Wenn es in OT-Umgebungen um die Notfallwiederherstellung (Disaster Recovery) geht, hört man häufig: „Wir erstellen Backups.“ Die eigentliche Frage bei DR lautet jedoch: Wie schnell, in welcher Reihenfolge und mit welchen Prüfungen lässt sich der Betrieb wiederherstellen? In der OT ist die Aussage „Wir haben ein Backup“ oft irreführend, denn bei der Wiederherstellung geht es nicht nur um Daten, sondern auch um den korrekten Betrieb des Prozesses.

Ein bedrohliches Szenario: Eine Ransomware breitet sich zunächst in der IT aus und dringt über die DMZ in die OT ein. Die HMIs starten nicht, die Historian-Datenbank ist gesperrt und die Projektdateien auf der Engineering-Station sind verschlüsselt. Die PLCs scheinen zu laufen, aber das Bedienpersonal kann den Prozess nicht mehr über den Bildschirm steuern. Die Produktion steht still. Das IT-Team sagt: „Wir stellen aus dem Backup wieder her.“ Doch in der OT stellen sich die entscheidenden Fragen: Welches HMI-Image? Welche Treiberversion? Welches PLC-Programm entspricht dem letzten Änderungsstand? Welche SCADA-Lizenz? Welcher IP-Adressplan? Welche Zertifikate? Sind diese Informationen nicht bekannt, dauert DR nicht Stunden, sondern Tage .

Ein OT-DR-Plan besteht aus drei Komponenten: „Datensicherung“ + „Architekturredundanz“ + „szenariobasiertes Runbook“.

1) Golden Image und Konfigurationsmanagement

  • Images der HMI/SCADA-Server, Versionsabhängigkeiten (Treiber, Runtime, Lizenz).

  • Projektdateien der Engineering-Stationen + Toolchain-Versionen.

  • Sicherungen der PLC/RTU-Programme und Änderungskontrolle (wer, wann, warum?).

2) Kritikalität und Wiederanlaufreihenfolge

In der OT wird nicht alles gleichzeitig wieder hochgefahren. Eine beispielhafte Reihenfolge:

  1. Grundlegende Netzwerkdienste (Switch-/Firewall-Konfigurationen, VLANs, Routing)

  2. Identität/Zugriff (Jump-Server, VPN, MFA, Zugriffsprotokolle)

  3. Prozesssteuerung (PLC/RTU-Grundfunktionen)

  4. Prozessvisualisierung für das Bedienpersonal (HMI)

  5. Übergeordnete Überwachung (SCADA)

  6. Historian/Berichtswesen

  7. Integrationen (MES/ERP)

3) Realistische Einschätzung von RTO/RPO

  • RTO: Wie schnell können Sie den Betrieb wiederherstellen?

  • RPO: Wie viel Datenverlust können Sie tolerieren?

    In der OT bedeutet RPO nicht nur Datenverlust, sondern auch Konfigurationsdrift . Wenn das PLC-Programm nicht mit dem tatsächlichen Zustand der Anlage übereinstimmt, kann die Anlage auch nach dem Wiederanlauf fehlerhaft arbeiten.

4) „Offline-Backup“ und Widerstandsfähigkeit gegen Angriffe

Ransomware greift auch Netzwerkfreigaben und Online-Backup-Speicher an. Für die OT:

  • Unveränderliches Backup / WORM

  • Offline-Kopie

  • Separate Identitätsdomäne / separater Zugriff

  • Regelmäßiger Wiederherstellungstest

5) Notfallübung (DR-Übung)

Ein DR-Plan, der nur auf dem Papier steht, ist nutzlos. Mindestens mehrmals im Jahr sollten Sie:

  • Einen HMI-Server aus einem Backup wiederherstellen

  • Ein PLC-Projekt wiederherstellen

  • Die Kompatibilität der SCADA-Lizenzen und -Treiber überprüfen

  • Prüfen, ob die Segmentierungsregeln nach der DR-Wiederherstellung korrekt sind

Das überzeugende Argument für OT-DR ist: Ohne DR werden Entscheidungen bei einem Angriff in Panik getroffen. Die dabei vorgenommenen „schnellen Umgehungen“ (Firewall deaktivieren, allen Administratorrechte geben, kurzfristig RDP freischalten) erleichtern Angreifern die Arbeit und führen zu einer zweiten Angriffswelle. Ein DR-Plan bedeutet nicht nur Wiederherstellung, sondern auch die Aufrechterhaltung der Sicherheit während der Wiederherstellung .

Unternehmen schieben DR häufig mit der Haltung „Darum kümmern wir uns, wenn es passiert“ auf. Doch in der OT bedeutet ein Katastrophenfall tagelange Stillstände, Qualitätseinbußen, Risiken für die Arbeitssicherheit und Reputationsverlust. DR ist keine bloße Versicherung, sondern eine ingenieurtechnische Notwendigkeit für die Kontinuität des Prozesses.