OT-Sicherheit für Produktionsbetriebe: Wenn Maschinen zum Angriffsziel werden

Zuletzt wurde bekannt, dass Sabotageakte an Umspannwerken und Stromnetz-Infrastruktur gezielt Schwachstellen in der Netzredundanz ausnutzen – nur weil vorhandene Schutztechnik richtig griff, blieben größere Ausfälle aus. Das Beispiel zeigt etwas, das für Produktionsbetriebe im Mittelstand oft unterschätzt wird: Steuerungssysteme, Maschinen und industrielle Netzwerke sind eigenständige Angriffsziele – und viele ostdeutsche KMU mit eigener Fertigung haben für diesen Bereich noch kein durchdachtes Sicherheitskonzept.

Was OT-Sicherheit von klassischer IT-Sicherheit unterscheidet

OT steht für Operational Technology – die Steuerungstechnik hinter Produktionsanlagen, Maschinen, Fördertechnik und Gebäudeleittechnik. Anders als klassische Büro-IT laufen hier speicherprogrammierbare Steuerungen (SPS), HMI-Panels und Sensorik oft jahrzehntelang unverändert, weil ein Austausch die laufende Produktion unterbricht. Genau das macht OT-Sicherheit zu einer eigenen Disziplin:

• Lange Lebenszyklen: Eine Maschine läuft 15 bis 25 Jahre, das darunterliegende Betriebssystem der Steuerung bekommt oft nach wenigen Jahren keine Updates mehr.
• Verfügbarkeit vor Vertraulichkeit: Während in der Büro-IT Datenschutz meist oberste Priorität hat, zählt in der Produktion vor allem, dass die Anlage läuft – Sicherheitsupdates werden deshalb oft aufgeschoben.
• Historisch fehlende Trennung: Viele Produktionsnetze wurden gebaut, bevor Vernetzung mit dem Büronetz oder dem Internet überhaupt ein Thema war. Nachträglich integrierte Fernwartungszugänge oder IoT-Sensorik schaffen dann ungeplante Einfallstore.

Warum das Thema jetzt an Relevanz gewinnt

Die zunehmende Vernetzung von Produktionsanlagen mit Cloud-Diensten für Wartung, Auslastungsplanung oder Fernzugriff durch Maschinenhersteller sorgt dafür, dass OT-Netze immer seltener wirklich isoliert sind. Gleichzeitig zeigen Vorfälle wie die aktuellen Angriffe auf Energieinfrastruktur, dass Angreifer gezielt nach physischen und digitalen Schwachstellen in Steuerungssystemen suchen – nicht nur bei Energieversorgern, sondern überall dort, wo Steuerungstechnik läuft.

Typische Schwachstellen in Produktionsbetrieben

In der Praxis treffen wir bei mittelständischen Fertigungsbetrieben in Sachsen immer wieder auf ähnliche Muster:

Flache Netzwerkstruktur

Produktionsnetz und Büronetz hängen am selben Switch, teils sogar am selben VLAN. Ein infizierter Büro-Rechner kann so direkten Zugriff auf Steuerungen bekommen, ohne dass eine zusätzliche Hürde existiert.

Ungeschützte Fernwartungszugänge

Maschinenhersteller benötigen für Support und Wartung oft Fernzugriff auf ihre Anlagen. Wird dieser Zugang dauerhaft offengehalten oder über veraltete Software abgesichert, entsteht ein permanentes Einfallstor von außen.

Fehlende Inventarisierung

Viele Betriebe wissen nicht genau, welche Steuerungen, Panels und Netzwerkgeräte überhaupt im Produktionsnetz hängen und welche Softwarestände dort laufen. Ohne Inventar lässt sich kein Risiko bewerten.

Standard-Zugangsdaten

Werkseitige Passwörter auf SPS und HMI-Panels werden häufig nie geändert, da die Geräte “einfach laufen” und niemand für die Absicherung zuständig fühlt.

Praxisteil: OT-Sicherheit schrittweise aufbauen

1. Bestandsaufnahme der Produktionsumgebung

Am Anfang steht eine Inventarisierung aller Steuerungen, Panels, Sensoren und Netzwerkkomponenten im Produktionsnetz – inklusive Softwarestand und Zuständigkeit für Updates.

2. Netzwerksegmentierung zwischen Büro- und Produktionsnetz

Produktionsnetz und Büronetz gehören technisch getrennt, mindestens durch eigene VLANs, idealerweise durch eine dedizierte Firewall dazwischen. So bleibt ein Sicherheitsvorfall im Büronetz auf das Büronetz begrenzt.

3. Fernwartungszugänge kontrollieren

Zugänge für Maschinenhersteller sollten nur bei aktivem Wartungsfall freigeschaltet werden, über eine dedizierte Lösung mit Protokollierung laufen und danach wieder geschlossen werden – statt dauerhaft offen zu sein.

4. Zugangsdaten und Passwörter härten

Werkseitige Standardpasswörter auf allen Geräten im Produktionsnetz sollten identifiziert und durch individuelle, dokumentierte Zugangsdaten ersetzt werden.

5. Monitoring für das Produktionsnetz einrichten

Ein einfaches Monitoring, das ungewöhnlichen Datenverkehr im Produktionsnetz erkennt, macht Angriffsversuche und Fehlkonfigurationen sichtbar, bevor sie zum Produktionsausfall führen.

6. Notfallplan für Produktionsausfälle

Für den Fall eines Sicherheitsvorfalls im Produktionsnetz braucht es einen klaren Ablaufplan: Wer trennt welche Systeme, wer informiert wen, welche Anlagen lassen sich manuell weiterbetreiben.

Sie suchen Unterstützung in Dresden?

Rexoma unterstützt produzierende KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, ihre Produktionsnetze von der Büro-IT zu trennen, Fernwartungszugänge abzusichern und ein realistisches OT-Sicherheitskonzept aufzubauen – ohne die laufende Produktion zu gefährden. Sprechen Sie uns an, wenn Sie nicht sicher sind, wie gut Ihre Steuerungssysteme heute tatsächlich geschützt sind.

FAQ

Was genau versteht man unter OT-Sicherheit? OT-Sicherheit bezeichnet den Schutz von Operational Technology – also Steuerungssystemen, Maschinen und Anlagen in der Produktion – vor Cyberangriffen, Sabotage und Fehlkonfigurationen, im Unterschied zur klassischen Absicherung von Büro-IT.

Warum sind Produktionsanlagen oft schlechter geschützt als Büro-Rechner? Weil viele Steuerungen jahrzehntelang unverändert laufen, Updates die Produktion unterbrechen würden und historisch keine Trennung zum Büronetz vorgesehen war.

Reicht eine normale Firewall zum Schutz des Produktionsnetzes aus? Eine Firewall zwischen Büro- und Produktionsnetz ist ein wichtiger Baustein, ersetzt aber nicht die Inventarisierung, Zugangskontrolle und Überwachung innerhalb des Produktionsnetzes selbst.

Wie gehen wir mit Fernwartungszugängen von Maschinenherstellern um? Am sichersten sind zeitlich begrenzte, protokollierte Zugänge, die nur bei tatsächlichem Wartungsbedarf aktiviert und danach wieder geschlossen werden.

Muss die gesamte Produktion für mehr OT-Sicherheit stillstehen? Nein. Maßnahmen wie Netzwerksegmentierung, Zugangskontrolle oder Monitoring lassen sich in der Regel im laufenden Betrieb einführen, ohne die Produktion zu unterbrechen.