Warum OT-Sicherheit anders funktioniert als IT-Sicherheit
In der klassischen IT steht Vertraulichkeit meist an erster Stelle. In der Operational Technology (OT) – also Steuerungen, Feldbusse und Antriebe – ist die Reihenfolge umgekehrt: Verfügbarkeit hat oberste Priorität, gefolgt von Integrität und erst dann Vertraulichkeit. Ein Sicherheitspatch, der eine SPS für einen Neustart offline nimmt, kann in einer 24/7-Produktion mehr Schaden anrichten als der Angriff, den er verhindern soll. Sicherheitskonzepte müssen diese Realität berücksichtigen, statt IT-Standards unreflektiert zu übernehmen.
Warum Feldbusse von Natur aus unsicher sind
PROFINET, EtherCAT und die meisten klassischen Feldbusprotokolle wurden auf Geschwindigkeit und Determinismus optimiert – nicht auf Authentifizierung oder Verschlüsselung. Jedes Gerät im selben Netzwerksegment kann grundsätzlich Telegramme mitlesen oder eigene Telegramme einspeisen. In vielen Bestandsanlagen ist das Produktionsnetz zudem historisch gewachsen und nicht sauber von Büro-IT oder gar dem Internet getrennt.
Die Purdue-Modell-Grundlage für Netzwerksegmentierung
Das Purdue-Modell unterteilt industrielle Netzwerke in Ebenen (Level 0 – Feldgeräte, Level 1 – Steuerungen, Level 2 – Anlagenüberwachung, Level 3 – Standort-IT, Level 4/5 – Unternehmens-IT). Der wichtigste praktische Grundsatz: Kommunikation zwischen den Ebenen erfolgt ausschließlich über definierte, überwachte Übergänge – niemals durch flache, ungefilterte Netzwerke, in denen ein kompromittierter Office-PC direkten Zugriff auf eine Roboter-SPS hat.
Fünf konkrete Maßnahmen für bestehende Anlagen
1. Netzwerksegmentierung mit industriellen Firewalls
Trennen Sie das Produktionsnetzwerk physisch oder über VLANs von der Büro-IT. Industrielle Firewalls (z. B. Siemens SCALANCE S, Phoenix Contact mGuard) erlauben eine granulare Filterung nach Protokollen und erkennen protokollspezifische Anomalien in PROFINET- oder Modbus-Verkehr.
2. Verwaltung von Remote-Zugängen
Fernwartungszugänge für Systemintegratoren sind ein häufiges Einfallstor. Nutzen Sie zeitlich begrenzte, protokollierte VPN-Zugänge statt dauerhaft geöffneter Fernwartungsports. Jeder Zugriff sollte nachvollziehbar sein: wer, wann, worauf.
3. Asset-Inventarisierung
Viele Anlagenbetreiber wissen nicht genau, welche Geräte tatsächlich im Produktionsnetz aktiv sind. Ein vollständiges, aktuelles Inventar aller SPS, HMIs, Antriebe und Netzwerkkomponenten ist die Grundlage jeder Sicherheitsstrategie – man kann nicht schützen, was man nicht kennt.
4. Patch-Management mit Bedacht
Anders als in der IT können Patches in der OT nicht einfach automatisch eingespielt werden – jede Änderung an einer produktiven Steuerung erfordert Tests und eine geplante Stillstandszeit. Ein strukturierter Patch-Zyklus mit definierten Wartungsfenstern ist praxistauglicher als der Versuch, jede Schwachstelle sofort zu schließen.
5. Monitoring und Anomalieerkennung
Passive Netzwerküberwachungslösungen (z. B. Nozomi Networks, Claroty) erkennen ungewöhnlichen Datenverkehr, ohne selbst aktiv in die Kommunikation einzugreifen – ein entscheidender Unterschied zu klassischen IT-Sicherheitstools, die in Echtzeitsystemen Störungen verursachen können.
Der Faktor Mensch bleibt entscheidend
Die technisch beste Segmentierung nützt wenig, wenn USB-Sticks unkontrolliert an SPS-Programmiergeräte angeschlossen werden oder Standardpasswörter jahrelang unverändert bleiben. Regelmäßige Schulungen für Instandhaltungspersonal und klare Richtlinien für externe Dienstleister sind ebenso wichtig wie die technische Infrastruktur.
Regulatorischer Kontext: NIS2 und IEC 62443
Mit der NIS2-Richtlinie wird OT-Sicherheit für viele produzierende Unternehmen in der EU verpflichtend, nicht mehr optional. Die Norm IEC 62443 liefert dabei den technischen Rahmen für die Umsetzung – von der Risikobewertung über Zonen- und Conduit-Modelle bis zu konkreten Anforderungen an Komponentenhersteller und Systemintegratoren.
Fazit
OT-Sicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess, der Netzwerkarchitektur, organisatorische Prozesse und regulatorische Anforderungen zusammenbringt. Wer heute in Segmentierung, Asset-Transparenz und strukturiertes Patch-Management investiert, vermeidet morgen teure Produktionsausfälle und regulatorische Konsequenzen.