In vielen Anlagen ist Sicherheit im OT-Bereich „unsichtbar“. Während es in der IT EDR, SIEM und SOC-Prozesse gibt, reicht es in der OT oft aus, dass das Netzwerk funktioniert. Dieser blinde Fleck bietet Angreifern ideale Bedingungen. Denn ein erheblicher Teil der OT-Angriffe verläuft unauffällig: Prozessmanipulation, unbefugter Zugriff, langsame laterale Bewegung, Anomalien.

Ein beunruhigendes Szenario: Ein Angreifer ist in das OT-Netz eingedrungen, hört aber zunächst nur mit. Er beobachtet den Datenverkehr, lernt die Kommunikation zwischen HMI und PLC kennen und entschlüsselt Befehlsmuster. Anschließend verändert er den Prozess mit Befehlen, die „normal“ erscheinen. Wenn Sie keine Protokolle führen, im Netzwerk kein NDR vorhanden ist und eine Zeitsynchronisierung fehlt, kann es Wochen dauern, bis Sie dies bemerken. Während dieser Zeit erleiden Sie Qualitätseinbußen, ohne die Ursache zu finden.

Die Überwachung in der OT erfolgt auf zwei Ebenen:

  1. Netzwerkbasierte Überwachung (NDR/IDS): Sensoren, die OT-Protokolle verstehen und Anomalien erkennen.

  2. Protokoll- & Ereigniskorrelation: Protokolle von Jumpservern, Firewalls, AD und SCADA/Historian-Systemen sowie Zugriffsaufzeichnungen.

Bereits ein grundlegendes „Vorfallmanagement“ macht in der OT einen großen Unterschied:

  • „Wer hat sich wann mit welchen Systemen verbunden?“

  • „Gibt es unerwarteten Datenverkehr zwischen den Segmenten?“

  • „Wurde ein neues Gerät hinzugefügt?“

  • „Wurde das PLC-Programm geändert?“

  • „Wurde die HMI-Konfiguration geändert?“

Ein gutes OT-Vorfallmanagement folgt bei einem Vorfall einem Runbook, statt in Panik zu verfallen:

  • Isolierung: Den betroffenen Netzbereich eingrenzen

  • Beweissicherung: Protokolle/pcap/Sitzungsaufzeichnungen

  • Wiederherstellung: Gemäß DR-Plan wiederherstellen

  • Ursachenanalyse: Eindringweg und Persistenzmechanismus

  • Prävention: Segmentierung, Zugriffskontrolle, Systemhärtung

Das entscheidende Argument: Ohne Überwachung ist Sicherheit ein „Gefühl“. Mit Überwachung können Sie messen, nachweisen und verbessern. In der OT geht es nicht um perfekte Sicherheit, sondern darum, durch frühzeitige Erkennung + kontrollierte Reaktion Stillstände zu minimieren.