Wie gestalten wir den digitalen Wandel auf eine sichere Weise?

0:00 Hallo und herzlich willkommen zur 19. Folge vom Podcast Wege der Digitalisierung. Heute spreche ich mit Herrn Theike. Herr Theike ist Geschäftsführer des Industriebereichs des TÜV Nord. An das Interview bin ich gekommen, weil ich einen Kollegen von ihm auf der Konferenz Smarter Mittelstand in Hannover kennengelernt habe und da gelernt habe, dass der TÜV maßgeblich an der Digitalisierung mitwirkt und selber auch große spannende Herausforderungen vor sich hat. Darüber werden wir heute reden. Herr Theike, ganz vielen Dank für die Zeit, die Sie sich nehmen. Gerne. Und stellen Sie sich doch mal kurz vor und auf geht's.

0:39 Ja, gerne, Herr Löwe. Mein Name ist Ulf Theike. Ich bin von Hause aus Diplom Volkswirt. Meine heutige Position im Unternehmen ist Geschäftsführer für den Industriebereich weltweit. Wir haben rund 6.000 Mitarbeiter im Industriebereich. Der Konzern insgesamt hat 14.000 Mitarbeiter mit 1,2 Milliarden Euro Umsatz. Ich selber bin für das ganze Thema Digitalisierung der TÜV Nord im Innern wie auch im Außenverhältnis verantwortlich und meine Hauptfragestellung, die ich mir stelle, ist, was macht die Digitalisierung mit unseren Geschäftsmodellen und Produkten?

1:12 Ja, ich glaube, das ist eine Frage, mit der sich viele Menschen heute umtreiben. Ich habe schon ein paar Sachen vorab gelernt, die ich sehr spannend finde. Vielleicht erzählen Sie ganz kurz in ein paar Worten, was macht der Industriebereich alles? Ich denke, viele Leute kennen den TÜV nur dadurch, dass sie ein Auto haben. Ich habe ja nun viele Jahre Steuergeräte entwickelt. Ich habe mit dem TÜV auch immer zusammengearbeitet, wenn es an Zertifizierungsaufgaben ging. Aber da gibt es sicherlich noch mehr, was Sie so tun.

1:41 Ich erkläre unseren Geschäftsbereich Industrie immer relativ einfach. Ich sage, wir machen von der Paprikaschote, vom Lebensmittel bis zum Kraftwerk eigentlich alles das, was rund um technische Sicherheit von Anlagen und Produkten geht. Das heißt, wir haben drei Hauptgeschäftsmodelle. Das eine Geschäftsmodell ist das Anschauen und Zertifizieren und Prüfen von Prozessen. Das andere ist das Prüfen von Produkten und das andere ist Anlagen im Betrieb überprüfen. Immer vor dem Hintergrund, dass wir Risiken minimieren und technische Sicherheit herstellen. Und das machen wir bei Druckbehältern, bei Aufzügen, bei Lebensmitteln, Medizinprodukten, Spielzeugen und so weiter und so weiter.

2:20 Ich denke, das können sich die Leute zuhören wahrscheinlich vorstellen, weil man ja zumindest das TÜV-Siegel kennt. Also ich denke, das hat jeder eigentlich auf den meisten Produkten schon mal irgendwo gesehen, dass man das darüber kennt. Genau, und jedes Mal, wenn dieses Siegel irgendwo draufgedruckt werden darf, dann hat einer oder mehrere von Ihren Leuten da einen ordentlichen Blick drauf geworfen.

2:40 Das ist richtig, das ist bei uns die klassische Produktzertifizierung, die sehr häufig natürlich in den Baumärkten gesehen wird, wenn wir Konsumgüter geprüft haben. Aber wir machen das natürlich auch viel im industriellen Umfeld, in Chemieparks, technischen Anlagen und Kraftwerk. Dort, sag ich mal, sind wir sehr bekannt bei den Unternehmen, wo wir hier als Partner eben die technische Sicherheit herstellen.

3:02 Genau, in dem Kontext habe ich auch schon oft zusammengearbeitet. Genau, dann würde ich sagen, kommen wir doch direkt auf die Frage, was bedeutet denn Digitalisierung für Sie? Jetzt wird ja alles irgendwie smart. Was bedeutet das für Sie?

3:21 Für uns ist das natürlich eine große Herausforderung, weil die Digitalisierung eine sehr, sehr starke Geschwindigkeit hat und damit der Veränderungsprozess sehr abrupt auf uns zukommt. Warum Veränderungsprozess? Im Englischen unterscheidet man den Begriff Security und Safety. Und wir haben uns in der Vergangenheit sehr stark um den Safety-relevanten Teil der Sicherheit gekümmert. Mechanische Sicherheit, elektrische Sicherheit, klinische Studien, chemische Analysen. Und jetzt kommt halt die Konnektivität der Part IT-Sicherheit im Englischen Security dazu. Und das bedeutet, dass wir ein neues Arbeitsgebiet bekommen, was über alle Anlagen und Produkte sich erstreckt. Weil sowohl Herzschrittmacher werden smart, wie auch Kraftwerke werden smart.

4:11 Und das heißt, wir müssen heute in all unseren Arbeitsgebieten das Thema IT-Sicherheit implementieren und das mit einem sehr, sehr schnellen Tempo des technologischen Fortschritts, den wir standhalten müssen.

4:26 Jetzt kann ich mir vorstellen, dass das im Prinzip eine ganze Reihe Implikationen hat. Das eine ist, sie müssen die Kompetenz aufbauen, diese Bewertung auch für die Security-Produkte machen zu können. Andererseits kann ich mir auch vorstellen, zumindest aus meiner Erfahrung sehe ich das, dass viele Leute heute Produkte entwickeln, bei denen man eigentlich mit Security und Datenschutzaspekten genauer hingucken müsste, was aber gar nicht passiert oder zumindest nicht hinreichend passiert. Und dann, zumindest hatte mir das Ihr Kollege auf der Konferenz erzählt, bedrohen ja einige dieser smarten Produkte auch einige ihrer klassischen Geschäftsmodelle. wenn jetzt so ein Druckbehälter auf einmal smart genug ist, selbst zu sagen, wann er nicht mehr einsatzfähig ist.

5:18 Momentan ist es alles noch durch den Gesetzgeber geregelt, aber möglicherweise kommt da ja auch eine Situation auf einen zu, dass diese regelmäßige Prüfung gar nicht mehr in der Frequenz Not tut.

5:30 Ja, jetzt haben Sie sehr viele Aspekte auf einmal angesprochen. Ich probiere sie mal langsam auseinanderzunehmen. Das Hauptproblem ist, wenn wir prüfen und zertifizieren, brauchen wir eine Prüfgrundlage, an die wir uns halten. Diese Prüfgrundlage stellt Sicherheit, sage ich mal, sowohl für die Unternehmen wie auch für die Verbraucher als auch für uns dar. Im Bereich, wir nennen das Security for Safety, fehlen diese Prüfgrundlagen häufig heute. Und das heißt, das Thema Security ist derzeit nicht ausreichend standardisiert. Und damit, sage ich mal, ist es oft sehr schwer zu sagen nach dem Motto, was ist denn das richtige Sicherheitsniveau für welches Produkt? Also ein Beispiel ist mit Sicherheit richtig, dass ein Teddybär und ein Herzschrittmacher ein unterschiedliches IT-Security-Level brauchen.

6:17 Bei dem einen Produkt können Menschen unter Umständen getötet werden, bei dem anderen ist maximal der Verlust von Daten möglich. Und insofern ist eines unserer Hauptprobleme, mit dem wir es zu tun haben derzeit, dass die Normung und Standardisierung dem technischen Fortschritt der Digitalisierung nicht standgehalten hat. Das ist, sage ich mal, das eine Thema. Das andere Thema, was Sie angesprochen haben, ist, wir haben natürlich bei unseren 14.000 Mitarbeitern sehr, sehr viele Mitarbeiter, die sich mit Mechanik, Elektrifizierung, funktionaler Sicherheit auskennen. Jetzt kommt aber flächendeckend das Thema IT-Security dazu. Und wir müssen natürlich unsere bestehenden Mitarbeiter im Bereich der IT-Security weiterqualifizieren.

7:00 Und gleichzeitig müssen wir neue Mitarbeiter finden, die uns Kompetenzen ins Unternehmen reinbringen. Und den dritten Aspekt, den Sie angesprochen haben, sind unsere Geschäftsmodelle gefährdet. Ja, natürlich ist es so, wenn unsere Menschen, unsere Mitarbeiter heute vor Ort gehen und dort Zustände von Anlagen betrachten und in Zukunft die Anlagen zum Beispiel einen Aufzug, seinen Zustand selbst beurteilt, weil er Sensorik verbaut hat, dann muss man sich fragen, ob es noch sinnvoll ist, vor Ort zu gehen oder so lange vor Ort zu gehen, weil gewisse Zustände des Aufzugs unter Umständen auch remote, sprich online, überwacht werden können. Und genau das verändert ja auch unser Geschäftsmodell und macht unsere Aufgabe so spannend.

7:48 Ja, und wenn man sich dann überlegt, wie groß Ihr Unternehmen ist und was für eine verantwortungsvolle Rolle Sie da einnehmen in der Gesamtwirtschaft, dann ist das eine beeindruckende Verantwortung, die Sie da tragen. Also, ja, Respekt.

8:06 Ja, wir tragen diese Verantwortung aber nicht nur alleine, sondern der Grundsatz in der Europäischen Union ist der sogenannten Herstellerverantwortung. Das heißt, erstmal bleibt der Hersteller für alles das, was er in den Verkehr bringt und produziert, verantwortlich. Nur ein sehr geringer Anteil von Produkten wird, sag ich mal, durch den TÜV geprüft. Und eine der Hauptfragestellungen, die auf die Gesellschaft und auf die Politik zukommt, ist, ob dieses System im Zeitalter für Security for Safety ausreichend ist. sondern Toaster und Hafen, die in der Vergangenheit relativ geringe Risiken erzeugt haben, können jetzt Teil von internationalen Botnetzen werden, können Webseiten lahmlegen und können damit sehr hohe Gefahrenpotenziale auslösen.

8:51 Und insofern wird man den Begriff des Risikos und der Risikobeurteilung vor dem Aspekt der Digitalisierung für viele Produktgruppen neu beurteilen müssen. Und das spielt dann wieder rein in die fehlende Standardisierung und Normung. Und insofern kommt auf unsere Verbraucherschutzpolitiker in Deutschland eine große Aufgabe zu, nämlich sicherzustellen, dass im Zeitalter der Digitalisierung Verbraucherschutz nach wie vor, in Deutschland und in Europa gewährleistet ist.

9:22 Sehen Sie die Dinge da auf dem richtigen Weg? Ich habe mich speziell mit Datenschutz viel auseinandergesetzt, weil wir ja genau solche Produkte entwickeln für unsere Kunden. Und ich sehe auch, die rechtlichen Grundlagen sind dünn. Und das ist ja auch immer ein Kostenfaktor. Und wenn man den Leuten nicht vor Augen führt, was sind denn die Konsequenzen, wenn man das Ganze nicht sinnvoll macht? Also erst mal zahlt man ja nicht gerne Geld für irgendwas, wo man den Nutzen nicht sieht. Ist die Politik da auf dem richtigen Weg?

9:53 Also die Politik, man muss ja gemeinsam mit den Normungs und Industrieverbänden zusammenarbeiten. Und wenn man das insgesamt beurteilt, sind die zwei, drei Jahre zu spät. Also eigentlich müssten für viele Dinge Normen und Standards bereits heute existieren. Es gibt aber auch positive Dinge. Wenn man sich zum Beispiel das Medizinproduktegesetz anguckt in Europa und in Deutschland, dann ist dort Software als ein Medizinprodukt definiert. Das heißt, Software alleinig kann ein Medizinprodukt sein und muss insofern überprüft werden. Man sieht also, dass in den Normen und Regularien erste Ansätze da sind, die im Sinne des Verbraucherschutzes in die richtige Richtung gehen. Aber es gibt noch sehr viele Regularien, wo das ganze Thema Software als sicherheitskritischer Bauteil komplett fehlt.

10:42 Und damit, sage ich mal, keine kritische Betrachtung des Themas IT Security durch die Normen unterstützt wird. Und insofern, ja, es gibt gute Ansätze, aber aus meiner persönlichen Sicht, sage ich mal, drängt die Zeit. Und hier müsste die Politik und auch die Industrieverbände Rahmenbedingungen setzen, die das Thema Verbraucherschutz deutlich beschleunigt.

11:06 Und wenn wir jetzt davon ausgehen, dass hier Leute zuhören, die vielleicht selber Produktverantwortung haben oder darüber nachdenken, Produkte zu entwickeln, was würden Sie denen raten? Also wenn man sich auf die Normung nicht verlassen kann gerade?

11:21 So wie viele Themen, die durch einen Hype, durch technologische Entwicklung geprägt sind, neigt man dazu, so erstmal unbedarft mit dem ganzen Thema Digitalisierung umzugehen. Wie ich vorher schon gesagt habe, bleibt der Hersteller für das, was er tut, vollumfänglich verantwortlich. Das bedeutet aber, wenn ich keine Normgrundlage habe, muss man sich die Frage stellen, für was bin ich denn eigentlich verantwortlich? Und unter Umständen kreiere ich heute Produkte und dann kommt später der Standard und ich stelle fest, dass ich Produkte kreiert habe, für die ich verantwortlich bin, die außerhalb des Standards sind. Und das heißt, dann hafte ich für diese Produkte alleinig und vollumfänglich. Und insofern sage ich mal, es ist sehr, sehr wichtig, ich nenne das immer eine vollumfängliche Risikoanalyse zu machen, nämlich was sind die Chancen eines smarten Produktes, Welche Vorteile erzeuge ich für mich als Produzent und für meine Kunden und wird dieser Vorteil ausreichend bezahlt?

12:24 Also was sind meine Mehreinnahmen, die ich generiere, Mehrwert? Und auf der anderen Seite, welche Risiken handele ich mir ein, dadurch, dass ich smarte Produkte habe? Und das muss ich in Abwägung stellen und dann bin ich im Herzen meines Denkstern doch Kaufmann und sage, Am Ende des Tages sind wir in der Ökonomie und müssen Geld verdienen. Und ich kann nur dazu raten, eine vollumfängliche Risikoanalyse zu machen, bevor man unbedarft Produkte in den Markt reinwinkt, die gerade hip sind und smart sind. Und die unter Umständen zukünftig Datenschutzrechte verletzen, die unter Umständen technische Risiken erzeugen, dadurch, dass Anlagen zerstört werden können, mit den Produkten andere Webseiten angegriffen werden können und dritten Schaden zufügen, für den ich dann haftend bin. Von Imageschäden ganz abgesehen.

13:16 Und insofern, wenn ich Produktentwickler bin, würde ich mir eine sehr, sehr klare rechtliche Blick auf das nehmen, was ich tue, eine Smart-Analysen, und auch einen ökonomischen Blick nehmen plus den technischen Blick nehmen. Und alle drei Perspektiven bringen mich dann in die Situation rein, eine geeignete Entscheidung zu treffen, ob es für das Unternehmen ein Vorteil ist, smarte Produkte zu bringen oder nicht.

13:42 Jetzt kann ich mir vorstellen, dass es im Prinzip zwei Parteien gibt, die diese Risikoanalyse machen sollten. Sie hatten eben im Vorgespräch über dieses Beispiel mit so einer smarten Drehtür erzählt. Die eine Partei ist ja der Hersteller einer smarten Drehtür, die irgendwie, was auch immer, so eine smarte Drehtür für coole Funktionen hat, aber die irgendwie Daten erzeugt, irgendwie Daten nach außen liefert. Aber ich baue sowas, ich kann das Ganze irgendwie zertifizieren, möglicherweise. Ich kann mir für mein Geschäft diese Risikoanalyse machen. Die andere Partei ist jemand, der ein großes Gebäude besitzt, betreibt und dann statt einer klassischen dummen Drehtür eine smarte Drehtür einbaut. Und vielleicht können Sie das nochmal erzählen, was Sie im Vorgespräch gesagt hatten.

14:28 Daraus folgen ja Dinge, die vielen Leuten gar nicht bewusst sind. Vielleicht fallen diese Risikoanalysen aber anders aus. Vielleicht ist es für mich als Produkthersteller eine gute Sache, sowas zu bauen und anzubieten. Und es gibt aber Leute, für die es keine gute Idee ist, dieses Ding sich ins Haus zu holen.

14:44 Das ist komplett richtig, was Sie sagen. Wir haben ja es klassisch damit zu tun, dass wir eine Risikoanalyse für den Hersteller, sprich für den Verkäufer von Produkten brauchen. Die Perspektive habe ich vorhin eingenommen. Und dann gibt es natürlich auch die Perspektive des Käufers. Egal, ob der Käufer ein Privatkunde ist und smarte Geräte für sein Smart Home kauft oder ob der zum Beispiel ein Facility Manager ist und Aufzüge für seine Gebäude einkauft oder Drehtöne für seine Gebäude einkauft. Man muss sich im Klaren darüber sein, egal ob ich Privatperson oder eben gewerbliche Anbieter bin, in dem Augenblick, wo ich smarte Produkte einkaufe, dann sind diese vernetzt mit meinen bestehenden Infrastrukturen.

15:25 Und das heißt, jemand anders hat Zugriff auf mein Netzwerk. Sei es ein Hersteller, sei es ein Wartungsunternehmen. Und in dem Augenblick muss ich mir die Frage stellen, ob durch diesen Zugriff Risiken erzeugt werden können oder mir Schäden zugefügt werden können, die ich nicht wünsche, schrägstrich den Vorteil des smarten Produktes überkompensieren. Ein Beispiel. Wenn wir es mit dem Krankenhaus zu tun haben und dort wird ein Aufzug drin vernetzt, dann haben wir im Krankenhaus ein Netzwerk der technischen Infrastruktur, in dem Röntgengeräte, Drehtüren usw. drin sind. Wir haben das Netzwerk des Patientendaten, wir haben das Netzwerk der Verwaltungsdaten und die Frage ist, ob diese überhaupt alle getrennt werden können.

16:12 Und das heißt, in dem Augenblick, wo ich einem Hersteller eines Aufzugs Zugriff zu diesem Netzwerk gebe, muss ich das gesamte Netzwerk durchleuchten, welche Risiken es hat. So, und jetzt hat der Hersteller Vorteile durch zum Beispiel Predictive Maintenance bei dem Aufzug, ETC. Aber die Frage ist, welcher Vorteil hat das Krankenhaus dadurch, dass es einen smarten Aufzug da drin hat. Und das heißt, auch das Krankenhaus als Einkäufer von Produkten oder als Betreiber von Produkten muss definitiv eine Risikoanalyse machen und in seinen Ausschreibungsbedingungen sich klar werden nach dem Motto, was kaufe ich, warum kaufe ich es und was sind die Konsequenzen. Und das Ganze geht dann so weit, dass wir auch beim Smart Home beim Endverbraucher sind.

16:53 Das heißt, wenn ein Endverbraucher sich einen neuen Fernseher kauft und dieser Fernseher hat ein eingebautes Mikrofon und hat eine eingebaute Kamera, dann muss der Konsument sich die Frage stellen, Möchte ich denn überhaupt ein Mikrofon haben? Möchte ich denn eine Kamera haben? Wenn nein, kann ich diese separat ausstellen. Und was sind die Konsequenzen, wenn ich das nicht kann? Nämlich die Konsequenzen sind unter Umständen, dass jemand sehen kann, wann im Wohnzimmer Leute sind, was die miteinander besprechen. Und das könnten ja zum Beispiel sehr interessante Informationen sein für Einbrecher oder andere Personen, die in meinem smarten Home Unfug betreiben wollen. und insofern, sag mal, ist es egal, ob ich ein Verkäufer von Produkten bin, ich muss eine Risikoanalyse machen oder ob ich ein Käufer bin und Privat- oder Geschäftsperson bin.

17:44 Und dann machen wir das Ganze mal mit dem Chemiepark. Jetzt haben wir einen ganz großen Chemiepark mit sehr viel Komplexität, der über Jahrzehnte entstanden ist. In dem Augenblick, wo ich in diesem System smarte Produkte drin habe, dann kann derjenige unter Umständen in die gesamten Leitzentralen rein und hat es dann unter Umständen auch mit Rechnern zu tun, die noch auf sehr alter Software basieren, DOS-Rechner oder XT-Rechner, die dem heutigen Sicherheitsniveau gar nicht mehr anpassbar sind. Und insofern, sage ich mal, bringt die Digitalisierung, egal ob Käufer, Verkäufer oder uns als technischen Überwacher, komplett neue Spielregeln. Und diese Spielregeln heißt Risikoanalyse, Risikoanalyse, Risikoanalyse, wirtschaftliche Dinge betrachten und am Ende des Tages sich fragen, was kaufe ich ein an Risiko und was bekomme ich dafür?

18:36 Und wenn diese Bilanz nicht positiv ausfällt, dann muss man sich klar fragen, warum tue ich es dann? Nur was hip ist, was modern ist. Und das heißt also, wir empfehlen einen ganz klaren kritischen Umgang mit diesen Technologien, sagen aber auch, es bringt natürlich viele Vorteile, wenn man solche Technologien richtig einsetzt, an Komfort, am Wohlbefinden, an monetären Einsparungspotenzialen und so weiter.

19:07 Ich kann jetzt in dem ganzen Industriebereich mir das sehr gut vorstellen und letztendlich gerade wenn ich mir vorstelle, wer für so einen Chemiepark verantwortlich ist, dann die zwei Leute, die ich kenne, die so eine Funktion haben, das sind sehr verantwortungsbewusste Leute, die sehr genau wissen, was sie tun. Da habe ich jetzt das Vertrauen, dass die ihre Risikoanalysen schon machen und dass im Zweifel da diese Produkte auch eher nicht zum Einsatz kommen, wenn das Ganze nicht positiv ausfällt. In dem ganzen Konsumerbereich erlebe ich aber eher das Gegenteil. Also da wissen die Leute nicht mal, welche Risiken sie sich ins Haus holen. Und das sind auch Produkte, die nicht nach, was ich jetzt als Stand der Technik bezeichnen würde, entwickelt wurden, was diese ganze Sicherheit angeht.

19:55 Sie hatten eben das Beispiel mit dem smarten Teddybär erzählt. Wenn ich das einfach mal ein bisschen weiterspinne, wenn der nicht solide zu Ende entwickelt ist von Softwareseite aus und der hackbar ist und der eine Sprachausgabe hat, dann kann ich ja als bösartiger Hacker mir diesen Teddybären greifen von außen, darüber eine Sprachausgabe machen, darüber Alexa bedienen und Alexa sagen, schließ mal die Garage auf. Also ich hole mir ja Dinge ins Haus, bei denen ich, also auf dieses Beispiel bin ich nicht selbst gekommen, das habe ich von wem anders gelernt. Also da muss man ja erstmal drauf kommen, was für Ketten da möglich sind, weil da eine Vielzahl von smarten Konsumerprodukten in einem Haus wohnt.

20:48 Selbst wenn ich diesen Teddybär entwickle, weiß ich ja nicht, dass da ein Alexa nebenstehen könnte, dass da ein, was weiß ich, was so ein Teddybär mit dem selbstfahrenden Staubsaugerroboter noch anstellen könnte. Wie kann man da den Endanwendern irgendwo ein Stück Sicherheit an die Hand geben? Was können die tun?

21:11 Das ist eine sehr, sehr interessante Frage und erstmal muss man Ihr Beispiel bestätigen. Ja, es ist so, dass durch das Internet der Dinge die Geräte vernetzt werden und wir ein Hauptproblem derzeit haben, was ist denn eigentlich das Produkt? Früher haben wir den Teddybär ins Labor gegeben, haben die chemischen Eigenschaften, die mechanischen Eigenschaften, die elektrischen Eigenschaften überprüft und dann hatten wir den Teddybär überprüft. Heute durch die Konnektivität liegen dahinter noch Apps, Software, Datenbanken und so weiter. Und die Frage ist ja, was ist denn überhaupt der Prüfungsgegenstand? Prüfen wir jetzt nur den Teddybär oder auch die dahinterliegenden Systeme, was mit den Daten passiert?

21:51 Und das ist zum Beispiel eines der Dinge, die in den Normen und Gremien derzeit geregelt werden muss. Ich möchte ein anderes Beispiel geben und dann beantworte ich Ihre Frage auf. Wir nehmen mal einen Schnuller, der mit einem Fieberthermometer ausgestattet ist. Und dieser Schnuller kommuniziert mit einer App und die gibt, sage ich mal so der Mutter, die gesamte Zeit, sage ich mal, einen Überblick darüber, ob das Kind Fieber hat oder nicht Fieber hat. Der Schnuller agiert also als Beruhigungsmittel und gleichzeitig als Fieberthermometer und gleichzeitig als Überwachungssystem. Das ist natürlich ein Riesenvorteil für die Mutter, die erstmal Sicherheit für ihr Kind wünscht. Gleichzeitig zeichnet der Schnuller aber komplett alle Daten von dem Kind über die Fieberkurven auf.

22:40 Und der Schnullerhersteller bekommt jetzt Millionen von Datensätzen und kann jetzt zum Beispiel die Kinder in Risikoklassen einteilen. Nämlich die, die viel Fieber hatten, die wenig Fieber hatten, die normal sind und so weiter. Und jetzt denken wir mal 20 Jahre weiter. Was ist denn mit den Kindern, die auffällig viel Fieber hatten und viel krank waren? Sind das jetzt Informationen, die einem potenziellen Arbeitgeber wichtig sein könnten? Könnte es zum Beispiel sein, dass der Schnullerhersteller solche Informationen später verkauft, um potenzielle Mitarbeiter fürs Arbeitsleben zu qualifizieren. Und jetzt kommt die Frage, was ich vorher gesagt habe. Natürlich ist es ein Nutzen, ein solches Produkt in seinem Smart Home zu haben, weil das objektiv empfundene Sicherheitsbewusstsein der Frau steigt.

23:32 Gleichzeitig kauft man sich aber das Risiko ein, dass diese Daten unter Umständen missbräuchlich später verwendet werden können. Und insofern müssen wir immer eine Abwägung als erstes machen, was ist das wichtigere Ziel, was wir haben, die kurzfristige Sicherheit oder langfristig dafür Sorge zu tragen, sodass die Informationen über unseren Kind, die ja negativ sein können, nicht irgendwann zu seinem Schaden kommen. Und damit ist der erste Grundsatz, den ich jedem geben kann, Datensparsamkeit. Sorge dafür, wenn in irgendeiner Art und Weise Daten nicht unbedingt erhoben werden müssen, dass diese Daten auch niemandem anders zur Verfügung gestellt werden müssen. Das heißt, am Beispiel des Schnullers, wenn du Verdacht hast, dass dein Kind krank sein könnte, benutze diesen Schnuller.

24:19 Wenn du weißt, alles ist gut und du bist eine Etage drunter, gib ihm den konventionellen Schnuller. Das heißt, am Beispiel des Teddys, wenn du die Sprachausgabe vom Teddy nicht brauchst, überleg dir erstens, ob du den Teddy kaufen willst und wenn du ihn zu Hause hast, ob du die Sprachausgabe nicht ausstellst. Am Beispiel des Fernsehers, wenn du das Mikrofon, die Kamera nicht brauchst, ausstellen, abkleben, wegmachen. Oder auch eine einfache Fragestellung ist, muss der Fernseher die ganze Nacht im Stand-by-Betrieb bleiben oder kann man ihn über Nacht nicht ausschalten, wenn man überhaupt gar die Stromquelle kappen mit Zeitschaltuhren, wie auch immer, wenn man gar nicht vorhat, Fernsehen zu gucken.

25:00 Und das heißt, erster Grundsatz ist Datensparsamkeit. Die zweite ist, sorge dafür, dass du Produkte kaufst von namenhaften Herstellern, weil diese namenhaften Hersteller, sage ich mal, müssen auch dauerhaft ihre Geschäftsmodelle aufrechterhalten und die werden, was Datenhandel und solche Dinge angeht, sich mit Sicherheit im Rechtsrahmen bewegen. Dritte ist, überlege sehr genau, was du eigentlich wirklich brauchst und beim Kauf adaptiere dann auch das, was du eigentlich wirklich brauchst, an das, was die Produkte denn auch wirklich an technischen Eigenschaften haben. Es ist nicht unbedingt sinnvoll, das technisch Machbare zu kaufen, sondern es ist sinnvoll, nach deinem Bedarf zu kaufen. Weil alles, was du kaufst, was technische Features, das musst du in irgendeiner Art und Weise beherrschen.

25:46 Und das Beherrschen von Technik ist ja nicht jedermanns Sache. Wir sind ja nicht alles gelernte Informatiker und oft lassen sich einzelne Funktionen ja gar nicht separat ausstellen.

25:57 Ja, das stimmt. Also selbst als gelernter Informatiker habe ich da manchmal meine Schwierigkeiten. Ja, dazu hätte ich jetzt gleich noch eine Folgefrage. Sie haben eben gesagt, es ist oft gar nicht genau klar, was ist der Prüfgegenstand. gehen sie denn damit um oder wie kann man überhaupt damit umgehen, wenn ich jetzt zum Beispiel an Tesla denke. Die müssen ja auch in Deutschland irgendwie ihre Zulassung bekommen haben, weil ich die schon hier rumfahren sehe. Die Steuergeräte, die ich für deutsche Autohersteller gebaut habe, die wurden geprüft, zertifiziert, die haben ihr Siegel bekommen, die werden so eingebaut. Da war aber die Software final zu dem Moment, als das Ganze in Produktion ging. So ein Tesla und auch andere Autos, die uns bestimmt demnächst begegnen werden, kriegen ja jeden Tag drei Updates rein.

26:50 Lässt sich das noch irgendwie handhaben?

26:55 Das, was Sie ansprechen, ist in unserer Sprache das sogenannte Baumuster. Das heißt, wir kriegen ein Auto, ein Stück Medizinprodukt ins Labor rein, wir prüfen exakt dieses Baumuster und fällen dann darüber die Aussage, ob dieses technische Gerät oder Produkt sicher ist. Jetzt passiert folgendes, durch die kontinuierlichen Software-Updates, egal ob sie täglich, monatlich oder jährlich sind, verändern sich die Eigenschaften des Produktes. Und durch diese Veränderung können natürlich auch Risiken wieder entstehen. Im Bereich von Safety oder auch im Bereich von Security. Und nach herkömmlichem Recht ist mit jedem Software-Update das Produkt verändert worden und damit erlischt im Grundsatz die Zertifizierung und die Prüfung.

27:40 Das heißt, wir haben es hier mit dem Phänomen zu tun, dass wir eigentlich jedes einzelne Software-Update überprüfen müssen, um sicherzustellen, dass dieses Produkt auch sicher ist. Dieses wird auch in dem heutigen Verfahren so gemacht bei den Zulassungsbehörden. Das heißt zum Beispiel im Rahmen von Tesla, die Zulassungen wurden in den Niederlanden meines Wissens nach gemacht, wird die Zulassungsbehörde regelmäßig über die Software-Updates informiert. Die Frage, die sich jetzt stellt, ist, ob die reine Information ausreicht oder ob es nicht eine kritische Gegenprüfung der Software geben müsste, um sicherzustellen, dass zum Beispiel negative Auswirkungen aufs Bremsverhalten, aufs Längsverhalten oder auf andere sicherheitstechnische Einrichtungen nicht gegeben ist.

28:27 Und da, sag ich mal so, greift wiederum das, was ich vorher gesagt habe, da fehlt es derzeit an Normen und Standards. Und hier, sag ich mal, muss sichergestellt sein, dass hierfür Standards entwickelt werden, damit auch Sicherheit für Hersteller von Produkten in Zukunft dort ist, Sicherheit für Zulassungsbehörden da ist und Sicherheit für Endkonsumenten und auch für Prüfeinrichtungen für uns da sind. Und Sie sprechen hier einen sehr, sehr wichtigen Graubereich ein, der technisch nicht ganz einfach zu handeln sein wird. Aber wir müssen dafür Spielregeln entwickeln. Ansonsten werden wir die technische Sicherheit von Anlagen und Produkten in Europa nicht gewährleisten können.

29:07 Ja, also eine erschreckende Vorstellung. Ich kann ja nun beide Seiten sehr gut verstehen. Ich habe diese sichere Software lange gemacht auf der einen Seite und ich weiß auch, was das für Softwareentwickler teilweise für ein aufwendiger Prozess ist. Ich kann mir vorstellen, wie entspannt da die Leute von Tesla sind, dass sie halt irgendwo viel agiler sind, als man das bei herkömmlichen Entwicklern so kennt. Andererseits weiß ich halt auch, was wir hier an Sicherheit und Qualität haben. Und das herzugeben, ist auch eine erschreckende Vorstellung. Also es ist ja real in Gefahr, dieser Status, wie wir ihn heute haben.

29:47 Ja, wir selber haben ja eine sehr klare Produktsicht und die Frage ist ja, die man sich stellen muss, kann durch das Produkt an sich eine Gefahr ausgehen und wenn ja, wie groß ist die? Und abhängig von dieser Betrachtungsweise muss man natürlich pro Produkt eine unterschiedliche Risikoklasse bilden. Und nur Produkte der höchsten Risikoklasse, da muss man dann wirklich sich die Frage stellen, müssen wir jedes einzelne Software-Update sich angucken? Also Beispiel ist ein Herzschrittmacher oder eine Insulinpumpe, die direkt Menschen töten können. Ich glaube, da ist es klar, dass wir in dem Augenblick, sag ich mal so, uns jedes Update angucken müssen. So, jetzt haben wir es mit dem Teddybär zu tun, unser Beispiel vorhin.

30:34 Da muss man sich die Frage stellen, ob, sag ich mal, jedes einzelne Software-Update jetzt wirklich angeguckt werden muss oder ob man da tatsächlich nicht, sag ich mal, Prozesse der Softwareentwicklung anguckt und dann sagt, Die haben grundsätzlich Prozesse installiert mit Qualitätssicherung im Unternehmen und das schaut man sich einmal im Jahr an. Und dann gibt es mit Sicherheit auch Produkte wie Gummihandschuhe, wo zukünftig Sensoren drin sind, wo man sich als Einwegartikel, wo man sich die Frage stellt, müsste das überhaupt jemand angucken oder ist das mit der einmaligen Produktzulassung nicht erledigt. Und insofern, Ihre Fragestellung wird wiederum nach Risiko zu skalieren sein und dann wird wiederum eine Risikoanalyse zu machen.

31:14 sein. Und insofern ja, auch wenn die Regularien da sind, wie man mit Software-Updates ist, heißt das nicht, dass man dann in Überprüfungsmethodiken immer das Gleiche für jedes Produkt anwendet, sondern man wird je nach Risikoklasse des Produktes andere Methodiken anwenden müssen. Und das geht halt so weit, dass man zum Teil in den Quellcode einsteigen muss, dass man sich die Struktur der Software angucken muss und dann auch über Massentests gucken muss, ob die Software stabil um halt auch mit einem hohen Risiko sicher sagen, mit einer hohen Wahrscheinlichkeit sicher sagen zu können, dass das Produkt exakt das tut, was es tun soll und nichts anderes.

31:57 Ja, auf jeden Fall viel Arbeit für alle, die beteiligt sind.

32:01 Für uns, sag ich mal, hatte ich ja vorher gesagt, ist die Digitalisierung sehr spannend, weil sie erst schnell vorangeht und das Zweite ist, sie bringt in alle unsere Arbeitsgebiete, diese Fragestellung der IT-Sicherheit, wie wir sie beschrieben haben, insbesondere mit dem Phänomen der Software-Updates. Und das bedeutet für uns viel, viel, viel mehr Arbeit. Und auf der anderen Seite, natürlich werden sich unsere Arbeitsbedingungen verändern. Wir werden weniger vor Ort gehen zu den technischen Anlagen. Wir werden uns mehr mit Daten und Remote-Modellen beschäftigen. Wir werden viel mehr technische Sicherheit am Computer beurteilen, als wir es heute am Objekt machen. Insofern, wir sind Teil der Digitalisierung und da freuen wir uns auch drauf.

32:45 Werden Sie dadurch dann selber zu einem Unternehmen, das Software entwickelt?

32:51 Ja, wir entwickeln Software für uns selber, aber eigentlich nur für unsere administrativen und technischen Abläufe und für Prüfungssoftware. Wir selber werden aber nie Software für Produkte entwickeln.

33:05 Gut, aber alleine die ersten Punkte, die Sie angesprochen haben, reicht ja auch schon.

33:12 Ja, wir haben natürlich große Aufgabenstellungen, wenn man sich die Schnittstelle zu unserem Kunden anguckt. Früher, sage ich mal, haben wir Papier ausgetauscht, Prüfberichte, Zertifikate, Rechnungen, Angebote. Heute haben wir gemeinsame Portale mit unserem Kunden, wo die gesamte Transaktion, die Kommunikation darüber abläuft. Und die Frage wird es dann halt sein, ob man in Zukunft nicht über Portale arbeitet, sondern Austausch von Datensätzen arbeitet. Und das sind natürlich Fragestellungen, die wir gerade mit unseren großen Kunden, wo wir sehr viele Produkte prüfen, sehr viele Anlagen haben, derzeit intensiv diskutieren. Und damit verlagern sich auch unsere Schnittstellen zwischen Kunden und uns komplett. Das heißt, unsere Wertschöpfungsketten verändern sich. Und wir werden Teil von anderen Wertschöpfungsketten. Und sofern die Digitalisierung wirkt in jeglicher Art und Weise auch auf uns.

34:03 Ja, das ist spannend. Über diesen Teil Datenaustausch, ich habe da noch gar nicht drüber nachgedacht, was das auf ihrer Seite bedeutet. Also ein Kunde von mir, die machen Gasanalytik und da habe ich halt gelernt, die haben unter anderem ein Projekt, dass sie die Daten, die bisher halt per Fax oder wie auch immer über den ETA ging, dass die da an einer Schnittstelle bauen, um diese Daten halt digital sicher an die Überwachungsinstitutionen senden zu können. Aber klar, dass Sie auf der Gegenseite das Ganze irgendwo entgegennehmen und verarbeiten müssen.

34:37 Geht halt so weit, dass wir eine gemeinsame Datenplattform mit unseren Kunden betreiben. Wir haben ein Hochsicherheitsrechenzentrum in Hannover. Dort können wir solche Applikationen laufen lassen und dann dem Kunden diese Daten halt auch wieder in der Art und Weise zur Verfügung stellen, wie er sie braucht. Und wir ziehen uns im Grunde genommen die Prüfalgorithmen dort raus. Wir könnten damit natürlich Anlagen sieben Tage die Woche, 24 Stunden überprüfen und damit natürlich auch im Sinne des Verbraucherschutzes und des Anlagenschutzes höhere Sicherheitsniveau garantieren.

35:12 Ja, spannend. Was würden Sie denn sagen, ist das Thema, das Sie als größtes, wichtigstes, nächstes Thema angehen? Wir haben ja viele Bereiche angerissen und langweilig muss da kein werden, aber was ist denn so die größte Herausforderung, an der Sie jetzt dran sind?

35:32 Die Frage beantworte ich zweigeteilt. Technologisch gibt es ganz spannende Themen wie künstliche Intelligenz, 3D-Druck, Digital Twins, wo wir uns mit auseinandersetzen müssen und was diese technologischen Entwicklungen für uns bedeuten und wie wir die in unsere Produkte und Geschäftsmodelle integrieren können. Für die Volkswirtschaft Deutschland gibt es eine ganz, ganz wesentliche Frage. Ich habe das heute schon mehrfach angesprochen, die fehlende Standardisierung. Wenn es keine Normung und Standardisierung gibt, dann gibt es auch keine Rechtssicherheit. Und das sorgt dafür, dass keine Innovationen kommen oder ein Innovationshemmnis ist. Und Standardisierung ist die Grundvoraussetzung für Innovation, Globalisierung und wirtschaftlicher Stärke.

36:20 Das heißt, das, was ich als absolut wichtig für den Wirtschaftsstandort Deutschland halte, ist, dass die Standardisierung und Normung im Umfeld der IT-Sicherheit und Security for Safety sehr, sehr zügig nachgezogen wird, damit der deutsche Mittelstand sicher exportieren und seine Produkte verkaufen kann, die Verbraucher ausreichend geschützt sind und wir als Prüfinstitute wissen, was wir zu tun haben. Und hier hat die Politik einen gesellschaftlichen Dialog anzutriggern, damit hier die Grundvoraussetzungen für Wohlstand, Innovation und Wachstum in Deutschland geschaffen werden.

37:00 Ja, ist auch natürlich für mich als Teil der Umsetzertruppe eine spannende Sache. Wie halten Sie sich dazu auf dem Laufenden? Gibt es da Quellen, die Sie empfehlen würden, die besonders hilfreich sind?

37:17 Das Thema ist hochkomplex. Es gibt Superquellen zum Blockchain, es gibt Superquellen zu Digital Twins und 3D-Druck. Und insofern, es gibt umfassend Fachliteratur. Was ich insbesondere für Verbraucher und Mittelständler für sehr hilfreich halte, ist unsere eigene Webseite und unser Kundenmagazin Explore, wo man natürlich, sag ich mal, diese Sachverhalte dann in einfacher Sprache aufbereitet wiederfindet. Weil auch ich als Volkswirt habe ja oft das Problem, die Technologien zu verstehen und sie dann in eine Sprachform zu bringen, dass ich es zum Beispiel auch meiner Frau, meinen Kindern, meiner Mutter erklären kann, was denn hier eigentlich gerade passiert und warum es wichtig ist, diese Technologien zu kontrollieren und zu prüfen.

38:05 Und da haben sich unsere Leute aus der Konzernkommunikation durchaus Gedanken drüber gemacht und mit dem Format Explore ein Medium geschaffen, wo man diese Sachverhalte gut aufbereitet, weiter erklären kann.

38:21 Ja, ich werde das verlinken in den Shownotes. Dann meine Abschlussfrage. Haben Sie jemanden, den Sie hier gerne in einer künftigen Folge vor dem Mikrofon hören würden? der irgendwas Spannendes beitragen kann?

38:37 Normung und Standardisierung ist ein Thema, sage ich mal, der Politik, der Industrieverbände und der Normungsgremien. Und ich würde mir sehr wünschen, dass die zuständigen Repräsentanten der Politik, der Normung und der Wirtschaft sich darüber äußern, wie sie denn den Prozess der Standardisierung und Normung der IT-Sicherheit in Deutschland kreieren wollen, um sicherzustellen, dass Verbraucherschutz und wirtschaftliches Wachstum eigentlich wirklich gegeben ist. Und insofern, ich würde es für absolut hilfreich halten, wenn man diesen Dialog, sage ich mal, öffentlich weiter forcieren würde. Und hier auch ein Druck entsteht auf die Politik, auf die Industrieverbände und Normungsverbände, hier schnell zu agieren.

39:18 Weil hier entsteht Unsicherheit für Verbraucher, wirtschaftliche Risiken für den Wirtschaftsstandort Deutschland und das muss schnell abgestellt werden.

39:31 Okay, das werde ich mir mal durch den Kopf gehen lassen. Wer da geeigneter Kandidat wäre, will ich auch irgendwo vor das Mikro kriege. Aber gute Idee. Ich glaube, aus der Richtung hatte ich noch überhaupt niemanden in meinem Podcast. Ja, ganz vielen Dank für Ihre Zeit. Ganz vielen Dank für das spannende Wissen, das Sie uns hier geteilt haben. Ich würde sagen, wir sind damit durch.

39:58 Herzlichen Dank, Herr Löwe. Hat Spaß gemacht.

40:00 Schön. Ja, das war die 19. Folge von Wege der Digitalisierung. Die Shownotes, alle Links, alles, was wir so erwähnt haben im Laufe des Interviews, wird es in den Shownotes auf der Webseite geben, wegederdigitalisierung.de. Vielen Dank fürs Zuhören. Ich freue mich auf die nächste Episode und bis bald.