Der Shopfloor ist durch Air-Gapping geschützt? Dieser Satz gehört zu den teuersten Irrtümern der modernen Industrie. Vernetzte Maschinen, externe Wartungszugänge und unklare Verantwortlichkeiten machen Produktionsumgebungen längst zu attraktiven Zielen für Cyberangriffe. Eine wirksame OT Security schützt deshalb nicht nur Netzwerke und Systeme, sondern auch Produktionsprozesse, Qualität und Verfügbarkeit.

Produktionsnetzwerke sind heute nur selten vollständig isoliert. Maschinen kommunizieren mit übergeordneten Systemen, Wartungszugänge verbinden externe Dienstleister mit der Fertigung und Daten fließen zwischen Shopfloor, Office-IT und Cloud-Anwendungen. Selbst wenn das Produktionsnetzwerk keinen direkten Internetzugang besitzt, können Schadsoftware oder kompromittierte Zugangsdaten über Umwege in die Umgebung gelangen.

Zu den häufigsten Verbindungen und Angriffsflächen gehören:

• Fernwartungszugänge von Maschinenbauern und Serviceunternehmen
• Bastion Hosts und Jump-Server zwischen Office-IT und Produktion
• Wechselmedien wie USB-Sticks
• Service-Laptops externer Techniker
• Nicht benötigte oder ungeschützte Dienste an Maschinen

Die Anforderungen an OT Security unterscheiden sich dabei deutlich von denen klassischer IT-Sicherheit. In der Produktion stehen neben Vertraulichkeit und Integrität vor allem Verfügbarkeit und Sicherheit der physischen Prozesse im Mittelpunkt. Ein Eingriff in eine Steuerung kann nicht nur Daten gefährden, sondern auch Ausschuss, Produktionsstillstände oder Schäden an Anlagen und Werkstücken verursachen.

Wie schnell aus einer theoretischen Schwachstelle eine konkrete Bedrohung wird, zeigen zwei typische Praxisfälle.
 

Wenn das Schweißgerät die Regie übernimmt

Bei einer Routineüberprüfung fiel ein vernetztes Schweißgerät auf. Das Steuerungspanel war über eine Standard-VNC-Verbindung aus dem lokalen Netzwerk erreichbar – unverschlüsselt und ohne Authentifizierung.

Das Risiko beschränkte sich nicht auf einen möglichen Lesezugriff. Über die Oberfläche konnten die manuellen Vorwärts- und Rückwärtsbewegungen der Schweißeinheit direkt gesteuert werden. Ein Angreifer im Netzwerk hätte die Anlage manipulieren, Ausschuss produzieren oder physische Schäden an Werkstücken verursachen können.

Die anschließende Analyse zeigte zudem ein organisatorisches Problem. Die IT sah sich für die Produktionsanlage nicht verantwortlich. Die OT und die Instandhaltung gingen davon aus, dass die IT das Netzwerk absichert. Und der Maschinenbauer hatte die VNC-Schnittstelle für die Inbetriebnahme offen gelassen.

Damit entstand ein klassisches Organisationsvakuum. Die technische Schwachstelle war vorhanden, aber niemand fühlte sich eindeutig für ihre Behebung verantwortlich.

Der schlafende Trojaner auf dem Bastion Host

Ein zweiter Vorfall begann mit einem externen Service-Laptop. Ein Techniker schloss das Gerät direkt an das Shopfloor-Netzwerk an, um eine Steuerung zu warten. Das Laptop war jedoch bereits mit Schadsoftware infiziert. Der Trojaner gelangte dadurch auf OT-Systeme der Fertigung.

Zunächst blieb der Angriff unbemerkt. Das Shopfloor-Netzwerk hatte keinen Internetzugang, sodass die Schadsoftware ihre Command-and-Control-Server nicht erreichen konnte. Erst sechs Monate später gab ein Techniker an einem Shopfloor-Terminal ein Kennwort ein. Der Trojaner fing die Eingabe ab.

Das Passwort funktionierte auch auf dem Bastion Host. Dieser zentrale Jump-Server sollte eigentlich als abgesicherte Schnittstelle zwischen Office-Netz und Shopfloor dienen. Über diesen Trust-Pfad infizierte die Schadsoftware innerhalb von 24 Stunden 60 Server und 2.000 Clients.

In diesem Fall handelte es sich um einen Gaming-Trojaner. Der schädliche Payload für Ransomware und Crypto-Mining konnte durch eine belastbare Sicherheitsarchitektur blockiert werden. Dazu gehörten eine strenge DNS-Validierung, EDR- und MDR-Systeme zur Angriffserkennung und kontinuierliche Suche nach auffälligen Binärdateien im Ruhezustand und während der Übertragung.

Trotzdem dauerten Bereinigung und Wiederherstellung zwei Monate. Der Vorfall zeigt: Auch ein vermeintlich harmloser Schadcode kann erhebliche Auswirkungen haben, wenn Zugänge, Systeme und Verantwortlichkeiten nicht konsequent abgesichert sind.

Eine belastbare Sicherheitsstrategie beginnt mit Transparenz. Unternehmen müssen wissen, welche Maschinen, Steuerungen, Schnittstellen und Kommunikationswege in ihrer Produktionsumgebung vorhanden sind. Ohne vollständige Bestandsaufnahme bleiben unbekannte Systeme und unklare Verbindungen potenzielle Einfallstore.

Im nächsten Schritt sollten offene Ports, nicht benötigte Dienste und ungeschützte Schnittstellen geprüft werden. Besondere Aufmerksamkeit verdienen ältere Anlagen, bei denen Standardpasswörter, unverschlüsselte Protokolle oder veraltete Fernwartungslösungen eingesetzt werden.

Auch die Berechtigungsstruktur gehört auf den Prüfstand:

• Welche Personen und Dienstleister dürfen auf welche Systeme zugreifen?
• Welche Konten verfügen über administrative Rechte?
• Werden identische Passwörter in unterschiedlichen Sicherheitszonen verwendet?
• Sind Wartungszugänge zeitlich und technisch begrenzt?
• Werden Zugriffe protokolliert und regelmäßig überprüft?

Für die Bewertung der Produktionsumgebung sind spezialisierte OT-Penetrationstests erforderlich. Unkontrollierte Standard-Scans können empfindliche OT-Steuerungen beeinträchtigen oder im ungünstigsten Fall zum Ausfall führen. Sicherheitstests müssen deshalb auf die Besonderheiten der industriellen Steuerungs- und Automatisierungstechnik abgestimmt sein.

Regelmäßige Audits der Netzwerkarchitektur schaffen zusätzliche Sicherheit. Dabei sollte geprüft werden, ob die Segmentierung den Anforderungen der IEC 62443 entspricht. Das Purdue-Modell bietet hierfür eine wichtige Orientierung. Produktionsnetze sollten nicht flach aufgebaut sein. Bastion Hosts benötigen eigene Schutzmechanismen und dürfen keine identischen Zugangsdaten wie Endgeräte verwenden. 

Physische Trennung durch Air-Gaps existiert in der Praxis nur selten. Außerdem reicht Technik allein nicht aus, wenn Prozesse und Zuständigkeiten unklar bleiben. Ein wirksames Schutzkonzept nach IEC 62443 verbindet deshalb technische Maßnahmen mit klaren organisatorischen Vorgaben.

Konsequentes Lieferanten- und Drittanbieter-Management

Externe Techniker und Lieferanten gehören zu den häufigsten Einfallstoren in den Shopfloor. Service-Laptops dürfen nicht unkontrolliert mit dem Produktionsnetzwerk verbunden werden. Stattdessen sollten Unternehmen gehärtete, bereitgestellte Wartungsgeräte oder strikt isolierte Jump-Hosts verwenden.

Auch USB-Sticks und andere mobile Geräte müssen vor der Nutzung geprüft werden. Hardware-Scanner und spezielle Kiosk-Systeme können eine kontrollierte Schleuse am Werkstor bilden.

Von Maschinenbauern sollten Unternehmen außerdem eine Software Bill of Materials (SBOM) fordern. Sie schafft Transparenz über eingesetzte Software-Komponenten und erleichtert die Bewertung von Schwachstellen. Nicht benötigte Dienste wie unverschlüsselte VNC-Schnittstellen müssen vor der Abnahme deaktiviert werden.

OT-Penetrationstests und Loss Control Audits

Der Shopfloor verhält sich anders als eine klassische Office-IT. Sicherheitstests müssen deshalb auf Industriesteuerungen, Produktionsabläufe und die notwendige Verfügbarkeit abgestimmt sein.

Spezialisierte OT-Penetrationstests untersuchen unter anderem:

• offene Ports
• ungeschützte Schnittstellen
• schwache Authentifizierungen
• unerwartete Kommunikationswege
• unzureichend segmentierte Netze

Ergänzend prüfen Loss Control Audits die Infrastruktur und ihre Sicherheitsarchitektur. Ein Schwerpunkt liegt auf der Segmentierung nach IEC 62443 und dem Purdue-Modell. Dabei wird auch bewertet, ob Übergänge zwischen Sicherheitszonen angemessen geschützt sind.

Security Profiling im Change Management

Jede Änderung an der Produktionslandschaft kann ein neues Sicherheitsrisiko erzeugen. Wird ein Schweißgerät, ein Steuerungselement oder eine IP-Kamera integriert, muss vorab geklärt werden:

• Wer darf auf das System zugreifen?
• Welche Verbindungen sind erforderlich?
• Welche Ports müssen geöffnet werden?
• Welche Dienste sind überflüssig?
• Wie wird das System überwacht und aktualisiert?

Ein solches Security Profiling sollte fester Bestandteil des Change Managements sein. Ebenso wichtig ist die konsequente Trennung von Administrations- und normalen Nutzerkonten. Ein Passwort aus dem Shopfloor darf niemals automatisch Zugriff auf administrative Jump-Server oder das Office-Netz ermöglichen. Das Separate-or-Control-Prinzip gilt auch an der Werkbank.

Klares Schnittstellenmanagement zwischen IT und OT

Sicherheit scheitert häufig an der Frage: „Wer ist zuständig?“ Die IT sollte Sicherheitsstandards, Monitoring-Werkzeuge und Architekturvorgaben bereitstellen. Die OT verantwortet die prozesskonforme Umsetzung an den Maschinen. Instandhaltung, Maschinenbauer und externe Dienstleister müssen ebenfalls einbezogen werden.

Entscheidend ist, dass IT und OT bereits bei neuen Projekten gemeinsam planen. Sicherheitsanforderungen dürfen nicht erst nach der Inbetriebnahme geprüft werden. Sie gehören in Ausschreibungen, Lieferantenverträge, Abnahmetests und Wartungskonzepte.

OT Security ist kein Einmalprojekt. Produktionsumgebungen verändern sich kontinuierlich: Neue Maschinen kommen hinzu, Software wird aktualisiert und externe Dienstleister benötigen zeitweise Zugriff. Deshalb müssen Sicherheitsmaßnahmen regelmäßig überprüft und weiterentwickelt werden.

Eine widerstandsfähige Sicherheitsarchitektur kombiniert:

• saubere Netzsegmentierung
• kontrollierte Wartungszugänge
• strenges Lieferantenmanagement
• rollenbasierte Berechtigungen
• kontinuierliches Monitoring
• getestete Notfall- und Wiederherstellungsprozesse

Wer sich auf unverschlüsselte Schnittstellen oder unkontrollierte Drittanbieterzugänge verlässt, riskiert monatelange Aufräumarbeiten. Eine strukturierte Umsetzung der IEC 62443, klare Prozesse und ein wachsames Monitoring schaffen dagegen die Grundlage für eine stabile und resilientere Produktion.

audius unterstützt Industrieunternehmen mit Security Checks und Penetrationstests dabei, Schwachstellen in IT- und OT-Umgebungen zu erkennen und geeignete Maßnahmen abzuleiten: Security Check und Pentest bei audius