Zu Beginn möchte ich mich direkt einmal für den Clickbait entschuldigen. Mein Ziel mit diesem Beitrag ist keinesfalls, einen Schuldigen – zumal es den EINEN nicht gibt – zu benennen, warum Produktionsumgebungen aus sicherheitstechnischer Sicht oft vernachlässigt sind. Und ich werde Ihnen auch kein Allheilmittel verkaufen, mit dem Sie von heute auf morgen „Secure by Design“ sind.
Vielmehr geht es mir darum, meinen Blickwinkel zu teilen – einen Blickwinkel, den ich in den letzten vier Jahren gewinnen konnte, in denen ich ausschließlich Cybersecurity-Konzepte für Produktionsumgebungen entwerfe und deren Implementierung begleite.
Und eines vorweg: Es wird unbequem.
Der Status quo
Anfang 2022 habe ich mich entschieden, die klassische Welt der IT-Firewalls zu verlassen und mich stärker mit plattformorientierter Security auseinanderzusetzen. Innerhalb weniger Wochen habe ich nicht nur neue Technologien kennengelernt, sondern vor allem eine neue Realität: die OT.
Eine Welt, die über Jahrzehnte hinter einer Tür – oft symbolisiert durch eine Firewall – eingeschlossen war. Eine Welt, in der Dinge getan oder eben nicht getan wurden, obwohl allen Beteiligten klar war, dass sie nicht optimal sind.
Argument A: „Das haben wir schon immer so gemacht. Es ist bisher nichts passiert.“
Argument B: „Das Risiko, ein laufendes System zu verändern, ist größer als das Risiko eines Angriffs.“
Ein Kulturschock.
Ich kam aus der IT-Security. Dort sind Prozesse etabliert, Dokumentation ist Standard, Automatisierung ist Zielbild. Systeme werden regelmäßig gepatcht, überwacht und ersetzt.
Und dann die OT:
Backups stehen auf der „Sollten wir machen“-Liste.
Updates werden eingespielt, „wenn es gerade reinpasst“.
Und die Verfügbarkeit der Anlagen steht – völlig nachvollziehbar – über allem.
Genau hier beginnt das Dilemma.
Warum brauchen wir OT Security?
Weil wir die OT längst vernetzt haben.
Fernwartung, MES-Integration, ERP-Anbindung, Condition Monitoring, Cloud-Analytics – all das wurde eingeführt, um Effizienz zu steigern, Kosten zu senken und Transparenz zu schaffen. Digitalisierung der Produktion ist Realität.
Was dabei häufig zu kurz kam: der Sicherheitsaspekt.
Wir sprechen von Systemen, die nie dafür konzipiert wurden, mit anderen Systemen vernetzt zu sein. Maschinen mit Betriebssystemen wie Windows XP oder Windows 7. Ungepatchte, hochvulnerable Komponenten mit offenen Diensten. Protokolle ohne Authentifizierung oder Verschlüsselung.
Leichte Angriffsziele.
Spätestens jetzt sollte klar sein:
IT kann nicht ohne OT – und OT nicht ohne IT.
Diese Konvergenz ist kein Trend, sie ist strukturelle Notwendigkeit. Produktionsdaten fließen in Unternehmensprozesse, Geschäftsentscheidungen basieren auf Maschinendaten, Wartung erfolgt remote.
Doch während die Netzwerke zusammenwachsen, bleiben die Sicherheitsphilosophien oft getrennt.
Und hier liegt eines der größten Missverständnisse:
IT-Security allein reicht nicht aus.
Ein klassischer Endpoint-Agent, der in der IT problemlos funktioniert, kann in der Produktion Prozesse stören. Ein automatisiertes Patch-Deployment, das im Office akzeptabel ist, kann in der Fertigung Millionen kosten.
OT-Security bedeutet, Risiken zu mitigieren, ohne die Verfügbarkeit zu gefährden. Und genau diese Balance ist anspruchsvoll.
OT-Security muss zur Selbstverständlichkeit werden
In der Produktion sind Sicherheitsschuhe Pflicht. Niemand würde argumentieren, dass sie optional sind, weil „ja bisher nichts passiert ist“.
Warum gilt das nicht für Cybersecurity?
OT-Security muss genauso selbstverständlich werden wie Arbeitssicherheit. Systeme im Shopfloor müssen gehärtet sein. Netzwerksegmente müssen klar definiert sein. Zugriffe müssen kontrolliert und überwacht werden.
Nicht, weil es regulatorisch gefordert wird.
Sondern weil es geschäftskritisch ist.
Ein Produktionsstillstand durch Ransomware ist kein IT-Problem.
Es ist ein Geschäftsproblem.
Was hindert uns?
Die Hürden sind nicht primär technologischer Natur. Sie sind organisatorisch und kulturell.
Ein häufiger Stolperstein: Maschinenbauer erschweren die Implementierung von Sicherheitsmaßnahmen. Änderungen an Systemen führen angeblich zum Verlust von Zertifizierungen oder zum Ausschluss von Supportleistungen.
Die entscheidende Frage lautet:
Wer trägt das Risiko?
Der Maschinenbauer – oder das produzierende Unternehmen?
Wenn eine Anlage kompromittiert wird, wenn Produktionsdaten manipuliert oder Prozesse gestört werden, liegt das wirtschaftliche Risiko beim Betreiber. Sicherheit kann nicht vollständig ausgelagert werden.
Ein weiteres Problem: die Hemmschwelle, OT-Umgebungen zu verändern.
Die Angst vor Stillstand ist größer als die Angst vor Cyberangriffen. Deshalb werden häufig Projekte gestartet, die Transparenz schaffen, Assessments durchführen und Risiken aufdecken – aber keine Maßnahmen implementieren.
Man investiert Ressourcen in die Erkenntnis, wie schlecht der Zustand ist.
Doch die Konsequenzen bleiben aus.
Sichtbarkeit ohne Handlung ist keine Sicherheitsstrategie.
Wer tiefer in die strukturellen Ursachen, typische Fehlannahmen und konkrete Handlungsansätze im Bereich OT-Cybersecurity eintauchen möchte, dem empfehle ich einen Blick in das Whitepaper „OT Cybersecurity Uncovered“, das zentrale Herausforderungen und strategische Lösungsansätze praxisnah beleuchtet: https://www.txone-europe.com/ot-cybersecurity-uncovered-whitepaper
IT/OT-Konvergenz: Zwei Welten, ein Risiko
In vielen Unternehmen existieren weiterhin getrennte Silos:
- IT
- Produktion
- Security
OT-Security fällt zwischen die Stühle.
Die IT fühlt sich nicht verantwortlich für Systeme, die „nicht ihre“ sind.
Die Produktion priorisiert Verfügbarkeit über alles.
Und Security wird als externer Störfaktor wahrgenommen.
Doch die Realität ist:
Die Angriffsfläche kennt keine Abteilungsgrenzen.
Ein kompromittierter Office-PC kann der Einstiegspunkt für einen Angriff auf die Produktion sein. Eine unsichere Fernwartungsverbindung kann die gesamte Wertschöpfungskette lahmlegen.
IT/OT-Konvergenz bedeutet, dass Verantwortung konvergieren muss.
Wie gelingt der Einstieg?
Entscheidungen zur Produktion dürfen niemals ohne die Beteiligung der Instandhaltung getroffen werden. Wer Security-Konzepte entwickelt, ohne die operativen Realitäten zu verstehen, scheitert.
Man braucht Fürsprecher im Shopfloor. Key User, die involviert sind, die Maßnahmen verstehen und mittragen. Nur so lassen sich Probleme frühzeitig erkennen und Akzeptanz schaffen.
Das Projektteam ist entscheidend.
Eine gesunde Balance aus Security und Operations ist essenziell.
Und noch wichtiger: Die ersten Projekte müssen sitzen.
Wenn ein OT-Security-Projekt den Ruf bekommt, mehr Probleme zu verursachen als zu lösen, ist das Vertrauen nachhaltig beschädigt. Deshalb gilt: sorgfältige Evaluierung von Technologien, flexible Deployment-Methoden, minimal-invasiver Start.
Die Grundregel lautet: Start smart.
Nicht alles auf einmal.
Nicht mit maximaler Komplexität.
Sondern mit klar definierten, überschaubaren Use Cases, die echten Mehrwert liefern.
Verantwortung statt Schuldzuweisung
Wer trägt nun die Schuld?
Die ehrliche Antwort: Wir alle ein Stück weit.
- Die IT, wenn sie glaubt, ihre Standards eins zu eins übertragen zu können.
- Die Produktion, wenn sie Sicherheit ausschließlich als Risiko für Verfügbarkeit betrachtet.
- Das Management, wenn Cybersecurity nicht als strategisches Produktionsrisiko eingeordnet wird.
- Und die Branche insgesamt, wenn sie OT-Security weiterhin als Nischenthema behandelt.
OT-Security ist kein Add-on.
Sie ist Grundvoraussetzung für resiliente Produktion.
Die Frage ist nicht, ob Produktionsumgebungen angegriffen werden.
Sondern wann.
Und ob wir dann vorbereitet sind.
Provokant formuliert:
Nicht die Hacker sind das größte Problem.
Sondern die Illusion, dass IT-Security ausreicht.
Solange wir OT als Sonderfall behandeln, statt als integralen Bestandteil unserer Sicherheitsarchitektur, bleibt der Cybersicherheitszustand vieler Produktionsumgebungen genau das: desaströs.
Die gute Nachricht?
Es ist lösbar.
Aber nur, wenn wir aufhören, nach Schuldigen zu suchen – und anfangen, Verantwortung zu übernehmen.
