: IoT-Protokolle: OPC-UA vs. MQTT & Broker-Härtung

25 Punkte

Maschinentelemetrie von 80 Frässpindeln (Vibration, Drehzahl, Motortemperatur) soll erfasst und an das MES sowie die Cloud-Analytics übertragen werden. Sie konzipieren die Protokollarchitektur mit OPC-UA und MQTT.

5.1 Protokollarchitektur: OPC-UA vs. MQTT im Vergleich (10 Punkte):

Vergleichen Sie OPC-UA (IEC 62541) und MQTT (ISO/IEC 20922) hinsichtlich:
a) Architekturmodell (Client/Server vs. Publish/Subscribe)
b) Informationsmodellierung & Semantik (Address Space, Nodes, DataType vs. Topic-Struktur mit unstrukturiertem Byte-Payload)
c) Protokoll-Overhead und Transportmechanismen (`opc.tcp` vs. TCP Port 1883/8883)
d) Typisches Einsatzszenario in der Smart Factory.

5.2 MQTT Quality of Service (QoS) & Broker-Absicherung (8 Punkte):

a) Erläutern Sie die 3 Quality-of-Service-Stufen von MQTT (QoS 0, QoS 1, QoS 2) und nennen Sie je ein Anwendungsbeispiel bei AeroTech.
b) Welche 3 konkreten Härtungsmaßnahmen sind erforderlich, um einen MQTT-Broker (z. B. Eclipse Mosquitto) im Industrieumfeld abzusichern (mTLS, ACLs, Deaktivierung anonymer Zugriff)?

5.3 Datenpayload-Formate: JSON vs. Protobuf vs. Apache Avro (7 Punkte):

Bei 10.000 Messwerten pro Sekunde wird die Bandbreite knapp.
Vergleichen Sie JSON mit binären Serialisierungsformaten wie Protocol Buffers (Protobuf) oder Apache Avro bezüglich Lesbarkeit, Bandbreitenbedarf, Serialisierungsaufwand (CPU) und Schema-Evolution.

Musterlösung & IHK-Kriterien (HS 5):

Zu 5.1 (10 Pkt. – je 2,5 Pkt.):
• Architektur: OPC-UA: Traditionell Client/Server (Pull/Request-Response) sowie OPC-UA Pub/Sub (UDP Multicast / TSN). MQTT: Reines Publish/Subscribe über einen zentralen Broker (Entkopplung von Sender und Empfänger in Zeit und Raum). (2,5 Pkt.)
• Semantik: OPC-UA verfügt über ein mächtiges objektorientiertes Informationsmodell (Address Space, Typdefinitionen, Einheiten, Methodenaufrufe). MQTT überträgt Payloads rein als Byte-Stream ohne semantische Validierung (reine Topic-Hierarchie). (2,5 Pkt.)
• Overhead: MQTT hat extrem geringen Header-Overhead (ab 2 Byte) → ideal für ressourcenschwache Sensoren und Mobilfunk. OPC-UA hat höheren Protokoll-Overhead durch XML/Binary-Codierung und Zertifikatsprüfung. (2,5 Pkt.)
• Einsatz: OPC-UA für standardisierte Maschine-zu-Maschine (M2M) und SPS-zu-SCADA Kommunikation. MQTT für leichtgewichtigen Telemetrietransport von Tausenden Sensoren in Edge- und Cloud-Plattformen. (2,5 Pkt.)

Zu 5.2 (8 Pkt.):
• QoS Stufen (4,5 Pkt. – je 1,5 Pkt.):
- QoS 0 (At most once): Nachricht wird maximal einmal ohne Bestätigung gesendet (Best-Effort). Verlust bei Netzunterbrechung möglich. Bsp.: Unkritische Temperaturanzeige im Sekundentakt.
- QoS 1 (At least once): Nachricht wird mit PUBACK bestätigt. Bei Timeout erneutes Senden (Duplikate möglich). Bsp.: Alarmmeldungen bei Grenzwertüberschreitung.
- QoS 2 (Exactly once): Vierstufiger Handshake (PUBLISH, PUBREC, PUBREL, PUBCOMP). Garantiert exakt einmaliges Eintreffen ohne Duplikate. Bsp.: Steuerbefehle für Werkstückfreigabe.
• Broker-Härtung (3,5 Pkt.): Deaktivierung von unverschlüsseltem Port 1883 und `allow_anonymous true`; Erzwingung von TLS 1.3 auf Port 8883 mit Client-Zertifikaten (Mutual TLS / mTLS); feingranulare Zugriffssteuerungslisten (ACLs) nach dem Least-Privilege-Prinzip (Sensoren dürfen nur auf ihr eigenes Unter-Topic schreiben).

Zu 5.3 (7 Pkt.):
• JSON: Menschenlesbar (Textformat), einfacher Parser in jeder Sprache. Nachteil: Sehr hoher Bandbreiten-Overhead (Schlüsselnamen werden in jeder Nachricht wiederholt), hohe CPU-Last für String-Parsing.
• Protobuf / Avro: Binär kodiert (typisch 70-85 % kleiner als JSON), extrem schnelle Serialisierung/Deserialisierung in C/C++/Python, strenge Typprüfung über Schemadateien (`.proto`), automatische Schema-Evolution (Abwärts- und Aufwärtskompatibilität bei Feldänderungen). Ideal für High-Throughput-Telemetrie.

Handlungsschritt 6: Edge Computing, Sensorik & Python-Telemetrie

25 Punkte

Ein industrielles Linux-Edge-Gateway (z. B. Kunbus Revolution Pi) liest Temperatur- und Vibrationsdaten über Modbus TCP von einer I/O-Insel aus, filtert Signalrauschen und publiziert Anomalien via MQTT.

6.1 Modbus TCP/IP Protokollanalyse (8 Punkte):

a) Über welchen TCP-Standardport kommuniziert Modbus TCP?
b) Erläutern Sie den Unterschied zwischen Coils (Discrete Outputs), Discrete Inputs, Input Registers und Holding Registers.
c) Welcher Modbus Function Code (FC) wird zum Auslesen von Holding Registers (16-Bit) verwendet?

6.2 Python Edge-Skript: Datenbereinigung & Schwellenwert-Alerting (10 Punkte):

Erstellen Sie ein Python-Skript (oder präzisen Pseudocode), das folgende Anforderungen erfüllt:
1. Eine Liste von 16-Bit Rohwerten eines Temperatursensors empfängt.
2. Die Rohwerte in Grad Celsius umrechnet (Formel: $T = ext{Raw} imes 0,1 - 50,0$).
3. Einen gleitenden Mittelwert (Moving Average) über die letzten 5 Messwerte berechnet, um Ausreißer zu glätten.
4. Wenn der geglättete Temperaturwert den Grenzwert von 85,0 °C überschreitet, eine Alarm-Nachricht im JSON-Format für den MQTT-Broker erzeugt (`{"alert": "OVERHEAT", "temp": value}`).

6.3 Edge-Gateway Ausfallsicherheit & OTA-Updates (7 Punkte):

a) Was versteht man unter einem Hardware-Watchdog auf einem Linux-Edge-Gateway und wie verhindert er den Ausfall bei Software-Hängern?
b) Erläutern Sie das A/B-Partitionskonzept (Dual-Boot) für fehlertolerante Over-the-Air (OTA) Firmware-Updates.

Musterlösung & IHK-Kriterien (HS 6):

Zu 6.1 (8 Pkt.):
• Port (2 Pkt.): Standard-Port 502 (TCP).
• Register-Typen (4 Pkt. – je 1 Pkt.):
- Discrete Inputs (1-Bit, Read-Only): Digitale Schalterzustände (z. B. Lichtschranke).
- Coils (1-Bit, Read-Write): Digitale Relaisausgänge (z. B. Ventil ein/aus).
- Input Registers (16-Bit, Read-Only): Analoge Messwerte (z. B. Temperatur-Rohwert).
- Holding Registers (16-Bit, Read-Write): Konfigurationsparameter und analoge Sollwerte.
• Function Code (2 Pkt.): Function Code 03 (Read Holding Registers) bzw. Function Code 04 (Read Input Registers).

Zu 6.2 (10 Pkt.):
Musterlösung in Python:

import json

def process_telemetry(raw_values, threshold=85.0, window_size=5):
    alerts = []
    # 1. Skalierung
    temps = [val * 0.1 - 50.0 for val in raw_values]
    
    # 2. Moving Average & Alerting
    for i in range(len(temps)):
        # Fenster für gleitenden Mittelwert
        start_idx = max(0, i - window_size + 1)
        window = temps[start_idx : i + 1]
        moving_avg = sum(window) / len(window)
        
        # 3. Schwellenwertprüfung
        if moving_avg > threshold:
            payload = json.dumps({
                "alert": "OVERHEAT",
                "temp_celsius": round(moving_avg, 2),
                "raw_sample": temps[i],
                "severity": "CRITICAL"
            })
            alerts.append(payload)
            
    return alerts

(Bewertung: 3 Pkt. Skalierung/Formel, 4 Pkt. Moving Average Logik, 3 Pkt. Alerting & valides JSON).

Zu 6.3 (7 Pkt.):
• Hardware-Watchdog (3,5 Pkt.): Hardware-Timer, der vom Betriebssystemdienst (`watchdogd`) regelmäßig zurückgesetzt („getreten“) werden muss. Stürzt das OS ab oder hängt eine Software-Schleife, läuft der Hardware-Timer ab und löst einen harten Hardware-Reset des Gateways aus.
• A/B-Partitionskonzept (3,5 Pkt.): Der Flash-Speicher besitzt zwei identische Systempartitionen (Root-A und Root-B). Das laufende System bootet von Partition A. Updates werden im Hintergrund auf die inaktive Partition B geflasht. Nach erfolgreichem Schreiben schaltet der Bootloader auf Partition B um. Schlägt der Bootvorgang oder Healthcheck fehl, erfolgt ein automatischer Rollback auf Partition A.

Handlungsschritt 7: Network Access Control (IEEE 802.1X), RADIUS & PKI

25 Punkte

Zur Verhinderung von unbefugtem Anstecken fremder Laptops an Produktionsswitches wird portbasierte Zugriffskontrolle nach IEEE 802.1X mit dynamischer VLAN-Zuweisung und digitaler Zertifikatsauthentifizierung (EAP-TLS) eingeführt.

7.1 Die 3 Rollen der IEEE 802.1X Architektur (8 Punkte):

Benennen Sie die 3 Hauptkomponenten im 802.1X-Standard:
1. Supplicant (Client)
2. Authenticator (Switch / Access Point)
3. Authentication Server (RADIUS / AAA Server).
Erläutern Sie den Nachrichtenaustausch von EAPOL (EAP over LAN) bis zur RADIUS-Access-Accept Nachricht.

7.2 Authentifizierungsverfahren: EAP-TLS vs. MAB (8 Punkte):

a) Warum gilt EAP-TLS mit geräteeigenen X.509-Zertifikaten als sicherstes Verfahren?
b) Was versteht man unter MAC Authentication Bypass (MAB)? Für welche Geräteklassen wird MAB eingesetzt und welche Sicherheitsrisiken (MAC-Spoofing) müssen dabei beachtet werden?

7.3 Dynamische VLAN-Zuweisung & Quarantäne-VLAN (9 Punkte):

Erläutern Sie, wie der RADIUS-Server über RADIUS-Attribute (z. B. `Tunnel-Type`, `Tunnel-Medium-Type`, `Tunnel-Private-Group-ID`) den Switch anweist, ein authentifiziertes Gerät dynamisch in das passende VLAN (z. B. VLAN 100 Roboter, VLAN 200 Sensoren, VLAN 999 Gast/Quarantäne) einzuordnen.

Musterlösung & IHK-Kriterien (HS 7):

Zu 7.1 (8 Pkt.):
• 3 Rollen (3 Pkt.): Supplicant (Software auf Endgerät/Roboter), Authenticator (Managed Switch oder AP, hält den Port zunächst im blockierten Zustand), Authentication Server (RADIUS/FreeRADIUS/Cisco ISE).
• Ablauf (5 Pkt.):
1. Supplicant sendet EAPOL-Start an Switch-Port.
2. Switch antwortet mit EAP-Request Identity.
3. Supplicant liefert Identität (EAP-Response); Switch kapselt diese in ein RADIUS-Access-Request-Paket und sendet es an den RADIUS-Server.
4. RADIUS und Supplicant führen TLS-Handshake (EAP-TLS) durch.
5. Bei Erfolg sendet RADIUS ein Access-Accept an den Switch. Der Switch schaltet den Port frei (Authorized State).

Zu 7.2 (8 Pkt.):
• EAP-TLS (4 Pkt.): Bietet beidseitige kryptografische Authentifizierung (Mutual Authentication). Client verifiziert Server-Zertifikat und Server verifiziert Client-Zertifikat. Immun gegen Phishing und Man-in-the-Middle, da private Schlüssel (Private Keys) das Gerät (oder TPM-Chip) niemals verlassen.
• MAB (4 Pkt.): Fallback-Mechanismus für Altsysteme oder einfache IoT-Geräte (z. B. Netzwerkdrucker, alte Barcode-Scanner), die keinen 802.1X-Supplicant unterstützen. Der Switch liest die Quell-MAC-Adresse aus dem ersten Frame und sendet sie als Benutzername/Passwort an den RADIUS. Risiko: MAC-Adressen können von Angreifern trivial mitgelesen und gefälscht werden (MAC-Spoofing). Schutz nur durch Port-Security und 802.1X-Zwang für alle intelligenten Endgeräte.

Zu 7.3 (9 Pkt.):
• Funktionsweise (5 Pkt.): In der Access-Accept Antwort sendet der RADIUS standardisierte IETF-Attribute mit:
- Tunnel-Type = VLAN (13)
- Tunnel-Medium-Type = 802 (6)
- Tunnel-Private-Group-ID = "100" (VLAN-ID bzw. Name).
Der Switch konfiguriert den physischen Port dynamisch und weist ihn ohne Neustart dem VLAN 100 zu.
• Quarantäne-VLAN (4 Pkt.): Schlägt die Authentifizierung fehl oder entspricht das Gerät nicht den Sicherheitsrichtlinien (fehlende Zertifikate), wird es in ein isoliertes Quarantäne-VLAN (VLAN 999) geleitet. Dort besteht nur Zugriff auf einen Remediation-Server (z. B. für Zertifikatsausstellung via SCEP).

Handlungsschritt 8: Störungs- & Netzwerkanalyse: Wireshark PCAP & Fehlerbehebung

25 Punkte

In Produktionshalle 3 kommt es sporadisch zu Verbindungsaussetzern bei SPS-Steuerungen. Ein Mitschnitt (Packet Capture - PCAP) mit Wireshark zeigt folgende Phänomene: Tausende ARP-Broadcasts pro Sekunde, zyklische TCP Retransmissions und fehlerhafte 802.1Q-VLAN-Tags.

8.1 Analyse des Wireshark-Trace: Broadcast-Storm (9 Punkte):

Im Wireshark-Mitschnitt ist die Netzwerkauslastung sprunghaft auf 100 % gestiegen.
a) Was ist die physikalische bzw. topologische Ursache für einen Broadcast-Storm im Layer-2-Netzwerk?
b) Warum zirkulieren Broadcast-Frames (z. B. ARP Requests, Ziel-MAC `FF:FF:FF:FF:FF:FF`) im Gegensatz zu IP-Paketen ewig, solange keine Loop Protection aktiv ist (Fehlen des TTL-Feldes im Ethernet-Header)?
c) Welche beiden Switch-Sicherheitsfeatures (z. B. Spanning Tree Protocol - RSTP und Storm Control) verhindern diesen Zustand?

8.2 VLAN-Tagging-Fehler: Access Port vs. Trunk Port (8 Punkte):

Eine neue SPS kann das SCADA-System in VLAN 50 nicht erreichen. Der Switch-Port wurde versehentlich als Trunk Port (Tagged) konfiguriert.
a) Erläutern Sie den Unterschied zwischen einem Access Port (Untagged) und einem Trunk Port (Tagged nach IEEE 802.1Q).
b) Warum verwirft die Netzwerkkarte einer Standard-SPS Pakete, die mit einem 802.1Q-Header (TPID 0x8100) ankommen?

8.3 Duplex Mismatch & MTU-Fragmentierung (8 Punkte):

a) Was versteht man unter einem Duplex Mismatch (z. B. eine Seite fest auf Full Duplex, Gegenseite auf Half Duplex) und welche Fehlerbilder (Late Collisions, FCS Errors) treten im Netzwerk auf?
b) Ein Edge-Gateway überträgt Sensor-Videobilder über einen IPsec-VPN-Tunnel. Große Pakete gehen sporadisch verloren. Erläutern Sie das Problem der Maximum Transmission Unit (MTU) und Path MTU Discovery (PMTUD).

Musterlösung & IHK-Kriterien (HS 8):

Zu 8.1 (9 Pkt.):
• Ursache (3 Pkt.): Eine versehentlich gesteckte Schleife (Loop) zwischen Switches ohne aktives Spanning Tree Protocol. Switche fluten Broadcasts an alle Ports weiter, wodurch sich Pakete multiplizieren und im Kreis laufen.
• Fehlen von TTL (3 Pkt.): Auf Layer 3 (IP) besitzt jedes Paket ein Time to Live (TTL) Feld, das an jedem Router dekrementiert wird (Paket wird bei TTL=0 verworfen). Der Ethernet-Header (Layer 2) besitzt kein TTL-Feld. Ein zirkulierender L2-Frame stirbt niemals von selbst, bis die Bandbreite kollabiert und die Switch-CPU überlastet ist (MAC Table Flapping).
• Schutzmaßnahmen (3 Pkt.):
- Rapid Spanning Tree Protocol (RSTP / 802.1w): Erkennt redundante Pfade und blockiert gezielt Ports, um Schleifen zu verhindern. Konvergenzzeit < 1 Sekunde.
- Storm Control: Switch-Feature, das den prozentualen Broadcast-Traffic pro Port limitiert und bei Überschreiten den Port drosselt oder temporär deaktiviert (Err-Disable).

Zu 8.2 (8 Pkt.):
• Access vs. Trunk (4 Pkt.): Ein Access Port gehört zu genau einem VLAN und überträgt nur Standard-Ethernet-Frames (ohne 802.1Q-Tag). Ein Trunk Port überträgt Frames mehrerer VLANs und fügt einen 4-Byte-VLAN-Tag in den Ethernet-Header ein (VLAN-ID 1-4094).
• Verwerfen durch SPS (4 Pkt.): Standard-Endgeräte/SPS-Controller erwarten am Eingang Standard-Ethernet-Frames (EtherType 0x0800 für IPv4). Erscheint an dieser Stelle das 802.1Q-Tag (TPID 0x8100), interpretiert der Protokollstapel der SPS das Paket als fehlerhaftes/unbekanntes Format oder Überlänge und droppt den Frame stillschweigend. Korrektur: Switch-Port auf Access VLAN 50 umkonfigurieren.

Zu 8.3 (8 Pkt.):
• Duplex Mismatch (4 Pkt.): Full-Duplex-Seite sendet und empfängt gleichzeitig und ignoriert Kollisionen. Half-Duplex-Seite lauscht (CSMA/CD) und registriert Kollisionen (Late Collisions), wenn die Gegenseite sendet. Folge: Massiver Durchsatzeinbruch, zyklische Frame Check Sequence (FCS) Errors, TCP-Retransmissions.
• MTU / IPsec (4 Pkt.): Standard-Ethernet-MTU beträgt 1.500 Byte. Ein IPsec-Tunnel fügt zusätzliche Header (ESP, IV, Padding, HMAC) hinzu (ca. 50-70 Byte Overhead). Ein 1.500-Byte-Paket wird dadurch > 1.550 Byte groß und muss fragmentiert werden. Wenn die IP-Don't-Fragment-Flag (DF-Bit) gesetzt ist und ICMP-Typ-3-Meldungen („Fragmentation Needed“) von Firewalls geblockt werden, entsteht ein Black Hole (PMTUD Black Hole). Lösung: MSS Clamping (MSS auf 1.360-1.400 Byte begrenzen).

Handlungsschritt 9: Arbeitsschutz & DGUV bei Mensch-Roboter-Kollaboration

25 Punkte

In der Montage arbeiten Werker hand in hand mit kollaborativen Leichtbaurobotern (Cobots). Zur Vermeidung von Arbeitsunfällen müssen die Sicherheitsvorschriften nach Maschinenrichtlinie und DGUV umgesetzt werden.

9.1 Sicherheitskonzepte für Cobots nach ISO/TS 15066 (9 Punkte):

Erläutern Sie die 4 grundlegenden Methoden für kollaborative Roboteranwendungen:
1. Sicherheitsgerichteter überwachter Halt
2. Handführung (Hand Guiding)
3. Geschwindigkeits- und Abstandsüberwachung (Safety-Laserscanner)
4. Leistungs- und Kraftbegrenzung (Kraft-Momenten-Sensoren).

9.2 Not-Halt vs. Not-Aus & STOP-Kategorien nach DIN EN 60204-1 (8 Punkte):

a) Unterscheiden Sie Not-Halt (Stillsetzen im Notfall) von Not-Aus (Ausschalten im Notfall zur Abwendung elektrischer Gefahren).
b) Erläutern Sie die STOP-Kategorien 0, 1 und 2 nach DIN EN 60204-1.

9.3 CE-Kennzeichnung & Gefährdungsbeurteilung (8 Punkte):

AeroTech kombiniert Roboter, Greifer und Schutzgitter zu einer neuen Gesamtanlage.
a) Warum führt der Zusammenbau verschiedener CE-zertifizierter Maschinen zu einer „wesentlichen Veränderung“ und erfordert ein neues Konformitätsbewertungsverfahren?
b) Welche Schritte umfasst die Gefährdungsbeurteilung nach § 5 ArbSchG?

Musterlösung & IHK-Kriterien (HS 9):

Zu 9.1 (9 Pkt. – je 2,25 Pkt.):
1. Sicherheitsgerichteter überwachter Halt: Roboter stoppt sofort, sobald der Werker den gemeinsamen Arbeitsbereich betritt; Antriebe bleiben bestromt, Bewegung wird blockiert.
2. Handführung: Werker führt den Roboter direkt über einen Zustimmtaster am Endeffektor; Bewegung erfolgt nur mit reduzierter Geschwindigkeit.
3. Geschwindigkeits- und Abstandsüberwachung: Optische Sensoren (3D-Kameras / Laserscanner) messen den Abstand. Nähert sich der Werker, drosselt der Roboter; bei Mindestabstand stoppt er.
4. Leistungs- und Kraftbegrenzung: Roboterachsen besitzen Kraftsensoren. Berührt der Roboter einen Menschen, schaltet er sofort ab, bevor biomechanische Grenzwerte (Schmerzschwellen nach ISO/TS 15066) überschritten werden.

Zu 9.2 (8 Pkt.):
• Not-Halt vs. Not-Aus (3 Pkt.): Not-Halt dient dem schnellen Stillsetzen gefahrbringender Bewegungen (Mechanik). Not-Aus dient dem sofortigen Freischalten der elektrischen Energie (z. B. bei Brandgefahr, elektrischem Schlag).
• Stop-Kategorien (5 Pkt.):
- Stop 0: Ungesteuertes Stillsetzen durch sofortiges Trennen der Energiezufuhr zu den Maschinenantrieben (z. B. Schütz fällt ab, mechanische Bremse). (1,5 Pkt.)
- Stop 1: Gesteuertes Stillsetzen, bei dem die Energie erhalten bleibt, um den Antrieb aktiv abzubremsen; erst im Stillstand wird die Energie getrennt (Safe Stop 1 - SS1). (2 Pkt.)
- Stop 2: Gesteuertes Stillsetzen, bei dem die Energiezufuhr zu den Antrieben aufrechterhalten bleibt (Safe Operating Stop - SOS); Antriebe halten aktiv die Position. (1,5 Pkt.)

Zu 9.3 (8 Pkt.):
• Wesentliche Veränderung (4 Pkt.): Werden mehrere Einzelmaschinen zu einer funktionellen Gesamtheit verknüpft oder neu programmiert, entsteht eine neue Gesamtanlage. Wenn dadurch neue Gefährdungen auftreten, wird das Unternehmen rechtlich zum „Hersteller“ und muss eine neue CE-Konformitätserklärung abgeben.
• Gefährdungsbeurteilung (§ 5 ArbSchG) (4 Pkt.): 1. Ermitteln der Gefährdungen → 2. Beurteilen der Risiken → 3. Festlegen konkreter Schutzmaßnahmen (STOP-Prinzip) → 4. Durchführen der Maßnahmen → 5. Überprüfen der Wirksamkeit → 6. Dokumentation und Fortschreibung.

Handlungsschritt 10: Betriebsverfassungsrecht & Überwachungstechnik (§ 87 BetrVG)

25 Punkte

Zur Optimierung der Hallenlogistik sollen FTS und Roboter kontinuierlich Standort- und Leistungsdaten erfassen. Über RFID-Tags an der Arbeitskleidung kann theoretisch ermittelt werden, welcher Werker welche Maschine bedient.

10.1 Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG (9 Punkte):

a) Warum ist die Erfassung von Telemetriedaten mit Personenbezug zwingend mitbestimmungspflichtig?
b) Gilt das Mitbestimmungsrecht auch dann, wenn die Geschäftsleitung versichert, die Daten niemals zur Leistungsbeurteilung zu nutzen?
c) Welche Regelungen gehören zwingend in die entsprechende Betriebsvereinbarung (Zweckbindung, Löschfristen, Zugriffsrechte)?

10.2 Datenschutzrechtliche Anforderungen (Art. 5 DSGVO / § 26 BDSG) (8 Punkte):

a) Welche Anforderungen stellt § 26 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) an die Erforderlichkeit der Datenerhebung?
b) Erläutern Sie die Grundsätze der Zweckbindung und der Datenminimierung (Art. 5 DSGVO) am Beispiel der FTS-Standorterfassung.

10.3 Die Einigungsstelle im Betriebsverfassungsrecht (8 Punkte):

Der Betriebsrat verweigert die Zustimmung zur Einführung des Trackingsystems.
a) Welche Aufgabe hat die Einigungsstelle nach § 76 BetrVG?
b) Wie setzt sich die Einigungsstelle zusammen und wer trägt die Kosten des Verfahrens?

Musterlösung & IHK-Kriterien (HS 10):

Zu 10.1 (9 Pkt.):
• Mitbestimmung (3 Pkt.): Nach ständiger Rechtsprechung des Bundesarbeitsgerichts (BAG) greift § 87 Abs. 1 Nr. 6 BetrVG bereits dann, wenn eine technische Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsdaten der Beschäftigten zu erfassen. Die subjektive Absicht des Arbeitgebers ist irrelevant.
• Keine Ausrede durch Absicht (3 Pkt.): Ja, das Mitbestimmungsrecht bleibt in vollem Umfang bestehen. Bloße Zusicherungen heben das gesetzliche Mitbestimmungsrecht nicht auf.
• Inhalt Betriebsvereinbarung (3 Pkt.): Konkrete Zweckbestimmung (nur zur Kollisionsvermeidung/Navigation der FTS), Verbot der Leistungs- und Verhaltenskontrolle, Anonymisierung/Pseudonymisierung von Mitarbeiter-IDs, Festlegung strenger Berechtigungen, automatisierte Löschung nach max. 24 Stunden.

Zu 10.2 (8 Pkt.):
• § 26 BDSG (4 Pkt.): Beschäftigtendaten dürfen nur verarbeitet werden, wenn dies für die Entscheidung über die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses zwingend erforderlich ist. Reine Bequemlichkeit oder anlasslose Vorratsüberwachung ist unzulässig.
• Zweckbindung & Datenminimierung (4 Pkt.): Daten dürfen ausschließlich für den Betrieb der FTS genutzt werden (keine Weiterleitung an HR). Datenminimierung: FTS müssen nur feststellen, dass sich ein Hindernis/Mensch im Fahrweg befindet, nicht wer es ist (Verzicht auf personenbezogenes RFID-Tracking).

Zu 10.3 (8 Pkt.):
• Aufgabe (4 Pkt.): Innerbetriebliche Schlichtungsstelle bei Meinungsverschiedenheiten in mitbestimmungspflichtigen Angelegenheiten. Der Spruch der Einigungsstelle ersetzt die Einigung zwischen den Parteien und ist rechtsverbindlich.
• Zusammensetzung & Kosten (4 Pkt.): Gleiche Anzahl von Beisitzern, die vom Arbeitgeber und Betriebsrat bestellt werden, sowie ein unparteiischer Vorsitzender (i. d. R. Arbeitsrichter). Die gesamten Kosten der Einigungsstelle (Honorare, Räume, Gutachter) trägt nach § 76a BetrVG der Arbeitgeber.

Handlungsschritt 11: IT-Sicherheitsgesetz 2.0, NIS-2-Richtlinie & BSI

25 Punkte

AeroTech beliefert als systemrelevanter Zulieferer die zivile Luftfahrt und Großflughäfen. Durch die europäische NIS-2-Richtlinie und das deutsche NIS2UmsuCG wird das Unternehmen als „wichtige bzw. besonders wichtige Einrichtung“ eingestuft.

11.1 Die NIS-2-Richtlinie & Pflichten für Unternehmen (9 Punkte):

a) Welche Zielsetzung verfolgt die NIS-2-Richtlinie der EU im Vergleich zur alten NIS-1-Richtlinie?
b) Nennen Sie 4 verbindliche Risikomanagement-Maßnahmen, die betroffene Einrichtungen nach NIS-2 umsetzen müssen (z. B. MFA, Incident Handling, Supply-Chain-Security, Notfallpläne).
c) Welche persönliche Haftung droht Geschäftsführern bei schuldhafter Missachtung von Cybersicherheitsmaßnahmen nach NIS-2?

11.2 Gesetzliche Meldepflichten bei Cyber-Vorfällen beim BSI (8 Punkte):

Bei einem schweren Sicherheitsvorfall (z. B. Ransomware-Befall im MES) greift das mehrstufige Meldeverfahren an das Bundesamt für Sicherheit in der Informationstechnik (BSI):
• Erstmeldung (Frühwarnung): Innerhalb welcher Frist?
• Meldung des Vorfalls (Update): Innerhalb welcher Frist?
• Abschlussbericht: Innerhalb welcher Frist?

11.3 Supply Chain Security & Software Bill of Materials (SBOM) (8 Punkte):

a) Warum legt NIS-2 besonderen Fokus auf die Sicherheit der Lieferkette (Supply Chain)?
b) Was versteht man unter einer Software Bill of Materials (SBOM) und wie hilft sie bei der schnellen Erkennung von Zero-Day-Schwachstellen (z. B. Log4j) in vernetzten Maschinenkomponenten?

Musterlösung & IHK-Kriterien (HS 11):

Zu 11.1 (9 Pkt.):
• Ziele NIS-2 (3 Pkt.): Vereinheitlichung und massive Verschärfung des Cybersicherheitsniveaus in der gesamten EU; Erweiterung des Anwendungsbereichs auf mittelgroße und große Unternehmen in 18 kritischen Sektoren (inkl. verarbeitendes Gewerbe, Raumfahrt, IT-Dienste).
• 4 Pflichtmaßnahmen (4 Pkt. – je 1 Pkt.):
1. Konzepte für Risikoanalyse und Sicherheit für Informationssysteme.
2. Bewältigung von Sicherheitsvorfällen (Incident Handling) und Business Continuity (Backup, Krisenmanagement).
3. Sicherheit in der Lieferkette (Sicherheitsüberprüfung von Zulieferern und Dienstleistern).
4. Einsatz von Multi-Faktor-Authentifizierung (MFA) und verschlüsselter Kommunikation.
• Geschäftsführerhaftung (2 Pkt.): Die Leitungsorgane sind verpflichtet, Cybersicherheitsmaßnahmen zu genehmigen und deren Umsetzung zu überwachen. Sie haften bei Pflichtverletzungen persönlich mit ihrem Privatvermögen für Schäden, die dem Unternehmen durch die Nichteinhaltung entstehen (Ausschluss von Haftungsfreizeichnungen).

Zu 11.2 (8 Pkt.):
• Das 3-stufige BSI-Meldeschema nach NIS-2 (8 Pkt.):
1. Frühwarnung: Unverzüglich, spätestens binnen 24 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls (Angabe, ob Vorfall auf rechtswidrige Handlungen zurückzuführen ist). (3 Pkt.)
2. Meldung des Vorfalls: Binnen 72 Stunden mit vorläufiger Bewertung des Schweregrads, der Auswirkungen und Kompromittierungsindikatoren (IoCs). (3 Pkt.)
3. Abschlussbericht: Spätestens 1 Monat nach Vorlage der Vorfallsmeldung mit detaillierter Beschreibung des Vorfalls, der Ursachenursache (Root Cause), eingeleiteten Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen. (2 Pkt.)

Zu 11.3 (8 Pkt.):
• Supply Chain Security (4 Pkt.): Angreifer nutzen oft schwächer geschützte Zulieferer oder Open-Source-Bibliotheken als Einfallstor (Supply-Chain-Attack), um über Software-Updates oder Remote-Zugänge in Großkonzerne einzudringen.
• SBOM (4 Pkt.): Eine Software-Stückliste (Software Bill of Materials) ist ein maschinenlesbares Verzeichnis (z. B. in SPDX- oder CycloneDX-Format) aller in einer Firmware/Software enthaltenen Komponenten, Open-Source-Bibliotheken und Abhängigkeiten. Wird eine Schwachstelle (z. B. Log4Shell / OpenSSL) bekannt, kann in Sekunden automatisiert geprüft werden, welche Maschinen im Werk betroffen sind.

Handlungsschritt 12: Volkswirtschaft: Konjunktur, Zinsen & Strukturwandel

25 Punkte

Strukturwandel durch Automatisierung, Demografie und Zinsänderungen fordern die Industrie. Sie analysieren die volkswirtschaftlichen Rahmenbedingungen für Hightech-Unternehmen.

12.1 Konjunkturpolitik: Fiskalpolitik vs. Geldpolitik (9 Punkte):

a) Unterscheiden Sie Fiskalpolitik (Staat / Finanzministerium) und Geldpolitik (EZB / Zentralbank).
b) Was versteht man unter antizyklischer Fiskalpolitik (Keynesianismus)? Nennen Sie je eine Maßnahme im Konjunkturtief (Expansiv) und im Boom (Restriktiv).

12.2 Arten der Arbeitslosigkeit & Fachkräftemangel (8 Punkte):

Definieren Sie folgende 4 Arten von Arbeitslosigkeit und erläutern Sie, welche Form durch die Automatisierung und Digitalisierung (Industrie 4.0) entsteht:
1. Friktionelle Arbeitslosigkeit (Sucharbeitslosigkeit)
2. Saisonale Arbeitslosigkeit
3. Konjunkturelle Arbeitslosigkeit
4. Strukturelle Arbeitslosigkeit.

12.3 Das Bruttoinlandsprodukt (BIP) als Wohlstandsindikator (8 Punkte):

a) Unterscheiden Sie das nominale vom realen BIP.
b) Nennen Sie 3 wesentliche Kritikpunkte am BIP als alleinigem Wohlstandsindikator einer Volkswirtschaft.

Musterlösung & IHK-Kriterien (HS 12):

Zu 12.1 (9 Pkt.):
• Unterscheidung (3 Pkt.): Fiskalpolitik steuert Einnahmen (Steuern) und Ausgaben (Investitionen, Subventionen) des Staates. Geldpolitik steuert die Geldmenge, Leitzinsen und Bankenrefinanzierung durch die unabhängige Zentralbank (EZB).
• Antizyklische Fiskalpolitik (6 Pkt.): Der Staat agiert entgegen dem Konjunkturtrend, um Schwankungen abzufedern.
- Im Tief (Rezession / expansiv): Steuersenkungen, staatliche Konjunkturprogramme (z. B. Digitalisierungsprämien, Brückenbau), Erhöhung der Staatsausgaben auch über Schuldenaufnahme (Deficit Spending). (3 Pkt.)
- Im Boom (Hochkonjunktur / restriktiv): Ausgabenkürzungen, Streichung von Subventionen, Steuererhöhungen, Bildung von Konjunkturausgleichsrücklagen zur Schuldentilgung. (3 Pkt.)

Zu 12.2 (8 Pkt. – je 2 Pkt.):
1. Friktionell: Kurzfristige Übergangsarbeitslosigkeit beim Arbeitsplatzwechsel (meist wenige Wochen).
2. Saisonal: Witterungs- oder jahreszeitlich bedingte Ausfälle (z. B. Baugewerbe im Winter, Tourismus).
3. Konjunkturell: Durch gesamtwirtschaftlichen Nachfragerückgang im Abschwung bedingt (trifft alle Branchen).
4. Strukturell: Entsteht durch grundlegenden Strukturwandel, Technologiewandel (Automatisierung, KI, Robotik) oder regionale Verschiebungen. Qualifikationen der Arbeitslosen passen nicht mehr zu den gesuchten Profilen (Mismatch). Industrie 4.0 verstärkt die strukturelle Arbeitslosigkeit (weniger ungelernte Werker, mehr Bedarf an vernetzten IT-Spezialisten).

Zu 12.3 (8 Pkt.):
• Nominal vs. Real (3 Pkt.): Das nominale BIP bewertet die Summe aller produzierten Güter und Dienstleistungen zu aktuellen Marktpreisen. Das reale BIP rechnet die Preissteigerungen (Inflation) heraus (preisbereinigt auf Basis eines Basisjahres) und spiegelt das tatsächliche Mengenwachstum wider.
• Kritikpunkte am BIP (5 Pkt. – je 1,67 Pkt.):
1. Erfasst keine unbezahlte Arbeit (ehrenamtliche Tätigkeiten, Kindererziehung, Pflege von Angehörigen, Open-Source-Beiträge).
2. Reparaturcharakter: Zerstörungen (Naturkatastrophen, Autounfälle) erhöhen das BIP durch anschließende Reparatur- und Bauaufträge, mindern aber den realen Wohlstand.
3. Ignoriert Ressourcenverbrauch und Umweltschäden (Ausbeutung natürlicher Ressourcen wird als Plus verbucht).
4. Sagt nichts über die Einkommens- und Vermögensverteilung in der Bevölkerung aus (Gini-Koeffizient).