Vulnerability Management für OT/SCADA: Was Produktionsbetriebe anders machen müssen

Edouard Jacques

Managing Director, Cyber Culture

In der Produktions-IT (OT) gilt: Verfügbarkeit schlägt Vertraulichkeit. Ein active Vulnerability Scan, der eine SPS in Pause schickt, kann eine Produktionslinie für Stunden stilllegen – mit Schäden in fünfstelliger Höhe pro Stunde. Klassische IT-Vulnerability-Tools sind hier nicht einsetzbar oder müssen massiv umkonfiguriert werden.

Drei Prinzipien für OT-VM

• Passiv vor aktiv: Asset-Discovery und Schwachstellen-Identifikation erfolgen durch Mithören des OT-Netzwerks (Network Sensors), nicht durch aktive Scans.
• Asset-Inventory zuerst: Bevor Schwachstellen gemanagt werden können, muss das Asset-Inventory mit Hersteller, Modell und Firmware-Stand vollständig sein.
• Patch nur im Wartungsfenster: Patches in OT folgen Hersteller-Freigaben (Siemens, Rockwell, Schneider) und werden in geplanten Stillständen ausgerollt – nicht spontan.

Toollandschaft

Spezialisierte Plattformen wie Tenable.ot, Claroty, Nozomi Networks und Dragos haben sich etabliert. Sie kombinieren passive Asset-Discovery, OT-Schwachstellen-Datenbanken (ICS-CERT, Siemens ProductCERT) und Anomalie-Detection für SCADA-Protokolle wie Modbus, Profinet und OPC UA.

IEC 62443 als Rahmen

Die IEC 62443 ist der internationale Standard für OT-Sicherheit. Sie definiert Zonen, Conduits und Security Levels. Vulnerability Management ist ein expliziter Bestandteil – allerdings mit anderen SLAs als in der IT (typisch: Critical < 90 Tage statt < 7 Tage). NIS2 verweist für KRITIS-Sektoren explizit auf IEC 62443.

Organisatorische Trennung

In den meisten Mittelständlern sind IT- und OT-Sicherheit organisatorisch getrennt. Produktionsleiter und IT-Leiter sprechen oft nicht dieselbe Sprache. Erfolgreiche OT-VM-Programme starten mit einem gemeinsamen Lenkungskreis und einem klaren Verantwortungsmodell.

Wir begleiten OT-VM-Einführungen

Wir haben OT-Vulnerability-Programme bei produzierenden Unternehmen aus Maschinenbau, Lebensmittel und Chemie aufgebaut. Inklusive Tool-Auswahl, IEC-62443-Konformitätsprüfung und NIS2-Dokumentation. Sprechen Sie uns an, wenn Sie eine Produktionsumgebung verantworten.