OT-Sicherheit: Welchen Risiken Ihre Kunden tatsächlich ausgesetzt sind und was dagegen zu tun ist

Physische Konsequenzen verändern alles

OT umfasst die programmierbaren Systeme, die physische Prozesse überwachen oder steuern: industrielle Steuerungssysteme, SCADA, SPSen (PLCs), Gebäudeautomation und die Industrie-PCs in den Produktionshallen, auf denen diese laufen. Die Definition des NIST ist weiter gefasst, als die meisten annehmen. Alles, was eine direkte physische Veränderung erkennen oder herbeiführen kann – sei es eine Produktionslinie, ein Umspannwerk oder die Umweltsteuerung eines Gebäudes –, fällt in den Bereich der OT.

Das ist deshalb von Bedeutung, weil das Worst-Case-Szenario ein anderes ist. In der IT ist das schlimmste denkbare Szenario in der Regel Datenverlust, Verschlüsselung oder die Offenlegung von Daten. In der OT kann es sich um einen unsicheren physischen Zustand handeln: ein unter Überdruck stehender Behälter, ein Umspannwerk, das ausfällt, oder eine Produktionscharge, die die Qualitätsprüfung nicht besteht. Aus diesem Grund hat bei der OT-Sicherheit die funktionale Sicherheit (Safety) oberste Priorität, gefolgt von Verfügbarkeit, Integrität und schließlich Vertraulichkeit. In der IT-Sicherheit verhält es sich meist genau umgekehrt, hier steht die Vertraulichkeit an erster Stelle. Wenn ein Kunde fragt, warum man nicht einfach die bestehende Endpoint-Richtlinie auf die Produktionshalle anwenden kann, ist dies die ehrliche Antwort.

Es verändert auch die Bedeutung von „Ausfallzeittoleranz“. Eine Anlage mit kontinuierlichen Prozessen, die keinen ungeplanten Neustart verkraften kann, hinkt bei der Sicherheit nicht hinterher – sie arbeitet im Rahmen der physikalischen Gegebenheiten des Prozesses. Und eine vom OEM freigegebene SPS-Konfiguration kann oft nicht im gleichen Rhythmus wie eine Laptop-Flotte gepatcht werden, ohne dass eine Neuzertifizierung erforderlich wird. Kompensierende Kontrollen und geplante Wartungsfenster übernehmen hier die Aufgabe, die in der IT ein Patch-Zyklus erfüllen würde.

Was da draußen tatsächlich passiert

Zwei unterschiedliche Muster treiben die meisten Vorfälle voran, nach denen Kunden fragen, und sie erfordern unterschiedliche Schutzmaßnahmen. Das erste ist der direkte Angriff auf Steuerungsumgebungen. Dragos brachte einen koordinierten Angriff auf polnische Kraft-Wärme-Kopplungs- und erneuerbare Energiesysteme Ende Dezember 2025 mit der ELECTRUM-Gruppe in Verbindung und bezeichnete ihn als den ersten groß angelegten koordinierten Angriff auf dezentrale Energieressourcen. Eine separate Kampagne gegen ein staatliches pakistanisches Stromübertragungsunternehmen Mitte 2025 umfasste die aktive Suche nach SCADA-Exploits und das Scannen von Modbus-Ports – genau die Art von Aufklärung, für deren Erkennung Asset-Transparenz und protokollbewusste Überwachung entwickelt wurden.

Das zweite Muster tritt häufiger auf und ist in gewisser Weise relevanter dafür, wie die meisten Kunden unserer Partner tatsächlich betroffen sind: IT-Vorfälle mit betrieblichen Auswirkungen, ohne dass eine Kompromittierung einer Steuerung bestätigt wurde. Nucor stoppte nach einem unbefugten IT-Zugriff vorsorglich Teile der Produktion. Masimo musste die Fertigung nach einem Netzwerkeinbruch wochenlang unterhalb der Normalkapazität betreiben. Jaguar Land Rover verlängerte einen Produktionsstopp nach einem Vorfall im September 2025 um mehr als eine Woche. Ein Ransomware-Vorfall bei Asahi im selben Monat legte Bestell- und Versandsysteme lahm, sodass die Logistik erst im Februar 2026 wieder vollständig normalisiert war. Keiner dieser Fälle war ein direkter Angriff auf eine Steuerung. Bei allen stand die Produktion still, weil IT und OT enger miteinander verflochten sind, als die meisten Risikobewertungen annehmen.

Die Zahlen bestätigen dies. Dragos identifizierte im Jahr 2025 119 Ransomware-Gruppen, die Industrieunternehmen ins Visier nahmen – gegenüber 80 im Vorjahr –, wovon rund 3.300 Unternehmen betroffen waren. Mehr als zwei Drittel der Angriffe entfielen dabei auf die Fertigungsindustrie. Siemens beziffert die ungeplanten Ausfallzeiten bei den 500 weltweit größten Unternehmen auf fast 1,4 Billionen US-Dollar pro Jahr. Was in der Umfrage des SANS Institute aus dem Jahr 2025 besonders hervorsticht, ist nicht die Erkennung – fast die Hälfte der Vorfälle wurde innerhalb von 24 Stunden entdeckt –, sondern die Wiederherstellung: Bei fast jedem fünften Vorfall dauerte die Behebung über einen Monat. Die Erkennung ist schneller geworden als die Wiederherstellung, und genau bei der Wiederherstellung entstehen die eigentlichen Kosten.

Das Rahmenwerk, an dem Ihre Kunden tatsächlich gemessen werden

Für die meisten Ihrer Kunden entscheidet die NIS2-Richtlinie darüber, ob OT-Resilienz eine gesetzliche Verpflichtung oder lediglich ein „Nice-to-have“ ist. Die Richtlinie schafft kein separates OT-Regelwerk, deckt jedoch Energie, Verkehr, Wasser, Gesundheit und das verarbeitende Gewerbe direkt ab. Artikel 21 formuliert konkrete Anforderungen: Vorfallbewältigung, Backup und Notfallwiederherstellung (Disaster Recovery), Sicherheit der Lieferkette sowie Zugriffskontrolle. Für einen Kunden in diesen Sektoren sind NIS2-Compliance und OT-Resilienz ein und dieselbe Diskussion, keine zwei getrennten.

Die häufigste Lücke bei Kunden, die von sich behaupten, NIS2-bereit zu sein, ist in der Praxis dieselbe: Sie verfügen über eine Backup-Routine, diese wurde jedoch noch nie unter realen Hardware-Einschränkungen getestet – in Situationen, in denen das Originalgerät nicht mehr existiert und ein identischer Ersatz nicht verfügbar ist. Das Sichern von SPS-Logik, SCADA- und DCS-Konfigurationen, HMI-Dateien und Konfigurationen von Netzwerkgeräten ist die eine Aufgabe. Der tatsächliche Nachweis, dass diese wiederhergestellt werden können – was Artikel 21 explizit als Nachweis verlangt –, ist eine ganz andere.

Was das für Ihre OT-Gespräche mit Kunden bedeutet

Ein belastbares OT-Sicherheitskonzept erfordert ein Zusammenspiel aus Asset-Transparenz, Segmentierung, Überwachung und Wiederherstellung – und kein einzelner Hersteller deckt alle vier Bereiche optimal ab. Genau hier ist ein Gespräch mit einem Distributor für Sie wertvoller als der Pitch eines einzelnen Anbieters: Sie können die Kombination zusammenstellen, die tatsächlich zur Umgebung des Kunden passt, anstatt ein einzelnes Produkt für vier Probleme zu verbiegen, für die es gar nicht konzipiert wurde.

Speziell für den Bereich Resilienz – Backup und Wiederherstellung von PC-basierten Assets, die bei einem Ausfall tatsächlich den Produktionsstillstand verursachen (HMI-Workstations, SCADA-Server, Engineering-Workstations, Historians) – setzt Acronis Cyber Protect for OT auf imagebasierte Sicherungen, die Wiederherstellung auf abweichender Hardware und die Unterstützung von älteren Windows- und Linux-Systemen, die in Brownfield-Anlagen dominieren. Es ist darauf ausgelegt, schnell wieder einen validierten Produktionszustand zu erreichen – und nicht nur einen Sicherungsauftrag abzuschließen –, und funktioniert auch in isolierten Air-Gap-Umgebungen, in denen keine Cloud-Konnektivität möglich ist. Für die Bereiche Asset-Transparenz und Schwachstellen liefert Nanitor Kunden die Inventar- und Exposure-Übersicht, für die die Pflichten nach NIS2 Artikel 21 zunehmend eine lückenlose Dokumentation vorschreiben.

Wenn ein Kunde nach OT-Sicherheit fragt, ist der sinnvollste nächste Schritt meist nicht ein einzelnes P

[...]