Operational Technology (OT) umfasst Systeme zur Steuerung und Überwachung industrieller Prozesse, darunter SPS (Speicherprogrammierbare Steuerungen), SCADA (Supervisory Control and Data Acquisition) und ICS (Industrial Control Systems). Neben Produktionsprozessen zählen auch kritische Komponenten in Nebenprozessen dazu, die viele Abhängigkeiten schaffen, wie z.B. in der Energieversorgung, bei der Kühlung oder für den Brandschutz. OT verbindet die physische Prozesswelt mit der digitalen Industrie 4.0-Welt und bildet die Basis für eine sichere und effiziente Fertigung. 

OT-Security schützt industrielle Steuerungs- und Kontrollsysteme (ICS) mit dem Fokus auf Verfügbarkeit und Ausfallsicherheit. Dagegen priorisiert IT-Security bei der Absicherung von klassischen IT-Infrastrukturen die Vertraulichkeit und Integrität von Daten. Spezielle Anforderungen für Patching im Echtzeitbetrieb, Legacy-Systeme und Safety erfordern entsprechend angepasste Sicherheitsstrategien für OT-Security. 

Für OT-Security gelten zahlreiche gesetzliche Vorgaben, die je nach Branche und Verantwortungsbereich einzuhalten sind:  

• Das deutsche Umsetzungsgesetz der EU-Richtlinie NIS2 verpflichtet viele Unternehmen, einschließlich Betreiber Kritischer Infrastrukturen, zu einem systematischen Risikomanagement und zur Umsetzung von Risikomanagementmaßnahmen nach dem Stand der Technik. 

• Ergänzend regelt das KRITIS-Dachgesetz die physische Resilienz Kritischer Infrastrukturen anhand eines All-Gefahren-Ansatzes, der auch Cyberrisiken einschließt. 

• Die TRBS 1115-1 präzisiert IT-Sicherheitsanforderungen für sicherheitsrelevante MSR-Einrichtungen (Mess-, Steuer- und Regelungstechnik) und macht Cybersecurity zu einem Teil des Arbeitsschutzes. 

• Zusätzlich existieren branchenspezifische Gesetze und Verordnungen. 

Hersteller digitaler Produkte, zu denen auch OT-Komponenten zählen, müssen ab November 2027den 2024 in Kraft getretenen Cyber Resilience Act (CRA) umsetzen und Produktsicherheit über den gesamten Lebenszyklus hinweg sicherstellen. 

Das BSI stellt mit IT-Grundschutz und technischen Leitfäden praxisnahe Empfehlungen für den ein systematisches Risikomanagement und für den Schutz von OT-Systemen bereit. Branchenspezifische Sicherheitsstandards (B3S) konkretisieren diese Vorgaben speziell für Kritische Infrastrukturen in unterschiedlichen Sektoren und helfen bei der Einhaltung gesetzlicher Anforderungen. Unternehmen profitieren außerdem von Best Practices, indem sie bewährte Vorgehensweisen und Erfahrungen anderer Organisationen mit ähnlichen OT-Security-Herausforderungen nutzen, um effektive und praxisnahe Lösungen umzusetzen. 

Die IEC 62443 bietet bewährte Leitlinien zur Umsetzung der NIS2-Anforderungen im OT-Umfeld. Wesentlich für eine NIS2-Compliance sind regelmäßige Risikoanalysen, mit denen OT-Security-Maßnahmen wie Netzwerksegmentierung, Backup & Recovery oder die Absicherung von Legacy-Systemen konzipiert und priorisiert werden. Grundlage dafür sind ein OT-Asset-Management, das Transparenz über alle Anlagen und ihre Abhängigkeiten schafft, sowie eine verantwortliche OT-Organisation, die OT-Anforderungen in Security-Strategien integriert und das Betriebskonzept verantwortet. 

Produktionsinfrastrukturen sind vielfältigen und sich stetig ändernden Risiken ausgesetzt, darunter dynamische Cyberbedrohungen mit ständig erweiterten Angriffsvektoren. Unzureichend geschützte OT-Systeme dienen oft als Einfallstore für Schadcode oder können von technischen Störungen betroffen sein, die sich in unsegmentierten Netzen ausbreiten. Ein systematisches Risikomanagement steuert den Umgang mit diesen sich wandelnden Risiken und unterstützt eine effektive Cybersecurity sowie technische Resilienz. 

Zu Beginn sollten sich Unternehmen über anerkannte Normen und Standards informieren, die als Leitlinien für die OT-Security-Umsetzung dienen. Anschließend werden der Ist-Zustand erfasst und der Soll-Zustand definiert, um mit einer Gap-Analyse bestehende Sicherheitslücken zu identifizieren. Eine Risikoanalyse bewertet diese Lücken, während der Reifegrad der vorhandenen Maßnahmen eingeschätzt wird. Wichtige Grundlagen wie ein OT-Asset-Management und eine verantwortliche OT-Organisation unterstützen nicht nur den Einstieg, sondern begleiten den gesamten Prozess der sicheren OT-Security-Implementierung. 

Eine sichere Netzwerkarchitektur mit klarer Trennung von IT- und OT-Netzwerken sowie gezielter Netzsegmentierung ist grundlegend für den sicheren Betrieb. Dazu gehört die Umsetzung des Zero-Trust-Prinzips mit Zugriffsbeschränkungen, Authentifizierung, verschlüsselter Kommunikation und kontinuierlichem Monitoring. Weitere wirkungsvolle Maßnahmen sind Backup- & Recovery-Konzepte, ein sicheres Fernwartungskonzept und die Absicherung von Legacy-Systemen. Vor der Umsetzung sollte stets eine Risikoanalyse und -bewertung erfolgen, um Maßnahmen gezielt zu konzipieren und zu priorisieren. 

Eine der größten Herausforderungen ist die fehlende Transparenz über OT-Assets, deren Zustände und Abhängigkeiten in gewachsenen, heterogenen Infrastrukturen. Zudem sind oft Verantwortlichkeiten unklar, was die Steuerung von Sicherheitsmaßnahmen erschwert. Bei OT-Security-Projekten müssen IT und OT eng zusammenarbeiten. Dies erfordert ein gegenseitiges Verständnis für unterschiedliche Anforderungen und Vorgehensweisen. Weitere Herausforderungen sind die Integration von Legacy-Systemen, die Einhaltung von Compliance-Anforderungen sowie die kontinuierliche Risikoanalyse und Anpassung der Sicherheitsmaßnahmen an die dynamische Bedrohungslage. Dafür fehlen in vielen Unternehmen Fachkräfte mit dem nötigen Know-how, die entsprechende Rollen und Verantwortlichkeiten übernehmen können. 

Der erfolgreiche Abschluss von OT-Security-Projekten innerhalb des vorgegebenen Zeitrahmens setzt voraus, dass zuvor die grundlegenden Voraussetzungen geschaffen wurden. Ein sinnvoller Einstieg ist der Aufbau eines OT-Asset-Managements, das für erforderliche Transparenz sorgt, sowie die Etablierung einer OT-Organisation, die den OT-Betrieb verantwortet und die OT-spezifischen Anforderungen für die Security-Strategie definiert. Ein OT-Security-Programm bietet eine nützliche Struktur, in der einzelne OT-Security-Projekte priorisiert, effizient durchgeführt und Synergien genutzt werden können. 

Initial sollten individuelle Anforderungen und Use Cases für das OT-Asset-Management definiert werden, etwa im Kontext von OT-Security oder zur Effizienzsteigerung in Engineering und Instandhaltung. Zudem gilt es festzulegen, welche Komponenten als OT-Assets betrachtet werden (und welche nicht) und wie die Betriebsverantwortung zwischen IT und OT abgegrenzt ist. Auf dieser Grundlage erfolgt die umfassende Bestandsaufnahme aller OT-Komponenten sowie die Auswahl einer geeigneten Management-Lösung. 

Die Grundlage für eine sichere Industrie-Fernwartung ist ein zentral gesteuertes, dokumentiertes und abgestimmtes Konzept für sicheren OT-Remote-Access. Darin sind Prozesse und Verantwortlichkeiten klar definiert. Technisch sollten Verbindungen von außen, z. B. durch Hersteller oder Dienstleister, in der demilitarisierten Zone (DMZ) enden, während von innen der Zugang gezielt und temporär zum jeweils fernzuwartenden System freigeschaltet wird. Rollenbasierte Zugriffskontrollen, authentifizierte und verschlüsselte VPN-Verbindungen sowie die lückenlose Aufzeichnung und kontinuierliche Überwachung aller Aktivitäten gewährleisten Nachverfolgbarkeit und schützen effektiv vor unbefugtem Zugriff. 

Der Umgang mit Legacy-Systemen, die in langlebigen OT-Infrastrukturen zum Normalzustand gehören, ist ein zentraler Aspekt der OT-Security. Er wird durch eine fundierte Risikoanalyse bestimmt. Die dafür notwendige Transparenz liefert das OT-Asset-Management. Ob Systeme ersetzt oder mit OT-Security-Maßnahmen wie Netzwerksegmentierung, Patching, Backup & Restore und Incident Management geschützt werden, richtet sich nach den individuellen betrieblichen Anforderungen und wirtschaftlichen Aspekten. Wichtige ergänzende Maßnahmen sind die Analyse von Logs zur Vorfallserkennung sowie klare Verantwortlichkeiten und gezielte Schulungen des Betriebspersonals. 

Für eine erfolgreiche Backup- und Recovery-Strategie in der OT ist zunächst die richtige Auswahl der zu sichernden Daten entscheidend, besonders bei kritischen Systemen. Dabei müssen Sicherung und Archivierung klar geregelt sein, unterstützt durch die Festlegung relevanter Kennzahlen wie RPO (Recovery Point Objective: maximal tolerierbarer Datenverlust) und RTO (Recovery Time Objective: Wiederherstellungszeitziel). Im Recovery-Fall kann eine vordefinierte Reihenfolge der Wiederherstellung wichtig sein. Verantwortlichkeiten und Prozesse müssen klar definiert sein und im Notfall reibungslos funktionieren. Regelmäßige Tests und Übungen gewährleisten, dass die Wiederherstellungsmaßnahmen im Ernstfall bekannt sind und effektiv und zügig umgesetzt werden können.