Produktionsanlagen werden immer digitaler. Maschinen melden Zustände in Echtzeit, Fernwartungszugänge ermöglichen schnellen Support und Produktionsdaten fließen direkt in ERP-, Cloud- oder Analysesysteme. Mit jeder neuen Schnittstelle wächst nicht nur die Effizienz, sondern auch die Angriffsfläche. Die Grenzen zwischen IT und Produktion verschwinden zunehmend. Damit gelangen auch Cyberrisiken dorthin, wo sie für viele Unternehmen am schmerzhaftesten sind – in die eigentliche Wertschöpfung.
Trotzdem wird Cybersecurity in vielen mittelständischen Unternehmen noch immer als IT-Thema betrachtet. Solange keine Daten gestohlen werden und keine E-Mails verschlüsselt sind, scheint die Lage unter Kontrolle. Doch diese Sicht greift zu kurz. Denn wenn Anlagen stillstehen, Aufträge nicht ausgeliefert werden können oder Qualitätsprobleme entstehen, geht es längst nicht mehr um IT. Dann geht es um Lieferfähigkeit, Geschäftskontinuität, Umsatz und Reputation.
Fünf Denkweisen, die Unternehmen unnötig verwundbar machen
OT-Security schützt nicht primär Daten, sondern die Geschäftsfähigkeit
Operational Technology, kurz OT, umfasst die Systeme, die physische Prozesse steuern und überwachen. Dazu gehören beispielsweise Produktionsanlagen, Leitstände, Maschinensteuerungen (bspw. SPS) oder industrielle Netzwerke sowie Feldbusse. Werden diese Systeme kompromittiert, entstehen andere Risiken und Schäden als in klassischen IT-Umgebungen.
Die möglichen Folgen reichen von:
- Produktionsstillständen
- Qualitätsabweichungen
- Lieferverzögerungen
- Vertragsstrafen
- Umsatzeinbußen
bis hin zu Sicherheitsrisiken für Mitarbeiter oder Anlagen.
Anders als klassische IT-Systeme steuern OT-Umgebungen reale Prozesse. Während IT-Security vor allem Informationen schützt, sichert OT-Security die Verfügbarkeit und Stabilität von Betriebs- und Produktionsprozessen ab. Entsprechend greifen die Folgen eines OT-Sicherheitsvorfalls oft weit und können im Extremfall Menschen, Anlagen oder die Umwelt betreffen.
Warum Produktionsanlagen heute deutlich angreifbarer sind als früher
Lange Zeit galten Produktionsnetze als vergleichsweise abgeschottet. In vielen Unternehmen existierte die Vorstellung einer klaren Trennung zwischen IT und Produktion. Maschinen waren nur lokal erreichbar und Steuerungen nicht mit externen Netzen verbunden. Dieses Bild trifft heute nur noch selten zu. Fernwartungszugänge, Industrie-4.0-Projekte, Cloud-Anbindungen, IoT- und IIoT-Sensorik und der Austausch von Produktionsdaten gehören inzwischen zum Alltag vieler Unternehmen.
Der geschäftliche Nutzen dieser Entwicklung ist unbestritten. Gleichzeitig entstehen neue Angriffsflächen. Viele industrielle Anlagen wurden vor zehn oder zwanzig Jahren angeschafft – zu einer Zeit, in der Cybersecurity bei ihrer Entwicklung kaum eine Rolle spielte. Heute sind dieselben Anlagen häufig Teil hochgradig vernetzter Umgebungen. Die Digitalisierung steigert damit nicht nur Effizienz und Transparenz, sondern erhöht auch die Anforderungen an die Sicherheit dieser tief vernetzten Systeme.
Cyberangriffe auf OT-Umgebungen sind Realität
Dass die Folgen längst nicht mehr theoretisch sind, zeigen zahlreiche Vorfälle aus Industrie und Produktion.
So musste der Aluminiumhersteller Norsk Hydro nach einem Cyberangriff im Jahr 2019 weltweit auf manuelle Prozesse umstellen. Produktionsstandorte waren teilweise nur eingeschränkt arbeitsfähig, während Mitarbeitende zentrale Abläufe vorübergehend ohne digitale Unterstützung aufrechterhalten mussten. Der Vorfall machte deutlich, wie schnell ein Cyberangriff die operative Geschäftsfähigkeit eines Unternehmens beeinträchtigen kann.
Auch der NotPetya-Angriff zeigte bereits 2017 die Auswirkungen auf industrielle Wertschöpfungsketten. Beim Lebensmittel- und Konsumgüterhersteller Mondelez kam es zu erheblichen Produktionsstörungen. Unter anderem war die Produktion in der Milka-Fabrik in Lörrach betroffen. Der Fall verdeutlichte die enge Abhängigkeit moderner Produktionsunternehmen von digitalen Systemen und Prozessen.
Neben konkreten Vorfällen entwickelt sich auch die Bedrohungslage weiter. Sicherheitsexperten analysierten mit INCONTROLLER (PIPEDREAM) erstmals ein spezialisiertes Framework, das gezielt für Angriffe auf industrielle Steuerungs- und Automatisierungssysteme entwickelt wurde. Die Werkzeuge richten sich gegen Komponenten, die in Produktions- und Industrieumgebungen weit verbreitet sind.
Gemeinsam zeigen diese Beispiele eine Entwicklung, die viele Unternehmen unterschätzen: Produktionsumgebungen geraten zunehmend in den Fokus professioneller Angreifer. Cyberangriffe zielen längst nicht mehr ausschließlich auf Daten, sondern immer häufiger auf die Verfügbarkeit und Stabilität operativer Prozesse.
Der größte Schaden entsteht selten im Rechenzentrum
Wer bei Cyberangriffen zuerst an Datenleaks denkt, übersieht oft das eigentliche Geschäftsrisiko. Ein erfolgreicher Angriff auf ein Produktionsnetz schafft es nicht zwangsläufig in die Schlagzeilen, die wirtschaftlichen Folgen können dennoch erheblich sein. Schon wenige Stunden ungeplanter Stillstand können Lieferketten unterbrechen, Kundenbeziehungen belasten und erhebliche interne Ressourcen binden.
Gerade im Mittelstand hängen Wertschöpfung und Lieferfähigkeit häufig unmittelbar von stabilen Produktionsprozessen ab. Deshalb ist nicht entscheidend, wie viele Angriffe abgewehrt wurden. Entscheidend ist, welche Auswirkungen ein erfolgreicher Angriff auf den Geschäftsbetrieb hätte.
OT-Security ist kein KRITIS-Thema
Ein häufiger Irrtum lautet: „Wir sind kein kritischer Infrastrukturbetreiber. Warum sollten wir uns intensiv mit OT-Security beschäftigen?“
Die Antwort liegt in den möglichen Folgen. Für viele mittelständische Unternehmen reichen bereits wenige Stunden ungeplanter Ausfall, um Liefertermine zu gefährden, Vertragsstrafen auszulösen oder langjährige Kundenbeziehungen zu belasten.
Hinzu kommen steigende Anforderungen entlang der Lieferkette. Kunden, Partner und Auftraggeber erwarten zunehmend Transparenz darüber, wie Unternehmen mit Cyberrisiken umgehen. Risikotransparenz und ein systematischer Umgang mit Sicherheitsrisiken werden immer häufiger Bestandteil von Lieferantenbewertungen, Audits und Ausschreibungen.
Auch regulatorische Anforderungen gewinnen an Bedeutung. Mit NIS2 rückt Cybersecurity stärker auf die Management-Ebene. Unternehmen sollen Risiken systematisch bewerten, geeignete Schutzmaßnahmen etablieren und Sicherheitsvorfälle beherrschbar machen. Selbst Unternehmen, die nicht unmittelbar unter die Regulierung fallen, spüren die Auswirkungen zunehmend über Anforderungen von Kunden oder Geschäftspartnern.
Die Normenreihe IEC 62443 bietet dabei einen wichtigen Orientierungsrahmen für die Absicherung industrieller Systeme. Sie beschreibt bewährte Sicherheitsprinzipien für Produktionsumgebungen und unterstützt Unternehmen dabei, Sicherheitsmaßnahmen strukturiert und risikoorientiert umzusetzen.
Für viele mittelständische Unternehmen geht es daher längst nicht mehr nur um Compliance. Die Fähigkeit, Cyberrisiken in Produktionsumgebungen zu verstehen und beherrschbar zu machen, entwickelt sich zunehmend zu einem geschäftskritischen Erfolgsfaktor.
Fünf Denkweisen, die Unternehmen unnötig verwundbar machen.
Wir hatten noch nie einen Vorfall.
Wir haben bislang auch ohne OT-Security gut funktioniert.
Unsere Produktion ist für Hacker nicht interessant.
OT ist Sache der IT.
Mehr Security bedeutet weniger Produktivität.
OT-Security beginnt selten mit Technologie
Viele Unternehmen suchen zunächst nach technischen Lösungen. In der Praxis zeigt sich jedoch, dass erfolgreiche OT-Security meist mit drei grundlegenden Fragen beginnt:
IT, Produktion, Instandhaltung und externe Dienstleister arbeiten häufig an denselben Systemen. Klare Rollen und Verantwortlichkeiten sind deshalb eine wesentliche Grundlage für wirksame OT-Security.
Viele Unternehmen verfügen nicht über einen vollständigen Überblick über ihre OT-Landschaft. Fehlende Transparenz erschwert die Bewertung von Risiken und ermöglicht Angriffswege, die lange unentdeckt bleiben.
Nicht jeder Sicherheitsvorfall lässt sich verhindern. Entscheidend ist daher, ob Produktionsbereiche, Anlagen und Netzwerke so voneinander getrennt sind, dass sich die Auswirkungen eines Angriffs wirksam begrenzen lassen.
Genau diese Fragestellungen stehen im Mittelpunkt der weiteren Beiträge dieser Blogreihe. Sie zeigen, warum klare Verantwortlichkeiten, Transparenz über Systeme und Angriffswege sowie eine wirksame Segmentierung zu den wichtigsten Grundlagen einer widerstandsfähigen Produktionsumgebung gehören.
Mehr dazu in den kommenden Wochen.