OT-Sicherheit für die Produktion
Produktion und Büro hängen in vielen Betrieben im selben flachen Netz. Fängt sich ein Rechner im Vertrieb Ransomware ein, erreicht sie die Fertigung. Dann steht die Halle.
Ich trenne die Netze, bringe die Fernwartungszugänge unter Kontrolle und räume das über Jahre gewachsene Firewall-Regelwerk auf. Dieselbe Technik, die vorher Konzerne mit mehreren tausend Nutzern abgesichert hat, angepasst an einen Betrieb mit 80 Mitarbeitern.
Was ich in Produktionsnetzen immer wieder sehe
Produktion und Büro im selben flachen Netz
Ein Rechner im Vertrieb fängt sich Ransomware ein, und weil kein Segment dazwischenliegt, erreicht sie die Maschinensteuerung. Ein Klick in der Buchhaltung, und die Halle steht.
Fernwartungszugänge, die keiner mehr kennt
Maschinenhersteller haben sich vor Jahren einen Zugang eingerichtet. Wer ihn heute nutzt, über welchen Weg und mit welchem Passwort, weiß im Betrieb niemand. Jeder dieser Zugänge ist eine offene Tür, an die sich keiner erinnert.
Steuerungen, die nie ein Update bekommen
Die SPS läuft seit zwölf Jahren und darf nicht angefasst werden, sonst steht die Produktion. Patchen ist keine Option. Absichern lässt sie sich trotzdem, indem man sie einkapselt, statt sie zu verändern.
Ein Firewall-Regelwerk, an das sich keiner herantraut
Über zehn Jahre sind hunderte Regeln entstanden, viele davon längst tot. Keiner löscht sie, aus Angst, etwas Wichtiges zu treffen. In genau diesem Wildwuchs verstecken sich die Wege, die längst zu gehörten.
Das ist kein Einzelfall, sondern das Muster. Vier Punkte, die in fast jedem Produktionsbetrieb offen liegen und die ein Angreifer als Erstes findet.
Wie ich ein Produktionsnetz absichere
OT-Sicherheit, im Englischen OT Security, ist der Schutz der Betriebstechnik in der Produktion: Maschinensteuerungen, SPS und Fernwartung. Sie folgt anderen Regeln als die Büro-IT, weil sich Anlagen nicht einfach neu starten oder patchen lassen.
Netze trennen
Ich trenne Produktion, Büro und Gäste in eigene Zonen, mit einem sauberen Regelwerk auf einer Next-Generation-Firewall statt mit VLAN-Kosmetik.
Fernwartung kontrollieren
Jeder Herstellerzugang läuft über einen definierten Weg mit starker Anmeldung und Protokoll. Ein Firmen-VPN mit Mehr-Faktor-Anmeldung statt offener Portweiterleitung, auf Wunsch mit FIDO2-Sicherheitsschlüsseln.
Regelwerk bereinigen
Ich lese das gewachsene Firewall-Regelwerk aus, kippe die toten Regeln und dokumentiere, was übrig bleibt.
Steuerungen einkapseln
Nicht patchbare SPS und Altsysteme bekommen eine Zone mit strengem Ein- und Ausgang, statt im offenen Netz zu hängen.
Der Fragebogen kommt sowieso
NIS2 greift über die Lieferkette bis zum Zulieferer durch. Der OEM schickt seinen Security-Fragebogen, und die Cyberversicherung stellt beim Verlängern Fragen, die vorher keiner beantworten konnte. Wer die Netze getrennt und die Zugänge dokumentiert hat, füllt das aus, statt es zu fürchten.
Ihre großen Kunden müssen nachweisen, dass ihre Zulieferer abgesichert sind. Die Anforderung landet bei Ihnen.
Technische Nachweise zu Segmentierung, Zugängen und Backup, mit einem Bericht in der Hand beantwortbar, nicht aus dem Bauch.
Ohne belegte Grundmaßnahmen wird es beim Verlängern eng. Der Bericht hält schriftlich fest, wie Sie aufgestellt sind. Anerkennen muss ihn die Versicherung selbst.
Erst der Befund, dann das Angebot.
Ein offener Fernwartungszugang ist die kürzeste Strecke in Ihre Produktion. Der Außencheck ist der erste Schritt: Ich sehe von außen, welche Systeme aus dem Internet erreichbar sind und ob sich Ihre Domain fälschen lässt.
KOSTENLOS · OHNE ZUGRIFF AUFS NETZ · NUR ÖFFENTLICH SICHTBARES