Vor zehn Jahren war eine Industrieanlage ein geschlossenes System. Steuerungen, Sensoren und Antriebe kommunizierten über proprietäre Protokolle in einem Netzwerk, das keinen Anschluss an die Außenwelt hatte. Heute ist dieselbe Anlage über Fernwartungszugänge, Cloud-Anbindungen und übergeordnete Leitsysteme mit der IT-Infrastruktur des Unternehmens und mit dem Internet verbunden. Die Effizienzgewinne sind real. Die neuen Angriffsflächen sind es auch.
Cyberangriffe auf Industrieanlagen sind keine abstrakte Bedrohung. Sie treffen Produktionslinien, Energieversorgung und Steuerungssysteme und können Anlagen zum Stillstand bringen oder sicherheitsrelevante Funktionen gefährden. Wer seine Produktionsanlage vernetzt, ohne die Netzwerksicherheit systematisch zu organisieren, schafft Risiken, die mit dem Wachstum der Vernetzung wachsen.
Netzwerksicherheit in Industrieanlagen ist kein IT-Thema, das an die IT-Abteilung delegiert werden kann. Sie erfordert ein Verständnis der operativen Technologie, der eingesetzten Steuerungssysteme und der spezifischen Anforderungen industrieller Kommunikationsnetze. Mit der IEC 62443 steht ein international anerkannter Leitstandard zur Verfügung, der einen strukturierten, risikobasierten Ansatz für industrielle Cybersicherheit beschreibt.
In diesem Artikel erfahren Sie, worin sich OT-Sicherheit von IT-Sicherheit unterscheidet, was die IEC 62443 konkret fordert, wie das Defense-in-Depth-Konzept in der Praxis umgesetzt wird, wie Fernzugriffe sicher gestaltet werden und welche regulatorischen Anforderungen durch NIS2 und den Cyber Resilience Act auf Industriebetriebe zukommen.
OT und IT: Zwei Welten, ein Netzwerk
Die Konvergenz von operativer Technologie und Informationstechnologie ist der Kern des Industrie-4.0-Versprechens. Sie ist auch der Ursprung der meisten Netzwerksicherheitsprobleme in modernen Industrieanlagen.
Was OT-Sicherheit von IT-Sicherheit unterscheidet
In der klassischen IT-Sicherheit stehen drei Schutzziele im Vordergrund: Vertraulichkeit, Integrität und Verfügbarkeit. Das wichtigste Ziel ist die Vertraulichkeit: Daten dürfen nicht in falsche Hände geraten. In der operativen Technologie, also in Steuerungssystemen, SPS, SCADA-Systemen und Feldgeräten, gilt eine andere Priorität. Hier steht die Verfügbarkeit an erster Stelle. Eine Produktionsanlage, die aufgrund einer Sicherheitsmaßnahme stillsteht, ist ein größeres Problem als eine, die kurzzeitig unter eingeschränkter Datensicherheit läuft.
Diese unterschiedlichen Prioritäten führen zu grundsätzlich anderen Anforderungen an Sicherheitsmaßnahmen. Ein Sicherheits-Patch, der in der IT routinemäßig innerhalb von 48 Stunden eingespielt wird, kann in der OT einen geplanten Wartungsstopp erfordern, weil das Steuerungssystem während des Updates nicht verfügbar ist. Sicherheitskonzepte für Industrieanlagen müssen diese Anforderungen von Anfang an berücksichtigen.
Warum Industrie 4.0 neue Angriffsflächen schafft
Vor der digitalen Vernetzung waren Industrienetzwerke durch physische Isolation geschützt. Steuerungssysteme kommunizierten über proprietäre Protokolle in geschlossenen Netzen ohne Außenanbindung. Dieses Schutzprinzip, bekannt als Air Gap, verliert seine Wirksamkeit, sobald Fernwartungszugänge, Cloud-Anbindungen, Condition-Monitoring-Systeme oder übergeordnete ERP-Systeme eingebunden werden. Manche Legacy-Systeme in besonders kritischen Bereichen setzen weiterhin auf physische Isolation, aber für die meisten modernen Industrieumgebungen ist dieser Ansatz nicht mehr praktikabel.
Jede neue Verbindung zwischen OT-Netz und IT-Netz oder Internet ist ein potenzieller Angriffsvektor. Angreifer nutzen diese Verbindungen, um von der IT-Infrastruktur in das OT-Netz vorzudringen. Einmal im OT-Netz, können sie Steuerungssysteme manipulieren, Produktionsdaten ausspähen oder Anlagen zum Stillstand bringen.
Typische Einfallstore in Industrienetzwerke
Die häufigsten Angriffsvektoren in industriellen Netzwerken sind ungesicherte Fernwartungszugänge ohne Mehrfaktorauthentifizierung, kompromittierte Laptops von Wartungsdienstleistern, die direkt an Steuerungssysteme angeschlossen werden, USB-Geräte, die Schadsoftware in das OT-Netz einschleusen, und fehlende Netzwerktrennung zwischen IT- und OT-Bereichen, die einem Angreifer nach einem erfolgreichen IT-Angriff den direkten Zugang zum Steuerungsnetz ermöglicht.
IEC 62443: Der Leitstandard für industrielle Cybersicherheit
Wer industrielle Cybersicherheit strukturiert angehen will, braucht einen Rahmen. Die IEC 62443 liefert diesen Rahmen als international anerkannte Normenreihe für IT-Sicherheit in industriellen Automatisierungs- und Steuerungssystemen.
Aufbau und Struktur der Normenreihe
Die IEC 62443 ist eine Normenreihe in vier Bereichen: allgemeine Konzepte und Terminologie, organisatorische Anforderungen an das Sicherheitsmanagementsystem, technische Systemanforderungen inklusive Zonenkonzept und Security Level sowie Anforderungen an einzelne Komponenten und Geräte. In Deutschland gilt sie als DIN EN IEC 62443 und wird als Nachweis zur Erfüllung der Sorgfaltspflicht nach Betriebssicherheitsverordnung und Produktsicherheitsgesetz anerkannt.
Rollen nach IEC 62443: Betreiber, Integrator, Hersteller
Die Norm unterscheidet drei Rollen. Der Betreiber verantwortet den sicheren Anlagenbetrieb einschließlich Risikoanalysen und Zugriffskontrollen. Der Integrator plant und realisiert sichere Systemarchitekturen. Der Hersteller liefert sicher entwickelte Komponenten. Für Betreiber gilt: Die Verantwortung für Netzwerksicherheit liegt beim Betreiber selbst und kann nicht vollständig abgegeben werden.
Security Level und risikobasierter Ansatz
Die IEC 62443 beschreibt vier Security Level, die die Widerstandsfähigkeit eines Systems gegenüber unterschiedlichen Angreiferklassen definieren — von unbeabsichtigtem Missbrauch bis zu hochmotivierten Angreifern mit erheblichen Ressourcen. Der Ansatz ist risikobasiert: Auf Basis einer Bedrohungsanalyse wird für jeden Anlagenteil das erforderliche Schutzniveau bestimmt. Nicht jeder Bereich einer Anlage muss dasselbe Security Level erreichen.
Defense in Depth: Sicherheit durch mehrere Schutzebenen
Ein einzelner Schutzwall reicht nicht aus. Wer seine Industrieanlage nur durch eine Firewall am Netzwerkrand schützt, vertraut darauf, dass diese Barriere nie durchbrochen wird. Defense in Depth setzt auf das Gegenteil: Mehrere unabhängige Schutzebenen sorgen dafür, dass ein Angreifer, der eine Ebene überwindet, an der nächsten scheitert.
Das Zonenkonzept nach IEC 62443
Die IEC 62443 beschreibt als zentrales Sicherheitskonzept die Segmentierung eines Industrienetzwerks in Sicherheitszonen. Eine Zone fasst Anlagenteile mit ähnlichem Schutzbedarf zusammen. Feldgeräte und Steuerungen bilden eine Zone. Bedien- und Überwachungssysteme eine andere. Die IT-Infrastruktur des Unternehmens eine dritte. Die Verbindungen zwischen diesen Zonen, in der Norm als Conduits bezeichnet, werden separat abgesichert und überwacht. Jede Zone erhält ein individuelles Security Level, das dem tatsächlichen Schutzbedarf der enthaltenen Anlagenteile entspricht.
Netzwerksegmentierung in der Praxis
Netzwerksegmentierung bedeutet, dass Geräte und Systeme nicht alle in einem gemeinsamen Netzwerk kommunizieren, sondern in getrennten Netzsegmenten, die durch Firewalls oder industrielle Sicherheits-Router voneinander getrennt sind. Ein Angreifer, der in das Büronetzwerk eingedrungen ist, erreicht damit nicht auf direktem Weg das Steuerungsnetzwerk der Anlage. Netzwerksegmentierung reduziert das Risiko erheblich, ersetzt aber keine weiteren Schutzmaßnahmen. Laterale Bewegungen innerhalb eines Segments bleiben möglich, wenn keine zusätzliche Überwachung des Datenverkehrs eingesetzt wird.
In der Praxis wird häufig eine demilitarisierte Zone, kurz DMZ, zwischen IT-Netz und OT-Netz eingefügt. Systeme, die Daten zwischen beiden Bereichen austauschen müssen, wie Historian-Server oder Datenkonzentratoren, werden in der DMZ platziert. Sie kommunizieren mit beiden Netzen, ohne dass eine direkte Verbindung zwischen IT und OT besteht.
Übergänge zwischen Zonen sicher gestalten
Jeder Übergang zwischen Zonen ist ein potenzieller Angriffspunkt. Firewalls an Zonenübergängen müssen so konfiguriert sein, dass nur die tatsächlich erforderliche Kommunikation erlaubt wird. Firewalls erkennen bekannte Angriffsmuster zuverlässig, bieten aber keinen vollständigen Schutz vor Zero-Day-Exploits oder Insider-Angriffen. Sie sind eine notwendige, aber keine hinreichende Schutzmaßnahme und müssen durch Netzwerküberwachung und Anomalieerkennung ergänzt werden. Das Prinzip der minimalen Rechte gilt auch für Netzwerkverbindungen: Jede Verbindung, die nicht explizit erlaubt ist, wird blockiert. Regelmäßige Überprüfungen der Firewall-Regeln stellen sicher, dass über die Zeit keine ungeplanten Verbindungen entstanden sind.
Fernzugriff und Remotewartung sicher gestalten
Fernzugriffe auf Industrieanlagen sind heute Standard. Hersteller warten Steuerungen remote, interne Techniker greifen von außen auf Produktionsdaten zu und Servicedienstleister diagnostizieren Störungen ohne Vor-Ort-Einsatz. Jeder dieser Zugänge ist ein potenzieller Angriffspunkt, wenn er nicht konsequent abgesichert ist.
Risiken ungesicherter Fernzugriffe
Ein ungesicherter Fernwartungszugang ist einer der häufigsten Einfallstore in industrielle Netzwerke. Typische Schwachstellen sind Fernzugriffe über einfache Passwörter ohne Mehrfaktorauthentifizierung, dauerhaft geöffnete Verbindungen, die nur bei aktiver Wartung genutzt werden, fehlende Protokollierung, wer wann auf welche Systeme zugegriffen hat, und Wartungsdienstleister, die mit demselben generischen Zugangsdatensatz arbeiten wie alle anderen Techniker.
Ein kompromittierter Fernzugang gibt einem Angreifer dieselben Rechte wie dem autorisierten Techniker. In einem nicht segmentierten Netzwerk bedeutet das im schlimmsten Fall uneingeschränkten Zugang zu allen Steuerungssystemen der Anlage.
VPN, Authentifizierung und Zugriffskontrollen
Fernzugriffe auf OT-Systeme müssen ausschließlich über verschlüsselte VPN-Verbindungen erfolgen. Ein VPN-Tunnel stellt sicher, dass die Kommunikation zwischen dem Wartungsrechner und dem Steuerungssystem nicht abgehört oder manipuliert werden kann. Zusätzlich zum VPN muss eine Mehrfaktorauthentifizierung eingesetzt werden, die einen zweiten Identitätsnachweis neben dem Passwort erfordert.
Zugriffsrechte müssen nach dem Prinzip der minimalen Rechte vergeben werden. Ein Wartungstechniker, der eine bestimmte SPS warten muss, benötigt keinen Zugang zu allen anderen Steuerungssystemen der Anlage. Zeitlich begrenzte Zugänge, die nur während des aktiven Wartungseinsatzes geöffnet sind, reduzieren das Risiko dauerhaft offener Verbindungen.
Anforderungen an Wartungsdienstleister
Die IEC 62443-2-4 definiert Anforderungen an Integratoren und Instandhaltungsdienstleister. Betreiber sollten von externen Dienstleistern verlangen, dass sie nachweisen können, nach welchen Sicherheitsstandards sie arbeiten, welche Geräte sie für den Fernzugriff verwenden und dass diese Geräte aktuell gepatcht sind, und wie sie Zugangsdaten verwalten. Ein Dienstleister, der mit einem unverschlüsselten Laptop ohne aktuellen Virenschutz auf Steuerungssysteme zugreift, ist ein Sicherheitsrisiko, unabhängig von der eigenen Netzwerkarchitektur des Betreibers.
Regulatorische Anforderungen: NIS2 und Cyber Resilience Act
Netzwerksicherheit in Industrieanlagen ist nicht nur eine technische Entscheidung, sondern zunehmend eine rechtliche Pflicht. Zwei europäische Regelwerke verändern die Anforderungen an Betreiber industrieller Anlagen grundlegend.
Was die NIS2-Richtlinie für Industriebetriebe bedeutet
Die NIS2-Richtlinie der Europäischen Union, die in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht überführt wird, erweitert den Kreis der verpflichteten Unternehmen erheblich gegenüber der Vorgängerrichtlinie. Sie unterscheidet wesentliche und wichtige Einrichtungen und erfasst damit Betreiber aus Sektoren wie Energie, Wasser, Gesundheit, Verkehr und digitale Infrastruktur, aber auch viele mittelständische Zulieferer und Produktionsbetriebe, die in diesen Versorgungsketten tätig sind.
Verpflichtete Unternehmen müssen geeignete technische und organisatorische Maßnahmen zur Risikosteuerung einführen, Sicherheitsvorfälle melden und die Sicherheit ihrer Lieferkette berücksichtigen. Geschäftsführer können bei nachgewiesener Sorgfaltspflichtverletzung persönlich haftbar gemacht werden. Ob und in welchem Umfang eine persönliche Haftung eintritt, hängt von den konkreten Umständen des Einzelfalls ab und sollte rechtlich geprüft werden Welche Betriebe konkret unter NIS2 fallen, hängt von Sektor, Größe und Bedeutung für die Versorgung ab und sollte im Zweifelsfall rechtlich geprüft werden.
Cyber Resilience Act und Produktsicherheit
Der EU Cyber Resilience Act richtet sich in erster Linie an Hersteller von Produkten mit digitalen Elementen, also an Anbieter von Steuerungen, Sensoren, Kommunikationsgeräten und Software, die in industriellen Anlagen eingesetzt werden. Er verpflichtet Hersteller dazu, Produkte mit angemessener Cybersicherheit zu entwickeln, Schwachstellen während des gesamten Produktlebenszyklus zu adressieren und Sicherheitsupdates bereitzustellen.
Für Betreiber industrieller Anlagen hat der Cyber Resilience Act eine indirekte Wirkung: Er erhöht die Mindestanforderungen an die Sicherheit der eingesetzten Komponenten und stärkt die Möglichkeit, von Herstellern Sicherheitsupdates einzufordern.
Sorgfaltspflichten nach BetrSichV und IEC 62443
Unabhängig von NIS2 und Cyber Resilience Act besteht bereits heute eine Sorgfaltspflicht für Betreiber industrieller Anlagen. Die Betriebssicherheitsverordnung verpflichtet Arbeitgeber, Arbeitsmittel und Anlagen in einem sicheren Zustand zu halten. Die IEC 62443 gilt als anerkannter Stand der Technik für Netzwerksicherheit in industriellen Automatisierungssystemen. Wer nach IEC 62443 vorgeht, kann nachweisen, dass er seiner Sorgfaltspflicht nachgekommen ist.
Umsetzung im Betrieb: Schritte zur sicheren Netzwerkarchitektur
Netzwerksicherheit in Industrieanlagen ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Der Einstieg gelingt am besten strukturiert — mit einer ehrlichen Bestandsaufnahme als Ausgangspunkt.
Bestandsaufnahme und Risikoanalyse
Am Anfang jeder Sicherheitsmaßnahme steht die Frage: Was haben wir, und was ist schützenswert? Eine vollständige Bestandsaufnahme erfasst alle vernetzten Geräte im OT-Netz, alle Verbindungen zwischen OT, IT und externen Netzen, alle Fernzugänge und deren Nutzer sowie alle eingesetzten Softwareversionen und Firmware-Stände.
Auf Basis dieser Bestandsaufnahme wird eine Risikoanalyse durchgeführt. Sie bewertet für jeden Anlagenteil die wahrscheinlichsten Bedrohungen, die möglichen Auswirkungen eines Angriffs und die vorhandenen Schutzmaßnahmen. Das Ergebnis ist eine priorisierte Liste von Schwachstellen, die als Grundlage für die Maßnahmenplanung dient. Wer ohne diese Grundlage mit technischen Maßnahmen beginnt, investiert möglicherweise in den falschen Bereichen.
Technische und organisatorische Maßnahmen
Technische Maßnahmen umfassen die Netzwerksegmentierung in Sicherheitszonen, die Absicherung aller Fernzugriffe über VPN und Mehrfaktorauthentifizierung, die Einführung eines strukturierten Patch-Managements für OT-Systeme sowie die Implementierung einer Netzwerküberwachung, die ungewöhnlichen Datenverkehr erkennt.
Organisatorische Maßnahmen sind mindestens ebenso wichtig. Zugriffsrechte müssen dokumentiert, regelmäßig überprüft und nach dem Prinzip der minimalen Rechte vergeben werden. Mitarbeitende und Wartungsdienstleister müssen in sicherheitsbewusstem Verhalten geschult werden. Ein Notfallplan für Sicherheitsvorfälle stellt sicher, dass im Ernstfall geordnet gehandelt wird.
VOELTEC als regionaler Partner in Dresden
VOELTEC unterstützt Gewerbe- und Industriebetriebe in Dresden und der Region bei der Absicherung ihrer Datennetzwerke und Steuerungsinfrastruktur. Von der Bestandsaufnahme bestehender Netzwerkarchitekturen über die Planung und Umsetzung von Segmentierungsmaßnahmen bis zur normkonformen Dokumentation begleiten wir Betriebe auf dem Weg zu einer sicheren Netzwerkinfrastruktur.
Netzwerksicherheit ist keine einmalige Maßnahme — sie ist dauerhafter Betrieb
Eine Firewall zu installieren und das Thema als erledigt zu betrachten, ist der häufigste Fehler bei der Absicherung industrieller Netzwerke. Angriffsmethoden entwickeln sich weiter. Neue Verbindungen entstehen. Firmware veraltet. Wer Netzwerksicherheit als einmaliges Projekt behandelt, hat nach zwei Jahren eine Sicherheitsarchitektur, die dem tatsächlichen Zustand der Anlage nicht mehr entspricht.
Netzwerksicherheit in Industrieanlagen ist ein kontinuierlicher Prozess: regelmäßige Überprüfung der Netzwerkarchitektur, aktuelles Patch-Management, gepflegte Zugriffsrechte und geschulte Mitarbeitende. Wer diesen Prozess strukturiert aufbaut, schafft ein dauerhaft tragfähiges Sicherheitsniveau statt punktueller Einzelmaßnahmen.
Die wichtigsten Erkenntnisse aus diesem Artikel auf einen Blick:
- OT-Sicherheit unterscheidet sich grundlegend von IT-Sicherheit. In der operativen Technologie steht die Verfügbarkeit der Systeme an erster Stelle. Sicherheitsmaßnahmen müssen diese Priorität berücksichtigen.
- Die IEC 62443 ist der international anerkannte Leitstandard für industrielle Cybersicherheit. Sie beschreibt einen risikobasierten Ansatz für Betreiber, Integratoren und Hersteller und gilt in Deutschland als anerkannter Stand der Technik.
- Defense in Depth schützt durch mehrere unabhängige Schutzebenen. Das Zonenkonzept nach IEC 62443 segmentiert das Netzwerk in Bereiche mit definiertem Schutzbedarf und abgesicherten Übergängen.
- Fernzugriffe sind eines der häufigsten Einfallstore. VPN, Mehrfaktorauthentifizierung und zeitlich begrenzte Zugänge sind Mindestanforderungen für jeden Fernwartungszugang auf OT-Systeme.
- NIS2 und der Cyber Resilience Act erhöhen die regulatorischen Anforderungen an Betreiber industrieller Anlagen. Wer nach IEC 62443 vorgeht, kann seine Sorgfaltspflicht nachweisen.
- Ohne Bestandsaufnahme und Risikoanalyse keine wirksame Sicherheitsstrategie. Technische Maßnahmen müssen auf einer vollständigen Kenntnis der eigenen Netzwerkarchitektur aufbauen.
Wenn Sie die Netzwerksicherheit Ihrer Industrieanlage in Dresden und der Region systematisch verbessern möchten, sprechen Sie mit VOELTEC. Wir begleiten Sie von der Bestandsaufnahme über die Planung einer segmentierten Netzwerkarchitektur bis zur normkonformen Umsetzung.
Nehmen Sie jetzt Kontakt auf: info@voeltec.de oder telefonisch unter +49 0351 21778647.
