Die Sichtbarkeitslücke im OT: Warum Compliance damit beginnt, Ihr Netzwerk im Blick zu haben

Industrielle Umgebungen unterliegen einem ständigen Wandel. Solange Sicherheitsteams nicht nachvollziehen können, wie sich Ressourcen und Kommunikationswege entwickeln, beruhen Segmentierung, Reaktion auf Sicherheitsvorfälle und die Einhaltung von Vorschriften weiterhin teilweise auf Annahmen. 

Erfahren Sie, warum Visibilität im OT-Bereich die Grundlage für eine effektive Segmentierung, die Reaktion auf Sicherheitsvorfälle und die nachweisbare Einhaltung der Vorschriften gemäss NIS2, KRITIS und IEC 62443 bildet.

Eine Firewall-Regel legt fest, was zulässig ist. Die beobachtete Netzwerkkommunikation zeigt, was tatsächlich geschieht. Die Sicherheit der Betriebstechnik hängt davon ab, diesen Unterschied zu verstehen.

Betritt man einen OT-Sicherheitsworkshop, dreht sich die Diskussion in der Regel schon innerhalb der ersten paar Minuten um Technologien. Netzwerksegmentierung, industrielle Firewalls, Fernzugriff, Asset-Erfassung und Erkennungsplattformen sind bekannte Themen. Sie sind unverzichtbare Bestandteile einer ausgereiften Sicherheitsarchitektur. 

Aber oft mischen sie sich zu früh in das Gespräch ein. 

Bevor eine Organisation entscheidet, wo eine weitere Kontrollmassnahme eingeführt werden soll, muss sie ein zuverlässiges Verständnis des Umfelds haben, das durch diese Massnahme geschützt werden soll. Die meisten OT-Führungskräfte würden diesem Grundsatz zustimmen. Nur wenige von ihnen können jedoch mit Sicherheit sagen, dass ihre Anlagenverzeichnisse, Netzwerkdiagramme und Kommunikationspläne noch immer die tatsächlichen Gegebenheiten an allen Produktionsstandorten widerspiegeln. 

Diese Lücke ist selten auf mangelhafte Governance zurückzuführen. Industrielle Umgebungen verändern sich einfach schneller als ihre Dokumentation. 

Eine Verpackungsanlage wird in Betrieb genommen. Ein Engineering-Arbeitsplatz bleibt auch nach Abschluss des Projekts verbunden. Ein OEM erhält während eines Stillstandszeitraums Fernzugriff. Ein älteres Windows-System erhält eine neue Schnittstelle zum Manufacturing Execution System (MES). Firewall-Regeln werden angepasst, um ein dringendes Produktionsproblem zu beheben, und anschliessend nie vollständig überprüft. 

Jede Änderung mag – für sich genommen – sinnvoll sein. Mit der Zeit weicht die tatsächlich betriebene Umgebung jedoch zunehmend von der Umgebung, wie sie vorgesehen war, ab. 

Compliance trifft auf die betriebliche Realität

Viele Vorbereitungen zur Einhaltung von Vorschriften beginnen nach wie vor mit der Dokumentation. Die Teams aktualisieren das Bestandsverzeichnis, überprüfen Netzwerkdiagramme, überarbeiten Richtlinien und kontrollieren, ob die Verfahren zur Reaktion auf Vorfälle vollständig sind. 

Diese Aktivitäten sind zwar wichtig, doch Dokumente können nur dann als Nachweis dienen, wenn sie einen Bezug zur operativen Realität haben. 

NIS2 verpflichtet betroffene Stellen dazu, angemessene, verhältnismässige und wirksame Massnahmen zum Management von Cybersicherheitsrisiken umzusetzen und zu dokumentieren. Deutsche KRITIS-Betreiber müssen zudem nachweisen, dass die vorgeschriebenen Sicherheitsmassnahmen umgesetzt wurden. Die Vorgabe ist eindeutig: Es reicht nicht mehr aus, lediglich die beabsichtigte Sicherheitsarchitektur zu beschreiben. Organisationen müssen zunehmend nachweisen, dass die Kontrollmassnahmen in der tatsächlichen Betriebsumgebung wirksam bleiben (BSI-Leitfaden zu den NIS2-Verpflichtungen, BSI-Leitfaden zum KRITIS-Nachweis).  

Dadurch ändern sich die Fragen, die im Rahmen einer Beurteilung gestellt werden: 

• Welche OT-Systeme sind derzeit in Betrieb, einschliesslich nicht verwalteter und älterer Systeme? 

• Welche Verbindungen verlaufen quer durch Produktionszonen? 

• Sind seit der letzten Überprüfung neue Kommunikationswege entstanden? 

• Entspricht der beobachtete Datenverkehr noch dem genehmigten Segmentierungsmodell? 

• Könnte die Organisation einen Vorfall mehrere Monate nach dessen Eintreten rekonstruieren? 

Diese Fragen mögen zwar im Rahmen einer Compliance-Diskussion aufkommen, sind aber im Grunde genommen operative Fragen. Um sie zu beantworten, bedarf es mehr als nur einer gut gepflegten Tabelle.

Die Dokumentation beschreibt die vorgesehene Betriebsumgebung. Nachweise zur Einhaltung der Vorschriften müssen zunehmend die tatsächlich vorliegende Betriebsumgebung widerspiegeln.

Wenn das Diagramm nicht mehr ausreicht

Nehmen wir einen Hersteller, der sich darauf vorbereitet, die Segmentierung über mehrere Produktionsbereiche hinweg zu verstärken. 

Die Zielarchitektur wurde bereits entwickelt. Zonen und Kanäle sind definiert, Firewall-Richtlinien werden derzeit ausgearbeitet, und das Projektteam hat sich darauf geeinigt, welche Systeme über die jeweiligen Grenzen hinweg kommunizieren sollen. Auf dem Papier ist das Design bereit für die Umsetzung. 

Bevor die Firewall-Regeln geändert werden, beobachtet das Team die bestehenden Kommunikationsmuster. 

Mehrere Erkenntnisse führen zu einer Änderung des Projekts. 

Ein technischer Arbeitsplatz, der bei einer früheren Anlagenmodernisierung zum Einsatz kam, kommuniziert nach wie vor mit Steuerungen in einem anderen Produktionsbereich. Ein Altsystem, das im Anlagenverzeichnis nur eine untergeordnete Rolle zu spielen scheint, tauscht tatsächlich Daten mit mehreren Produktionsprozessen aus. Verbindungen, die als veraltet galten, sind weiterhin aktiv, während mehrere für den laufenden Betrieb erforderliche Pfade in der Dokumentation nicht aufgeführt sind. 

All dies deutet nicht zwangsläufig auf böswillige Aktivitäten hin. Es spiegelt vielmehr die kumulativen Auswirkungen von Wartungsarbeiten, Inbetriebnahmen und Produktionsänderungen wider. 

Die Umsetzung des ursprünglichen Firewall-Konzepts ohne diese Informationen könnte zur Unterbrechung legitimer Prozesse führen. Die Techniker müssten dann unter Produktionsdruck die Störung diagnostizieren, die dafür verantwortliche Regel ermitteln und die Konnektivität schnell wiederherstellen. In einer solchen Situation hat die Sicherheitsrichtlinie in der Regel gegenüber der Verfügbarkeit das Nachsehen, oft durch eine weiter gefasste Ausnahme, als ursprünglich beabsichtigt war. 

Die vorherige Beobachtung des Netzwerks verzögert die Segmentierung nicht. Sie verringert vielmehr die damit verbundene Unsicherheit.

Warum grosse Programme immer weiter wachsen

Viele OT-Sicherheitsinitiativen starten mit weitreichenden Zielen: neue Firewalls, eine umfassendere Sensorabdeckung, sicherere Fernzugriffe, zusätzliche Überwachung und eine verbesserte Erkennung an allen Standorten. 

Jede Komponente lässt sich für sich genommen rechtfertigen. Zusammen bilden sie ein Transformationsprogramm, das die Beschaffung von Hardware, Netzwerkänderungen, Wartungsfenster, Produktionsplanung, Lieferantenkoordination und umfangreiche Tests beinhaltet. 

Während diese Arbeiten voranschreiten, verändert sich das Umfeld ständig. Neue Geräte werden in Betrieb genommen, Lieferanten beantragen Zugänge, und vorübergehende Änderungen werden Teil des normalen Betriebsablaufs. Wenn die Einführung beginnt, sind einige der während der Planung getroffenen Annahmen bereits überholt. 

Eine sinnvollere Vorgehensweise besteht darin, frühzeitig einen umfassenden, passiven Überblick zu gewinnen und die daraus gewonnenen Erkenntnisse als Orientierung für die darauf folgenden grösseren Investitionen zu nutzen. 

Das bedeutet nicht, dass man die Architektur aufgeben oder unvollständige Sicherheit in Kauf nehmen muss. Es bedeutet vielmehr, herauszufinden, wo Sicherheitsmassnahmen den grössten Nutzen bringen, bevor man sich auf Änderungen festlegt, die kostspielig sind oder den Betrieb beeinträchtigen. 

Die Frage lautet nicht mehr: „Wie können wir alles absichern?“, sondern: „Was geschieht derzeit in unserem Umfeld, und wo entstehen dadurch erhebliche Risiken?“ 

Diese Frage führt in der Regel zu einem gezielteren Programm. 

Von der angenommenen Kommunikation zum beobachteten Verhalten

Sobald die Teams beginnen, mit den beobachteten Kommunikationsmustern zu arbeiten, werden die Diskussionen konkreter. 

Eine vorgeschlagene Firewall-Regel kann mit dem Datenverkehr verglichen werden, der die betreffende Segmentationsgrenze tatsächlich überquert. Die Prüfung einer existierenden Remote-Wartungsverbindung kann mit Kontextinformationen angereichert werden: Wann das erste Mal Daten flossen, welche Systeme sie anspricht und ob sie noch aktiv ist. Ein älteres Gerät kann anhand seiner Rolle im Produktionsprozess und nicht allein anhand seines Alters bewertet werden. 

Dies kann die Entscheidungen über Sicherheitsinvestitionen auf verschiedene Weise beeinflussen: 

• Segmentierungsprojekte orientieren sich an tatsächlichen Abhängigkeiten und nicht nur an Diagrammen. 

• Bei der Überprüfung eines Fernzugriffs liegt der Schwerpunkt auf Verbindungen, die kritische Prozesse betreffen. 

• Wartungsänderungen können im Nachhinein überprüft werden, um sicherzustellen, dass der vorübergehende Zugriff aufgehoben wurde. 

• Der Schutz von Altsystemen kann entsprechend ihrer betrieblichen Bedeutung und ihres Risikos priorisiert werden. 

• Nachweise für die Einhaltung der Vorschriften können aus kontinuierlich beobachteten Zuständen abgeleitet werden, anstatt kurz vor einem Audit zusammengestellt zu werden. 

Visibilitität entscheidet nicht darüber, was eine Organisation zulassen sollte. Das bleibt eine Frage der Sicherheitsarchitektur, des Betriebs, des Risikos und der Unternehmensführung. Sie liefert lediglich die Belege, die für diese Entscheidungen erforderlich sind. 

Diese Unterscheidung ist wichtig. Ein Kommunikationspfad kann technisch unerwartet, aber betrieblich notwendig sein. Ein anderer kann zwar durch eine Firewall-Regel zugelassen sein, aber keinen legitimen Zweck mehr haben. Keine der beiden Situationen lässt sich allein anhand von Netzwerkdaten beurteilen, doch ohne diese Daten sind beide schwer zu erkennen.

Eine Firewall-Regel legt fest, was erlaubt ist. Das Netzwerkverhalten zeigt, was tatsächlich geschieht. Für die OT-Governance sind beide Aspekte erforderlich.

Der Unterschied während einer Ermittlung

Wie wichtig der historische Kontext ist, wird besonders deutlich, wenn sich etwas ändert. 

Angenommen, während der Nachtschicht entsteht eine neue Verbindung zwischen zwei Produktionsbereichen. Diese Aktivität kann im Zusammenhang mit geplanten technischen Arbeiten, einem falsch konfigurierten Gerät, einem Wartungseinsatz des Originalherstellers oder einem tatsächlichen Sicherheitsvorfall stehen. 

Bevor das Team entscheidet, wie es reagieren soll, muss es Folgendes verstehen: 

• Wann flossen zum ersten Mal Daten? 

• Haben diese Systeme schon einmal miteinander kommuniziert? 

• Waren für eines der beiden Systeme Wartungsarbeiten geplant? 

• Welcher Produktionsprozess hängt von ihnen ab? 

• Wem gehören die Vermögenswerte und wer kann die betrieblichen Auswirkungen einschätzen? 

• Was würde passieren, wenn die Verbindung oder eines der Systeme ausfallen würde? 

In vielen Unternehmen sind zur Beantwortung dieser Fragen mehrere Teams und Tools erforderlich. Das SOC nimmt die Warnmeldung zwar wahr, verfügt jedoch nicht über den produktionsbezogenen Kontext. OT-Ingenieure verstehen den Prozess, haben aber möglicherweise keinen Zugriff auf die historischen Sicherheitsdaten. Ein externer Anbieter verfügt möglicherweise weder über eine aktuelle Bestandsübersicht noch über das erforderliche lokale Fachwissen. 

Die Verzögerung ist nicht unbedingt auf eine unzureichende Erkennung zurückzuführen. Sie ergibt sich daraus, dass zunächst die Umgebung rekonstruiert werden muss, bevor mit der Untersuchung angefangen werden kann. 

Durch die kontinuierliche Visibilität verschiebt sich der Ausgangspunkt. Teams können feststellen, ob eine Verbindung tatsächlich neu ist, die beteiligten Systeme überprüfen und das Ereignis in einen bekannten Kommunikationskontext einordnen. OT-Fachwissen ist nach wie vor unverzichtbar, insbesondere wenn Eindämmungsmassnahmen die Sicherheit oder Verfügbarkeit beeinträchtigen könnten, doch die Ingenieure verbringen weniger Zeit damit, grundlegende Fakten zu ermitteln. 

Im Ernstfall kommt es auf diesen Unterschied an. Das Ziel besteht nicht einfach darin, schneller eine Warnmeldung auszugeben, sondern eine fundierte operative Entscheidung mit geringerer Unsicherheit zu treffen. 

Ein sinnvollerer Ausgangspunkt

Die OT-Sicherheit wird manchmal als Wahl zwischen der Akzeptanz von Sicherheitslücken und der Einführung einer umfangreichen, tief in Abläufe eingreifenden Lösung dargestellt. Der sinnvollere Weg liegt jedoch zwischen diesen beiden Extremen. 

Bestehende Firewalls, Switches und weitere Sicherheitsinfrastruktur liefern möglicherweise bereits Netzwerk-Metadaten, die einen ersten Überblick über die Ressourcen und Kommunikationsflüsse ermöglichen. Spezielle OT-Sicherheitstools können bei Bedarf zusätzliche Informationen über verwendete Kommunikationsprotokolle und Kontext zu den kommunizierenden Ressourcen liefern. Welche Kombination dieser Informationen benötigt wird, hängt von der jeweiligen Umgebung ab, doch das Grundprinzip bleibt: Nutzen Sie verfügbare Erkenntnisse frühzeitig und erweitern Sie diese dann gezielt. 

Wir bei Exeon sehen Visibilität als Ausgangspunkt für die Umsetzung von OT-Sicherheit, nicht als Ersatz für industrielle Firewalls, OT-Sicherheitsplattformen oder das Fachwissen der Anlageningenieure. Eine gemeinsame Sicht auf das Netzwerkverhalten trägt dazu bei, dass diese bestehenden Kontrollmechanismen und Teams effektiver zusammenarbeiten können. 

Industrieumgebungen werden sich weiterentwickeln. Die Integration von IT und OT wird sich vertiefen, Fernwartung wird aus betrieblicher Sicht unverzichtbar bleiben, und Legacy-Systeme werden kritische Prozesse noch lange nach ihren geplanten Austauschterminen unterstützen. 

Das Netzwerkdiagramm wird immer nützlich sein. Es kann jedoch nicht finale Aussagen über das tatsächliche Geschehen im Netzwerk treffen. 

Unternehmen, die die geplante Netzwerkarchitektur mit dem tatsächlichen Verhalten vergleichen können, sind besser in der Lage, sorgfältig zu segmentieren, effizient zu untersuchen und nachzuweisen, dass ihre Kontrollmassnahmen auch über den Zeitpunkt eines Audits hinaus funktionieren. Was man nicht sieht, kann man auch nicht schützen, segmentieren oder prüfen, aber Aufsichtsbehörden erwarten von Unternehmen zunehmend Nachweise, dass sie genau das können. 

Die wichtigsten Erkenntnisse

• OT-Umgebungen weichen schrittweise von ihrer Dokumentation ab, da sich Gerät, Zugangswege und Produktionsabhängigkeiten ändern. 

• Die Beobachtung der Kommunikation vor der Umsetzung der Segmentierung verringert das Risiko, legitime Produktionsprozesse zu stören. 

• Durch kontinuierliche Visibilität können Teams den Unterschied zwischen zulässigem Datenverkehr und betrieblich gerechtfertigtem Datenverkehr erkennen. 

• Der historische Kontext ermöglicht es SOC- und OT-Teams, ihre Untersuchungen auf der Basis gesicherter Erkenntnisse zu beginnen, anstatt die Umgebung unter Zeitdruck rekonstruieren zu müssen. 

• Nachweise zur Einhaltung von Vorschriften gewinnen an Glaubwürdigkeit, wenn sie kontinuierlich beobachtete Zustände widerspiegeln und nicht nur eine Momentaufnahme darstellen.

Weiterlesen

OT-Sicherheit ohne zusätzlichen Aufwand

Wie können Unternehmen Lücken in der Transparenz der OT schliessen, die Segmentierung validieren und die operative Widerstandsfähigkeit verbessern, ohne dabei unnötige Komplexität zu verursachen?

Laden Sie das Whitepaper „OT-Sicherheit ohne Mehraufwand“ herunter, um einen praktischen Ansatz kennenzulernen, wie Sie zunächst Visibilität schaffen und diese dann als Grundlage für die anschliessenden Kontrollmassnahmen, Prozesse und Investitionen nutzen können. 

OT Security Evaluation Guide

Wenn Sie Ihren aktuellen OT-Sicherheitsansatz bewerten möchten, bietet der „OT Security Evaluation“ Leitfaden für die OT-Sicherheitsbewertung eine strukturierte Herangehensweise zur Überprüfung der Visibilität, Segmentierung, des betrieblichen Kontexts und der Bereitschaft im Falle von Vorfällen.