Montagmorgen in einem Betrieb im Oldenburger Münsterland, die Linie läuft, der Versand wartet, die Werkhalle ist voll. Dann fällt auf, dass ein Rechner aus dem Bürobereich auffällig mit der Produktion spricht, und wenig später steht nicht nur ein Arbeitsplatz still, sondern eine ganze Anlage. Genau dort trennt sich gute IT von echter OT Sicherheit. In der Büro-IT ärgert ein Vorfall den Admin. In der Produktion gefährdet er Liefertermine, Verträge und im Zweifel die Existenz.
Wer als Geschäftsführer nur auf Virenschutz und Backups schaut, denkt zu kurz. OT Sicherheit ist kein Anhang zur IT, sondern Betriebssicherung für Maschinen, Steuerungen und Prozesse. Die wichtigste Frage ist deshalb nicht, ob eine Anlage „irgendwie vernetzt“ ist, sondern wie weit ein Vorfall in den laufenden Betrieb hineinreichen kann.
Praktische Regel: Wenn ein Vorfall eine Linie stoppen kann, ist das kein IT-Thema mehr, sondern Chefsache.
Wenn die Produktion plötzlich stillsteht
In vielen mittelständischen Betrieben beginnt das Problem unspektakulär. Ein Mitarbeiter klickt im Büro auf einen verseuchten Anhang, ein Rechner wird kompromittiert, und der Angreifer sucht sich den nächsten Schritt im Netz. Wenn Büro- und Produktionsnetz nicht sauber getrennt sind, ist der Sprung in die Steuerungsebene kein exotisches Szenario, sondern eine logische Folge.
Der Schaden sieht dann völlig anders aus als bei einem normalen IT-Ausfall. Ein defekter Mailserver nervt. Eine stillstehende Produktionslinie kostet sofort Zeit, Nerven und Vertrauen beim Kunden. Genau deshalb ist OT Sicherheit für Geschäftsführer keine technische Nebensache, sondern eine Frage von Lieferfähigkeit, Vertragstreue und Resilienz.
Die Cisco-Studie für Deutschland zeigt, wie weit viele Unternehmen noch von diesem Denken entfernt sind. Nur 6 % der befragten deutschen Organisationen nannten OT-Sicherheit als Top-Priorität, 42 % bewerteten die fehlende Zusammenarbeit von IT und OT als größte operative Herausforderung, und 26 % haben ihr OT-Budget im Vorjahr gekürzt, weltweit lag der Wert bei 14 %. Das ist kein Schönheitsfehler, das ist ein Reifeproblem. Die Cisco-Ergebnisse für Deutschland zeigen klar, dass Budget, Governance und organisatorische Verzahnung oft nicht mit der technischen Angriffsfläche Schritt halten.
Was Entscheider daraus mitnehmen sollten
Ein Angriff auf OT trifft nicht nur Technik, sondern Termine, Personal und Außenwirkung. Wer in der Produktion nur auf Verfügbarkeit im Tagesgeschäft schaut, baut sich ein Risiko auf, das beim ersten realen Vorfall teuer wird. Threat Intelligence im industriellen Umfeld ist deshalb kein Luxus, sondern ein Werkzeug, um Vorfälle früher einzuordnen und nicht erst beim Stillstand zu reagieren.
Das BSI hat OT-Sicherheit 2024 ausdrücklich als strategisches Handlungsfeld eingeordnet. Für deutsche KMU mit eigener Fertigung ist das die richtige Lesart. Wer Betrieb ernst nimmt, muss OT ernst nehmen.
Was OT-Sicherheit eigentlich bedeutet
OT steht für Operational Technology, also Steuerungs-, Leit- und Automatisierungstechnik. Dazu gehören industrielle Steuerungen, SPS, SCADA-Umgebungen und vernetzte Anlagen, die physische Prozesse überwachen oder direkt auslösen. Anders gesagt, OT ist das Nervensystem der Produktion, nicht das Büro im Nebentrakt.
Der Denkfehler vieler Firmen ist simpel. Sie behandeln das Produktionsnetz wie ein weiteres IT-Netz. Das funktioniert nicht, weil OT andere Prioritäten hat. In der IT steht oft Vertraulichkeit im Vordergrund, in der Produktion zählen Verfügbarkeit und Integrität physischer Abläufe mindestens genauso. Wenn eine Maschine falsch reagiert, reicht ein schneller Neustart oft eben nicht.
Die drei Begriffe, die jeder Geschäftsführer kennen sollte
Asset-Inventar bedeutet, dass Sie überhaupt wissen, welche Anlagen, Steuerungen, Gateways und Verbindungen existieren. Ohne diese Basis reden alle über Sicherheit, aber niemand über das echte Risiko.
Purdue-Level ist ein Denkmodell für die Trennung von Büro- und Produktionsebene. Es hilft, Übergänge sauber zu planen, statt ein großes, schwer kontrollierbares Mischnetz zu bauen.
Safety und Security gehören zusammen. Safety schützt Menschen, Maschinen und Prozesse vor Fehlfunktionen. Security schützt diese gleichen Prozesse vor Angriffen. In der Praxis lassen sich die beiden nicht sauber voneinander trennen, weil ein Angriff schnell zu einer Sicherheitsgefahr wird.
Ohne saubere Trennung zwischen Büro und Produktion wird aus jeder Fernwartung ein möglicher Angriffspfad.
Für deutsche Unternehmen ist diese Abgrenzung besonders wichtig, weil das BSI OT-Netze als eigene Schutzdomäne beschreibt und Anforderungen an Inventarisierung, Kommunikationsbeziehungen und Zugriffe darauf auslegt. Wer OT nur als „Sonderfall der IT“ behandelt, baut meist das nächste Problem schon in die Architektur ein.
IT und OT im direkten Vergleich
IT und OT laufen technisch oft auf ähnlicher Infrastruktur, aber sie folgen völlig anderen Betriebslogiken. In der IT ist ein Update manchmal vor allem eine Frage von Zeit und Testaufwand. In der OT kann derselbe Eingriff eine laufende Schicht gefährden oder eine Steuerung aus dem Tritt bringen. Genau deshalb scheitern viele Standard-IT-Maßnahmen in der Produktion, wenn sie ungeprüft übernommen werden.
| Dimension | IT | OT |
|---|---|---|
| Primäres Ziel | Daten, Kommunikation, Produktivität | Verfügbarkeit, Prozessstabilität, Anlagenfunktion |
| Lebensdauer | Eher kurz, Ersatz ist üblich | Eher lang, oft mit Altanlagen und Sondertechnik |
| Update-Rhythmus | Regelmässig, planbar | Zurückhaltend, oft nur nach Freigabe und Test |
| Ausfallfolge | Ärger, Datenverlust, Produktivitätsverlust | Stillstand, Ausschuss, Sicherheitsrisiken, Lieferprobleme |
| Change-Logik | Häufige Änderungen sind normal | Änderungen müssen sehr kontrolliert sein |
| Angriffsauswirkung | Konten, Daten, Dienste | Steuerungen, Maschinen, physische Prozesse |
Diese Unterschiede sind nicht akademisch. Eine verschlüsselte Datei in der IT ist schlimm. Eine Fehlfunktion in einer Steuerung kann eine Linie blockieren. Wer das ignoriert, spart sich zwar Diskussionen, kauft sich aber im Ernstfall teure Stillstände ein.
Warum Konvergenz nicht automatisch Fortschritt ist
IT/OT-Integration bringt Vorteile, etwa bessere Transparenz und effizientere Wartung. Sie erweitert aber auch die Angriffsfläche, wenn die Übergänge unsauber sind. Genau deshalb ist Segmentierung kein „Nice-to-have“, sondern die Voraussetzung dafür, dass die beiden Welten überhaupt gemeinsam betrieben werden können.
Das BSI beschreibt OT-Netze als eigenständige Schutzdomäne mit Zonen-und-Conduits-Architektur. Das ist die nüchterne Übersetzung für das, was im Alltag zählt. Nicht jeder Rechner darf mit jeder Steuerung sprechen, und nicht jeder Fernzugriff ist automatisch legitim.
Ein modernes Werk braucht nicht mehr Verbindungen, sondern bessere Verbindungen.
Für Einkauf und Geschäftsführung ist das die harte Wahrheit. Wer nur auf Vernetzung und Fernzugriff drückt, ohne die Architektur anzupassen, schafft sich mehr Risiko als Nutzen.
Die aktuelle Bedrohungslage in Deutschland
In vielen deutschen Betrieben sitzt das Risiko nicht in einem spektakulären Einbruch, sondern in einer schwachen Struktur zwischen Büro-IT und Produktion. Genau dort wird es teuer. Die Cisco-Analyse zeigt, dass OT-Sicherheit in vielen Unternehmen noch nicht die Priorität hat, die sie im laufenden Betrieb braucht, und dass fehlende Zusammenarbeit zwischen IT und OT sowie gekürzte Budgets die Lage verschärfen. Diese deutsche Cisco-Studie beschreibt damit vor allem ein Organisationsproblem, kein exotisches Technikproblem.
Das BSI hat OT-Sicherheit 2024 nicht als Pflichtübung erwähnt, sondern als strategisches Handlungsfeld eingeordnet. Für den Mittelstand ist das direkt relevant, weil Produktions- und Automatisierungsumgebungen dort oft mit gewachsenen Strukturen laufen. Fällt so ein System aus, trifft es nicht nur eine Abteilung, sondern oft den ganzen Betrieb und seine Lieferfähigkeit.
Wo die Angriffe in der Praxis ansetzen
Der häufigste Einstieg bleibt Phishing. Der Angriff beginnt im Büro, über Mail, Identität oder Zugangsdaten, und erst danach wird es für die Produktion gefährlich. Sobald die interne Trennung schwach ist, kann ein kompromittierter Rechner in Richtung OT weiterwirken.
Der nächste Schwachpunkt ist ungesicherte Fernwartung. Viele Betriebe arbeiten mit Dienstleisterzugängen, die über Jahre gewachsen sind und nie sauber neu geordnet wurden. Wenn Freigaben, Authentifizierung und Protokollgrenzen nicht klar geregelt sind, wird jeder dieser Zugänge zum Risiko.
Dazu kommen unsichere Steuerungszugriffe. Das betrifft alte Anlagen ebenso wie moderne Umgebungen, in denen Zugriffsrechte, Dokumentation und technische Umsetzung nicht zusammenpassen. Ein sauberer Zugriff auf Steuerungen ist kein Detail, sondern ein Muss, wenn Anlagen laufen sollen, ohne unnötig angreifbar zu sein.
Die passende Reaktion ist nicht mehr Kontrolle um der Kontrolle willen, sondern saubere Prioritäten. Ein aktueller Überblick zu Bedrohungen, Trends und den daraus folgenden Maßnahmen gehört deshalb regelmäßig auf den Tisch, etwa über ein belastbares Threat-Intelligence-Briefing für OT-Verantwortliche.
Wer OT schützen will, muss zuerst die Übergänge kontrollieren. Nicht die Schlagzeilen, sondern die Verbindungen entscheiden.
Das BSI ordnet OT-Sicherheit klar als strategisches Feld ein, und genau so gehört es im Betrieb behandelt. Wer nur einzelne Schwachstellen flickt, bleibt im Nachteil, weil die Angreifer immer den schwächsten Übergang suchen.
Der Bausatz für sichere OT-Architektur
Eine belastbare OT-Architektur beginnt mit Segmentierung. Das klingt trocken, ist aber der wichtigste Hebel überhaupt. Zonen und Conduits sorgen dafür, dass Büro-IT, Wartungszugänge und Produktionsnetze nicht wild ineinanderlaufen. Das BSI beschreibt diesen Ansatz genau so, also als getrennte Schutzdomänen mit kontrollierten Kommunikationsbeziehungen.
IEC 62443 ist dafür der zentrale technische Rahmen in Deutschland. Der Standard passt gut, weil er nicht nur Technik betrachtet, sondern auch Prozesse wie Asset- und Konfigurationsmanagement, Netzwerk- und Kommunikationssicherheit, Komponenten-Härtung sowie Backup und Wiederherstellung. Das ist genau die Reihenfolge, die ein KMU braucht, wenn es nicht bloß ein Compliance-Schild aufhängen will.
Was Sie konkret bauen sollten
Ein vernünftiger Start sieht so aus:
- Netzwerksegmentierung: Trennen Sie Büro- und Produktionsnetz konsequent. Nicht jede Verbindung muss bestehen bleiben.
- Sichere Fernwartung: Nutzen Sie Sprungserver und Mehr-Faktor-Authentifizierung. Direkte Dauerzugriffe sind schwach.
- Industrielles Monitoring: Beobachten Sie OT-Protokolle und auffällige Kommunikationsbeziehungen, nicht nur klassische Serverlogs.
- Asset- und Konfigurationsmanagement: Erfassen Sie auch alte Anlagen und Sonderlösungen sauber. Was nicht dokumentiert ist, lässt sich nicht vernünftig schützen.
- Kontrollierte Übergänge: Lassen Sie nur die Verbindungen zu, die fachlich nötig sind, und prüfen Sie sie regelmässig.
Gerade bei Legacy-OT wird es schnell unbequem. Viele Anlagen sind alt, teils seit Jahren produktiv, und lassen sich nicht einfach patchen, ohne den Betrieb zu riskieren. Genau das macht OT-Sicherheit so anspruchsvoll. Wer den Stillstand fürchtet, braucht umso mehr Disziplin in Architektur und Freigaben.
Ein ordentlicher Segmentierungsansatz ist deshalb kein akademisches Projekt. Er schafft die Grundlage dafür, dass Fernwartung, Protokollfreigaben und Wiederanlaufprozesse kontrollierbar bleiben.
Vom BSI-Standard zur NIS-2-Roadmap
Wer das Thema sauber aufziehen will, braucht keine Theorie, sondern eine Reihenfolge. Erst sehen, dann bewerten, dann umbauen, dann nachweisen. Alles andere produziert Aktionismus, und der ist in der Produktion teuer.
Die vier Schritte, die wirklich zählen
Bestandsaufnahme und Asset-Inventar. Erfassen Sie alle OT-Komponenten, Verbindungen und Fernzugänge. Ohne das ist jede weitere Massnahme blind.
Risikobewertung mit IEC 62443 und BSI-Grundschutz. Prüfen Sie, wo Betrieb, Zugriff und Wiederanlauf am empfindlichsten sind. Das ist der Punkt, an dem sich Technik und Governance treffen.
Zonen-Conduits-Architektur plus Patch- und Fernwartungskonzept. Legen Sie fest, wie Übergänge laufen, wer zugreifen darf und wie Änderungen freigegeben werden. Genau hier entscheidet sich, ob OT-Sicherheit den Alltag überlebt.
Laufender Betrieb mit Monitoring, Übungen und Dokumentation. NIS-2-nahe Nachweise entstehen nicht durch PowerPoint, sondern durch gelebte Prozesse, saubere Protokolle und belastbare Wiederanlaufpläne.
Das BSI-Grundsatzpapier liefert dafür den deutschen Rahmen, IEC 62443 die technische Sprache. Wer zusätzlich ISO 27001 als Managementsystem sauber dokumentiert, schafft sich eine bessere Ausgangslage für Audits und interne Verantwortung. Das ist kein Selbstzweck, sondern Nachweisfähigkeit.
Quick-Win zuerst, Architektur danach, Nachweis zuletzt. Wer die Reihenfolge umdreht, verbrät Zeit und Geduld.
Ein sinnvoller erster Schritt ist oft schon die einfache Sichtbarkeit aller OT-Assets. Danach folgt der sichere Fernwartungsprozess. Beides reduziert Risiko, ohne die Produktion sofort umzubauen.
Eigenregie, Systemhaus oder Managed Service
Nicht jeder Betrieb braucht denselben Weg. Wer über eigenes Personal und genügend OT-Erfahrung verfügt, kann intern aufbauen. Das ist sauber, verlangt aber Zeit, Disziplin und Leute, die Produktion und Sicherheit wirklich zusammen denken.
Ein spezialisiertes Systemhaus bringt Struktur und Tempo. Deeken.Technology GmbH kann als eine solche externe Option Beratung, Planung, Installation und Schulung im IT-Sicherheitsumfeld abdecken, wenn Unternehmen ihre OT-Umgebung geordnet absichern wollen. Das passt besonders dann, wenn intern Fachkräfte fehlen und NIS-2, Dokumentation und Betriebsrealität gleichzeitig zu stemmen sind.
Die drei Modelle im Klartext
- Eigenregie: Gute Wahl, wenn OT und IT intern eng verzahnt sind und die Organisation bereits belastbar arbeitet. Der Preis ist der Ressourcenbedarf.
- Systemhaus: Sinnvoll, wenn Sie Expertise einkaufen wollen, aber die Entscheidungshoheit behalten. Das ist oft der pragmatischste Weg für KMU.
- Managed Service: Interessant, wenn Sie Überwachung, Betrieb und Reaktion teilweise auslagern möchten. Dann brauchen Sie klare SLAs und saubere Zuständigkeiten.
Was ein Managed Service Provider praktisch leistet ist vor allem Entlastung im Alltag, nicht der Ersatz für Geschäftsentscheidungen. Wer das vergisst, gibt zu viel ab. Wer es richtig nutzt, gewinnt Zeit für das Kerngeschäft.
Bei Bausteinen wie IONOS für Cloud, WatchGuard für Perimeter- und OT-Firewall, Acronis für Backup und Wiederherstellung oder ITQ für Schulungen und Tests geht es nicht um Namen, sondern um passende Rollen im Gesamtsystem. Entscheidend ist, dass jemand die Architektur verantwortet und die Produktion dabei nicht aus dem Takt bringt.
Wenn Sie OT-Sicherheit in Ihrem Betrieb nicht länger als Nebenthema behandeln wollen, sprechen Sie mit Deeken.Technology GmbH über eine saubere Bestandsaufnahme, sichere Fernwartung und eine umsetzbare Roadmap für NIS-2 und IEC 62443. Dort bekommen Sie keine Luftschlösser, sondern eine klare Einschätzung dazu, was in Ihrer Produktion sofort geht und was besser in Stufen umgesetzt wird.
