Vernetzte Produktion mit OT-Security absichern

Vernetzte Produktionsanlagen vergrößern die Angriffsfläche für Cyberkriminelle, und KI-gestützte Werkzeuge verkürzen die Zeit zwischen der Veröffentlichung einer Schwachstelle und ihrem Ausnutzen auf wenige Stunden. Gleichzeitig verschärfen NIS2, Cyber Resilience Act und Maschinenverordnung die Anforderungen an Betreiber, Maschinenbauer und Hersteller. Vor allem mittelständische Industrieunternehmen benötigen klare Verfahren, um Assets, Risiken und regulatorische Pflichten zu erfassen.

Die Herausforderung: Vernetzte Produktion erhöht die Sicherheitsrisiken

Produktionsanlagen waren lange Zeit weitgehend abgeschlossene technische Systeme. Sie liefen über viele Jahre und die Industriesteuerungen wurden nur sehr selten erneuert. Änderungen an einer funktionierenden Anlage waren die Ausnahme. Dieses klassische Modell passt immer weniger zur heutigen Form der Industrieproduktion. Denn Industriesysteme (Operational Technology, OT) und IT- oder IoT-Anwendungen sowie externe Dienste wachsen immer stärker zusammen.

Größere Angriffsfläche und Regulierungsdruck

Damit entsteht ein Bedarf an Kommunikation und Vernetzung, der letztlich die Angriffsfläche erhöht. Parallel dazu verschärfen neue gesetzliche Vorgaben die Anforderungen an Betreiber, Integratoren und Hersteller auch bei der OT-Security.

• Die NIS2-Richtlinie verpflichtet Unternehmen in 18 Sektoren zu Maßnahmen bei Cybersicherheit, Risikomanagement und der Meldung von Sicherheitsvorfällen. Betroffen sind bereits Unternehmen ab 50 Mitarbeitenden bzw. 10 Millionen Euro Umsatz. Bei Verstößen drohen empfindliche Bußgelder, und die Geschäftsleitung haftet für die Umsetzung. Ergänzend stärkt die CER-Richtlinie die Resilienz kritischer Einrichtungen, etwa in Energie und Verkehr.
• Der Cyber Resilience Act (CRA) regelt die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden, ab dem 11. Dezember 2027 gelten alle Anforderungen.
• Für den Maschinenbau ist die EU-Maschinenverordnung entscheidend, die ab dem 20. Januar 2027 gilt. Sie fordert unter anderem den Schutz von Steuerungssystemen vor Manipulation. Damit wird das CE-Kennzeichen auch zu einer Frage der Security: Ohne angemessene Absicherung darf eine Maschine nicht mehr in der EU verkauft werden.

Hinzu kommt ein neuer Faktor: Künstliche Intelligenz. Hersteller sind verpflichtet, Schwachstellen ihrer Produkte zu veröffentlichen. Automatisierte KI-Agenten lesen diese Berichte inzwischen aus und versuchen, daraus selbstständig Angriffe zu erzeugen. Das gelingt nach Erfahrung der WAGO-Security-Experten häufig in weniger als einer Stunde. Unternehmen bleiben damit keine Wochen oder Tage mehr, um bekannte Lücken zu schließen, sondern oft nur noch Stunden.

Mittelstand unter Sicherheits- und Ressourcendruck

Gerade kleinere und mittelständische Unternehmen geraten deshalb unter Druck. Sie müssen die steigenden Sicherheitsanforderungen erfüllen, obwohl sie häufig nur begrenzte personelle Ressourcen haben und oft kein ausreichendes Know-how besitzen. Zudem fehlen große eigene IT- oder Security-Abteilungen.

So wird deutlich, dass Sicherheitsfragen auch wirtschaftliche Fragen sind. Entscheidend ist beispielsweise, wie lange eine Produktionsanlage ausfallen darf, bevor es zu finanziellen Schäden kommt. Denn der Ausfall eines Förderbands, einer CNC-Maschine, eines Energieversorgungssystems oder der Gebäudeautomation kann Fertigung und Lieferfähigkeit beeinträchtigen.

Die Lösung: OT-Security als kontinuierlichen Prozess einführen

Das Unternehmen nutzt seine Erfahrung als Hersteller von Automatisierungs- und Verbindungstechnik zum Aufbau einer herstellerunabhängigen Beratung zu sicheren Produktionsumgebungen. Die Beratung kann anschließend mit technischer Umsetzung, kontinuierlichem Monitoring und weiteren Sicherheitsmaßnahmen ergänzt werden. Dieser Ansatz ist vor allem für mittelständische Industrieunternehmen sinnvoll.

Von der Gap-Analyse zum dauerhaften Monitoring

Grundlage der Beratung ist die Normreihe IEC 62443, die als Goldstandard der OT-Security gilt. Denn die Gesetze schreiben meist nur vor, dass Unternehmen sich „angemessen“ um Security kümmern müssen. Die Norm konkretisiert dagegen Anforderungen und Verantwortlichkeiten für Betreiber, Systemintegratoren und Hersteller sowie vier Security Level. Heute wird in der Regel Security Level 2 angestrebt, in einigen Jahren dürfte Level 3 zum Maßstab werden.

WAGO nutzt einen mehrstufigen Security-Consulting-Ansatz, der von den im Unternehmen vorhandenen Anlagen ausgeht und den technischen und regulatorischen Kontext beachtet. Das Consulting reicht von der Analyse über Empfehlungen bis zu Monitoring und technischer Umsetzung:

• Der erste Schritt ist eine Gap-Analyse. Sie zeigt, welche Anlage betrachtet wird, wie sie aufgebaut ist und welche Anforderungen an sie gelten. Die Berater gleichen dann den aktuellen Status mit den normativen und regulatorischen Anforderungen ab. Sie prüfen, welche Vorgaben für den konkreten Einsatzfall gelten und wo es Abweichungen gibt.
• Daran schließt sich eine detaillierte Risikoanalyse an, die potenzielle Angriffswege untersucht, Schwachstellen analysiert und die Folgen eines Angriffs beschreibt. Ein typisches Beispiel ist eine ältere CNC-Maschine, die noch unter Windows 95 läuft. Für sie gibt es keine Updates mehr, ein Austausch ist wirtschaftlich nicht sinnvoll. Hier müssen Ersatzmaßnahmen das Risiko begrenzen. Entscheidend ist, welches Restrisiko ein Unternehmen tragen will und welche Verfügbarkeit erforderlich ist. Dieselbe Anlage kann dabei sehr unterschiedliche Schutzziele haben: Fällt ein öffentlicher Ladepark für E-Autos aus, ist das ärgerlich. Kann die Feuerwehr ihre Fahrzeuge nicht mehr laden, ist es kritisch.
• Aus den Ergebnissen entwickeln die Berater ein Sicherheitskonzept mit Richtlinien, Alarmen und Maßnahmen. Die technische Umsetzung integriert anschließend passende Hardware- und Softwarelösungen in die OT-Umgebung. Die Beratung erfolgt herstellerunabhängig, vorhandene Steuerungstechnik wird in der Regel nicht ersetzt. Ergibt die Analyse jedoch die Notwendigkeit zusätzlicher Hardware, kann WAGO eigene Komponenten als Lösung anbieten. Für die Beratung sind meist rund zehn Personentage angesetzt, verteilt über drei bis vier Monate.
• Dauerhafte Analysen schaffen zusätzliche Transparenz, da die Aufgabe nicht nach einer einmaligen Bestandsaufnahme endet. Netzwerke ändern ihre Struktur, neue Geräte kommen hinzu, Konfigurationen werden angepasst und neue Schwachstellen veröffentlicht. WAGO empfiehlt deshalb ein kontinuierliches Monitoring. Unternehmen können es selbst betreiben oder an WAGO übergeben. Auffällige Ereignisse bewertet WAGO bei Bedarf gemeinsam mit dem Kunden und leitet daraus neue Empfehlungen ab.

WAGO berät dabei nicht nur aus der Theorie. Das Unternehmen fällt als Hersteller unter den Cyber Resilience Act und als Betreiber selbst unter NIS2. Der Chief Information Security Officer (CISO) von WAGO steht im engen Austausch mit dem Consulting-Team und begleitet bei Bedarf auch Kundentermine. Aktuell läuft zudem ein Consulting-Projekt zur Gebäudeautomation auf dem eigenen Campus in Minden.

Netzwerktransparenz als Grundlage

WAGO bietet die Netzwerkanalyse auch als einmaliges Network-based Risk Assessment an. Typische Ergebnisse sind unverschlüsselte FTP-Verbindungen, über die Benutzernamen und Passwörter im Klartext laufen, unnötig offene Ports oder ein WLAN-Access-Point, von dem niemand wusste. Auch ein Schadprogramm wie WannaCry, das sich über SMB-Freigaben im Netzwerk ausbreitete, wäre durch die Anomalieerkennung früh aufgefallen, weil es neue, untypische Kommunikationsbeziehungen erzeugt.

Network Sight unterstützt zudem Asset- und Vulnerability-Management. Die Lösung gleicht Informationen zu bekannten Schwachstellen, Angriffsmustern und Signaturen mit den erkannten Assets ab. Änderungen an Konfigurationen oder an der Firmware sowie das Ein- und Ausschalten von Edge-Geräten werden ebenfalls überwacht und protokolliert. Drei weitere Tools ergänzen Network Sight:

Container-Management automatisiert Updates

Portainer übernimmt das Container-Management und dient als Werkzeug für Deployment und Patch-Management. Neue containerisierte Anwendungen und Sicherheitsupdates, etwa für Codesys-Applikationen, werden automatisiert auf die Geräte verteilt. Die Software läuft auch auf kleineren WAGO-Geräten. Damit lässt sich Container-Management bis auf den Schaltschrank ausdehnen.

Dabei geht es nicht nur um Effizienz, sondern auch um Sicherheit: Jede Form der Softwareverteilung kann selbst zur offenen Schnittstelle werden. Portainer ermöglicht ein kontrolliertes, sicheres Deployment. Angesichts KI-gestützter Angriffe, die bekannte Lücken innerhalb von Stunden ausnutzen, ist ein automatisierter Update-Prozess unverzichtbar. Portainer ist dabei ein Baustein einer ganzheitlichen Lösung: Die organisatorischen Prozesse rund um Updates und Security muss jedes Unternehmen weiterhin selbst etablieren.

Das Ergebnis: Mehr Transparenz und Resilienz in der Produktion

Der Beratungsansatz von WAGO besteht darin, aus einer oft schwer überschaubaren OT-Sicherheitslage einen strukturierten und fortlaufend steuerbaren Prozess zu machen.

• Das Consulting schafft Klarheit darüber, welche Assets vorhanden sind, welche regulatorischen Anforderungen gelten, wo Sicherheitslücken bestehen und welche Risiken daraus entstehen. Auf dieser Grundlage können Unternehmen Maßnahmen nach tatsächlicher Kritikalität priorisieren.
• Ein weiteres Ergebnis ist eine höhere Transparenz in industriellen Netzwerken. Assets, Protokolle und Kommunikationsbeziehungen werden automatisch sichtbar und ein Modell des normalen Netzwerkverhaltens entsteht. Dadurch fallen unerwartete Geräte, offene Verbindungen, Konfigurationsänderungen oder schädliche Kommunikationsmuster leichter auf.
• Ein kontinuierliches Monitoring erweitert diese Momentaufnahme um laufende Kontrolle. Neue Kommunikationsbeziehungen und andere Anomalien werden erkannt. Zudem fließen Informationen mehrerer Standorte oder Netzsegmente zusammen. Damit entsteht eine zentrale Sicht auf Warnungen und Sicherheitsdaten.
• Auf der Anwendungsebene beseitigt Portainer einen typischen Engpass: Softwareupdates müssen nicht mehr manuell auf jedem Edge-Gerät eingespielt werden, bekannte Schwachstellen lassen sich schneller schließen. So schaffen Unternehmen die Voraussetzungen, OT-Security von einer punktuellen Absicherung zu einem dauerhaften Bestandteil des Produktionsbetriebs zu machen.