Blinder Fleck in der OT-Security: Industrie unterschätzt ihre größte Schwachstelle

Während IT-Systeme seit Jahren im Zentrum der Sicherheitsstrategien stehen, bleibt die Operational Technology (OT) vieler Unternehmen ein blinder Fleck. Dabei kann OT von der IT lernen – durch die Konvergenz beider Welten. Etablierte Schutzmechanismen und Security as a Service helfen, Risiken sichtbar zu machen und Angriffe frühzeitig abzuwehren. Obrela und PLT networks zeigen mit dem OT Health Check, wo Unternehmen ansetzen können. [...]

Ransomware-Angriffe und Zero-Day-Exploits stellen in industriellen Steuerungssystemen mittlerweile eine ernsthafte Bedrohung dar. Sie führen zu weitreichenden Störungen wie dem Stillstand von Fertigungsstraßen sowie daraus resultierenden Unterbrechungen in der Lieferkette. Laut dem IBM X-Force Threat Intelligence Index 2025 ist die Fertigungsindustrie der am häufigsten angegriffene Sektor. Besonders kritisch ist der direkte Zugriff über öffentlich erreichbare Anwendungen. In 29 Prozent der Fälle nutzen Angreifer diesen Weg als primären Einstiegspunkt.

Für OT-Umgebungen ist das kritisch: Über Webportale, VPN/Remote-Zugänge, Plattformen zum Datenaustausch oder Cloud-Schnittstellen gelangen Angreifer von der IT in die Produktion und können so direkt auf Steuerungssysteme zugreifen. Das Problem: Viele Unternehmen betrachten IT- und OT-Sicherheit isoliert voneinander und konzentrieren sich oft nur auf die klassische IT-Sicherheit.

Typische Hürden bei der Integration von IT und OT

Die gute Nachricht zuerst: Eine engere Verzahnung von IT- und OT-Security schafft Transparenz und ermöglicht schnellere Reaktionen auf Angriffe. Gleichzeitig zeigt die Praxis: Wer seine IT-Sicherheitsstrategie auf OT-Systeme überträgt, trifft auf typische Hürden – technisch, organisatorisch, kulturell und regulatorisch.

• Technik: In vielen OT-Anlagen treffen jahrzehntealte Maschinen und System ohne aktuelle Sicherheitsstandards auf moderne Schnittstellen, digitale Transformation und das IIoT. Diese Kombination aus veralteten Steuerungen und neuen Plattformen – etwa für präventive Überwachung, Datenanalyse oder Cloud – macht einheitliche Sicherheitskonzepte schwierig. Schon ein einziges falsch gesetztes Update oder eine unbedachte Regel kann zu erheblichen Betriebsstörungen führen.

• Organisation: IT und OT arbeiten traditionell in getrennten Strukturen. Im Ernstfall ist oft unklar, wer die Verantwortung trägt – der CISO oder der Produktionsleiter. In der Praxis bedeutet das: Während die IT sofort Systeme isolieren will, besteht die OT auf der Aufrechterhaltung der Produktion. Häufig fehlen zudem etablierte Prozesse und spezifisches Knowhow, um beide Ziele miteinander zu verbinden und im Ernstfall schnell Entscheidungen zu treffen.

• Mindset: In der IT gilt Anpassung als Stärke – Updates, neue Tools, schnelle Zyklen. In der OT dagegen zählt Stabilität. Ein Beispiel: Viele Steuerungen laufen seit über 20 Jahren zuverlässig, können aber keine Sicherheits-Patches mehr aufnehmen. Sie erfüllen in vielen Fällen keinerlei heutige Sicherheitsstandards und lassen sich auch nicht entsprechend nachrüsten.

• Regulierung: Vorschriften wie NIS2 oder die KRITIS-Verordnung adressieren die speziellen OT-Herausforderungen, verschärfen jedoch zugleich den Handlungsdruck. Für OT-Spezialisten bedeutet das, neue Dokumentationspflichten zu erfüllen und Audits zu bestehen – oft parallel zum laufenden 24/7-Betrieb der Anlagen.

OT-Sicherheit ohne klare Verantwortung

Im Alleingang lassen sich solche Hürden für viele Unternehmen nur schwer überwinden. Denn während die IT häufig über eigene Führungskräfte wie einen CIO verfügt, bleibt die OT häufig ohne dedizierte Verantwortung: „Während in der IT klare Rollen und Verantwortlichkeiten etabliert sind, fehlt in der OT häufig eine vergleichbare Struktur. Besonders im Mittelstand, aber auch in großen Unternehmen, gibt es selten spezialisierte Teams, die Sicherheit systematisch angehen. Es fehlt an Ressourcen, Fachwissen und praktischer Erfahrung. Das führt dann dazu, dass bekannte Risiken oft unadressiert bleiben. Unbekannte Risiken wiederum werden mangels strukturierten Risikomanagement gar nicht erst erkannt“, erklärt Peter Thiel, Team Leader IT/OT-Security bei PLT networks.

PLT networks ist Spezialist für IT/OT, Systeminstallationen und Engineering. In Sachen Sicherheit setzt das Unternehmen auf die Partnerschaft mit Obrela. Der Cybersecurity-Anbieter unterstützt Organisationen beim Echtzeit-Cyber-Risikomanagement und kombiniert Threat Detection and Response (MDR) mit Managed Risk and Controls (MRC). Zum gemeinsamen Leistungsportfolio gehören unter anderem Vulnerability Scanning, Incident-Response-Playbooks, MDR für OT und maßgeschneiderte OT-Sicherheitslösungen. Gemeinsam sorgen Obrela und PLT dafür, dass OT-Praxiswissen und IT-Security-Expertise nahtlos ineinandergreifen.

OT Health Check Service: Schwachstellen systematisch erkennen

Eine konkrete Handlungsempfehlung zu Beginn ist die Inventarisierung aller OT/IT-Assets. Obrela und PLT haben dafür einen OT Health Check Service entwickelt. Damit gewinnen Unternehmen eine umfassende Einschätzung ihrer OT-Sicherheitslage, die die größten Schwachstellen aufdeckt und Gegenmaßnahmen priorisiert. Der Service basiert auf den Best Practices von Obrela und PLT und orientiert sich am SANS-Framework „Five Critical Controls for ICS“. Der tiefe Einblick in die eigene Sicherheitsarchitektur hilft Unternehmen, ihre Security-Roadmap anzupassen und ihre Cyberresilienz gezielt zu erhöhen.

Der OT Health Check folgt einem strukturierten 4-Stufen-Modell:

1. Ist-Zustand erfassen: Zu Beginn steht die systematische Aufnahme aller bestehenden Prozesse, Technologien und Verantwortlichkeiten. Dazu gehören Workshops mit OT-, Engineering- und Security-Teams sowie eine erste Schwachstellenanalyse der wichtigsten OT-Assets. Ziel ist ein realistisches Bild der aktuellen Sicherheitslage, ohne den laufenden Betrieb zu stören.

2. Zielbild definieren: Auf Basis dieser Bestandsaufnahme wird gemeinsam ein Soll-Zustand für die OT-Sicherheit entwickelt. Dabei geht es um klare Zielvorstellungen für Incident Response, sichere Architektur, Netzwerk-Monitoring, Remote Access und Schwachstellenmanagement. Das Ergebnis ist ein abgestimmtes Zielbild, das sich an den Geschäftsanforderungen und Risiken des Unternehmens orientiert.

3. Gap-Analyse: Anschließend werden Ist- und Soll-Zustand gegenübergestellt und mit einem Reifegradmodell bewertet. Dieses Modell macht sichtbar, wo die größten Lücken bestehen und in welchen Bereichen Handlungsbedarf besonders dringend ist. Ein Dashboard zeigt die Ergebnisse auf einen Blick und erleichtert die Priorisierung.

4. Maßnahmenplan entwickeln: Zum Abschluss wird ein strategischer Handlungsplan erarbeitet, der alle Ergebnisse des OT Health Check zusammenführt. Er zeigt priorisierte Quick Wins ebenso wie mittel- und langfristige Maßnahmen, die direkt an den größten Lücken ansetzen. Das Strategiedokument enthält eine Executive Summary, den Maturity Score, die Gap-Analyse sowie klare Handlungsempfehlungen für die nächsten 12 bis 24 Monate.

„Unternehmen setzen häufig auf einzelne Sicherheitslösungen wie Patch-Management, Multi-Faktor-Authentifizierung oder die Segmentierung von Remote-Zugängen. Das ist wichtig, reicht aber nicht aus. Entscheidend ist die Transparenz: Nur wer seine IT- und OT-Umgebungen ganzheitlich betrachtet, versteht, wo die größten Risiken liegen“, sagt Stefan Bange, Managing Director Germany bei Obrela. „Genau hier setzt unser OT Health Check an. Er funktioniert wie ein Sicherheitsröntgen und zeigt klar, wo es weh tut. Daraus entsteht ein praxisnaher Fahrplan, den wir gemeinsam mit den Unternehmen umsetzen können.“

Der Security-as-a-Service-Ansatz ist entscheidend für die Praxistauglichkeit von OT- und IT-Sicherheit. Häufig fehlt es in Unternehmen an Ressourcen für ein eigenes Security Operations Center (SOC) im 24/7-Betrieb. Ein hybrider Ansatz, der internes Fachwissen für Prozesse und Abläufe mit externer Expertise für Monitoring, Forensik und Compliance kombiniert, stellt hier Reaktionsfähigkeit sicher und erfüllt regulatorische Vorgaben.