OT-Security: Warum Cyberangriffe zunehmend Maschinen statt Server treffen

Cyberangriffe treffen längst nicht mehr nur Server, E-Mail-Systeme oder Cloud-Anwendungen. Immer häufiger geraten Maschinen, Steuerungen und Produktionsanlagen ins Visier der Angreifer. OT-Security wird zur entscheidenden Verteidigungslinie.

In den letzten Jahren haben viele Unternehmen ihre Hausaufgaben gemacht, wenn es um die klassische IT geht. Es wurde massiv in moderne Firewalls investiert, die Cloud Umgebungen wurden gehärtet und Überwachungssysteme bündeln heute Alarme in professionellen Leitstellen. Man könnte meinen, die digitale Festung steht sicher auf ihrem Fundament. Doch während die klassische IT vielerorts umfassend abgesichert wurde, weisen Produktionsumgebungen häufig noch Sicherheitslücken auf. Sicherheitsverantwortliche und Berater beobachten seit einigen Jahren einen Trend, bei dem Angreifer verstärkt operative Systeme in den Fokus rücken. Professionelle Angreifer nehmen immer seltener nur die klassischen Server im Rechenzentrum ins Visier. Stattdessen geraten zunehmend die Systeme in den Fokus, die Maschinen, Steuerungen und Logistikketten am Laufen halten.

Dieser Wandel ist kein Zufall, sondern folgt den wirtschaftlichen Anreizen der Angreifer. Während ein verschlüsselter Mailserver lästig ist und den Büroalltag behindert, sorgt eine stehende Produktionslinie für einen unmittelbaren Stopp der Wertschöpfung. Der Druck auf die Geschäftsführung, Lösegelder zu zahlen oder riskante Zugeständnisse zu machen, ist in der Werkhalle um ein Vielfaches höher als in der Verwaltung. Vor diesem Hintergrund stellt sich die Frage, ob bestehende Sicherheitskonzepte den besonderen Anforderungen der Operational Technology (OT) und damit der OT-Security ausreichend Rechnung tragen.

Das Ende der Insel Lösung in der Industrie

Lange Zeit galt in der Industrie das einfache, aber effektive Prinzip der Sicherheit durch Isolation. Die Fertigungshalle war eine technologische Insel, die physisch und digital fast vollständig von der Außenwelt getrennt war. Ein Hacker hätte physisch im Werk stehen müssen, um eine Steuerung zu manipulieren. Doch die vierte industrielle Revolution und der Drang zur totalen Vernetzung haben diese schützenden Mauern eingerissen. Heute ist die vernetzte Produktion gelebte Realität. Jede moderne Werkzeugmaschine, jeder Sensor an der Förderanlage und jeder Roboterarm kommuniziert permanent mit übergeordneten Systemen.

Diese Vernetzung sorgt für eine enorme Effizienz und ermöglicht prädiktive Wartung sowie eine flexible Fertigung. Gleichzeitig schafft sie jedoch eine Angriffsfläche, die in ihrem Ausmaß oft unterschätzt wird. So zeigt der „State of OT and Cybersecurity Report 2025“ von Fortinet, dass das Risikobewusstsein für OT-Security in Industrieunternehmen deutlich gestiegen ist. Hintergrund sind unter anderem zunehmende Angriffe auf Fertigungsunternehmen durch Ransomware-Gruppen und staatlich unterstützte Akteure. Das Problem ist auch technischer Natur. Viele dieser industriellen Steuerungen wurden für eine Lebensdauer von zwanzig Jahren oder mehr entwickelt. Fachpublikationen zu Industrial Control Systems (ICS) weisen seit Jahren darauf hin, dass viele OT-Systeme ursprünglich nicht für den Betrieb in hochvernetzten Umgebungen konzipiert wurden. Verfügbarkeit und Effizienz standen bei ihrer Entwicklung häufig im Vordergrund, während Sicherheitsanforderungen eine untergeordnete Rolle spielten. Dadurch entsteht heute eine hybride Infrastruktur, in der hochmoderne IT auf teilweise veraltete operative Technologie trifft. Diese Systeme sprechen oft Protokolle, die keine oder nur begrenzte Verschlüsselung kennen. Moderne Sicherheitslösungen wie Endpunkt-Erkennung lassen sich dort nicht ohne Weiteres einsetzen. Wenn ein Angreifer einmal in dieses Umfeld eindringt, trifft er daher häufig auf deutlich geringere Schutzmechanismen als in klassischen IT-Umgebungen.

Warum ein Neustart in der Produktion keine Option ist

Wenn im klassischen Büro Umfeld ein Server kompromittiert wird, greifen meist standardisierte und gut erprobte Wiederherstellungsprozesse. Man spielt ein Backup ein, setzt die Systeme neu auf und nach einigen Stunden läuft der Betrieb wieder an. In der Welt der Operational Technology (OT) sieht die Realität völlig anders aus. Genau deshalb unterscheidet sich OT-Security grundlegend von klassischer IT-Sicherheit. Ein erfolgreicher Angriff auf eine Produktionslinie lässt sich nicht durch einen simplen Neustart beheben. Hier geht es um physische Prozesse, die unmittelbare Auswirkungen auf die  Hardware haben können.

Wenn industrielle Steuerungen manipuliert werden, können Maschinen physisch beschädigt werden. Noch tückischer ist es, wenn die Angreifer die Parameter der Qualitätskontrolle verändern. In einem solchen Szenario produziert die Anlage weiterhin Teile, die jedoch minimale Defekte aufweisen, die erst Wochen später beim Endkunden auffallen. Solche Szenarien werden in der Fachliteratur als besonders kritisch eingestuft, da sie neben finanziellen Schäden auch erhebliche Reputationsrisiken verursachen können. Zudem ist das Patchen von Systemen in der Fertigung ein logistischer Albtraum. In der IT ist ein wöchentlicher Patchday normal. Eine Produktionsanlage kann man jedoch nicht einfach für ein Sicherheitsupdate mitten im Schichtbetrieb herunterfahren. Diese zeitliche Starre macht die Industrie zum idealen Opfer für Ransomware Gruppen. Ein Stillstand kostet hier keine reine Arbeitszeit von Angestellten, sondern verursacht unmittelbare und massive Verluste pro Minute durch den Ausfall der gesamten Lieferfähigkeit.

OT-Security: Das Zeit-Paradoxon zwischen IT und OT

Ein wesentlicher Unterschied zwischen der klassischen IT und der OT liegt in der Priorisierung der Schutzziele. In der IT steht die Vertraulichkeit der Daten an erster Stelle. In der Produktion hingegen zählt nur eines, nämlich die Verfügbarkeit. Eine Maschine muss laufen, egal was passiert. Dieser Fokus auf die Verfügbarkeit hat dazu geführt, dass Sicherheitsmechanismen oft als hinderlich empfunden wurden. Passwörter wurden an die Terminals geklebt, um den Schichtwechsel nicht zu verzögern, oder Fernwartungszugänge wurden dauerhaft offen gelassen, damit der externe Dienstleister sofort helfen kann.

Diese Bequemlichkeit rächt sich heute bitter. Angreifer nutzen genau diese offenen Flanken. Sie dringen über einen schlecht gesicherten VPN Zugang ein und bewegen sich dann lateral durch das Netzwerk, bis sie die zentrale Steuerung der Produktion erreichen. Während die IT Abwehr vielleicht noch damit beschäftigt ist, einen verdächtigen Login am Mail Account zu untersuchen, haben die Angreifer in der Werkhalle längst die Hoheit über die speicherprogrammierbaren Steuerungen übernommen. Unternehmen stehen daher vor der Herausforderung, Angriffsmuster frühzeitig zu erkennen und geeignete Schutzmechanismen für industrielle Netzwerke zu etablieren. OT-Security muss deshalb speziell auf industrielle Protokolle, Maschinenkommunikation und Produktionsprozesse ausgerichtet sein. Ohne automatisierte Schutzmechanismen, die speziell auf industrielle Protokolle abgestimmt sind, bleibt die Verteidigung immer einen entscheidenden Schritt zurück.

Die Lieferkette als brennendes Zündholz

Ein weiterer Aspekt, den wir heute viel breiter denken müssen, ist die massive Abhängigkeit innerhalb der globalen Logistik. Ein Cyberangriff auf die Steuerung eines einzelnen, scheinbar unbedeutenden Zulieferers kann heute die Bänder bei einem großen Automobilhersteller zum Erliegen bringen. Die Angreifer wissen das sehr genau. Sie suchen sich gezielt das schwächste Glied in der Kette aus, um maximalen Druck auf das gesamte Ökosystem aufzubauen. Cybersicherheit ist deshalb keine reine Aufgabe der IT Abteilung mehr. Gerade OT-Security ist eine strategische Kernaufgabe für das Risikomanagement und die gesamte Geschäftsführung geworden.

Wer glaubt, dass seine Produktion sicher ist, nur weil die Office IT durch eine Firewall geschützt ist, übersieht die Risiken, die durch die zunehmende Vernetzung von IT- und OT-Systemen entstehen können. Die zahlreichen Schnittstellen zwischen der digitalen Welt und den physischen Produktionsanlagen erfordern einen ganzheitlichen Sicherheitsansatz. Das bedeutet in der Konsequenz auch, dass IT Experten und Ingenieure in den Werkshallen endlich eine gemeinsame Sprache finden müssen. Die gegenseitige Skepsis muss einem gemeinsamen Verständnis für die Gefahrenlage weichen. Sicherheit darf heute nicht mehr am Hallentor enden, sie muss integraler Bestandteil jedes Maschinenkaufs und jedes Prozessdesigns sein.

OT-Security als Weg zur industriellen Resilienz

Die Zeit der trügerischen Sicherheit ist endgültig vorbei. Unternehmen sollten anerkennen, dass operative Systeme heute zu den besonders schützenswerten Bestandteilen der digitalen Infrastruktur gehören. Eine belastbare Strategie erfordert daher einen radikalen Paradigmenwechsel. Wirksame OT-Security bedeutet nicht mehr nur, jeden einzelnen Angriff zu verhindern. Das ist bei der Komplexität moderner Anlagen kaum noch möglich. Vielmehr müssen Organisationen ihre Produktion so aufstellen, dass sie auch unter Beschuss handlungsfähig bleibt.

Das bedeutet konkret, dass Unternehmen eine tiefe Sichtbarkeit in die industriellen Protokolle benötigen. Es muss nachvollziehbar sein, was in den Maschinennetzwerken passiert, wer mit wem kommuniziert und welche Befehle an die Steuerungen gesendet werden. Eine strikte Segmentierung der Netzwerke ist dabei unerlässlich. Die Produktion muss in kleine, kontrollierbare Zellen unterteilt werden, damit sich ein lokaler Vorfall nicht lawinenartig auf das gesamte Werk ausbreiten kann. Zudem brauchen Unternehmen Notfallpläne, die speziell auf die Besonderheiten der Maschinenwelt zugeschnitten sind. Dazu gehört beispielsweise die Beantwortung der Frage, was bei einem Ausfall von Steuerungen zu tun ist und ob aktuelle Konfigurationsstände offline verfügbar sind.

Fazit: Die neue Definition der Souveränität

Nur wer seine OT-Security konsequent weiterentwickelt und die operative Technologie als den wertvollsten Teil seiner digitalen Identität begreift, wird den kommenden Bedrohungen standhalten können. Die digitale Souveränität eines Unternehmens entscheidet sich heute nicht mehr nur an der Leistungsfähigkeit der Server oder der Qualität der Datenanalyse. Sie entscheidet sich direkt am Fließband und an der Werkzeugmaschine.

Cybersicherheit sollte deshalb nicht als reiner Kostenfaktor betrachtet werden. Sie ist die Versicherungspolice für die Lieferfähigkeit und die Reputation eines Unternehmens. In einer Welt, in der Maschinen zunehmend autonom entscheiden und kommunizieren, ist Sicherheit die Grundvoraussetzung für jedes industrielle Handeln. Wer hier spart oder wegsieht, setzt nicht nur seine Maschinen aufs Spiel, sondern die gesamte Zukunft seines Unternehmens. Es ist an der Zeit, die Verteidigungslinien dorthin zu verlegen, wo die reale Wertschöpfung stattfindet, nämlich mitten in die Produktion.

Der Autor

Thomas Kress ist einer der profiliertesten IT-Sicherheitsexperten im deutschsprachigen Raum und Geschäftsführer der Deutschen CyberKom. Nach über 25 Jahren in leitenden Rollen bei internationalen IT-Projekten gründete er sein eigenes Unternehmen, das heute unter dem Dach der Deutschen CyberKom IT-Security und Telekommunikation strategisch vereint.