Question 1

Was ist der Unterschied zwischen IT- und OT-Security?

Accepted Answer

IT schützt Daten und Büro-Systeme (Priorität: Vertraulichkeit). OT schützt Produktionsanlagen und Steuerungen (Priorität: Verfügbarkeit). Die Schutzmaßnahmen sind grundlegend verschieden - OT-Patches z. B. müssen mit dem Maschinen-Hersteller koordiniert werden.

Question 2

Brauche ich IEC 62443, wenn ich kein KRITIS-Betreiber bin?

Accepted Answer

IEC 62443 ist für jeden Produktionsbetrieb sinnvoll, der OT-Netze betreibt. Für NIS2-pflichtige Unternehmen im verarbeitenden Gewerbe ist es de facto Pflicht-Standard.

Question 3

Was kostet ein OT-Security-Projekt?

Accepted Answer

KMU 50-150 MA Mittelstand: Erstaufwand 30-80 k€ je nach Anlage und Reifegrad-Start. Wir liefern nach kostenfreier Assessment-Stunde eine Festpreis-Schätzung.

Question 4

Wie verhindere ich Produktionsausfälle durch Security-Maßnahmen?

Accepted Answer

Alle Maßnahmen werden in Wartungsfenstern oder auf Schattensystemen getestet. Passives Monitoring hat null Einfluss auf die Anlage. Segmentierungsarbeiten werden im Stillstand-Fenster eingespielt.

Question 5

Können wir ältere SPS (S7-300/S5/etc.) absichern?

Accepted Answer

Ja - durch Isolation in dedizierte Sicherheitszonen, nicht durch direktes Patching. Die Anlage bleibt unverändert, ihr Netz-Kontext wird kontrolliert.

Question 6

Welche Tools eignen sich für passives OT-Monitoring?

Accepted Answer

Tenable.ot, Claroty, Nozomi Networks - oder Open-Source-Alternativen. Wir empfehlen nach Assessment, was zu Deiner Anlage und Deinem Budget passt.

Question 7

Wer ist verantwortlich - IT-Leitung oder Werkleitung?

Accepted Answer

Beide. OT-Security braucht einen Brücken-Verantwortlichen, der beide Welten versteht. Wir helfen dabei, die Rollen zu definieren und abzustimmen.

Question 8

Wie bekommen wir ein vollständiges OT-Asset-Inventar, wenn niemand mehr weiß, was in den Schaltschränken steckt?

Accepted Answer

Über eine Kombination aus passivem Netz-Mitschnitt, Auswertung vorhandener Engineering-Projekte und einer Begehung mit den Instandhaltern. Aktives Scannen scheidet aus, weil ältere Steuerungen darauf mit Störungen reagieren können. Ergebnis ist eine Geräteliste inklusive Firmware-Ständen plus eine Kommunikations-Matrix, wer eigentlich mit wem spricht - erfahrungsgemäß der Moment, in dem die ersten unbekannten Verbindungen auffallen.

Question 9

Ist passives Monitoring wirklich rückwirkungsfrei - was braucht Ihr dafür im Netz?

Accepted Answer

Ja, der Sensor hört nur mit und sendet nichts in die Anlagen-Kommunikation. Technisch brauchen wir einen Mirror-Port am zentralen Switch oder einen Netzwerk-TAP an den relevanten Übergängen. Stehen im Werk nur unmanaged Switches, ist deren Austausch der erste Schritt - eine geplante Aufgabe fürs Wartungsfenster, kein Eingriff im laufenden Betrieb.

Question 10

Verlieren wir Herstellerfreigabe oder Gewährleistung, wenn wir sicherheitstechnisch eingreifen?

Accepted Answer

Deshalb ändern wir an der Anlage selbst so wenig wie möglich. Der Schutz entsteht überwiegend im Umfeld - Segmentierung, kontrollierte Übergänge, geregelte Fernwartungs- und Zugriffswege - und das berührt Freigaben in aller Regel nicht. Alles, was die Steuerung direkt betrifft, stimmen wir vorher mit dem Maschinenhersteller ab und lassen die Freigabe schriftlich bestätigen.

Question 11

Wie sichern wir Konfigurationen von SPS und Steuerungen - unsere IT-Backups erfassen die nicht.

Accepted Answer

Richtig, klassische Server-Backups sehen die Steuerungsebene nicht. Wir richten getrennte Konfigurations-Backups für SPS, HMI und Engineering-Stationen ein, versioniert und offline abgelegt, damit ein Verschlüsselungsvorfall sie nicht mit erwischt. Entscheidend ist der Rückspiel-Test im Wartungsfenster: Ein Backup, das nie zurückgespielt wurde, ist eine Annahme und kein Notfallplan.

Question 12

Was machen wir mit USB-Sticks und Wartungs-Laptops im Werk?

Accepted Answer

Das sind die häufigsten Eintrittswege in Produktionsnetze. Praktikabel ist eine Transfer-Station, an der Datenträger geprüft und Dateien sauber weitergereicht werden, ergänzt um Geräteregeln auf den Engineering-Rechnern. Für externe Techniker gilt: entweder ein bereitgestelltes Werksgerät oder ein definierter, protokollierter Zugang - der eigene Laptop hängt nicht ungeprüft am Anlagennetz.

Question 13

Wie lange dauert ein OT-Security-Projekt?

Accepted Answer

Asset-Inventur und Assessment sind meist in wenigen Wochen erledigt, das Zonen-Konzept folgt kurz darauf. Der Umsetzungsteil richtet sich nach Deinen Wartungsfenstern, nicht nach unserer Kapazität: Wer nur zwei Stillstands-Termine im Jahr hat, verteilt die Segmentierungsarbeiten entsprechend. Realistisch ist ein gestaffeltes Programm über mehrere Monate, bei dem die wirksamsten Schritte zuerst kommen.

Question 14

Brauchen wir eine Überwachung rund um die Uhr - und übernehmt Ihr die?

Accepted Answer

Sinnvoll ist sie überall dort, wo ein Produktionsstillstand richtig teuer wird, denn Angriffe passieren selten zur Bürozeit. Wir richten das OT-Monitoring ein und pflegen die Whitelist der bekannten Kommunikation; den 24/7-Betrieb eines Managed SOC decken wir über einen Partner ab. Im laufenden Betrieb erreichst Du uns mit einer Reaktionszeit unter zwei Stunden.

Question 15

Müssen wir bei einem Vorfall in der Produktion sofort abschalten?

Accepted Answer

Nicht reflexhaft. In der OT kann ein unkontrolliertes Abschalten mehr Schaden anrichten als der Angriff selbst, etwa bei laufenden Chargen oder Prozessen mit Sicherheitsfunktion. Deshalb legen wir vorab je Anlage fest, was isoliert, was heruntergefahren und was weiterbetrieben wird - und vor allem, wer das entscheidet. Das gehört in ein Runbook und sollte einmal im Jahr gemeinsam mit Werkleitung und IT geübt werden.

Aspekt	IT (Büro)	OT (Produktion)
Schutzziel	Vertraulichkeit > Integrität > Verfügbarkeit	Verfügbarkeit > Integrität > Vertraulichkeit
Patch-Zyklus	Tage bis Wochen	Monate bis Jahre (Anlagenstillstand teuer!)
Lebensdauer	3-5 Jahre	15-30 Jahre (alte SPS-Systeme!)
Protokolle	TCP/IP, HTTPS, REST	Modbus, OPC UA, Profinet, S7, DNP3
Update-Verträglichkeit	Hoch	Niedrig (Anlage muss neu zertifiziert werden)
Risikofolgen	Datenverlust, Ausfallzeit	Personen-Sicherheit, Umwelt, Produktionsstopp

Norm	Inhalt	Für wen
IEC 62443-1-1	Grundlagen, Terminologie, Konzepte	Alle
IEC 62443-2-1	ISMS für Anlagenbetreiber	Betreiber
IEC 62443-2-4	Anforderungen an Dienstleister (das sind wir!)	MSP/Integratoren
IEC 62443-3-2	Risikobewertung, Zonen/Conduit-Modell	Betreiber + Integratoren
IEC 62443-3-3	System-Security-Requirements, SL-Level 1-4	Systemintegratoren
IEC 62443-4-1	Secure Development Lifecycle	Hersteller
IEC 62443-4-2	Komponenten-Anforderungen	Hersteller

Pflicht	NIS2	KRITIS-Dachgesetz	IEC 62443
Risikoanalyse	✓ Pflicht	✓ Pflicht	✓ empfohlen
Vorfallmeldung	innerhalb 24 h (BSI)	innerhalb 24 h (BBK)	-
Sicherheitsbeauftragter	Ja	Ja	empfohlen
Audit-Pflicht	Ja, nach Größe	Ja, alle 2 Jahre	freiwillig
Produktions-Scope	✓	✓	✓

OT-Security & Produktionssicherheit - IEC 62443 in der Industrie-Praxis

OT-Security-Umsetzung in 6 Schritten

Asset-Inventur

Zonen-/Conduit-Konzept

Patch- & Backup-Management

Zugangsschutz + 2FA für Fernwartung

Anomalie-Erkennung

Incident-Response für OT

So läuft die OT-Absicherung

Asset-Inventur & Assessment

Zonen-Konzept & Roadmap

Umsetzung ohne Stillstand

Betrieb & Incident-Response

Was ist OT-Security - und warum reicht klassische IT-Security nicht?

Die Bedrohungslage in der Produktion

{#produktionssicherheit} Produktionssicherheit - was der deutsche Markt sucht

IEC 62443 - der Standard für OT-Security

OT-Security trifft NIS2 + KRITIS

OT-Security nach Branchen

Maschinenbau & Industrie

Automotive-Zulieferer

Energieversorger & KRITIS

Häufige Stolperfallen

Referenzen

Häufige Fragen zu OT-Security

Das könnte Dich auch interessieren

Bereit für planbare IT?

{{ d.heroTitle }}

{{ d.pillarsTitle }}

{{ pl.title }}

{{ d.processTitle }}

{{ pr.title }}

{{ d.faqTitle }}

Das könnte Dich auch interessieren

Bereit für planbare IT?