Sicherheitsprüfung für Produktions- und OT-Netze
Im Produktionsnetz gilt eine andere Rangfolge: Verfügbarkeit vor Vertraulichkeit. Ein Portscan, der eine Steuerung zum Neustart bringt, legt eine Linie still – und kostet damit mehr, als der ganze Test wert ist. Wir arbeiten deshalb zweistufig: zuerst passiv im laufenden Betrieb, aktiv nur nach ausdrücklicher Freigabe und, wo möglich, am Ersatzsystem oder im Wartungsfenster.
- Passive Netzaufnahme: welche Geräte sprechen tatsächlich miteinander, über welche Protokolle
- Trennung von Büro- und Produktionsnetz – belastbar geprüft, nicht nur im Netzplan behauptet
- Fernwartungszugänge der Maschinenlieferanten: wer kommt wann von wo herein
- Der Weg vom Besucher-WLAN oder vom Bürorechner bis an die Steuerung
- Altsysteme ohne Update-Pfad und die Frage, was sich um sie herum absichern lässt
- Wechseldatenträger und Programmiergeräte als Übertragungsweg
- Protokollierung: Würde ein Zugriff auf die Steuerung überhaupt auffallen?
Was wir prüfen
- Passive Netzaufnahme: welche Geräte sprechen tatsächlich miteinander, über welche Protokolle
- Trennung von Büro- und Produktionsnetz – belastbar geprüft, nicht nur im Netzplan behauptet
- Fernwartungszugänge der Maschinenlieferanten: wer kommt wann von wo herein
- Der Weg vom Besucher-WLAN oder vom Bürorechner bis an die Steuerung
- Altsysteme ohne Update-Pfad und die Frage, was sich um sie herum absichern lässt
- Wechseldatenträger und Programmiergeräte als Übertragungsweg
- Protokollierung: Würde ein Zugriff auf die Steuerung überhaupt auffallen?
Was wir dabei typischerweise finden
Die dauerhaft offene Fernwartung
Ein Zugang des Maschinenlieferanten, oft mit gemeinsam genutztem Passwort und ohne zweiten Faktor. Er steht selten in der Firewall-Dokumentation und noch seltener unter Beobachtung.
Netzplan und Wirklichkeit
Auf dem Papier getrennt, in der Praxis über einen vergessenen Uplink oder ein doppelt angebundenes Gerät verbunden. Die Trennung existiert nur in der Dokumentation.
Programmierrechner mit Bürozugang
Ein Notebook, das sowohl im Produktionsnetz als auch am E-Mail-Postfach hängt – die schnellste Brücke von der Phishing-Mail zur Steuerung.
Was Sie dafür bereitstellen
- Einen Ansprechpartner aus der Instandhaltung oder Produktionsleitung, nicht nur aus der IT
- Eine Anschlussmöglichkeit für die passive Aufnahme, etwa einen Spiegelport
- Die Freigabe, welche Systeme unter keinen Umständen aktiv geprüft werden dürfen
- Ein Wartungsfenster, falls aktive Prüfungen gewünscht sind
Häufige Fragen
Können Sie im laufenden Betrieb prüfen?
Ja. Die passive Aufnahme läuft ohne jeden Eingriff und liefert bereits einen großen Teil des Ergebnisses: Geräteinventar, tatsächliche Kommunikationsbeziehungen und die geprüfte Netztrennung. Aktive Prüfungen erfolgen nur nach ausdrücklicher Freigabe und bevorzugt außerhalb der Produktionszeit.
Was ist mit Anlagen, für die es keine Updates mehr gibt?
Das ist der Normalfall, nicht die Ausnahme. Wenn Patchen ausscheidet, bleibt die Umgebung: ein eigenes Netzsegment, eng gefasste Übergänge, keine direkte Internetverbindung, befristete und protokollierte Fernwartung. Damit sinkt das Risiko erheblich, ohne dass die Anlage angefasst wird.
Verliert die Maschine ihre Konformität, wenn Sie daran prüfen?
Nicht, wenn wir sie nicht verändern – und das tun wir nicht. Wir prüfen die Umgebung und die Kommunikation, nicht das Gerät selbst. Wo eine Prüfung das Gerät berühren würde, beziehen wir vorher den Hersteller ein.
Wie hängt das mit NIS2 und dem Cyber Resilience Act zusammen?
NIS2 verlangt von betroffenen Unternehmen eine Bewertung der Wirksamkeit ihrer Sicherheitsmaßnahmen – im Produktionsumfeld ist eine solche Prüfung der anerkannte Weg dorthin. Der Cyber Resilience Act betrifft Sie zusätzlich, wenn Sie selbst vernetzte Produkte herstellen.
Quellen und weiterführende Informationen
- BSI: Durchführungskonzept für Penetrationstests (Studie)
- OWASP Top 10 – die häufigsten Web-Schwachstellen
- FIRST: Common Vulnerability Scoring System (CVSS)
Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.
Kontakt
Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr
Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.