Industrielle Cybersicherheit: Warum die Vernetzung Ihrer Fabrik mit dem Internet eine neue Risikoklasse schafft

Die Vernetzung von OT-Systemen in der Fertigung mit dem Internet setzt sie Angriffsvektoren aus, gegen die sie nie ausgelegt waren. OT-Systeme, darunter SPS, SCADA-Steuerungen und DCS-Plattformen, wurden für Zuverlässigkeit und Verfügbarkeit konzipiert, nicht für Sicherheit. Die meisten laufen auf veralteten Betriebssystemen, die sich nicht patchen lassen, ohne die Produktion anzuhalten. Die meisten arbeiten in flachen Netzwerken ohne Segmentierung. Ein einziger Einbruch kann sich per lateraler Bewegung von einem IT-System bis in die Fabrikhalle ausbreiten, und zwar innerhalb von Minuten, mit der Folge, dass Produktionslinien stillstehen, Anlagen beschädigt werden oder Sicherheitsvorfälle ausgelöst werden. Dieser Leitfaden behandelt die konkreten Risiken der OT-Vernetzung, wie eine grundlegende Sicherheitsarchitektur aussieht und was vietnamesische Hersteller klären müssen, bevor sie betriebliche Systeme mit externen Netzwerken verbinden.

Warum OT-Sicherheit ein anderes Problem ist als IT-Sicherheit

IT-Sicherheit schützt Daten. OT-Sicherheit schützt physische Prozesse.

In der IT kann ein System für ein Patch offline genommen, nach einem Vorfall neu gestartet und aus einem Backup wiederhergestellt werden. In der OT legt das Offline-Nehmen einer SPS die Linie lahm. Der Neustart eines SCADA-Systems kann einen kompletten Produktionsneustart erfordern. Die Toleranz für Ausfallzeiten liegt nahe null. Gängige IT-Sicherheitspraktiken wie häufiges Patchen, Endpoint-Agenten und regelmäßige Neustarts lassen sich nicht direkt auf OT-Umgebungen übertragen.

OT-Systeme haben zudem lange Betriebszyklen. In einer Fabrikhalle laufen mitunter SPS, die vor 15 Jahren installiert wurden, auf Betriebssystemen, die seit einem Jahrzehnt keine Sicherheitsupdates mehr erhalten haben. Diese Systeme wurden nie für eine Internetanbindung entwickelt. Ihr Sicherheitsmodell setzte physische Isolation voraus. Diese Annahme trägt nicht mehr, sobald dasselbe Netzwerk zugleich Produktionssteuerungsverkehr und ERP-Integration, Fernwartungszugriff oder Cloud-Datenpipelines überträgt.

Was passiert, wenn OT- und IT-Netzwerke zusammenwachsen

Industrie-4.0-Vernetzung, etwa durch IIoT-Sensoren, ERP-Integration, Fernwartungszugriff und Cloud-Datenhistorians, erfordert den Datenaustausch zwischen OT- und IT-Netzwerken. Diese Konvergenz ist betrieblich notwendig. Sie schafft zugleich eine neue Angriffsfläche.

Das Risiko ist laterale Bewegung. Ein Angreifer, der sich über eine Phishing-E-Mail, kompromittierte Zugangsdaten eines Dienstleisters oder eine Schwachstelle in einem internetseitigen System Zugang zum IT-Netzwerk verschafft, kann bei unzureichender Segmentierung in das OT-Netzwerk vordringen. Im OT-Netzwerk angekommen, hat der Angreifer Zugriff auf die Produktionssteuerung.

Die Folgen unterscheiden sich grundlegend von einem IT-Sicherheitsvorfall. Ein Ransomware-Angriff auf ein IT-System verschlüsselt Dateien. Ein Ransomware-Angriff auf ein OT-System stoppt die Produktion. Versteht der Angreifer den Prozess, kann er Befehle absetzen, die Anlagen beschädigen oder Sicherheitsrisiken schaffen. Die Wiederherstellung dauert Tage oder Wochen, nicht Stunden.

Reale Vorfälle folgen diesem Muster. Der Angriff auf Colonial Pipeline 2021 begann mit kompromittierten VPN-Zugangsdaten. Der Ransomware-Angriff auf Nordex 2022 legte die Produktion bei einem der größten Windturbinenhersteller Europas lahm. In beiden Fällen war der Einstiegspunkt ein IT-System. Die betrieblichen Auswirkungen waren physischer Natur.

Die konkreten Risiken für OT-Systeme vietnamesischer Fabriken

Vietnamesische Hersteller, die ihre OT-Systeme erstmals vernetzen, sehen sich einer besonderen Risikokombination gegenüber.

Altanlagen ohne Patch-Fähigkeit: In den meisten Fabrikhallen des vietnamesischen Fertigungssektors läuft ein Mix aus Anlagen unterschiedlichen Alters. SPS und Steuerungen aus den 2000er- und frühen 2010er-Jahren laufen auf Betriebssystemen, für die keine Sicherheitsupdates mehr verfügbar sind. Sie lassen sich nicht patchen. Sie können nur isoliert werden.

Flache Netzwerkarchitektur: Viele Fabriken haben ihre OT-Netzwerke auf Zuverlässigkeit ausgelegt, nicht auf Segmentierung. Die Engineering-Workstation, mit der SPS programmiert werden, liegt im selben Netzwerksegment wie das E-Mail-System der Unternehmens-IT. Es gibt keine Firewall dazwischen.

Fernzugriff ohne Kontrollen: Fernwartungszugriff, der während COVID eingerichtet und danach häufig nie abgesichert wurde, zählt zu den häufigsten Einstiegspunkten für OT-Einbrüche. Viele Hersteller haben aktive Fernzugriffssitzungen ohne Multi-Faktor-Authentifizierung, ohne Sitzungsaufzeichnung und ohne zeitlich begrenzten Zugriff.

Zugriff durch Drittanbieter: Anlagenhersteller, Systemintegratoren und Wartungsdienstleister verfügen häufig über dauerhaften Fernzugriff auf OT-Systeme. Jeder davon ist ein potenzieller Einstiegspunkt. Zugriff, der für ein bestimmtes Projekt gewährt wurde, bleibt oft unbegrenzt bestehen.

Wie eine grundlegende OT-Sicherheitsarchitektur aussieht

Der Standard ISA/IEC 62443 ist das Referenzrahmenwerk für industrielle Cybersicherheit. Er definiert Sicherheitsstufen nach Zone und Conduit. Jede Zone hat eine festgelegte Sicherheitsanforderung, und die Kommunikation zwischen Zonen läuft über einen Conduit mit spezifischen Kontrollen.

In der Praxis umfasst eine Basisarchitektur für eine vernetzte vietnamesische Fabrik Folgendes:

• Netzwerksegmentierung: IT- und OT-Netzwerke durch eine Firewall oder DMZ getrennt. OT-Subnetze zusätzlich nach Funktion segmentiert, mit Produktionssteuerung getrennt von Engineering-Workstations und getrennt von Historian-Servern. Kein direkter Datenverkehr zwischen IT und OT ohne Inspektion.
• OT-spezifisches Monitoring: IT-Sicherheitstools verstehen OT-Protokolle wie Modbus, PROFINET, EtherNet/IP oder DNP3 nicht. OT-Monitoring-Plattformen beobachten den OT-Datenverkehr passiv, ohne die Produktion zu stören, und erkennen Anomalien anhand des Prozessverhaltens.
• Kontrollierter Fernzugriff: Jeder Fernzugriff läuft über einen Jump-Server mit Multi-Faktor-Authentifizierung. Sitzungsaufzeichnung aktiviert. Zeitlich begrenzter Zugriff wird je Sitzung vergeben, nicht als dauerhafte Zugangsdaten. Zugriffsrechte von Dienstleistern werden überprüft und nach Projektende widerrufen.
• Asset-Inventar: Ein vollständiges OT-Asset-Inventar, das jede SPS, jedes HMI, jede Steuerung und jedes Netzwerkgerät erfasst. Die meisten Fabriken verfügen über kein solches Inventar. Man kann nicht schützen, was man nicht sieht.
• OT-spezifischer Incident-Response-Plan: Wer wird benachrichtigt, wenn sich ein Produktionssystem anomal verhält? Wie lautet das Verfahren, um ein kompromittiertes Segment zu isolieren, ohne die gesamte Linie zu stoppen? Wer ist befugt, eine SPS offline zu nehmen?

Was vietnamesische Hersteller zuerst tun sollten

Bevor ein OT-System mit einem externen Netzwerk verbunden wird, sollten drei Schritte abgeschlossen sein.

Das Netzwerk kartieren. Jedes Gerät, jede Verbindung und jeden Punkt identifizieren, an dem sich IT- und OT-Datenverkehr derzeit überschneiden. Viele Hersteller entdecken in diesem Prozess undokumentierte Verbindungen.

Segmentieren, bevor man verbindet. Eine Firewall oder DMZ zwischen IT- und OT-Netzwerk installieren, bevor Industrie-4.0-Konnektivität aktiviert wird. Daten können durch die DMZ fließen. Direkter Datenverkehr nicht.

Fernzugriff prüfen. Jede aktive Fernzugriffssitzung auf OT-Systeme identifizieren. Dauerhafte Zugangsdaten von Dienstleistern widerrufen. MFA auf allen verbleibenden Zugriffswegen einführen. Dieser einzige Schritt eliminiert den häufigsten Einstiegsvektor.

Diese drei Schritte erfordern kein großes Sicherheitsbudget. Sie erfordern Zeit, einen genauen Netzwerkplan und die Befugnis, Zugriffskontrollen durchzusetzen.

Häufig gestellte Fragen

Welche Cybersicherheitsrisiken entstehen durch die Vernetzung von OT-Systemen in der Fertigung mit dem Internet?

OT-Systeme wurden für physische Isolation konzipiert, nicht für Netzwerksicherheit. Ihre Anbindung an externe Netzwerke setzt SPS, SCADA und DCS-Plattformen lateraler Bewegung aus IT-Netzwerken, Ransomware und kompromittiertem Fernzugriff aus. Die Folgen unterscheiden sich von IT-Sicherheitsvorfällen: Die Produktion steht still, Anlagen können beschädigt werden und Sicherheitssysteme können betroffen sein. Die Wiederherstellung dauert Tage oder Wochen.

Was unterscheidet OT-Sicherheit von IT-Sicherheit?

IT-Sicherheit schützt Datensysteme, die sich mit minimalen betrieblichen Auswirkungen patchen, neu starten und aus Backups wiederherstellen lassen. OT-Sicherheit schützt physische Produktionsprozesse, bei denen Ausfallzeit Produktionsverlust und Anlagenrisiko bedeutet. OT-Systeme laufen mit veralteter Software über lange Betriebszyklen, vertragen nicht die Ausfallzeit, die reguläres Patchen erfordert, und nutzen industrielle Protokolle, die IT-Sicherheitstools nicht verstehen.

Was ist laterale Bewegung bei einem OT-Cyberangriff?

Laterale Bewegung ist die Technik, mit der Angreifer sich von einem initialen Zugangspunkt, meist einem IT-System, zu einem Ziel-OT-Netzwerk vorarbeiten, das die Produktion steuert. Sind IT- und OT-Netzwerke nicht segmentiert, kann ein Angreifer, der über Phishing oder kompromittierte Dienstleister-Zugangsdaten Zugang erlangt, ohne weiteren Exploit die Produktionssteuerungssysteme erreichen.

Was ist der Standard ISA/IEC 62443 für industrielle Cybersicherheit?

ISA/IEC 62443 ist der internationale Referenzstandard für die Absicherung industrieller Steuerungssysteme. Er definiert Sicherheitsstufen nach Zonen und legt fest, welche Kontrollen die Kommunikation zwischen Zonen regeln. Er ist das in OT-Sicherheitsbewertungen am häufigsten herangezogene Rahmenwerk und die Grundlage der meisten ICS-Sicherheitsprogramme in der Fertigung.

Was sollte ein vietnamesischer Hersteller tun, bevor er OT-Systeme mit externen Netzwerken verbindet?

Drei Schritte vor jeder externen Anbindung: das OT-Netzwerk vollständig kartieren, IT und OT durch eine Firewall oder DMZ segmentieren und sämtliche Fernzugriffe prüfen, um dauerhafte Zugangsdaten von Dienstleistern zu widerrufen und Multi-Faktor-Authentifizierung einzuführen. Diese Schritte adressieren die drei häufigsten Einstiegsvektoren, ohne ein erhebliches Budget zu erfordern.

Welche OT-Sicherheits-Monitoring-Tools gibt es?

OT-spezifische Monitoring-Plattformen wie Claroty, Dragos und Nozomi Networks beobachten den OT-Netzwerkverkehr passiv mithilfe von Kenntnissen industrieller Protokolle. Sie erkennen Anomalien anhand des Prozessverhaltens statt anhand von Signaturabgleich, ohne die Produktion zu stören. Standard-IT-Sicherheitstools eignen sich nicht für OT-Umgebungen und können bei Einsatz auf veralteter OT-Hardware Instabilität verursachen.

Der nächste Schritt

Gradion unterstützt Hersteller in Vietnam und Südostasien bei OT-Sicherheitsbewertungen, Netzwerksegmentierung und der Konzeption von ICS-Sicherheitsprogrammen. Kontaktieren Sie unser Team, um mit einer Netzwerkkartierung zu beginnen.