Industrielle Cybersicherheit
OT Security Best Practices: 10 Maßnahmen nach Priorität
Was sind die wichtigsten OT Security Best Practices?
Die wirksamsten Maßnahmen in dieser Reihenfolge: Anlagen inventarisieren, direkte Internet-Erreichbarkeit beenden, IT und OT segmentieren, Fernwartung zentralisieren, Konten bereinigen, Wechseldatenträger kontrollieren, Übergänge überwachen, Backups testen, Schwachstellen risikobasiert behandeln und Lieferanten vertraglich verpflichten.
Fachlicher Stand:
10 OT-Security-Maßnahmen nach Priorität
Inventar erstellen
Steuerungen, HMIs, Engineering-Stationen, Netzkomponenten, Firmwarestände und Kommunikationsbeziehungen erfassen. Ohne Inventar keine Risikobewertung.
Fachbeitrag lesenExterne Erreichbarkeit beenden
Keine Steuerung und kein HMI direkt aus dem Internet erreichbar. Mobilfunk-Router und Herstellerboxen einbeziehen.
Fachbeitrag lesenIT und OT segmentieren
Zonen und kontrollierte Übergänge (Conduits) nach IEC 62443-3-2, mindestens eine DMZ zwischen Unternehmensnetz und Produktion.
Fernwartung zentralisieren
Ein Zugangsweg, Sitzungsfreigabe durch den Betreiber, MFA, personalisierte Konten, Protokollierung.
Fachbeitrag lesenZugriffe und Konten bereinigen
Standard- und Gruppenpasswörter ersetzen, Berechtigungen nach Rolle, regelmäßige Überprüfung.
Wechseldatenträger kontrollieren
Datenaustausch über geprüfte Schleusen statt USB-Sticks direkt an Engineering-Stationen.
Übergänge überwachen
Netzwerkverkehr an Zonenübergängen protokollieren und auswerten; passive OT-Anomalieerkennung, wo sinnvoll.
Backups und Wiederanlauf sichern
Projektdateien, Konfigurationen und Images offline sichern, Wiederherstellung testen.
Schwachstellen risikobasiert behandeln
Herstellerhinweise auswerten, Updates im Wartungsfenster oder kompensierende Maßnahmen festlegen.
Lieferanten verpflichten
Sicherheitsanforderungen (z. B. nach IEC 62443-2-4/4-2) in Lastenheft, Abnahme und Wartungsvertrag aufnehmen.
Häufige Fragen zu OT Security Best Practices
Womit sollte man bei OT Security anfangen?
Mit einem Inventar der Anlagen und Kommunikationsbeziehungen und der Prüfung, welche Systeme von außen erreichbar sind. Danach folgen Segmentierung und Fernwartung, weil sie die Angriffsfläche am stärksten reduzieren.
Was bedeutet Defense in Depth in der OT?
Mehrere voneinander unabhängige Schutzschichten – Netzsegmentierung, Zugriffskontrolle, Härtung, Überwachung und organisatorische Regeln –, damit das Versagen einer Maßnahme nicht sofort zum Ausfall der Anlage führt.
Was ist das Zonen- und Conduit-Modell?
Ein Konzept aus IEC 62443: Systeme mit ähnlichem Schutzbedarf werden zu Zonen zusammengefasst, Kommunikation zwischen Zonen läuft ausschließlich über definierte, kontrollierte Verbindungen (Conduits).
Kann man Zero Trust in der OT umsetzen?
Teilweise. Prinzipien wie minimale Berechtigungen, starke Authentisierung für Fernzugriffe und Kontrolle jeder Verbindung sind gut übertragbar. Viele Steuerungen unterstützen jedoch keine Authentisierung; dort wird über Segmentierung und Übergänge geschützt.