Operational Technology · IEC 62443 · KRITIS & NIS2
OT-Security: Schutz für industrielle Steuerungsumgebungen
Operational Technology stellt andere Sicherheitsanforderungen als klassische IT. Warum OT-Security ein eigenständiges Disziplin ist, welche Normen gelten und wie die wachsende IT/OT-Konvergenz sicher gestaltet wird.
Was ist OT-Security?
Operational Technology (OT) bezeichnet die Hardware und Software, die physische Prozesse überwacht und steuert: speicherprogrammierbare Steuerungen (SPS), SCADA-Systeme, verteilte Leitsysteme (DCS), Feldgeräte und Bedienpanels (HMI). OT ist das Nervensystem moderner Industrie — sie steuert Kraftwerke, Produktionsanlagen, Wasserversorgung, Pipelines und Verkehrsinfrastruktur.
OT-Security bezeichnet den systematischen Schutz dieser Umgebungen vor Cyberangriffen, Fehlfunktionen und unberechtigten Zugriffen. Sie ist eine eigenständige Disziplin — mit eigenen Standards, eigenen Bedrohungsmodellen und grundlegend anderen Prioritäten als klassische IT-Security.
Der entscheidende Unterschied: In der IT ist ein Sicherheitsvorfall in erster Linie ein Datenproblem. In der OT ist er ein Betriebsproblem — mit potenziell physischen Konsequenzen. Produktionsausfälle, Schäden an Anlagen, Versorgungsunterbrechungen oder Gefährdungen der physischen Sicherheit sind reale Szenarien, wenn OT-Systeme kompromittiert werden.
IT/OT-Konvergenz: Warum OT-Security heute dringlicher ist als je zuvor
OT-Umgebungen waren historisch durch physische und logische Isolation geschützt — das sogenannte Air Gap. Systeme waren nicht mit dem Unternehmensnetzwerk oder dem Internet verbunden, und Angreifer mussten physisch präsent sein, um Schaden anzurichten.
Industry 4.0, das Industrial Internet of Things (IIoT) und der Druck zur Effizienzsteigerung durch Remote-Monitoring, Predictive Maintenance und Cloud-Anbindung haben diesen Air Gap aufgelöst. OT-Systeme sind heute — direkt oder indirekt — mit IT-Netzwerken verbunden. Damit sind alle Angriffsvektoren der IT auch für OT relevant geworden: Ransomware, Supply-Chain-Angriffe, kompromittierte Fernwartungszugänge, Phishing gegen Ingenieure.
Reale Konsequenzen: Der Angriff auf Colonial Pipeline (2021) legte die größte Kraftstoffpipeline der USA lahm — ausgelöst durch einen kompromittierten VPN-Zugang ohne Multi-Faktor-Authentifizierung. Der NotPetya-Angriff (2017) verursachte bei Maersk, Merck und anderen Unternehmen Schäden von insgesamt über 10 Milliarden US-Dollar — ursprünglich durch ein kompromittiertes Software-Update verbreitet.
Warum OT-Security andere Anforderungen stellt als IT-Security
Klassische IT-Sicherheitskonzepte lassen sich nicht unverändert auf OT-Umgebungen übertragen. Die Unterschiede sind fundamental:
Verfügbarkeit hat Vorrang
In der IT gilt das CIA-Triad mit Vertraulichkeit an erster Stelle. In der OT steht Verfügbarkeit (Availability) an erster Stelle — Produktionsunterbrechungen haben unmittelbare wirtschaftliche und physische Konsequenzen. Sicherheitsmaßnahmen, die in der IT Standard sind (z.B. sofortige Systemabschaltung bei Incident), können in OT-Umgebungen inakzeptabel sein.
Lange Lebenszyklen und eingeschränktes Patching
OT-Systeme haben Lebenszyklen von 15 bis 25 Jahren. Patches erfordern häufig Herstellerzertifizierung, ausgedehnte Testphasen und Produktionsstillstände. Viele Systeme laufen mit bekannten Schwachstellen — nicht aus Fahrlässigkeit, sondern weil das Patchen operativ nicht möglich ist. OT-Security muss mit dieser Realität umgehen, nicht gegen sie.
Physische Konsequenzen von Sicherheitsvorfällen
Ein Cyberangriff auf eine OT-Umgebung kann physische Schäden verursachen: Fehlfunktionen von Maschinen, unkontrollierte chemische Prozesse, Ausfall von Sicherheitssystemen. Das Bedrohungsmodell für OT muss physische Szenarien einschließen — und Schutzmaßnahmen müssen auf diese Szenarien ausgerichtet sein.
Spezialisierte Protokolle und Systeme
OT-Umgebungen nutzen industriespezifische Kommunikationsprotokolle wie Modbus, Profinet, DNP3 oder OPC UA — oft ohne eingebaute Authentifizierung oder Verschlüsselung. Standard-IT-Sicherheitstools erkennen diese Protokolle nicht oder interpretieren sie falsch. OT-Security erfordert spezialisierte Werkzeuge und Expertise.
Regulatorischer Rahmen für OT-Security
Die regulatorischen Anforderungen an OT-Security haben sich in den letzten Jahren erheblich verschärft. Für deutsche Unternehmen sind vor allem folgende Regelwerke relevant:
IEC 62443
Internationale Normenfamilie für industrielle Cybersicherheit (IACS). Definiert Sicherheitsstufen (SL 1–4), das Zonen-und-Konduit-Modell sowie Anforderungen für Betreiber, Integratoren und Hersteller. De-facto-Standard für OT-Security und zunehmend Nachweisgrundlage für Aufsichtsbehörden und Versicherer.
NIS2-Richtlinie
Die EU-Richtlinie zur Netzwerk- und Informationssicherheit gilt für wesentliche und wichtige Einrichtungen in den Sektoren Energie, Wasser, Transport, Gesundheit und Produktion. NIS2 schreibt technische und organisatorische Cybersicherheitsmaßnahmen vor — explizit auch für OT-Umgebungen.
KRITIS-Regulierung (BSI-KritisV)
Betreiber kritischer Infrastrukturen in Deutschland unterliegen dem BSI-Gesetz und der KRITIS-Verordnung. Sie sind verpflichtet, angemessene Sicherheitsvorkehrungen für IT- und OT-Systeme zu treffen, erhebliche Störungen zu melden und dies alle zwei Jahre nachzuweisen.
BSI ICS-Security-Kompendium
Das Bundesamt für Sicherheit in der Informationstechnik hat spezifische Empfehlungen für Industrial Control Systems (ICS) veröffentlicht. Das ICS-Security-Kompendium und der ICS-Grundschutz ergänzen den klassischen IT-Grundschutz um OT-spezifische Anforderungen.
OT-Security-Leistungen von Blackfort Technology
Blackfort Technology verbindet regulatorische Expertise mit technischem OT-Verständnis. Unsere Leistungen decken den gesamten OT-Security-Lebenszyklus ab:
OT Security Assessment nach IEC 62443
Strukturierte Bewertung Ihrer OT-Umgebung auf Basis von IEC 62443: Bestandsaufnahme der Systeme und Kommunikationsbeziehungen, Identifikation von Schwachstellen, Bewertung des aktuellen Security Levels und Ableitung eines priorisierten Maßnahmenplans.
IT/OT-Segmentierung und Zonenkonzept
Entwicklung und Umsetzung eines Zonen-und-Konduit-Modells nach IEC 62443: sichere Trennung von OT- und IT-Netzwerken, Definition von Übergangspunkten, Firewall-Konzept und Netzwerkmonitoring für industrielle Protokolle.
Sichere Fernwartung für OT-Umgebungen
Remote-Access-Konzepte speziell für industrielle Umgebungen: Zero-Trust-basierter Fernzugriff für Wartungstechniker und Hersteller, vollständige Protokollierung aller Sitzungen, keine dauerhaften VPN-Verbindungen.
→ Mehr zu sicherer FernwartungNIS2- und KRITIS-Compliance für OT
Unterstützung bei der Erfüllung regulatorischer Anforderungen: Gap-Analyse gegen NIS2 und BSI-KritisV, Dokumentation von Sicherheitsmaßnahmen, Vorbereitung auf Nachweise gegenüber Aufsichtsbehörden und Unterstützung bei der Meldepflicht im Störungsfall.
→ NIS2-BeratungPenetrationstests für OT-Umgebungen
Gezielte Sicherheitstests für industrielle Steuerungsumgebungen: Schwachstellenanalyse ohne Produktionsbeeinträchtigung, Simulation realer Angriffsvektoren auf OT-Systeme, Überprüfung von Übergangspunkten zwischen IT und OT.
→ PenetrationstestsOT-Security für Ihre Umgebung — strukturiert und praxisnah
Blackfort Technology begleitet Industrie- und KRITIS-Betreiber bei der Absicherung ihrer OT-Umgebungen: vom initialen Assessment über die Entwicklung eines Zonenkonzepts bis zur Erfüllung regulatorischer Nachweispflichten nach NIS2 und IEC 62443.
Häufige Fragen zur OT-Security
Was ist OT-Security?
OT-Security bezeichnet den Schutz von Operational-Technology-Umgebungen — also industriellen Steuerungs- und Automatisierungssystemen wie SPS, SCADA, DCS und HMI. Im Unterschied zur klassischen IT-Security stehen in OT-Umgebungen Verfügbarkeit und physische Sicherheit im Vordergrund: Ein Sicherheitsvorfall kann nicht nur Daten, sondern Produktionsprozesse, Versorgungsinfrastrukturen und im schlimmsten Fall Menschenleben gefährden.
Was ist der Unterschied zwischen IT-Security und OT-Security?
IT-Security priorisiert das CIA-Triad: Vertraulichkeit, Integrität, Verfügbarkeit — in dieser Reihenfolge. OT-Security kehrt die Prioritäten um: Verfügbarkeit steht an erster Stelle, da Produktionsausfälle unmittelbare wirtschaftliche und physische Konsequenzen haben. Hinzu kommen fundamentale Unterschiede in der Infrastruktur: OT-Systeme haben Lebenszyklen von 15–25 Jahren, lassen sich häufig nicht patchen und waren historisch nicht für Netzwerkkonnektivität ausgelegt.
Welche Normen und Standards gelten für OT-Security?
Die wichtigste internationale Norm ist IEC 62443, die einen umfassenden Rahmen für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS) definiert. In Deutschland ergänzen der BSI IT-Grundschutz für ICS sowie die KRITIS-Regulierung (BSI-KritisV) den Rahmen. Für Betreiber wesentlicher Einrichtungen ist zudem NIS2 relevant, die konkrete Cybersicherheitsmaßnahmen auch für OT-Umgebungen vorschreibt.
Bin ich als Betreiber einer OT-Umgebung von NIS2 betroffen?
Sehr wahrscheinlich ja, wenn Ihr Unternehmen in einem der betroffenen Sektoren tätig ist: Energie, Wasser, Abwasser, Transport, Gesundheit, digitale Infrastruktur, Produktion oder Lebensmittel. NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen und schreibt beiden konkrete technische und organisatorische Maßnahmen vor — auch für OT-Systeme, die bisher außerhalb des IT-Sicherheitsperimeters lagen.
Was ist IEC 62443 und warum ist sie für OT-Security relevant?
IEC 62443 ist die internationale Normenfamilie für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie definiert Sicherheitsstufen (Security Levels 1–4), das Zonen-und-Konduit-Modell zur Netzwerksegmentierung sowie Anforderungen für Anlagenbetreiber, Systemintegratoren und Produkthersteller. IEC 62443 gilt als de-facto-Standard für OT-Sicherheit und wird von Aufsichtsbehörden und Versicherern zunehmend als Nachweisgrundlage akzeptiert.
OT-Security vs. IT-Security
Regulatorischer Rahmen
Verwandte Themen
OT-Security Assessment
Wir bewerten Ihre OT-Umgebung strukturiert nach IEC 62443 und leiten einen priorisierten Maßnahmenplan ab.
Jetzt anfragenKontakt aufnehmen
Bereit für den nächsten Schritt?
Sprechen Sie mit uns über Ihre Sicherheitsanforderungen – konkret, ohne Verpflichtung und auf Augenhöhe.