OT Security

Was ist OT Security?

OT Security (Operational Technology Security) bezeichnet den Schutz von industriellen Steuerungs- und Automatisierungssystemen (ICS – Industrial Control Systems), wie SCADA, DCS oder PLCs, vor unautorisierten Zugriffen, Manipulationen und Cyberangriffen. Im Gegensatz zur klassischen IT-Sicherheit, die sich auf Daten und Informationssysteme konzentriert, schützt OT Security physische Prozesse, z. B. Fertigungsstraßen, Stromnetze oder Wasserwerke.

Kernziel ist die Gewährleistung von Verfügbarkeit, Integrität und Sicherheit der Produktionsprozesse – häufig in Echtzeit und unter kritischen Bedingungen.

Worin liegt der Unterschied zwischen IT- und OT-Security?

Der Hauptunterschied liegt im Schutzobjekt:

IT- und OT-Sicherheit unterscheiden sich also grundlegend, was sich direkt auf Risikoanalysen, Maßnahmen, Technologieeinsatz und Notfallpläne auswirkt.

Welche OT-Security-Standards gibt es (z. B. IEC 62443)?

Die wichtigsten Normen und Frameworks:

• IEC 62443: Der zentrale internationale Standard für OT-Security. Regelt Anforderungen an Anlagenbetreiber, Systemintegratoren und Komponentenhersteller. Enthält u. a. Rollenmodelle, Risikobewertungen und Security Levels.

• NIST SP 800-82: Leitfaden zur Absicherung von ICS-Systemen nach US-amerikanischen Maßstäben.

• ISO/IEC 27019: Ergänzung der ISO 27000-Reihe für Energieversorgungsunternehmen.

• BSI IT-Grundschutz / B3S: In Deutschland für KRITIS-relevante Infrastrukturen verpflichtend.

Diese Standards liefern ein strukturiertes Vorgehen zur Einführung und zum Betrieb eines Sicherheitsmanagementsystems in industriellen Netzwerken.

Wie schützt man industrielle Anlagen vor Cyberangriffen?

Ein wirksamer Schutz basiert auf einem mehrschichtigen Sicherheitsansatz (Defense-in-Depth), u. a.:

• Netzwerksegmentierung (z. B. durch Zonen & Conduits nach IEC 62443)

• Protokoll-Whitelisting & Deep Packet Inspection in ICS-Firewalls

• Asset-Management & Inventarisierung

• Vulnerability Management & Patchmanagement unter OT-Bedingungen

• Monitoring & Anomalieerkennung (ICS IDS, DPI-Engines)

• Sichere Fernwartung über verschlüsselte Gateways

• Zugriffsmanagement (RBAC, MFA, Logging)

• Incident Response Pläne, die OT-relevant sind

• Awareness-Schulungen für Produktionspersonal

Physische Sicherheit und funktionale Sicherheit müssen zudem mitgedacht werden.

Was sind die größten Risiken in der OT Security?

Typische Risiken in industriellen OT-Umgebungen sind:

• Ungepatchte Systeme / veraltete Betriebssysteme (Windows XP, 7, etc.)

• Nicht dokumentierte oder unüberwachte Fernwartungszugänge

• Fehlende Netzwerksegmentierung (flache Netzwerke)

• Verwendung unsicherer Protokolle (Modbus, DNP3 ohne Authentifizierung)

• Menschliche Fehler (falsche Konfiguration, USB-Stick, etc.)

• Abhängigkeit von Drittanbietern mit unsicheren Wartungskonzepten

• Schatten-IT bzw. „versteckte“ Geräte (z. B. Switches, HMI)

• Verkettung von OT und IT-Netzwerken ohne geeignete Trennung

Ein zunehmendes Risiko entsteht durch Ransomware, die via IT in OT-Netzwerke übergreift (z. B. Colonial Pipeline 2021).

Wie funktioniert die Netzwerksegmentierung in OT-Umgebungen?

Netzwerksegmentierung ist ein Grundpfeiler der OT Security. Sie erfolgt auf Basis von Zonen (vertrauenswürdige Bereiche) und Conduits (sichere Verbindungen zwischen Zonen).

Beispielarchitektur (basierend auf IEC 62443 & Purdue-Modell):

• Level 5: Enterprise IT (ERP, CRM etc.)

• Level 4: Produktionsmanagement (MES)

• Level 3: ICS-DMZ / Firewall zwischen IT & OT

• Level 2: Prozesssteuerung (SCADA, HMI)

• Level 1: Steuerungsebene (PLCs, RTUs)

• Level 0: Feldebene (Sensoren, Aktoren)

Segmentierung wird durch Firewall-Regeln, VLANs, Protokollfilterung, Jump Hosts und Data Diodes umgesetzt. Ziel ist es, Angriffsflächen zu isolieren und Bewegungen lateral im Netz zu verhindern.

Welche Tools und Lösungen gibt es für OT Security?

Die wichtigsten Tool-Kategorien:

• ICS-Firewalls / Next-Gen OT Firewalls: z. B. Fortinet, Palo Alto, Tofino

• Anomalieerkennung / OT-IDS / DPI: z. B. Nozomi, Claroty, Dragos, Tenable.ot

• Asset Discovery & Inventory: Automatisierte Erkennung von OT-Komponenten

• SIEM-Integration mit OT-Fokus: z. B. Splunk Industrial, IBM QRadar

• Remote Access Gateways: z. B. mGuard, Dispel, XONA

• Patch- & Vulnerability Management Tools: z. B. SCADAfence, Tripwire

Wichtig ist: OT-Sicherheitslösungen müssen passiv, deterministisch und nicht störend auf Echtzeitsysteme wirken.

Wie kann man alte (Legacy) OT-Systeme absichern?

Legacy-Systeme (z. B. Windows XP, DOS-basierte SCADA-HMIs) lassen sich oft nicht patchen oder ersetzen. Schutzmaßnahmen:

• Isolation durch Firewalls / unidirektionale Gateways (Data Diodes)

• Virtualisierung & Snapshot-Backups

• Application Whitelisting

• Vermeidung direkter Kommunikation mit IT-Systemen

• Kontrollierte Fernwartung mit Jump Hosts & Monitoring

• Segmentierung und MAC-Adressfilter

• Minimierung von physischen Zugriffsmöglichkeiten

Langfristig empfiehlt sich ein Migrationsplan auf moderne Plattformen – zumindest schrittweise.

Welche realen OT-Cyberangriffe gab es bereits?

Bekannte Fälle:

• Stuxnet (2010): Angriff auf iranische Urananreicherungsanlagen via manipulierte Siemens PLCs.

• Ukrainischer Stromausfall (2015/2016): Cyberangriff auf Stromnetz via BlackEnergy und Industroyer.

• Triton / Trisis (2017): Sabotageversuch an Safety Instrumented System (SIS) in einer Petrochemieanlage.

• Colonial Pipeline (2021): Ransomware-Angriff auf IT führte zur vorsorglichen Abschaltung des OT-Systems.

• Oldsmar, Florida (2021): Fernzugriff auf Trinkwasseranlage, versuchtes Erhöhen von Natriumhydroxid-Wert.

Diese Vorfälle verdeutlichen die Relevanz von Incident Response, OT Monitoring und sicherem Remote-Zugriff.

Wie integriert man OT Security in die gesamte Sicherheitsstrategie?

Die Integration erfolgt durch eine gemeinsame Governance-Struktur, Sicherheitsrichtlinien und abgestimmte Prozesse zwischen IT und OT. Erfolgsfaktoren:

• CISO-Verantwortung für beide Welten

• Gemeinsames Risiko- und Schwachstellenmanagement

• Zentrales SOC mit OT-Expertise oder dediziertem OT-SOC

• Zero-Trust-Strategie angepasst auf OT (z. B. nur autorisierte Geräte, Microsegmentation)

• Security by Design bei neuen Anlagen / Retrofit bei alten

• Verbindliche Security Policies über alle Standorte hinweg

Ein integratives OT-Sicherheitsmanagement schafft die Basis für sichere Industrie 4.0-Umgebungen und Resilienz gegen Cyberbedrohungen.

Zurück zur Übersicht des Glossars