Was ist OT-Security? Schutz für Produktionsanlagen
Was ist OT-Security? OT-Security ist der Schutz von Operational Technology, also der Hard- und Software, die physische Prozesse in Produktion, Energie und Infrastruktur steuert. Dazu zählen industrielle Steuerungssysteme, SCADA-Umgebungen und speicherprogrammierbare Steuerungen. OT-Security folgt anderen Prioritäten als klassische IT-Sicherheit, weil hier die Verfügbarkeit der Anlage über allem steht.
Das Wichtigste in Kürze
- Was es schützt: Die Systeme, die Maschinen, Anlagen und physische Prozesse steuern, von der Fertigungsstraße bis zum Umspannwerk.
- Der Unterschied: In der OT steht Verfügbarkeit vor Vertraulichkeit. Ein Patch, der eine Anlage stilllegt, kann teurer sein als das Risiko, das er schließt.
- Die Herausforderung: Lebenszyklen von zwanzig Jahren und mehr, Legacy-Protokolle ohne Authentifizierung und eine wachsende Vernetzung mit der IT.
Warum OT anders tickt als IT
In der klassischen IT-Sicherheit gilt oft die Reihenfolge Vertraulichkeit, Integrität, Verfügbarkeit. In der OT dreht sie sich um. Zuerst kommt die Verfügbarkeit, denn eine stehende Produktionslinie oder ein ausgefallenes Umspannwerk hat sofort physische und wirtschaftliche Folgen. Sicherheit im Sinne von Safety, also dem Schutz von Menschen und Umwelt, kommt als eigene Dimension hinzu.
Auch die Zeitachse unterscheidet sich. Während IT-Systeme in wenigen Jahren ausgetauscht werden, laufen Anlagen zwanzig Jahre und länger. Viele klassische Steuerungen sprechen Protokolle wie Modbus oder Profinet, die ursprünglich ohne Authentifizierung entstanden sind. Neuere Profile und Gateway-Absicherungen können das Risiko begrenzen, doch im Bestand bleibt die Absicherung oft eine Aufgabe für das Netzdesign. Ein Update erfordert geplante Wartungsfenster statt einer spontanen Einspielung.
So lange bleiben Produktionsanlagen oft im Betrieb, weit über den Lebenszyklus klassischer IT-Systeme hinaus
Quelle: BSI
Wo die Risiken entstehen
Lange waren OT-Netze physisch von der Außenwelt getrennt. Diese Trennung weicht auf, weil Fernwartung, Datenanalyse und die Verbindung zu Unternehmenssystemen Nutzen bringen. Mit der Vernetzung wächst die Angriffsfläche. Ein kompromittiertes IT-Netz kann so zum Einfallstor in die Produktion werden.
Erschwerend kommt hinzu, dass viele Anlagen keine Sicherheitsfunktionen mitbringen und sich nicht einfach nachrüsten lassen. Klassische IT-Werkzeuge wie aggressive Schwachstellenscans können empfindliche Steuerungen sogar stören. OT-Security braucht deshalb angepasste Methoden statt einer bloßen Übertragung von IT-Praktiken.
Erste Schritte in der OT-Absicherung
- ✓Vollständiges Inventar aller OT-Anlagen und Protokolle erstellen
- ✓OT-Netze von der IT segmentieren und Übergänge kontrollieren
- ✓Fernwartungszugänge absichern und protokollieren
- ✓Reaktionspläne an OT-Besonderheiten wie Wartungsfenster anpassen
Der Rahmen für OT-Sicherheit
Als zentraler Standard hat sich die Normenreihe IEC 62443 etabliert. Sie adressiert Betreiber, Integratoren und Hersteller und beschreibt Sicherheitsanforderungen über den gesamten Lebenszyklus einer Anlage, darunter Risikobewertung mit Zonen und Conduits (Teil 62443-3-2) sowie Systemanforderungen und Security Levels (Teil 62443-3-3). In Deutschland ordnet das BSI OT unter anderem in den IND-Bausteinen des IT-Grundschutz-Kompendiums ein, etwa IND.1 Prozessleit- und Automatisierungstechnik. Als US-Referenz ergänzt NIST SP 800-82 die Absicherung industrieller Steuerungssysteme. Als Strukturmodell dient häufig das Purdue-Modell, das die Ebenen von der Feldsteuerung bis zur Unternehmens-IT trennt.
Regulatorisch rückt OT stärker in den Fokus. NIS2 und der KRITIS-Rahmen erfassen viele Betreiber industrieller Anlagen. Für die DACH-Industrie mit ihrer starken Fertigung ist OT-Security inzwischen ein zentraler Teil der Pflicht zur Cyberresilienz.
Wie IT und OT zusammenfinden
Lange arbeiteten IT- und OT-Teams getrennt, mit eigenen Zielen und eigener Sprache. Die IT dachte in Patch-Zyklen und Vertraulichkeit, die OT in Verfügbarkeit und Anlagensicherheit. Mit der wachsenden Vernetzung lässt sich diese Trennung nicht mehr halten. Ein Angriff, der über das Büronetz beginnt, endet sonst in der Produktion.
Der Weg führt über gemeinsame Governance statt über die Übernahme der einen durch die andere Seite. Sinnvoll ist eine übergreifende Verantwortung, oft beim CISO, die IT- und OT-Sicherheit unter einem Dach steuert, ohne die Besonderheiten der OT zu ignorieren. Gemeinsame Risikobewertungen, abgestimmte Reaktionspläne und ein geteiltes Lagebild bringen beide Welten Schritt für Schritt zusammen.
Der Blick auf die Lieferkette
Ein oft unterschätztes Risiko in der OT ist der Zugang von außen. Anlagen werden häufig von Herstellern oder Integratoren aus der Ferne gewartet, mit weitreichenden Rechten und eigenen Zugängen. Jeder dieser Zugänge ist ein potenzielles Einfallstor, das mit der gleichen Sorgfalt behandelt werden muss wie interne Konten.
Sinnvoll sind kontrollierte, protokollierte Fernwartungszugänge statt dauerhaft offener Verbindungen. Der Zugang wird nur bei Bedarf freigeschaltet, ist an eine Person gebunden und wird aufgezeichnet. Ergänzend gehören Sicherheitsanforderungen in die Verträge mit Lieferanten, damit die Kette vom Hersteller bis zur Anlage nachvollziehbar abgesichert ist.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Was ist der Unterschied zwischen IT und OT?
IT verarbeitet Informationen, OT steuert physische Prozesse. In der IT steht meist die Vertraulichkeit im Vordergrund, in der OT die Verfügbarkeit und die Sicherheit von Mensch und Anlage.
Was bedeuten ICS, SCADA und SPS?
ICS ist der Oberbegriff für industrielle Steuerungssysteme. SCADA bezeichnet Systeme zur Überwachung und Steuerung verteilter Prozesse. SPS steht für speicherprogrammierbare Steuerungen, die einzelne Maschinen regeln.
Warum kann man OT nicht einfach patchen?
Anlagen laufen oft rund um die Uhr. Ein Update kann den Betrieb stören oder die Zertifizierung gefährden. Patches erfordern geplante Wartungsfenster und gründliche Tests, statt spontan eingespielt zu werden.
Welcher Standard gilt für OT-Security?
Als zentrale Referenz dient die Normenreihe IEC 62443. Sie definiert Anforderungen für Betreiber, Integratoren und Hersteller über den gesamten Lebenszyklus.
Ist OT-Security von NIS2 betroffen?
In vielen Fällen ja. NIS2 und der KRITIS-Rahmen erfassen zahlreiche Betreiber industrieller und infrastruktureller Anlagen, deren OT damit unter die Sicherheitspflichten fällt.
Lesetipps der Redaktion
LesetippDas Klumpenrisiko, das kein Lieferanten-Audit siehtLesetippDer schwächste Zulieferer öffnet die kritische Anlage
Mehr aus dem MBF Media Netzwerk
cloudmagazinEin Modell für alles ist 2026 ein ArchitekturfehlerMyBusinessFutureDigitaler Produktpass: Was Hersteller tun müssenDigital ChiefsFünf Stellen, an denen Supply-Chain-Software bricht
