OT Security für Produktionsanlagen und Industrie
Operational Technology folgt anderen Regeln als Büro-IT. Andere Protokolle, andere Lebenszyklen, andere Ausfallfolgen. Ich analysiere Ihre industriellen Systeme nach IEC 62443 und entwickle Schutzkonzepte, die Sicherheit erhöhen, ohne den Betrieb fahrlässig zu stören.
Warum OT-Security eigene Methoden braucht
Produktionsanlagen waren jahrzehntelang isoliert — kein Internet, kein Remote-Zugriff, keine Angriffsfläche. Das hat sich geändert. Fernwartung, Predictive Maintenance, ERP-Integration — moderne Fertigungsumgebungen sind vernetzt. Und damit angreifbar.
Das Problem: Die Systeme selbst sind selten dafür gebaut. SPS-Steuerungen laufen auf alten Plattformen ohne sinnvolle Patchfenster. Protokolle wie Modbus oder Profibus kennen keine eingebaute Authentifizierung. Und ein Update, das in der IT zehn Minuten kostet, kann in der OT einen geplanten Produktionsstillstand bedeuten.
Klassische IT-Security-Werkzeuge greifen hier oft zu kurz oder schießen übers Ziel hinaus. Wer ohne OT-Erfahrung scannt, segmentiert oder remote eingreift, riskiert im Zweifel genau den Ausfall, den er verhindern wollte. OT-Security braucht daher eigene Methoden, saubere Abstimmung mit Betrieb und Instandhaltung und ein anderes Risikoverständnis.
OT Security — was ich für Sie tue
OT Asset-Inventarisierung
Erfassung von SPS, HMI, Sensoren, Gateways und Netzwerkkomponenten anhand passiver Netzbeobachtung, vorhandener Dokumentation und Betriebswissen. Abdeckung und Datenlücken werden ausgewiesen; zusätzliche Erhebungen stimme ich mit dem Betrieb ab.
Netzwerkanalyse & Segmentierung
Analyse der Kommunikationsflüsse zwischen IT und OT. Zonierung und Risikobeurteilung nach IEC 62443-3-2, daraus abgeleitete Systemanforderungen nach Teil 3-3. Empfehlungen für Segmentierung und kontrollierte IT/OT-Übergänge.
Risikobeurteilung nach IEC 62443
Strukturierte Bewertung von Bedrohungen und Schwachstellen für jede Sicherheitszone. Security Level Assessment. Priorisierter Maßnahmenplan nach Risikorelevanz.
Schutzkonzept & Policy
OT-spezifische Sicherheitsrichtlinien: Remote-Zugriff, Patch-Management in der OT, Zutritts- und Zugriffssteuerung, Backup-Strategie für Steuerungssysteme.
Incident Response für OT
Notfallkonzept für Cyberangriffe auf Produktionsumgebungen: Erkennung, Eindämmung, Wiederherstellung — ohne unnötige Produktionsunterbrechung.
NIS2 OT-Compliance
Für KRITIS-Betreiber und Wichtige Einrichtungen: OT-spezifische NIS2-Maßnahmen, BSI-Registrierung, Meldeprozesse für OT-Sicherheitsvorfälle.
TRBS 1115 Teil 1: Cybersicherheit für sicherheitsrelevante MSR-Einrichtungen
Cyberbedrohungen können die Funktion sicherheitsrelevanter Mess-, Steuer- und Regeleinrichtungen (MSR-Einrichtungen) beeinträchtigen. Die TRBS 1115 Teil 1 konkretisiert, wie Arbeitgeber diese Bedrohungen bei der sicheren Verwendung von Arbeitsmitteln berücksichtigen. Entscheidend ist der Einfluss auf die Sicherheitsfunktion, nicht allein die Verfügbarkeit des Produktionsnetzes.
Mein Angebot für Betreiber: Bestandsaufnahme und Maßnahmenplanung nach TRBS 1115 Teil 1. Ich unterstütze Sie dabei, vorhandene Unterlagen, mögliche Angriffswege und Schutzmaßnahmen mit den Anforderungen an Ihre sicherheitsrelevanten MSR-Einrichtungen zusammenzuführen.
Anwendungsbereich und Unterlagen
Gemeinsam mit Betrieb und Instandhaltung erfasse ich die relevanten Einrichtungen, Schnittstellen und Herstellerangaben. Vorhandene Gefährdungsbeurteilungen und Schutzkonzepte werden einbezogen; fehlende Informationen bleiben als offene Punkte erkennbar.
Cyber-Einflüsse auf Sicherheitsfunktionen
Ich untersuche mit Ihren Fachverantwortlichen, über welche Zugriffe eine Sicherheitsfunktion beeinträchtigt werden könnte. Die Zuordnung zu möglichen Personengefährdungen erfolgt in Abstimmung mit den für die Gefährdungsbeurteilung zuständigen Fachpersonen.
Maßnahmen und Verantwortlichkeiten
Aus den betrachteten Szenarien leite ich mit Ihrem Team technische und organisatorische Maßnahmen ab. Der Maßnahmenplan benennt Prioritäten, Verantwortliche und die nächsten Schritte für Umsetzung und Aufrechterhaltung im Betrieb.
Dokumentation und offene Nachweise
Sie erhalten eine Bestandsübersicht, eine Lückenliste und einen priorisierten Maßnahmenplan im vereinbarten Umfang. Noch ausstehende Umsetzungs- und Wirksamkeitsnachweise werden ausdrücklich ausgewiesen; eine geplante Maßnahme gilt nicht bereits als wirksam.
Die Beratung unterstützt Ihre Gefährdungsbeurteilung, ersetzt sie aber nicht vollständig. Gesetzlich erforderliche Prüfungen sind nicht Bestandteil dieses Beratungsangebots; eine „TRBS-Zertifizierung“ wird nicht angeboten.
Fachlicher Hintergrund: TRBS 1115 Teil 1 für Betreiber in der Produktion. Primärquelle: BAuA: TRBS 1115 Teil 1, insbesondere Abschnitte 1 und 3 zur Einordnung; Fassung mit Änderung vom 15. Januar 2026.
Typische OT-Schwachstellen, die ich in Projekten sehe
Fernwartung ohne saubere Kontrolle
Direkte VPN-Zugänge, geteilte Accounts oder dauerhaft offene Fernwartungswege. Praktisch für den Alltag, kritisch im Vorfall.
Unklare Asset-Lage
Niemand weiß vollständig, welche SPS, HMIs, Gateways und Engineering-Stationen wirklich aktiv sind. Ohne saubere Sicht fehlt die Basis für jede Priorisierung.
Flache Netze zwischen IT und OT
Historisch gewachsene Verbindungen zwischen Office-IT, Produktionsnetz und Dienstleisterzugängen. Funktioniert lange gut, bis ein Vorfall beide Welten gleichzeitig trifft.
Backups ohne Wiederanlauf-Nachweis
Backups existieren, aber niemand hat die Rücksicherung unter realistischen Bedingungen getestet. Gerade in der OT ist das ein gefährlicher Blindflug.
Genau hier setze ich an: zuerst Transparenz, dann Priorisierung, dann umsetzbare Maßnahmen. Wenn OT-Security regulatorisch sauber anschlussfähig werden muss, verbinde ich das mit NIS2-Anforderungen. Für Maschinenhersteller ist zusätzlich der Blick auf prEN 50742 und die MVO-Cybersicherheit sinnvoll.
IEC 62443 — der Standard für industrielle Cybersicherheit
Security-Programm für Betreiber
Anforderungen an Richtlinien und Verfahren des Security-Programms für Betreiber. Die Ausgabe 2024 vermeidet die Doppelung eines ISMS nach ISO/IEC 27001.
Sicherheits-Risikobeurteilung
Risikobeurteilung und Systemdesign — Grundlage für das Zonen-Konduit-Modell
Systemsicherheitsanforderungen
Security Levels 1–4 · Foundational Requirements · Systemsicherheitsspezifikation
Sicherer Entwicklungsprozess
Prozessanforderungen für Hersteller: Security von der Spezifikation über Design und Verifikation bis zum Update- und Schwachstellenprozess.
Komponentenanforderungen
Sicherheitsanforderungen für SPS, HMI, Feldgeräte und Netzwerkkomponenten
Die Ausgabe 2024 von IEC 62443-2-1 heißt „Security program requirements for IACS asset owners“ und streicht Anforderungen, die ein ISMS nur doppeln würden. IEC 62443-4-1 beschreibt den sicheren Entwicklungslebenszyklus für Produkthersteller. Quelle: IEC Webstore, IEC 62443-2-1:2024.
OT Security — was Betreiber und Hersteller fragen
Q01Was ist der Unterschied zwischen IT-Security und OT-Security?
IT-Security schützt Büro-IT, Server und Netzwerke — primär Daten und Verfügbarkeit. OT-Security schützt Operational Technology: SPS, SCADA, DCS, Feldgeräte in Produktions- und Prozessanlagen. Der entscheidende Unterschied: In der OT stehen physische Sicherheit und Verfügbarkeit im Vordergrund, Patches können nicht einfach eingespielt werden, und Systeme laufen oft 20+ Jahre. Klassische IT-Security-Maßnahmen funktionieren in der OT nicht ohne Anpassung.
Q02Was fordert IEC 62443 konkret?
IEC 62443 ist eine Normenreihe, keine einzelne Norm. Für Betreiber beschreibt IEC 62443-2-1:2024 ein Security-Programm, kein ISMS. IEC 62443-4-1 richtet sich an den sicheren Entwicklungsprozess von Herstellern, IEC 62443-3-3 an Systemsicherheitsanforderungen und IEC 62443-4-2 an Komponenten. Kern für Anlagen bleibt das Zonen-und-Konduit-Modell. Security Level 1–4 beschreibt den Schutz gegen unterschiedliche Angreifer-Kategorien.
Q03Welche OT-Branchen haben das größte Risikopotenzial?
Aus meiner Beratungspraxis: Fertigungsunternehmen mit vernetzten Produktionsanlagen, Energieversorger, Wasserversorgung, Chemie und Pharmaunternehmen. Kritisch sind alle Umgebungen, in denen ein Cyberangriff physische Schäden, Produktionsausfälle oder Umweltfolgen verursachen kann. KRITIS-Betreiber haben zusätzliche gesetzliche Pflichten nach NIS2 und BSIG.
Q04Wie läuft eine OT-Security-Bewertung ab?
Eine strukturierte OT-Security-Bewertung umfasst Asset-Inventarisierung, Netzwerkanalyse, Schwachstellenbewertung, Risikobeurteilung und Maßnahmenplan. Passive Netzbeobachtung wird mit Dokumentation und Betriebswissen kombiniert; nicht sichtbare Anlagen und Datenlücken werden ausgewiesen. Für eine mittelgroße Produktionsanlage liegt der typische Aufwand bei drei bis sechs Wochen. Erhebungen und etwaige Eingriffe werden vorher mit dem Betrieb abgestimmt.
Q05Was umfasst die Beratung zur TRBS 1115 Teil 1?
Ich unterstütze Betreiber bei der Bestandsaufnahme, der Bewertung von Cyber-Einflüssen auf sicherheitsrelevante MSR-Einrichtungen und der Maßnahmenplanung. Grundlage sind vorhandene Unterlagen und die Abstimmung mit Betrieb, Instandhaltung und den für die Gefährdungsbeurteilung zuständigen Fachpersonen. Das Ergebnis ist eine dokumentierte Übersicht mit offenen Punkten und priorisierten Maßnahmen. Die Beratung ist keine TRBS-Zertifizierung und ersetzt keine gesetzlich erforderliche Prüfung.
Q06Kann ich IT- und OT-Security gemeinsam angehen?
Ja — und das ist der sinnvolle Ansatz. IT und OT müssen getrennt betrachtet werden (andere Protokolle, andere Risikomodelle, andere Patchzyklen), aber in einem gemeinsamen Sicherheitskonzept zusammengeführt werden. Netzwerksegmentierung an der IT/OT-Grenze, kontrollierte Datenpunkte zwischen den Netzen, gemeinsames Incident-Response-Konzept — das ist der Stand der Technik.
Passende nächste Themen
Bereit für den nächsten Schritt?
Antwort in der Regel innerhalb von 24 Stunden an Werktagen. Kein Verkaufsgespräch – ein ehrliches Erstgespräch über Ihre Situation.