Operational Technology (OT) einfach erklärt
In vielen Unternehmen gibt es zwei Arten von Technik. Die klassische IT verarbeitet Informationen: E-Mails, Buchhaltung, Kundendaten. Die OT greift dagegen in die physische Welt ein. Sie öffnet Ventile, regelt Temperaturen, bewegt Roboterarme und schaltet Förderbänder.
Ein Vergleich: Die IT ist das Büro eines Unternehmens, die OT der Maschinenraum. Fällt im Büro ein Computer aus, ist das ärgerlich. Steht der Maschinenraum still, stoppt die Produktion – und im schlimmsten Fall sind Menschen oder Umwelt in Gefahr.
Lange waren OT-Systeme vom Internet und vom Büronetz getrennt. Heute sind sie zunehmend vernetzt, etwa für Fernwartung, Produktionsdaten in Echtzeit oder die Anbindung an Cloud-Dienste. Damit werden sie auch für Cyberangriffe erreichbar.
So funktioniert OT
OT-Umgebungen bestehen aus mehreren Ebenen, die eng zusammenarbeiten:
- Sensoren und Aktoren: Sensoren messen Werte wie Druck oder Temperatur, Aktoren setzen Befehle um – etwa Motoren, Ventile oder Pumpen.
- Steuerungen: Speicherprogrammierbare Steuerungen (SPS) verarbeiten die Messwerte in Echtzeit und schalten die Aktoren.
- Bedienen und Beobachten: An Bedienstationen (HMI, Human-Machine Interface) überwachen Beschäftigte den Prozess. SCADA-Systeme und Prozessleitsysteme bündeln den Überblick über ganze Anlagen oder verteilte Standorte.
- Anbindung an die IT: Schnittstellen übertragen Produktionsdaten an Planungs- und Auswertungssysteme im Büronetz.
Zusammen bilden diese Komponenten industrielle Steuerungssysteme (ICS), den Kern vieler OT-Umgebungen. Drei Eigenschaften unterscheiden OT grundlegend von der Büro-IT:
- Verfügbarkeit und Betriebssicherheit gehen vor: In der IT steht oft der Schutz vertraulicher Daten im Vordergrund. Eine Anlage muss dagegen vor allem zuverlässig laufen und darf Menschen und Umwelt nicht gefährden – Fachleute sprechen von funktionaler Sicherheit.
- Lange Lebenszyklen: Steuerungen sind oft jahrzehntelang im Einsatz, teils mit Betriebssystemen, für die es keine Updates mehr gibt. Selbst wenn ein Update verfügbar ist, erfordert das Einspielen oder ein Neustart oft einen Produktionsstopp.
- Unsichere Protokolle: Viele Industrieprotokolle – die „Sprachen“, in denen Steuerungen und Geräte miteinander kommunizieren – wurden für abgeschottete Netze entwickelt und kennen weder Anmeldung noch Verschlüsselung. Wer Zugang zum Netz hat, kann Befehle senden.
Ein Beispiel aus der Praxis
Ein Lebensmittelhersteller hat Büro- und Produktionsnetz vor Jahren getrennt – zumindest auf dem Papier. Ein Penetrationstest zeigt: Ein Wartungsrechner in der Fertigung ist mit beiden Netzen verbunden. Außerdem hat der Anlagenlieferant einen dauerhaft offenen Fernwartungszugang, gesichert nur mit einem Standardpasswort.
Über eine Phishing-Mail im Büronetz könnte ein Angreifer so bis zur Steuerung der Abfüllanlage gelangen. Dort ließen sich Rezepturen verändern oder die Linie anhalten. Die Maßnahmen sind klar: den Wartungsrechner sauber trennen, Fernwartung nur noch nach Freigabe und mit Multi-Faktor-Authentifizierung (MFA) zulassen und Standardpasswörter ersetzen.
Warum ist das für Unternehmen wichtig?
Ein Angriff auf die OT trifft den Kern des Geschäfts: Produktionsausfälle, beschädigte Anlagen, Qualitätsprobleme oder Gefahren für Menschen und Umwelt. Auch Schadsoftware, die eigentlich nur die Büro-IT verschlüsselt, kann die Produktion lahmlegen, wenn beide Welten nicht sauber getrennt sind.
Hinzu kommen regulatorische Anforderungen. Betreiber Kritischer Infrastrukturen und viele Unternehmen, die unter NIS2 fallen – etwa aus Energie, Wasser, Chemie oder Maschinenbau –, müssen auch ihre OT angemessen absichern. Die Normenreihe IEC 62443 bietet dafür einen international anerkannten Rahmen, etwa mit der Aufteilung von Anlagen in Sicherheitszonen und kontrollierte Verbindungswege zwischen ihnen (Conduits).
Gleichzeitig ist Vorsicht geboten: Ein unbedachter Netzwerkscan kann ältere Steuerungen zum Absturz bringen. Sicherheitstests in der OT brauchen deshalb Erfahrung, enge Abstimmung und oft passive Methoden.
So schützen Sie sich
- Bestandsaufnahme: Erfassen Sie alle OT-Komponenten, ihre Verbindungen und sämtliche Fernwartungszugänge.
- Netze trennen: Trennen Sie Büro-IT und OT durch eine wirksame Segmentierung, also eine Aufteilung in getrennte Netzbereiche, mit streng geregelten Übergängen.
- Fernwartung kontrollieren: Schalten Sie Zugänge für Dienstleister nur bei Bedarf frei, sichern Sie sie mit MFA und protokollieren Sie jede Sitzung.
- Standardpasswörter ersetzen: Ändern Sie voreingestellte Passwörter auf Steuerungen, Bedienstationen und Netzwerkkomponenten.
- Updates planen: Spielen Sie Sicherheitsupdates in abgestimmten Wartungsfenstern ein. Wo das nicht möglich ist, schützen Sie Systeme durch zusätzliche Abschottung.
- Auffälligkeiten erkennen: Eine Überwachung des OT-Netzverkehrs macht unerwartete Verbindungen und Befehle sichtbar.
- Regelmäßig testen: Lassen Sie prüfen, ob die Trennung in der Praxis hält, was das Konzept verspricht.
Wie Rootsektor unterstützt
Bei einem OT-Penetrationstest prüfen wir Steuerungen, Industrieprotokolle, Fernwartungszugänge und die Trennung zwischen IT und OT – abgestimmt auf Ihren Betrieb, mit vereinbarten Testfenstern und, wo nötig, passiven Methoden. Kritische Schwachstellen melden wir schon während des Tests sofort – telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Ihr Festpreisangebot nach dem Scoping können Sie über unser Pentest-Angebot anfordern.