In der Produktion laufen oft Systeme, die älter sind als die IT-Abteilung, die sie schützen soll. Methoden der IT-Sicherheit greifen meist zu kurz. Wer seine Operational Technology (OT) richtig schützen will, muss deren Bedingungen beachten. Wir erklären, was eine solche OT Security ausmacht, warum sie eigenen Regeln folgt und welche Pflichten Unternehmen inzwischen treffen.
Tipp: Dieser Artikel bietet eine Einführung für Verantwortliche in Unternehmen. Wir bieten Ihnen auch gezielte Beratung zur OT Security und allen relevanten Normen an.
Was ist Operational Technology?
Operational Technology (OT) bezeichnet alle Hard- und Softwaresysteme, die physische Prozesse und Maschinen steuern, regeln und überwachen. Dazu zählen speicherprogrammierbare Steuerungen (SPS), Prozessleitsysteme, Bedien- und Beobachtungssysteme (HMI), Frequenzumrichter sowie die gesamte Sensorik und Aktorik einer Anlage, also Druckmessumformer, Temperaturfühler, Füllstandmelder, Ventile und Motoren. Wo die klassische Informationstechnologie (IT) Daten verarbeitet, speichert und überträgt, bewegt OT Materie.
Historisch war diese Trennung auch physisch nachvollziehbar, weil Produktionsanlagen isoliert liefen und ihre Steuerungen keine Verbindung nach außen kannten. Mit Fernwartung, Betriebsdatenerfassung, vernetzten Antrieben und cloudgestützter Instandhaltungsplanung ist diese Isolation weitgehend verschwunden. Übrig geblieben sind Systeme, die für eine geschlossene Welt konstruiert wurden und heute in einer offenen betrieben werden. Genau in dieser Diskrepanz liegt der Kern der OT Security.
Welche Schwachstellen finden sich typischerweise in OT-Umgebungen?
Die Befunde ähneln sich über Branchen hinweg. An erster Stelle stehen flache, unsegmentierte Netze, in denen das Produktionsnetz direkt mit dem Verwaltungsnetz oder mit Lieferantenzugängen verbunden ist, so dass sich Schadsoftware ungehindert ausbreiten kann. Häufig fehlt zudem ein belastbares Asset-Inventar, weshalb niemand vollständig benennen kann, welche Geräte im Netz überhaupt aktiv sind. Unkontrollierte Fernzugriffe kommen hinzu, etwa Fernwartungswerkzeuge ohne Zwei-Faktor-Authentisierung, dauerhaft offene Tunnel oder Herstellerzugänge ohne Protokollierung und ohne dokumentiertes Änderungsmanagement.
Ebenso verbreitet ist das Fehlen eines OT-tauglichen Patchmanagements, so dass bekannte Schwachstellen über Jahre offen bleiben. Für Cybervorfälle in der Produktion existiert oft keine eigene Notfallplanung, obwohl die Reaktion dort anders aussehen muss als im Rechenzentrum. Organisatorisch fällt regelmäßig auf, dass niemand die Verantwortung für OT-Assets trägt, weil die IT-Sicherheit sich für die Produktion nicht zuständig sieht und die Produktion die Cybersicherheit bei der IT verortet. Diese Lücken können unauffällig entstehen und Risiken bleiben über Jahre unbearbeitet.
Beispiel: In einem produzierenden Unternehmen wurde ein Mobilfunkrouter installiert, damit ein Anlagenlieferant kurzfristig eine Störung beheben konnte. Der Zugang funktionierte, die Störung wurde behoben und der Router blieb angeschlossen. Bei der Bestandsaufnahme mehrere Jahre später wird weder dokumentiert, wer über diesen Weg zugreifen kann, noch ist das Gerät in eine Firewall eingebunden. Es taucht in keiner Netzdokumentation auf, weil es nie Teil eines Projekts war, sondern einer Sofortmaßnahme. Solche Zugänge entstehen nicht aus Nachlässigkeit, sondern aus Betriebsdruck, und genau deshalb findet man sie fast überall.
Worin unterscheidet sich OT Security von klassischer IT-Sicherheit?
Der wichtigste Unterschied zwischen OT- und IT-Sicherheit betrifft die Gewichtung der Schutzziele. In der klassischen IT liegt der Schwerpunkt typischerweise auf der Vertraulichkeit, denn das Datenleck ist der Schadensfall, den es zu verhindern gilt. In der OT verschiebt sich diese Gewichtung auf Verfügbarkeit und Integrität, während Vertraulichkeit meist nachrangig bleibt. Der Grund dafür ist grundsätzlicher Natur. Denn Cybersicherheit dient in der OT der funktionalen Sicherheit der Anlage und ist nicht Selbstzweck. Dass ein Angreifer den Sollwert eines Rührwerks ausliest, ist unangenehm. Dass er ihn verändert, kann Menschen verletzen.
Ebenso prägend ist der Lebenszyklus. IT-Systeme werden nach drei bis fünf Jahren ersetzt und laufend gepatcht. Eine Anlagensteuerung bleibt zehn, zwanzig oder mehr Jahre im Einsatz, weil die Maschine, an der sie hängt, so lange produziert. Betriebssysteme, für die es seit Jahren keine Sicherheitsupdates mehr gibt, sind in Produktionsnetzen keine Ausnahme, sondern eher der Regelfall.
Hinzu kommt, dass Änderungen in der OT nicht folgenlos bleiben. Ein Patch kann eine Zertifizierung berühren, ein ungeplanter Neustart kann einen laufenden Prozess unterbrechen und ein Konfigurationsfehler kann eine Charge unbrauchbar machen. Wo die IT-Abteilung ein Wartungsfenster einplant, muss die Produktion einen Stillstand einkalkulieren.
Dieser Unterschied bedeutet, dass sich klassische IT-Sicherheitskonzepte nicht eins zu eins auf OT Security übertragen lassen. Ein automatisiertes Schwachstellenscanning, das im Büronetz unauffällig läuft, kann eine ältere SPS zum Absturz bringen. Eine Endpoint-Protection, die eine unbekannte Prozessdatei blockiert, kann eine Abschaltkette lahmlegen. OT braucht deshalb ein eigenständiges Cybersicherheitsmanagement, das Echtzeitanforderungen, lange Lebenszyklen und funktionale Sicherheit von vornherein berücksichtigt.
Wie hilft das Purdue-Modell bei der OT Security?
Für die Strukturierung industrieller Umgebungen hat sich die Purdue Enterprise Reference Architecture etabliert, kurz Purdue-Modell. Es gliedert eine Anlage in Ebenen nach ihrem Abstand zum physischen Prozess und bildet die gedankliche Grundlage für Segmentierung, wie sie unter anderem die Normenreihe IEC 62443 voraussetzt.
- Auf Level 0 arbeitet der Prozess selbst mit Sensoren, Ventilen, Motoren und Feldgeräten, wo physischer Zugriffsschutz und Manipulationsschutz im Vordergrund stehen.
- Level 1 umfasst die Basissteuerung mit SPS, Sicherheitssteuerungen und Antriebsstellern, für die Programmschutz, Firmwarestände und die Integrität sicherheitsrelevanter Parameter zählen.
- Auf Level 2 liegt die Anlagensteuerung mit Bedientableaus, HMI und lokalen Engineering-Rechnern, wo Benutzertrennung, Härtung und Schutz vor Schadsoftware greifen.
- Level 3 bildet den Produktionsbetrieb mit Leitsystemen und zentralen Engineering-Funktionen ab, für die Segmentierung je Produktionsmodul, Backup und Patchmanagement entscheidend sind.
- Zwischen Produktion und Verwaltung liegt Level 3.5 als industrielle demilitarisierte Zone mit VPN-Endpunkten, Jump Hosts und Transferservern, die kontrollierte Datenflüsse sicherstellt.
- Darüber folgen die Unternehmens-IT auf Level 4 sowie
- externe Beteiligte wie Lieferanten und Cloud-Dienste auf Level 5.
Die zentrale Idee ist schnell erklärt. Je näher ein System am physischen Prozess arbeitet, desto kritischer ist es und desto strenger muss die Kommunikation zu den äußeren Ebenen kontrolliert werden. Das Fehlen genau dieser Zonierung gehört in der Praxis zu den häufigsten Feststellungen bei OT-Audits.
Tipp: Erfahren Sie mehr über die Risiken für Protokolle in SCADA-Systemen und wie das Purdue-Modell dagegen helfen kann.
Welche Regelwerke gelten inzwischen für OT?
Der Gesetzgeber hat auf die Cyberrisiken industrieller Steuerungen reagiert – und das aus drei verschiedenen Richtungen. Wer OT betreibt oder herstellt, bewegt sich deshalb in einem Dreieck aus Betreiberpflicht, Herstellerpflicht und Unternehmenspflicht, dessen Teile sich inhaltlich überschneiden, ohne deckungsgleich zu sein.
Die Betreiberpflicht ergibt sich aus der Betriebssicherheitsverordnung (BetrSichV) und ihrer Konkretisierung durch die TRBS 1115 Teil 1. Ihre Perspektive ist der Arbeitsschutz, ihre Leitfrage lautet, ob eine vorhandene Sicherheitsfunktion vor Cyberbedrohungen geschützt ist. Adressat ist der Arbeitgeber, geprüft wird durch die Zugelassenen Überwachungsstellen im Rahmen der ohnehin fälligen Anlagenprüfungen.
Die Herstellerpflicht folgt aus der EU-Maschinenverordnung (EU) 2023/1230, die zum 20. Januar 2027 die bisherige Maschinenrichtlinie ablöst. Sie macht Cybersicherheit zur Grundanforderung an neue Maschinen, so dass ohne entsprechenden Nachweis keine CE-Kennzeichnung und damit kein Inverkehrbringen möglich ist. Ergänzend verlangt der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) Cybersicherheit über den gesamten Lebenszyklus von Produkten mit digitalen Elementen. Betreiber sind hiervon mittelbar betroffen, weil sie neue oder wesentlich veränderte Maschinen beschaffen und die Nachweise ihrer Lieferanten bewerten müssen.
Die Unternehmenspflicht schließlich folgt aus der NIS2-Richtlinie, die Deutschland mit dem NIS-2-Umsetzungsgesetz umgesetzt hat. Das dadurch novellierte BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist für die Sicherheitsmaßnahmen. Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden. Da produzierende Sektoren ausdrücklich erfasst sind, betrifft dies zahlreiche Industrieunternehmen zum ersten Mal überhaupt.
Die gute Nachricht für die Praxis ist, dass diese Regelwerke auf dieselbe Substanz zugreifen. Ein sauber inventarisiertes, segmentiertes und dokumentiertes OT-Umfeld zahlt auf alle drei Perspektiven gleichzeitig ein. Wer die Anforderungen dagegen nacheinander in getrennten Projekten abarbeitet, erzeugt Doppelarbeit und widersprüchliche Dokumentation.
Wie sollten Unternehmen mit OT Security anfangen?
Der Einstieg ist unspektakulärer, als das Thema vermuten lässt. Fast alle weiterführenden Schritte setzen dieselben drei Grundlagen voraus:
- Verantwortlichkeit klären, indem eine Person oder Rolle die Zuständigkeit für OT-Cybersicherheit übernimmt und die Schnittstelle zwischen IT-Sicherheit, Produktion und Instandhaltung besetzt.
- Bestand erfassen, also ermitteln, welche Steuerungen, Bedienstationen, Netzwerkkomponenten und externen Zugänge existieren und welche davon eine Sicherheitsfunktion beeinflussen.
- Zugangswege sichtbar machen, insbesondere sämtliche Fernwartungsverbindungen, Serviceports und Konfigurationsgeräte, denn diese sind die häufigsten Einstiegspunkte und zugleich die am schlechtesten dokumentierten.
Erst auf dieser Basis lassen sich Risiken sinnvoll bewerten, Zonen bilden und Maßnahmen priorisieren. Wer umgekehrt mit der Beschaffung von Sicherheitstechnik beginnt, kauft Schutz für eine Umgebung, die er nicht kennt.
Wie kann activeMind Unternehmen bei der OT Security unterstützen?
Wenn wir Hersteller und Betreiber von Anlagen bei der Cybersicherheit ihrer OT unterstützen, beginnen unsere Experten mit einer Prüfung, welche Normen für ihre Anlagen und Steuerungen relevant sind (Betroffenheitsprüfung). Anschließend führen wir die vorgeschriebenen Risikoanalysen durch, entwickeln Schutzkonzepte und analysieren den Status quo (Gap-Analyse). Auf Wunsch unterstützen wir Sie zusammen mit unserem technischen Partner bei der Umsetzung.
Ihre Vorteile:
- Die activeMind AG bietet ein in Deutschland einmaliges Angebot umfassender Betreuung von der rechtssicheren Betroffenheitsprüfung durch unsere Partnerkanzlei über softwaregestützte Beratung und Prozessbegleitung durch unsere Experten bis zur technischen Umsetzung in der Produktionshalle (durch unser Partnerunternehmen).
- Im Ergebnis erhalten Sie eine OT Security, die nicht nur normkonform ist, sondern auch tatsächlich ihre Maschinen, Beschäftigten und Werte schützt.
OT Security ist komplex. Die meisten internen Teams sind davon überfordert. Wir helfen Ihnen schnell und unkompliziert – bevor Ihre Anlagen bei der nächsten Überprüfung beanstandet werden. Jetzt kostenfreies Erstgespräch vereinbaren!
Fazit: OT ist kein Sonderfall der IT, sondern eine eigene Disziplin
Operational Technology folgt anderen Prioritäten, anderen Zeitskalen und anderen Risiken als die Büro-IT. Wer diesen Unterschied ernst nimmt, versteht auch, warum sich Regulierung und Prüfpraxis in den vergangenen Jahren so deutlich in Richtung Produktion ausgebreitet haben. Der Auslöser ist nicht die abstrakte Bedrohungslage, sondern die Erkenntnis, dass eine manipulierte Steuerung Menschen gefährden kann.
Für den Anfang genügt eine ehrliche Bestandsaufnahme. Klären Sie, wer im Unternehmen für OT-Cybersicherheit verantwortlich ist, welche Systeme überhaupt existieren und über welche Wege sie erreichbar sind. Diese Aspekte bilden die Grundlage für jede Gefährdungsbeurteilung, jedes Risikomanagement nach dem BSI-Gesetz und jedes Gespräch mit einer prüfenden Stelle. Sind sie ungeklärt, beginnt jedes Projekt zwangsläufig von vorn.