Sicherheit muss sich an der technischen Realität orientieren: OT-Security braucht einen Blick auf die Schichten
Die größte Schwäche industrieller Sicherheitsstrategien ist oft struktureller Natur: Verantwortung wird an einzelnen Objekten festgemacht – an einer Maschine, einem Förderband oder einer Produktionslinie. Doch eine moderne Produktionsumgebung besteht aus mehreren technisch klar voneinander unterscheidbaren Schichten. Jede dieser Ebenen bringt eigene Technologien, Risiken und Verantwortlichkeiten mit sich.
Eine Produktionsumgebung ist deshalb kein lineares System, sondern ein Zusammenspiel verschiedener Ebenen. Sie reicht von der elektrotechnischen Feldebene über speicherprogrammierbare Steuerungen (SPS) und Leitsysteme bis hin zu Servern, Netzwerken und übergeordneten IT-Systemen für Visualisierung, Planung und Reporting.
Auf den oberen Ebenen, etwa bei Servern, Managementsoftware und Netzwerken, greifen viele klassische IT-Security-Maßnahmen. Patch-Management, Authentifizierung, zentrale Protokollierung und Überwachung lassen sich hier vergleichsweise gut etablieren.
Auf der Steuerungs- und Feldebene gelten dagegen andere Voraussetzungen. Hier geht es um Echtzeitverarbeitung, Feldbuskommunikation, proprietäre Systeme und spezialisierte Steuerungen. Manche Komponenten verfügen über kein klassisches Betriebssystem, andere basieren auf Plattformen, die seit Jahrzehnten im Einsatz sind. Ein Austausch oder ein Update ist deshalb nicht einfach mit einem herkömmlichen IT-Patch vergleichbar und kann im laufenden Produktionsbetrieb erhebliche Auswirkungen haben.
Genau hier stoßen klassische IT-Security-Ansätze an ihre Grenzen. Nicht jede Sicherheitsmaßnahme lässt sich auf jede Ebene übertragen. Gleichzeitig fehlt häufig eine klare Zuordnung, wer für die Absicherung der jeweiligen Systeme verantwortlich ist.
Während IT-Abteilungen beispielsweise Server, Netzwerke und Anwendungen verantworten, kümmern sich OT-Teams um Steuerungen, Aktoren und die physikalischen Prozesse. Beide Bereiche verfügen über unterschiedliches Fachwissen und benötigen dieses Wissen auch, um Risiken richtig bewerten zu können.
Die entscheidende Frage lautet deshalb nicht nur: Welche Maschine müssen wir absichern? Sondern: Welche technische Ebene betrachten wir und wer trägt dort die Verantwortung für Sicherheit?
