- Das Produktionsnetz ist historisch gewachsen und kaum segmentiert.
- Hersteller und Dienstleister besitzen dauerhaft aktive Fernzugänge.
- Gemeinsame oder unbekannte Konten werden für Service und Engineering verwendet.
- Maschinen-PCs oder Engineering-Systeme laufen mit alten Softwareständen.
- Niemand kann vollständig sagen, welche Dienste und Protokolle zwischen IT und OT benötigt werden.
OT-Sicherheit
OT-Sicherheit für Produktionsnetze, Fernwartung und Maschinen.
Ich prüfe, welche Systeme erreichbar sind, wer zugreifen kann, welche Verbindungen wirklich gebraucht werden und wie sich Ausfall oder Manipulation begrenzen lassen. Daraus entstehen konkrete technische Maßnahmen – von Segmentierung und Fernzugriff bis zu Updates, Backups und Wiederanlauf.
Typische Ausgangssituationen
Wenn Zugänge und Abhängigkeiten unklar geworden sind.
Nicht jede dieser Situationen liegt in jedem Betrieb vor. Sie zeigen, an welchen Stellen eine technische Prüfung sinnvoll sein kann.
- Firewallregeln sind über Jahre ergänzt, aber nie vollständig geprüft worden.
- Backups existieren, ein Wiederanlauf wurde jedoch nicht praktisch geprüft.
- Updates sind notwendig, aber Ausfallrisiko und Rückfallweg sind unklar.
- Sicherheitsereignisse wären mangels Logs, Monitoring oder gemeinsamer Zeitbasis nur schwer einzuordnen.
- Dienstleister-, Wartungs- und Lieferkettenzugänge sind technisch nicht sauber getrennt.
Tatsächliche Wege prüfen
OT-Sicherheit beginnt mit den tatsächlichen Zugriffs- und Kommunikationswegen – nicht mit einer allgemeinen Checkliste.
Eine Maschine oder Firewall wird nicht isoliert betrachtet. Relevant ist, welche Personen, Systeme und Dienste tatsächlich kommunizieren, welche Rechte sie besitzen und wie sich ein Fehler, Ausfall oder missbräuchlicher Zugriff auf den Betrieb auswirken könnte.
Technische Prüffelder
Was im vereinbarten Umfang geprüft werden kann.
Welche Bereiche tatsächlich untersucht werden, hängt von der Aufgabe, den verfügbaren Unterlagen und den zugänglichen Systemen ab. Nicht jeder Auftrag umfasst alle acht Felder.
Systeme und Softwarestände
- SPS, HMI und Industrie-PC
- Engineering-System und Betriebssystem
- lokale Dienste und Netzwerkkomponenten
- externe Systeme
Netzwerk und Segmentierung
- Netzbereiche, VLANs und Routing
- Firewallregeln
- notwendige Kommunikationsbeziehungen
- Büro-IT-/Produktionsübergänge
- ausgehende und eingehende Verbindungen
Fernwartung und Herstellerzugänge
- VPN, Jump Host und Herstellerportal
- Freigabeprozess und zeitliche Begrenzung
- Protokollierung und Rücknahme von Zugängen
- gemeinsame oder persönliche Konten
Identitäten und Berechtigungen
- Benutzer- und Servicekonten
- Rollen und Standardzugänge
- Zertifikate, Schlüssel und Passwörter
- lokale Administratorrechte
Dienste und Schnittstellen
- OPC UA, APIs und Herstellerprotokolle
- Weboberflächen und Dateiübertragung
- Datenbank und Remote Desktop
- offene Ports sowie ungenutzte oder veraltete Dienste
Update und Schwachstellenbehandlung
- Komponenten- und Versionsübersicht
- Patchweg, Freigabe, Test und Verteilung
- Rückfall
- Umgang mit nicht aktualisierbaren Systemen
- technische Begrenzungsmaßnahmen
Backup und Wiederanlauf
- Konfigurationen und SPS-/HMI-/IPC-Stände
- Schlüssel, Zertifikate und notwendige Werkzeuge
- Wiederherstellungsablauf und Abhängigkeiten
- praktischer Wiederanlauftest
Logs und Monitoring
- relevante Ereignisse und gemeinsame Zeitbasis
- Netzwerk- und Dienstzustände
- Fernzugriffe, Änderungen und Fehlversuche
- Alarmierung und Aufbewahrung im vereinbarten technischen Umfang
Arbeitsweise
Erst verstehen, dann begrenzen und prüfen.
System und Betriebsweg erfassen
Welche Maschine, welche Zugänge und welche Dienste gehören zum betrachteten Umfang?
Tatsächliche Verbindungen prüfen
Welche Kommunikation findet statt, welche ist erforderlich und welche kann entfallen oder begrenzt werden?
Maßnahmen nach Betriebswirkung ordnen
Ich trenne Änderungen, die ohne Produktionsunterbrechung möglich sind, von Arbeiten für ein Wartungsfenster, Prüfungen in einer Testumgebung und längerfristigen Architekturänderungen.
Änderung kontrolliert umsetzen
Wenn vereinbart, passe ich Regeln an, begrenze Zugänge, härte Systeme, ergänze Monitoring oder prüfe Backup und Wiederanlauf. Die Änderungen und Prüfschritte werden dokumentiert.
Mögliche Ergebnisse
Ein technischer Stand, mit dem weitergearbeitet werden kann.
Je nach Auftrag kann das Ergebnis enthalten:
- eine Übersicht der betrachteten Systeme und Zugriffswege;
- notwendige und unnötige Kommunikationsbeziehungen;
- gefundene technische Schwachstellen und Fehlkonfigurationen;
- priorisierte Maßnahmen und kurzfristig mögliche Änderungen;
- Arbeiten für ein Wartungsfenster;
- offene Punkte und benötigte Unterlagen;
- einen Umsetzungsplan;
- bei beauftragter Umsetzung geänderte Konfigurationen und zugehörige Prüfschritte.
Daraus entsteht keine rechtsverbindliche Complianceaussage und keine allgemeine Risikobewertung außerhalb des vereinbarten technischen Umfangs.
Prüfungsgrenzen
Sicherheitsprüfungen brauchen einen klaren Auftrag.
Diese Leistung ist keine Rechtsberatung, Zertifizierung, Konformitätsbestätigung oder offizielles Audit. Sie umfasst weder ein SOC noch durchgehendes Monitoring und gibt keine Garantie vollständiger Sicherheit.
- NIS2-, CRA-, CE- oder IEC-62443-Konformitätsbestätigung
- unangekündigte aktive Scans
- Safety- oder Maschinenfreigabe
- Exploit-Versuche an laufenden Produktionssystemen ohne gesonderte schriftliche Freigabe
Solche Tests erfolgen nur:
- mit eindeutigem Auftrag und schriftlicher Freigabe;
- in einem abgestimmten Zeitfenster;
- mit geklärtem Rückfallweg;
- bevorzugt zunächst in einer Testumgebung.
Fragen und Grenzen
Fragen zur technischen OT-Sicherheitsanalyse
Ist die OT-Sicherheitsanalyse ein Penetrationstest?
Nicht automatisch. Der erste Schritt ist eine technische Aufnahme von Systemen, Verbindungen, Zugängen und Betriebswegen. Aktive oder möglicherweise störende Tests werden nur gesondert, schriftlich freigegeben und in einem geeigneten Zeitfenster durchgeführt.
Erhalten wir danach eine IEC-62443- oder NIS2-Bestätigung?
Nein. Ich kann technische Maßnahmen und vorhandene Lücken untersuchen und bei ihrer Umsetzung unterstützen. Eine Zertifizierung, Rechtsberatung oder formale Konformitätsbewertung ist nicht Bestandteil dieser Leistung.
Muss die Produktion für die Prüfung stehen?
Nicht für jeden Schritt. Unterlagen, Konfigurationen, passive Beobachtungen und vorhandene Logs lassen sich häufig ohne Stillstand prüfen. Änderungen und aktive Tests werden nach ihrer möglichen Betriebswirkung eingeordnet und in einem passenden Wartungsfenster vorbereitet.
Können bestehende Dienstleister und die interne IT beteiligt bleiben?
Ja. Vorhandene Kenntnisse, Konfigurationen und Zuständigkeiten werden einbezogen. Die technische Prüfung soll Zusammenarbeit verbessern und reale Lücken schließen, nicht Beteiligte pauschal ersetzen.
Können Sie gefundene Punkte auch umsetzen?
Ja, wenn der Auftrag dies umfasst. Analyse und Umsetzung können getrennt beauftragt werden. Betriebliche Freigaben und Wartungsfenster bleiben bei den dafür verantwortlichen Stellen.
Passende Themen
Fachlich getrennte, passende Aufgaben
IT/OTIT/OT EngineeringWenn Maschinen, Netzwerke und Software technisch verbunden oder gemeinsam umgesetzt werden sollen.BESTANDTechnische BestandsanalyseWenn Quellstände, Builds, Pflegefähigkeit und technische Bestände zuerst erfasst werden müssen.WISSENMaschinenverordnung und CRATechnische Grundlagen im regulatorischen Kontext – ohne Rechts- oder Konformitätsberatung.
OFFIZIELLE GRUNDLAGEN
Offizielle Grundlagen und weiterführende Informationen
Die folgenden Veröffentlichungen ordnen zentrale technische Grundlagen für industrielle Systeme, Fernwartung und Lieferkettenzugänge ein.
- BSI: Grundsätze der Cybersicherheit von Operational Technology
- BSI: IND.3.2 Fernwartung im industriellen Umfeld (Edition 2023)
- ENISA: Good Practices for Supply Chain Cybersecurity
Die Dokumente sind fachliche Grundlagen. Sie sind keine Zertifizierung und keine individuelle Empfehlung für einen konkreten Bestand.
OT-Sicherheitsfall abgrenzen
Welche Zugänge, Netze oder Betriebswege sollen geprüft werden?
Beschreiben Sie kurz die betroffenen Systeme, bekannte Zugriffswege und die offene technische Frage. Im ersten Abgleich kläre ich, welcher Umfang ohne unnötiges Betriebsrisiko sinnvoll ist.