Im Bereich der Operational Technology (OT) können Cyberangriffe schwerwiegende Folgen haben. Wir haben fünf pragmatische Schritte identifiziert, mit denen IT-, OT- und Security-Verantwortliche ihre Systeme gezielt absichern können – ohne komplexe Großprojekte, aber mit sofort spürbarem Effekt.

Gerade in der Energie- und Versorgungswirtschaft, aber auch in der Industrie kann ein Cyberangriff nicht nur Anlagen stilllegen, sondern auch kritische Infrastrukturen oder internationale Lieferketten gefährden.

Die Operational Technology (OT) muss daher wirkungsvoll vor solchen Attacken geschützt werden. Doch die OT stellt auch spezielle Anforderungen an die Cybesecurity – sei es durch physische Rahmenbedingungen, gewachsene Strukturen oder kulturelle Unterschiede zwischen IT und Betrieb. Wer OT-Systeme effektiv schützen will, kann aus diesem Grund nicht auf Standardlösungen zurückgreifen, sondern muss diese Besonderheiten kennen.

Basierend auf unserer Erfahrung mit OT-Sicherheitsprojekten auf der ganzen Welt haben wir fünf pragmatische Schritte identifiziert, mit denen IT-, OT- und Security-Verantwortliche ihre Systeme gezielt absichern können – ohne komplexe Großprojekte, aber mit sofort spürbarem Effekt.

IT- und OT-Sicherheit integrieren: Verwundbarkeiten minimieren

In vielen Unternehmen sind IT und OT organisatorisch getrennt. Dies wirkt sich nicht nur auf die Zusammenarbeit aus, sondern führt auch häufig zu kritischen Sicherheitslücken.

Ein wichtiger Grund, um die Integration von IT und OT weiter voranzutreiben, ist das wachsende Datenvolumen in OT-Umgebungen. Durch Advanced Analytics liefern diese Daten wertvolle Erkenntnisse – etwa für Digital Twins oder Predictive Maintenance. Wer diese Potenziale nicht nutzt, verzichtet darauf, die Effizienz zu steigern, und spart möglicherweise an der falschen Stelle.

Doch es geht um mehr: Silodenken erschwert den Aufbau einer durchgängigen Sicherheitsarchitektur und macht OT-Systeme angreifbar. Ein integrierter Ansatz hilft, kritische Systeme in der OT und geschäftskritische Systeme in der IT gleichermaßen vor Attacken zu schützen.

Die gute Nachricht: In der IT-Sicherheit wurde in den letzten Jahren schon viel gelernt und erprobt. Diese Erfahrung kann helfen, entsprechende Schutzmechanismen auf die OT zu übertragen – natürlich angepasst an die speziellen Anforderungen im OT-Bereich.

Fünf Bausteine für eine sichere OT-Umgebung

Einigkeit herrscht in der Fachwelt darüber, dass wirksamer Schutz auf folgenden Grundlagen basiert: 

  • Transparenz über alle vernetzten Assets 
  • Bewertung der Verwundbarkeit
  • Priorisierung von Maßnahmen
  • klare Notfallpläne für den Ernstfall
     

Standards wie NIST SP 800-82 R2 oder IEC 62443 bieten hier eine gute Orientierung. Sie empfehlen unter anderem:

  • Zugriffskontrollen und Segmentierung durch DMZ-Architekturen und Firewalls
  • Gültige Zugriffsrechte und Virenschutz
  • Wiederherstellbarkeit im Schadensfall
     

Doch wie setzt man all dies konkret um? Zunächst einmal müssen die Unternehmen die eigene OT-Landschaft bis in die Tiefe kennen. Der Aufbau dieses Verständnisses lässt sich in fünf Phasen unterteilen:

1. Asset-Inventarisierung: Netzwerkkomponenten identifizieren

Zunächst einmal muss ermittelt werden, welche Geräte überhaupt im Netz aktiv sind. Dies gelingt mit einem Sensor, der passiv den Netzwerkverkehr mitliest und die verbundenen Assets über MAC-Adressen identifiziert.

Aktive Scans liefern mitunter bessere Ergebnisse, bergen aber auch Risiken, wenn die Geräte sensibel auf Anfragen reagieren. Welche Methode geeignet ist, hängt von der jeweiligen Umgebung ab. Auch die Logistik passiver Scans bei verteilten Standorten sollte berücksichtigt werden.

2. Physische Begehung: Realitätsabgleich vor Ort

Eine digitale Inventur reicht nicht aus. Nur wer die physischen Gegebenheiten mit dem digitalen Abbild abgleicht, gewinnt ein realistisches Bild.

Bei dieser Begehung zeigt sich, welche Assets: 

  • nicht ans Netz angeschlossen sind
  • an unbekannte Netze angebunden wurden
  • durch vorhandene Sensoren abgedeckt sind
  • aktuell nicht durch Sensorik erfasst werden
     

3. Asset-Klassifizierung: Systeme kategorisieren

Nicht jedes Gerät ist eindeutig identifizierbar – gerade bei fehlenden MAC-Adressen. Hier hilft es, die Assets in Kategorien zu sortieren: von industriellen Steuerungen über Drucker bis hin zu Access Points und Workstations.

Manchmal finden sich dabei auch unautorisierte Systeme wie ein Raspberry Pi oder ein privater WLAN-Repeater. Eine solche „Schatten-IT“ ist nicht nur unübersichtlich, sondern auch ein erhebliches potenzielles Sicherheitsrisiko.

4. Perimeterschutz: kritische Außenverbindungen identifizieren

In vielen OT-Umgebungen bestehen Internetverbindungen, von denen niemand weiß. Sobald der Sensor erste Hinweise auf nach außen kommunizierende Systeme liefert, stellt sich die Frage: Muss dieses Gerät online sein – und wenn ja, wie kann die Verbindung abgesichert werden?

Ein externer Scan zeigt zudem, welche Systeme aus dem Netz sichtbar und damit potenziell angreifbar sind. OT-Systeme sollten im Normalfall nie direkt mit dem Internet verbunden sein.

5. Security Awareness: OT-Teams sensibilisieren

Viele Angriffe auf OT-Infrastrukturen zeigen, dass eine konsequente Isolation oft illusorisch ist. USB-Sticks, Laptops oder neue Netzwerke werden aus praktischen Gründen einfach angeschlossen und schaffen unbemerkt Angriffsvektoren.

Konkret wird das Thema, wenn Beispiele wie Stuxnet, Sandworm (Ukraine), Oldsmar oder aktuelle Angriffe im Kontext des Ukraine-Kriegs genannt werden. Diese Fälle helfen, intern für Aufmerksamkeit zu sorgen und einen Dialog auf Augenhöhe zwischen Cybersecurity-Fachleuten und OT-Verantwortlichen aufzubauen.

Noch wichtiger als die Technik ist dabei Vertrauen: Nur wenn OT- und Sicherheitsteams partnerschaftlich zusammenarbeiten, lassen sich realistische Schutzkonzepte entwickeln. Gemeinsame Meetings, einheitliche Begrifflichkeiten und präsente Ansprechpartner sind der Schlüssel.

Incident Response: Vorbereitung als beste Verteidigung

Cybersecurity bedeutet, mit dem Schlimmsten zu rechnen. Wer seine Systeme kennt, kann sie schützen. Wer sich auch auf den Ernstfall vorbereitet, ist besser gewappnet.

Dazu gilt es, Zuständigkeiten zu klären, Backup-Strategien zu testen und Wiederanlaufpläne zu entwickeln. Wer „Assume Breach“ als Leitmotiv versteht und mit dem Ernstfall rechnet, reduziert nicht nur das Risiko, sondern begrenzt im Fall des Falles auch den Schaden.