Asset-Inventur
Alle OT-Geräte erfassen: SPS, HMI, RTU, IPCs, Sensoren, Switches. Passive Network-Scanner statt aktives Scannen auf OT-Systemen. Output: vollständige OT-Asset-Liste mit Kommunikations-Matrix.
IT made easy!
OT-Security & Produktionssicherheit - IEC 62443 in der Industrie-Praxis
Klassische IT-Security schützt Deine Büro-PCs - Deine Steuerungen, SPS und SCADA-Systeme brauchen andere Schutzmaßnahmen. Wir sichern Deine OT-Infrastruktur nach IEC 62443 ab, ohne Deine Anlagen zu bremsen.
Maschinenbau · Automotive · Produktion · ohne Stillstand
+49 221 292 763 30 · info@seraph-it.de
BAFA-gelisteter Berater seit 2018BAFA-gelisteter Berater< 2 h SLAUmsetzung ohne ProduktionsstillstandIEC 62443 + NIS2 + KRITISKöln & Regensburg
Unternehmen, die auf Seraph IT vertrauen
Leistungsumfang
OT-Security-Umsetzung in 6 Schritten
Zonen-/Conduit-Konzept
Welche Bereiche müssen getrennt werden? DMZ zwischen IT und OT, Mikrosegmentierung innerhalb der OT-Zone. Schriftliches Zonen-Modell als IEC-62443-Dokumentation.
Patch- & Backup-Management
Hersteller-koordinierte Patches - wir stimmen den Zeitpunkt mit dem Maschinen-Hersteller ab. Konfigurations-Backups für SPS und RTU, Wiederherstellungstest im Testfenster.
Zugangsschutz + 2FA für Fernwartung
Privileged Access Management für alle Wartungs-Zugänge. VPN-Härtung + Jump-Server. Zeitfenster-basierte Freigaben mit Audit-Log statt permanentem Fernzugang.
Anomalie-Erkennung
Passives OT-Netz-Monitoring - kein In-Line-Eingriff, kein Echtzeit-Risiko. Whitelist-Ansatz für bekannte OT-Kommunikation, Alarmierung bei Abweichungen.
Incident-Response für OT
OT-spezifische Runbooks: Was darf bei einem Vorfall abgeschaltet werden ohne Prozess-Schaden? Wer entscheidet? Übungen mit Werkleiter, Sicherheit und IT-Security.
So arbeiten wir
So läuft die OT-Absicherung
01
Asset-Inventur & Assessment
Passive Erfassung aller OT-Geräte und Kommunikationswege - vollständige OT-Asset-Liste als Grundlage für alles Weitere.
02
Zonen-Konzept & Roadmap
Zonen-/Conduit-Modell nach IEC 62443-3-2, DMZ zwischen IT und OT, Mikrosegmentierung - dokumentiert und priorisiert.
03
Umsetzung ohne Stillstand
Patch- & Backup-Management, Fernwartungs-Härtung mit 2FA und passives Monitoring - in Wartungsfenstern, ohne Produktionsstopp.
04
Betrieb & Incident-Response
Anomalie-Erkennung im laufenden Betrieb, OT-spezifische Runbooks und Übungen mit Werk- und IT-Leitung.
Klassische IT-Tools sind in OT-Umgebungen oft ungeeignet: Sie belasten Echtzeitsteuerungen, stören die Protokoll-Kommunikation oder werden nicht unterstützt. Wir gehen OT-spezifisch vor, ohne Produktionsstillstand.
Was ist OT-Security - und warum reicht klassische IT-Security nicht?
OT (Operational Technology) schützt Produktionsanlagen, Steuerungen und Prozesse - mit völlig anderen Prioritäten als Büro-IT.
| Aspekt | IT (Büro) | OT (Produktion) |
|---|---|---|
| Schutzziel | Vertraulichkeit > Integrität > Verfügbarkeit | Verfügbarkeit > Integrität > Vertraulichkeit |
| Patch-Zyklus | Tage bis Wochen | Monate bis Jahre (Anlagenstillstand teuer!) |
| Lebensdauer | 3-5 Jahre | 15-30 Jahre (alte SPS-Systeme!) |
| Protokolle | TCP/IP, HTTPS, REST | Modbus, OPC UA, Profinet, S7, DNP3 |
| Update-Verträglichkeit | Hoch | Niedrig (Anlage muss neu zertifiziert werden) |
| Risikofolgen | Datenverlust, Ausfallzeit | Personen-Sicherheit, Umwelt, Produktionsstopp |
Klassische IT-Tools - Antivirus, EDR, herkömmliche Firewalls - sind in OT-Umgebungen oft kontraproduktiv: Sie erzeugen CPU-Last auf Echtzeitsteuerungen, brechen Protokoll-Kommunikation auf, oder werden durch proprietäre Betriebssysteme schlicht nicht unterstützt. OT-Security braucht spezialisiertes Vorgehen.
Die Bedrohungslage in der Produktion
Über 70 % der Industrieunternehmen verzeichneten in den letzten zwei Jahren OT-Security-Vorfälle (Quelle: einschlägige Branchen-Studien). Die Angriffsvektoren sind bekannt - und vermeidbar.
Ransomware-Übersprung: Angreifer kompromittieren Office-IT über Phishing, bewegen sich lateral ins OT-Netz und verschlüsseln Steuerungssysteme. Produktionsstillstand 3-6 Wochen - kein Sonderfall, sondern typisches Muster aus dem Maschinenbau-Mittelstand.
Wartungs-Laptop als Eintrittstor: Der Techniker vom Maschinen-Hersteller bringt seinen Laptop mit - mit ungepatchtem Windows und alten Remote-Tools. Direkter Netz-Zugang zur SPS, kein Audit-Log. Häufigster Eintrittsvektor in Produktions-Netzwerke.
USB-Stick im Engineering: Auf der Messe mitgenommen, am Maschinensteuerrechner eingesteckt. Stuxnet hat diesen Angriffspfad berühmt gemacht - er ist heute noch genauso real.
Cyber-physische Sabotage: Wasser-/Abwasseranlagen in Florida (2021), Energie-Infrastruktur in der Ukraine - Angreifer manipulieren Prozessparameter direkt. Das ist nicht nur KRITIS-Problem, sondern trifft jeden Anlagenbetreiber.
{#produktionssicherheit} Produktionssicherheit - was der deutsche Markt sucht
„Produktionssicherheit” meint in der deutschen Industrie-Praxis das Gleiche wie OT-Security - nur in der deutschen Fachsprache.
Produktionssicherheit ist die Absicherung industrieller Fertigungsanlagen vor Cyberangriffen, Sabotage und Ausfällen - mit klarer Abgrenzung zur Arbeitssicherheit (die schützt Personen, Produktionssicherheit schützt Anlagen und Prozesse).
Die Sprache-Übersetzungstabelle:
- Produktionssicherheit ≈ Industrial Cybersecurity ≈ OT-Security (deutsche Sicht)
- OT-Sicherheit = OT-Security (1:1)
- Anlagencybersicherheit = ICS Security / SCADA Security
Was Produktionssicherheit konkret umfasst:
- Schutz Steuerungstechnik: SPS, RTU, HMI, IPCs
- Netzsegmentierung zwischen Werk und Office (DMZ)
- Absicherung Wartungs-Zugänge (häufigste Schwachstelle)
- Notfall-Konzepte für Anlagenausfälle ohne Datenverlust
- Lieferketten-Sicherheit für OT-Komponenten und Hersteller-Zugänge
IEC 62443 - der Standard für OT-Security
IEC 62443 ist die weltweit anerkannte Normenreihe für industrielle Cybersicherheit - und der Maßstab, nach dem wir arbeiten und bei Dir umsetzen.
Die Normen-Struktur im Überblick:
| Norm | Inhalt | Für wen |
|---|---|---|
| IEC 62443-1-1 | Grundlagen, Terminologie, Konzepte | Alle |
| IEC 62443-2-1 | ISMS für Anlagenbetreiber | Betreiber |
| IEC 62443-2-4 | Anforderungen an Dienstleister (das sind wir!) | MSP/Integratoren |
| IEC 62443-3-2 | Risikobewertung, Zonen/Conduit-Modell | Betreiber + Integratoren |
| IEC 62443-3-3 | System-Security-Requirements, SL-Level 1-4 | Systemintegratoren |
| IEC 62443-4-1 | Secure Development Lifecycle | Hersteller |
| IEC 62443-4-2 | Komponenten-Anforderungen | Hersteller |
Das Zonen-/Conduit-Modell: Deine Anlage wird in Sicherheitszonen aufgeteilt (z. B. Office-Zone, DMZ, Produktions-Zone, Sicherheits-Zone). Verbindungen zwischen Zonen laufen nur über kontrollierte Conduits mit definiertem Sicherheitsniveau. Ransomware, die in der Office-Zone startet, kommt nicht in die Produktions-Zone.
Security Levels (SL) 1-4:
- SL1: Schutz vor gelegentlichen Fehlanwendungen
- SL2: Schutz vor gezielten Angriffen mit einfachen Mitteln (Minimum für Maschinenbau-Mittelstand)
- SL3: Schutz vor fortgeschrittenen Angriffen mit Ressourcen
- SL4: Staatlich unterstützte Angreifer (nur für KRITIS-Kritischste)
Wir arbeiten nach IEC 62443 und setzen die relevanten Levels bei Dir um - kein Zertifizierungs-Claim, aber vollständige, audit-fähige Dokumentation.
OT-Security trifft NIS2 + KRITIS
Wer produziert und NIS2-pflichtig ist, muss OT-Security gesetzlich umsetzen. Wer KRITIS-Betreiber ist, zahlt doppelt - BSI + BBK.
| Pflicht | NIS2 | KRITIS-Dachgesetz | IEC 62443 |
|---|---|---|---|
| Risikoanalyse | ✓ Pflicht | ✓ Pflicht | ✓ empfohlen |
| Vorfallmeldung | innerhalb 24 h (BSI) | innerhalb 24 h (BBK) | - |
| Sicherheitsbeauftragter | Ja | Ja | empfohlen |
| Audit-Pflicht | Ja, nach Größe | Ja, alle 2 Jahre | freiwillig |
| Produktions-Scope | ✓ | ✓ | ✓ |
→ NIS2-Pflichten im Detail · KRITIS-Dachgesetz
OT-Security nach Branchen
Maschinenbau & Industrie
Schutz von Konstruktions-/PDM-Daten + Produktionslinien. Windows-7/XP-Steuerungs-PCs sicher weiterbetreiben via IEC-62443-Isolation. TISAX + IEC 62443 als Kombi für OEM-Auftraggeber. → Maschinenbau-Branchenpage
Automotive-Zulieferer
TISAX AL3 verlangt OT-Security für Prototypen-Schutz und Produktionsanlagen. Wir setzen TISAX und IEC 62443 parallel um - ~50 % Überschneidung. → TISAX-Beratung
Energieversorger & KRITIS
KRITIS-Dachgesetz + NIS2 + IEC 62443 + Smart-Grid-Sicherheit. Wer Strom erzeugt oder transportiert, braucht alle drei. → KRITIS-Dachgesetz
Häufige Stolperfallen
„Einfach eine Firewall reinstellen” - bricht Anlagenkommunikation, wenn sie OT-Protokolle nicht versteht. OT-Firewalls müssen Modbus, OPC UA und S7 verstehen.
„Antivirus auf dem SPS-Server installieren” - CPU-Last killt Echtzeit-Verhalten, Produktionsstopp droht. In OT gibt es kein normales AV.
„Wartungs-Zugang über Public-IP” - häufigster ausgenutzter Angriffsvektor. Kein permanenter Fernzugang, immer zeitfenster-basiert mit Audit-Log.
„Veraltete SPS einfach updaten” - Anlagen-Zertifizierung des Herstellers erlischt. Lösung: Isolation statt Update.
„USB-Sticks fürs Engineering” - häufigster Eintrittsvektor nach Fernwartungs-Missbrauch. Strikte USB-Kontrolle und sichere Transfer-Stations.
Referenzen
FAQ
Häufige Fragen zu OT-Security
Was ist der Unterschied zwischen IT- und OT-Security?
IT schützt Daten und Büro-Systeme (Priorität: Vertraulichkeit). OT schützt Produktionsanlagen und Steuerungen (Priorität: Verfügbarkeit). Die Schutzmaßnahmen sind grundlegend verschieden - OT-Patches z. B. müssen mit dem Maschinen-Hersteller koordiniert werden.
Brauche ich IEC 62443, wenn ich kein KRITIS-Betreiber bin?
IEC 62443 ist für jeden Produktionsbetrieb sinnvoll, der OT-Netze betreibt. Für NIS2-pflichtige Unternehmen im verarbeitenden Gewerbe ist es de facto Pflicht-Standard.
Was kostet ein OT-Security-Projekt?
KMU 50-150 MA Mittelstand: Erstaufwand 30-80 k€ je nach Anlage und Reifegrad-Start. Wir liefern nach kostenfreier Assessment-Stunde eine Festpreis-Schätzung.
Wie verhindere ich Produktionsausfälle durch Security-Maßnahmen?
Alle Maßnahmen werden in Wartungsfenstern oder auf Schattensystemen getestet. Passives Monitoring hat null Einfluss auf die Anlage. Segmentierungsarbeiten werden im Stillstand-Fenster eingespielt.
Können wir ältere SPS (S7-300/S5/etc.) absichern?
Ja - durch Isolation in dedizierte Sicherheitszonen, nicht durch direktes Patching. Die Anlage bleibt unverändert, ihr Netz-Kontext wird kontrolliert.
Welche Tools eignen sich für passives OT-Monitoring?
Tenable.ot, Claroty, Nozomi Networks - oder Open-Source-Alternativen. Wir empfehlen nach Assessment, was zu Deiner Anlage und Deinem Budget passt.
Wer ist verantwortlich - IT-Leitung oder Werkleitung?
Beide. OT-Security braucht einen Brücken-Verantwortlichen, der beide Welten versteht. Wir helfen dabei, die Rollen zu definieren und abzustimmen.
Wie bekommen wir ein vollständiges OT-Asset-Inventar, wenn niemand mehr weiß, was in den Schaltschränken steckt?
Über eine Kombination aus passivem Netz-Mitschnitt, Auswertung vorhandener Engineering-Projekte und einer Begehung mit den Instandhaltern. Aktives Scannen scheidet aus, weil ältere Steuerungen darauf mit Störungen reagieren können. Ergebnis ist eine Geräteliste inklusive Firmware-Ständen plus eine Kommunikations-Matrix, wer eigentlich mit wem spricht - erfahrungsgemäß der Moment, in dem die ersten unbekannten Verbindungen auffallen.
Ist passives Monitoring wirklich rückwirkungsfrei - was braucht Ihr dafür im Netz?
Ja, der Sensor hört nur mit und sendet nichts in die Anlagen-Kommunikation. Technisch brauchen wir einen Mirror-Port am zentralen Switch oder einen Netzwerk-TAP an den relevanten Übergängen. Stehen im Werk nur unmanaged Switches, ist deren Austausch der erste Schritt - eine geplante Aufgabe fürs Wartungsfenster, kein Eingriff im laufenden Betrieb.
Verlieren wir Herstellerfreigabe oder Gewährleistung, wenn wir sicherheitstechnisch eingreifen?
Deshalb ändern wir an der Anlage selbst so wenig wie möglich. Der Schutz entsteht überwiegend im Umfeld - Segmentierung, kontrollierte Übergänge, geregelte Fernwartungs- und Zugriffswege - und das berührt Freigaben in aller Regel nicht. Alles, was die Steuerung direkt betrifft, stimmen wir vorher mit dem Maschinenhersteller ab und lassen die Freigabe schriftlich bestätigen.
Wie sichern wir Konfigurationen von SPS und Steuerungen - unsere IT-Backups erfassen die nicht.
Richtig, klassische Server-Backups sehen die Steuerungsebene nicht. Wir richten getrennte Konfigurations-Backups für SPS, HMI und Engineering-Stationen ein, versioniert und offline abgelegt, damit ein Verschlüsselungsvorfall sie nicht mit erwischt. Entscheidend ist der Rückspiel-Test im Wartungsfenster: Ein Backup, das nie zurückgespielt wurde, ist eine Annahme und kein Notfallplan.
Was machen wir mit USB-Sticks und Wartungs-Laptops im Werk?
Das sind die häufigsten Eintrittswege in Produktionsnetze. Praktikabel ist eine Transfer-Station, an der Datenträger geprüft und Dateien sauber weitergereicht werden, ergänzt um Geräteregeln auf den Engineering-Rechnern. Für externe Techniker gilt: entweder ein bereitgestelltes Werksgerät oder ein definierter, protokollierter Zugang - der eigene Laptop hängt nicht ungeprüft am Anlagennetz.
Wie lange dauert ein OT-Security-Projekt?
Asset-Inventur und Assessment sind meist in wenigen Wochen erledigt, das Zonen-Konzept folgt kurz darauf. Der Umsetzungsteil richtet sich nach Deinen Wartungsfenstern, nicht nach unserer Kapazität: Wer nur zwei Stillstands-Termine im Jahr hat, verteilt die Segmentierungsarbeiten entsprechend. Realistisch ist ein gestaffeltes Programm über mehrere Monate, bei dem die wirksamsten Schritte zuerst kommen.
Brauchen wir eine Überwachung rund um die Uhr - und übernehmt Ihr die?
Sinnvoll ist sie überall dort, wo ein Produktionsstillstand richtig teuer wird, denn Angriffe passieren selten zur Bürozeit. Wir richten das OT-Monitoring ein und pflegen die Whitelist der bekannten Kommunikation; den 24/7-Betrieb eines Managed SOC decken wir über einen Partner ab. Im laufenden Betrieb erreichst Du uns mit einer Reaktionszeit unter zwei Stunden.
Müssen wir bei einem Vorfall in der Produktion sofort abschalten?
Nicht reflexhaft. In der OT kann ein unkontrolliertes Abschalten mehr Schaden anrichten als der Angriff selbst, etwa bei laufenden Chargen oder Prozessen mit Sicherheitsfunktion. Deshalb legen wir vorab je Anlage fest, was isoliert, was heruntergefahren und was weiterbetrieben wird - und vor allem, wer das entscheidet. Das gehört in ein Runbook und sollte einmal im Jahr gemeinsam mit Werkleitung und IT geübt werden.
Bereit?
Lass uns Deine IT planbar machen.
Kostenfreies Erstgespräch - ehrlich, ohne Verkaufsdruck. Wir melden uns schnellstmöglich.