IT-Wissen · IT-Sicherheit

Industrielle Cybersicherheit für kleinere Produktionsbetriebe: Welche OT-Maßnahmen lassen sich aus der VDI-Fachkonferenz ableiten?

Kurz zusammengefasst: Kleinere Produktionsbetriebe können ihre OT-Sicherheit mit wenigen priorisierten Maßnahmen spürbar verbessern. Besonders wichtig sind ein belastbares Anlageninventar, segmentierte Netze, kontrollierte Fernwartung, risikoorientiertes Schwachstellenmanagement sowie geübte Wiederanlauf- und Reaktionsprozesse.

Nutzen und Einordnung

Produktionsanlagen müssen verfügbar, sicher und kontrollierbar bleiben. In der Betriebstechnik, kurz OT, wirken sich Cybervorfälle deshalb nicht nur auf Dateien oder Bürokommunikation aus. Sie können Produktionsprozesse unterbrechen, Qualitätsprobleme verursachen oder die sichere Bedienung von Anlagen beeinträchtigen.

Die VDI-Fachkonferenz Industrielle Cybersicherheit behandelt nach ihrer öffentlich zugänglichen Beschreibung unter anderem OT-Security, Cyberresilienz, Segmentierung, Remote-Zugriffe, Monitoring, Schwachstellenmanagement und Incident Response. Für kleinere Unternehmen lässt sich daraus kein fertiges Standardpaket ableiten. Die fachlich sinnvolle Konsequenz ist vielmehr ein schrittweises Vorgehen, das Schutzbedarf, Anlagenrealität und verfügbare Ressourcen zusammenführt.

1. OT-Bestand und Kommunikationswege erfassen

Jede Verbesserung beginnt mit Transparenz. Ein Produktionsbetrieb sollte seine Maschinen, SPS, Visualisierungssysteme, Engineering-Arbeitsplätze, Produktionsserver, Netzwerkkomponenten und externen Zugänge erfassen. Ergänzend gehören Hersteller, Modell, Software- und Firmwarestand, Eigentümer, Wartungsfenster und bekannte Abhängigkeiten in die Dokumentation.

Ebenso wichtig ist ein Kommunikationsbild. Welche Steuerung spricht mit welchem Server? Welche Systeme benötigen tatsächlich Internetzugang? Welche Verbindungen stammen aus früheren Projekten oder werden nur im Wartungsfall genutzt? Aus der öffentlich zugänglichen VDI-Beschreibung lässt sich ableiten, dass Asset-Management ein relevantes Konferenzthema ist. Die konkrete Aussage, die VDI-Agenda ordne OT-Asset-Management ausdrücklich als Grundlage für Segmentierung, Remote Access und Risikobewertung ein, ist anhand der zugänglichen Quellen jedoch nicht belastbar belegt. Diese Zusammenhänge sollten daher aus der eigenen Risikoanalyse und Anlagenaufnahme begründet werden.

Produktionszonen und Übergänge zur Office-IT dokumentieren.
Unbekannte, unnötige oder nicht mehr verantwortete Verbindungen als offene Prüfungen markieren.
Abhängigkeiten wie Identitätsdienste, Zeitserver, Backups und Engineering-Systeme aufnehmen.

2. Produktionsnetze segmentieren

Office-IT und OT sollten nicht als ein flaches, gemeinsam erreichbares Netz betrieben werden. Eine risikobasierte Segmentierung begrenzt die Ausbreitung eines Vorfalls und macht erlaubte Kommunikationswege überprüfbar. Dabei geht es nicht darum, jedes Gerät isoliert zu betreiben, sondern Zonen mit ähnlichem Schutzbedarf und klar definierte Übergänge zu schaffen.

Für die konkrete Gestaltung können Zonen und Kommunikationsbeziehungen systematisch anhand einer Risikoanalyse beschrieben werden. Die IEC-62443-Reihe sieht für IACS unter anderem eine Aufteilung in Zonen und Conduits vor. In der Praxis können VLANs, physische Trennungen, Firewalls und eine OT-DMZ geeignete Bausteine sein. Die konkrete Architektur muss zur Anlage passen und darf die Produktion nicht unkontrolliert gefährden.

Zonen nach Prozess, Schutzbedarf und notwendiger Kommunikation bilden.
Nur begründete Verbindungen zwischen Zonen zulassen.
Segmentierung mit einem dokumentierten Rückfall- und Wiederanlaufverfahren umsetzen.

3. Fernwartung kontrollieren

Fernwartung ist häufig notwendig, erweitert aber die Angriffsfläche. Dauerhaft erreichbare Herstellerzugänge, Sammelkonten und nicht dokumentierte Fernwartungssoftware erschweren die Nachvollziehbarkeit. Ein kompromittierter Zugang kann unter Umständen direkt in produktionsnahe Systeme führen.

Sinnvoll ist ein kontrolliertes Verfahren mit individuellen Konten, zeitlich begrenzter Freigabe und Protokollierung. Zusätzliche Authentisierungsfaktoren wie eine Mehrfaktor-Authentisierung sollten abhängig von Schutzbedarf, technischer Unterstützung und Risikoanalyse geprüft und eingesetzt werden, sofern dies für den konkreten Fernwartungsweg geeignet ist. Eine allgemeine, für jede OT-Fernwartung geltende Pflicht zur Mehrfaktor-Authentisierung lässt sich aus den hier zugrunde gelegten Quellen nicht ableiten. Der Zugriff sollte auf das erforderliche Zielsystem beschränkt sein. Nach dem Wartungsfenster muss er automatisch oder organisatorisch beendet werden. Auch der Vertrag mit Maschinenherstellern und Integratoren sollte Zuständigkeiten, Sicherheitsanforderungen und die Meldung von Vorfällen festlegen.

Sammelkonten vermeiden und Zugriffe personenbezogen vergeben.
Zweck, Zeitraum, Zielsystem und Freigabe dokumentieren.
Prüfen, ob zusätzliche Authentisierungsfaktoren für den konkreten Zugang technisch und risikobasiert angemessen sind.
Fernwartung bei Bedarf vollständig sperren können.

4. Schwachstellen und Updates risikoorientiert behandeln

OT-Systeme lassen sich nicht wie gewöhnliche Büroarbeitsplätze aktualisieren. Ein Neustart kann Produktionsausfälle verursachen, und für ältere Komponenten fehlen möglicherweise Sicherheitsupdates. Deshalb muss der Betrieb das Risiko eines Updates gegen das Risiko eines ungepatchten Systems abwägen.

Die IEC-62443-Reihe beschreibt organisatorische, technische und risikobasierte Anforderungen für industrielle Automatisierungs- und Steuerungssysteme. Für bestehende Anlagen müssen nicht alle Sicherheitsfunktionen unmittelbar technisch umsetzbar sein. Dann sind geeignete kompensierende Maßnahmen zu prüfen. Dazu zählen beispielsweise restriktive Firewall-Regeln, Netzisolierung, abgesicherte Administrationswege, die Deaktivierung unnötiger Dienste und zusätzliche Überwachung.

Updates vor dem Produktionseinsatz mit Hersteller oder Integrator prüfen.
Nicht unterstützte Systeme mit Risiko, Verantwortlichem und Ersatzperspektive erfassen.
Änderungen nur mit Wartungsfenster, Rückfallplan und dokumentierter Freigabe durchführen.

5. Monitoring, Incident Response und Wiederanlauf verbinden

Prävention allein reicht nicht. Der Betrieb sollte festlegen, welche Ereignisse erkannt werden können, wer eine Auffälligkeit bewertet und wann Produktion, IT-Leitung oder Geschäftsführung einzubeziehen sind. Die öffentlich zugängliche VDI-Seite nennt Monitoring, Incident Response und Cyberresilienz als behandelte Themen. Daraus lässt sich jedoch nicht eindeutig ableiten, dass die Konferenz Monitoring, Detection, Response und Recovery ausdrücklich als gemeinsame, vollständige Kette einordnet. Für den eigenen Betrieb sollten Erkennung, Reaktion und Wiederanlauf deshalb als miteinander verbundene Prozessbestandteile festgelegt werden.

Für den Wiederanlauf müssen nicht nur Serverdateien gesichert werden. Je nach Anlage können SPS-Programme, Parameter, Visualisierungsprojekte, Lizenzinformationen, Netzwerkpläne und Konfigurationsstände erforderlich sein. Die Wiederherstellung sollte als eigener Prüfschritt in das Notfall- und Wiederanlaufverfahren aufgenommen werden. Ein begrenztes, abgestimmtes Testszenario kann zeigen, ob die benötigten Daten, Zuständigkeiten und Abläufe tatsächlich verfügbar sind, ohne die Betriebssicherheit unkontrolliert zu gefährden.

OT-Ereignisse und relevante Netzwerkkommunikation nachvollziehbar protokollieren.
Sicherungen gegen unbefugte Änderung und Ransomware schützen.
Wiederanlaufreihenfolge, Ansprechpartner und Herstellerkontakte regelmäßig prüfen.

6. Verantwortlichkeiten und Lieferkette festlegen

OT-Sicherheit ist keine reine IT-Aufgabe. Produktion, Instandhaltung, IT, Geschäftsführung und externe Dienstleister müssen ein gemeinsames Verständnis über Risiken und Freigaben haben. Praktische Fragen sind: Wer darf Änderungen durchführen? Wer genehmigt Fernzugriffe? Wer entscheidet über eine kontrollierte Abschaltung? Wer kommuniziert mit dem Anlagenhersteller?

Bei Beschaffung und Modernisierung sollten Sicherheitsanforderungen früh vereinbart werden. Dazu gehören sichere Standardkonfigurationen, Rollen- und Rechtekonzepte, Updateinformationen, Protokollierung, Dokumentation und Unterstützung im Störungsfall. Die Verantwortung des Anlagenbetreibers bleibt bestehen, auch wenn Wartung oder Integration ausgelagert sind.

Eine verantwortliche Person für OT-Sicherheit benennen.
Änderungs-, Zugriffs- und Notfallprozesse schriftlich festhalten.
Sicherheitsanforderungen bereits in Ausschreibungen und Wartungsverträge aufnehmen.

Ein pragmatischer Start

Für kleinere Betriebe ist ein abgegrenzter Pilotbereich meist geeigneter als ein sofortiges Gesamtprojekt. Zuerst werden kritische Anlagen und Wege aufgenommen. Danach folgen die Prüfung externer Zugänge, die Bereinigung unnötiger Verbindungen, die Kontrolle der Netzgrenzen, die Sicherung wichtiger Konfigurationen und eine erste Wiederanlaufübung.

Jede Maßnahme sollte einen Verantwortlichen, ein konkretes Prüfkriterium und einen Termin erhalten. So wird aus einer allgemeinen Sicherheitsabsicht ein überprüfbarer Verbesserungsprozess. Die Priorität ergibt sich aus den möglichen Auswirkungen auf Sicherheit, Qualität, Lieferfähigkeit und Wiederanlauf.

Bestand und Kommunikationswege eines Produktionsbereichs erfassen.
Externe Zugänge und privilegierte Konten zuerst prüfen.
Segmentierung, Sicherungen und Wiederherstellung an einem begrenzten Szenario verifizieren.

Beispiel aus der Praxis

Beispiel: Ein kleiner metallverarbeitender Betrieb betreibt mehrere Bearbeitungszentren, einen Produktionsserver und einen externen Wartungszugang. Zunächst wird dokumentiert, welche Maschinen tatsächlich mit dem Server und welche mit dem Herstellerzugang kommunizieren. Der Wartungszugang erhält individuelle Konten, eine zeitlich begrenzte Freigabe und, sofern technisch unterstützt und nach der Risikoanalyse angemessen, einen zusätzlichen Authentisierungsfaktor. Office-IT und Produktion werden über kontrollierte Übergänge getrennt. Zusätzlich werden SPS-Projekte, Maschinenparameter und Serverdaten gesichert. Die Wiederherstellung wird an einer abgestimmten Anlage in einem begrenzten Szenario geprüft. Das Ergebnis ist kein pauschales Sicherheitsversprechen, sondern ein überprüfbarer Ausgangspunkt. Offen bleiben die Fragen, ob alle Altgeräte bekannt sind, ob die Sicherungen tatsächlich wiederhergestellt werden können und wie sich ein kompromittierter Bürobereich auf die Produktion auswirkt.

Chancen für Unternehmen

Ein begrenzter Produktionsbereich ermöglicht einen nachvollziehbaren Einstieg mit überschaubarem Umfang.
Kontrollierte Fernwartung verbessert Nachvollziehbarkeit und reduziert unnötige externe Erreichbarkeit.
Dokumentierte Kommunikationswege erleichtern Fehlersuche, Lieferantengespräche und spätere Modernisierung.
Geprüfte OT-Sicherungen verbessern die Voraussetzungen für einen kontrollierten Wiederanlauf.
Klare Zuständigkeiten verbinden technische Schutzmaßnahmen mit dem tatsächlichen Produktionsbetrieb.

Grenzen und Prüfpunkte

Nicht jede ältere Anlage unterstützt moderne Authentisierung, Protokollierung oder aktuelle Verschlüsselungsverfahren.
Patching, Segmentierung und Fernwartung können Wartungsfenster, Herstellerfreigaben oder technische Umbauten erfordern.
Ein Inventar ist nur belastbar, wenn auch selten genutzte Engineering-Systeme und temporäre Dienstleisterzugänge erfasst werden.
Monitoring erzeugt nur dann Nutzen, wenn Alarme bewertet und Zuständigkeiten tatsächlich besetzt sind.
Die VDI-Fachkonferenz ersetzt weder eine individuelle Risikoanalyse noch einen Sicherheitsnachweis für einen konkreten Betrieb.
Technische Maßnahmen ersetzen keine Notfallübungen, Lieferantenanforderungen und Entscheidungen zur verbleibenden Risikoakzeptanz.