Tim Brexendorf, Geschäftsführer bei Videc, erklärt, warum Transparenz über Assets, Schnittstellen und Kommunikationswege für die OT-Sicherheit entscheidend ist, und welche besonderen Herausforderungen die OT-Security Unternehmen abverlangt:
Produktionsanlagen, Maschinen und Leitsysteme werden zunehmend miteinander vernetzt. Was verändert sich dadurch im Arbeitsalltag von Industrieunternehmen und wo entstehen neue Risiken?
Die Vernetzung schafft zunächst große Vorteile: Daten stehen schneller zur Verfügung, Zustände lassen sich zentral überwachen und Prozesse besser analysieren. Gleichzeitig wächst die Zahl der Schnittstellen und Kommunikationswege. Dadurch können Fehlkonfigurationen, veraltete Komponenten oder ungewöhnliche Aktivitäten im Netzwerk größere Auswirkungen haben als früher. Ein wichtiger erster Schritt ist deshalb, überhaupt zu wissen, welche Geräte in einer Anlage vorhanden sind und miteinander kommunizieren. Gerade in gewachsenen Produktionsumgebungen ist diese Transparenz nicht immer gegeben. Eine aktuelle Übersicht über Anlagen, Assets und Verbindungen bildet die Grundlage, um Risiken realistisch zu bewerten und Schutzmaßnahmen gezielt einzusetzen.
Viele Unternehmen übertragen IT-Sicherheitskonzepte auf ihre Produktionsumgebungen. Wo liegen die wichtigsten Unterschiede zwischen IT- und OT-Security?
In der klassischen IT stehen häufig Vertraulichkeit und der Schutz von Informationen im Vordergrund. In der OT hat dagegen die Verfügbarkeit und sichere Funktion einer Anlage höchste Priorität. Ein Produktionssystem lässt sich nicht ohne Weiteres herunterfahren, aktualisieren oder umfassend testen, wenn dadurch Prozesse beeinträchtigt oder Menschen gefährdet werden könnten. Auch die technischen Rahmenbedingungen unterscheiden sich: In Produktionsanlagen finden sich oft ältere Systeme, spezielle Protokolle und Komponenten mit langen Lebenszyklen. Sicherheitslösungen müssen daher möglichst schonend arbeiten und den laufenden Betrieb berücksichtigen. Passive Verfahren zur Netzwerküberwachung können hier einen Ansatz bieten, weil sie den Datenverkehr beobachten, ohne aktiv in die Kommunikation einzugreifen.
Cyberangriffe werden häufig erst erkannt, wenn bereits ein Schaden entstanden ist. Woran lässt sich verdächtiges Verhalten in einem OT-Netzwerk frühzeitig erkennen?
Nicht jede Auffälligkeit ist automatisch ein Angriff. Ein Gerät kommuniziert beispielsweise mit einem System, mit dem es bisher nicht verbunden war, oder ein Dienst verwendet ein ungewöhnliches Protokoll. Auch Veränderungen in der Netzwerkstruktur oder unerwartete Aktivitäten außerhalb der üblichen Betriebszeiten können Hinweise liefern. Entscheidend ist, solche Abweichungen im Kontext der jeweiligen Anlage zu bewerten. Eine OT-Security-Lösung sollte deshalb nicht nur einzelne Ereignisse melden, sondern Zusammenhänge sichtbar machen und Risiken einordnen. Irma überwacht den Netzwerkverkehr kontinuierlich, erkennt Anomalien und unterstützt die risikobasierte Analyse sowie die Alarmierung. Die Verantwortung für die Bewertung und die geeignete Reaktion bleibt dabei beim Betreiber.
Automatisierung gilt als Schlüssel für effiziente Produktionsprozesse. Gilt das auch für die Cybersecurity oder braucht es bei Sicherheitsvorfällen immer den Menschen?
Automatisierte Systeme können große Datenmengen kontinuierlich überwachen und Fachkräfte auf Ereignisse aufmerksam machen, die im täglichen Betrieb leicht übersehen werden. Sie ersetzen jedoch nicht die fachliche Bewertung. Gerade in der OT muss ein Alarm im Zusammenhang mit dem Anlagenzustand, dem Produktionsauftrag und geplanten Wartungsarbeiten betrachtet werden. Sinnvoll ist daher eine Arbeitsteilung: Software übernimmt die kontinuierliche Beobachtung, strukturiert Ereignisse und priorisiert Hinweise. Verantwortliche entscheiden anschließend, ob es sich um eine Fehlkonfiguration, eine technische Störung oder einen möglichen Angriff handelt. Wichtig ist außerdem, dass die Informationen in bestehende Strukturen wie Leitstand, SOC oder SIEM weitergegeben werden können.
