Sicherheit für OT und industrielle Steuerungssysteme

In der klassischen IT steht die Vertraulichkeit von Daten an erster Stelle; in der OT dominieren die Verfügbarkeit des Prozesses, die Integrität der Steuerung und die Rückwirkung auf die funktionale Sicherheit (Safety). Hinzu kommen grundlegend andere Lebenszyklen: Steuerungssysteme sind oft mehr als 20 Jahre im Einsatz – IEC 62443-2-1 adressiert deshalb ausdrücklich den Umgang mit Altsystemen, für die Patches oder moderne Schutzmechanismen nicht verfügbar sind und kompensierende Maßnahmen greifen müssen. Updates lassen sich häufig nur in geplanten Wartungsfenstern einspielen, und Virenscanner oder aktive Scans können Echtzeitprozesse stören. IT-Sicherheitskonzepte lassen sich daher nicht unverändert auf Produktionsumgebungen übertragen; NIST SP 800-82 Rev. 3 (2023) beschreibt die notwendigen Anpassungen systematisch.

Die Normenreihe ISA/IEC 62443 ist der internationale Referenzrahmen für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS) und verteilt die Verantwortung auf drei Rollen: Betreiber (IEC 62443-2-1:2024 mit den Anforderungen an das Security-Programm, in der zweiten Ausgabe um ein Reifegradmodell ergänzt), Dienstleister und Integratoren (IEC 62443-2-4:2023) sowie Produkthersteller (Teile 4-1 und 4-2 zu sicherer Produktentwicklung und Komponentenanforderungen). Kernmethodik ist die Zerlegung der Anlage in Zonen – Gruppen von Assets mit vergleichbarem Schutzbedarf – und Conduits als kontrollierte Kommunikationswege dazwischen (IEC 62443-3-2). Je Zone wird auf Basis einer Risikobeurteilung ein Ziel-Security-Level (SL-T) festgelegt: Die vier Stufen SL 1 bis SL 4 reichen vom Schutz gegen zufällige Verstöße bis zum Schutz gegen Angreifer mit hohen Ressourcen, IACS-Kenntnissen und hoher Motivation. IEC 62443-3-3 hinterlegt dazu die technischen Systemanforderungen entlang von sieben grundlegenden Anforderungen (Foundational Requirements); über die technisch möglichen (SL-C) und tatsächlich erreichten Level (SL-A) wird der Umsetzungsstand messbar.

Das Purdue-Modell – entstanden aus der Purdue Enterprise Reference Architecture (PERA) der 1990er-Jahre und in ISA-95 aufgegriffen – gliedert Produktionsumgebungen in hierarchische Ebenen: vom physischen Prozess mit Sensorik und Aktorik (Level 0) über Basissteuerungen wie SPS und DCS (Level 1), Prozessführung mit HMI/SCADA (Level 2) und die Betriebsleitebene mit MES (Level 3) bis zur Unternehmens-IT mit ERP (Level 4/5). Zwischen Produktions- und Unternehmensnetz hat sich eine industrielle DMZ etabliert, nach verbreiteter Konvention als „Level 3.5“ bezeichnet. NIST SP 800-82 nutzt das Modell als Referenz für Netzsegmentierung und Defense-in-Depth. Cloud-Anbindungen und Industrial IoT durchbrechen die strenge Hierarchie zunehmend; als logisches Raster für Segmentierung und die Analyse von Datenflüssen bleibt das Modell dennoch der etablierte Ausgangspunkt.

Das BSI zählt in „Industrial Control System Security: Top 10 Bedrohungen und Gegenmaßnahmen“ (Version 1.5, 2022) den Einbruch über Fernwartungszugänge ebenso zu den wichtigsten Bedrohungen wie mit dem Internet verbundene Steuerungskomponenten. In der Praxis finden sich häufig dauerhaft aktive Hersteller- und Dienstleisterzugänge ohne Mehrfaktor-Authentifizierung, geteilte Konten und fehlende Protokollierung der Fernwartungssitzungen. Zweites Kernproblem sind flache, unsegmentierte Netze: Historisch gewachsene Direktverbindungen zwischen Office-IT und Produktion ermöglichen es Schadsoftware – etwa Ransomware –, sich ungehindert bis auf die Steuerungsebene auszubreiten. Wirksame Gegenmaßnahmen setzen an den Conduits an: dedizierte Fernwartungs-Gateways mit Freischaltung pro Sitzung, Sprungserver in der industriellen DMZ und eine konsequente Segmentierung nach dem Zonenmodell.

Ohne vollständiges Asset-Inventar lassen sich weder Zonen sinnvoll schneiden noch Risiken bewerten – es ist die Grundlage jedes OT-Security-Programms. Klassische aktive Netzwerk-Scans sind in der OT jedoch riskant: Ältere Steuerungen und Feldgeräte reagieren auf unerwartete Pakete teils mit Fehlfunktionen bis hin zum Stillstand. Passive Asset-Discovery wertet stattdessen gespiegelten Netzwerkverkehr aus (SPAN-/Mirror-Ports oder Netzwerk-TAPs) und identifiziert Geräte, Firmware-Stände, Protokolle und Kommunikationsbeziehungen, ohne selbst Pakete in das Produktionsnetz zu senden. Ergänzend haben sich gezielte, protokollkonforme aktive Abfragen einzelner Geräte etabliert – abgestimmt mit der Betriebsmannschaft und bevorzugt in Wartungsfenstern.

Mit der NIS-2-Richtlinie (EU) 2022/2555 fällt das verarbeitende Gewerbe erstmals breit unter europäisches Cybersicherheitsrecht: Anhang II erfasst unter anderem die Herstellung von Medizinprodukten, Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen sowie Kraftwagen und sonstigem Fahrzeugbau – in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme, überwiegend als „wichtige Einrichtungen“. Die Risikomanagementmaßnahmen nach Art. 21 (u. a. Risikoanalyse, Incident-Handling, Lieferkettensicherheit) gelten für alle Netz- und Informationssysteme, die für die Erbringung der Dienste genutzt werden – also auch für OT- und Steuerungssysteme in der Produktion. In Deutschland ist das NIS-2-Umsetzungsgesetz seit Dezember 2025 in Kraft; betroffene Unternehmen müssen sich nach § 33 BSIG beim BSI registrieren, die gesetzliche Registrierungsfrist ist bereits abgelaufen. IEC 62443 bietet einen anerkannten Rahmen, um die geforderten Maßnahmen im OT-Umfeld zu operationalisieren.