OT-Security

Die Maschine läuft. Und so soll es bleiben.

In der Produktion gelten andere Regeln als im Büro. Wenn ein Büro-PC ausfällt, ärgert sich ein Mitarbeiter. Wenn eine Anlage steht, steht oft der ganze Betrieb. Deshalb bedeutet Sicherheit in der Operational Technology (OT) etwas anderes als in der klassischen IT: Verfügbarkeit und Betriebssicherheit stehen an erster Stelle, und jede Maßnahme muss sich daran messen lassen, ob sie den Betrieb schützt oder stört. Wir kennen beide Welten und wissen, wo sie zusammenpassen und wo nicht.

Was alles dazugehört. Bei OT denken viele zuerst an große Fabrikhallen. Tatsächlich fällt weit mehr darunter, nämlich alles, was nicht klassisch am Schreibtisch steht, aber mit Ihrem Netzwerk verbunden ist oder verbunden werden kann. Das ist in den meisten Betrieben deutlich mehr, als man vermutet:

• Maschinen und Fertigung: CNC-Fräsen und -Drehmaschinen, Laser, Roboter, Pressen, Spritzgussmaschinen, Förderbänder, Verpackungs- und Abfüllanlagen, Prüfstände, Messmaschinen und alle SPS- und Steuerungssysteme dahinter
• Energie: PV-Anlagen mit Wechselrichtern und Speichern, Wallboxen und Ladeinfrastruktur, BHKW, Wärmepumpen, intelligente Zähler und Energiemanagementsysteme
• Gebäudetechnik: Heizung, Lüftung, Klima, Aufzüge, Beleuchtungssteuerung, Zutrittskontrolle, Alarm- und Brandmeldeanlagen, Videoüberwachung, Tor- und Schrankenanlagen
• Kühlung und Küche: vernetzte Kühlschränke, Kühlhäuser und Kühlzellen mit Temperaturüberwachung, Kombidämpfer, Spülmaschinen und alle Küchenanbindungen, etwa an Kassen-, Bestell- und Warenwirtschaftssysteme
• Logistik und Lager: Lagersysteme, Regalbediengeräte, Industriewaagen, Etikettierer, Scanner und Fördertechnik
• Labor und Medizintechnik: Analysegeräte, Laborsysteme, Medizingeräte in Praxen und Kliniken
• Wasser und Umwelt: Pumpen, Aufbereitungsanlagen, Füllstandsüberwachung, Wetter- und Umweltsensorik
• Sensorik und IoT: alles, was misst, meldet oder schaltet und dafür eine Netzwerkverbindung nutzt, vom Temperaturfühler bis zum Fernwartungsmodul des Herstellers

Gemeinsam ist all diesen Geräten, dass sie ihre Arbeit oft zuverlässig über Jahre verrichten, aber selten mit Blick auf Sicherheit gebaut wurden. Updates gibt es kaum, Standardpasswörter bleiben stehen, und der Fernwartungszugang des Herstellers ist vielleicht der einzige Weg, der dokumentiert ist. Ein einfacher Kühlschrank mit Netzwerkanschluss klingt harmlos, bis man merkt, dass er am selben Netz hängt wie Ihre Buchhaltung. Als Faustregel gilt bei uns: Wenn es einen Stecker und eine Netzwerkverbindung hat, gehört es zur Sicherheitsbetrachtung.

Ein Blick auf das, was wirklich da ist. Am Anfang steht die Bestandsaufnahme, und die ist in der OT selten trivial. Steuerungen, Sensorik, Fernwartungszugänge, Maschinen mit Windows-Versionen, die es offiziell gar nicht mehr gibt, Geräte, die niemand mehr dokumentiert hat. Wir verschaffen uns einen ehrlichen Überblick, welche Systeme es gibt, wie sie miteinander sprechen und wer von wo auf sie zugreift. Meistens passiert das im laufenden Betrieb und ohne Eingriffe, die Ihre Produktion gefährden würden. Allein dieser Überblick bringt oft schon Erkenntnisse, die bisher niemand auf dem Schirm hatte.

Trennen, was getrennt gehört. Der wichtigste Schritt ist in der Regel eine saubere Segmentierung. Die Produktion gehört nicht in dasselbe Netz wie das Büro, und nicht jede Anlage muss mit jeder anderen reden. Wir planen Zonen, definieren, welche Verbindungen wirklich notwendig sind, und setzen das mit Firewalls und klar geregelten Übergängen um. Damit bleibt ein Vorfall dort, wo er entstanden ist, und der Schadenfall im Büro wird nicht zum Stillstand in der Halle. Wir orientieren uns dabei an anerkannten Vorgehensweisen wie dem Zonen- und Kommunikationskonzept der IEC 62443 und dem Schichtenmodell, ohne daraus ein Dogma zu machen, denn jede Anlage ist anders.

Fernzugriffe unter Kontrolle. Kaum ein Einfallstor ist so beliebt wie der Wartungszugang. Der Maschinenhersteller braucht schnell Zugriff, der Servicetechniker auch, und irgendwann gibt es Zugänge, von denen niemand mehr weiß. Wir bringen Ordnung hinein: nachvollziehbare Zugänge, einzeln vergebene Berechtigungen, zeitlich begrenzt, protokolliert und über einen definierten Weg. Wer wann worauf zugegriffen hat, lässt sich dann auch noch nachvollziehen, wenn es darauf ankommt.

Schützen, ohne zu stören. Nicht alles, was in der IT selbstverständlich ist, lässt sich in der OT einfach übernehmen. Ein Patch, der im Büro über Nacht eingespielt wird, kann bei einer Steuerung die Herstellerfreigabe verlieren. Ein Virenscanner kann Echtzeitprozesse ausbremsen. Wo sich ein System nicht auf den neuesten Stand bringen lässt, schützen wir es auf andere Weise: durch Isolation, durch Überwachung des Netzverkehrs, durch klare Regeln, wer mit wem kommunizieren darf. Wir sagen Ihnen offen, wo ein Risiko bleibt und wie wir es einhegen.

Erkennen, was ungewöhnlich ist. Eine Produktionsumgebung ist meist sehr gleichförmig, und genau das hilft. Wenn ein Gerät plötzlich mit einem Ziel spricht, mit dem es noch nie gesprochen hat, fällt das auf, sofern jemand hinschaut. Wir richten Überwachung und Protokollierung so ein, dass Auffälligkeiten sichtbar werden, ohne dass Sie täglich von Meldungen überflutet werden.

Wenn doch etwas passiert. Für den Ernstfall braucht es einen Plan, der zur Produktion passt. Welche Anlagen werden in welcher Reihenfolge abgesichert, wie kommen Sie wieder in den Betrieb, wo liegen aktuelle Sicherungen von Steuerungsprogrammen und Konfigurationen, und wer entscheidet was? Das klären wir vorher, gemeinsam mit Ihren Technikern und Verantwortlichen, damit im Ernstfall kein Rätselraten entsteht. Auch hier sind wir erreichbar, wenn es darauf ankommt.

Vorgaben im Blick behalten. Mit NIS2, den Anforderungen von Kunden und Versicherern und dem BSI IT-Grundschutz steigen auch für Produktionsbetriebe die Anforderungen. Wir setzen die technischen Maßnahmen so um, dass sie sich dokumentieren und nachweisen lassen, und das Ganze nicht zur Papierübung wird, sondern Ihre Anlagen tatsächlich schützt.

Sicherheit in der OT gelingt nur gemeinsam, mit den Menschen, die Ihre Anlagen kennen, und denen, die die Netze kennen. Wenn Sie wissen möchten, wie es um Ihre Produktionsumgebung steht, sehen wir uns das gern gemeinsam an. Vertraulich, ehrlich und mit dem Ziel, dass die Maschinen laufen.