OT-Security: Warum Zertifikate auch in der Produktion gebraucht werden

Produktionsanlagen sind heute so vernetzt wie die Büro-IT, doch OT-Security folgt anderen Regeln. Eine davon gewinnt an Gewicht: Jede Steuerung und jede Maschine braucht eine eindeutige, prüfbare Identität.

Wo früher abgeschottete Anlagen liefen, verbinden heute Fernwartungszugänge, Manufacturing Execution Systems und Cloud-Plattformen die Fertigung mit dem übrigen Unternehmen und mit externen Dienstleistern. Jede dieser Verbindungen ist ein möglicher Weg in die Produktion. Gleichzeitig steigen die Anforderungen von außen: Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der NIS-2-Richtlinie, und ab dem 20. Januar 2027 sieht die neue Maschinenverordnung vor, dass sicherheitsrelevante Software und Daten von Maschinen gegen Korrumpierung geschützt sind.

Wer seine Produktion absichern will, muss deshalb zwei Fragen klären. Die erste lautet, was OT-Security von der vertrauten IT-Sicherheit unterscheidet. Die zweite lautet, wie sich prüfen lässt, ob eine Maschine, eine Steuerung oder ein Leitsystem tatsächlich das ist, was es zu sein vorgibt. Die Antwort auf die zweite Frage führt zu digitalen Zertifikaten, die in der Büro-IT längst Alltag sind und nun auch in der Produktion gebraucht werden.

Was ist OT-Security?

OT-Security, auf Deutsch OT-Sicherheit, schützt die Betriebstechnik eines Unternehmens. OT steht für Operational Technology, also für Steuerungen, Leitsysteme, Sensoren und Aktoren, die physische Prozesse in Produktion, Energieversorgung oder Gebäudetechnik steuern und überwachen. OT-Security sorgt dafür, dass diese Systeme verfügbar bleiben, korrekt arbeiten und nicht manipuliert werden können.

Zur Betriebstechnik gehören zum Beispiel speicherprogrammierbare Steuerungen (SPS), die eine Fertigungslinie takten, SCADA-Systeme, mit denen ein Leitstand Pumpen und Ventile überwacht, sowie Industrieroboter, Antriebe und Messgeräte. Auch die Gebäudeleittechnik, die Klima, Zutritt und Brandschutz regelt, zählt dazu. Ein OT-Netzwerk ist das Netz, über das diese Komponenten untereinander und mit den Leitsystemen kommunizieren. Solche Netze finden sich in der Fertigung, in der Energie- und Wasserversorgung, in der Chemie- und Pharmaproduktion und in der Logistik.

Oft fällt in diesem Zusammenhang auch der Begriff IoT. Der Unterschied zwischen OT und IoT liegt im Einsatzzweck: Das Internet der Dinge umfasst vernetzte Geräte aller Art, vom Thermostat bis zum Fitness-Tracker, und ist von Anfang an auf Verbindung ausgelegt. OT bezeichnet dagegen die Technik, die industrielle Prozesse steuert, häufig über viele Jahre und mit eigenen Protokollen und Normen. Wo sich beides überschneidet, spricht man vom industriellen IoT (IIoT). Die Grundprinzipien der IoT-Sicherheit, etwa eindeutige Geräteidentitäten und verschlüsselte Kommunikation, gelten auch in der Produktion. Dort kommen jedoch Anforderungen hinzu, die es in der Büro-IT nicht gibt.

Der Unterschied zwischen IT-Security und OT-Security

Der wichtigste Unterschied zwischen IT- und OT-Security liegt in der Rangfolge der Schutzziele: In der IT steht meist die Vertraulichkeit von Daten im Vordergrund, in der OT die Verfügbarkeit und die Betriebssicherheit der Anlage. Ein Server lässt sich für ein Update am Wochenende neu starten, eine Produktionslinie im Dreischichtbetrieb nicht. Aus dieser Rangfolge ergeben sich weitere Unterschiede:

• Lebenszyklus: Büro-Hardware wird nach wenigen Jahren ersetzt. Steuerungen bleiben dagegen oft so lange in Betrieb wie die Maschine, in der sie arbeiten. Manche laufen deshalb mit Betriebssystemen, für die der Hersteller keine Updates mehr liefert.
• Patchen: Updates sind in der OT nur in geplanten Wartungsfenstern möglich und müssen häufig vorher vom Anlagenhersteller freigegeben werden.
• Echtzeit: Viele Prozesse verlangen feste Reaktionszeiten. Sicherheitssoftware, die Rechenzeit kostet, lässt sich auf Steuerungen deshalb oft nicht einsetzen.
• Protokolle: Klassische Industrieprotokolle wie Modbus wurden für abgeschottete Netze entwickelt und kennen keine Authentifizierung. Wer Zugang zum Netz hat, kann Befehle senden.
• Zuständigkeiten: Die IT verantwortet Netzwerke und Server, die Produktion verantwortet die Anlagen. OT-Security braucht beide Seiten an einem Tisch.

Wie fließend die Grenze geworden ist, zeigt die Frage, ob ein MES zur OT oder zur IT gehört. Im Purdue-Modell, einem verbreiteten Referenzmodell für Produktionsnetze, liegt das Manufacturing Execution System auf Ebene 3. Es sitzt damit zwischen der Unternehmens-IT mit ERP und E-Mail und der Steuerungsebene mit SPS und SCADA und gehört zu beiden Welten. Solche Übergänge brauchen besondere Aufmerksamkeit, weil über sie Daten und Zugriffe von einer Welt in die andere gelangen. IT- und OT-Security lassen sich deshalb nicht getrennt betrachten: Die Methoden der IT sind in der Produktion nützlich, müssen aber an deren Bedingungen angepasst werden.

Warum Vernetzung und Regulierung den Druck erhöhen

Lange galt die Trennung vom Büronetz als ausreichender Schutz für die Produktion. Diese Trennung löst sich auf: Maschinenhersteller warten Anlagen aus der Ferne, Produktionsdaten fließen in Auswertungen und Cloud-Dienste, und neue Maschinen kommen mit eigener Netzwerkschnittstelle. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die daraus entstehenden Risiken in seiner Publikation „Industrial Control System Security: Top 10 Bedrohungen und Gegenmaßnahmen 2022“. Weitere Empfehlungen für Betreiber, Integratoren und Hersteller bündelt das BSI auf seiner Seite zu industriellen Steuerungs- und Automatisierungssystemen.

Hinzu kommen neue Vorgaben. Drei Regelwerke sind für die Produktion besonders relevant:

• NIS2-Umsetzungsgesetz: Das Gesetz zur Umsetzung der NIS-2-Richtlinie ist seit dem 6. Dezember 2025 in Kraft und erweitert den Kreis der Unternehmen, die Pflichten zur Cybersicherheit erfüllen müssen. Ob ein Unternehmen darunter fällt, hängt von Branche und Größe ab und lässt sich anhand der Kriterien zur NIS2-Umsetzung prüfen.
• Maschinenverordnung: Ab dem 20. Januar 2027 gilt die Verordnung (EU) 2023/1230 und löst die Maschinenrichtlinie ab. Sie sieht unter anderem vor, dass sicherheitsrelevante Software und Daten gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt sind und dass Steuerungen vorhersehbaren böswilligen Zugriffsversuchen Dritter standhalten (Anhang III, Nr. 1.1.9 und 1.2.1).
• Cyber Resilience Act: Der Cyber Resilience Act stellt Sicherheitsanforderungen an Produkte mit digitalen Elementen, die in der EU auf den Markt kommen. Dazu gehören auch vernetzte Komponenten für die Industrie. Die meisten Pflichten gelten ab Dezember 2027.

Gemeinsam ist den Regelwerken, dass sie Ziele beschreiben und keine bestimmte Technik vorschreiben. Einen Rahmen für die Umsetzung in Produktionsanlagen bietet eine eigene Normenreihe.

IEC 62443: der Rahmen für industrielle Sicherheit

Die IEC 62443 ist eine internationale Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie richtet sich an alle Beteiligten: an Betreiber, die Anlagen betreiben, an Integratoren, die Systeme planen und aufbauen, und an Hersteller, die Komponenten entwickeln. Für jede dieser Rollen beschreiben eigene Teile der Reihe, welche Prozesse und technischen Eigenschaften gefordert sind. Einen Überblick über alle Teile bietet die International Society of Automation (ISA), aus deren Normungsarbeit die Reihe hervorgegangen ist.

Zwei Konzepte prägen die Norm. Das erste sind Zonen und Conduits: Die Anlage wird in Zonen mit ähnlichem Schutzbedarf aufgeteilt, etwa eine Fertigungszelle oder einen Leitstand, und die Verbindungen zwischen den Zonen, die Conduits, werden gezielt kontrolliert. Das zweite sind die Security Levels 1 bis 4. Sie beschreiben, gegen welche Angreifer eine Zone geschützt sein soll, vom zufälligen Fehlgriff bis zum gezielten Angriff mit umfangreichen Ressourcen und speziellem Wissen über Industrieanlagen.

Die technischen Anforderungen an ein System gliedert die IEC 62443-3-3 in sieben grundlegende Anforderungen, die Foundational Requirements. Die erste betrifft die Identifikation und Authentifizierung. Sie verlangt unter anderem, dass sich nicht nur Menschen, sondern auch Software-Prozesse und Geräte authentifizieren, und enthält Anforderungen an den Einsatz von PKI-Zertifikaten und an die Stärke der Authentifizierung mit öffentlichen Schlüsseln (SR 1.2, SR 1.8 und SR 1.9). Für einzelne Komponenten formuliert die IEC 62443-4-2 entsprechende Anforderungen. Die Norm macht damit deutlich, dass auch Maschinen und Steuerungen eine eigene, prüfbare Identität brauchen.

Warum Maschinen und Steuerungen Zertifikate brauchen

Ein digitales Zertifikat bestätigt, dass ein öffentlicher Schlüssel zu einer bestimmten Identität gehört, und wird von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt. In der Büro-IT weisen sich so Webserver, Nutzer und Anwendungen aus. In der Produktion übernehmen Zertifikate dieselbe Aufgabe für Steuerungen, Leitsysteme, Edge-Gateways und Maschinen. Sie alle sind Maschinenidentitäten, die sich gegenüber anderen Systemen ausweisen müssen.

Zertifikate leisten in der Produktion vor allem vier Dinge:

• Eindeutige Identität statt geteilter Passwörter: Wo sich Geräte heute mit Standardpasswörtern oder einem gemeinsamen Zugang anmelden, ist kaum nachvollziehbar, welches Gerät welche Aktion ausgelöst hat. Ein Zertifikat ist an genau ein Gerät gebunden und lässt sich gezielt widerrufen, wenn das Gerät ausgetauscht oder kompromittiert wird.
• Gegenseitige Authentifizierung: Steuerung und Leitsystem prüfen beim Verbindungsaufbau gegenseitig ihre Zertifikate. Ein fremdes Gerät im Netz kann sich so nicht ohne Weiteres als Steuerung ausgeben, und ein Angreifer kann nicht einfach Befehle im Namen des Leitsystems senden.
• Verschlüsselte Kommunikation: Mit den Schlüsseln aus den Zertifikaten lassen sich Verbindungen verschlüsseln und gegen Manipulation sichern, auch auf dem Weg von der Fertigung in die Cloud.
• Signierte Firmware und Updates: Ist eine Firmware digital signiert, kann eine Steuerung vor der Installation prüfen, ob das Update vom Hersteller stammt und unverändert ist. Das Verfahren dahinter entspricht dem Code Signing in der Softwareentwicklung.

Dasselbe Prinzip nutzen Gerätezertifikate im Internet der Dinge. In der Produktion kommt hinzu, dass ein verbreitetes Industrieprotokoll Zertifikate bereits fest vorsieht.

OPC UA: Zertifikate im Protokoll eingebaut

OPC UA ist ein Standard für den herstellerunabhängigen Datenaustausch in der Industrie, von der Steuerung bis zum MES. Anders als ältere Protokolle bringt OPC UA ein eigenes Sicherheitsmodell mit. Wie OPC-UA-Zertifikate funktionieren, lässt sich in drei Schritten beschreiben:

• Jede OPC-UA-Anwendung, ob Server auf einer Steuerung oder Client im Leitsystem, besitzt ein eigenes X.509-Zertifikat, das sogenannte Application Instance Certificate.
• Beim Verbindungsaufbau tauschen Client und Server ihre Zertifikate aus. Jede Seite prüft anhand ihrer Vertrauensliste, der Trust List, ob sie der Gegenstelle vertraut, und weist unbekannte Zertifikate ab.
• Je nach Sicherheitsmodus werden die Nachrichten anschließend signiert oder signiert und verschlüsselt.

In kleinen Anlagen lassen sich Zertifikate noch von Hand verteilen und in die Vertrauenslisten eintragen. Mit jeder weiteren Verbindung wird das aufwendiger und fehleranfälliger. Die OPC-UA-Spezifikation sieht dafür eine zentrale Zertifikatsverwaltung über einen Global Discovery Server vor. Er verteilt Zertifikate und Vertrauenslisten an die Anwendungen, entweder aktiv per Push oder auf Anfrage der Anwendung per Pull. Die Technik für sichere Identitäten steckt also bereits im Protokoll, entscheidend ist ihre Verwaltung.

Zertifikate in der Produktion verwalten

Zertifikate in der Produktion folgen denselben Grundsätzen wie in der IT, unterliegen aber anderen Bedingungen. Fünf Punkte verdienen besondere Aufmerksamkeit:

• Private statt öffentlicher PKI: Für die Kommunikation innerhalb einer Anlage eignen sich Zertifikate aus einer eigenen Public-Key-Infrastruktur besser als öffentlich vertrauenswürdige TLS-Zertifikate. Das Unternehmen legt dann selbst fest, welche Geräte Zertifikate erhalten und wie lange diese gelten. Die sinkenden Höchstlaufzeiten für öffentliche Zertifikate betreffen eine solche private PKI nicht.
• Laufzeiten passend zur Anlage: Die Laufzeit eines Gerätezertifikats sollte zum Wartungsrhythmus passen. Zu kurze Laufzeiten erzwingen Eingriffe außerhalb der Wartungsfenster, zu lange Laufzeiten vergrößern das Risiko, falls ein Schlüssel kompromittiert wird.
• Netze ohne Internetzugang: Produktionsnetze sind oft bewusst vom Internet getrennt. Die Zertifizierungsstelle oder eine Registrierungsstelle muss deshalb innerhalb des Netzes erreichbar sein, oder Zertifikate werden über eine kontrollierte Schnittstelle bereitgestellt.
• Automatische Ausstellung und Erneuerung: Standardisierte Protokolle wie EST oder SCEP erlauben es Geräten, Zertifikate selbst zu beantragen und rechtzeitig zu erneuern. Erneuerungen lassen sich so planen, dass sie ohne Stillstand ablaufen.
• Vollständiges Inventar: Wer nicht weiß, welche Geräte welche Zertifikate nutzen und wann diese ablaufen, riskiert Ausfälle. Ein abgelaufenes Zertifikat kann die Verbindung zwischen Steuerung und Leitsystem genauso unterbrechen wie ein technischer Defekt.

Die Grundsätze dafür sind dieselben wie in der IT: Unternehmen erfassen den Bestand, legen Regeln fest, automatisieren wiederkehrende Aufgaben und überwachen die Laufzeiten. Wie sich das organisatorisch verankern lässt, zeigen die Best Practices für Certificate Lifecycle Management. Für die technische Umsetzung bei vielen vernetzten Geräten gibt es spezialisierte Lösungen wie eine IoT-PKI, die Zertifikate für große Gerätezahlen ausstellt, verteilt und erneuert.

Erste Schritte für mehr OT-Security

OT-Security beginnt nicht mit einem Produkt, sondern mit einem klaren Bild der eigenen Anlagen. Fünf Schritte helfen beim Einstieg:

1. Anlagen und Verbindungen erfassen: Halten Sie fest, welche Steuerungen, Leitsysteme und Gateways es gibt und mit welchen Systemen sie kommunizieren. Dazu gehören auch die Fernwartungszugänge von Dienstleistern.
2. Zonen bilden: Fassen Sie Systeme mit ähnlichem Schutzbedarf zu Zonen zusammen und kontrollieren Sie die Übergänge zwischen ihnen, wie es die IEC 62443 beschreibt.
3. Fernzugänge absichern: Externe Zugänge sollten über zentrale, protokollierte Wege laufen und eine starke Authentifizierung verlangen.
4. Identitäten einführen: Beginnen Sie mit neuen Anlagen und mit OPC-UA-Verbindungen. Dort lassen sich Zertifikate am einfachsten einsetzen, und die Erfahrungen helfen bei der späteren Ausweitung auf den Bestand.
5. Zuständigkeiten klären: Legen Sie fest, wer für Netze, Anlagen und Zertifikate verantwortlich ist, und bringen Sie IT und Produktion regelmäßig zusammen.

Zertifikate sind dabei kein Selbstzweck. Sie sorgen dafür, dass jede Maschine und jede Steuerung nachweisen kann, wer sie ist, und dass nur berechtigte Systeme miteinander kommunizieren. Wenn Sie Identitäten für Ihre Produktion aufbauen möchten, berät Sie die PSW GROUP gern zu einer IoT-PKI für Ihre Maschinen und Steuerungen.