Produktionsanlagen sind heute so vernetzt wie die B\u00fcro-IT, doch OT-Security folgt anderen Regeln. Eine davon gewinnt an Gewicht: Jede Steuerung und jede Maschine braucht eine eindeutige, pr\u00fcfbare Identit\u00e4t.<\/p>\n
Wo fr\u00fcher abgeschottete Anlagen liefen, verbinden heute Fernwartungszug\u00e4nge, Manufacturing Execution Systems und Cloud-Plattformen die Fertigung mit dem \u00fcbrigen Unternehmen und mit externen Dienstleistern. Jede dieser Verbindungen ist ein m\u00f6glicher Weg in die Produktion. Gleichzeitig steigen die Anforderungen von au\u00dfen: Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der NIS-2-Richtlinie, und ab dem 20. Januar 2027 sieht die neue Maschinenverordnung vor, dass sicherheitsrelevante Software und Daten von Maschinen gegen Korrumpierung gesch\u00fctzt sind.<\/p>\n
Wer seine Produktion absichern will, muss deshalb zwei Fragen kl\u00e4ren. Die erste lautet, was OT-Security von der vertrauten IT-Sicherheit unterscheidet. Die zweite lautet, wie sich pr\u00fcfen l\u00e4sst, ob eine Maschine, eine Steuerung oder ein Leitsystem tats\u00e4chlich das ist, was es zu sein vorgibt. Die Antwort auf die zweite Frage f\u00fchrt zu digitalen Zertifikaten, die in der B\u00fcro-IT l\u00e4ngst Alltag sind und nun auch in der Produktion gebraucht werden.<\/p>\n
OT-Security, auf Deutsch OT-Sicherheit, sch\u00fctzt die Betriebstechnik eines Unternehmens. OT steht f\u00fcr Operational Technology, also f\u00fcr Steuerungen, Leitsysteme, Sensoren und Aktoren, die physische Prozesse in Produktion, Energieversorgung oder Geb\u00e4udetechnik steuern und \u00fcberwachen. OT-Security sorgt daf\u00fcr, dass diese Systeme verf\u00fcgbar bleiben, korrekt arbeiten und nicht manipuliert werden k\u00f6nnen.<\/p>\n
Zur Betriebstechnik geh\u00f6ren zum Beispiel speicherprogrammierbare Steuerungen (SPS), die eine Fertigungslinie takten, SCADA-Systeme, mit denen ein Leitstand Pumpen und Ventile \u00fcberwacht, sowie Industrieroboter, Antriebe und Messger\u00e4te. Auch die Geb\u00e4udeleittechnik, die Klima, Zutritt und Brandschutz regelt, z\u00e4hlt dazu. Ein OT-Netzwerk ist das Netz, \u00fcber das diese Komponenten untereinander und mit den Leitsystemen kommunizieren. Solche Netze finden sich in der Fertigung, in der Energie- und Wasserversorgung, in der Chemie- und Pharmaproduktion und in der Logistik.<\/p>\n
Oft f\u00e4llt in diesem Zusammenhang auch der Begriff IoT. Der Unterschied zwischen OT und IoT liegt im Einsatzzweck: Das Internet der Dinge umfasst vernetzte Ger\u00e4te aller Art, vom Thermostat bis zum Fitness-Tracker, und ist von Anfang an auf Verbindung ausgelegt. OT bezeichnet dagegen die Technik, die industrielle Prozesse steuert, h\u00e4ufig \u00fcber viele Jahre und mit eigenen Protokollen und Normen. Wo sich beides \u00fcberschneidet, spricht man vom industriellen IoT (IIoT). Die Grundprinzipien der IoT-Sicherheit<\/a>, etwa eindeutige Ger\u00e4teidentit\u00e4ten und verschl\u00fcsselte Kommunikation, gelten auch in der Produktion. Dort kommen jedoch Anforderungen hinzu, die es in der B\u00fcro-IT nicht gibt.<\/p>\n Der wichtigste Unterschied zwischen IT- und OT-Security liegt in der Rangfolge der Schutzziele: In der IT steht meist die Vertraulichkeit von Daten im Vordergrund, in der OT die Verf\u00fcgbarkeit und die Betriebssicherheit der Anlage. Ein Server l\u00e4sst sich f\u00fcr ein Update am Wochenende neu starten, eine Produktionslinie im Dreischichtbetrieb nicht. Aus dieser Rangfolge ergeben sich weitere Unterschiede:<\/p>\n Wie flie\u00dfend die Grenze geworden ist, zeigt die Frage, ob ein MES zur OT oder zur IT geh\u00f6rt. Im Purdue-Modell, einem verbreiteten Referenzmodell f\u00fcr Produktionsnetze, liegt das Manufacturing Execution System auf Ebene 3. Es sitzt damit zwischen der Unternehmens-IT mit ERP und E-Mail und der Steuerungsebene mit SPS und SCADA und geh\u00f6rt zu beiden Welten. Solche \u00dcberg\u00e4nge brauchen besondere Aufmerksamkeit, weil \u00fcber sie Daten und Zugriffe von einer Welt in die andere gelangen. IT- und OT-Security lassen sich deshalb nicht getrennt betrachten: Die Methoden der IT sind in der Produktion n\u00fctzlich, m\u00fcssen aber an deren Bedingungen angepasst werden.<\/p>\n Lange galt die Trennung vom B\u00fcronetz als ausreichender Schutz f\u00fcr die Produktion. Diese Trennung l\u00f6st sich auf: Maschinenhersteller warten Anlagen aus der Ferne, Produktionsdaten flie\u00dfen in Auswertungen und Cloud-Dienste, und neue Maschinen kommen mit eigener Netzwerkschnittstelle. Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) beschreibt die daraus entstehenden Risiken in seiner Publikation \u201eIndustrial Control System Security: Top 10 Bedrohungen und Gegenma\u00dfnahmen 2022\u201c<\/a>. Weitere Empfehlungen f\u00fcr Betreiber, Integratoren und Hersteller b\u00fcndelt das BSI auf seiner Seite zu industriellen Steuerungs- und Automatisierungssystemen<\/a>.<\/p>\n Hinzu kommen neue Vorgaben. Drei Regelwerke sind f\u00fcr die Produktion besonders relevant:<\/p>\n Gemeinsam ist den Regelwerken, dass sie Ziele beschreiben und keine bestimmte Technik vorschreiben. Einen Rahmen f\u00fcr die Umsetzung in Produktionsanlagen bietet eine eigene Normenreihe.<\/p>\n Die IEC 62443 ist eine internationale Normenreihe f\u00fcr die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie richtet sich an alle Beteiligten: an Betreiber, die Anlagen betreiben, an Integratoren, die Systeme planen und aufbauen, und an Hersteller, die Komponenten entwickeln. F\u00fcr jede dieser Rollen beschreiben eigene Teile der Reihe, welche Prozesse und technischen Eigenschaften gefordert sind. Einen \u00dcberblick \u00fcber alle Teile bietet die International Society of Automation (ISA)<\/a>, aus deren Normungsarbeit die Reihe hervorgegangen ist.<\/p>\n Zwei Konzepte pr\u00e4gen die Norm. Das erste sind Zonen und Conduits: Die Anlage wird in Zonen mit \u00e4hnlichem Schutzbedarf aufgeteilt, etwa eine Fertigungszelle oder einen Leitstand, und die Verbindungen zwischen den Zonen, die Conduits, werden gezielt kontrolliert. Das zweite sind die Security Levels 1 bis 4. Sie beschreiben, gegen welche Angreifer eine Zone gesch\u00fctzt sein soll, vom zuf\u00e4lligen Fehlgriff bis zum gezielten Angriff mit umfangreichen Ressourcen und speziellem Wissen \u00fcber Industrieanlagen.<\/p>\n Die technischen Anforderungen an ein System gliedert die IEC 62443-3-3 in sieben grundlegende Anforderungen, die Foundational Requirements. Die erste betrifft die Identifikation und Authentifizierung. Sie verlangt unter anderem, dass sich nicht nur Menschen, sondern auch Software-Prozesse und Ger\u00e4te authentifizieren, und enth\u00e4lt Anforderungen an den Einsatz von PKI-Zertifikaten und an die St\u00e4rke der Authentifizierung mit \u00f6ffentlichen Schl\u00fcsseln (SR 1.2, SR 1.8 und SR 1.9). F\u00fcr einzelne Komponenten formuliert die IEC 62443-4-2 entsprechende Anforderungen. Die Norm macht damit deutlich, dass auch Maschinen und Steuerungen eine eigene, pr\u00fcfbare Identit\u00e4t brauchen.<\/p>\n Ein digitales Zertifikat best\u00e4tigt, dass ein \u00f6ffentlicher Schl\u00fcssel zu einer bestimmten Identit\u00e4t geh\u00f6rt, und wird von einer vertrauensw\u00fcrdigen Zertifizierungsstelle ausgestellt. In der B\u00fcro-IT weisen sich so Webserver, Nutzer und Anwendungen aus. In der Produktion \u00fcbernehmen Zertifikate dieselbe Aufgabe f\u00fcr Steuerungen, Leitsysteme, Edge-Gateways und Maschinen. Sie alle sind Maschinenidentit\u00e4ten<\/a>, die sich gegen\u00fcber anderen Systemen ausweisen m\u00fcssen.<\/p>\n Zertifikate leisten in der Produktion vor allem vier Dinge:<\/p>\n Dasselbe Prinzip nutzen Ger\u00e4tezertifikate<\/a> im Internet der Dinge. In der Produktion kommt hinzu, dass ein verbreitetes Industrieprotokoll Zertifikate bereits fest vorsieht.<\/p>\n OPC UA ist ein Standard f\u00fcr den herstellerunabh\u00e4ngigen Datenaustausch in der Industrie, von der Steuerung bis zum MES. Anders als \u00e4ltere Protokolle bringt OPC UA ein eigenes Sicherheitsmodell mit. Wie OPC-UA-Zertifikate funktionieren, l\u00e4sst sich in drei Schritten beschreiben:<\/p>\n In kleinen Anlagen lassen sich Zertifikate noch von Hand verteilen und in die Vertrauenslisten eintragen. Mit jeder weiteren Verbindung wird das aufwendiger und fehleranf\u00e4lliger. Die OPC-UA-Spezifikation<\/a> sieht daf\u00fcr eine zentrale Zertifikatsverwaltung \u00fcber einen Global Discovery Server vor. Er verteilt Zertifikate und Vertrauenslisten an die Anwendungen, entweder aktiv per Push oder auf Anfrage der Anwendung per Pull. Die Technik f\u00fcr sichere Identit\u00e4ten steckt also bereits im Protokoll, entscheidend ist ihre Verwaltung.<\/p>\n Zertifikate in der Produktion folgen denselben Grunds\u00e4tzen wie in der IT, unterliegen aber anderen Bedingungen. F\u00fcnf Punkte verdienen besondere Aufmerksamkeit:<\/p>\n Die Grunds\u00e4tze daf\u00fcr sind dieselben wie in der IT: Unternehmen erfassen den Bestand, legen Regeln fest, automatisieren wiederkehrende Aufgaben und \u00fcberwachen die Laufzeiten. Wie sich das organisatorisch verankern l\u00e4sst, zeigen die Best Practices f\u00fcr Certificate Lifecycle Management<\/a>. F\u00fcr die technische Umsetzung bei vielen vernetzten Ger\u00e4ten gibt es spezialisierte L\u00f6sungen wie eine IoT-PKI<\/a>, die Zertifikate f\u00fcr gro\u00dfe Ger\u00e4tezahlen ausstellt, verteilt und erneuert.<\/p>\n OT-Security beginnt nicht mit einem Produkt, sondern mit einem klaren Bild der eigenen Anlagen. F\u00fcnf Schritte helfen beim Einstieg:<\/p>\n Zertifikate sind dabei kein Selbstzweck. Sie sorgen daf\u00fcr, dass jede Maschine und jede Steuerung nachweisen kann, wer sie ist, und dass nur berechtigte Systeme miteinander kommunizieren. Wenn Sie Identit\u00e4ten f\u00fcr Ihre Produktion aufbauen m\u00f6chten, ber\u00e4t Sie die PSW GROUP gern zu einer IoT-PKI<\/a> f\u00fcr Ihre Maschinen und Steuerungen.<\/p>\nDer Unterschied zwischen IT-Security und OT-Security<\/h2>\n
\n
Warum Vernetzung und Regulierung den Druck erh\u00f6hen<\/h2>\n
\n
IEC 62443: der Rahmen f\u00fcr industrielle Sicherheit<\/h2>\n
Warum Maschinen und Steuerungen Zertifikate brauchen<\/h2>\n
\n
OPC UA: Zertifikate im Protokoll eingebaut<\/h3>\n
\n
Zertifikate in der Produktion verwalten<\/h2>\n
\n
Erste Schritte f\u00fcr mehr OT-Security<\/h2>\n
\n