Auf dem Netzplan sind Büro-IT und Produktion sauber getrennt. Im Betrieb kann das anders aussehen: Ein Wartungsrechner verbindet beide Netze, ein separat beschaffter LTE-Router eröffnet einen zusätzlichen Zugang zur Anlage. Solche praktischen Lösungen können Produktions- und Wartungsprozesse optimieren, aber gleichzeitig Sicherheitslücken schaffen, wenn sie im übergreifenden Schutzkonzept nicht berücksichtigt werden. Der Netzplan allein zeigt deshalb nicht, über welche Wege eine Produktionsanlage tatsächlich erreichbar ist.
Man kann nichts schützen, das man nicht kennt. Für die Absicherung der OT (Operational Technology) bedeutet das eine Übersicht über die Systeme hinter dem Produktionsprozess: Welche Systeme steuern die Produktion? Wie sind sie verbunden, und wer kann darauf zugreifen? Zusammen mit dem Wissen über die technische Funktion im Betrieb schafft diese Transparenz die Grundlage, um Risiken einzuordnen und Schutzmaßnahmen gezielt zu planen.
Die blinden Flecken betreffen oft ganze Produktionsbereiche
Auch wenn die Technik innerhalb einer einzelnen Anlage bekannt ist, sind ihre Verbindungen zu benachbarten Netzen oder externen Dienstleistern mitunter unzureichend dokumentiert. An genau diesen Übergängen zwischen einzelnen Verantwortungsbereichen entstehen Transparenzlücken. Unter Umständen werden ganze Produktionsbereiche weder überwacht noch zentral kontrolliert.
Bei der Bestandsaufnahme zeigen sich häufig unterschiedliche Lücken: unzureichend geschützte, aus dem Internet erreichbare Systeme, bislang unbekannte OT-Geräte oder ungeklärte Zuständigkeiten. Auch eine gut strukturierte Netzwerksegmentierung kann unterlaufen werden. Ein sogenanntes Multi-Homed-System beispielsweise besitzt Schnittstellen in mehreren Netzen. Abhängig von seiner Konfiguration und Nutzung kann es einen nicht vorgesehenen Kommunikationsweg zwischen diesen Netzen ermöglichen.
Auch ein nicht erfasster Fernwartungszugang kann sich der zentralen Zugriffskontrolle entziehen. Bei einem Missbrauch sind unbefugte Änderungen, Datenabfluss oder Produktionsausfälle möglich. Abhängig vom Prozess können auch Schäden an Anlagen und Gefahren für Menschen entstehen. Relevant ist daher, wie weit ein Zugang in die Produktion reicht und welche Funktionen darüber erreichbar sind.
Netzpläne brauchen einen Abgleich mit der Realität im Betrieb
Netzpläne und eine CMDB (Configuration Management Database), die Systeme und ihre Beziehungen dokumentiert, sind wertvolle Ausgangspunkte. Ihre Aussagekraft hängt jedoch davon ab, ob Änderungen kontinuierlich erfasst werden. Eine erweiterte Anlage, eine zusätzliche Firewall-Freigabe oder eine vom externen Dienstleister eingerichtete Verbindung kann den dokumentierten Stand überholen.
Auch langlebige Produktionsumgebungen verändern sich. Fehlt ein verbindlicher Prozess für Beschaffung, Anschluss und Dokumentation, entsteht Schatten-OT: Geräte und Verbindungen, die außerhalb der zentralen Verwaltung betrieben werden. Ein separat installierter Mobilfunkrouter kann dazu ebenso beitragen wie eine ungeprüfte Erweiterung an einem frei zugänglichen Netzwerkanschluss.
Lücken in der Bestandsaufnahme können geplante Netzänderungen verzögern und verteuern. Werden erst während einer Segmentierungsmaßnahme zusätzliche Geräte oder bisher unbekannte aber notwendige Kommunikationsverbindungen entdeckt, müssen Firewall-Regeln angepasst und Wartungsfenster neu abgestimmt werden. Ein Abgleich des Bestands vor der Umsetzung hilft, diesen zusätzlichen Aufwand zu begrenzen.
Ob eine beobachtete Verbindung für den Betrieb notwendig ist, müssen IT, Produktion und Instandhaltung gemeinsam klären. Dass zwei Geräte Daten austauschen, belegt zunächst nur die Kommunikation zwischen ihnen. Daraus lässt sich weder ihre betriebliche Notwendigkeit noch eine angemessene Absicherung ableiten.
Transparenz schaffen, ohne den Anlagenbetrieb zu gefährden
Produktionsanlagen bleiben häufig über Jahrzehnte im Einsatz. Betriebssysteme und Steuerungskomponenten solcher Legacy Systeme lassen sich oft nicht beliebig aktualisieren oder ersetzen. Der NIST-Leitfaden zur OT-Sicherheit berücksichtigt diese besonderen Rahmenbedingungen: Sicherheitsmaßnahmen müssen den Anforderungen des Anlagenbetriebs an Leistungsfähigkeit, Zuverlässigkeit und Sicherheit von Menschen und Anlagen gerecht werden. Für die Bestandsaufnahme ist deshalb vorab zu klären, ob Geräte zusätzliche Netzwerkabfragen vertragen und unter welchen Bedingungen sie untersucht werden können. Art, Umfang und Zeitpunkt der Erhebung sind mit den Anlagenverantwortlichen abzustimmen, um Steuerungsfunktionen und laufende Prozesse nicht zu beeinträchtigen.
Mehr zum NIST-Leitfaden zur OT-Sicherheit
Zur Erfassung der OT-Umgebung lassen sich vorhandene Dokumentationen, Konfigurationsdaten, die Beobachtung des Netzwerkverkehrs und gezielte Geräteabfragen kombinieren. Ein Scan allein liefert keinen garantierten Gesamtüberblick. Nicht angebundene Anlagen, abgeschaltete Geräte oder separate Mobilfunkzugänge können außerhalb seines Erfassungsbereichs liegen. Ortsbegehungen und der Austausch mit den Menschen, die die Anlagen betreiben und warten, ergänzen die technische Erhebung.
Vom technischen Befund zur betrieblichen Priorität
Bei langlebigen Bestandsanlagen mit veralteten, oft nicht auf neuere Versionen umstellbaren Betriebssystemen entscheidet das Alter allein noch nicht über die Priorität der Absicherung. Für solche Legacy-Systeme ist zu bewerten, welche Schwachstellen bestehen, über welche Wege sie erreichbar sind und wie wirksam vorhandene Schutzmaßnahmen greifen. Ein eng begrenzter Netzbereich kann die Angriffsmöglichkeiten reduzieren, beseitigt sie aber nicht automatisch.
Zusätzlich zählt, welche Folgen ein Ausfall oder eine Manipulation hätte: Steht eine einzelne Maschine still oder eine ganze Fertigungslinie? Zusammen mit den Schwachstellen, den Zugriffswegen und den vorhandenen Schutzmaßnahmen bestimmt das, wie dringend das System zusätzlich abgesichert werden muss.
Eine Risikoanalyse hilft, diese Informationen systematisch zu bewerten und den Handlungsbedarf zu priorisieren. Zur Umsetzung gehören dann auch klare Verantwortlichkeiten und mit der Produktion und Instandhaltung abgestimmte Termine.
Damit die Bewertung belastbar bleibt, muss das Inventar anschließend Veränderungen im Betrieb abbilden. Neue Anlagen, geänderte Fernzugänge und Netzwerkerweiterungen sollten eine Aktualisierung auslösen. Wiederkehrende technische Abgleiche zeigen, ob dokumentierter und tatsächlicher Bestand übereinstimmen.
Ein abgegrenztes Assessment als Einstieg
Ein strukturiertes Assessment mit klar definiertem Untersuchungsumfang schafft einen planbaren Einstieg in die OT-Bestandsaufnahme.
Vor Beginn wird gemeinsam mit den Verantwortlichen festgelegt, welche Anlagen und Netzbereiche vorrangig untersucht werden und welche Ergebnisse für die betrieblichen Anforderungen und Sicherheitsziele benötigt werden. Aus dem Abschlussbericht sollten bestätigte Befunde sowie nachvollziehbare nächste Schritte klar ableitbar sein.
Beim OT Visibility Scan von Possehl Secure verbindet eine softwaregestützte Erfassung mittels runZero die technische Bestandsaufnahme mit einer von Experten begleiteten Einordnung der Ergebnisse. Im untersuchten Bereich werden unbekannte Systeme, Abweichungen von der geplanten Netzwerksegmentierung und kritische Kommunikationspfade ermittelt und hinsichtlich ihrer Geschäftsrelevanz bewertet.
Zusätzliche Risk Assessments können organisatorische Rahmenbedingungen und Verantwortlichkeiten untersuchen. Zusammen bilden diese Erkenntnisse eine fundierte Grundlage, um notwendige Segmentierungs- und Sicherheitsmaßnahmen zu priorisieren.
Visibilität in der OT macht Abhängigkeiten im Produktionsnetz und mögliche Angriffswege nachvollziehbar. Dieses Wissen hilft, Sicherheitsbudgets nach dem tatsächlichen Risiko einzusetzen und Änderungen an Anlagen und Netzen fundiert zu planen. Auch unscheinbare Verbindungen können für die Sicherheit einer ganzen Fertigungslinie relevant sein – sie gehören in die Bestandsaufnahme, bevor sie im Störungsbericht auftauchen. Bleibt diese Transparenz im laufenden Betrieb erhalten und werden daraus geeignete Maßnahmen abgeleitet, unterstützt sie die Reduktion von Ausfallrisiken und damit Betriebsstabilität und Lieferfähigkeit.