Was ist OT-Security?
OT-Security ist die Informationssicherheit der Systeme, die in einer Fabrik, einem Umspannwerk oder einem Wasserwerk messen, steuern und regeln. Dazu gehören speicherprogrammierbare Steuerungen (SPS), Leitsysteme wie SCADA, Bedienstationen (HMI), Sensoren und Aktoren, Engineering-Stationen und die Fernwartungszugänge von Lieferanten. Das BSI behandelt Prozessleit- und Automatisierungstechnik im IT-Grundschutz-Baustein IND.1 (Edition 2023); Industrial Security und OT-Sicherheit werden weitgehend synonym verwendet.
Produktionsnetze sind mit ERP-Systemen, Cloud-Diensten und Fernwartung verbunden. Nach BSI-CS 005 sind industrielle Steuerungssysteme denselben Angriffen ausgesetzt wie die Büro-IT, auch wenn sie nur mittelbar mit dem Internet verbunden sind. Unter den zehn Bedrohungen, die das BSI dort ohne Rangfolge nennt, stehen Schadsoftware über Wechseldatenträger, Einbruch über Fernwartungszugänge und internetverbundene Steuerungskomponenten.
Worin unterscheidet sich OT-Security von IT-Security?
In der Produktion kommen Verfügbarkeit, Prozessintegrität und die Sicherheit von Menschen vor der Vertraulichkeit von Daten. Daraus folgen andere Regeln für Updates, Virenschutz und Überwachung.
| Kriterium | IT (Büro- und Geschäfts-IT) | OT (Betriebstechnik) |
|---|---|---|
| Vorrangiges Schutzziel | Vertraulichkeit und Integrität von Daten | Verfügbarkeit und Integrität des Prozesses, dazu funktionale Sicherheit (Safety) |
| Folge eines Vorfalls | Datenabfluss, Betriebsunterbrechung | zusätzlich Gefahr für Menschen, Anlagen und Umwelt |
| Updates | regelmäßig, auch automatisch | in Wartungsfenstern und nach Freigabe des Herstellers |
| Schutz am Endgerät | Virenschutz und EDR | eingeschränkt, soweit Hersteller sie freigeben |
| Maßgebliche Normen | ISO/IEC 27001 und 27002 | IEC 62443, ergänzt um ISO/IEC 27001 für die Organisation |
Der Cyber Resilience Act erkennt den Unterschied an. Nach Erwägungsgrund 56 gelten seine Anforderungen an automatische Sicherheitsupdates nicht für Produkte für kritische und industrielle Umgebungen, in denen eine automatische Aktualisierung den Betrieb stören könnte. Wie sich funktionale Sicherheit und Cybersecurity abgrenzen, zeigt der Vergleich Safety vs. Security. Den organisatorischen Rahmen für beide Welten gibt ein ISMS; wie Sie es aufbauen, beschreibt der Leitfaden ISMS einführen.
IEC 62443: Teile, Zonen und Security Levels
IEC 62443 ist die internationale Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS).
| Teil | Inhalt | Richtet sich an |
|---|---|---|
| 2-1 | Sicherheitsprogramm des Betreibers | Betreiber |
| 3-2 | Risikobeurteilung für den Systementwurf, mit Zonen und Conduits | Betreiber, Integratoren |
| 3-3 | Systemanforderungen und Security Levels | Integratoren, Systemhersteller |
| 4-1 | sicherer Entwicklungsprozess | Hersteller von Komponenten |
| 4-2 | technische Anforderungen an Komponenten | Hersteller von Komponenten |
Eine Zone fasst Assets mit vergleichbaren Sicherheitsanforderungen zusammen, etwa alle Steuerungen einer Linie. Ein Conduit ist die Kommunikationsverbindung zwischen Zonen, mit eigenen Anforderungen.
Ein Security Level beschreibt, gegen welchen Angreifer eine Zone oder ein Conduit geschützt ist:
- SL 1: zufällige oder versehentliche Verletzung.
- SL 2: absichtliche Angriffe mit einfachen Mitteln.
- SL 3: Angriffe mit anspruchsvollen Mitteln und IACS-spezifischem Wissen.
- SL 4: zusätzlich umfangreiche Ressourcen und hohe Motivation.
Das Ziel-Level (SL-T) folgt aus der Risikobeurteilung, das Fähigkeits-Level (SL-C) beschreibt, was ein Produkt richtig konfiguriert leisten kann, das erreichte Level (SL-A) zeigt sich im Betrieb.
Beispiel: der Fernwartungszugang als Conduit
Beispiel (fiktiv): Der Hersteller einer Verpackungsanlage wartet die Steuerungen der Linie 3 aus der Ferne. Die Risikobeurteilung legt für die Zone „Linie 3“ SL-T 2 fest. Der Conduit führt vom Hersteller über ein Fernwartungsgateway in einer abgetrennten Netzzone zur Engineering-Station der Linie 3, nie direkt ins Büronetz. Grundlage ist ein Asset-Inventar, in dem Steuerungen, Gateway und Zugang mit Verantwortlichem stehen.
| Test | Erwartetes Ergebnis | Nachweis |
|---|---|---|
| Verbindungsaufbau ohne Freigabe der Schichtleitung | abgelehnt | Gateway-Protokoll |
| Verbindungsaufbau mit Freigabe und Multi-Faktor-Authentifizierung | Sitzung nur zur Engineering-Station der Linie 3 | Protokoll mit Person, Zeit, Ziel |
| aus der Sitzung ein System im Büronetz ansprechen | keine Verbindung | Firewall-Protokoll |
| Ablauf des freigegebenen Zeitfensters | Sitzung wird beendet | Protokoll mit Endzeit |
Bestanden ist der Test nur, wenn alle vier Fälle das erwartete Ergebnis zeigen. Wiederholen Sie ihn nach jeder Änderung am Gateway oder an den Firewall-Regeln und halten Sie Datum, Prüfer und Konfigurationsstand fest.
Gilt NIS2 für Produktionsunternehmen?
Für viele ja. Anlage 2 BSIG nennt unter Nr. 5 das verarbeitende Gewerbe: Hersteller von Medizinprodukten und In-vitro-Diagnostika sowie die NACE-Abteilungen 26 bis 30, darunter Maschinenbau und Kraftwagen. Wichtige Einrichtung ist nach § 28 Abs. 2 Nr. 3 BSIG, wer dazu gehört und mindestens 50 Beschäftigte hat oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Anlage 1 erfasst unter anderem Energie und Wasser, wo OT den Kern des Betriebs bildet.
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft.
Die Risikomanagementmaßnahmen nach § 30 Abs. 1 BSIG betreffen die informationstechnischen Systeme, Komponenten und Prozesse, die eine Einrichtung für ihre Dienste nutzt. Für ein Produktionsunternehmen gehören Steuerungen, Produktionsnetze und Fernwartungszugänge dazu, soweit es sie dafür nutzt. Betreiber von Energieversorgungsnetzen und -anlagen, die den §§ 5c bis 5e EnWG unterliegen, sind nach § 28 Abs. 5 BSIG grundsätzlich von § 30 BSIG ausgenommen.
Was CRA und Maschinenverordnung von Herstellern verlangen
Der CRA verpflichtet Hersteller von Produkten mit digitalen Elementen, also auch Hersteller vernetzter Maschinen, Steuerungen und Geräte; NIS2 adressiert den Betreiber, wie der Vergleich CRA vs. NIS2 zeigt. Nach Art. 13 Abs. 8 der Verordnung (EU) 2024/2847 richtet sich der Unterstützungszeitraum nach der erwarteten Nutzungsdauer und beträgt mindestens fünf Jahre, außer das Produkt wird voraussichtlich kürzer genutzt.
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle meldet der Hersteller nach Art. 14 seit dem 11. September 2026 über die einheitliche Meldeplattform. Für Hersteller mit Hauptniederlassung in Deutschland ist das BSI das koordinierende CSIRT, gemeldet wird zugleich an die ENISA.
Nach Art. 69 Abs. 3 gilt das auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden; ab diesem Tag gelten auch die grundlegenden Anforderungen aus Anhang I. IEC 62443-4-1 und 4-2 beschreiben Entwicklungsprozess und Komponentenanforderungen, an denen Hersteller diese Arbeit ausrichten können.
Für Maschinen gilt ab dem 20. Januar 2027 die Maschinenverordnung (EU) 2023/1230. Nach Anhang III Nr. 1.1.9 darf der Anschluss einer anderen Einrichtung oder ein Fernzugriff nicht zu einer gefährlichen Situation führen. Nach Nr. 1.2.1 Buchst. a müssen Steuerungen, wenn den Umständen und Risiken angemessen, vorhersehbaren böswilligen Versuchen Dritter standhalten.
OT-Assets und Kataloge in Rizzqo
Rizzqo führt einen Fertigungsprozess als primäres Asset mit Einstufungen für Vertraulichkeit, Integrität und Verfügbarkeit. Steuerungen, Produktionsnetze und Fernwartungszugänge hängen als unterstützende Assets darunter, mit Kategorie, Unterkategorie und einem zuweisbaren Verantwortlichen; vom Prozess übernehmen sie die Vertraulichkeitseinstufung und das Merkmal für personenbezogene Daten.
Über Kategorie und Unterkategorie erscheinen an ihnen die Anforderungen aus ISO/IEC 27001 und 27002, die der Verantwortliche mit Name und Zeitstempel finalisiert. Für Hersteller sind der CRA, ISO/SAE 21434 mit TARA und RL CySec-Rail als Anforderungskataloge hinterlegt. Ein Stillstandsrisiko rechnet Rizzqo mit Eintrittswahrscheinlichkeit in Prozent und Schaden in Euro.