OT-Sicherheit neu denken: Warum ein IT-zentrierter Ansatz zu kurz greift
OT-Sicherheit ist kein IT-Problem, und die meisten Organisationen machen einen Fehler, wenn sie es als solches behandeln.
Sprechen Sie mit einem Experten
Seit Jahrzehnten existierte die Betriebstechnologie in ihrer eigenen Welt. Die Systeme, die in Fabrikhallen, Stromnetzen und Wasseraufbereitungsanlagen zum Einsatz kamen, waren bewusst isoliert – und diese Isolation war die Sicherheitsstrategie. Da niemand außerhalb des Gebäudes auf sie zugreifen konnte, galt auch niemand außerhalb des Gebäudes als Bedrohung.
Diese Welt ist vorbei. Und meiner Erfahrung nach haben die meisten Sicherheitsteams noch nicht verstanden, was das wirklich bedeutet.
Die Konvergenz erfolgte schneller, als sich die Denkweise änderte.
Die Einführung von IIoT, Fernbetrieb, Anbieterzugang und Cloud-Konnektivität – all dies hat OT-Umgebungen stillschweigend mit derselben dem Internet zugewandten Angriffsfläche verbunden, die jeden anderen Teil des Unternehmens ins Visier nimmt. Die Effizienzgewinne sind real. Aber die Gefährdung ist es auch.
Das größte Risiko in der OT-Sicherheit ist kein hochentwickelter Angreifer. Es ist ein konvergiertes Netzwerk, das mit einer unkonvergierten Denkweise verteidigt wird.
Was ich damit meine: Die gängigen IT-Sicherheitsinstinkte – schnell patchen, aggressiv isolieren, Vertraulichkeit priorisieren – lassen sich nicht ohne Weiteres auf OT-Umgebungen übertragen. Wenn das kompromittierte System eine Produktionslinie oder ein Umspannwerk steuert, ist das Abschalten keine reine Vorsichtsmaßnahme. Es ist ein operatives Ereignis, manchmal sogar ein sicherheitsrelevantes.
Fünf Unterschiede, die jeder Sicherheitsverantwortliche verstehen muss
Nach über 25 Jahren bei der Umsetzung von OT/IT-Konvergenzprojekten in den Bereichen Fertigung, Energie und kritische Infrastruktur sehe ich am häufigsten diese Lücken:
1. Priorität: Verfügbarkeit geht vor Vertraulichkeit
In der IT steht die Vertraulichkeit an erster Stelle. In der OT haben Verfügbarkeit und physische Sicherheit die eigentliche Priorität. Ein Systemausfall kann einen Produktionsstopp oder eine physische Gefahr bedeuten — nicht nur ein Datenrisiko.
2. Patching: Routine vs. hohes Risiko
IT-Systeme durchlaufen regelmäßige Patch-Zyklen. OT-Anlagen laufen jedoch oft auf veralteter Hardware, die ohne geplante Ausfallzeiten nicht gepatcht werden kann — oder ohne vollständigen Austausch überhaupt nicht aktualisiert werden kann.
3. Lebensdauer: Jahre vs. Jahrzehnte
IT-Hardware wird alle 3–5 Jahre erneuert. OT-Geräte können 15–25 Jahre lang im Einsatz bleiben. Oft müssen Sie eine Infrastruktur absichern, die zu einer Zeit konzipiert wurde, als es noch keine modernen Cyberbedrohungen gab.
4. Vorfallsreaktion: Isolieren vs. Bewerten
In der IT ist die Isolierung eines kompromittierten Systems der erste Schritt. In der OT kann dieser Schritt jedoch zunächst eine physische Sicherheitsbewertung erfordern. Eine falsche Reaktion kann gefährlicher sein als die Bedrohung selbst.
5. Sichtbarkeit: ausgereift vs. aufstrebend
IT-Umgebungen verfügen in der Regel über ein solides Asset-Inventar und eine umfassende Überwachung. Viele OT-Umgebungen hingegen haben immer noch keine grundlegende Transparenz darüber, welche Geräte mit dem Netzwerk verbunden sind – was die frühzeitige Bedrohungserkennung erheblich erschwert.
Das Gespräch, das man führen sollte, bevor ein Vorfall es erzwingt
Die Regulierung holt auf – NIS2 weitet nun explizit Sicherheitsverpflichtungen auf Betreiber kritischer Infrastrukturen aus. Doch die Einhaltung der Vorschriften ist nicht der eigentliche Grund zu handeln. Der wahre Grund ist, dass Organisationen, die dies richtig angehen, IT-Sicherheitstools nicht einfach auf OT-Netzwerke aufsetzen. Stattdessen entwickeln sie von Grund auf eine konvergente Sicherheitsstrategie, die die unterschiedlichen Ausfallmodi jeder Umgebung berücksichtigt.
Das ist ein ganz anderer Ausgangspunkt – und er erfordert ein ganz anderes Gespräch.
Wenn Sie sich mit der OT/IT-Konvergenz auseinandersetzen, würde es mich interessieren zu erfahren, wo in Ihrer Organisation die größten Lücken bestanden haben.
