Was ist Industrial Cybersecurity (OT-Security)?
Industrial Cybersecurity, auch OT-Security (Operational Technology), schützt SPS, HMI, SCADA, Produktionsnetze und Steuerungssysteme vor Angriffen, Störungen und Fehlbedienung. Die Prioritäten unterscheiden sich von der Büro-IT: In der OT stehen Verfügbarkeit und physische Sicherheit des Prozesses an erster Stelle, danach Integrität und erst dann Vertraulichkeit.
Das ist wichtig, weil eine stillstehende Anlage oder ein falscher Befehl Menschen gefährden, Ausschuss erzeugen und Lieferungen stoppen kann. Die Vernetzung der Fertigung (Industrie 4.0) hat die Angriffsfläche von Netzen vergrößert, die ursprünglich isoliert ausgelegt waren.
Visuelle Übersicht zur OT-Security
Die Übersicht zeigt die IT- und OT-Ebenen, Zonen und Conduits, das Beispiel zur Risikopriorisierung und den Maßnahmenplan.
OT ist nicht IT
| Aspekt | IT | OT |
|---|---|---|
| Priorität | Vertraulichkeit | Verfügbarkeit und physische Sicherheit |
| Lebensdauer | 3 bis 5 Jahre | 10 bis 30 Jahre |
| Updates | Häufig, automatisch | Selten, im geplanten Stillstand |
| Neustart | Akzeptabel | Kann eine Schicht kosten |
| Protokolle | Internetstandards | Viele ohne Authentifizierung (u. a. Modbus) |
Deshalb scheitert es oft, die IT-Richtlinie unverändert in die Fertigung zu übertragen: Ein Virenscanner, der ein HMI einfriert, oder ein Portscan, der eine SPS abstürzen lässt, sind reale Risiken. Die Automatisierung mit SPS und SCADA braucht eigene Schutzmaßnahmen.
Ebenen: das Purdue-Modell
Das Purdue-Modell gliedert die Architektur in Ebenen und ist die Grundlage, um Barrieren zu platzieren:
- Ebene 0-1: Sensoren, Aktoren und Steuerungen (SPS).
- Ebene 2: lokale Überwachung (HMI, SCADA).
- Ebene 3: Betriebsführung, etwa das MES und Historian-Server.
- Ebene 3.5: demilitarisierte Zone (DMZ) zwischen OT und IT.
- Ebene 4-5: Unternehmens-IT, ERP und Internet.
Die Kernregel: keine direkte Verbindung zwischen IT und den Ebenen 0 bis 3. Alles läuft über die DMZ, mit definierter Quelle, Ziel und Port.
Zonen und Conduits (IEC 62443)
Die Normenreihe IEC 62443 (in Deutschland als DIN EN IEC 62443 veröffentlicht) behandelt die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Zwei Konzepte lösen die Segmentierung:
- Zone: Gruppe von Assets mit gleichem Risikoniveau und gleichen Sicherheitsanforderungen (z. B. die Abfülllinie).
- Conduit: Kommunikationsweg zwischen Zonen mit expliziten, überwachten Regeln.
Jede Zone erhält ein Ziel-Sicherheitslevel (SL 1 bis 4), vom Schutz gegen zufällige Verletzung bis zum Schutz gegen raffinierte Angriffe. Der Nutzen der Segmentierung ist die Eindämmung: Ein infiziertes Notebook erreicht nur die eigene Zone.
Illustratives Beispiel: ein flaches Netz mit 120 Geräten in einem VLAN. Ein kompromittiertes Notebook sieht 119 weitere. Bei 4 Zonen zu je 30 sieht es 29 in der eigenen Zone; die Reichweite sinkt um 75,6 %, der Rest läuft über Conduit-Regeln.
Beispiel: Risiken je Asset priorisieren
Fiktives Beispiel. Jedes Asset erhält eine Bewertung für Eintrittswahrscheinlichkeit (1-5) und Auswirkung auf den Prozess (1-5), wie in der Risikomatrix.
Risiko = Wahrscheinlichkeit × Auswirkung
| Asset | Wahrscheinlichkeit | Auswirkung | Risiko | Stufe |
|---|---|---|---|---|
| Engineering-Notebook (SPS-Programmierung) | 4 | 5 | 20 | Hoch |
| SCADA-Server | 3 | 5 | 15 | Hoch |
| HMI Linie 2 | 4 | 3 | 12 | Mittel |
| SPS Linie 2 | 2 | 5 | 10 | Mittel |
| IP-Prüfkamera | 4 | 2 | 8 | Mittel |
Stufen: 15 oder mehr = hoch; 8 bis 14 = mittel; unter 8 = niedrig. Das Engineering-Notebook führt die Liste an: Es wird in die Fertigung hinein- und herausgetragen, nutzt USB-Sticks und erreicht jede SPS. Die erste Maßnahme ist ein dediziertes Notebook mit Kontrolle der Wechselmedien.
Maßnahmenplan in 6 Schritten
- Inventar: alle OT-Assets erfassen (Modell, Firmware, IP, Verantwortlicher). Was man nicht kennt, kann man nicht schützen.
- Segmentieren: IT und OT mit Firewall und DMZ trennen, dann in Zonen aufteilen.
- Kontrollierter Fernzugriff: Lieferanten kommen über einen einzigen Weg, mit starker Authentifizierung, Freigabe und Protokollierung.
- Konten und Passwörter: Standardpasswörter und geteilte Konten abschaffen; Rechte nach dem Minimalprinzip vergeben.
- Backup und Wiederherstellung: Offline-Kopien von SPS-Programmen und Konfigurationen vorhalten und die Wiederherstellung testen.
- Überwachen und reagieren: Netzwerkereignisse protokollieren und festlegen, wer im Vorfall was tut, inklusive Notbetrieb von Hand.
Patches und Schwachstellenbehebung gehören in den Instandhaltungsplan, in geplante Stillstände und nach Tests. IIoT- und Predictive-Maintenance-Projekte, die Daten in die Cloud senden, sollten Ebene 2 über ein freigegebenes Conduit verlassen, wenn möglich nur in eine Richtung. Neue Anlagen wie Cobots gehören ebenfalls ins Inventar.
Typische Fehler
- Die Fertigung für isoliert halten: Modems, Lieferantenzugänge und USB-Sticks schaffen Brücken.
- IT-Richtlinie ungeprüft übernehmen: automatisches Patchen oder aktives Scannen kann den Prozess stoppen.
- Kein Inventar: Unbekanntes lässt sich nicht schützen.
- Flaches Netz: Aus einem Vorfall wird ein Gesamtstillstand.
- Die Mitarbeitenden vergessen: Bediener und Instandhaltung müssen Auffälliges erkennen und melden.
- Kein Notbetriebskonzept: Fällt SCADA aus, muss das Team sicher weiterarbeiten können.
Häufige Fragen
Was ist OT-Security?
Der Schutz industrieller Steuerungs- und Automatisierungssysteme (SPS, SCADA, Produktionsnetze) vor Angriffen und Störungen, mit Vorrang für Verfügbarkeit und physische Sicherheit.
Worin unterscheiden sich IT und OT?
Die IT verarbeitet Daten und Bürosysteme, die OT steuert physische Prozesse. In der OT kann ein Stillstand für Updates inakzeptabel sein.
Was ist die IEC 62443?
Eine Reihe internationaler Normen zur Sicherheit industrieller Automatisierungs- und Steuerungssysteme, die Zonen, Conduits und Security Level definiert.
Was ist das Purdue-Modell?
Ein Referenzmodell mit den Ebenen 0 bis 5, das physischen Prozess, Steuerung, Überwachung, Betriebsführung und Unternehmens-IT trennt.
Wo fängt man mit dem Schutz an?
Mit dem Asset-Inventar, der Trennung von IT und OT durch Firewall und DMZ und der Kontrolle des Lieferanten-Fernzugriffs.
Hilft ein Virenscanner in der OT?
Auf Windows-Stationen für SCADA und Engineering ja, wenn der Hersteller ihn freigibt. Auf SPS und Controllern nicht anwendbar; dort zählen Segmentierung und Zugriffskontrolle.
Quellen
- IEC 62443: Security for industrial automation and control systems (Normenreihe; in Deutschland DIN EN IEC 62443).
- NIST. Special Publication 800-82: Guide to Operational Technology (OT) Security. Gaithersburg: NIST.
- WILLIAMS, T. J. A Reference Model for Computer Integrated Manufacturing (Purdue Reference Model). Purdue University, 1989.
- KNAPP, E. D.; LANGILL, J. T. Industrial Network Security. Waltham: Syngress.
Zum Weiterlernen: verlässliche Quellen und Links
- Ministério do Trabalho e Emprego: Normas Regulamentadoras (NRs) (auf Portugiesisch)
- Plattform Industrie 4.0 (auf Englisch)
- Wikipedia: Risikomanagement
Merken Sie sich diese Adresse: Manufatura Enxuta ist Ihre Schule für Lean Manufacturing. Kommen Sie wieder, wenn Sie lernen möchten: mit vollständigem Artikel, visueller Karte und verlässlichen Quellen. Folgen Sie einem der Lernpfade oder schlagen Sie im Glossar A–Z nach.
Möchten Sie eine Kurzübersicht zum Nachschlagen in der Fertigung?
Laden Sie das kostenlose E-Book Taschenführer herunter, mit den Lean-Werkzeugen, zusammengefasst auf je einer Seite.
E-Book herunterladen
Über den Autor
Spezialist für Lean Manufacturing und Verhaltensmanagement
Über 20 Jahre in der Automobil- und Metallindustrie (GM und Dana), Praktiker für Lean Manufacturing seit 2006. SENAI-Dozent und Mentor im brasilianischen Programm Brasil Mais Produtivo, mit Beratung, Schulung und Audits für über 50 Unternehmen. Er verbindet Qualität, Produktivität und Personalentwicklung.
