Sicherheit im OT neu überdenken: Warum ein IT-zentrierter Ansatz nicht ausreicht
OT-Sicherheit ist kein IT-Problem, und genau darin liegt der Fehler der meisten Unternehmen, dass sie sie wie ein solches behandeln.
Sprechen Sie mit einem Experten
Jahrzehntelang existierte die Betriebstechnik in einer eigenen Welt. Die Systeme, die Fabrikhallen, Stromnetze und Wasseraufbereitungsanlagen steuerten, waren von Grund auf isoliert – und genau diese Isolation war die Sicherheitsstrategie. Niemand außerhalb des Gebäudes konnte auf sie zugreifen, daher stellte auch niemand außerhalb des Gebäudes eine Bedrohung dar.
Diese Welt gibt es nicht mehr. Und meiner Erfahrung nach haben die meisten Sicherheitsteams noch nicht ganz begriffen, was das eigentlich bedeutet.
Die Konvergenz vollzog sich schneller, als sich die Denkweise änderte
Die Einführung des IIoT, Fernsteuerung, Herstellerzugriff, Cloud-Anbindung – all dies hat OT-Umgebungen still und leise mit derselben, dem Internet zugewandten Angriffsfläche verbunden, die auch auf alle anderen Bereiche des Unternehmens abzielt. Die Effizienzgewinne sind real. Aber das gilt auch für die Sicherheitsrisiken.
Das größte Risiko für die OT-Sicherheit ist nicht ein raffinierter Angreifer. Es ist ein konvergentes Netzwerk, das mit einer nicht konvergenten Denkweise geschützt wird.
Was ich damit meine: Die in der IT üblichen Sicherheitsmaßnahmen – schnelle Patches, konsequente Isolierung, Priorisierung der Vertraulichkeit – lassen sich nicht ohne Weiteres auf OT-Umgebungen übertragen. Wenn das kompromittierte System eine Produktionslinie oder ein Umspannwerk steuert, ist das Abschalten des Systems keine Vorsichtsmaßnahme. Es ist ein betrieblicher Vorfall. Manchmal sogar ein sicherheitsrelevanter.
Fünf Unterschiede, die jeder Sicherheitsverantwortliche kennen muss
Nach mehr als 25 Jahren Erfahrung mit OT/IT-Konvergenzprojekten in den Bereichen Fertigung, Energie und kritische Infrastruktur sind dies die Lücken, die mir am häufigsten auffallen:
1. Priorität: Verfügbarkeit geht vor Vertraulichkeit
In der IT steht die Vertraulichkeit an erster Stelle. In der OT haben Verfügbarkeit und physische Sicherheit tatsächlich Vorrang. Wenn ein System ausfällt, kann dies einen Produktionsstillstand oder eine physische Gefahr bedeuten – nicht nur ein Datenrisiko.
2. Patching: Routine vs. hohes Risiko
IT-Systeme unterliegen regelmäßigen Patch-Zyklen. OT-Geräte laufen häufig auf veralteter Hardware, die nur mit geplanten Ausfallzeiten gepatcht werden kann – oder gar nicht, ohne dass sie komplett ausgetauscht werden müssen.
3. Lebensdauer: Jahre vs. Jahrzehnte
IT-Hardware wird alle 3–5 Jahre erneuert. OT-Geräte können 15–25 Jahre lang im Einsatz bleiben. Oft müssen Sie eine Infrastruktur absichern, die zu einer Zeit konzipiert wurde, als es noch keine modernen Cyberbedrohungen gab.
4. Reaktion auf Vorfälle: Isolieren oder Bewerten
In der IT ist die Isolierung eines kompromittierten Systems der erste Schritt. In der OT kann dieser Schritt jedoch zunächst eine physische Sicherheitsbewertung erfordern. Eine falsche Reaktion kann gefährlicher sein als die Bedrohung selbst.
5. Sichtbarkeit: etablierte vs. aufstrebende Unternehmen
IT-Umgebungen verfügen in der Regel über eine solide Bestandserfassung und Überwachung der Anlagen. In vielen OT-Umgebungen fehlt es jedoch nach wie vor an einem grundlegenden Überblick darüber, welche Geräte mit dem Netzwerk verbunden sind – was die frühzeitige Erkennung von Bedrohungen erheblich erschwert.
Das Gespräch, das man führen sollte, bevor ein Vorfall einen dazu zwingt
Die Regulierung holt auf – NIS2 weitet die Sicherheitsverpflichtungen nun ausdrücklich auf Betreiber kritischer Infrastrukturen aus. Doch die Einhaltung der Vorschriften ist nicht der Grund zum Handeln. Der Grund zum Handeln ist vielmehr, dass die Organisationen, die hier alles richtig machen, IT-Sicherheitstools nicht einfach auf OT-Netzwerke aufsetzen. Sie entwickeln von Grund auf eine konvergente Sicherheitsstrategie, die die unterschiedlichen Ausfallmodi der jeweiligen Umgebung berücksichtigt.
Das ist ein ganz anderer Ausgangspunkt – und er erfordert eine ganz andere Art der Diskussion.
Falls Sie sich gerade mit der Konvergenz von OT und IT beschäftigen, würde mich interessieren, wo in Ihrem Unternehmen die größten Lücken bisher bestanden haben.
