OT-Sicherheit im Maschinenbau: 5 Schritte, mit denen Sie sehen, was Endpoint-Schutz übersieht

Das Wichtigste in Kürze

Warum sich OT nicht wie IT schützen lässt

In der klassischen IT schützt man Endgeräte mit Agenten: Antivirus, EDR, Verwaltungssoftware. Auf der Produktionsebene funktioniert das nicht. Auf einer speicherprogrammierbaren Steuerung, einer CNC-Maschine oder einem jahrzehntealten Industrie-PC läuft kein moderner Schutz-Agent — und er darf es oft auch nicht, weil jeder Eingriff Verfügbarkeit oder Maschinengarantie gefährdet.

Der Kern: IT-Sicherheit priorisiert Vertraulichkeit, OT-Sicherheit priorisiert Verfügbarkeit. Ein Ransomware-Angriff auf die IT legt E-Mails lahm. Ein Angriff auf die OT kann eine Produktionslinie stoppen oder eine Anlage beschädigen. In einer Branche, die sich über Liefertreue definiert, kann ein einziger erfolgreicher OT-Vorfall existenzbedrohend werden.

Hinzu kommt ein strukturelles Risiko: Produktionsanlagen werden häufig per Fernzugang durch Maschinenbauer und Wartungsfirmen betreut. Diese Zugänge liegen oft außerhalb der Kontrolle der IT-Abteilung, werden selten überwacht und sind teils nicht vollständig bekannt. Rund die Hälfte der ICS-Vorfälle geht auf solche Fernzugriffe zurück.

Wo der Maschinenbau heute steht

Das Bild ist eindeutig: Der Maschinenbau ist ein bevorzugtes Ziel, die meisten Unternehmen managen ihre OT-Sicherheit selbst, und an der entscheidenden Stelle — der durchgehenden Sicht auf das, was im Netzwerk zwischen IT und OT passiert — fehlt es am häufigsten. Angreifer in OT-Netzen bewegen sich oft über Wochen unentdeckt, kartieren Steuerungskreisläufe und sammeln Informationen über physische Prozesse, bevor sie etwas auslösen. Sichtbarkeit ist deshalb kein Komfort, sondern die Grundlage.

OT-Sicherheit in fünf Schritten — entlang IEC 62443

IEC 62443 ist der international anerkannte Standard für industrielle Cybersicherheit. Er ist kein Checklisten-Standard, sondern fordert ein risikobasiertes, durchgängiges Vorgehen — vom ersten Überblick bis zum laufenden Betrieb. Die folgenden fünf Schritte fassen dieses Vorgehen für den Mittelstand zusammen. Bei jedem Schritt ist markiert, welchen Teil AEGYS abdeckt und welchen andere Bausteine leisten.

Schritt 1: Sichtbarkeit schaffen — wissen, was im Netzwerk läuft

Jedes OT-Sicherheitsprogramm beginnt mit einer Bestandsaufnahme: Welche Geräte gibt es, wie sind sie verbunden, welche Protokolle sprechen sie, mit wem kommunizieren sie? Ohne diesen Überblick ist jeder weitere Schritt auf Sand gebaut.

Entscheidend ist das Wie. In der OT darf die Bestandsaufnahme den Betrieb nicht stören. Der Standard ist deshalb eindeutig: Die Erkennung erfolgt passiv über einen Spiegel-Port (SPAN) oder Netzwerk-TAP, der den Verkehr mitliest und Geräte daraus identifiziert — ohne ein einziges Paket aktiv ins OT-Netz einzuspeisen (IEC 62443-3-2, §4.2). So entstehen Geräteinventar, erkannte Protokolle und Kommunikationsbeziehungen, ohne dass eine Steuerung angefasst wird.

AEGYS-Rolle: Dies ist ein Kernbereich von AEGYS Monitor. Die Appliance wird passiv angebunden und liest mit — kein Agent auf der Maschine, kein Eingriff. So entsteht die Sicht, auf der alle weiteren Schritte aufbauen.

Schritt 2: Zonen und Conduits bilden — das Netz sinnvoll trennen

Auf Basis der Sicht werden Anlagen in Sicherheitszonen gegliedert: Gruppen von Systemen mit gleichem Schutzbedarf. Die Verbindungen zwischen Zonen heißen Conduits und müssen dokumentiert und kontrolliert werden (IEC 62443-3-2). Eine saubere Trennung zwischen IT- und OT-Netz begrenzt, wie weit sich ein Angreifer bewegen kann, wenn er einmal drin ist. Genau hier liegt die größte verbreitete Lücke — bei vier von fünf Umgebungen fehlt diese Trennung.

AEGYS-Rolle: AEGYS baut die Segmentierung nicht — das leisten Firewalls und Netzwerktechnik. Aber AEGYS macht sichtbar, ob eine geplante Trennung in der Praxis hält: welcher Verkehr tatsächlich über die Grenze läuft, und nicht nur, was der Netzplan behauptet.

Schritt 3: Fernzugänge absichern — den häufigsten Einfallsweg schließen

Rund die Hälfte der OT-Vorfälle geht auf Fernzugänge zurück. Wartungs- und Lieferantenzugänge müssen über kontrollierte Gateways laufen, mit starker Authentifizierung, zeitlich begrenzt und protokolliert (IEC 62443-3-3). Der erste Schritt ist auch hier: überhaupt zu wissen, welche Fernzugänge existieren — viele sind nicht einmal vollständig bekannt.

AEGYS-Rolle: AEGYS stellt die Zugänge nicht bereit und ersetzt keine Zugangslösung. Die passive Sicht zeigt aber, wenn ein Fernzugang aktiv ist, von wo Verbindungen kommen und ob ein Zugang genutzt wird, der niemandem bekannt war.

Schritt 4: Laufend überwachen — auffälliges Verhalten früh sehen

Sichtbarkeit ist kein einmaliger Scan, sondern ein Dauerzustand. Angreifer kartieren OT-Netze über Wochen, bevor sie zuschlagen. In dieser Zeit ist der Verkehr auffällig: ungewöhnliche Verbindungen, Kommunikation über Zonengrenzen, Zugriffe zu untypischen Zeiten. Wer laufend mitliest, sieht diese Spuren früh. Wer nur auf den Stillstand wartet, sieht sie erst, wenn die Linie steht.

AEGYS-Rolle: Dies ist der zweite Kernbereich von AEGYS Monitor. Die Appliance überwacht kontinuierlich, erkennt auffälliges Verhalten und hält die Aufzeichnungen forensisch verwertbar und mit konfigurierbarer Langzeit-Aufbewahrung vor. Auch hier gilt: AEGYS sieht und dokumentiert — Auge, nicht Hand. Das Blockieren bleibt bei Firewall und den dafür vorgesehenen Systemen.

Schritt 5: Als Prozess verankern — nicht als einmaliges Projekt

IEC 62443 ist explizit: Sicherheit ist kein Projekt, sondern ein Prozess (PDCA-Zyklus). Rollen müssen klar sein, Maßnahmen werden regelmäßig geprüft — durch Audits, KPIs oder Penetrationstests. Pragmatisch starten und iterativ verbessern schlägt das Warten auf den perfekten Endzustand.

AEGYS-Rolle: Die laufende Sicht liefert die Datengrundlage, an der sich Fortschritt messen lässt. Für die wiederkehrende Schwachstellenprüfung bietet AEGYS zusätzlich den autonomen Pentest an — ergänzend, nicht ersetzend.

Sehen, bevor die Linie steht

Der praktische Wert liegt im Zeitvorsprung. Zwischen dem ersten unauffälligen Eindringen und dem spürbaren Schaden liegen im OT-Umfeld oft Wochen. In dieser Zeit hinterlässt ein Angreifer Spuren im Netzwerk — sichtbar für den, der mitliest, unsichtbar für den, der es nicht tut. Das ist der Unterschied zwischen „wir haben es bemerkt, als die Produktion ausfiel" und „wir haben die ungewöhnliche Aktivität gesehen, als sie begann".

Wer tiefer einsteigen will, warum die geglaubte IT/OT-Trennung in der Praxis oft nicht hält und woran das liegt: Wenn das Büro gehackt wird, steht dann auch die Produktion?

Quellen

• IEC 62443 (insb. 62443-3-2 und 62443-3-3) — internationale Normenreihe industrielle Cybersicherheit
• Dragos OT Cybersecurity Report 2026
• VDMA Industrial Security 2025
• BSI Lagebericht 2025
• it-sa OT-Security 2026 (Fernzugriff als Vorfallursache)