Der Kauf einer OT-Security-Lösung gleicht dem Erwerb eines Geländefahrzeugs auf Basis einer Checkliste für den Stadtverkehr. Auf dem Papier sieht alles perfekt aus, doch sobald reale Bedingungen ins Spiel kommen, versagt das System. Genau das passiert, wenn Werksleiter, OT-Ingenieure und CISOs die Beschaffung von industrieller Cybersecurity auf dieselbe Weise angehen wie den Kauf herkömmlicher Unternehmenssoftware.

Fehler beim Kauf von OT-Security-Lösungen verschwenden nicht nur Budget. Sie lassen kritische Infrastrukturen (KRITIS) ungeschützt, führen zu Reibungen zwischen IT- und OT-Teams und können die Implementierung von Schutzmaßnahmen um Monate oder gar Jahre verzögern. Wir haben erlebt, dass Organisationen sechsstellige Beträge für Tools ausgegeben haben, die nie über die Pilotphase hinausgekommen sind – schlichtweg, weil vor der Vertragsunterzeichnung niemand die richtigen Fragen gestellt hat.

Dieser Blog-Beitrag beleuchtet die zehn häufigsten Fehler bei der Beschaffung von OT-Security, die uns in heutigen KRITIS-Sicherheitsprojekten begegnen. Zu jedem Fehler erhalten Sie eine präzise Erklärung der Ursachen, die realen Auswirkungen sowie eine praxisnahe Checkliste, um diese zu vermeiden. Am Ende verfügen Sie über einen Leitfaden, mit dem Sie jedes OT-Sicherheitsprojekt präzise und zuverlässig bewerten können.

Bevor wir fortfahren, lesen Sie gerne auch unseren vorherigen Blog-Beitrag mit einer detaillierten Analyse zur Cyberexpressung und zum Datenabfluss bei Novo Nordisk hier.

Warum sich die OT-Security-Beschaffung von der IT-Beschaffung unterscheidet

Bevor wir auf die Fehler eingehen, ist es wichtig zu verstehen, warum die Beschaffung von OT-Cybersecurity einen eigenen Ansatz erfordert.

IT-Systeme werden wöchentlich gepatcht. OT-Systeme laufen hingegen teilweise auf Betriebssystemen, die seit einem Jahrzehnt kein Update mehr erhalten haben, weil die entsprechende SPS (PLC) oder das HMI einen Prozess steuert, der keinerlei Stillstandszeiten toleriert. IT-Sicherheits-Tools sind darauf ausgelegt, Netzwerke aktiv zu scannen, zu prüfen und im Bedarfsfall Prozesse zu unterbrechen. OT-Umgebungen können solche Störungen nicht verkraften, ohne dass Sicherheitsrisiken für Mensch und Maschine oder Produktionsausfälle drohen.

Dieser fundamentale Unterschied erklärt die meisten Fehler auf dieser Liste. Wenn Kaufentscheidungen mit einem IT-Mindset getroffen werden, führt dies unweigerlich zu einer Diskrepanz zwischen der erworbenen Lösung und den tatsächlichen Anforderungen der Werksebene.

Fehler 1: OT-Security wie eine IT-Anschaffung behandeln und bewerten

Viele Unternehmen übertragen die Beschaffung von OT-Sicherheitslösungen demselben Team, das auch Firewalls und Endpoint-Protection für Büro-Laptops einkauft. Die Logik dahinter scheint plausibel: Es handelt sich schließlich in beiden Fällen um „Cybersecurity“, oder?

In der Praxis führt dies zu Lösungen, die industrielle Protokolle wie Modbus, DNP3 oder OPC-UA nicht interpretieren können. Es führt zu aktiven Scanning-Tools, die ältere Steuerungssysteme (PLCs) zum Absturz bringen. Und es führt zu einer Alarmmüdigkeit (Alert Fatigue), da die Plattform nicht zwischen normalen OT-Verkehrsmustern und echten IT-Anomalien unterscheiden kann.

So vermeiden Sie diesen Fehler:

• Stellen Sie vor den ersten Gesprächen mit Anbietern ein gemeinsames IT-OT-Evaluierungsteam auf.

• Verlangen Sie von jedem Anbieter in der engeren Auswahl eine genaue Erklärung, wie seine Lösung passives im Vergleich zu aktivem Monitoring handhabt.

• Fordern Sie konkrete Nachweise über industrielle Protokolle und Hardware-Hersteller an, mit denen die Lösung bereits erfolgreich im Einsatz ist.

• Bestehen Sie auf OT-spezifische Fallstudien (Case Studies) anstelle von allgemeinen Referenzen aus der Office-IT.

Die Bewertung einer OT-Security-Lösung muss stets mit der Prämisse beginnen, dass sich Ihre Produktionsumgebung grundlegend von einem Corporate Network unterscheidet. Geht ein Anbieter nicht proaktiv auf diesen Unterschied ein, ist dies ein deutliches Warnsignal.

Fehler 2: Verzicht auf eine präzise Asset-Inventarisierung vor dem Kauf

Sie können nicht schützen, was Sie nicht sehen – und Sie können nicht das richtige Werkzeug kaufen, wenn Sie Ihre zu schützenden Assets nicht im Detail kennen. Dennoch beginnt eine Vielzahl von OT-Sicherheitsprojekten mit Produktpräsentationen, noch bevor eine vollständige Asset-Inventarisierung durchgeführt wurde.

Dies führt schnell zu Problemen: Sie entscheiden sich eventuell für eine Plattform, die hervorragend für die Überwachung von Ethernet/IP-Netzwerken geeignet ist, nur um später festzustellen, dass 40 % Ihrer Infrastruktur über serielle Verbindungen läuft, welche das Tool nicht erfassen kann.

Praktische Schritte vor dem Kauf:

1. Führen Sie eine vollständige passive Netzwerkanalyse (Asset Discovery) durch, um jedes Gerät, jede Steuerung und jeden Kommunikationspfad zu identifizieren.

2. Dokumentieren Sie Protokolltypen, Firmware-Versionen und die Netzwerksegmentierung über alle Standorte hinweg.

3. Kennzeichnen Sie Legacy-Systeme, die nicht gepatcht oder ersetzt werden können, da diese besonderen Schutzmaßnahmen bedürfen.

4. Nutzen Sie dieses Inventar als verbindliches Anforderungsdokument für sämtliche Anbietergespräche.

Dieser einzelne Schritt verhindert mehr Fehlentscheidungen bei der OT-Security-Beschaffung als fast jeder andere Punkt auf dieser Liste. Zudem stärkt er Ihre Verhandlungsposition: Anbieter nehmen Sie deutlich ernster, wenn Sie mit präzisen Daten statt mit vagen Problembeschreibungen auftreten.

Fehler 3: Ignorieren der Gesamtbetriebskosten (Total Cost of Ownership – TCO)

Der Listenpreis einer OT-Security-Plattform entspricht selten den tatsächlichen Gesamtkosten. Lizenzgebühren sind lediglich der Einstieg. Implementierung, Schulung, kontinuierliche Systemoptimierung, zusätzliche Sensoren für neue Standorte und Wartungsverträge summieren sich schnell.

Wir haben erlebt, dass Organisationen Budgets auf Basis der Lizenzkosten für das erste Jahr bewilligt haben, nur um sich später in mehrjährigen Verträgen mit ungeplanten und hohen Infrastrukturkosten wiederzufinden.

Checkliste für Gesamtbetriebskosten (TCO)

Die Integration dieser Tabelle in Ihren Ausschreibungsprozess (RFP) überführt unpräzise Budgetdiskussionen in einen strukturierten Vergleich. Dies ist eine der effektivsten Best Practices für OT-Security, die Sie sofort umsetzen können.

Fehler 4: Kaufentscheidung ohne klar definierte Anwendungsfälle (Use Cases)

„Wir benötigen mehr Transparenz“ ist kein konkreter Use Case. Ohne spezifische, messbare Ziele wird jede Präsentation eines Anbieters beeindruckend wirken, und es wird Ihnen schwerfallen, Optionen rational und jenseits eines bloßen Bauchgefühls zu vergleichen.

Spezifische Use Cases wären beispielsweise das Erkennen unbefugter Änderungen an der SPS-Logik, die Signalisierung nicht autorisierter Fernzugriffssitzungen oder das Identifizieren unbekannter Geräte im OT-Netzwerk. Jedes dieser Szenarien erfordert unterschiedliche funktionale Prioritäten.

So definieren Sie Use Cases vor dem Kaufprozess:

• Befragen Sie die Betriebsingenieure und Anlagenbediener nach ihren drei größten Sicherheitsbedenken.

• Analysieren Sie vergangene Vorfälle – auch kleinere Störungen –, um wiederkehrende Schwachstellen zu identifizieren.

• Gleichen Sie die Use Cases mit regulatorischen Standards ab, beispielsweise den Zonen und Übergängen (Conduits) gemäß IEC 62443.

• Priorisieren Sie Use Cases nach ihrer geschäftlichen Tragweite und Relevanz für die Betriebskontinuität, nicht nur nach technischem Interesse.

Wenn Sie mit drei bis fünf priorisierten Use Cases in Gespräche mit Anbietern gehen, gewinnt die gesamte Evaluierung an Präzision. Sie fragen nicht mehr allgemein: „Was kann Ihre Plattform leisten?“, sondern gezielt: „Kann Ihre Plattform diese spezifische Aufgabe in unserer konkreten Umgebung zuverlässig lösen?“

Fehler 5: Vernachlässigung der Integration in bestehende Betriebsabläufe

Eine Sicherheitsplattform, die nicht mit Ihren vorhandenen SOC-Tools, Ticketsystemen oder Ihrem SIEM kommunizieren kann, schafft lediglich ein weiteres Silo, anstatt das Sichtbarkeitsproblem zu lösen. Analysten müssen Alarme manuell auf verschiedenen Bildschirmen abgleichen, was die Reaktionszeit verlängert und das Risiko erhöht, kritische Ereignisse zu übersehen.

Dies ist einer der am häufigsten unterschätzten Fehler bei der Beschaffung industrieller Sicherheitslösungen, da Integrationsfähigkeiten in Verkaufspräsentationen selten realistisch dargestellt werden. Sie zeigen sich meist erst nach der Implementierung.

Wichtige Fragen zur Integration an jeden Anbieter:

• Unterstützt die Plattform standardisierte API-Integrationen mit unserem bestehenden SIEM?

• Können Warnmeldungen automatisch Tickets in unserem IT-Service-Management (ITSM) erstellen?

• Gibt es ein einheitliches Dashboard, oder müssen Analysten mehrere separate Konsolen überwachen?

• Wie handhabt die Plattform die Korrelation von Alarmen zwischen IT- und OT-Umgebungen?

Fordern Sie eine Live-Demonstration der Integration an, nicht nur eine Folie mit Partnerschaftslogos. Logos auf einer Folie sind Marketing – ein funktionierender Datenfluss zwischen Systemen ist der Beleg.

Fehler 6: IT-Entscheidungen ohne Einbeziehung der OT-Experten treffen

Dieser Fehler ist so folgenschwer, dass er eine eigene Betrachtung erfordert. Wenn IT-Teams OT-Sicherheitsprojekte ohne die Beteiligung von Betriebs- und Automatisierungsingenieuren vorantreiben, sieht die resultierende Lösung auf dem Netzwerkplan oft hervorragend aus, scheitert jedoch im realen Betrieb der Anlage.

Ingenieure vor Ort kennen die Details, die in keiner Feature-Liste stehen: welche Systeme keinerlei zusätzliche Latenz vertragen, welche Steuerungen empfindlich auf Netzwerk-Scans reagieren und welche Prozesse für ein Sicherheitsupdate keinesfalls unterbrochen werden dürfen.

So bauen Sie ein ausgewogenes Beschaffungsteam auf:

• Binden Sie mindestens einen Betriebsingenieur oder OT-Verantwortlichen in jede Evaluierungsrunde ein.

• Geben Sie den OT-Spezialisten ein echtes Vetorecht bei Lösungen, die operative Risiken bergen, anstatt sie nur beratend anzuhören.

• Übersetzen Sie technische Sicherheitsanforderungen in die betriebliche Sprache der Teams vor Ort, damit diese validiert werden können.

• Dokumentieren Sie betriebliche Einschränkungen (Uptime-Fenster, Sicherheits- und Schutzsysteme, Wartungsintervalle) als verbindliche Kriterien, nicht als rein optionale Anforderungen.

Dieser Schritt wandelt die Lieferantenauswahl von einer reinen Compliance-Übung in eine tragfähige, gemeinschaftliche Entscheidung für das gesamte Unternehmen um.

Fehler 7: Die Wahl eines Anbieters ohne tiefgehendes OT-Fachwissen

Viele Anbieter haben ihr Marketing von der IT- auf die OT-Security verlagert, ohne ihre Technologie wirklich für industrielle Umgebungen anzupassen. Sie nutzen die gängigen Fachbegriffe, aber ihre Support-Teams verstehen den Unterschied zwischen einer Modbus-Ausnahme und einer Netzwerkanomalie oft nicht.

Dies wird im Ernstfall schmerzhaft deutlich, wenn standardisierte IT-Support-Leitfäden nicht zu den Realitäten Ihrer Steuerungssysteme passen.

Warnsignale bei fehlender Anbieter-Expertise:

• Support-Mitarbeiter können grundlegende Fragen zum Verhalten spezifischer SPS- oder RTU-Systeme nicht beantworten.

• Fallstudien beziehen sich ausschließlich auf die Core-IT, während OT nur am Rande erwähnt wird.

• Vertriebsingenieure können nicht erklären, wie ihre Erkennungslogik normale Abweichungen im industriellen Prozess berücksichtigt.

• Auf die Frage, wie mit veralteten, nicht mehr unterstützten Betriebssystemen umgegangen wird, gibt es keine präzise Antwort.

Positive Signale (Green Flags) für echte Expertise:

• Eigens für die OT geschulte Support-Ingenieure anstelle eines allgemeinen Helpdesks.

• Die Bereitschaft, die Erkennungslogik für spezifische Industrieprotokolle im Detail zu erläutern.

• Referenzkunden in Ihrer spezifischen Branche (z. B. Energie, Fertigung, Wasser, Öl & Gas).

• Eine klare und dokumentierte Methodik für den Umgang mit segmentierten und physisch getrennten Netzwerken (Air-gapped Networks).

Fehler 8: Verzicht auf eine Pilotphase oder ein Proof of Concept (PoC)

Der Kauf einer unternehmensweiten Lizenz ohne vorherigen Test in Ihrer realen Produktionsumgebung gehört zu den risikoreichsten Fehlern bei OT-Investitionen. Was im Labor des Anbieters einwandfrei funktioniert, verhält sich in Ihrem spezifischen Mix aus Legacy-Systemen und moderner Hardware selten exakt identisch.

Ein strukturierter Pilotbetrieb validiert die tatsächliche Leistung jenseits von Marketingversprechen.

Checkliste für ein erfolgreiches Pilotprojekt

• Wählen Sie einen repräsentativen Standort oder eine Produktionslinie aus, idealerweise mit einer Mischung aus Altsystemen und modernen Anlagen.

• Definieren Sie die Erfolgskriterien vor Beginn des Piloten schriftlich (z. B. Erkennungsgenauigkeit, Fehlalarmquote, Integrationsleistung).

• Setzen Sie einen festen Zeitrahmen an (typischerweise vier bis acht Wochen) und definieren Sie klare Meilensteine.

• Beteiligen Sie sowohl IT- als auch OT-Mitarbeiter an der Auswertung der Testergebnisse.

• Dokumentieren Sie jede noch so kleine Beeinträchtigung des Betriebs, die während des Piloten auftritt.

• Gleichen Sie die Ergebnisse des Piloten direkt mit Ihren ursprünglich definierten Use Cases ab, statt sich auf allgemeine Eindrücke zu verlassen.

Wenn ein Anbieter ein solches Pilotprojekt ablehnt oder erschwert, sollten Sie aufmerksam werden. Vertrauen in das eigene Produkt zeigt sich meist in der Bereitschaft, es unter realen Bedingungen testen zu lassen.

Fehler 9: Vernachlässigung regulatorischer Vorgaben und Compliance-Standards

Projekte im Bereich der kritischen Infrastrukturanforderungen müssen zunehmend strenge regulatorische Vorgaben erfüllen, sei es die IEC 62443, BSI-Leitfäden oder europäische Vorgaben wie die NIS-2-Richtlinie. Der Kauf eines Tools, das diese Anforderungen nicht nativ unterstützt, führt später zu erheblichem manuellem Aufwand oder im schlimmsten Fall zu Beanstandungen bei Audits.

Dies ist ein häufiger, aber vermeidbarer Fehler, insbesondere wenn Unternehmen nach der Ankündigung von Compliance-Fristen reaktiv agieren, anstatt vorausschauend zu planen.

Checkliste zur Compliance-Ausrichtung:

• Identifizieren Sie alle regulatorischen Anforderungen, die Ihr Unternehmen erfüllen muss, inklusive zukünftiger, noch nicht aktiver Vorgaben.

• Fordern Sie von jedem Anbieter eine detaillierte Zuordnung (Mapping) der Plattformfunktionen zu den spezifischen Compliance-Vorgaben an.

• Prüfen Sie, ob die Plattform audit-bereite Berichte erstellt oder lediglich Rohdaten liefert, die Sie manuell aufbereiten müssen.

• Klären Sie, wie der Anbieter auf regulatorische Änderungen reagiert und seine Plattform zukunftssicher anpasst.

Die Entscheidung für eine Plattform mit starker Compliance-Abdeckung spart bei Audits erhebliche Ressourcen und entlastet Ihre Compliance-Verantwortlichen nachhaltig.

Fehler 10: Unterschätzung des Change-Management-Aufwands

Selbst die technologisch führende OT-Sicherheitsplattform scheitert, wenn Ihr Team sie nicht bedienen kann, den Alarmmeldungen misstraut oder das System nicht in die täglichen Arbeitsabläufe integriert wird. Das Change-Management wird in vielen Beschaffungsprozessen vernachlässigt, obwohl es eine Kernkomponente der Kaufentscheidung sein sollte.

Fragen, die Sie vor Vertragsunterzeichnung klären sollten:

• Wie sehen die konkrete Einarbeitung (Onboarding) und die Schulungen aus, über ein einfaches Kick-off-Meeting hinaus?

• Wie werden die Alarmschwellen in den ersten 90 Tagen optimiert (Tuning), um Fehlalarme zu minimieren?

• Wer übernimmt intern die Verantwortung für das kontinuierliche Management der Plattform, und sind dafür ausreichende Kapazitäten vorhanden?

• Wie definieren wir den Erfolg nach 30, 60 und 90 Tagen nach dem Go-live?

Entwickeln Sie parallel zur Kaufentscheidung einen klaren internen Rollout-Plan. Weisen Sie Verantwortlichkeiten für die Überwachung, Systempflege und Berichterstellung zu – und zwar vor dem Produktivstart, nicht erst nach dem Auftreten der ersten Probleme.

Schnellübersicht: Die 10 Fehler im Überblick

Fazit: Ein präziser und strukturierter OT-Sicherheits-Einkaufsprozess

Die Vermeidung dieser typischen Fehler bei der OT-Security-Beschaffung setzt nicht voraus, dass Sie über Nacht zum Procurement-Spezialisten werden. Es geht vielmehr darum, den Prozess zu Beginn gezielt zu verlangsamen, um präzisere Fragen zu stellen. Jeder Fehler auf dieser Liste lässt sich letztlich auf eine gemeinsame Ursache zurückführen: die Behandlung von OT-Sicherheitsprojekten wie Standard-Software-Einkäufen, ohne deren spezialisierten Charakter und die operativen Risiken für den laufenden Betrieb zu berücksichtigen.

Unternehmen, die diesen Prozess erfolgreich meistern, folgen bewährten Prinzipien. Sie investieren vor ersten Verkäufergesprächen in die Transparenz ihrer Assets. Sie binden die Fachexperten der Produktionsebene in jede Entscheidung ein. Sie fordern reale Pilotprojekte ein, anstatt Laborumgebungen blind zu vertrauen. Und sie behandeln regulatorische Compliance und Systemintegration als Kernanforderungen, nicht als nachträgliche Zusatzaufgaben.

Dies erfordert weder ein riesiges internes Team noch unbegrenzte Budgets. Es erfordert Struktur, die richtigen Fragestellungen und die Konsequenz, von Anbietern präzise Antworten einzufordern.

Wie Shieldworkz fundierte Entscheidungen beim Kauf von OT-Security unterstützt

Wir bei Shieldworkz unterstützen Werksleiter, OT-Ingenieure und CISOs in verschiedenen KRITIS-Sektoren präzise bei der Bewältigung dieser Herausforderungen. Wir wissen, dass die Evaluierung von OT-Security-Lösungen kein Standardprozess sein kann, da sich keine zwei industriellen Umgebungen gleichen.

Unser Team bringt tiefgehendes OT-Fachwissen in jedes Gespräch ein – ohne verallgemeinernde IT-Sicherheitsphrasen. Wir begleiten Unternehmen methodisch bei der Asset-Erfassung, der Use-Case-Definition, der Durchführung von Pilotprogrammen sowie der Compliance-Ausrichtung nach IEC 62443 und den BSI-Vorgaben, damit Ihr Beschaffungsprozess exakt den realen Anforderungen Ihrer Betriebsumgebung entspricht.

Zusammenfassung und nächste Schritte

Die wichtigsten Kernpunkte zur Vorbereitung Ihres nächsten OT-Sicherheitsprojekts:

• Starten Sie immer mit einer vollständigen Asset-Inventarisierung vor dem ersten Anbieterkontakt.

• Definieren Sie konkrete, messbare Use Cases, die auf reale betriebliche Risiken abgestimmt sind.

• Berechnen Sie die realen Gesamtbetriebskosten (TCO), nicht nur die reinen Lizenzgebühren.

• Binden Sie Ihre OT-Ingenieure als aktive Entscheidungsträger ein, nicht nur als Berater.

• Verifizieren Sie die tatsächliche OT-Fachexpertise des Anbieters vor Vertragsunterzeichnung.

• Führen Sie ein reales Pilotprojekt mit klar definierten Erfolgskriterien durch.

• Gleichen Sie jede Lösung präzise mit Ihren regulatorischen Verpflichtungen ab.

• Planen Sie das Change-Management und die Einarbeitung ab dem ersten Tag ein.

Eine strukturierte Beschaffung schützt Ihr Budget, sichert Ihren Projektzeitplan und bewahrt vor allem die Zuverlässigkeit und Sicherheit Ihres Betriebs. Die Risiken sind bekannt, lassen sich jedoch mit einem strukturierten Prozess konsequent ausschließen.

Möchten Sie Ihre Anforderungen direkt besprechen? Fordern Sie eine Demo bei unseren OT-Security-Experten an, um gemeinsam Ihre spezifische Umgebung, Use Cases und Prioritäten zu analysieren.

Weitere Ressourcen:

OT Cyber Threat Intelligence Advisory – Middle East hier
NIS2-Richtlinie: Erreichen der Compliance durch IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und OT-Sicherheitslösungen hier
Kostenlose Richtlinien-Vorlage für Wechselmedien für OT- und IT-Teams hier