Cyberangriffe auf Industrieunternehmen nehmen zu IT/OT-Konvergenz öffnet Angreifern Türen ins Produktionsnetz

Anbieter zum Thema

8com GmbH & Co. KG

FTAPI Software GmbH

Die IT/OT-Konvergenz vergrößert die Angriffsfläche in Produktionsnetzen erheblich und schafft Blindspots, da fehlende Segmentierung und mangelndes Monitoring Angreifer unentdeckt agieren lassen. Klassische IT-Sicherheitskonzepte greifen dabei nicht, weil Produktionsanlagen andere Schutzanforderungen als Bürosysteme haben. Wer Produktionsnetze schützen will, muss OT-Security als eigenständige Betriebsdisziplin begreifen.

Ein Servicetechniker verbindet sich über einen Remote-Zugang mit dem Unternehmensnetz. Wenige Minuten später bewegen sich Angreifer über kompromittierte Zugangsdaten durch die IT-Systeme, verschaffen sich Zugriff auf einen zentralen Jump Host und erreichen darüber das Produktionsnetz. Dort beginnen sie, Steuerungssysteme gezielt anzusprechen. Der Angriff bleibt zunächst unentdeckt – bis erste Unregelmäßigkeiten im Anlagenbetrieb auftreten.

Jenseits der Firewall

Sicherer Remote Access für moderne OT-Umgebungen

Solche Szenarien zeigen ein strukturelles Problem vieler Industrieunternehmen: Produktionsnetze wachsen eng mit IT-Systemen zusammen. Sicherheitskonzepte bleiben jedoch oft auf klassische IT-Logik ausgerichtet. Dadurch kann die Verwundbarkeit für ICS/OT-Netzwerke steigen. Unzureichende Security-Maßnahmen, unklare Verantwortlichkeiten und fehlende Prozesse verschärfen das Problem zusätzlich.

Die Digitalisierung von Produktionsprozessen (Industrie 4.0) vernetzt Maschinen, Sensoren und IoT-Systeme eng mit IT und Internet. Unternehmen wollen so ihre Fertigung optimieren. Dabei entstehen komplexe Infrastrukturen, in denen sich Angreifer oftmals unbemerkt Zugang verschaffen und im Netzwerk ausbreiten können – auch weil Unternehmen Security-Aspekte nicht konsequent mitdenken. Es fehlen grundlegende organisatorische und technische Maßnahmen für die OT-Security. Dazu zählen klare Reaktionsprozesse bei Vorfällen und eine erhöhte Sichtbarkeit, die eine kontinuierliche Überwachung ermöglicht. Beides bildet die Grundlage, um Angriffe früh zu erkennen und im Angriffsfall den Schaden gering zu halten.

Sicherheit in vernetzten Produktionsanlagen

So verhintert OT-Security Ransomware-Angriffe und Betriebsunterbrechungen

Warum industrielle Systeme strukturell verwundbar sind

Die Industrie zählt seit Jahren zu den am stärksten betroffenen Sektoren von Cyberangriffen. Die Zahl von OT-Sicherheitsvorfällen durch Ransomware, Malware und Betriebsstörungen durch ungewöhnliches Verhalten von Systemen steigt kontinuierlich an. Gleichzeitig vergrößert sich durch die Konvergenz von IT und OT die Angriffsfläche immer weiter. Produktionsanlagen sind zunehmend mit ERP-Systemen vernetzt, Fernwartung ist fester Bestandteil zur Aufrechterhaltung des Betriebs und Daten werden in Echtzeit mit Anlagenherstellern ausgetauscht. Die Vernetzung schafft neue Sicherheitsrisiken, die Unternehmen oft nicht ausreichend adressieren.

Produktionsanlagen laufen häufig 10 bis 15 Jahre, teils auch deutlich über 20 Jahre lang. In dieser Zeit müssen Unternehmen die Verfügbarkeit und gleichbleibende Qualität der Produkte gewährleisten. Das schließt oft Änderungen an den Anlagen aus. Mit dem zunehmenden Einsatz von Standard-Hardware treffen diese Systeme auf Anforderungen, die so nur aus der Office IT bekannt sind. In der OT gibt es häufig kein Patchmanagement zur Beseitigung von Schwachstellen. Softwareupdates spielen Unternehmen nur ein, wenn es die Produktion erfordert. Hinzu kommt: Viele priorisieren OT-Security nicht ausreichend. Es fehlen klare Verantwortlichkeiten, Fachwissen und eine fundierte Risikobewertung.

Cyber-Resilienz für industrielle Steuerungssysteme

Wie Industrieanlagen nach einem Cyberangriff sicher wieder starten

Blindspots: fehlende Transparenz, mangelhafte Architektur und Risikofaktor Lieferkette

Ein typischer OT-Angriff folgt einem klaren Muster: Angreifer nutzen kompromittierte VPN-Zugangsdaten, um in die Office IT einzudringen. Sie arbeiten sich bis zu einem schlecht abgesicherten Jump Host vor und erreichen von dort das Produktionsnetz. Da weder eine klare Segmentierung noch eine durchgängige Analyse der Netzwerkkommunikation vorhanden ist, bleibt der Zugriff auf das Produktionsnetz in diesem Fall zunächst unbemerkt. Erst ungewöhnliche Verbindungen zu Steuerungssystemen deuten auf einen Angriff hin – oft erst, wenn Angreifer bereits kritische Anlagen erreicht haben und Systemausfälle drohen.

Die zentrale Herausforderung: Unternehmen müssen die Übergänge zwischen IT und OT absichern und den Netzwerkverkehr kontinuierlich auf Anomalien überwachen. Dafür sollten sie auf Basis einer Risikoanalyse klare Grundlagen schaffen: Netzwerksegmentierung – besonders zur Office IT –, sichereren Remote Access sowie verbindliche Richtlinien für Lieferanten und Dienstleister. Bei allen Maßnahmen sollten sich Unternehmen immer am Stand der Technik orientieren. Das heißt: Multifaktor-Authentifizierung, Zero-Trust und Least-Privilege-Prinzip sind ein Muss.

Dadurch lässt sich auch die Transparenz in ICS/OT-Netzen deutlich erhöhen. Die meisten modernen Werkzeuge für kontinuierliches Monitoring bieten zusätzlich auch Asset-Inventare, die Visualisierung von Kommunikationsbeziehungen und Schwachstellenmanagement.

Lehren aus dem Hoya-Ransomware-Angriff

Warum viele Krisenpläne in der Industrie scheitern

Warum klassische IT-Security an Grenzen stößt und was stattdessen erforderlich ist

Sicherheitsmechanismen aus der IT orientieren sich an Patch-Zyklen, aktiver Prüfung und Endpoint-Schutz. Produktionsumgebungen folgen anderen Anforderungen: Systeme laufen kontinuierlich, Wartungsfenster sind begrenzt und Eingriffe wirken sich direkt auf den Betrieb aus. Gleichzeitig existieren in vielen OT-Netzen bekannte Schwachstellen wie veraltete und unverschlüsselte Kommunikationsprotokolle, Legacy Systeme ohne Hersteller-Support oder fest in Firmware programmierte Einstellungen. Die Umgebungen sind unterschiedlich zu behandeln, da sie unterschiedliche Risiken und Schutzziele haben.

Kommunikationsbeziehungen zwischen operativen Managementsystemen (MES, HMI, Jump-Server usw.) und den Systemen der Prozessleitungsebene und darunter sollten neben dem IT/OT-Netzübergang im Zentrum der Analyse stehen. Sie werden jedoch häufig nicht aktiv überwacht. Angreifer bewegen sich dadurch oft länger und unerkannt durch vernetzte Umgebungen, da klassische Schutzmechanismen sie nicht detektieren.

Ein Beispiel aus der Praxis verdeutlicht das Vorgehen: In einem Produktionsnetz erkennt das Monitoring-System eine ungewöhnliche Kommunikationssequenz zwischen einer Engineering Workstation und mehreren SPS-Systemen. Statt der üblichen Daten sendet die Workstation wiederholt Werte abweichend üblicher Parameter und außerhalb definierter Wartungsfenster. Da dieses Muster vom etablierten Normalverhalten abweicht, stufen die Mitarbeiter im Security Operations Center (SOC) die Aktivität als sicherheitsrelevant ein und analysieren sie im Kontext weiterer Netzwerkereignisse. Die Analysten identifizieren ein kompromittiertes System, das gezielt versucht, Steuerungsparameter zu verändern. Anschließend schränkt das SOC die betroffenen Kommunikationsverbindungen gezielt ein und verhindert so weitere Zugriffe – ohne den laufenden Produktionsprozess zu unterbrechen.

Zwei Drittel aller OT-Angriffe zielen auf Perimeter-Geräte

Industrielle Router im Fadenkreuz von Cyberangreifern

OT-Security als Betriebsdisziplin

Die Absicherung von Produktionsnetzen entfaltet ihre Wirkung im Zusammenspiel aus Architektur und operativer Reaktion. Sicherheitsvorfälle erfordern abgestimmte Prozesse, die IT, OT und Produktion gleichermaßen einbeziehen. Im Ernstfall stehen mehrere Ziele im Fokus: Schutz von Menschen und Anlagen, Stabilität der Produktion und Begrenzung des Angriffs. Klare Abläufe und definierte Verantwortlichkeiten ermöglichen eine koordinierte Reaktion. Diese Abläufe sollten Mitarbeiter im Rahmen von regelmäßigen Übungen verinnerlichen.

Gleichzeitig bildet die Architektur die Grundlage für wirksame Sicherheitsmaßnahmen. In der Praxis bedeutet das in erster Linie eine Segmentierung zwischen IT und ICS/OT-Netz mit klar definierten Zonen, kontrollierten Übergängen über dezidierte Systeme sowie einer kontinuierlichen Überwachung der Kommunikationsbeziehungen. Wo es die Betriebsbedingungen zulassen, sollten Unternehmen Endpoint-Protection-Lösungen integrieren. Ein einheitlicher, sicherer Fernwartungszugang (Secure Remote Access) für alle Stakeholder vermeidet Wildwuchs. Erst das Zusammenspiel dieser Elemente ermöglicht es Unternehmen, Produktionsumgebungen stabil zu betreiben und gleichzeitig auf dynamische Bedrohungslagen zu reagieren.

Fertigungsindustrie ist Top-Ziel für Cyberangriffe

OT-Angriffe kommen meist über kompromittierte IT-Systeme

Die nächste Phase der OT-Security

Die Bedingungen an industrielle Cybersicherheit verschieben sich deutlich. Die Anzahl der Angriffe und regulatorischen Vorgaben wird weiter steigen und durch KI wird es auch weniger talentierten Angreifern möglich sein, industrielle Systeme zu manipulieren. Sicherheitsverantwortliche stehen damit vor der Aufgabe, technische Maßnahmen, organisatorische Abläufe und betriebliche Anforderungen enger miteinander zu verzahnen.

Unternehmen müssen ihre Angriffsfläche reduzieren, ihre Netze kontinuierlich überwachen und Transparenz in ICS/OT-Umgebungen schaffen. Klare Reaktionsprozesse ergänzen diese Basis und sichern den laufenden Betrieb. Gleichzeitig entwickeln sich Sicherheitsarchitekturen weg von statischen Konzepten, hin zu dynamischen Systemen, die Angriffe erkennen, bewerten und abwehren – und so Produktionsprozesse schützen.

Unternehmen, die ihre Cyberrisiken kennen und immer wieder neu bewerten, klare Verantwortlichkeiten haben und Maßnahmen priorisieren, schaffen die Grundlage, um auch unter steigenden Bedrohungen in der Zukunft handlungsfähig zu bleiben. Dabei dient Cybersecurity als zentraler Erfolgsfaktor zur Schaffung von Vertrauen und Stärkung der Resilienz. Cybersicherheit ist ein entscheidender Wettbewerbsvorteil.

Über den Autor: Christian Bischoff ist Incident Response Manager bei 8COM und Experte für ICS/OT-Security. Er unterstützt Unternehmen bei der Bewältigung von Sicherheitsvorfällen in komplexen Infrastrukturen.

Riskiest Devices Report 2026

Warum vernetzte Infrastruktur laut Forescout zum größten Risiko wird

(ID:50871719)