Was ist die IEC 62443?

IEC 62443 einfach erklärt

In einer modernen Fabrik steuern Computer die Maschinen: Sie öffnen Ventile, regeln Temperaturen und takten Förderbänder. Diese Technik heißt OT (Operational Technology) – im Unterschied zur Büro-IT, die vor allem Daten verarbeitet. Früher liefen solche Anlagen in abgeschotteten Netzen. Heute sind sie mit dem Firmennetz, mit Fernwartungszugängen und oft mit dem Internet verbunden. Damit werden sie angreifbar.

Die IEC 62443 ist eine Art Bauordnung für die IT-Sicherheit solcher Anlagen. Eine Bauordnung legt fest, wo Brandschutzwände stehen müssen und wie Fluchtwege aussehen – egal, wer das Haus baut. Ähnlich beschreibt die Normenreihe, welche Sicherheitsanforderungen eine Industrieanlage erfüllen sollte. Sie legt auch fest, wer wofür verantwortlich ist: der Betreiber, der Integrator – also der Dienstleister, der die Anlage plant und aufbaut – oder der Hersteller einzelner Geräte.

Herausgeber ist die Internationale Elektrotechnische Kommission (IEC). Die Reihe besteht aus zahlreichen Einzeldokumenten, die laufend ergänzt und überarbeitet werden.

Das regelt die IEC 62443

Die Teile der Normenreihe sind in vier Gruppen gegliedert:

1. Allgemeines (Teil 1): Begriffe, Konzepte und Modelle – die gemeinsame Sprache aller Beteiligten.
2. Richtlinien und Verfahren (Teil 2): Anforderungen an das Sicherheitsprogramm des Betreibers, zum Beispiel an den Umgang mit Updates, und an Dienstleister wie Integratoren und Wartungsfirmen.
3. System (Teil 3): Risikobeurteilung und Sicherheitsanforderungen für eine Anlage als Ganzes.
4. Komponenten (Teil 4): Anforderungen an Hersteller – Teil 4-1 an einen sicheren Entwicklungsprozess, Teil 4-2 an die Sicherheitsfunktionen einzelner Geräte wie Steuerungen oder Bedienpanels.

Zwei Konzepte ziehen sich durch die gesamte Reihe. Das erste sind Zonen und Conduits: Eine Anlage wird in Bereiche mit ähnlichem Schutzbedarf aufgeteilt, die Zonen. Verbindungen zwischen ihnen laufen nur über festgelegte, kontrollierte Kommunikationswege, die Conduits (englisch für Kanäle). Das entspricht den Brandabschnitten in einem Gebäude: Bricht in einem Abschnitt ein Feuer aus, soll es nicht auf das ganze Haus übergreifen.

Das zweite sind Security Levels, also Sicherheitsstufen von 1 bis 4. Sie beschreiben, gegen welche Angreifer eine Zone geschützt sein soll. Level 1 steht für Schutz vor zufälligen oder versehentlichen Verstößen, Level 4 für Schutz vor gezielten Angriffen mit umfangreichen Mitteln, speziellem Anlagenwissen und hoher Motivation. Welches Level eine Zone braucht, ergibt sich aus der Risikobeurteilung.

Ein Beispiel aus der Praxis

Ein mittelständischer Lebensmittelhersteller modernisiert seine Abfüllanlage. Bisher hängen die Steuerungen im selben Netz wie die Büro-PCs, und der Maschinenlieferant wartet die Anlage über einen dauerhaft offenen Fernzugang. Nach dem Vorbild der IEC 62443 teilt das Unternehmen die Anlage in Zonen auf: Büro, Leitstand, Abfülllinie und Fernwartung. Firewalls – Filter, die nur erlaubte Verbindungen durchlassen – regeln den Verkehr zwischen den Zonen. Der Fernzugang wird nur noch nach Freigabe geöffnet und verlangt neben dem Passwort einen zweiten Nachweis, etwa per App (Multi-Faktor-Authentifizierung). Für neue Komponenten verlangt der Einkauf Nachweise, dass sie die Anforderungen aus Teil 4-2 erfüllen. Ein Penetrationstest – ein autorisierter, simulierter Angriff durch Fachleute – prüft anschließend, ob die Trennung in der Praxis hält.

Warum ist das für Unternehmen wichtig?

Ein erfolgreicher Angriff auf eine Industrieanlage kostet mehr als Daten: Es drohen Produktionsausfälle, beschädigte Maschinen, fehlerhafte Produkte und im schlimmsten Fall Gefahren für Menschen. Gleichzeitig steigen die Anforderungen. Die NIS2-Richtlinie, in Deutschland im BSI-Gesetz umgesetzt, verpflichtet viele Unternehmen zu Risikomanagement nach dem Stand der Technik – also mit aktuell bewährten Schutzmaßnahmen. Dazu zählen auch Teile des verarbeitenden Gewerbes. Für Hersteller vernetzter Produkte legt der Cyber Resilience Act verbindliche Sicherheitsanforderungen fest.

Die IEC 62443 selbst ist kein Gesetz. Sie gilt aber als maßgeblicher Standard für die Sicherheit industrieller Automatisierungssysteme. Wer sich daran orientiert, kann gegenüber Kunden, Versicherern und Behörden nachvollziehbar zeigen, dass er Sicherheit systematisch angeht. Auch in Ausschreibungen und Lieferantenanforderungen dient die Norm häufig als Maßstab.

Was Unternehmen jetzt tun sollten

• Bestand erfassen: Listen Sie alle Steuerungen, Bedienstationen, Netzübergänge und Fernzugänge auf – nur was bekannt ist, lässt sich schützen.
• Zonen und Conduits festlegen: Teilen Sie Ihre Anlagen nach Schutzbedarf auf und erlauben Sie zwischen den Zonen nur die Verbindungen, die der Betrieb wirklich braucht (Segmentierung).
• Schutzniveau bestimmen: Bewerten Sie die Risiken je Zone und leiten Sie daraus das passende Security Level ab.
• Fernwartung absichern: Öffnen Sie Fernzugänge nur nach Freigabe, mit Multi-Faktor-Authentifizierung und protokolliert.
• Anforderungen in den Einkauf übernehmen: Lassen Sie sich von Herstellern und Integratoren belegen, dass sie die einschlägigen Teile der Norm erfüllen.
• Wirksamkeit prüfen: Testen Sie regelmäßig, ob Segmentierung und Schutzmaßnahmen einem realistischen Angriff standhalten – mit Methoden, die den laufenden Betrieb nicht gefährden.

Wie Rootsektor unterstützt

Mit unserem Penetrationstest für OT, ICS/SCADA & IoT prüfen wir Industrienetze, Steuerungen und vernetzte Geräte. Der sichere Betrieb hat dabei Vorrang: Wir beginnen mit einer passiven Analyse und testen in abgestimmten Zeitfenstern mit klaren Abbruchkriterien. Die Befunde ordnen wir nach Zonen und Conduits im Sinne der IEC 62443 ein. Bericht und Prüfbescheinigung können Sie Kunden, Versicherern und Auditoren vorlegen; eine Zertifizierung nach der Norm ersetzen sie nicht. Ihr Festpreisangebot erhalten Sie nach dem Scoping über unser Pentest-Angebot.