OT-/GA-Sicherheit — Fernzugriffe, Segmentierung und Basisschutz organisieren

Eine wirksame Segmentierungsstrategie trennt OT- und GA-Netze von der Unternehmens-IT und unterteilt die operative Umgebung zusätzlich in klar definierte Zonen. Ziel ist es, Kommunikation nur dort zuzulassen, wo sie für den Betrieb erforderlich, freigegeben und überwacht ist.

OT-Netzwerke dürfen nicht wie klassische Büronetzwerke behandelt werden. Produktionssteuerungen, Gebäudeautomationscontroller und Versorgungssysteme benötigen stabile Kommunikationsbeziehungen, definierte Protokolle und kontrollierte Änderungen. Eine offene Vernetzung erhöht das Risiko, dass Schadsoftware, Fehlkonfigurationen oder kompromittierte Benutzerkonten von einem Bereich in andere kritische Bereiche übergreifen.

Die Segmentierung sollte risikobasiert erfolgen. Besonders kritische Produktionsanlagen, Energieversorgungssysteme, Steuerungssysteme für technische Medien und zentrale Gebäudeautomationsserver sind stärker zu schützen als weniger kritische Überwachungs- oder Berichtssysteme. Kommunikation zwischen Zonen muss nach dem Prinzip der minimal erforderlichen Verbindung gestaltet werden. Das bedeutet: Nur notwendige Systeme, Ports, Protokolle und Datenflüsse werden zugelassen.

Eine gute Segmentierungsstrategie verfolgt vier Kernziele: Trennung von Unternehmens-IT und operativen Netzen, Isolation kritischer Anlagenbereiche, kontrollierte Kommunikation zwischen Zonen und Verringerung der Ausbreitungsmöglichkeiten bei Sicherheitsvorfällen.

Die Enterprise-IT-Zone umfasst typische Unternehmenssysteme wie E-Mail, Office-Anwendungen, ERP-Systeme, Benutzerverzeichnisse, Druckdienste und Internetzugänge. Direkte Verbindungen aus dieser Zone in OT- oder GA-Systeme sollten vermieden werden. Wo Daten benötigt werden, etwa für Reporting oder Energieauswertungen, sollten sie über definierte Übergabepunkte laufen.

Die DMZ-Zone dient als kontrollierter Zwischenbereich zwischen IT und operativen Netzen. Hier können Systeme platziert werden, die Daten aus OT oder GA bereitstellen, ohne direkte Zugriffe auf Steuerungssysteme zu erlauben. Beispiele sind Historian-Replikate, Monitoring-Server, Patch-Verteilserver, Fernzugriffs-Gateways oder Datentransferdienste.

Die OT-Betriebszone enthält produktionsnahe Steuerungs- und Leitsysteme. Der Zugriff muss streng beschränkt sein, da Änderungen in dieser Zone unmittelbare Auswirkungen auf Fertigung, Prozesssicherheit und Anlagenverfügbarkeit haben können.

Die Gebäudeautomationszone enthält Systeme für HLK, Beleuchtung, Raumautomation, Energiezähler, Zutrittskontrolle und technische Überwachung. Diese Zone sollte nicht unkontrolliert mit der Unternehmens-IT oder Produktions-OT vermischt werden, da GA-Systeme häufig eine hohe Standortabdeckung haben und damit ein attraktiver Einstiegspunkt für Angriffe sein können.

Die Kritische-Asset-Zone umfasst besonders schutzbedürftige Systeme wie zentrale Steuerungen, Safety-nahe Schnittstellen, Hauptleitsysteme, Energiehauptverteilungen, zentrale Medienversorgung oder produktionskritische Engineering-Stationen. Für diese Zone sind zusätzliche Schutzmaßnahmen wie besonders restriktive Firewallregeln, dedizierte Administrationszugänge, engmaschige Überwachung und streng kontrollierte Änderungen erforderlich.

Zur Umsetzung der Segmentierung sind technische und organisatorische Kontrollen erforderlich. Firewalls zwischen Netzwerkzonen bilden die zentrale Schutzbarriere. Sie müssen so konfiguriert werden, dass nur ausdrücklich genehmigte Verbindungen erlaubt sind. Allgemeine Freigaben, breite Portbereiche oder pauschale Regeln für ganze Netzbereiche sind zu vermeiden.

Zugriffskontrollrichtlinien legen fest, welche Benutzergruppen, Systeme und Dienste auf bestimmte Zonen zugreifen dürfen. Diese Richtlinien müssen mit Rollen, Verantwortlichkeiten und Betriebsanforderungen abgestimmt werden. Ein Instandhalter benötigt beispielsweise Zugriff auf andere Systeme als ein externer HLK-Dienstleister oder ein Produktionsingenieur.

Kommunikationsfilterregeln sollten Quell- und Zielsysteme, Ports, Protokolle, Zeitfenster und Zweck der Verbindung enthalten. Jede Regel muss dokumentiert und einer verantwortlichen Person oder Organisationseinheit zugeordnet sein.

Netzwerküberwachung ist erforderlich, um unzulässige Verbindungen, ungewöhnliche Kommunikationsmuster, neue Geräte, Protokollabweichungen oder verdächtige Datenströme zu erkennen. In OT- und GA-Umgebungen ist passive Überwachung oft besonders geeignet, da sie den laufenden Betrieb nicht aktiv beeinflusst.

Kontrollierte Datenübertragungswege müssen für regelmäßige Datenflüsse eingerichtet werden. Dazu gehören Produktionsdaten für Auswertungen, Energieverbrauchsdaten, Alarmmeldungen, Wartungsinformationen oder Berichte. Die Datenübertragung sollte über definierte Server, Gateways oder Schnittstellen erfolgen, nicht über direkte und unkontrollierte Verbindungen.

Segmentierung ist kein einmaliges Projekt, sondern ein dauerhaft zu steuernder Betriebsprozess. Die Netzwerkarchitektur muss aktuell dokumentiert sein. Die Dokumentation sollte Netzpläne, Zonen, Firewallübergänge, Adressbereiche, kritische Systeme, Schnittstellen, zugelassene Protokolle und Verantwortlichkeiten enthalten.

Kommunikationswege sind regelmäßig zu prüfen. Dabei wird kontrolliert, ob bestehende Verbindungen weiterhin betrieblich erforderlich sind, ob temporäre Freigaben entfernt wurden und ob neue Systeme korrekt eingeordnet sind. Besonders nach Projekten, Erweiterungen, Anlagenumbauten, Lieferantenwechseln oder Softwaremigrationen ist eine Überprüfung notwendig.

Genehmigte Verbindungen müssen validiert werden. Das bedeutet, dass Firewallregeln, Routing, Systemzugriffe und tatsächliche Netzwerkkommunikation mit der Dokumentation abgeglichen werden. Abweichungen müssen bewertet und korrigiert werden.

Netzwerkgrenzen sind kontinuierlich zu überwachen. Alarme sollten ausgelöst werden, wenn neue unbekannte Geräte erscheinen, Systeme außerhalb freigegebener Kommunikationsmuster kommunizieren oder Verbindungen aus nicht autorisierten Zonen aufgebaut werden. Der Facility Manager sollte sicherstellen, dass Änderungen an GA- und OT-Netzen nur über definierte Change-Prozesse erfolgen und nicht informell im Rahmen von Wartungsarbeiten umgesetzt werden.

Fernzugriff ist in Industrie- und Facility-Umgebungen notwendig, muss aber streng kontrolliert werden. Er unterstützt Wartung, Störungsanalyse, Softwareanpassungen, Parametrierung, Lieferantenservice, Notfallunterstützung und Remote-Monitoring. Gleichzeitig stellt Fernzugriff eines der größten Risiken dar, wenn er unkontrolliert, dauerhaft aktiv oder nicht ausreichend überwacht ist.

Wartungsaktivitäten erfordern häufig Zugriff auf Steuerungen, Leitsysteme, Gebäudeautomationsserver, Engineering-Tools oder Diagnoseoberflächen. Diese Zugriffe müssen geplant, genehmigt und auf den konkreten Wartungszweck begrenzt werden.

Lieferanten und Auftragnehmer benötigen teilweise Zugriff auf herstellerspezifische Systeme. Dabei muss klar geregelt sein, wer zugreifen darf, auf welche Systeme zugegriffen werden darf, wann der Zugriff erlaubt ist und welche Tätigkeiten durchgeführt werden dürfen.

In Notfällen kann Remote-Support erforderlich sein, um Produktionsausfälle, Störungen der Medienversorgung, HLK-Ausfälle oder kritische Gebäudestörungen schnell zu analysieren. Auch Notfallzugriffe müssen über definierte Verfahren laufen und nachträglich vollständig nachvollziehbar sein.

Remote-Monitoring kann für Energieoptimierung, Anlagenzustandsüberwachung, Alarmauswertung oder Serviceverträge genutzt werden. Dabei muss geprüft werden, welche Daten übertragen werden, wohin sie übertragen werden, ob Rückverbindungen möglich sind und welche Schutzmaßnahmen gelten.

Die Benutzerauthentifizierung stellt sicher, dass nur eindeutig identifizierte und freigegebene Personen Zugriff erhalten. Gemeinsame Konten sollten vermieden werden, da sie keine klare Zuordnung von Aktivitäten ermöglichen. Jeder Zugriff muss einer einzelnen Person, einem Unternehmen und einem Zweck zugeordnet werden können.

Der Zugriffsfreigabeprozess definiert, wer einen Fernzugriff beantragen, genehmigen, aktivieren, begleiten und beenden darf. Für kritische Systeme sollte eine Freigabe durch den Anlagenverantwortlichen, Facility Manager oder Betriebsverantwortlichen erforderlich sein.

Rollenbasierter Zugriff beschränkt Benutzer auf die Systeme und Funktionen, die für ihre Aufgabe notwendig sind. Ein externer Dienstleister für Kälteanlagen sollte beispielsweise keinen Zugriff auf Zutrittskontrollsysteme oder Produktionssteuerungen erhalten, wenn dies nicht ausdrücklich erforderlich ist.

Sitzungsüberwachung ermöglicht die Kontrolle laufender Remote-Aktivitäten. Je nach Kritikalität können Sitzungen live überwacht, aufgezeichnet oder durch einen internen Ansprechpartner begleitet werden. Besonders bei Änderungen an Steuerungslogiken, Parametern oder sicherheitsrelevanten Einstellungen ist eine begleitete Sitzung sinnvoll.

Zugriffsprotokollierung muss festhalten, wer wann von wo auf welches System zugegriffen hat, welche Sitzung gestartet wurde und welche wesentlichen Aktivitäten durchgeführt wurden. Protokolle müssen vor Manipulation geschützt und für Audits, Störungsanalysen und Sicherheitsuntersuchungen aufbewahrt werden.

Fernzugriff darf nicht über ungeprüfte Direktverbindungen, offene Modemzugänge, private Fernwartungstools oder dauerhaft aktive Lieferantentunnel erfolgen. Stattdessen sind zentrale, kontrollierte Fernzugriffs-Gateways einzusetzen. Diese Gateways bündeln Zugriffe, erzwingen Authentifizierung, ermöglichen Protokollierung und begrenzen Verbindungen auf genehmigte Zielsysteme.

Mehr-Faktor-Authentifizierung ist für Fernzugriffe auf OT- und GA-Systeme verpflichtend vorzusehen. Sie reduziert das Risiko, dass kompromittierte Passwörter allein für einen erfolgreichen Zugriff ausreichen.

Zugriffsrechte sollten zeitlich begrenzt werden. Ein Lieferant erhält Zugriff nur für das genehmigte Wartungsfenster und nur auf die benötigten Systeme. Nach Abschluss der Arbeiten ist der Zugriff zu deaktivieren oder automatisch zu entziehen.

Genehmigte Fernsupportverfahren müssen schriftlich festgelegt sein. Sie sollten mindestens Antrag, Freigabe, Identitätsprüfung, Aktivierung, Begleitung, Dokumentation, Abschlusskontrolle und Nachbewertung beschreiben. Für kritische Anlagen sollte festgelegt werden, dass Änderungen nur nach Abstimmung mit Betrieb und Instandhaltung vorgenommen werden dürfen.

Kommunikationskanäle müssen verschlüsselt und abgesichert sein. Verbindungen sollen über verwaltete Systeme laufen, nicht über private Endgeräte oder unkontrollierte Netzwerke. Wo externe Geräte verwendet werden, müssen Mindestanforderungen an Gerätesicherheit, Aktualität, Virenschutz, Verschlüsselung und Benutzeridentifikation definiert werden.

Drittanbieterzugriffe sind besonders sorgfältig zu steuern, da externe Unternehmen oft Spezialwissen und Systemzugänge besitzen, aber nicht dauerhaft in die internen Betriebs- und Sicherheitsprozesse eingebunden sind. Jeder Lieferantenzugriff muss vorab autorisiert und einem konkreten Servicevertrag, Auftrag oder Störungsfall zugeordnet sein.

Der Autorisierungsprozess sollte festlegen, welche Lieferanten zugriffsberechtigt sind, welche Personen benannt sind, welche Systeme betroffen sind, welche Zugriffsart erlaubt ist und wer intern verantwortlich bleibt. Zugriff für nicht benannte oder nicht verifizierte Personen darf nicht freigegeben werden.

Auftragnehmer müssen dieselben Sicherheitsanforderungen erfüllen wie interne Benutzer. Dazu gehören personengebundene Konten, Mehr-Faktor-Authentifizierung, zeitlich begrenzte Zugriffe, Protokollierung, Einhaltung von Change-Prozessen und Meldepflicht bei Auffälligkeiten.

Serviceanbieter müssen für ihre Aktivitäten verantwortlich gemacht werden. Verträge und Betriebsvereinbarungen sollten Sicherheitsanforderungen, Meldewege, Reaktionszeiten, Datenschutzanforderungen, Umgang mit Zugangsdaten, Dokumentationspflichten und Folgen bei Verstößen regeln.

Externe Zugriffsrechte sind regelmäßig zu prüfen. Nicht mehr benötigte Konten, alte Lieferantenzugänge, Projektzugriffe und temporäre Freigaben müssen deaktiviert werden. Besonders nach Personalwechseln, Vertragsende, Anlagenumbauten oder Betreiberwechseln ist eine vollständige Überprüfung erforderlich.

Eine vollständige und aktuelle Bestandsaufnahme ist die Grundlage jeder OT/GA-Sicherheitsorganisation. Ohne Kenntnis der vorhandenen Systeme können Risiken, Schwachstellen, Verantwortlichkeiten und Abhängigkeiten nicht zuverlässig bewertet werden.

Zu erfassen sind alle relevanten OT- und GA-Komponenten. Dazu gehören Steuerungen, Server, Bediengeräte, Engineering-Workstations, Feldgeräte, Gateways, Netzwerkkomponenten, Sensoren, Aktoren, Energiezähler, Zutrittscontroller, Kameraschnittstellen, Alarmserver, Datenlogger, Remote-Access-Komponenten und mobile Wartungsgeräte.

Für jedes Asset sollten mindestens folgende Informationen dokumentiert werden: Systemname, Standort, Funktion, Hersteller, Modell, Seriennummer, IP-Adresse, Netzwerkzone, Firmware- oder Softwareversion, Systemverantwortlicher, technischer Eigentümer, Lieferant, Wartungsvertrag, Kritikalität, Kommunikationsbeziehungen und Backup-Status.

Die Systemverantwortung muss eindeutig zugewiesen werden. Für jedes Asset sollte klar sein, wer fachlich verantwortlich ist, wer technische Änderungen freigibt, wer den Betrieb überwacht und wer im Störungsfall kontaktiert wird.

Die Kritikalitätsklassifizierung hilft bei der Priorisierung von Schutzmaßnahmen. Systeme mit direktem Einfluss auf Produktion, Energieversorgung, Sicherheit, Zutritt, Raumklima für sensible Prozesse oder gesetzlich relevante Betriebsnachweise sind höher einzustufen als reine Anzeigesysteme.

Inventarpflege muss Teil des Änderungsmanagements sein. Neue Anlagen, ausgetauschte Komponenten, Softwareupdates, Netzwerkänderungen und außer Betrieb genommene Systeme müssen zeitnah im Inventar nachgeführt werden.

Benutzer- und Zugriffsmanagement regelt, wer OT- und GA-Systeme verwenden, administrieren, konfigurieren oder warten darf. Ziel ist, Zugriff nur nach Bedarf, Rolle und Genehmigung zu gewähren.

Der Kontenlebenszyklus umfasst Erstellung, Änderung, regelmäßige Überprüfung und Deaktivierung von Benutzerkonten. Neue Konten dürfen nur nach genehmigtem Antrag eingerichtet werden. Bei Rollenwechsel, Abteilungswechsel, Projektende oder Austritt müssen Berechtigungen angepasst oder entfernt werden.

Benutzerrollen sollten klar definiert sein. Typische Rollen sind Bediener, Instandhalter, Facility-Techniker, Produktionsingenieur, Systemadministrator, Lieferant, Auditor und Sicherheitsverantwortlicher. Jede Rolle benötigt ein festgelegtes Berechtigungsprofil.

Privilegierte Konten sind besonders zu schützen. Administrator- und Engineering-Konten dürfen nur für administrative Aufgaben verwendet werden, nicht für allgemeine Bedienung oder Büroarbeit. Passwörter und Zugangsdaten müssen sicher verwaltet, regelmäßig überprüft und bei Personal- oder Lieferantenwechsel geändert werden.

Regelmäßige Zugriffsprüfungen sind erforderlich, um überholte Berechtigungen zu entfernen. Dabei sollte geprüft werden, ob Benutzer noch im Unternehmen oder Projekt tätig sind, ob ihre Rolle unverändert ist, ob Lieferantenzugriffe weiterhin notwendig sind und ob privilegierte Rechte begründet sind.

Passwortrichtlinien müssen an die Anforderungen der OT- und GA-Umgebung angepasst sein. Passwörter dürfen nicht gemeinsam genutzt, offen dokumentiert oder dauerhaft für Lieferantenkonten verwendet werden. Für kritische Systeme sind starke Passwörter, individuelle Konten und kontrollierte Passwortänderungen erforderlich.

Endpoint-Schutz umfasst Maßnahmen zum Schutz von Servern, Workstations, Bediengeräten und mobilen Wartungsgeräten. Dazu gehören Malware-Schutz, Anwendungsbeschränkungen, Gerätekontrolle, sichere Grundkonfiguration und Begrenzung nicht benötigter Dienste. In OT-Umgebungen muss jede Schutzsoftware vor Einführung auf Verträglichkeit mit dem Betrieb geprüft werden.

Konfigurationsmanagement stellt sicher, dass Systeme nach definierten, freigegebenen und dokumentierten Einstellungen betrieben werden. Änderungen an Steuerungslogiken, Netzwerkeinstellungen, Benutzerrechten, Alarmgrenzen, Regelparametern oder Schnittstellen müssen nachvollziehbar genehmigt und dokumentiert werden.

Backup-Verfahren müssen für alle kritischen Systeme vorhanden sein. Dazu gehören Steuerungsprogramme, Konfigurationen, Visualisierungsprojekte, Datenbanken, Serverimages, Rezepturen, Alarmkonfigurationen und Dokumentationen. Backups müssen regelmäßig erstellt, geschützt gespeichert und getestet werden. Ein nicht getestetes Backup ist im Ernstfall kein verlässlicher Wiederherstellungsnachweis.

Patch-Management reduziert bekannte Schwachstellen, darf jedoch den Betrieb nicht gefährden. Updates müssen bewertet, getestet, geplant und in geeigneten Wartungsfenstern installiert werden. Wenn ein Patch nicht kurzfristig eingespielt werden kann, sind kompensierende Maßnahmen erforderlich, etwa zusätzliche Segmentierung, Zugriffsbeschränkungen oder verstärkte Überwachung.

Monitoring und Protokollierung schaffen Transparenz über sicherheitsrelevante Ereignisse, Benutzeraktivitäten und Systemzustände. In OT- und GA-Umgebungen sollten Überwachungsmaßnahmen so gestaltet sein, dass sie den Betrieb nicht stören.

Sicherheitsereignisse sollten von Firewalls, Fernzugriffs-Gateways, Servern, Engineering-Stationen, Verzeichnisdiensten, Leitsystemen, Gebäudeautomationsservern und kritischen Netzwerkkomponenten gesammelt werden. Relevante Ereignisse sind fehlgeschlagene Anmeldungen, privilegierte Zugriffe, Konfigurationsänderungen, neue Geräte, Kommunikationsabweichungen, Dienstneustarts und ungewöhnliche Datenübertragungen.

Zugriffsaktivitäten müssen nachvollziehbar sein. Besonders wichtig sind Administratorzugriffe, Lieferantensitzungen, Änderungen an Steuerungslogiken, Änderungen an GA-Zeitprogrammen, Anpassungen von Sollwerten, Deaktivierung von Alarmen und Änderungen an Benutzerrechten.

Alarme für abnormale Aktivitäten sollten definiert und priorisiert werden. Nicht jeder technische Hinweis ist ein Sicherheitsvorfall. Deshalb müssen Alarmregeln so abgestimmt werden, dass kritische Ereignisse sichtbar werden, ohne das Betriebsteam mit irrelevanten Meldungen zu überlasten.

Protokollaufbewahrung muss den betrieblichen, rechtlichen und auditbezogenen Anforderungen entsprechen. Protokolle sollten manipulationsgeschützt gespeichert und nur berechtigten Personen zugänglich sein. Für kritische Systeme sollten ausreichend lange Aufbewahrungsfristen festgelegt werden, damit Vorfälle auch nachträglich untersucht werden können.

Audit-Trails müssen zeigen, welche Änderungen vorgenommen wurden, wer sie freigegeben hat, wer sie umgesetzt hat und wann sie erfolgt sind. Dies ist besonders wichtig für Nachweise gegenüber Management, Auditoren, Versicherern, Kunden oder Behörden.

Technische Maßnahmen sind nur wirksam, wenn Mitarbeitende und Dienstleister ihre Sicherheitsverantwortung kennen. Sicherheitsbewusstsein muss daher fester Bestandteil des Facility- und Betriebsmanagements sein.

Mitarbeitende müssen verstehen, dass OT- und GA-Systeme nicht wie normale Büro-IT behandelt werden dürfen. Das Anschließen privater Geräte, das Verwenden ungeprüfter USB-Medien, das Teilen von Passwörtern oder das Umgehen von Fernzugriffsprozessen kann direkte Auswirkungen auf Produktion und Gebäudebetrieb haben.

Operative Sicherheitspraktiken sollten regelmäßig geschult werden. Dazu gehören sichere Anmeldung, Umgang mit Engineering-Stationen, Prüfung von Wartungsaufträgen, korrekte Dokumentation von Änderungen, sichere Nutzung mobiler Servicegeräte und Einhaltung definierter Kommunikationswege.

Fernzugriffssicherheit muss besonders betont werden. Interne Mitarbeitende und externe Dienstleister müssen wissen, dass Remote-Zugriffe nur über genehmigte Verfahren erfolgen dürfen. Jede Abweichung, etwa ein privates Fernwartungstool oder ein dauerhaft offener Supportzugang, ist als Sicherheitsrisiko zu behandeln.

Verdächtige Aktivitäten müssen schnell gemeldet werden. Dazu zählen unerwartete Systemmeldungen, unbekannte Geräte im Schaltschrank oder Netzwerk, nicht geplante Fernzugriffe, ungewöhnliche Anlagenreaktionen, deaktivierte Alarme, fehlgeschlagene Anmeldeversuche oder unerklärliche Konfigurationsänderungen. Meldewege müssen einfach, bekannt und im Betrieb praktikabel sein.

Ein Incident-Response-Rahmen legt fest, wie Sicherheitsvorfälle in OT- und GA-Umgebungen erkannt, bewertet, eskaliert, bearbeitet und dokumentiert werden. Da operative Systeme direkte Auswirkungen auf Produktion, Versorgung und Gebäudesicherheit haben können, muss die Reaktion koordiniert und betriebssicher erfolgen.

Verfahren zur Vorfallerkennung beschreiben, welche Ereignisse als potenzielle Sicherheitsvorfälle gelten. Beispiele sind unautorisierte Zugriffsversuche, ungewöhnliche Netzwerkkommunikation, unerklärliche Steuerungsänderungen, Schadsoftwarefunde, Ausfall kritischer Systeme, Manipulation von Alarmen oder kompromittierte Lieferantenzugänge.

Die Klassifizierungsmethodik bewertet Schweregrad, Auswirkung und Dringlichkeit. Kriterien können sein: betroffene Systeme, Einfluss auf Produktion, Einfluss auf Sicherheit, Ausbreitungsrisiko, Daten- oder Konfigurationsverlust, Verfügbarkeit von Ersatzprozessen und mögliche Auswirkungen auf Kunden, Nutzer oder gesetzliche Pflichten.

Eskalations- und Benachrichtigungsprozesse müssen klar festlegen, wann Facility Management, Produktion, IT-Sicherheit, Instandhaltung, Engineering, Management, Lieferanten, Kommunikation oder externe Stellen einzubeziehen sind. Verzögerungen durch unklare Zuständigkeiten sind in kritischen Situationen zu vermeiden.

Rollen und Verantwortlichkeiten müssen vorab definiert sein. Der Facility Manager kann je nach Organisation für Gebäudesysteme, Dienstleisterkoordination, technische Betriebsfähigkeit, Zugang zu Technikbereichen, Notfallmaßnahmen und Kommunikation mit Wartungspartnern verantwortlich sein. IT-Sicherheit führt häufig die technische Sicherheitsanalyse, während Betrieb und Engineering die Auswirkungen auf Anlagen bewerten.

In der Erkennungsphase werden Hinweise aus Monitoring, Alarmen, Benutzerberichten, Lieferantenmeldungen oder Systemausfällen gesammelt. Ziel ist es, zwischen normaler Störung, Fehlbedienung, technischem Defekt und möglichem Sicherheitsvorfall zu unterscheiden.

In der Bewertungsphase wird festgestellt, welche Systeme betroffen sind, ob die Produktion oder Gebäudeversorgung beeinträchtigt ist, ob sich der Vorfall ausbreitet und welche Sofortmaßnahmen erforderlich sind. Dabei müssen Sicherheits- und Betriebsrisiken gemeinsam betrachtet werden.

Die Eindämmung dient dazu, den Schaden zu begrenzen. Maßnahmen können sein: Sperrung eines Benutzerkontos, Trennung eines betroffenen Systems vom Netzwerk, Deaktivierung eines Fernzugriffs, Blockierung bestimmter Kommunikationswege, Umschaltung auf manuellen Betrieb oder Aktivierung eines Ersatzsystems. In OT- und GA-Umgebungen dürfen Eindämmungsmaßnahmen nicht unkoordiniert erfolgen, da eine abrupte Trennung oder Abschaltung den Betrieb gefährden kann.

Die Wiederherstellung umfasst die Rückkehr zu einem sicheren und stabilen Normalbetrieb. Systeme werden bereinigt, neu konfiguriert, aus Backups wiederhergestellt, geprüft und schrittweise wieder in Betrieb genommen. Vor der Freigabe muss bestätigt werden, dass keine unautorisierten Änderungen verbleiben.

Die Nachbereitung bewertet Ursachen, Reaktionsqualität, Kommunikationswege, technische Kontrollen und organisatorische Schwachstellen. Ziel ist es, Wiederholungen zu vermeiden und die Sicherheitsorganisation zu verbessern.

Wiederherstellungsplanung stellt sicher, dass kritische OT- und GA-Systeme nach einem Sicherheitsvorfall, Ausfall oder Fehlzustand geordnet wieder in Betrieb genommen werden können. Dafür sind aktuelle Backups, Wiederanlaufpläne, Verantwortlichkeiten und Prioritäten erforderlich.

Backup- und Wiederherstellungsverfahren müssen für alle kritischen Systeme dokumentiert sein. Es muss klar sein, wo Backups gespeichert sind, wer Zugriff hat, wie sie geprüft werden, wie lange die Wiederherstellung dauert und welche Abhängigkeiten bestehen.

Systemwiederherstellungsprioritäten müssen vor einem Vorfall festgelegt werden. Vorrang haben Systeme, die für Sicherheit, Energieversorgung, Medienversorgung, Produktionsfähigkeit, Gebäudebetrieb und Schutz von Personen erforderlich sind. Nicht jedes System muss gleichzeitig wiederhergestellt werden.

Betriebskontinuität ist bei der Wiederherstellung zu berücksichtigen. Für bestimmte Anlagen können manuelle Betriebsarten, lokale Bedienung, Ersatzregelungen, temporäre Überwachung oder alternative Versorgungswege erforderlich sein. Diese Maßnahmen müssen im Vorfeld bekannt und geübt sein.

Wiederhergestellte Systeme müssen validiert werden. Dazu gehören Funktionsprüfung, Kommunikationsprüfung, Abgleich von Konfigurationen, Prüfung von Benutzerrechten, Test von Alarmen, Kontrolle von Zeitprogrammen, Prüfung von Sollwerten und Bestätigung durch den Anlagenverantwortlichen.

Nach einem Sicherheitsvorfall ist eine strukturierte Nachbearbeitung erforderlich. Sie dient nicht der Schuldzuweisung, sondern der Ursachenklärung und Verbesserung der Schutzmaßnahmen.

Die Ursachenanalyse untersucht, wie der Vorfall entstanden ist. Mögliche Ursachen sind schwache Zugangsdaten, unkontrollierter Fernzugriff, fehlende Segmentierung, ungepatchte Systeme, Fehlkonfigurationen, unzureichende Überwachung, unklare Zuständigkeiten oder Prozessabweichungen.

Die Planung korrektiver Maßnahmen legt fest, welche technischen, organisatorischen und vertraglichen Änderungen erforderlich sind. Jede Maßnahme sollte eine verantwortliche Person, ein Zieltermin, eine Priorität und einen Nachweis der Umsetzung erhalten.

Sicherheitskontrollen müssen nach Vorfällen angepasst werden. Beispiele sind strengere Firewallregeln, bessere Protokollierung, zusätzliche Mehr-Faktor-Authentifizierung, geänderte Lieferantenprozesse, verbesserte Backup-Tests oder neue Schulungsmaßnahmen.

Dokumentation und Berichterstattung müssen vollständig und nachvollziehbar sein. Der Bericht sollte Zeitverlauf, betroffene Systeme, Auswirkungen, getroffene Maßnahmen, Wiederherstellungsschritte, Ursachen, Verbesserungsmaßnahmen und offene Risiken enthalten. Für Management und Audit sind klare, sachliche und belastbare Informationen erforderlich.

Eine wirksame OT/GA-Sicherheitsorganisation benötigt klare Governance. Ohne eindeutige Verantwortlichkeiten werden Sicherheitsmaßnahmen oft uneinheitlich umgesetzt, nicht nachgehalten oder zwischen IT, Facility Management, Produktion und Lieferanten verteilt, ohne dass jemand die Gesamtverantwortung übernimmt.

Sicherheitsverantwortung und Rechenschaftspflicht müssen definiert sein. Für OT- und GA-Systeme sollte klar geregelt sein, wer Risiken bewertet, Sicherheitsanforderungen festlegt, Änderungen freigibt, Vorfälle steuert, Lieferantenzugriffe genehmigt und Compliance-Nachweise bereitstellt.

Die Verantwortlichkeiten der OT- und Facility-Teams müssen aufeinander abgestimmt sein. Facility Management ist häufig für Gebäudetechnik, Wartungskoordination, Betreiberpflichten, Dienstleistersteuerung und technische Verfügbarkeit zuständig. OT-Teams verantworten häufig Produktionssteuerungen, Engineering-Systeme und prozessnahe Automatisierung. IT-Sicherheit unterstützt mit Sicherheitsarchitektur, Monitoring, Richtlinien, Incident Response und Kontrollmechanismen.

Managementaufsicht ist erforderlich, damit Sicherheitsrisiken priorisiert und Ressourcen bereitgestellt werden. Dazu gehören regelmäßige Berichte über Risiken, Vorfälle, Schwachstellen, offene Maßnahmen, Audit-Ergebnisse und Investitionsbedarf.

Funktionsübergreifende Koordination muss institutionalisiert werden. Regelmäßige Abstimmungen zwischen Facility Management, Produktion, Instandhaltung, IT, Informationssicherheit, Einkauf, Recht, Datenschutz und Lieferantenmanagement helfen, Sicherheitsanforderungen frühzeitig in Projekte, Beschaffungen und Betriebsänderungen einzubinden.

OT- und GA-Sicherheitsrichtlinien beschreiben die grundlegenden Anforderungen an den Schutz operativer Systeme. Sie sollten verbindlich regeln, wie Systeme segmentiert, verwaltet, überwacht, geändert und gegen unbefugten Zugriff geschützt werden.

Fernzugriffsverfahren legen fest, wie interne und externe Remote-Zugriffe beantragt, genehmigt, aktiviert, überwacht, protokolliert und beendet werden. Sie müssen insbesondere Lieferanten, Notfallzugriffe, zeitlich begrenzte Freigaben und Nachweispflichten berücksichtigen.

Netzwerkmanagementstandards definieren Zonenkonzepte, Firewallregeln, IP-Adressierung, Netzwerkdokumentation, Freigabeprozesse, zulässige Kommunikationswege und Anforderungen an neue Systeme. Jede neue Anlage oder GA-Erweiterung sollte vor Inbetriebnahme auf die Netzwerkarchitektur abgestimmt werden.

Incident-Response-Verfahren beschreiben die Reaktion auf Sicherheitsvorfälle, einschließlich Erkennung, Bewertung, Eskalation, Eindämmung, Wiederherstellung und Nachbereitung. Sie müssen mit bestehenden Notfall-, Störungs- und Krisenmanagementprozessen kompatibel sein.

Change-Management-Anforderungen stellen sicher, dass technische Änderungen geplant, geprüft, freigegeben, dokumentiert und nach Umsetzung kontrolliert werden. Dies gilt für Softwareupdates, Firewalländerungen, neue Fernzugänge, Parameteränderungen, Steuerungslogiken, Benutzerrechte und Systemmigrationen.

Asset-Sicherheit erfordert, dass kritische Systeme bekannt, klassifiziert, geschützt und regelmäßig überprüft werden. Compliance-Nachweise können Inventarlisten, Kritikalitätsbewertungen, Schutzkonzepte, Wartungsnachweise und Backup-Nachweise umfassen.

Zugriffsmanagement muss zeigen, dass Benutzer und Lieferanten nur genehmigte, erforderliche und überprüfte Berechtigungen besitzen. Nachweise sind Benutzerlisten, Rollenprofile, Freigabeprotokolle, Rezertifizierungen, Protokolle von Remote-Sitzungen und Deaktivierungsnachweise.

Netzwerksicherheit muss belegen, dass OT-, GA- und IT-Netze angemessen getrennt und Kommunikationswege kontrolliert sind. Dazu gehören Netzpläne, Firewallregelwerke, Genehmigungen, Kommunikationsmatrizen, Review-Protokolle und Monitoring-Berichte.

Incident Management muss nachweisen, dass Vorfälle erkannt, bewertet, bearbeitet und nachbereitet werden können. Übungen, Vorfallberichte, Eskalationspläne, Wiederherstellungstests und Maßnahmenverfolgungen sind wichtige Bestandteile.

Dokumentation unterstützt Audits, interne Kontrollen, Versicherungsanforderungen, Kundenanforderungen und regulatorische Nachweise. Sie muss aktuell, nachvollziehbar und zugänglich für berechtigte Personen sein. Veraltete oder unvollständige Dokumentation ist ein operatives Risiko.

OT/GA-Sicherheit muss kontinuierlich weiterentwickelt werden, da Anlagen, Bedrohungen, Lieferantenbeziehungen, gesetzliche Anforderungen und Geschäftsprozesse sich verändern. Ein einmal eingeführtes Sicherheitskonzept verliert ohne regelmäßige Pflege schnell an Wirksamkeit.

Regelmäßige Sicherheitsbewertungen helfen, Schwachstellen und Prozesslücken zu erkennen. Sie können Architekturprüfungen, Zugriffsreviews, Konfigurationsprüfungen, Lieferantenbewertungen, Backup-Tests, Segmentierungsprüfungen und Übungen zur Vorfallreaktion umfassen.

Risikobewertungen müssen aktualisiert werden, wenn neue Anlagen eingeführt, Gebäude erweitert, Produktionslinien verändert, Cloud-Dienste angebunden, Lieferanten gewechselt oder Netzwerke umgebaut werden. Risiken sind nicht statisch und müssen mit dem tatsächlichen Betrieb abgeglichen werden.

Sicherheitsleistung sollte überwacht werden. Geeignete Kennzahlen sind Anzahl offener Schwachstellen, überfällige Maßnahmen, nicht überprüfte Zugriffsrechte, ungeklärte Alarme, erfolgreiche Backup-Tests, abgeschlossene Schulungen, geprüfte Firewallregeln und dokumentierte Fernzugriffe.

Verbesserungsplanung und Umsetzung müssen verbindlich gesteuert werden. Maßnahmen sollten priorisiert, budgetiert, terminiert und regelmäßig berichtet werden. Besonders wirksam sind Verbesserungen, die direkt in Betriebsprozesse, Wartungsroutinen, Beschaffungsvorgaben und Projektstandards integriert werden.

Die OT/GA-Sicherheitsstrategie muss mit operativen und geschäftlichen Zielen übereinstimmen. Sicherheit darf den Betrieb nicht unnötig behindern, muss aber klare Grenzen setzen. Ziel ist ein kontrollierter, stabiler und nachvollziehbarer Anlagenbetrieb, der Produktion, Facility Management, Arbeitssicherheit, Compliance und Geschäftskontinuität unterstützt.