OT Security

Der Unterschied zur IT-Security beginnt bei der Reihenfolge der Schutzziele. Die IT schützt Informationen und gewichtet Vertraulichkeit, Integrität und Verfügbarkeit in genau dieser Folge. Die OT schützt einen physischen Prozess. Der OT-Leitfaden des NIST, SP 800-82 Rev. 3 von 2023, nennt für sie Safety zuerst, dann Verfügbarkeit, dann Integrität und Vertraulichkeit zuletzt. Daraus folgen Entscheidungen, die ein IT-Sicherheitsteam überraschen. Einen verdächtigen Büro-PC nimmt man vom Netz. Eine Steuerung, die gerade einen Härteofen auf Temperatur hält, trennt niemand, solange offen ist, was der Prozess danach tut.

Dazu kommt die Lebensdauer. NIST rechnet bei IT-Komponenten mit drei bis fünf Jahren, bei OT-Komponenten mit 10 bis 15 Jahren, ganze OT-Systeme laufen oft länger als 20 Jahre. Auf vielen Bedienrechnern in der Halle läuft deshalb ein Betriebssystem, für das der Hersteller keine Sicherheitsupdates mehr liefert. Wo es Patches gibt, kommen sie erst nach einem Test und im nächsten Wartungsfenster auf die Anlage. Für dieses Patchmanagement gibt es mit IEC TR 62443-2-3 einen eigenen technischen Bericht. Was sich gar nicht patchen lässt, schützen kompensierende Maßnahmen, vor allem die Segmentierung nach dem Zonen- und Conduit-Modell der IEC 62443, gesperrte Dienste und eine kontrollierte Fernwartung.

Am Anfang jeder OT Security steht die Bestandsaufnahme. Welche Steuerung läuft wo, mit welcher Firmware und welchem Programmstand, und mit wem spricht sie? Aktive Netzwerkscans helfen hier nur bedingt, denn sie können ältere Steuerungen aus dem Tritt bringen. NIST rät deshalb, sie in geplante Stillstände zu legen, und setzt im laufenden Betrieb auf passive Verfahren, die den Netzverkehr nur mitlesen. Zur OT Security gehören auch die Engineering-Daten selbst. Das BSI hat 2024 die Grundsätze der Cybersicherheit von Operational Technology auf Deutsch veröffentlicht, eine Kurzanleitung, die das australische Cyber Security Centre mit Behörden aus acht weiteren Staaten erarbeitet hat. Sie vergleicht das Wissen, wie Netz und Steuerungen aufgebaut und konfiguriert sind, mit einer Schatzkarte für Angreifer. Ein Ordner mit allen SPS-Projekten, den jeder im Büronetz öffnen kann, ist in diesem Sinn auch eine Sicherheitslücke.

Regulatorisch hat sich die Lage seit Ende 2025 verschoben. Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 und erfasst auch viele Fertigungsunternehmen. Seit dem 11. September 2026 müssen Hersteller vernetzter Produkte nach dem Cyber Resilience Act Schwachstellen und Sicherheitsvorfälle melden. Beide Regelwerke fragen im Ernstfall, ob sich eine Änderung an einer Steuerung einer Person, einem Zeitpunkt und einer Freigabe zuordnen lässt. Hier berühren sich OT Security und Industrial DevOps. Versionierte Programmstände und Deployments, die über einen protokollierten Übergang in die OT-Zone laufen, liefern diese Zuordnung bei jeder Änderung mit.