Traditionell wurden OT-Systeme in abgeschotteten Umgebungen fernab der klassischen IT entwickelt. Diese Trennung ist heute weder sinnvoll noch realisierbar: Um das Ziel der Effizienzsteigerung und Kostensenkung zu erreichen, müssen die Systeme mit dem Firmennetzwerk verbunden werden. Dieser Paradigmenwechsel stellt die Fertiger vor zahlreiche Herausforderungen, angefangen bei der fehlenden Sicherheitsexpertise: Produzierende Unternehmen haben in der Regel wenig spezifische Erfahrung mit dem Schutz sensibler Systeme und Anwendungen – ihr Hauptaugenmerk liegt nach wie vor auf der Aufrechterhaltung eines störungsfreien Produktionsbetriebs.
Die OT-Verantwortlichen kennen sich zwar bestens mit industrieller Steuerungstechnik wie ICS, SCADA, PLC und deren proprietären Protokollen aus, aber Themen der klassischen IT-Sicherheit sind ihnen zumeist fremd. Dadurch haben sie Probleme, Angriffe und Anomalien im Netzwerk frühzeitig zu erkennen und darauf zu reagieren. Die fehlende Transparenz über die zugrundeliegenden Kommunikationsstrukturen tut ihr Übriges, sodass Angriffsflächen oft unentdeckt bleiben.
Veraltete OT-Systeme werden selten richtig gepatcht
Eine weitere Herausforderung ist das Alter der Anlagen: In der Fertigung sind 15 Jahre und deutlich mehr durchaus üblich. Jede Änderung an der Systemsoftware birgt das Risiko, den reibungslosen Betrieb zu stören oder gar die Funktionsfähigkeit der Maschinen zu gefährden. Hinzu kommt, dass viele OT-Geräte, die kritische Infrastrukturen unterstützen, nicht für einen schnellen Neustart ausgelegt sind. Daher werden potenziell notwendige Patches aus Angst vor Betriebsunterbrechungen oft einfach nicht eingespielt. Während in der IT das regelmäßige Updaten mehr oder weniger Standard ist, gestaltet sich das in der OT deutlich schwieriger. Dies korreliert wiederum mit der sich ständig verändernden Cyber-Bedrohungslandschaft. Die Angriffe nehmen Jahr für Jahr zu und werden immer zielgerichteter. Das Ausnutzen von Sicherheitslücken kann von der Manipulation der Fertigungsprozesse bis hin zum Produktionsstopp oder Komplettausfall führen.
Die Maschinensoftware nicht zu aktualisieren, ist natürlich keine Lösung. Denn die Fertiger haben durchaus Möglichkeiten, ihre OT-Umgebung vor modernen Bedrohungen zu schützen. Bevor jedoch irgendwelche Maßnahmen ergriffen und Patches installiert werden, empfiehlt sich eine umfassende Bestandsaufnahme. Dabei sollten alle Geräte, deren Lieferanten, das Alter sowie die spezifischen Funktionen dokumentiert werden. Anschließend gilt es, die kritischsten Anlagen und Netzwerke zu identifizieren und die Prioritäten für zukünftige Patch-Maßnahmen festzulegen.
Ein entscheidender Schritt ist die Durchführung von Updates in einer kontrollierten, isolierten Testumgebung, in der die realen Betriebsbedingungen, Schnittstellen und Kommunikationsprotokolle nachgebildet werden. Zusätzlich sollte immer ein Backup der bestehenden OT-Systeme vorhanden sein, um im Notfall auf die vorherige Version zurückgreifen zu können. Neben dieser Rollback-Strategie ist ein engmaschiges Monitoring wichtig, um eventuelle Auffälligkeiten oder Beeinträchtigungen der Systemfunktionalität frühzeitig zu erkennen.
Zusätzliche Schutzmaßnahmen „schließen“ Patch-Lücken
Da das Einspielen von Software-Updates oftmals eine Unterbrechung der Produktion erfordert, kann nicht die gleiche Patch-Frequenz wie in der IT erreicht werden. Die Fertiger benötigen daher grundlegende Schutzmaßnahmen, um Schwachstellen in der Zeit zwischen den Updates zu entschärfen. Eine der effektivsten ist die Segmentierung von Netzwerken inklusive eingeschränkter Zugriffsrechte. Dadurch werden die Kommunikationsmöglichkeiten zwischen verschiedenen Anlagen und Systemen eingeschränkt, was die Gefahr von Malware und anderen Bedrohungen verringert. Bestimmte Daten und Protokolle müssen jedoch durchgelassen werden. Daher versuchen Hacker in der Regel, erlaubte Protokolle zu nutzen, um bösartige Datenpakete zu übertragen. Hier helfen beispielsweise OT-Threat-Detection-Systeme weiter: Sie erkennen frühzeitig ungewöhnliche Verkehrsmuster oder Fehlkonfigurationen und geben diese Alarme an das SOC (Security Operation Center) weiter.
Mindestens ebenso sinnvoll ist eine zentrale Management-Konsole. Sie sammelt Informationen von allen Anlagen und Standorten, um Echtzeiteinblicke in die OT-Netzwerke und deren Aktivitätsmuster zu erhalten. So kann das Sicherheitsteam die manuelle Fehlersuche und den forensischen Aufwand reduzieren und schneller auf mögliche Schwachstellen reagieren.
Ein moderner Lösungsansatz: Patch Management as a Service
Angesichts fehlender Ressourcen und Expertise bietet sich die Einbindung eines Managed-Service-Providers mit langjähriger Erfahrung an, der das Schwachstellenmanagement und die damit verbundenen Aufgaben übernimmt. Ein gut organisiertes Patch-Konzept schützt nicht nur die sensiblen Daten, sondern reduziert auch die rechtlichen Risiken, denen die Hersteller ausgesetzt sind, wenn sie ihrer Sorgfaltspflicht nicht nachkommen. Durch automatisierte Prozesse werden Updates zu genau passenden Zeitpunkten eingespielt – oft auch außerhalb der regulären Geschäftszeiten. Dies minimiert menschliche Fehler, reduziert Systemausfallzeiten und stellt sicher, dass kein Update verpasst wird.
Darüber hinaus bietet diese Lösung ein umfassendes Tracking und Reporting, das es ermöglicht, den Netzwerkstatus in Echtzeit zu überwachen, fehlende oder fehlgeschlagene Patch-Versuche schnell zu identifizieren und durch einfache Reports jederzeit den Überblick über alle durchgeführten und geplanten Updates zu behalten. Der MSP stellt sicher, dass alle Patches den gesetzlichen Anforderungen entsprechen und schützt Fertiger so vor Compliance-Verstößen. Das Outsourcing ist zudem wirtschaftlich attraktiv, da eine monatliche Pauschale alle Patch-Aufgaben abdeckt und keine zusätzlichen Investitionen in Infrastruktur oder interne IT-Ressourcen notwendig sind.
Der externe Partner geht dabei Schritt für Schritt vor: Zunächst erfolgt mittels OT-Endpoint-Management-Software eine Erfassung der Assets mit fehlenden Sicherheitsupdates, die kontinuierlich wiederholt wird. Für sicherheitskritische Geräte werden auf Basis von Empfehlungen und Best Practices der OT-Hersteller die notwendigen Patches identifiziert. Relevante Updates werden schließlich anhand der individuellen Anforderungen jedes Systems, bekannter Einschränkungen und geplanter Wartungspläne erfasst, priorisiert und bereitgestellt. Im Anschluss können die OTVerantwortlichen entscheiden, wann welche Patches eingespielt werden. Das Expertenteam des MSP unterstützt sie bei Bedarf.
Regulatorische Anforderungen erhöhen den Druck
Der Druck auf Fertiger, ihre OT-Landschaft besser abzusichern, wird in jedem Fall steigen. Zum einen wird der Gesetzgeber weitere Regelungen einführen, aktuell nehmen NIS2 oder die neue EU-Maschinenverordnung die Betriebe in die Pflicht. Zum anderen werden die Maschinen immer stärker vernetzt, einschließlich der Einbindung von Partnern und Zulieferern, sodass Kontakte nach außen unvermeidlich sind.
.jpg "Neue Risiken: KI-Einsatz verbreitet sich schneller als Kontrollmechanismen")
