Viele Organisationen haben ihre IT-Sicherheit in den vergangenen Jahren erheblich gestärkt. Doch während die Aufmerksamkeit dort lag, geriet die Betriebstechnologie zunehmend aus dem Blickfeld: die Systeme, die Fabriken, Kraftwerke und Verkehrsnetze am Laufen halten. Diese Systeme sind zunehmend vernetzt und damit auch zunehmend ein potenzielles Angriffsziel.

IT und OT wachsen zusammen – mit weitreichenden Konsequenzen

Vom isolierten zum vernetzten System

Betriebstechnologie (OT) arbeitete traditionell vollständig autark. Industrielle Steuerungssysteme (ICS), SCADA-Plattformen und speicherprogrammierbare Steuerungen (SPS) wurden auf Zuverlässigkeit und Kontinuität ausgelegt, nicht auf Sicherheit in einer vernetzten Welt.

Digitalisierung bricht Barrieren auf

Der Druck, effizienter zu arbeiten, Systeme aus der Ferne zu überwachen und zu warten sowie datenbasierte Entscheidungen zu treffen, hat diese Isolation aufgebrochen. SPS kommunizieren mit Cloud-Plattformen. Techniker loggen sich per VPN ein, oft ohne jegliche Zugriffskontrolle. ERP-Systeme tauschen Daten mit der Produktionshalle aus.

Darüber hinaus verfügen häufig auch Dritte über Fernzugang zu OT-Systemen – für Wartung, Patching und Support. Die Folge: OT-Netzwerke sind zunehmend über dieselben Angriffsvektoren erreichbar wie IT-Umgebungen, etwa über unzureichend gesicherte Fernzugänge und veraltete Betriebssysteme ohne aktuelle Updates, jedoch ohne die Sicherheitsschichten, die die IT in den vergangenen Jahrzehnten aufgebaut hat.

Angreifer nutzen das aus

Staaten wie Russland und China setzen Hackergruppen ein, um kritische Infrastrukturen anzugreifen. Die der Gruppe Sandworm zugeschriebenen Angriffe auf europäische Energieunternehmen und Behörden sind ein deutliches Beispiel dafür. Auch kriminelle Gruppierungen haben OT-Umgebungen als attraktives Ziel entdeckt. Die Auswirkungen eines Angriffs auf eine OT-Umgebung betreffen die Kontinuität von Geschäftsprozessen – und, was noch schwerer wiegt, die Sicherheit von Menschen.

Warum OT-Sicherheit einen anderen Ansatz erfordert

Als CISO oder IT-Direktor sind Ihnen die klassischen Sicherheitsprinzipien vertraut. Doch in OT-Umgebungen gelten andere Regeln – wer das unterschätzt, wird schnell an Grenzen stoßen. In der IT dreht sich Sicherheit um Vertraulichkeit, Integrität und Verfügbarkeit. In der OT kommt der Verfügbarkeit und der funktionalen Sicherheit eine besonders hohe Bedeutung zu. Eine Produktionslinie, die stillsteht, verursacht unmittelbar Kosten und kann gefährliche Situationen herbeiführen. Das bedeutet: Updates einspielen, Systeme neu starten oder isolieren ist häufig keine Option. Sicherheitsmaßnahmen müssen daher so gewählt werden, dass sie dieser Realität Rechnung tragen.

Veraltete Systeme und eingeschränkte Transparenz

Viele OT-Umgebungen laufen auf Systemen, die Jahrzehnte alt sind. Hersteller stellen keine Updates mehr bereit, doch die Systeme können nicht ohne Weiteres ersetzt oder abgeschaltet werden. Sie bleiben damit anfällig und erfordern besondere Maßnahmen wie Virtual Patching. Organisationen müssen wissen, was in ihrer OT-Umgebung betrieben wird. SPS, HMIs, SCADA-Systeme, Sensoren – oft sind es Dutzende oder Hunderte von Komponenten, ohne vollständige Bestandsübersicht. Das ist keine Kleinigkeit. Man kann nicht schützen, was man nicht kennt.

Unzureichende Segmentierung und Drittanbieterzugang

Die Trennung zwischen IT und OT ist häufig unzureichend geregelt. Sobald ein Angreifer im IT-Netzwerk Fuß gefasst hat, ist der Schritt zu OT-Systemen mitunter gering. Hinzu kommt, dass OT-Umgebungen von externen Dienstleistern mit Fernzugang gewartet werden. Diese Zugangspunkte sind oft unzureichend gesichert, werden kaum überwacht oder sind teilweise nicht einmal bekannt. Das konsequente Anstreben eines Zero-Trust-Ansatzes ist in diesem Zusammenhang unerlässlich.

Regulierung macht Abwarten zur keine Option mehr

Von freiwillig zu verpflichtend: persönliche Haftung für Führungskräfte

Sicherheitsstandards für OT existieren seit geraumer Zeit. IEC 62443 bietet einen soliden Rahmen für industrielle Cybersicherheit, und die NIST-Richtlinien für ICS sind weithin anerkannt. Lange Zeit war die Einhaltung jedoch freiwillig: Organisationen entschieden selbst, ob sie diese Standards übernehmen wollten. Das ist nun vorbei.

Die NIS2-Richtlinie stellt strengere Anforderungen an Organisationen in Sektoren wie Energie, Wasser, Transport und Gesundheitswesen. Führungskräfte haften persönlich für Versäumnisse. Vorfälle müssen innerhalb von 24 Stunden gemeldet werden, gefolgt von einer vollständigen Meldung innerhalb von 72 Stunden und einem abschließenden Bericht innerhalb eines Monats. Risikomanagementmaßnahmen sind nicht länger optional und das gilt auch für OT.

Darüber hinaus verpflichtet der Cyber Resilience Act Hersteller von OT-Komponenten dazu, ihre Produkte nachweislich zu sichern und diese Sicherheit über den gesamten Lebenszyklus aufrechtzuerhalten. Für einen CISO oder IT-Direktor bedeutet dies: OT-Sicherheit ist keine rein technische Angelegenheit mehr. Sie erfordert die Einbindung auf Vorstandsebene, klare Verantwortlichkeiten, nachvollziehbare Risikoentscheidungen und einen gut konzipierten Prozess für den Ernstfall.

Wo anfangen? Eine klare Prioritätenfolge

Das Ausmaß der Herausforderung kann überwältigend wirken. Es gibt jedoch eine logische Abfolge:

Transparenz schaffen. Wissen, was im Netzwerk läuft. Eine aktuelle Bestandsaufnahme aller Assets ist das Fundament für alles Weitere. Ohne diesen Überblick ist jeder nachfolgende Schritt auf Sand gebaut.
Segmentierung stärken. Eine klare Trennung zwischen IT und OT sicherstellen und die laterale Bewegungsfreiheit eines Angreifers auch innerhalb des OT-Netzwerks begrenzen.
Fernzugang absichern. Eine zentrale Zugriffskontrolle für kritische Systeme etablieren – mit klarer Regelung, wer unter welchen Bedingungen Zugang erhält.
Prioritäten setzen. Nicht alles kann gleichzeitig angegangen werden. Mit den Systemen beginnen, bei denen ein Ausfall oder ein Sicherheitsvorfall die größten Auswirkungen hätte.
Verantwortlichkeiten verankern. OT-Sicherheit muss einen festen Platz im Vorstand erhalten – mit klarer Eigentümerschaft und einem entsprechenden Budget.

Placeholder for OT security for energy and utilties

Wie Fortinet OT-Umgebungen schützt

Eine Plattform für IT und OT

Fortinet ist einer der wenigen Anbieter mit einem vollständigen Portfolio, das speziell auf OT ausgerichtet ist. Das Besondere daran: Alle Komponenten arbeiten über das Fortinet Security Fabric zusammen, sodass IT und OT von einer einzigen Plattform aus verwaltet und überwacht werden können. Damit werden die blinden Flecken beseitigt, die entstehen, wenn Einzellösungen nicht miteinander kommunizieren.

Schutz für die Produktionshalle

Das Fundament bildet FortiGate Rugged, ein breites Portfolio industrieller Firewalls, das für den rauen Einsatz in der Produktionsumgebung ausgelegt ist und über OT Security Services eine tiefgehende Inspektion industrieller Protokolle wie Modbus und DNP3 ermöglicht. FortiGuard Labs liefert kontinuierlich aktualisierte Bedrohungsinformationen, die gezielt auf Schwachstellen in SPS, HMIs und SCADA-Systemen ausgerichtet sind. Mit Fortinet Virtual Patching bleiben auch Systeme geschützt, die nicht direkt gepatcht werden können.

Erkennung und Reaktion

FortiAnalyzer und FortiNDR sorgen für Transparenz und Erkennung: Gemeinsam erfassen sie die gesamte Umgebung, identifizieren mithilfe von KI anomales Verhalten und können automatisch reagieren. Sollte ein Angreifer dennoch eindringen, unterstützen FortiSOAR und FortiDeceptor eine schnelle Erkennung und Reaktion. FortiDeceptor lockt Angreifer auf Täuschsysteme und hält so die realen Systeme aus der Schusslinie.

Die Rolle von Nomios: Kompetenz vor Produktverkauf

Technologie ist nur die halbe Miete

Technologie ist eine Sache. Die eigentliche Frage ist, wie sie in einer Umgebung wirksam eingesetzt werden kann, in der Betriebskontinuität und Sicherheit an erster Stelle stehen, Legacy-Systeme die Norm sind und der regulatorische Druck zunimmt. Wir beginnen stets mit einer Bestandsaufnahme: Was läuft im Netzwerk, wie ist es verbunden, und wo liegen die tatsächlichen Risiken? Anschließend unterstützen wir beim Design und der Umsetzung einer Sicherheitsarchitektur (Segmentierung) auf Basis von IEC 62443 und aufgebaut auf dem Fortinet Security Fabric.

Was wir in der Praxis erleben

Nomios arbeitet seit vielen Jahren mit Fortinet zusammen, um OT-Umgebungen abzusichern. Die größten Risiken liegen selten in einem Mangel an Technologie, sondern darin, wie diese Technologie konfiguriert ist. Eine Firewall, die OT-Protokolle nicht versteht. Eine Segmentierung, die auf dem Papier solide aussieht, in der Praxis aber Lücken aufweist. Ein Monitoring, das zwar Daten erfasst, die jedoch niemand aktiv auswertet. Viele Organisationen bewegen sich weg von vollständig isolierten (Air-Gapped-)Umgebungen und rücken IT und OT näher zusammen. Genau in diesem Moment ist die Sicherheit am verwundbarsten und damit am wichtigsten.

OT-Sicherheit beginnt heute

OT-Sicherheit ist kein Nischenthema für Spezialisten mehr. Sie betrifft die Kontinuität Ihrer Organisation, die Sicherheit von Menschen und mit Blick auf NIS2, die persönliche Haftung von Führungskräften. Organisationen, die jetzt in Transparenz, solide Segmentierung und klare Verantwortlichkeiten investieren, schaffen eine Umgebung, die auch morgen Bestand hat. Wer wartet, riskiert, zum denkbar ungünstigsten Zeitpunkt zu weitaus kostspieligeren Maßnahmen gezwungen zu werden.

Möchten Sie wissen, wo die blinden Flecken in Ihrer OT-Umgebung liegen? Nomios führt einen fokussierten OT-Security-Quickscan durch und verschafft Ihnen in kurzer Zeit ein klares Bild der Risiken und der relevanten Handlungsschritte.

Kontaktieren Sie uns