Was unterscheidet OT-Sicherheit von IT-Sicherheit?
Operational Technology (OT) umfasst alles, was physische Prozesse steuert: speicherprogrammierbare Steuerungen (SPS), Bedienpanels, SCADA-Systeme, Antriebe, Roboter und die Netze dazwischen. Die Schutzziele sind dieselben wie in der IT, die Gewichtung ist eine andere. Ein Bürorechner darf für ein Update neu starten, eine Anlage mitten in der Schicht nicht.
| Merkmal | Büro-IT | Produktion (OT) |
|---|---|---|
| Wichtigstes Schutzziel | Vertraulichkeit der Daten | Verfügbarkeit und Sicherheit für Mensch und Maschine |
| Lebensdauer | etwa 3 bis 6 Jahre | oft 15 bis 20 Jahre und länger |
| Updates | monatlich, weitgehend automatisch | nur in Wartungsfenstern, oft erst nach Freigabe des Maschinenherstellers |
| Protokolle | HTTP, SMB, Standarddienste | Profinet, Modbus/TCP, S7comm, EtherNet/IP, OPC UA; ältere Protokolle oft ohne Authentisierung |
| Virenschutz und Agenten | Standard auf jedem Gerät | auf Steuerungen meist nicht möglich |
| Folgen eines Ausfalls | Arbeitsplatz steht | Linie steht, Ausschuss, Lieferverzug, im schlimmsten Fall Gefahr für Personen |
| Verantwortung | IT-Abteilung | Produktion, Instandhaltung, Maschinenhersteller |
Methoden aus der Büro-IT lassen sich deshalb nicht eins zu eins übertragen. Ein aktiver Schwachstellenscan, der im Büro unkritisch ist, kann eine ältere Steuerung zum Absturz bringen.
Welche Bedrohungen sind in der Produktion am häufigsten?
Das BSI nennt in seinen Top 10 Bedrohungen und Gegenmaßnahmen für Industrial Control Systems (Ausgabe 2022) unter anderem:
- Einschleusen von Schadsoftware über Wechseldatenträger und mobile Systeme, etwa den USB-Stick oder Laptop des Servicetechnikers,
- Infektion mit Schadsoftware über Internet und Intranet, häufig über die Verbindung zum Büronetz,
- Social Engineering und Phishing,
- Einbruch über Fernwartungszugänge,
- Steuerungskomponenten, die direkt mit dem Internet verbunden sind,
- Soft- und Hardwareschwachstellen in der Lieferkette.
Viele Produktionsausfälle beginnen gar nicht in der OT. Ransomware verschlüsselt ERP, Dateiserver und Leitstände im Büronetz, und die Produktion steht, weil Aufträge, Rezepturen oder Etiketten fehlen oder weil das Unternehmen die Anlagen vorsorglich vom Netz nimmt. Bekanntes Beispiel ist Colonial Pipeline 2021: Getroffen war die IT, gestoppt wurde vorsorglich die Pipeline. IT- und OT-Sicherheit gehören deshalb in ein gemeinsames Konzept.
Schritt eins: Wissen, was im Netz hängt
Ohne Inventar keine Sicherheit. In vielen Werken weiß niemand genau, wie viele Steuerungen, Panels und Industrie-PCs es gibt, welche Firmware darauf läuft und wer mit wem kommuniziert. Ein brauchbares OT-Inventar enthält je Gerät:
- Typ, Hersteller, Modell sowie Firmware- und Softwarestand,
- IP- und MAC-Adresse, Standort und zugehörige Anlage,
- Kommunikationsbeziehungen und verwendete Protokolle,
- Supportstatus beim Hersteller und bekannte Schwachstellen,
- die verantwortliche Person in Produktion oder Instandhaltung.
Für die Erfassung eignen sich passive Verfahren: Ein Sensor liest den Verkehr an einem Spiegelport mit und erkennt Geräte und Verbindungen, ohne selbst Pakete in die Anlage zu senden. Dieselbe Technik dient später der Anomalieerkennung, wie sie das BSI in seiner Empfehlung „Monitoring und Anomalieerkennung in Produktionsnetzwerken“ beschreibt. Aktive Abfragen setzen Sie nur gezielt ein, abgestimmt mit dem Anlagenverantwortlichen und im Wartungsfenster. Eine Excel-Liste ist als Anfang in Ordnung, veraltet aber schnell, wenn niemand sie pflegt.
Segmentierung nach IEC 62443: Zonen und Conduits
Die Normenreihe IEC 62443 ist der internationale Standard für die Sicherheit industrieller Automatisierungssysteme (IACS). Teil 3-2 beschreibt die Risikobewertung, in der Betreiber ihre Anlagen in Zonen aufteilen, also Gruppen von Komponenten mit gleichen Sicherheitsanforderungen, und die Kommunikationswege zwischen den Zonen als Conduits festlegen. Jede Zone erhält dabei eine Ziel-Sicherheitsstufe (SL-T). Teil 3-3 legt fest, welche technischen Anforderungen ein System für die Stufen SL 1 bis SL 4 erfüllen muss: SL 1 schützt gegen zufällige oder versehentliche Verstöße, SL 2 gegen gezielte Angriffe mit einfachen Mitteln, SL 3 gegen Angreifer mit fortgeschrittenen Mitteln und IACS-Kenntnissen, SL 4 gegen Angreifer mit umfangreichen Ressourcen. In der Praxis ist SL 2 für viele Fertigungszellen ein realistisches Ziel, für besonders kritische Bereiche eher SL 3. Ein typischer Aufbau für ein Werk:
| Zone | Inhalt | Erlaubte Verbindungen |
|---|---|---|
| Unternehmensnetz | Büro-IT, ERP, E-Mail | nur zur IT/OT-DMZ, nie direkt in die Produktion |
| IT/OT-DMZ | Sprungserver für Fernwartung, Datei- und Patch-Austausch, Kopie der Prozessdaten | festgelegte Dienste in beide Richtungen, alles protokolliert |
| Leitebene | SCADA, MES-Arbeitsplätze, Engineering-Stationen | zur DMZ und zu den eigenen Zellen |
| Zellen und Linien | Steuerungen, Panels, Antriebe einer Anlage | nur zur Leitebene, untereinander nur bei Bedarf |
| Sicherheitssteuerungen | Safety-Systeme zum Schutz von Personen | möglichst getrennt, nur lesende Verbindungen |
Technisch setzen Sie das mit VLANs und Firewalls zwischen den Zonen um, mit Regeln nach dem Prinzip „nur erlaubt, was nötig ist“. VLANs allein trennen nur logisch: Erst die Firewall-Regeln zwischen den Zonen begrenzen, wer mit wem sprechen darf. Kein Gerät in der Produktion braucht einen direkten Internetzugang. Planung und Umsetzung solcher Netze gehören zu unserer Netzwerktechnik. Wie VLANs grundsätzlich funktionieren, erklärt der Ratgeber VLAN im Unternehmen.
Fernwartung durch Maschinenhersteller sicher regeln
Fast jede moderne Anlage wird vom Hersteller aus der Ferne gewartet. Problematisch sind dauerhaft offene Zugänge, eigene Mobilfunkrouter des Herstellers im Schaltschrank, die an der Firewall vorbeiführen, und Sammelkonten mit Standardpasswörtern. Solche Router tauchen bei Begehungen in der Praxis immer wieder auf, oft ohne dass die IT davon weiß. Das BSI empfiehlt in den Top 10 und in seiner Publikation zur Fernwartung im industriellen Umfeld unter anderem:
- Zugang nur über einen zentralen Fernwartungspunkt in der DMZ, nie direkt ins Anlagennetz,
- Freischaltung durch eigenes Personal nur für Dauer und Zweck des Einsatzes,
- personalisierte Konten mit Multi-Faktor-Authentifizierung statt geteilter Funktionskonten,
- über die Firewall nur die nötigen Systeme, Ports und Adressen freigeben,
- alle Sitzungen protokollieren und die Protokolle auch auswerten,
- Standardpasswörter bei der Abnahme der Anlage sperren oder ändern.
Halten Sie diese Regeln im Einkauf fest: Neue Maschinen werden nur abgenommen, wenn der Fernzugang Ihr Konzept nutzt. Die Norm IEC 62443-2-4 beschreibt Anforderungen an Integratoren und Servicedienstleister, auch zum Fernzugriff, und ist eine gute Grundlage für Lastenhefte. Mehr zum Prinzip dahinter im Beitrag ZTNA oder VPN.
Wenn Patchen nicht geht: Ausgleichsmaßnahmen
Viele Steuerungen und Industrie-PCs laufen mit Betriebssystemen ohne Herstellerunterstützung, und Updates dürfen oft erst nach Freigabe des Maschinenherstellers eingespielt werden, weil sonst Gewährleistung oder Freigaben auf dem Spiel stehen. Das BSI hat dazu die Empfehlung „Umgang mit End of Support in industriellen Steuerungs- und Automatisierungssystemen“ veröffentlicht. Wo Sie nicht patchen können, helfen:
- enge Segmentierung, damit ein verwundbares System nur mit den nötigsten Partnern spricht,
- Anwendungs-Whitelisting auf Industrie-PCs statt klassischem Virenschutz,
- eine Datenschleuse, die USB-Sticks und Dateien vor dem Einsatz in der Anlage prüft,
- Angriffserkennung im Netz, die verdächtige Befehle oder neue Verbindungen meldet,
- Updates in geplanten Stillständen, mit gesichertem Projektstand und Rückfallplan.
Für ältere Anlagen gilt: lieber konsequent abschotten und überwachen als ungeprüft patchen.
Betrifft NIS2 die Produktion?
Ja, bei vielen Herstellern. Anlage 2 des BSIG nennt im verarbeitenden Gewerbe den Maschinenbau, die Herstellung von Kraftwagen und Kraftwagenteilen, den sonstigen Fahrzeugbau, elektrische Ausrüstungen, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse sowie Medizinprodukte. Dazu kommen Chemie und Lebensmittelproduktion. Erfasst sind solche Unternehmen als wichtige Einrichtungen, wenn sie mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme. Das Gesetz gilt seit dem 6. Dezember 2025.
Die Risikomanagementmaßnahmen nach § 30 BSIG beziehen sich auf alle informationstechnischen Systeme, Komponenten und Prozesse, die das Unternehmen für die Erbringung seiner Dienste nutzt. Die Produktionsanlage ist davon nicht ausgenommen.
Zwei weitere EU-Regeln betreffen vor allem die Hersteller der Maschinen und Komponenten, landen aber über den Einkauf auch beim Betreiber. Ab dem 20. Januar 2027 gilt die Maschinenverordnung (EU) 2023/1230. Sie verlangt in Anhang III Nr. 1.1.9 einen Schutz gegen Korrumpierung, also gegen unbeabsichtigte oder vorsätzliche Manipulation sicherheitsrelevanter Software, Daten und Hardware, und in Nr. 1.2.1, dass Steuerungen vorhersehbaren böswilligen Eingriffen Dritter standhalten. Für Maschinenhersteller wird Cybersicherheit damit Teil der CE-Konformität, für Betreiber ein Kriterium beim Einkauf. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen seit dem 11. September 2026, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden, seine übrigen Pflichten gelten ab dem 11. Dezember 2027. Der im November 2025 vorgeschlagene Digital-Omnibus sieht unter anderem eine zentrale Meldestelle für Vorfälle vor. Ob und wann er die Meldewege unter NIS2 ändert, ist Stand November 2026 offen. Was zu tun ist, wenn Ihr Unternehmen sich hätte registrieren müssen, lesen Sie unter NIS2-Registrierung verpasst. Dieser Artikel ersetzt keine Rechtsberatung.
Wie Unite2Link bei OT-Sicherheit unterstützt
Unser Team verbindet Netzwerk und Sicherheit: Bestandsaufnahme vor Ort in Ihrer Produktion, Zonenkonzept, Firewalls zwischen IT und OT, ein Fernwartungskonzept für Ihre Maschinenhersteller und Penetrationstests, die wir für OT-Umgebungen mit den Anlagenverantwortlichen abstimmen. Zertifiziert ist unser Team für WatchGuard, HPE Aruba und HPE Juniper Mist, Fortinet setzen wir ebenso ein. Den Campus eines Outdoor-Herstellers mit Produktion, Büros und Hochregallager betreut unser Team seit Anfang 2018 auf Juniper Mist. Mehr zu unserem Ansatz für Produktion und Fertigung und zur Cybersicherheit.