Ein Bedienrechner an einer Maschine soll ersetzt werden. Die IT kennt den PC. Die Instandhaltung kennt seinen Platz in der Anlage. Für den Austausch werden außerdem Angaben zur Bediensoftware, zur Steuerung und zum verbundenen Server benötigt. In meinem it-sa-Vortrag „What Do We Actually Have? Building an IT/OT Asset Inventory from Reality“ zeige ich, wie aus solchen verteilten Informationen ein gemeinsames Inventar entsteht.
IT umfasst hier den Server und die Betreuung des Rechners. Zur OT, also zur Technik für das Bedienen und Steuern der Anlage, gehören der Bedienplatz und die Maschinensteuerung. Der Bedienrechner mit seiner Bedienoberfläche, kurz HMI, verbindet beide Sichtweisen. Er wird als Rechner verwaltet und erfüllt zugleich eine Anlagenfunktion. Das Inventar muss deshalb Geräte und Software mit ihren Verbindungen zusammenbringen.
Mit einer konkreten Aufgabe beginnen
Wählen Sie zunächst einen überschaubaren Bereich. Im Beispiel ist das der Bedienplatz mit seiner Steuerung und dem benötigten Server. Klären Sie gemeinsam, welche Informationen Sie für den Austausch benötigen. Dazu gehören Standort, Gerätebezeichnung und Softwareversionen. Ebenso wichtig sind die betreuenden Personen und die Unterlagen zur Anlage.
Vieles liegt bereits vor. Die IT hat Gerätelisten und Angaben zu Servern. Die Instandhaltung nutzt Schaltpläne und Wartungsunterlagen. Am Gerät lassen sich Typenschild und Einbauort prüfen. Bringen Sie diese Informationen zusammen und halten Sie fest, woher jede Angabe stammt und wann sie erfasst oder geprüft wurde.
Eine technische Erfassung kann zeigen, welche Geräte im überwachten Netz kommunizieren. Sie erklärt allein aber noch nicht, welche Aufgabe ein Gerät erfüllt. Bei einer passiven Erfassung bleiben Geräte ohne beobachteten Datenverkehr unentdeckt. Deshalb gehören Unterlagen und die Prüfung vor Ort dazu. Die Erfassungsmethode muss mit den Verantwortlichen abgestimmt und für den laufenden Betrieb geeignet sein.
Informationen eindeutig zuordnen
Nun werden die Angaben dem richtigen Gerät zugeordnet. Eine IP-Adresse reicht als Kennung nicht aus. Sie kann sich ändern oder in verschiedenen Netzen mehrfach vorkommen. Erfassen Sie deshalb auch das zugehörige Netz und den Zeitpunkt der Beobachtung.
Ist ein Anlagenkennzeichen, kurz AKZ, im Betrieb eindeutig einem Funktionsplatz zugeordnet, kann es die Verbindung zu Schaltplan und Steuerungsprojekt herstellen. Beim Austausch bleibt der Funktionsplatz bestehen, während ein neues Gerät eingesetzt wird. Das Inventar sollte beide getrennt abbilden. Hersteller, Seriennummer und Softwarestand gehören zum jeweiligen Gerät. So bleibt nachvollziehbar, was heute eingebaut ist und was vorher dort eingesetzt wurde.
Die IT bestätigt die Rechnerdaten und den verbundenen Server. Automatisierung und Anlagenbetrieb prüfen, mit welcher Steuerung der Bedienrechner zusammenarbeitet und wofür diese Verbindung gebraucht wird. So halten die Teams fest, welche Verbindung besteht und welche Funktion sie im Betrieb erfüllt.
Fehlt die Version der Bediensoftware, bleibt das Feld als offen erkennbar. Widersprechen sich Liste und Typenschild, wird die Abweichung geklärt. Eine unbestätigte Vermutung sollte nicht als geprüfte Angabe erscheinen.
Die Übersicht nutzen und aktuell halten
Jetzt lässt sich der geplante Austausch gezielt vorbereiten. Das Team findet den Bedienrechner mit seiner Software, den beteiligten Server und die Maschinensteuerung. Es weiß, wer die Auswirkungen beurteilt und welche Unterlagen gebraucht werden. Auch vor einer Serverwartung können die verbundenen Bedienplätze geprüft werden. Das Inventar liefert die Grundlage. Die technische Freigabe erfolgt durch die Verantwortlichen.
Bei einer Sicherheitswarnung des Herstellers helfen Geräte- und Versionsangaben, potenziell betroffene Systeme zu finden. Ihre Funktion und Verbindungen zeigen, welche weiteren Bereiche betrachtet werden sollten. Welche Schutzmaßnahme passt, muss anschließend bewertet werden.
Vereinbaren Sie bereits beim Aufbau, wer Änderungen übernimmt. Wird ein Gerät getauscht, Software aktualisiert oder eine Verbindung verändert, wird der Eintrag aktualisiert. Die Pflege gehört damit zu Inbetriebnahme und Instandhaltung.
secnostic sensor kann technische Angaben aus freigegebenen Quellen sammeln. secnostic inventory verbindet sie mit Software, Unterlagen und dem Wissen der Teams in einem gemeinsamen Modell für IT und OT. secnostic platform regelt die Anmeldung und den Zugang zu den Anwendungen.
Der erste brauchbare Bestand muss nicht das ganze Unternehmen erfassen. Entscheidend ist, dass sich eine konkrete Aufgabe damit zuverlässig vorbereiten lässt. Der nächste Bedienplatz kann dann nach demselben Vorgehen aufgenommen werden.
Fachliche Grundlagen
- CISA, BSI und weitere Partnerbehörden, 13. August 2025. Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators.
- NIST SP 800-82 Rev. 3, September 2023. Guide to Operational Technology (OT) Security.
- IEC, Edition 2.0, 30. März 2022. IEC 81346-1:2022 Structuring principles and reference designations.
