7 Leitprinzipien für eine wirksame OT-Security

Absolute Sicherheit gibt es in vernetzten Produktionsumgebungen nicht, zumindest nicht, wenn man exorbitante Kosten in Kauf nehmen möchte. Entscheidend ist daher ein pragmatischer Ansatz: Risiken sichtbar machen, Angriffsflächen reduzieren, kritische Bereiche schützen, Wiederanlauf vorbereiten und Angriffe früh erkennen. In diesem Blogbeitrag werden 7 Leitprinzipien vorgestellt, wie man die OT-Security systematisch und wirksam aufbauen kann.

Vom Schutzversprechen zur industriellen Resilienz

OT-Security wird häufig mit der Frage verbunden, wie sich Cyberangriffe verhindern lassen. Diese Frage ist berechtigt, aber zu eng. In modernen Produktionsumgebungen ist es realistischer, Sicherheit als Resilienz zu verstehen. Unternehmen müssen Angriffe möglichst unwahrscheinlich machen, aber zugleich davon ausgehen, dass Vorfälle trotzdem passieren können. Entscheidend ist dann, dass sie früh erkannt, lokal begrenzt und kontrolliert bewältigt werden.

Dieser Perspektivwechsel ist wichtig. Ein Unternehmen kann nie jede Schwachstelle sofort schließen, jede Altanlage ersetzen oder jeden externen Zugriff vollständig vermeiden. Produktionsumgebungen sind gewachsen, heterogen und oft auf hohe Verfügbarkeit ausgelegt. Genau deshalb braucht die OT-Security ein strukturiertes Vorgehen, das technische Schutzmaßnahmen mit der Betriebsrealität verbindet.

Die folgenden sieben Leitprinzipien bilden dafür einen pragmatischen Ordnungsrahmen: Asset Management, Segmentierung, Hardening, Backup & Recovery, IAM/PAM/Remote Access, Updates sowie SIEM und Monitoring. Jedes Prinzip adressiert eine andere Schwachstelle. Ihre Wirkung entsteht jedoch vor allem im Zusammenspiel.

1. Asset Management: Nur bekannte Systeme lassen sich schützen

Asset Management ist die Grundlage jeder OT-Security-Initiative. Der Grund ist einfach: Was nicht bekannt ist, kann nicht bewertet, geschützt oder überwacht werden. In vielen Produktionsumgebungen existieren jedoch blinde Flecken. Maschinen wurden über Jahre erweitert, Steuerungen nachgerüstet, Schnittstellen geschaffen, Dienstleisterzugänge eingerichtet und temporäre Lösungen dauerhaft weiterbetrieben. Aus Betriebssicht funktioniert das oft. Aus Sicherheitssicht entsteht dadurch Intransparenz.

Ein belastbares Asset Management erfasst nicht nur Gerätenamen. Es dokumentiert Anlagen, Steuerungen, Server, Netzkomponenten, Schnittstellen, Softwarestände, Kommunikationsbeziehungen, Verantwortlichkeiten und Kritikalitäten. Besonders wichtig ist die Frage, welche Systeme für den Produktionsfluss entscheidend sind und welche Abhängigkeiten zwischen IT und OT bestehen. Erst dadurch wird sichtbar, wo Risiken entstehen und welche Schutzmaßnahmen priorisiert werden sollten.

Kritisch betrachtet ist Asset Management kein einmaliges Inventarisierungsprojekt. Es muss als kontinuierlicher Prozess verstanden werden. Jede neue Maschine, jeder neue Fernwartungszugang, jede Schnittstelle zu einem MES, ERP oder Datenhub verändert die Sicherheitslage. Ohne Aktualisierung wird ein Inventar schnell zur Scheinsicherheit. Deshalb sollte Asset Management organisatorisch verankert und mit Change-Prozessen verbunden werden.

2. Segmentierung: Angriffe lokal begrenzen

Segmentierung ist eines der wirksamsten Prinzipien, um Auswirkungen von Sicherheitsvorfällen zu begrenzen. Der Grundgedanke lautet: Nicht jedes System darf mit jedem anderen System uneingeschränkt kommunizieren. Produktionsbereiche, Anlagenzellen, Steuerungsnetzwerke, IT-Systeme, Dienstleisterzugänge und Datenplattformen sollten in sinnvolle Zonen getrennt werden. Übergänge zwischen diesen Zonen müssen kontrolliert, dokumentiert und überwacht sein, denn ohne Segmentierung können sich Angriffe unkontrolliert ausbreiten. Ein kompromittierter Rechner, ein infizierter Server oder ein missbrauchter Fernzugang kann dann zum Sprungbrett in weitere Produktionsbereiche werden. Segmentierung schafft dagegen Barrieren. Sie verhindert nicht jeden Angriff, aber sie reduziert die Reichweite. Im Ernstfall kann ein Vorfall isoliert werden, ohne zwangsläufig die gesamte Produktion stoppen zu müssen.

Technisch ist dabei vieles möglich. Theoretisch lässt sich vor jede Maschine und jede Anlage eine eigene Firewall setzen. Entscheidend ist jedoch, dass dieser Aufwand wirtschaftlich im Einklang mit der Kritikalität der jeweiligen Maschine steht. Jede zusätzliche Komponente bedeutet nicht nur Investitionskosten, sondern vor allem dauerhaften Betriebsaufwand. Regelwerke müssen gepflegt, Änderungen dokumentiert, Störungen analysiert und Verantwortlichkeiten geklärt werden. Ein zu feiner Schnitt kann die Instandhaltung ausbremsen und im Fehlerfall selbst zur Verfügbarkeitsbremse werden.

Sinnvoll ist deshalb ein risikobasiert abgestufter Ansatz: Für hochkritische Anlagen, Engpassmaschinen oder Systeme mit besonderem Schutzbedarf kann eine dedizierte Firewall oder eine sehr feingranulare Isolation angemessen sein. Für weniger kritische Bereiche genügen häufig gröbere Zonen, ergänzt um kontrollierte Übergänge und Überwachung. Die richtige Segmentierungstiefe ist damit keine rein technische, sondern eine betriebswirtschaftliche Entscheidung, die sich aus Kritikalität, Ausfallfolgen und Betreibbarkeit ableitet.

3. Hardening: Die Angriffsfläche konsequent reduzieren

Hardening bedeutet, Systeme so zu konfigurieren, dass unnötige Risiken reduziert werden. In der Praxis geht es um scheinbar einfache, aber wirkungsvolle Maßnahmen: Standardpasswörter ändern, nicht benötigte Dienste deaktivieren, offene Ports schließen, Benutzerrechte reduzieren, unsichere Protokolle vermeiden, lokale Administrationsrechte begrenzen und Konfigurationen dokumentieren. Jede unnötige Funktion, Schnittstelle oder Verbindung vergrößert die Angriffsfläche.

Gerade in OT-Umgebungen ist Hardening besonders wichtig, weil Systeme oft lange betrieben werden und nicht jederzeit aktualisiert werden können. Wenn ein altes System nicht kurzfristig ersetzt oder gepatcht werden kann, müssen zumindest vermeidbare Risiken reduziert werden. Hardening ist damit ein pragmatischer Schutzansatz für gewachsene Produktionslandschaften.

Kritisch ist jedoch: Hardening darf nicht ungeprüft erfolgen. Änderungen an Steuerungen, Maschinenrechnern oder Leitsystemen können Produktionsprozesse beeinflussen. Deshalb braucht es abgestimmte Standards, Tests, Freigaben und eine enge Zusammenarbeit zwischen IT, OT, Instandhaltung und Anlagenherstellern. Das Ziel ist nicht maximale Abschottung um jeden Preis, sondern sichere Konfiguration bei stabilem Betrieb.

4. Backup & Recovery: Wiederanlauf planbar machen

Selbst mit guten Schutzmaßnahmen bleibt ein Restrisiko. Deshalb ist Backup & Recovery ein zentrales Leitprinzip. So muss sichergestellt sein, dass im Falle eines OT-Security-Vorfalls die relevanten Daten für eine Wiederherstellung vorhanden sind. Die entscheidende Frage lautet allerdings nicht nur, ob Daten gesichert sind, sondern ob die Produktion nach einem Vorfall tatsächlich wieder anlaufen kann. In OT-Umgebungen umfasst Wiederherstellung häufig mehr als klassische Serverdaten: Steuerungsprogramme, Anlagenkonfigurationen, Rezepturen, Parameter, Engineering-Projekte, Visualisierungen und Schnittstelleneinstellungen können ebenso kritisch sein.

Damit ist Backup & Recovery eng mit dem Asset Management verbunden, denn dort wird definiert, welche Systeme, Daten und Konfigurationen überhaupt vorhanden und gesichert werden müssen. Wer diesen Umfang nicht kennt, kann ihn auch nicht systematisch im Sicherungskonzept berücksichtigen. Blinde Flecken im Inventar führen deshalb unmittelbar zu fehlenden Sicherungen – und genau diese Lücken gefährden im Ernstfall den Wiederanlauf.

Gute Backups müssen regelmäßig erstellt, getrennt aufbewahrt und gegen Manipulation geschützt werden. Besonders wichtig sind schreibgeschützte oder offline verfügbare Sicherungen, damit Ransomware nicht auch die Wiederherstellungsbasis zerstört. Ebenso wichtig ist die Priorisierung: Welche Anlagen müssen zuerst wieder laufen? Welche Systeme sind für den Wiederanlauf zwingend erforderlich? Welche Abhängigkeiten bestehen zu IT-Systemen, Dienstleistern oder Ersatzteilen?

Der kritischste Punkt ist der Test. Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall eine Hoffnung, kein belastbarer Plan. Unternehmen sollten Wiederanlaufprozesse daher üben, Recovery-Zeiten definieren und Verantwortlichkeiten klären. Dadurch wird aus Datensicherung operative Resilienz.

5. IAM, PAM und Remote Access: Zugriffe kontrollieren

Zugänge sind eine der wichtigsten Grenzen zwischen innen und außen. In Produktionsumgebungen sind sie besonders sensibel, weil viele Akteure beteiligt sind: interne Mitarbeitende, Instandhaltung, Engineering, IT, externe Dienstleister, Maschinenhersteller und Integratoren. Jeder Zugang kann notwendig sein, aber jeder Zugang kann auch missbraucht werden.

Identity and Access Management (IAM) sorgt dafür, dass Benutzer eindeutig identifiziert und Berechtigungen gesteuert werden. Privileged Access Management (PAM) schützt besonders mächtige Konten, etwa Administratoren oder Servicekonten. Remote Access regelt den Zugriff von außen, beispielsweise für Fernwartung. Gemeinsam verfolgen diese Maßnahmen ein Ziel: Nur berechtigte Personen sollen zur richtigen Zeit, für den richtigen Zweck und mit dem notwendigen Mindestmaß an Rechten auf OT-Systeme zugreifen können.

Praktisch bedeutet das: keine gemeinsam genutzten Standardkonten, starke Authentifizierung, zeitlich begrenzte Freigaben, Protokollierung, Genehmigungsprozesse, regelmäßige Rechteüberprüfung und klare Verantwortlichkeiten. Besonders Fernwartungszugänge sollten nicht dauerhaft offenstehen, sondern kontrolliert aktiviert, überwacht und nach Nutzung wieder geschlossen werden.

6. Updates: Bekannte Schwachstellen strukturiert schließen

Bekannte Schwachstellen gehören zu den häufigsten Einfallstoren. Trotzdem sind Updates in der OT anspruchsvoll. Produktionssysteme können nicht beliebig neu gestartet werden, Anlagenhersteller müssen Freigaben geben, Validierungen sind erforderlich und Wartungsfenster sind knapp. Daraus entsteht ein Zielkonflikt: Sicherheitslücken sollen geschlossen werden, ohne die Produktionsstabilität zu gefährden.

Ein wirksamer Patch-Prozess bewertet deshalb Risiko und Betriebswirkung gemeinsam. Kritische Schwachstellen müssen priorisiert werden. Updates sollten, soweit möglich und falls vorhanden, in Testumgebungen geprüft, mit Anlagenverantwortlichen abgestimmt und kontrolliert ausgerollt werden. Wo Updates nicht möglich sind, müssen kompensierende Maßnahmen greifen, etwa Segmentierung, Zugriffsbeschränkungen, zusätzliche Überwachung oder gezielte Härtung.

Genau hier zeigt sich allerdings eine typische Herausforderung der OT. Für Anlagen und Steuerungen existieren häufig keine Testsysteme, weil Maschinen Unikate oder herstellerspezifisch sind und ein Nachbau wirtschaftlich nicht darstellbar ist. Geprüft wird dann faktisch am Produktivsystem, meist im knappen Wartungsfenster. Umso wichtiger sind belastbare Rollback-Pläne: gesicherte Ausgangskonfigurationen, ein dokumentierter Rückfallweg, definierte Abbruchkriterien und eine klare Zuständigkeit für die Entscheidung, ein Update zurückzunehmen. Ergänzend hilft ein stufenweiser Rollout, der zunächst eine einzelne Maschine oder Linie umfasst, bevor breiter ausgerollt wird.

Kritisch ist, Updates weder zu ignorieren noch unkontrolliert einzuspielen. Beides erhöht Risiken. Der richtige Weg liegt in einem transparenten, risikobasierten Prozess, der Security-Anforderungen mit Produktionsrealität verbindet.

7. SIEM und Monitoring: Frühe Erkennung ermöglicht schnelle Reaktion

Was nicht sichtbar ist, kann nicht verteidigt werden. Viele Angriffe bleiben zunächst unentdeckt, weil einzelne Auffälligkeiten nicht zusammengeführt oder nicht als relevantes Muster erkannt werden. Monitoring und Security Information & Event Management (SIEM) schaffen hier Transparenz. Sie sammeln Ereignisse, Protokolle und Auffälligkeiten aus unterschiedlichen Quellen und helfen, sicherheitsrelevante Muster zu erkennen.

In OT-Umgebungen muss Monitoring mit Augenmaß umgesetzt werden. Aktive Scans oder ungeeignete Werkzeuge können empfindliche Systeme stören. Deshalb sind OT-taugliche Verfahren, passive Netzwerküberwachung, abgestimmte Sensorik und ein gutes Verständnis der Produktionskommunikation wichtig. Ziel ist nicht möglichst viel Alarm, sondern relevante Sichtbarkeit.

Ebenso wichtig sind Reaktionsprozesse. Ein Alarm ohne Zuständigkeit hilft wenig. Unternehmen sollten klären, wer im Verdachtsfall entscheidet, welche Systeme isoliert werden dürfen, wie Produktion eingebunden wird und welche Eskalationswege gelten. Monitoring entfaltet seinen Wert erst dann, wenn daraus schnelle und kontrollierte Reaktion entsteht.

Fazit: Wirkung entsteht im Zusammenspiel

Die sieben Leitprinzipien sind keine isolierte Maßnahmenliste. Sie bilden eine zusammenhängende Sicherheitslogik. Asset Management zeigt, was geschützt werden muss. Segmentierung begrenzt die Ausbreitung von Vorfällen. Hardening reduziert vermeidbare Angriffsflächen. Backup & Recovery sichern die Wiederherstellungsfähigkeit. IAM, PAM und Remote Access kontrollieren Zugänge. Updates schließen bekannte Schwachstellen. SIEM und Monitoring machen Angriffe sichtbar und ermöglichen schnelle Reaktion.

Aus Managementsicht ist entscheidend, OT-Security nicht als einmaliges Projekt zu behandeln. Produktionsumgebungen verändern sich laufend: neue Anlagen, neue Schnittstellen, neue Dienstleister, neue Datenflüsse und neue Bedrohungen. Deshalb braucht OT-Security zu dem eine Governance, klare Verantwortlichkeiten, Priorisierungen und regelmäßige Überprüfungen.

Wie adesso Sie auf dem Weg einer sicheren Produktion unterstützt

Wenn Sie darüber nachdenken, Ihre Produktion gegen Cyberrisiken abzusichern, die OT-Security Ihrer bestehenden Anlagenlandschaft zu bewerten oder ein belastbares Zielbild für eine sichere Produktion zu entwickeln, sprechen Sie uns gerne an, egal, ob Sie noch am Anfang stehen oder bereits konkrete Handlungsfelder identifiziert haben.

Unser Vorgehen verbindet OT-Security-Anforderungen mit der Realität der Produktion: Hohe Verfügbarkeit, lange Anlagenlebenszyklen, heterogene Systeme, Herstellerabhängigkeiten sowie bestehende IT-/OT-Schnittstellen werden von Beginn an berücksichtigt.