Der Switch läuft noch – warum ihn trotzdem ersetzen

Der Switch läuft noch – warum ihn trotzdem ersetzen?
Switches für OT-Netzwerke können auch nach zehn Jahren noch einwandfrei funktionieren. Doch ein störungsfreier Betrieb in der Vergangenheit ist keine Garantie für die Zukunft. Entscheidend ist, ob ein zuverlässiger Betrieb, die notwendige Unterstützung und die Wiederherstellung im Fehlerfall auch für den nächsten geplanten Nutzungszeitraum sichergestellt werden kann.

Management Summary
OT-Switches übernehmen in Energieversorgungs- und Industrieanlagen wichtige Kommunikationsaufgaben und können für Schutz-, Steuerungs- und Automatisierungsfunktionen relevant sein. Ein Ausfall kann daher erhebliche Auswirkungen auf den Anlagenbetrieb haben.
Für kritische OT-Switches empfehlen wir deshalb, die Erneuerung ab dem achten Betriebsjahr zu planen und nach zehn Jahren regulär vorzusehen. Diese Grenze ist kein technisches Verfallsdatum, sondern eine bewusste Betreiberentscheidung. Ein längerer Betrieb bleibt selbstverständlich möglich, sollte jedoch auf einer dokumentierten Risikobewertung basieren.
Ziel ist, einen Austausch durchzuführen, solange Zeitpunkt und Vorgehen planbar sind – und nicht erst dann, wenn ein Ausfall zum Handeln zwingt.
0 – 7 Jahre, Regelbetrieb: Betrieb, Updates und Konfiguration aktuell halten.
8 – 10 Jahre, Erneuerung planen: Produktstatus, Nachfolgegerät, Budget und Wartungsfenster klären.
Ab 10 Jahren, Regulärer Ersatz: Austausch im nächsten geeigneten Wartungs- oder Projektfenster.
> 10 Jahre: Risikobewertung: Weiterbetrieb nur bewusst beurteilt und dokumentiert.

Bedeutung der OT-Switches
OT-Switches arbeiten oft viele Jahre unauffällig und benötigen im Vergleich zu anderen Betriebsmitteln wenig sichtbare Wartung. Gerade deshalb geraten sie im Anlagen-Lifecycle leicht aus dem Fokus.
In Energieversorgungs- und Industrieanlagen verbinden sie unter anderem Schutzgeräte, Steuerungen, Stationsleittechnik, Gateways und Intelligent Electronic Devices (IED). In IEC-61850-basierten Anlagen kann das Netzwerk auch zeitkritische Schutz-, Steuerungs- und Automatisierungsfunktionen unterstützen.[1]
Der Switch ist damit nicht einfach ein Stück IT-Infrastruktur, sondern kann Bestandteil einer wichtigen technischen Funktionskette sein. Entsprechend sollte auch seine Erneuerung geplant werden.

MTBF ist keine Lebensdauer
Hersteller industrieller Netzwerkkomponenten weisen teilweise MTBF-Werte von mehreren Hunderttausend oder über einer Million Stunden aus. MTBF beschreibt eine statistische Zuverlässigkeitsgrösse unter definierten Annahmen. Sie ist weder eine garantierte Lebensdauer noch eine Aussage über die Restlebensdauer eines bereits viele Jahre betriebenen Einzelgerätes.
IEC 61709 behandelt Ausfallratendaten als Grundlage für Zuverlässigkeitsprognosen unter definierten Referenz- und Belastungsbedingungen und setzt für die beschriebene Methodik einen Betrieb innerhalb der «Useful Life» voraus.[2]
Die entscheidende Frage ist deshalb nicht, wie hoch die MTBF ist, sondern ob dieses Gerät für den nächsten geplanten Betriebszeitraum noch zuverlässig betrieben und gewartet werden kann und ob die Funktion im Fehlerfall mit vertretbarem Aufwand wiederhergestellt werden kann.

Obsoleszenz und Cybersecurity
Mit zunehmendem Gerätealter wird häufig nicht die Hardware allein zum Problem, sondern der Lifecycle der gesamten Produktplattform. Geräte werden abgekündigt, Ersatzteile knapper und die Pflege von Firmware und Security-Updates kann eingestellt werden.
Bei Managed OT-Switches ist dieser Aspekt besonders relevant, da sie neben der Hardware auch Firmware, Managementzugänge, Netzwerkprotokolle und Security-Funktionen enthalten. Für einen langfristig sicheren Betrieb ist deshalb nicht nur entscheidend, ob die Hardware noch funktioniert, sondern auch, ob bekannte Schwachstellen weiterhin durch den Hersteller behandelt und notwendige Updates bereitgestellt werden.
Die IEC 62443-2-1:2024 [3] greift diese Problematik aus Sicht des Anlagenbetreibers auf. Sie berücksichtigt, dass industrielle Automatisierungs- und Steuerungssysteme sehr lange Lebenszyklen haben können und deshalb häufig Komponenten enthalten, die vom Hersteller nicht mehr unterstützt werden. Die Norm weist darauf hin, dass beispielsweise Security-Patching nicht mehr gewährleistet werden kann, wenn die betreffende Software oder Komponente nicht mehr unterstützt wird. In solchen Fällen muss der Betreiber das daraus entstehende Risiko bewerten und gegebenenfalls durch zusätzliche Sicherheitsmassnahmen reduzieren.
Für den Lifecycle eines OT-Switches bedeutet dies: Das Ende des Hersteller- oder Security-Supports führt nicht automatisch zu einer Austauschpflicht. Es verändert jedoch die Risikosituation und kann zusätzliche technische oder organisatorische Massnahmen erforderlich machen
Ein funktionierender Switch ist deshalb nicht automatisch auch für einen langfristigen Weiterbetrieb geeignet. Entscheidend ist, ob Support, Security-Updates und geeignete Massnahmen zur Risikobehandlung für den geplanten weiteren Betriebszeitraum gewährleistet werden können.

Geplanter oder ungeplanter Austausch?
Ein Switch muss irgendwann ersetzt werden. Entscheidend ist, unter welchen Bedingungen dies geschieht. Beim Lifecycle-Austausch bestimmt den Zeitpunkt der Anlagenbetreiber. Beim ungeplanten Ausfall bestimmt ihn das Gerät. Auch wirtschaftlich ist diese Planbarkeit relevant: Geplante Arbeiten lassen sich budgetieren und mit Wartungs- oder Modernisierungsmassnahmen bündeln. Ein ungeplanter Ausfall kann dagegen Störungsanalyse, Sondereinsätze, Beschaffung und Engineering unter Zeitdruck sowie längere Wiederherstellungszeiten verursachen.

Einfluss auf die Gesamtanlageneffektivität (OEE)
Die Overall Equipment Effectiveness (OEE) ist eine in der ISO 22400-2 definierte Leistungskennzahl, die Verfügbarkeit, Effektivität und Qualität einer Anlage berücksichtigt. Im Zusammenhang mit einem Switch-Ausfall ist insbesondere die Verfügbarkeit relevant.
Entscheidend ist dabei nicht der materielle Wert eines Switches, sondern welche Funktionen von ihm abhängig sind. Führt eine Netzwerkstörung zum Stillstand einer Anlage oder eines Anlagenteils, reduziert dies die Verfügbarkeit und damit unmittelbar auch die OEE.

Warum gerade zehn Jahre?
Es gibt keine allgemeine Norm und keine allgemeingültige Herstellerangabe, die einen Austausch jedes OT-Switches nach exakt zehn Jahren fordert. Die Grenze ist daher keine berechnete Lebensdauer, sondern eine bewusste Betreiberentscheidung.
Nach zehn Jahren kommen typischerweise eine lange Betriebsdauer und eine zunehmende Unsicherheit über Restlebensdauer, Produktstatus, Support, Ersatzteilversorgung und möglichen Migrationsaufwand zusammen.
Die Zehn-Jahres-Grenze soll keinen bevorstehenden Defekt vorhersagen. Sie schafft einen festen Planungszeitpunkt, bevor Alterung oder Obsoleszenz die Handlungsoptionen einschränken.
Zehn Jahre sind nicht der erwartete Ausfallzeitpunkt. Zehn Jahre sind der Zeitpunkt für eine bewusste Lifecycle-Entscheidung.

Bezug zum Schweizer IKT-Minimalstandard
Der Schweizer IKT-Minimalstandard [4] verfolgt einen risikobasierten Ansatz. Im Bereich Asset Management fordert er, IKT-Betriebsmittel zu inventarisieren und Ressourcen wie Hardware und Geräte anhand ihrer Kritikalität und ihres Geschäftswerts zu priorisieren.
Dieser Ansatz lässt sich auch auf das Lifecycle-Management von OT-Switches übertragen: Je wichtiger ein Switch für den Anlagenbetrieb ist, desto höher sind die Anforderungen an Verfügbarkeit, Wiederherstellbarkeit und eine vorausschauende Erneuerungsplanung.
Der IKT-Minimalstandard fordert keinen Austausch von OT-Switches nach zehn Jahren. Die vorgeschlagene Lifecycle-Grenze folgt jedoch demselben Grundgedanken: Kritische Komponenten sollen rechtzeitig bewertet und ihre Erneuerung geplant werden, bevor technische oder organisatorische Einschränkungen die Handlungsmöglichkeiten des Betreibers reduzieren.

Bewertung eines Weiterbetriebs
Ein Switch wird nicht allein aufgrund seines Alters zum hohen Risiko. Nach Erreichen der Lifecycle-Grenze sollte vielmehr der konkrete Weiterbetrieb systematisch bewertet werden. Die Bewertung soll keine mathematische Lebensdauerberechnung ersetzen. Sie soll nachvollziehbar beantworten, ob der Weiterbetrieb für einen definierten weiteren Zeitraum technisch und betrieblich vertretbar ist.

Häufige Einwände
«Der Switch funktioniert doch noch.» Der heutige Zustand sagt wenig über den gesamten nächsten Betriebszeitraum und die spätere Wiederherstellbarkeit aus.
«Die MTBF beträgt über eine Million Stunden.» MTBF ist eine statistische Kennzahl und keine individuelle Lebensdauer- oder Restlebensdauerangabe.
«Wir haben Redundanz oder Ersatzgeräte.» Beides kann die Auswirkungen eines Ausfalls reduzieren, beseitigt aber gemeinsame Risiken einer alternden oder abgekündigten Produktgeneration nicht.
«Der Hersteller fordert keinen Austausch nach zehn Jahren.» Das ist korrekt. Die Grenze ist eine Betreiberentscheidung, die Kritikalität, Betriebsbedingungen, Support und Risikotoleranz der konkreten Anlage berücksichtigt.
«Warum zehn Jahre?» Weil ein klarer Planungszeitpunkt benötigt wird, bevor technische oder organisatorische Zwänge die Erneuerung bestimmen.

Zusammengefasst: Unsere Empfehlung für Anlagenbetreiber
Für kritische OT-Switches empfehlen wir, zehn Betriebsjahre als regulären Zeitpunkt für die Erneuerung festzulegen.
Ab dem achten Betriebsjahr sollte die Erneuerung vorbereitet werden. Nach zehn Jahren erfolgt der Austausch grundsätzlich im nächsten geeigneten Wartungs- oder Projektfenster.
Ein längerer Betrieb bleibt möglich, sofern eine dokumentierte Risikobewertung dies unter Berücksichtigung von Produktstatus, Firmware- und Security-Support, Ersatzversorgung, Redundanz, Wiederherstellbarkeit, Betriebsbedingungen und Kritikalität rechtfertigt.

Fazit
Ein OT-Switch muss nach zehn Jahren nicht defekt sein und kann noch viele Jahre zuverlässig funktionieren.
Weder eine hohe MTBF noch ein störungsfreier Betrieb in der Vergangenheit erlauben jedoch eine zuverlässige Aussage darüber, wie lange ein konkretes Gerät noch eingesetzt werden kann.
Gleichzeitig gewinnen mit zunehmendem Produktalter andere Faktoren an Bedeutung: Obsoleszenz, auslaufender Firmware- und Security-Support, eingeschränkte Ersatzteilversorgung und ein möglicherweise höherer Aufwand für die Wiederherstellung im Fehlerfall.
Die Lifecycle-Grenze von zehn Jahren beschreibt deshalb nicht die technische Lebensdauer eines Switches. Sie definiert einen Zeitpunkt, ab dem der Anlagenbetreiber den weiteren Betrieb bewusst bewertet und die Erneuerung plant.
Das Entscheidende ist, ob ein zuverlässiger Betrieb auch für den nächsten geplanten Betriebszeitraum sichergestellt und die Funktion im Fehlerfall mit vertretbarem Aufwand wiederhergestellt werden kann.

Quellenangaben
[1] IEC TR 61850-90-4:2020 – Communication networks and systems for power utility automation – Part 90-4: Network engineering guidelines
[2] IEC 61709:2017 – Electric components – Reliability – Reference conditions for failure rates and stress models for conversion.
[3] IEC 62443-2-1:2024 – Security for industrial automation and control systems – Part 2-1: Security program requirements for IACS asset owners.
[4] Bundesamt für wirtschaftliche Landesversorgung BWL: Minimalstandard zur Verbesserung der IKT-Resilienz. Bern, 2018, Revision Mai 2023, basierend auf NIST SP 800-53 Rev. 5 und ISO 27001:2022.