OT-Security

Zur Operational Technology (OT) gehören speicherprogrammierbare Steuerungen, Leitsysteme, Bedienpanels, Sensoren und Antriebe, aber auch Heizungs-, Lüftungs- und Zutrittssysteme. Viele dieser Komponenten wurden für eine Zeit entwickelt, in der Vernetzung und Angriffe aus dem Internet kaum eine Rolle spielten. Lange liefen diese Systeme abgeschottet. Durch Fernwartung, die Anbindung an ERP-Systeme und Auswertungen in der Cloud sind sie heute mit der Büro-IT und dem Internet verbunden. Ein Angriff auf OT kann die Produktion stoppen, Anlagen beschädigen oder Menschen gefährden.

Wie sich OT-Security von IT-Security unterscheidet

• Andere Prioritäten: In der IT steht oft die Vertraulichkeit im Vordergrund, in der OT zählen Verfügbarkeit und sicherer Betrieb zuerst.
• Lange Lebenszyklen: Anlagen laufen oft Jahrzehnte. Veraltete Betriebssysteme sind keine Seltenheit, Updates sind häufig nur in Wartungsfenstern oder gar nicht möglich.
• Unsichere Protokolle: Viele industrielle Protokolle wurden ohne Verschlüsselung und Authentifizierung entworfen.
• Empfindliche Systeme: Aktive Netzwerkscans, die in der IT üblich sind, können Steuerungen stören.

Ein verbreiteter Rahmen für OT-Security ist die Normenreihe IEC 62443. Sie teilt Anlagen in Zonen mit ähnlichem Schutzbedarf und regelt die Verbindungen zwischen diesen Zonen.

Typische Beispiele

• Ein Maschinenhersteller hat für die Fernwartung einen eigenen Mobilfunkrouter in den Schaltschrank gebaut, an der Firewall vorbei.
• Ransomware im Büronetz breitet sich ins Produktionsnetz aus und legt Anlagen still.
• Die Gebäudeautomation hängt im selben Netz wie die Arbeitsplatzrechner.
• Ein alter Bedien-PC ohne Updates steuert eine zentrale Anlage.

Worauf Unternehmen achten sollten

• Inventar erstellen: Alle Steuerungen, Bedienstationen, Firmwarestände und Verbindungen erfassen.
• IT und OT trennen: Produktion und Gebäudetechnik durch Netzwerksegmentierung mit kontrollierten Übergängen vom Büronetz abschotten.
• Fernzugänge bündeln: Herstellerzugänge zentral, personalisiert, zeitlich begrenzt und protokolliert bereitstellen.
• Ausfälle einplanen: Sicherungen von Steuerungsprogrammen und Konfigurationen anlegen und den Notbetrieb üben.
• Bei der Beschaffung fordern: Sicherheitsanforderungen und Zusagen zu Updates in Ausschreibungen für neue Anlagen aufnehmen.

Zuständigkeiten zwischen IT, Produktion und Haustechnik sollten klar geregelt sein. Für Unternehmen im Anwendungsbereich von NIS2 fallen auch OT-Systeme unter das geforderte Risikomanagement für Netz- und Informationssysteme.