In OT-Umgebungen (Operational Technology) löst der Begriff „Penetrationstest“ bei vielen Führungskräften dieselbe spontane Frage aus: „Bringt das die Produktion zum Stillstand?“ Ohne sorgfältige Planung ist das tatsächlich ein Risiko. Mit der richtigen Methodik ist es jedoch genau umgekehrt: Der Test deckt reale Angriffspfade auf, die die Produktion zum Stillstand bringen könnten kontrolliert auf und reduziert das kostspieligste Risiko des Unternehmens – ungeplante Stillstände.

OT unterscheidet sich von IT in einem wesentlichen Punkt: In der IT bedeutet eine Sicherheitslücke häufig eine „Datenverletzung“. In der OT betrifft eine Sicherheitslücke hingegen unmittelbar den physischen Prozess und die Sicherheit von Menschen . Ein falscher Befehl an eine PLC, die Manipulation einer HMI-Anzeige oder die „unbemerkte“ Änderung von Prozessparametern können die Qualität mindern, den Maschinenverschleiß erhöhen und sogar Unfälle verursachen. Deshalb besteht ein OT-Penetrationstest nicht einfach aus aggressiven Portscans und dem wahllosen Einsatz von Exploits. Die betrieblichen Gegebenheiten geben den Rahmen vor: Zugriffsgrenzen, Wartungsfenster, Produktionsschichten, Sicherheitsverriegelungen, ein Rücksetzplan (Rollback) und behutsame Tests.

Ein beunruhigendes Szenario beginnt so: Ein Techniker eines Subunternehmens vergisst nach Abschluss seiner Arbeit, das für den Fernzugriff verwendete „temporäre“ VPN-Konto zu deaktivieren. Das Passwort ist zudem leicht zu erraten, etwa „Oskon2025!“. Ein Angreifer übernimmt dieses Konto und gelangt über VPN in das OT-Netz. Auf einem Jumpserver in der DMZ läuft ein nicht aktualisierter Dienst. Von dort gelangt er durch laterale Bewegung in das Steuerungsnetz. Sein Ziel ist es nicht, „Aufsehen zu erregen“. Er will vielmehr gezielt Parameter so verändern, dass die Produktion erst Stunden später zum Stillstand kommt: Temperaturgrenzen, PID-Einstellungen, Motordrehzahlen … Auf den ersten Blick erscheint alles normal. Die Produktqualität sinkt, der Ausschuss steigt, Lager laufen heiß und die Wartungskosten explodieren. In diesem Moment spricht niemand von einem „Cyberangriff“, sondern von einer „Betriebsstörung“. Genau das ist die gefährlichste Seite von OT-Angriffen: unbemerkte Sabotage.

Ziel eines OT-Penetrationstests ist es, anhand von Nachweisen aufzuzeigen, welches Glied dieser Kette schwach ist. Ein guter Test umfasst:

  • Testumfang & Sicherheitsrahmen: Testgrenzen, die die Produktion nicht gefährden, Zeitfenster und eine Liste der „nicht anzutastenden Systeme“.

  • Analyse der Zugangswege: VPN, RDP, Remote-Engineering, Modems, Herstellerzugänge, WLAN-Brücken und Switches auf Feldebene.

  • Identitäts- & Berechtigungsprüfungen: Fehlende MFA, gemeinsam genutzte Konten, fest codierte Passwörter, Varianten von „admin/admin“ und unzureichende AD/LDAP-Integration.

  • Segmentierung & Regeln für den Datenverkehr: Flache Netzstrukturen, Firewall-Regeln, die Verbindungen „von überall nach überall“ zulassen, und OT-IT-Übergänge.

  • Protokoll- und Dienstsicherheit: Angriffsflächen wie Modbus, DNP3, S7, OPC (klassisch), RDP, SMB und VNC; kontrollierte Überprüfungen, ohne Anomalien zu verursachen.

  • Transparenz & Protokollierung: Sind Ereignisspuren vorhanden? Ist SIEM/SOC für den OT-Bereich blind? Gibt es eine Zeitsynchronisierung (NTP)?

Das Testergebnis ist nicht nur eine „Liste von Feststellungen“. Das wertvollste Ergebnis in der OT ist die Darstellung des Angriffspfads (Attack Path) : „Hier erfolgt der Einstieg, dort geht es weiter, dieses Betriebsmittel ist betroffen und das ist die Folge.“ Genau hier liegt das überzeugende Argument für die Unternehmensleitung: Das Risiko ist nicht länger „theoretisch“, sondern wird zu einem Szenario betrieblicher Verluste . Beispielsweise 2 Stunden Stillstand, X Tonnen Produktionsverlust, SLA-Vertragsstrafen, Überstunden im Schichtbetrieb und Materialverschwendung … Diese Betrachtung macht das Budget nicht zu einer „Sicherheitsausgabe“, sondern zu einer „Investition zur Vermeidung von Stillstandskosten“.

Fazit: Ein OT-Penetrationstest deckt die „blinden Flecken“ eines Unternehmens auf, wenn er mit dem richtigen Team, einer kontrollierten Methodik und einer guten Planung durchgeführt wird. Ein böswilliger Akteur geht dabei nicht planlos und auffällig vor, sondern geduldig . Sie müssen diese Schwachstellen entdecken, bevor er es tut.