15 Oktober 2026

OT-Security bezeichnet den Schutz von Operational Technology vor unbefugten Zugriffen, Manipulationen und anderen sicherheitsrelevanten Beeinträchtigungen. Dazu gehören beispielsweise industrielle Steuerungen, Bedien- und Beobachtungssysteme sowie deren Kommunikationsverbindungen. Weil diese Systeme physische Prozesse beeinflussen, müssen Schutzmaßnahmen mit den Anforderungen an einen sicheren und zuverlässigen Anlagenbetrieb abgestimmt werden.

Was umfasst OT-Security?

Operational Technology steuert oder überwacht technische Vorgänge. In der Produktion betrifft das unter anderem Maschinen, Fertigungszellen, Prozessanlagen und deren Versorgung. OT-Security betrachtet die eingesetzten Komponenten, ihre Verbindungen und die organisatorischen Abläufe über den gesamten Nutzungszeitraum.

Zum Schutzumfang gehören nicht nur die Steuerungen selbst. Ein Engineering-Rechner mit Änderungsrechten, ein Wartungszugang oder eine zentrale Datenverbindung kann ebenfalls Einfluss auf den Betrieb haben. Deshalb muss bekannt sein, welche Systeme miteinander kommunizieren und welche Personen oder Dienste Änderungen auslösen dürfen.

Die gemeinsame internationale Veröffentlichung „Principles of operational technology cyber security“ von 2024 betont unter anderem den Vorrang der Sicherheit physischer Prozesse, die Kenntnis betrieblicher Abhängigkeiten sowie den Schutz von OT-Daten und Netzverbindungen. Daran waren auch BSI und CISA beteiligt. Die Grundsätze verdeutlichen, dass technische Maßnahmen und betriebliches Verständnis zusammengehören.

Warum unterscheiden sich OT und Büro-IT?

Aspekt	Typische Fragestellung in der OT
Physische Wirkung	Kann eine Änderung Bewegungen, Temperaturen oder andere Prozessgrößen beeinflussen?
Zeitverhalten	Welche Verzögerungen und Unterbrechungen sind für den Prozess zulässig?
Nutzungsdauer	Wie werden Komponenten über lange Betriebszeiten sicher betreut?
Änderung	Welche Tests, Freigaben und Rückfallmöglichkeiten sind erforderlich?
Wiederherstellung	Welche Konfigurationen und Prüfungen werden für einen sicheren Wiederanlauf benötigt?

Die Unterschiede sind keine starre Trennung. Moderne OT verwendet vielfach ähnliche Rechner, Betriebssysteme und Netzwerkkomponenten wie die IT. Entscheidend ist der Anwendungskontext. Eine Maßnahme, die in einer Büroumgebung problemlos funktioniert, kann an einer Anlage unerwünschte Auswirkungen auf Timing oder Verfügbarkeit haben.

Das bedeutet nicht, Sicherheitsmaßnahmen grundsätzlich aufzuschieben. Vielmehr müssen Risiken einer Schwachstelle und Risiken einer Änderung gemeinsam bewertet werden. Wo eine direkte Aktualisierung noch nicht möglich ist, sind geeignete ergänzende Schutzmaßnahmen und eine nachvollziehbare weitere Behandlung erforderlich.

Schutzziele: Verfügbarkeit, Integrität und Vertraulichkeit

Verfügbarkeit bedeutet, dass benötigte Funktionen rechtzeitig nutzbar sind. Ein Ausfall kann Produktion unterbrechen oder wichtige Überwachungsfunktionen beeinträchtigen. Die benötigte Verfügbarkeit hängt vom Prozess ab; sie ist keine pauschale Forderung, jede Anlage unter allen Umständen weiterlaufen zu lassen.

Integrität betrifft die Richtigkeit und Unverfälschtheit von Informationen und Funktionen. Manipulierte Programme, Rezepte oder Messwerte können problematisch sein, obwohl ein System äußerlich weiterarbeitet. Ein ausschließlich auf Stillstände ausgerichtetes Schutzkonzept würde solche Veränderungen übersehen.

Vertraulichkeit schützt unter anderem sensible Anlagen- und Prozessinformationen. Dazu können Programme, Netzpläne und technische Unterlagen gehören. Die Ziele werden aus dem konkreten Schutzbedarf abgeleitet. Eine allgemeine Rangfolge ersetzt keine Bewertung der betroffenen Prozesse und möglichen Auswirkungen.

Welche Bausteine gehören zu einem Schutzkonzept?

Bestand und Verantwortlichkeiten kennen

Ein nutzbares Inventar beschreibt relevante Systeme, Funktionen, Softwarestände, Zuständigkeiten und Verbindungen. Es sollte den Betrieb unterstützen und nach Änderungen aktualisiert werden. Eine reine Geräteliste ohne Prozessbezug erklärt noch nicht, welche Komponente für eine kritische Funktion unverzichtbar ist.

Zugriffe und Kommunikation begrenzen

Benutzer und Dienste sollten nur die für ihre Aufgabe benötigten Berechtigungen erhalten. Kommunikationsbeziehungen werden anhand des notwendigen Betriebs beschrieben und kontrolliert. Wartungszugänge benötigen insbesondere klare Zuständigkeiten, geeignete Authentisierung und einen nachvollziehbaren zeitlichen sowie fachlichen Umfang.

Änderungen und Wiederherstellung beherrschen

Programme, Parameter und Systemsoftware sollten kontrolliert geändert werden. Dazu gehören passende Prüfungen und die Möglichkeit, bei Problemen einen definierten Zustand wiederherzustellen. Sicherungen müssen die für den Wiederanlauf tatsächlich benötigten Daten enthalten und ihre Nutzbarkeit muss überprüft werden. Eine vorhandene Sicherungsdatei allein beweist noch keine erfolgreiche Wiederherstellung.

Auffälligkeiten erkennen und darauf reagieren

Geeignete Protokolle und Überwachung können unerwartete Zugriffe oder Änderungen sichtbar machen. Zuständige Personen müssen wissen, welche Meldungen sie bewerten und wie sie vorgehen. Eine hohe Zahl gesammelter Meldungen ohne Bearbeitungsprozess schafft noch keine wirksame Erkennung und Reaktion.

Praxisbeispiel: Wartungszugang zu einer Fertigungszelle

Das folgende Beispiel ist fiktiv. Ein Maschinenlieferant benötigt gelegentlich Zugriff auf eine Fertigungszelle, um eine Störung zu untersuchen. Der Betrieb definiert zunächst die benötigten Zielsysteme und Tätigkeiten. Ein allgemeiner dauerhafter Zugriff auf sämtliche Produktionsbereiche ist für diese Aufgabe nicht erforderlich.

Vor dem Einsatz wird eine zuständige Person im Werk benannt. Der Zugang wird für die konkrete Aufgabe freigegeben und auf die vorgesehenen Systeme begrenzt. Änderungen an Programmen erfolgen nach dem abgestimmten Verfahren und werden dokumentiert. Nach Abschluss wird geprüft, ob die Anlage den vorgesehenen Zustand besitzt und der temporäre Zugriff beendet ist.

Bei der Auslegung berücksichtigt der Betrieb auch Störungen des Zugangs selbst. Die Maschine darf nicht unbemerkt von einem externen Dienst abhängig werden, wenn dieser für den eigentlichen Produktionsprozess nicht benötigt wird. Das Beispiel zeigt, dass eine Fernverbindung sowohl organisatorisch als auch technisch in den Betrieb eingebunden werden muss.

OT-Security und funktionale Sicherheit

Security und funktionale Sicherheit verfolgen unterschiedliche, miteinander verbundene Aufgaben. Security behandelt unter anderem unbefugte Beeinflussung. Funktionale Sicherheit betrachtet sicherheitsbezogene Funktionen zur Beherrschung gefährlicher Zustände. Eine erfolgreiche Security-Maßnahme ersetzt deshalb keinen Nachweis für eine Sicherheitsfunktion.

Gleichzeitig können Cyberereignisse Annahmen über das Verhalten von Systemen beeinflussen. Änderungen und Reaktionen müssen deshalb mit den zuständigen Fachleuten für Anlage und Prozess abgestimmt werden. Bei einem Verdacht auf Manipulation reicht es nicht, allein die Erreichbarkeit eines Rechners wiederherzustellen und daraus auf einen sicheren Anlagenzustand zu schließen.

Leitfäden, Normen und Einführung

NIST SP 800-82 Revision 3 ist ein im September 2023 veröffentlichter Leitfaden zur OT-Security. Er berücksichtigt besondere Anforderungen an Leistung, Zuverlässigkeit und Sicherheit von OT. Daneben bietet die Normenreihe IEC 62443 einen Rahmen für industrielle Automatisierungs- und Steuerungssysteme. Der jeweils passende Teil und seine Rolle müssen für das konkrete Vorhaben geprüft werden.

Für den Einstieg empfiehlt sich eine klar abgegrenzte Betrachtung wichtiger Funktionen und ihrer Abhängigkeiten. Daraus werden priorisierte Maßnahmen, Verantwortliche und Termine abgeleitet. Neue Maschinen, Umbauten und Dienstleisterzugänge sollten in diesen Prozess einbezogen werden, damit das Schutzkonzept mit der Anlage weiterentwickelt wird.

Häufige Fragen zur OT-Security

Ist OT-Security nur Netzwerksicherheit?

Nein. Netzverbindungen sind ein wichtiger Teil, hinzu kommen jedoch Programme, Daten, Benutzerrechte, physische Zugänge und betriebliche Abläufe. Auch Beschaffung, Änderungen und Wiederherstellung gehören dazu. Ein Netzwerk kann sinnvoll getrennt sein, während ein unkontrollierter Wartungsrechner oder ein ungeprüfter Datenträger weiterhin einen relevanten Zugang zur Anlage ermöglicht.

Kann die IT-Abteilung OT-Security allein übernehmen?

Sie kann wichtige technische und organisatorische Beiträge leisten, benötigt aber das Wissen der Anlagen- und Prozessverantwortlichen. Auswirkungen auf Produktion und Sicherheit lassen sich nicht ausschließlich aus einer IT-Perspektive beurteilen. Zuständigkeiten sollten deshalb gemeinsam festgelegt werden. Entscheidend ist eine abgestimmte Verantwortung, keine pauschale Zuordnung an nur einen Bereich.

Sollen Sicherheitsupdates sofort installiert werden?

Die Dringlichkeit hängt von Schwachstelle, Erreichbarkeit und möglicher Auswirkung ab. Gleichzeitig muss die Verträglichkeit mit dem Prozess geprüft werden. Ein geregeltes Vorgehen verbindet Risikobewertung, Tests und Freigabe mit geeigneten Übergangsmaßnahmen. Weder ungeprüfte Aktualisierung noch unbegrenztes Aufschieben ist eine allgemeingültige Lösung für alle OT-Systeme.

Reicht eine Firewall zum Schutz einer Anlage?

Eine Firewall kann erlaubte Verbindungen kontrollieren, deckt aber nicht alle Risiken ab. Berechtigungen, sichere Konfigurationen, kontrollierte Änderungen und Wiederherstellung bleiben erforderlich. Außerdem muss ihre Regelbasis zum tatsächlichen Kommunikationsbedarf passen. Ein vorhandenes Gerät allein belegt daher weder eine sinnvolle Trennung noch ein vollständiges Schutzkonzept.

Wie lässt sich die Wirksamkeit beurteilen?

Durch überprüfbare Maßnahmen und geeignete Übungen, etwa zur Nutzung von Wartungszugängen oder zur Wiederherstellung. Kennzahlen sollten den tatsächlichen Schutzbedarf abbilden. Die Zahl installierter Sicherheitsprodukte ist dafür wenig aussagekräftig. Wichtig ist, ob relevante Zugriffe beherrscht, Änderungen nachvollzogen und kritische Funktionen unter definierten Bedingungen wiederhergestellt werden können.

Quellen und fachliche Einordnung

NIST SP 800-82 Revision 3: Guide to Operational Technology Security, veröffentlichte Fassung von 2023.
ASD’s ACSC und internationale Partner: Principles of operational technology cyber security, 2024.

Das Wartungsbeispiel und die betrieblichen Prüffragen sind eigenständige Erläuterungen. Stand: Oktober 2026.