Operational Technology – kurz OT – bezeichnet die Gesamtheit der Hardware und Software, die physische Prozesse in der Industrie steuert und überwacht. Dazu zählen speicherprogrammierbare Steuerungen (SPS), dezentrale Peripherie, SCADA-Systeme, Industrial PCs und die zugehörigen Feldbussysteme. Mit der zunehmenden Vernetzung im Zuge von Industrie 4.0 und IIoT wachsen OT- und IT-Netze enger zusammen. Diese Konvergenz erhöht die Angriffsfläche erheblich: Schwachstellen, die früher in isolierten Steuerungsnetzen folgenlos blieben, können heute von außen ausgenutzt werden. Gleichzeitig gelten in der OT andere Prioritäten als in der klassischen IT – Verfügbarkeit und Prozesssicherheit stehen über Vertraulichkeit. Ein durchdachtes Zonenkonzept bildet daher die Grundlage jeder tragfähigen OT-Sicherheitsarchitektur.
Der folgende Artikel richtet sich an Ingenieure und Techniker, die Automatisierungsanlagen planen, betreiben oder sicherheitstechnisch bewerten. Er erläutert die wichtigsten Konzepte, die relevanten Normen und die praktische Umsetzung von Netzwerksegmentierung und Schutzmaßnahmen in industriellen Umgebungen.
Warum klassische IT-Sicherheitskonzepte in der OT nicht ausreichen
In der Unternehmens-IT steht die CIA-Triade – Confidentiality, Integrity, Availability – im Mittelpunkt. In industriellen Steuerungsumgebungen kehrt sich diese Gewichtung um: Verfügbarkeit hat höchste Priorität, da ungeplante Stillstände in der Fertigung unmittelbare wirtschaftliche und unter Umständen sicherheitsrelevante Folgen haben. Ein Patch-Zyklus, der in der IT selbstverständlich ist, lässt sich in der OT häufig nicht ohne weiteres umsetzen: Steuerungskomponenten laufen mitunter über Jahrzehnte ohne Neustart, Wartungsfenster sind eng getaktet, und viele Feldgeräte verfügen schlicht nicht über ausreichend Rechenleistung für moderne Verschlüsselungsverfahren.
Hinzu kommt, dass OT-Umgebungen historisch auf Isolation und proprietäre Protokolle gesetzt haben. Modbus, PROFIBUS oder ältere PROFINET-Implementierungen wurden ohne Authentifizierungsmechanismen konzipiert. Der Übergang zu Ethernet-basierten Kommunikationswegen eröffnet zwar neue Integrationsmöglichkeiten, trägt aber auch bekannte IT-Schwachstellen in die Produktion. Angreifer können Standard-Netzwerkscanner einsetzen und innerhalb von Minuten SPS-Adressen und Gerätetypen identifizieren, wenn keine Segmentierung vorhanden ist.
Das Zonenmodell nach IEC 62443: Zonen und Leitungen als strukturierendes Prinzip
Die Normenreihe IEC 62443 – entwickelt unter Beteiligung der ISA und international anerkannt – bildet den zentralen Referenzrahmen für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Kernelement ist das Konzept der Sicherheitszonen (Zones) und der Kommunikationsverbindungen zwischen ihnen (Conduits). Eine Zone fasst Assets zusammen, die einen vergleichbaren Schutzbedarf aufweisen und unter einheitlichen Sicherheitsrichtlinien betrieben werden. Ein Conduit ist ein definierter, kontrollierbarer Kommunikationspfad zwischen zwei Zonen.
Jeder Zone wird ein sogenanntes Security Level (SL) zugewiesen, das in vier Stufen von SL 1 (Schutz gegen unbeabsichtigte Fehlbedienung) bis SL 4 (Schutz gegen staatlich organisierte Angriffe mit hohem Ressourceneinsatz) reicht. Die Einstufung basiert auf einer strukturierten Risikobeurteilung, die Bedrohungsszenarien, Angriffsvektoren und mögliche Konsequenzen berücksichtigt. Wichtig: Das angestrebte Security Level (Target SL) muss realistisch erreichbar sein und mit den verfügbaren Mitteln und dem Schutzbedarf des Prozesses übereinstimmen. Für die Mehrheit industrieller Fertigungsanlagen ist SL 2 – Schutz gegen absichtliche Angriffe mit einfachen Mitteln – der relevante Zielwert.
Praktisch bedeutet die Zonierung, dass ein Produktionsnetz nicht als flaches Layer-2-Netz betrieben werden sollte, in dem alle Teilnehmer miteinander kommunizieren können. Stattdessen werden Teilnetze gebildet: etwa eine Zone für Feldebene, eine für Leitebene und eine DMZ (Demilitarisierte Zone) als Puffer zur Unternehmens-IT. Der Datenaustausch zwischen Zonen erfolgt ausschließlich über definierte Conduits, die durch Firewalls, Datendioden oder Application-Layer-Gateways kontrolliert werden.
Purdue-Modell und Defense-in-Depth: Schichten als Sicherheitsprinzip
Das Purdue Enterprise Reference Architecture (PERA)-Modell, ursprünglich aus den 1990er-Jahren, strukturiert Automatisierungsumgebungen in hierarchische Ebenen: von Level 0 (Feldebene, Sensoren und Aktoren) über Level 1 (Steuerungsebene, SPS), Level 2 (Prozessleittechnik, SCADA, HMI), Level 3 (Produktionsmanagement, MES) bis Level 4/5 (Unternehmens-IT, ERP). Zwischen Level 3 und 4 ist üblicherweise eine DMZ angesiedelt, die als kontrollierte Schnittstelle dient.
Das Defense-in-Depth-Prinzip ergänzt diese Struktur: Statt auf eine einzige Schutzschicht zu vertrauen, werden mehrere unabhängige Sicherheitsmaßnahmen übereinander gelegt. Fällt eine Maßnahme aus oder wird sie umgangen, greifen die darunter liegenden. In der OT-Praxis bedeutet das: Netzwerksegmentierung kombiniert mit Port-basierter Zugangskontrolle (IEEE 802.1X), Anomalie-Erkennung im Netzwerkverkehr, restriktive Kommunikationsregeln auf Firewall-Ebene und physische Zugangssicherung zu Schaltschränken und Steuerungsräumen.
Kritische Übergangspunkte: DMZ, Datentransfer und Remote Access
Die DMZ zwischen OT und IT ist ein besonders kritischer Punkt. Hier laufen Historian-Server, die Prozessdaten für übergeordnete Systeme bereitstellen, sowie Dateitransfer-Dienste für Rezeptur- und Programm-Updates. Eine bewährte Maßnahme an dieser Stelle ist der Einsatz von Datendioden – unidirektionalen Gateways, die physikalisch nur Datenfluss in eine Richtung ermöglichen. Sie schließen Rückkanäle für Angreifer aus, schränken aber auch legitime Kommunikation ein, was bei der Planung berücksichtigt werden muss.
Remote-Access-Zugänge für Wartung und Engineering sind ein weiterer Schwachpunkt. VPN-Verbindungen ohne mehrstufige Authentifizierung, dauerhaft geöffnete Ports oder unkontrollierte Fernwartungszugänge von Maschinenbauern und Systemintegratoren gehören zu den häufig ausgenutzten Einfallstoren. Best Practice ist ein dediziertes Remote-Access-Gateway mit Multi-Faktor-Authentifizierung, Sitzungsprotokollierung und zeitlich begrenzten Zugriffsrechten – sogenannte Just-in-Time-Zugänge, die nur bei aktivem Wartungsbedarf freigeschaltet werden.
Asset-Inventarisierung als Fundament jeder Schutzmaßnahme
Eine Sicherheitsarchitektur kann nur so gut sein wie das Wissen über die zu schützenden Assets. In gewachsenen OT-Umgebungen fehlt dieses Wissen häufig: Geräte wurden über Jahre hinzugefügt, Netzwerkpläne entsprechen nicht dem tatsächlichen Zustand, und veraltete Betriebssysteme oder Firmware-Versionen sind nicht dokumentiert. Passive Netzwerk-Monitoring-Lösungen, die den Datenverkehr analysieren ohne aktiv zu scannen – was bei SPS zu Fehlfunktionen führen kann –, ermöglichen eine automatisierte Bestandserfassung ohne Eingriff in den laufenden Betrieb.
Das resultierende Asset-Inventar ist Grundlage für die Risikobeurteilung, die Zonenzuordnung und das Schwachstellenmanagement. Ohne vollständige Transparenz über alle kommunizierenden Teilnehmer lässt sich weder ein sinnvolles Zonenkonzept umsetzen noch lassen sich Anomalien im Netzwerkverkehr zuverlässig erkennen.
Praxis und Ausblick: Schrittweise Umsetzung statt Alles-oder-Nichts
Die vollständige Umsetzung eines IEC-62443-konformen Zonenkonzepts in einer bestehenden Anlage ist kein Projekt, das in wenigen Wochen abgeschlossen ist. Empfehlenswert ist ein priorisierter, risikobasierter Ansatz: Zunächst werden kritische Assets identifiziert und isoliert, dann werden Übergangspunkte zwischen OT und IT kontrolliert, und schrittweise werden interne Zonen gebildet. Jede Maßnahme sollte dokumentiert und ihre Wirksamkeit regelmäßig überprüft werden.
Mit dem European Cyber Resilience Act (CRA) und der NIS-2-Richtlinie wächst der regulatorische Druck auf Betreiber und Hersteller industrieller Systeme. Zonenkonzepte und strukturierte Risikobeurteilungen nach IEC 62443 werden künftig nicht nur als Good Practice, sondern zunehmend als Nachweispflicht relevant. Wer frühzeitig in die Grundlagen investiert – Asset-Transparenz, Netzwerksegmentierung, kontrollierte Übergangspunkte und dokumentierte Sicherheitsrichtlinien –, schafft die Voraussetzungen sowohl für normative Konformität als auch für einen tatsächlich wirksamen Schutz industrieller Steuerungsumgebungen.
