IT/OT-Konvergenz: Organisatorische Maßnahmen sind genauso wichtig wie technische

IT/OT-Konvergenz beschreibt das Zusammenwachsen von klassischer Unternehmens-IT (Netzwerke, Server, Cloud) mit industriellen Steuerungs- und Automatisierungssystemen (SPS, SCADA, Feldgeräte). Treiber sind IIoT, Cloud-Anbindung und Fernwartungslösungen. Auch die zunehmende Verbreitung offener Industrieprotokolle wie OPC UA, MQTT und Modbus, die OT-Geräte erstmals breit vernetzbar machen, tragen zur Konvergenz bei. Plattformen wie Siemens Industrial Edge schlagen zusätzlich die Brücke zwischen OT-Umgebungen und IT-Infrastruktur.

IT/OT-Konvergenz beschreibt das Zusammenwachsen von klassischer Unternehmens-IT (Netzwerke, Server, Cloud) mit industriellen Steuerungs- und Automatisierungssystemen (SPS, SCADA, Feldgeräte). Treiber sind IIoT, Cloud-Anbindung und Fernwartungslösungen. Auch die zunehmende Verbreitung offener Industrieprotokolle wie OPC UA, MQTT und Modbus, die OT-Geräte erstmals breit vernetzbar machen, tragen zur Konvergenz bei. Plattformen wie Siemens Industrial Edge schlagen zusätzlich die Brücke zwischen OT-Umgebungen und IT-Infrastruktur.

Unter der Konvergenz von IT und OT versteht man die zunehmende Vernetzung und Verzahnung von Systemen der industriellen Produktion, der Operational Technology (OT), mit klassischen IT-Systemen. Maßgeblich getrieben wird dieser Trend durch technische Entwicklungen wie Cloud-Anbindungen, das Industrial Internet of Things, Fernwartungszugänge sowie die Nutzung von Machine Learning und künstlicher Intelligenz zur Prozessoptimierung.

Maschinen und Anlagen in OT-Umgebungen erzeugen heutzutage geschäftskritische Daten, die zunehmend in ERP-, MES- oder andere Unternehmenssysteme integriert werden. Diese werden meist in der IT betrieben und geschützt. Hinzu kommt, dass die Daten auch mehr und mehr von fast überall abrufbar sein müssen, sei es zur Nutzung wichtiger Unternehmensdaten oder zur Fernwartung. Auch die datengetriebene Produktionsoptimierung und Predictive Maintenance spielen dabei eine wichtige Rolle. Die Anforderungen an Cybersecurity sind ähnlich hoch und teils sogar noch kritischer, weil die Verfügbarkeit in der Produktion eine besondere Relevanz hat.

Der größte Unterschied besteht darin, was die jeweilige Umgebung schützen soll. Traditionelle IT-Sicherheit priorisiert den Schutz von Daten sowie die Ermöglichung schneller Veränderungen und Datenanalysen, während die OT-Sicherheit eine sichere, zuverlässige Produktion und kontinuierliche Verfügbarkeit in den Vordergrund stellt. Viele industrielle Systeme haben zudem lange Lebenszyklen, veraltetes Equipment und begrenzte Wartungsfenster, sodass Security-Kontrollen, die in der IT gut funktionieren, in Produktionsumgebungen nicht immer auf die gleiche Weise oder gar nicht anwendbar sind.

Während in IT-Umgebungen vor allem Datenschutz und Privatsphäre oberste Priorität haben, steht in OT-Prozessen die Verfügbarkeit mit einer unterbrechungsfreien Steuerung von Produktionsanlagen im Vordergrund. Zudem sind OT-Systeme oft deutlich älter und langlebiger als klassische IT-Systeme, weil sie meist im laufenden Betrieb mithilfe von Retrofit nachgerüstet wurden. Diese unterschiedlichen Prioritäten und technischen Ausgangslagen erschweren eine einheitliche Sicherheitsstrategie über beide Geschäftsbereiche hinweg.

Beide Welten benötigen Vertraulichkeit, Integrität und Verfügbarkeit, priorisieren jedoch unterschiedlich. In der OT stehen sichere, verfügbare und deterministische Prozesse im Vordergrund. Lange Lebenszyklen, Legacy-Systeme und seltene Wartungsfenster verhindern, dass klassische IT-Sicherheitsmaßnahmen unverändert übernommen werden können.

OT-Systeme wurden nie für Vernetzung designt; Sicherheitsupdates und Neustarts sind oft schlicht nicht möglich, ohne die Produktion zu gefährden. IT und OT unterscheiden sich zudem grundlegend in ihren Anforderungen und Betriebsmodellen. Während in der IT vor allem die Vertraulichkeit von Daten im Mittelpunkt steht, hat in der OT die Verfügbarkeit der Systeme die höchste Priorität. Produktionsanlagen müssen möglichst ohne Unterbrechung laufen, weil selbst kurze Ausfälle hohe Kosten verursachen können. Auch bei den Patchzyklen zeigen sich deutliche Unterschiede. IT-Systeme werden normalerweise wöchentlich oder monatlich aktualisiert. In OT-Umgebungen können dagegen Jahre oder sogar Jahrzehnte zwischen Updates liegen. Bei den eingesetzten Protokollen setzt die IT überwiegend auf etablierte TCP/IP-Standards. In der OT kommen hingegen sowohl offene als auch proprietäre Industrieprotokolle zum Einsatz, etwa Modbus, OPC UA, MQTT oder S7.

Außerdem ist die Ausfalltoleranz in der IT meist höher als in der OT. Während Störungen in klassischen IT-Systemen häufig überbrückt oder abgefangen werden können, ist die Ausfalltoleranz in industriellen Umgebungen oft nahezu Null. Ein Systemausfall kann dort unmittelbar zu einem Produktionsstopp führen und entsprechend hohe Kosten verursachen.

IT-Umgebungen sind auf Agilität, Flexibilität und schnelle Veränderung ausgelegt, wobei regelmäßiges Patching und Updates üblich sind. OT-Umgebungen priorisieren hingegen strikt Verfügbarkeit, physische Sicherheit und Aufrechterhaltung des Betriebs über lange Lebenszyklen hinweg. Deshalb haben selbst routinemäßige Wartungsfenster oder Unterbrechungen unmittelbare finanzielle und operative Folgen.

Der wichtigste Unterschied liegt in den Schutzzielen. Während in der IT häufig Vertraulichkeit und Integrität von Daten im Vordergrund stehen, hat in der OT die Verfügbarkeit und sichere Steuerung physischer Prozesse höchste Priorität. Produktionsanlagen werden oft 10 bis 20 Jahre oder länger betrieben und nutzen teilweise nicht mehr unterstützte Betriebssysteme oder proprietäre Protokolle wie Modbus, DNP3 oder CAN. Sicherheitsmaßnahmen aus der IT lassen sich daher nicht ohne Weiteres übernehmen, weil ungeplante Ausfälle direkte Auswirkungen auf Produktion, Qualität und Arbeitssicherheit haben können.

Die Anbindung von Produktionsumgebungen an ERP-Systeme, Cloud-Plattformen, IIoT-Geräte und Fernwartungslösungen verschafft Herstellern mehr Transparenz und Effizienz, öffnet aber auch mehr Zugangswege in die Umgebung. Ein kompromittiertes Fernzugriffstool, eine Cloud-Identität oder die Integration zwischen ERP und Manufacturing Execution Systems (MES) können einen Weg in Richtung Produktionsabläufe ebnen und neue Abhängigkeiten von Unternehmenssystemen schaffen, die für die Aufrechterhaltung der Produktion erforderlich sind. Die Herausforderung besteht darin, das gesamte vernetzte Ecosystem abzusichern und gleichzeitig kontinuierliche Transparenz über die Geräte, Systeme und Verbindungen aufrechtzuerhalten, die den Produktionsbetrieb unterstützen.

Ein Beispiel ist die Anbindung von Maschinensteuerungen an cloudbasierte Wartungsportale, über die Angreifer direkten Zugriff auf die Produktionsebene erlangen können. Auch Fernzugänge für externe Dienstleister, die zur Wartung von Anlagen notwendig sind, stellen häufig ein Einstiegstor dar, wenn sie nicht ausreichend abgesichert sind. Zudem erweitert die Vernetzung einzelner, eigentlich autarker IIoT-Sensoren die Angriffsfläche um oft schwer zu überwachende Endpunkte.

Typische Beispiele sind Fernwartungszugänge, IIoT-Gateways, Cloud-Connectors und die Kopplung von MES und ERP. Jeder Zugang bringt zusätzliche Konten, Schnittstellen und Dienstleister mit sich. Ein kompromittierter Wartungsaccount oder Service-USB/-Laptop kann so zur direkten Brücke in die Produktion werden.

Ein typisches Beispiel für die vergrößerte Angriffsfläche in Produktionsumgebungen sind Fernwartungszugänge zu Maschinensteuerungen, etwa über VPN-Verbindungen. Sie erleichtern zwar Wartung und Support, können bei unzureichender Absicherung jedoch zu direkten Einfallstoren für Angreifer werden. Ein weiteres Risiko entsteht durch die Anbindung von Produktionsdaten an Cloud-Plattformen, etwa für Predictive Maintenance. Häufig erfolgt die Übertragung über MQTT-Broker. Ohne konsequente Netzwerksegmentierung oder geeignete Mechanismen für Authentifizierung und Verschlüsselung lassen sich darüber sensible Daten abgreifen oder Kommunikationswege missbrauchen. Auch OPC UA erweitert die potenzielle Angriffsfläche als Kommunikationsstandard zwischen Maschinen und übergeordneten IT-Systemen. Das gilt besonders dann, wenn Sicherheitsfunktionen wie Authentifizierung, Zertifikatsprüfung und Verschlüsselung nicht durchgängig umgesetzt werden. Eine zentrale Rolle spielen außerdem Netzwerkknoten. Bleiben diese Komponenten ohne Monitoring, können ungewöhnliche Kommunikationsmuster, Verbindungsabbrüche oder andere Anomalien lange unentdeckt bleiben

Durch die direkte Anbindung vormals isolierter OT-Anlagen an das Internet vergrößert sich die Angriffsfläche drastisch. Unsere Studien belegen einen Anstieg internetexponierter OT-Geräte um 332 Prozent auf weltweit knapp 20 Millionen Assets. Werden diese ursprünglich auf lokale Steuerung ausgelegten Anlagen ohne durchgängige Segmentierung vernetzt, entstehen leicht ausnutzbare Einfallstore für seitliche Ausbreitung, sogenanntes Lateral Movement, im gesamten Netzwerk.

Es gibt Fälle, bei denen OT-Netze mit klassischen IT-Firewalls geschützt wurden. Durch Fehlkonfiguration wurde beispielsweise in einem Betrieb die Auto-Update-Funktion des Herstellers über dessen Cloud-Verbindung nicht deaktiviert, und die Firewall trennte während des Updates die Spritzguss- oder Lackiermaschine vom Netz, was zu einer Unterbrechung des Arbeitsgangs führte. Die dadurch entstandenen Schäden für Reinigung und Reparatur waren erheblich.

In der Vergangenheit waren industrielle Steuerungssysteme weitgehend von Unternehmensnetzwerken isoliert. Heutzutage zielen Angreifer mit gleicher Wahrscheinlichkeit auf Identity-Systeme, ERP-Plattformen oder IT/OT-Integrationspunkte ab, weil die Störung der Geschäftssysteme, die Produktionspläne, Lagerbestände oder Qualität verwalten, die gleichen betrieblichen Auswirkungen haben kann wie ein Angriff auf die Steuerungsumgebung selbst. Darüber hinaus kann ältere Malware in OT-Umgebungen, die häufig anfällig sind, weil sie ungepatcht sind und noch veraltete Betriebssysteme und Software nutzen, leicht Ziele finden. Infolgedessen benötigen Angreifer immer weniger spezialisiertes Fachwissen, um die OT zu stören.

Angreifer können über für Integration angepasste IT-Systeme in Produktionsnetze vordringen und dort gezielt Steuerungssysteme manipulieren oder stören. Besonders kritisch sind Ransomware-Angriffe, die nicht nur Daten verschlüsseln, sondern durch den Stillstand der Produktion unmittelbar physische und wirtschaftliche Schäden verursachen können.

Ein Angriff kann per Phishing oder Ransomware in der Büro-IT beginnen und über gemeinsame Identitäten, unzureichend segmentierte Netze oder administrative Zugänge in die OT gelangen. Dort drohen Produktionsstillstände, manipulierte Prozessparameter, Qualitätsabweichungen und im Extremfall Gefahren für Menschen und Umwelt.

Durch die zunehmende Vernetzung zwischen IT und OT entstehen neue Angriffspfade, über die Bedrohungen aus klassischen Unternehmensnetzwerken bis in industrielle Produktionsumgebungen gelangen können. Ein zentrales Szenario sind laterale Bewegungen: Angreifer kompromittieren zunächst ein IT-System, etwa im Office-Netz, und arbeiten sich anschließend schrittweise in OT-Segmente vor. Besonders kritisch ist Ransomware in der Produktion. Werden HMI- oder SCADA-Systeme verschlüsselt, können ganze Fertigungslinien oder Versorgungsprozesse zum Stillstand kommen. Vorfälle wie bei Colonial Pipeline oder Norsk Hydro haben gezeigt, dass Cyberangriffe auch erhebliche betriebliche und wirtschaftliche Folgen haben können.

Ein weiteres Risiko liegt in manipulierbaren Steuerungsdaten. Industrielle Protokolle wie Modbus verfügen über keine eigene Authentifizierung. Gelingt es Angreifern, auf entsprechende Kommunikationswege zuzugreifen, können sie Prozessparameter verändern. Das kann unmittelbare physische Auswirkungen auf Maschinen, Anlagen oder die Sicherheit von Mitarbeitern haben. Hinzu kommen Supply-Chain-Angriffe auf Industrial-Edge-Plattformen, Software-Marktplätze und OPC-UA-Server. Werden vertrauenswürdige Komponenten, Updates oder Drittanbieter-Lösungen kompromittiert, können Angreifer über zentrale Plattformen in zahlreiche verbundene OT-Umgebungen eindringen.

Weil IT- und OT-Geschäftsprozesse heutzutage eng miteinander verzahnt sind, kann bereits ein Sicherheitsvorfall oder Ransomware-Angriff in der klassischen Corporate-IT den Stillstand der gesamten Produktion erzwingen, selbst wenn die OT-Systeme selbst nicht direkt kompromittiert wurden. In kritischen Infrastrukturen drohen dadurch gravierende Ausfälle essenzieller Versorgungsleistungen.

Sicherheitsmechanismen, die in der IT etabliert sind und dort gut wirken, sind bei den Schwachstellen der OT und den dort verwendeten Protokollen oft wirkungslos oder unzureichend. Längst vergessene und in der IT kaum gefährliche Malware kann in der OT signifikante Schäden verursachen. Durch die IT/OT-Konvergenz können Angreifer aus kompromittierten Office- oder ERP-Umgebungen in Produktionsnetze vordringen. Neben Ransomware stellen vor allem laterale Bewegungen, Supply-Chain-Angriffe, kompromittierte Fernwartungszugänge sowie die Manipulation von SPS-Programmen erhebliche Risiken dar. Anders als in der IT können hier physische Schäden, Produktionsausfälle oder Sicherheitsrisiken für Mitarbeiter entstehen.

Die Konvergenz von IT und OT macht die Zusammenarbeit zwischen IT- und OT-Abteilungen unerlässlich. IT- und OT-Teams können Cybersicherheit nicht länger als getrennte Verantwortlichkeiten betrachten, weil viele Produktionsprozesse mittlerweile von gemeinsam genutzter Infrastruktur und vernetzten Geschäftsanwendungen abhängen. Sicherheitsentscheidungen rund um Identität, Cloud-Dienste oder Fernzugriff haben zunehmend betriebliche Konsequenzen. Deshalb benötigen IT, Technik und Anlagenbetrieb eine gemeinsame Governance, ein koordiniertes Change-Management und eine gemeinsame Planung der Reaktion auf Vorfälle (Incident Response). Um Sicherheitsmaßnahmen zu schaffen, die in OT-Umgebungen zuverlässig und sicher sind, müssen OT-Abteilungen betriebliches Fachwissen und Kontext bereitstellen, während IT-Teams das neueste Sicherheits-Know-how einbringen.

IT- und OT-Teams müssen zunehmend enger zusammenarbeiten und gemeinsame Sicherheitsstrategien entwickeln, statt getrennt voneinander zu agieren. IT-Verantwortliche müssen die besonderen Anforderungen der Produktionsumgebung verstehen, während OT-Verantwortliche sich mit klassischen IT-Sicherheitskonzepten vertraut machen müssen. In vielen Unternehmen entstehen dafür neue, interdisziplinäre Teams oder Rollen wie etwa OT-Security-Verantwortliche. Dafür muss ein aktiver Austausch beider Disziplinen gewährleistet werden.

OT-Security wird zur gemeinsamen Aufgabe. Die IT bringt Kompetenzen bei Identitäten, Netzwerken und Monitoring ein; Produktion und Automatisierung kennen Prozesse, Safety-Anforderungen und zulässige Wartungsfenster. Benötigt werden gemeinsame Asset-Verzeichnisse, Risikoanalysen, Notfallprozesse und Entscheidungswege.

Die klassische Trennung, dass IT Netzwerk/Security verantwortet und OT die Produktion steuert, funktioniert nicht mehr. Stattdessen sind gemeinsame Teams, gemeinsame Werkzeuge und eine gemeinsame Sprache notwendig. Eine einheitliche Monitoring-Plattform wie Paessler PRTG, die sowohl die IT-Infrastruktur als auch OT-Geräte überwacht, leistet hier einen konkreten Beitrag.

Cyberresilienz wandelt sich von der reinen IT-Aufgabe zu einer gemeinsamen Verantwortung von IT, Produktionsverantwortlichen und Geschäftsleitung. IT- und OT-Teams müssen kulturelle Gräben überwinden und ein gemeinsames Risikoverständnis entwickeln, das Cybersicherheit nahtlos mit betrieblicher Verfügbarkeit, Produktivität und Sicherheit vereint.

Während in der IT die Sicherheit von Daten, Anwendungen und Benutzern im Fokus steht, ist es in der OT der unterbrechungsfreie Betrieb. Die entsprechende Einschätzung können nur erfahrene Fachleute der Produktion und des Betriebs tätigen, was eine Zusammenarbeit mit Experten aus beiden Bereichen für einen Erfolg essenziell macht. Erfolgreiche OT-Sicherheit erfordert heutzutage gemeinsame Führungsstrukturen, abgestimmte Risikobewertungen und ein gemeinsames Verständnis der jeweiligen Prioritäten. Die Trennung von IT und Produktion als organisatorische Silos ist zunehmend ein Sicherheitsrisiko.

Die effektivste Strategie ist ein mehrschichtiger Ansatz, der Netzwerksegmentierung, dedizierte Sicherheitsgrenzen zwischen IT und OT, streng kontrollierten Fernzugriff und kontinuierliche Überwachung kombiniert. Unternehmen sollten zudem die Kommunikation zwischen IT und OT auf das für die Produktion absolut Notwendige beschränken und strenge Identitäts- und Privileged-Access-Kontrollen durchsetzen. Ziel ist es, zu verhindern, dass ein Problem im Unternehmensnetzwerk sich auf Produktionssysteme auswirkt oder auf diese übergreift.

Am wirksamsten ist eine Netzwerksegmentierung, um IT- und OT-Netzwerke nach einem Angriff unmittelbar voneinander zu trennen und die Ausbreitung einzudämmen. Firewalls an den Übergängen zwischen IT- und OT-Zonen können den Datenverkehr gezielt kontrollieren und überwachen. Dies ist auch innerhalb der OT-Zonen zu empfehlen, sofern die Systeme in der Lage sein müssen, OT- und auch IT-Protokolle zu verstehen. Zusätzlich sind heutige Next-Generation-Firewalls dazu fähig, das Ausnutzen von Schwachstellen in IT- und OT-Systemen im Netzwerkverkehr zu erkennen, zu melden und auch abzuwehren. An der Stelle ist auch das Etablieren einer sicheren Fernwartung zu nennen. Zunehmend setzen Unternehmen auch auf Zero-Trust-Prinzipien, bei denen jeder Zugriff standort- und netzwerkunabhängig kontinuierlich verifiziert werden muss.

Bewährt hat sich ein mehrschichtiger Schutz: belastbare Asset-Transparenz, klar segmentierte Zonen, kontrollierte Verbindungen, industrielle Firewalls und eine OT-DMZ (Demilitarized Zone). Hinzu kommen abgesicherte Fernzugriffe mit MFA (Multi-Faktor-Authentifizierung), zeitlich begrenzten Rechten und Protokollierung sowie Hardening, Backups und OT-gerechtes Schwachstellenmanagement. Zero Trust ist dabei ein Prinzip, kein einzelnes Produkt.

Eine zentrale Grundlage ist die konsequente Netzwerksegmentierung zwischen IT und OT. Als Referenz dient dabei oft das Purdue-Modell, das industrielle Netzwerke in klar voneinander getrennte Ebenen gliedert und so die Ausbreitung von Angriffen begrenzen kann. Für besonders sensible Steuerungsumgebungen kommen zusätzlich unidirektionale Gateways, sogenannte Data Diodes, zum Einsatz. Sie ermöglichen den Datenfluss in nur eine Richtung und verhindern, dass Verbindungen aus weniger vertrauenswürdigen Netzen direkt auf kritische Systeme zurückwirken. Auch Remote-Zugriffe auf OT-Systeme sollten nach Zero-Trust-Prinzipien abgesichert werden. Jeder Zugriff muss eindeutig authentifiziert, autorisiert und möglichst auf den tatsächlich benötigten Zeitraum sowie die erforderlichen Systeme beschränkt sein.

Außerdem ist die Absicherung der offenen Protokolle entscheidend. OPC UA sollte grundsätzlich mit Authentifizierung und Verschlüsselung betrieben werden. MQTT-Broker müssen konsequent gehärtet und Zugriffe streng kontrolliert werden. Bei Modbus empfiehlt es sich, die Kommunikation auf autorisierte Quellen und klar definierte Netzwerkpfade zu begrenzen. Kontinuierliches Monitoring ist eine weitere Basismaßnahme, denn nur bekannte Systeme lassen sich auch wirksam schützen.

Bewährt haben sich eine konsequente, risikobasierte OT-Segmentierung sowie strikte Zero-Trust-Prinzipien, bei denen jede menschliche und maschinelle Identität kontinuierlich überprüft wird. Ergänzend sind »Red-Button«-Kapazitäten essenziell, die ein schnelles, kontrolliertes Isolieren kritischer Produktionsbereiche bei IT-Sicherheitsvorfällen ermöglichen, um die Schadensausbreitung zu begrenzen.

Allen voran eine Mikrosegmentierung auf Layer-2-Ebene, weil damit kein Eingriff in die Konfiguration von IP-Adressen, NAT-Parametern und Default-Gateway erfolgen muss. Dies ist bei sehr alten Maschinen oft auch gar nicht möglich. Obendrein verstehen entsprechende OT-Security-Edge-Gateways auch die typischen Protokolle und können sogenanntes Virtual Patching realisieren. Dies ist wichtig für Maschinen, die keinen eigenen Endpunktschutz bekommen können oder dürfen. Ebenfalls bewährt haben sich sogenannte portable Inspektoren, die auch nicht vernetzte Maschinen analysieren und auf Malware überprüfen und bei Befall befreien können. Denn diese sind oft dennoch anfällig, etwa durch USB-Ports. Weiterhin hat sich seit langer Zeit auch ein OT-Endpunkt-Schutz etabliert, der heutige und alte Betriebssysteme wie Windows XP oder 2000, aber auch Linux vor Cyberangriffen schützen kann.

Im Gegensatz zu herkömmlichen IT-Umgebungen vertragen OT-Netzwerke nicht immer aktives Scannen oder häufige Updates und Änderungen. Passives Netzwerk-Monitoring, Anomalieerkennung und die Integration von OT-Telemetrie in ein bestehendes Security Information and Event Management (SIEM) oder Security Operations Center (SOC) ermöglichen es Unternehmen, verdächtige Aktivitäten zu erkennen und gleichzeitig das Risiko für die Produktion zu minimieren. Der Schwerpunkt sollte darauf liegen, Transparenz zu gewinnen und das Geräteverhalten zu verstehen, ohne den Betrieb zu stören. Wenn das Einspielen von Patches nicht möglich ist, dienen Netzwerk-Monitoring und Anomalieerkennung als kompensierende Maßnahme.

Wichtig ist die Nutzung passiver Monitoring-Technologien, die den Netzwerkverkehr kontinuierlich analysieren, ohne aktiv einzugreifen oder Steuerungssysteme zu belasten. Anomalie-Erkennung auf Basis von Verhaltensmustern hilft ebenfalls dabei, ungewöhnliche Aktivitäten frühzeitig zu identifizieren. Die Integration von OT-Sicherheitsdaten in ein zentrales SIEM oder SOC ermöglicht zudem eine ganzheitliche Sicht auf Bedrohungen über die gesamte Sicherheitsinfrastruktur hinaus. Im Zusammenspiel gewährleisten diese Maßnahmen innerhalb der OT-Infrastruktur, dass Angriffe auf Produktionsprozesse verhindert und frühzeitig erkannt werden.

OT-Monitoring sollte protokollbewusst erfolgen. Eine Anomalieerkennung muss den normalen Anlagenbetrieb verstehen und qualifizierte Ereignisse mit Prozesskontext an SIEM oder SOC übergeben. Gemeinsame Reaktionspläne von IT-Security und Automatisierung verhindern Fehlalarme und riskante Eingriffe.

Schonende, protokollbasierte Abfragen sind der Schlüssel: Statt auf aktive Schwachstellen-Scans zu setzen, die OT-Geräte destabilisieren können, nutzen Plattformen wie PRTG standardisierte Abfragen per SNMP, OPC UA, MQTT und Modbus, die den laufenden Betrieb nicht beeinträchtigen. Die PRTG Multi-Platform Probe auf Siemens Industrial Edge ermöglicht beispielsweise Monitoring direkt vor Ort am OT-Netzwerkrand, ohne Datenverkehr unnötig über WAN-Strecken zu leiten. So lassen sich Schwellenwertüberschreitungen und Verbindungsabbrüche frühzeitig erkennen, sodass Teams reagieren können, bevor daraus ein Produktionsausfall wird.

Wirksame Erkennung beruht auf lückenloser Transparenz über alle vernetzten Assets und Datenflüsse hinweg. Durch den kombinierten Einsatz passiver Asset-Erkennung und KI-gestützter Anomalieerkennung lassen sich ungewöhnliche Netzwerkmuster und Bedrohungen frühzeitig identifizieren und im integrierten SOC analysieren, ohne den laufenden Produktionsbetrieb zu beeinträchtigen.

Dafür sind Systeme erforderlich, die den Netzwerkverkehr mit seinen spezifischen Protokollen analysieren können, im Fehlerfall aber auch durch einen physischen Bypass dafür sorgen, dass die Verbindung niemals unterbrochen wird. So lässt sich OT-Schutz auch erreichen, ohne die nächsten Wartungsfenster abwarten zu müssen. Diese sind im Umfeld von Industrie und kritischer Infrastruktur oft nur alle 18 Monate oder in noch größeren Zeitspannen. Auch die Nutzung portabler Inspektoren erfordert weder einen Stopp noch einen Neustart der zu analysierenden Systeme und erfolgt ohne negative Auswirkungen auf den laufenden Betrieb, also rückwirkungsfrei. Das Gleiche gilt für einen OT-Endpunkt-Schutz, der zwar eine Installation erfordert, aber sehr schlank ist, das System normalerweise nicht belastet und ebenfalls keinen Neustart erfordert. All diese Systeme können die gewonnenen Erkenntnisse in zentrale SIEM- oder SOC-Instanzen überführen, damit IT- und OT-Vorfälle gemeinsam bewertet und koordiniert behandelt werden können. Auch ein separates OT-SOC ist heutzutage eine gängige Option.

Unternehmen benötigen klare Verantwortlichkeiten über IT und OT hinweg, gemeinsame Risikobewertungen und Notfallpläne, die sowohl die Cyber-Wiederherstellung als auch die Produktionskontinuität abdecken. Genauso wichtig ist das regelmäßige Testen dieser Pläne in Planspielen (Tabletop-Übungen), an denen IT und Anlagenbetrieb gemeinsam beteiligt sind, weil viele Unternehmen kritische Abhängigkeiten zwischen ERP und Produktion erst dann entdecken, wenn tatsächlich ein Ausfall auftritt.

Klare Verantwortlichkeiten und definierte Schnittstellen zwischen IT- und OT-Teams sind die Grundvoraussetzung für eine koordinierte Sicherheitsstrategie. Notfallpläne für IT- und OT-Szenarien müssen regelmäßig getestet und optimiert werden. Ergänzend dazu sind kontinuierliche Risikoanalysen erforderlich, um neue Schwachstellen frühzeitig zu identifizieren und Schutzmaßnahmen anzupassen.

Erforderlich sind eindeutige Verantwortlichkeiten, gemeinsames Verständnis, IT/OT-Governance und regelmäßige Risikoanalysen anhand der möglichen Prozessauswirkungen. Notfallpläne müssen Isolation, Wiederanlauf, Kommunikation und gegebenenfalls manuellen Betrieb abdecken und praktisch geübt werden. Für NIS-2-regulierte Unternehmen ist dies auch eine gesetzliche Verantwortung der Geschäftsleitung.

Für die Absicherung von OT-Umgebungen sind neben technischen Vorkehrungen auch klare organisatorische Strukturen erforderlich. Zunächst müssen die Verantwortlichkeiten eindeutig geregelt sein. Ebenso wichtig ist ein etablierter Incident-Response-Plan, der die Besonderheiten industrieller Umgebungen berücksichtigt. Dazu gehören auch Szenarien wie der Ausfall einer Produktionslinie, die Beeinträchtigung sicherheitskritischer Prozesse oder mögliche physische Schäden an Anlagen. Regelmäßige Risikoanalysen, etwa auf Grundlage der IEC 62443, helfen dabei, Schutzbedarf systematisch zu bewerten, Schwachstellen zu priorisieren und geeignete Maßnahmen abzuleiten. Eine wesentliche Grundlage ist zudem die vollständige Transparenz über Assets. Für eine tiefergehende, passive OT-Asset-Erkennung empfiehlt sich die Kombination mit spezialisierten OT-Security-Lösungen. So entsteht ein belastbares Gesamtbild der Umgebung, das als Basis für Risikomanagement, Incident Response und kontinuierliche Verbesserung dient.

Erforderlich sind klare Governance-Strukturen mit verankerten Zuständigkeiten auf Vorstandsebene sowie regelmäßig eingeübte Notfall- und Wiederherstellungspläne. Zudem müssen Sicherheit und Cyberresilienz gemäß dem Security-by-Design-Ansatz bereits von Beginn an als festes Prinzip in digitale Transformationsprojekte und Risikoanalysen integriert werden.

Zu Beginn stehen die Identifizierung und Verwaltung der OT-Assets sowie deren Definition und Einordnung nach Kritikalität. Anschließend sollten die kritischsten Szenarien ermittelt und dokumentiert werden, die eintreten könnten und größtmögliche Schäden und Ausfälle verursachen. Von diesen sollten Notfallpläne abgeleitet und in Trainings/Übungen auf Wirkung und Umsetzbarkeit überprüft werden. Weil sowohl IT als auch OT dynamisch sind und ständigen Veränderungen unterliegen, sollten Analysen und Übungen in regelmäßigen Abständen durchgeführt und Notfallpläne überarbeitet werden. Dokumentation von Fehlern und stetige Verbesserung sind dabei essenziell. Ebenso wichtig sind klar definierte Verantwortlichkeiten zwischen IT, Produktion und Engineering sowie ein strukturiertes Lieferanten- und Änderungsmanagement.

Produktionsteams kommen oft eher aus den Bereichen Ingenieurwesen und Automatisierung als aus den Bereichen Netzwerk und Security, weshalb Sensibilisierungsschulungen so wichtig sind. Sie helfen den Mitarbeitern, die Risiken zu verstehen, die von scheinbar harmlosen OT-Praktiken ausgehen können, etwa der Gewährung von Zugang für Drittanbieter zur Diagnose eines fehlerhaften Systems, der Verwendung von Standard-Anmeldedaten oder der gemeinsamen Nutzung von Konten. Diese Schulungen sollten auch in die andere Richtung wirken und IT- sowie Security-Teams dabei helfen, Safety-Anforderungen und die Notwendigkeit zur Aufrechterhaltung der Produktionsverfügbarkeit zu verstehen. Ich habe erlebt, wie Hersteller viel Geld für Security-Risikobewertungen in IT- und OT-Systemen ausgegeben haben, nur um dann als Empfehlung automatische Bildschirmsperren für jedes System zu erhalten. Auf Systeme in Leitwarten angewendet, würde dies natürlich die Safety und das Produktionsmanagement beeinträchtigen.

Gezielte Schulungen helfen, ein grundlegendes Sicherheitsbewusstsein auch außerhalb der klassischen IT-Abteilung zu etablieren. Das ist besonders wichtig, weil menschliches Fehlverhalten, etwa bei der Nutzung von USB-Sticks oder Fernzugängen, nach wie vor eine der häufigsten Ursachen für Sicherheitsvorfälle in OT-Umgebungen darstellt.
Patrick Scholl, Infinigate: Produktionsmitarbeitende sind ein wichtiger "Sensor". Schulungen sollten deshalb rollen- und anlagenspezifisch auf Phishing, USB-Medien, Fernwartung, Dienstleisterzugänge und das Melden ungewöhnlicher Vorgänge eingehen. Kurze, regelmäßige Übungen sind wirksamer als ein jährliches allgemeines IT-Training.

Eine zentrale Rolle. Mitarbeiter in der Produktion sind oft nicht für Cyberrisiken sensibilisiert. USB-Sticks an Maschinen, unsichere Passwörter an HMIs oder unbedachte Fernwartungsfreigaben sind reale Angriffsvektoren. Security Awareness muss in die OT-Welt getragen werden – und zwar angepasst an die Sprache und den Alltag von Schichtleitern und Maschinenbedienern, nicht als IT-Schulung verkleidet.

Mitarbeiterschulungen bilden das Fundament der OT-Sicherheit, weil das Produktionspersonal durch die fortschreitende Vernetzung mit der IT zunehmend als erstes Schutzschild gegen Cyberrisiken in der OT agiert. Sie schärfen das Bewusstsein für spezifische Gefahren wie etwa manipulierte Wartungszugänge und tragen dazu bei, dass IT-Sicherheit nicht länger als Aufgabe der IT-Abteilung, sondern als selbstverständlicher Bestandteil des Produktionsalltags verstanden wird. So lernen Teams in der Fertigung, ungewöhnliche Vorgänge frühzeitig als potenzielle Security-Vorfälle einzustufen und vorschriftsgemäß zu melden.

Entsprechende Schulungen sind sehr wichtig, ebenso wie deren Ergebnisse abzufragen und zu dokumentieren, um Verbesserungen erkennen und nachweisen zu können. Ebenso wichtig, wenn nicht sogar wichtiger, ist es, Mitarbeiter aus der IT-Welt mit den Anforderungen und Herausforderungen der OT vertraut zu machen, damit auch dem Fokus des Unternehmensziels samt wirtschaftlichem Erfolg, Produktqualität und Verfügbarkeit Rechnung getragen werden kann. In der Praxis ist diese Herausforderung erfahrungsgemäß oft größer als die Sensibilisierung von Produktionspersonal für Cyberrisiken. Neben Cyberrisiken sind aber auch Aspekte wie Incident Response oder Notfallübungen bei Schulungen zu beachten.

Ich empfehle, mit einem einfachen Framework wie dem NIST CSF zu beginnen und dann, wenn die OT-Security-Organisation reifer wird, zur IEC 62443 überzugehen. Beide Frameworks sind für industrielle Umgebungen konzipiert. Das NIST CSF bietet eine praktische Struktur zur Identifizierung von Risiken, zum Schutz kritischer Assets, zur Erkennung von Bedrohungen, zur effektiven Reaktion sowie zur Wiederherstellung nach Vorfällen. Die IEC 62443 geht tiefer auf OT-spezifische Designprinzipien wie Zonen und Leitungen (Zones and Conduits), Segmentierung und Sicherheitsniveaus ein.

NIS-2 ist eine wichtige Richtlinie für den Aufbau von Cyber-Resilienz in ganz Europa und rückt proaktives Risikomanagement, Verantwortlichkeit, Vorfallreaktion und Lieferkettenrisiken in den Vordergrund. Sie wird in den europäischen Ländern allerdings unterschiedlich umgesetzt. Infolgedessen ist es oft eine rechtliche und Compliance-Herausforderung, die tatsächlich geltenden Anforderungen zu ermitteln, die in mehreren Ländern tätige Unternehmen erfüllen müssen. Hersteller verzetteln sich oft darin, behördliche Vorgaben erfüllen zu wollen, und verlieren dabei das große Ganze aus den Augen: dafür zu sorgen, dass die IT- und OT-Security effizient funktioniert, die Unternehmensziele unterstützt werden und Sicherheitsprojekte über eine reine Pflichtübung (Box-Ticking) hinausgehen. Echtzeit-Transparenz der Assets und Netzwerküberwachung liefern einen Mehrwert, der über die reine Cybersicherheit hinausgeht, und helfen dabei, die allgemeine betriebliche Resilienz eines Unternehmens zu stärken.

Die Norm IEC 62443 gilt als zentraler Standard und bietet konkrete Vorgaben für die Absicherung von OT-Systemen. Ergänzend dazu liefert ISO 27001 einen bewährten Rahmen für das unternehmensweite IT-Management. Die NIS-2-Richtlinie schafft zusätzlich einen allgemeinen regulatorischen Rahmen, der Unternehmen zur Umsetzung angemessener Sicherheitsmaßnahmen und zu deren Nachweis verpflichtet.

ISO/IEC 27001 schafft das übergeordnete Informationssicherheits-Managementsystem, während IEC 62443 die Anforderungen für industrielle Automatisierungs- und Steuerungssysteme konkretisiert. NIS-2 beziehungsweise das BSI-Gesetz definiert für betroffene Unternehmen den gesetzlichen Rahmen. Hersteller vernetzter Produkte und Maschinen sollten zusätzlich den Cyber Resilience Act und die EU-Maschinenverordnung berücksichtigen.

Für die Absicherung industrieller Umgebungen bieten mehrere Standards und regulatorische Vorgaben eine wichtige Orientierung. Als zentraler Standard für industrielle Cybersecurity gilt IEC 62443 und deckt technische und organisatorische Anforderungen für OT-Umgebungen ab. Der Standard adressiert unter anderem die sichere Gestaltung industrieller Kommunikationsprotokolle wie OPC UA. Eine hohe Relevanz hat außerdem die europäische NIS-2-Richtlinie. Sie wirkt sich unmittelbar auf Betreiber kritischer Infrastrukturen und deren Zulieferer aus und verpflichtet viele Industrieunternehmen dazu, ihre Maßnahmen im Bereich Cybersecurity systematisch auszubauen und nachweisbar umzusetzen. Die ISO 27001 ist als etabliertes Rahmenwerk für Informationssicherheitsmanagement eine geeignete Grundlage für OT-nahe Bereiche. Ergänzend kann das NIST Cybersecurity Framework vor allem für international tätige Unternehmen hilfreich sein.

Für europäische Industrieunternehmen ist derzeit vor allem die Kombination aus IEC 62443 und NIS-2 relevant. Während die IEC 62443 die OT-spezifischen technischen und organisatorischen Anforderungen konkretisiert, bildet NIS-2 den übergeordneten regulatorischen Rahmen.

Für Industrieunternehmen empfiehlt sich eine Kombination aus regulatorischer Orientierung, Managementsystem und technischen Standards: NIS-2 dient als regulatorische Leitplanke, ISO/IEC 27001 als Rahmen für das Informationssicherheits-Managementsystem und IEC 62443 als technisches Fundament für OT- und IACS-Umgebungen. Zusammen helfen diese Vorgaben dabei, IT/OT-Sicherheit strukturiert aufzubauen, Risiken systematisch zu adressieren und die getroffenen Maßnahmen nachprüfbar zu machen.

Die Beachtung von IEC 62443 und NIS-2 bringt schon eine sehr gute Grundlage mit sich. Wichtiger werden aktuell auch der Cyber Resilience Act (CRA) und die neue EU-Maschinenverordnung (EU) 2023/1230, die am 20. Januar 2027 in Kraft tritt. Letztere gilt besonders für Unternehmen, die selbst Maschinen produzieren und der Verordnung unterworfen sind. Die Erfüllung ist Voraussetzung, um die Maschinen dann in der EU in Verkehr bringen zu dürfen. Ergänzend bietet ISO 27001 einen etablierten Ansatz für Informationssicherheits-Management. Dies wird oft unterschätzt, weil seltener personenbezogene Daten verarbeitet werden. Dennoch sind die erhobenen und verarbeiteten Daten von hoher und kritischer Relevanz, etwa für Produktionsrezepte, Konstruktionsdaten, Qualitätskennwerte, Lieferketten- und Produktionsinformationen oder andere Betriebsgeheimnisse.