Die industrielle Angriffsfläche hat sich grundlegend verändert

Als der Ransomware-Angriff auf die Colonial Pipeline im Jahr 2021 die Kraftstoffverteilung an der US-Ostküste lahmlegte, handelte es sich nicht nur um einen Cybersicherheitsvorfall, sondern um eine nationale Infrastrukturkrise. Die Angreifer mussten nicht direkt in die operativen Steuerungen der Pipeline eindringen. Sie fanden einen Weg über das IT-Netzwerk des Unternehmens und verunsicherten die Betreiber hinsichtlich der Integrität der OT-Systeme so sehr, dass diese die Anlagen selbst vollständig abschalteten. Der Schaden: 4,4 Millionen US-Dollar gezahltes Lösegeld, tagelange Ausfälle und ein dauerhafter Wandel in der Wahrnehmung von Regierungen und Industrie, wie physische Betriebsabläufe vor Cyberbedrohungen zu schützen sind.

Dieser Vorfall markierte einen Wendepunkt. Doch es war nicht der letzte. Im Jahr 2024 wurden weltweit über 12.000 Cybersicherheitsvorfälle im ICS-Bereich dokumentiert. Staatlich gelenkte Angriffe auf Energie-, Transport- und Wasserinfrastrukturen stiegen im Vergleich zum Vorjahr um 49 %. Fast die Hälfte aller CPS-betreibenden Organisationen meldete finanzielle Verluste von über 500.000 US-Dollar durch Cybervorfälle, wobei 27 % Verluste von über 1 Million US-Dollar verzeichneten.

Die Rahmenbedingungen haben sich verändert. Cyber-Physische Systeme – das vernetzte Geflecht aus Sensoren, Steuerungen, Aktoren, Netzwerken und industrieller Software, das moderne Betriebsabläufe ermöglicht – sind nicht mehr isoliert. Sie sind konvergent, exponiert und rücken zunehmend in den Fokus von Angreifern.

Die CPS-Bedrohungslage in den Jahren 2024–2025

Diese Zahlen stehen für reale Ereignisse in realen Anlagen: Kraftwerke, Wasseraufbereitungsanlagen, Automobil-Montagelinien, Ölraffinerien. Um die Ursachen zu verstehen, müssen die grundlegenden Herausforderungen identifiziert werden.

Die 7 CPS-Sicherheitsherausforderungen

1: IT/OT-Konvergenz ohne eine Security-First-Architektur

Die Entwicklung hin zu Industrie 4.0 hat der Produktivität einen enormen Schub verliehen – und gleichzeitig erhebliche Risiken für die Sicherheit geschaffen. Die Anbindung von Operational-Technology-Netzwerken an die Unternehmens-IT, Cloud-Plattformen und Datenpipelines von Drittanbietern hat zu einer betrieblichen Effizienz geführt, die noch vor einem Jahrzehnt unvorstellbar war. Sie hat jedoch auch den „Air Gap“ (die physische Trennung) beseitigt, der einst als primäre Verteidigungslinie für Industrieumgebungen diente.

Im Jahr 2024 meldeten 80 % der Hersteller einen Anstieg von Sicherheitsvorfällen nach der Integration von IT-Ressourcen des Unternehmens in die Werksnetze. Die Ursache ist struktureller Natur: Die meisten IT/OT-Konvergenzprojekte werden von Betriebs- oder Finanzteams vorangetrieben und nicht von Sicherheitsarchitekten. Das Ergebnis sind flache oder unzureichend segmentierte Netzwerke, in denen ein kompromittierter Laptop in der Buchhaltung zum Einfallstor in ein SCADA-System werden kann, das eine Turbine oder einen Wasseraufbereitungsprozess steuert.

Das reale Risiko: Laterale Bewegung in Maschinengeschwindigkeit

In klassischen IT-Umgebungen bewegen sich Angreifer in einem Tempo lateral durch die Netzwerke, das eine Erkennung und Reaktion ermöglicht. In konvergenten OT-Umgebungen sind die Folgen einer lateralen Bewegung unmittelbar und physischer Natur. Ein kompromittiertes HMI kann Befehle an eine PLC senden, noch bevor ein Alarm ausgelöst wird. Bis ein Analyst im SOC den Vorfall untersucht, wurde bereits ein Ventil geschlossen, eine Pumpe überdreht oder ein Chargenprozess kontaminiert.

Die Lösung besteht nicht darin, die OT von der IT zu trennen – diese Zeiten sind vorbei. Die Antwort liegt in einer Konvergenzarchitektur, in der Sicherheit von Anfang an integriert ist: eine Netzwerksegmentierung nach dem Purdue-Referenzmodell oder den Zone-Conduit-Prinzipien der ISA/IEC 62443, strikte demilitarisierte Zonen (DMZ) zwischen den Ebenen und eine lückenlose Überwachung an jeder Segmentgrenze.

2: Legacy-Systeme ohne praktikablen Patch-Pfad

Wer die Werkshalle einer fast beliebigen Industrieanlage mit Baujahr vor 2010 betritt, findet dort Steuerungen, Sensoren und Kommunikationsmodule, bei deren Entwicklung die betriebliche Zuverlässigkeit die einzige technische Priorität war. Sicherheit spielte keine Rolle. Viele dieser Geräte laufen mit einer Firmware, die seit Jahren nicht aktualisiert wurde – nicht aus Nachlässigkeit, sondern weil das Patchen eines laufenden Produktionssystems operationale Risiken birgt, die den gefühlten Nutzen für die Cybersicherheit oft übersteigen.

Dadurch entsteht eine strukturelle Schwachstelle, die Angreifer systematisch auszunutzen gelernt haben. Der Schadsoftware-Angriff Triton/TRISIS auf eine petrochemische Anlage in Saudi-Arabien im Jahr 2017 zielte speziell auf sicherheitsgerichtete Systeme (SIS) ab – jene Steuerungsebene, die physische Katastrophen verhindern soll. Die Angreifer wussten, dass diese Systeme fast nie gepatcht, selten überwacht werden und dennoch sicherheitskritische Funktionen steuern. Ihr Ziel war es, das Sicherheitssystem zu deaktivieren, damit ein anschließender Angriff ein unkontrolliertes physisches Ereignis auslösen konnte.

Kompensierende Sicherheitskontrollen als Alternative zum Patchen

Für Verantwortliche in der Industrie ist klar, dass viele ältere Geräte niemals gepatcht werden – sie laufen schlicht bis zu ihrem Austausch. Die Sicherheitsstrategie muss sich daher auf kompensierende Kontrollen konzentrieren:

●     Netzwerksegmentierung, um Legacy-Geräte von der Außenwelt und dem restlichen Netz zu isolieren

●     Passives Monitoring zur Erkennung anomaler Kommunikationsmuster, ohne das Gerät direkt zu belasten

●     Strikte Zugriffskontrolle, damit nur autorisiertes Personal mit Altsystemen interagieren kann

●     Überwachung der Firmware-Integrität zur Erkennung unbefugter Änderungen auf Binärebene

●     Definierte Upgrade-Roadmaps, die risikoreiche Legacy-Assets priorisieren

3: Unvollständige Asset-Sichtbarkeit in der CPS-Umgebung

Man kann nur schützen, was man auch sieht. Dieses im IT-Bereich einfache Prinzip gestaltet sich in der Operational Technology außerordentlich komplex. Moderne Industrieanlagen können Tausende von Assets umfassen: PLCs, RTUs, HMIs, Engineering-Workstations, intelligente Sensoren, Sicherheitssteuerungen, Netzwerk-Switches und IIoT-Geräte – von denen viele installiert wurden, ohne jemals formell erfasst worden zu sein.

Eine Branchenstudie aus dem Jahr 2024 ergab, dass durchschnittliche Industrieunternehmen 40 % mehr OT-Assets im Einsatz hatten, als offiziell dokumentiert waren. Diese unbekannten Assets stellen tote Winkel dar, nach denen Angreifer aktiv suchen. Der FrostyGoop-Malware-Angriff auf ein ukrainisches Fernwärmesystem im Januar 2024 nutzte ein direkt an das Internet angebundenes Modbus-Gerät aus, von dessen externer Erreichbarkeit der Betreiber keine Kenntnis hatte.

Aufbau eines dynamischen Asset-Inventars

Effektive CPS-Sichtbarkeit erfordert mehr als ein einmaliges Audit. Erforderlich ist eine kontinuierliche, passive Asset-Erkennung (Passive Asset Discovery), die neue Geräte beim Anschließen identifiziert, Firmware-Versionen erfasst und das Kommunikationsverhalten überwacht – ohne den laufenden Betrieb zu stören. Aktives Scannen kann in OT-Umgebungen zum Absturz von Legacy-Geräten führen; passives Monitoring über die Analyse des Netzwerkverkehrs ist hier der anerkannte Industriestandard.

Ein präzises, aktuelles Asset-Inventar bildet zudem das Fundament für alle weiteren Sicherheitsmaßnahmen. Risikopriorisierung, Schwachstellenmanagement, Vorfallsreaktion (Incident Response) und Compliance-Berichterstattung hängen direkt davon ab, dass man genau weiß, welche Systeme in der Umgebung aktiv sind.

4: Schwaches Identitäts- und Zugriffsmanagement in operativen Umgebungen

Standard-Anmeldedaten gehören nach wie vor zu den am häufigsten ausgenutzten Schwachstellen in industriellen Systemen. Eine Analyse von OT-Sicherheitsvorfällen aus dem Jahr 2025 zeigte, dass voreingestellte oder gemeinsam genutzte Anmeldedaten bei einem Großteil der unbefugten Zugriffe eine entscheidende Rolle spielten. Die Gründe sind pragmatischer Natur: Ingenieure unter Produktionsdruck teilen sich Konten aus Bequemlichkeit, Hersteller konfigurieren Geräte mit Werkseinstellungen und diese werden nie geändert, und die regelmäßige Änderung von Anmeldedaten auf Altsystemen erfordert oft ungeplante Ausfallzeiten.

Das Problem geht über Passwörter hinaus. Multi-Faktor-Authentifizierung (MFA) – im IT-Bereich längst Standard – wird in OT-Umgebungen selten eingesetzt, da viele Industrieprotokolle und Steuerungssysteme dies nativ nicht unterstützen. Zudem sind Fernzugriffspfade, die während der COVID-Pandemie für den Remote-Betrieb eingerichtet wurden, oft weit über den ursprünglich temporären Zeitraum hinaus aktiv geblieben.

Zero-Trust-Prinzipien für Industrieumgebungen

Industrieunternehmen erkennen zunehmend, dass perimeterbasierte Sicherheitsmodelle nicht mehr genügen. Der moderne Ansatz überträgt Zero-Trust-Prinzipien auf die operativen Realitäten der OT: Verifizierung jedes Benutzers und Geräts, das eine Verbindung herstellen möchte, Durchsetzung des Prinzips der minimalen Rechtevergabe (Least Privilege) auf allen Ebenen und lückenlose Audit-Logs für sämtliche Zugriffe. Dies bedeutet nicht, IT-Zero-Trust-Plattformen direkt auf OT-Netzwerke zu übertragen, sondern die entsprechenden Prinzipien mit OT-nativen Werkzeugen umzusetzen, die den Betrieb nicht beeinträchtigen.

5: Risiken in der Lieferkette und durch Drittanbieter

Die industrielle Cybersicherheit hat ein Drittanbieter-Problem. Nahezu jeder Fertigungsbetrieb, Energieversorger und Betreiber kritischer Infrastrukturen ist bei der Wartung von Anlagen, Software-Updates und dem Remote-Support auf externe Dienstleister angewiesen. Diese Schnittstellen, die häufig über VPNs, Remote-Desktop-Tools oder herstellereigene Wartungsportale realisiert werden, stellen Einfallstore dar, die klassische Sicherheitskontrollen umgehen.

Der SolarWinds-Angriff im Jahr 2019 war das prägende Beispiel für Lieferkettenrisiken (Supply Chain Risks) in IT-Umgebungen. Doch auch die Operational Technology hat ihre eigene Historie: Der Stuxnet-Wurm, der 2010 iranische Urananreicherungszentrifugen beschädigte, gelangte über infizierte USB-Sticks von externen Dienstleistern in die Systeme. Der Angriffsvektor war physisch, der Mechanismus basierte auf dem Vertrauen in die Lieferkette.

Im Jahr 2024 wurden Lieferkettenschwachstellen in allen großen OT-Sicherheitsberichten als eines der drei größten Risiken identifiziert. Fortgeschrittene Schadsoftware, die gezielt auf Software für die industrielle Lieferkette abzielt – wie Fuxnet, die gegen einen russischen Infrastrukturbetreiber eingesetzt wurde –, beweist, dass Angreifer aktiv Fähigkeiten entwickeln, um die Beziehungen zu Drittanbietern im großen Stil auszunutzen.

Eine Governance für den Anbieterzugriff, die den operativen Realitäten entspricht

●     Jede Verbindung eines Drittanbieters muss zeitlich klar begrenzt und für jede Sitzung explizit autorisiert werden

●     Fernzugriffspfade sollten über dedizierte, überwachte Kanäle und nicht über allgemeine Unternehmens-VPNs laufen

●     Software-Updates und Patches von Anbietern müssen vor dem Einspielen in die Produktion validiert werden

●     Vertragliche Sicherheitsanforderungen müssen fest in den Vereinbarungen mit allen OT-relevanten Zulieferern verankert sein

●     Kontinuierliches Monitoring inklusive Anomalieerkennung muss alle netzwerkseitigen Sitzungen von Drittanbietern abdecken

6: Unzureichende operationale Resilienz und Incident-Response-Fähigkeiten

Die meisten Industrieunternehmen verfügen über Business-Continuity-Pläne. Die wenigsten haben jedoch getestete, speziell auf OT ausgerichtete Incident-Response-Pläne, die den besonderen Bedingungen eines Cybervorfalls mit physischen Auswirkungen auf den Betrieb Rechnung tragen. Dieser Unterschied ist im Ernstfall entscheidend.

Als der Aluminiumhersteller Norsk Hydro 2019 von Ransomware getroffen wurde, musste das Unternehmen mehrere Schmelzprozesse auf manuellen Betrieb umstellen – ein Verfahren, das nur funktionierte, weil die Ingenieure die physischen Systeme gut genug verstanden, um sie ohne digitale Unterstützung zu steuern. Der Gesamtschaden wurde auf 40 Millionen US-Dollar geschätzt. Ohne das tiefe Prozesswissen und die manuellen Rückfalllösungen hätte der Schaden weitaus gravierender ausfallen können.

Viele Unternehmen verfügen jedoch nicht über diese Voraussetzungen. Wenn Ransomware zeitgleich den Historian-Server und die SCADA-Engineering-Workstations verschlüsselt, fehlt es Teams oft an erprobten Abläufen. Sie kontaktieren ihren IT-Incident-Response-Dienstleister und müssen feststellen, dass dieser noch nie in einer OT-Umgebung gearbeitet hat und den sicheren Zustand (Safe State) einer PLC nicht zu definieren weiß.

Merkmale einer OT-bereiten Vorfallsreaktion (Incident Response)

●     Vordefinierte Playbooks, die primär auf die Aufrechterhaltung des Betriebs und nicht nur auf die reine Datenwiederherstellung abzielen

●     Erprobte Backup- und Recovery-Prozesse für Konfigurationen von Steuerungssystemen und Historian-Daten

●     Eindeutige Eskalationspfade, die die Betriebsleitung und nicht nur das IT-Sicherheitsteam einbinden

●     Regelmäßige Tabletop-Übungen, die realistische OT-Angriffsszenarien wie Ransomware, Lieferkettenkompromittierungen und Innentäter-Szenarien simulieren

●     Ein Bereitschaftsvertrag mit einem spezialisierten OT/ICS-Incident-Response-Dienstleister, der schnell vor Ort unterstützen kann

7: Fragmentierte Compliance bei sich dynamisch entwickelnden regulatorischen Vorgaben

Die regulatorischen Anforderungen für industrielle Cybersicherheit waren noch nie so dynamisch – und gleichzeitig so fragmentiert. Energieversorger müssen Vorgaben wie NERC CIP erfüllen. Betreiber kritischer Infrastrukturen in Europa stehen vor der Umsetzung von NIS-2 (in Deutschland verankert im BSIG / KRITIS-Dachgesetz). Die Fertigungs- und Prozessindustrie orientiert sich zunehmend an der IEC 62443. Zulieferer im Verteidigungssektor müssen CMMC-Anforderungen erfüllen. Wasserversorger unterliegen sektorspezifischen Vorgaben. Global agierende Unternehmen stehen oft vor der Herausforderung, all diese Anforderungen gleichzeitig erfüllen zu müssen.

Das Problem liegt dabei selten an den Standards selbst, sondern an der Lücke zwischen den regulatorischen Anforderungen und der operativen Realität vor Ort. Die IEC 62443 fordert beispielsweise eine zonenbasierte Netzwerksegmentierung, Security-Level-Assessments und dokumentierte Incident-Response-Prozesse. Die meisten älteren Industrieanlagen wurden jedoch nicht unter diesen Gesichtspunkten konzipiert. Eine nachträgliche Implementierung in bestehende Infrastrukturen erfordert erhebliche Investitionen, betriebliche Abstimmung und technisches Know-how.

Compliance als Treiber für echte Sicherheit, nicht nur als Alibi

Die effektivsten Sicherheitskonzepte im industriellen Sektor nutzen regulatorische Vorgaben als strukturellen Rahmen, um echte Sicherheitsfähigkeiten aufzubauen, statt sie als reine Dokumentationsübung zu verstehen. Wer eine präzise Gap-Analyse nach IEC 62443 durchführt, stößt zwangsläufig auf Fehlstellen im Asset-Inventar, Schwachstellen in der Segmentierung und Defizite bei der Zugriffskontrolle, die reale Risiken darstellen. Richtig umgesetzte Compliance führt direkt zu verbesserten Sicherheitsresultaten.

Der Schlüssel liegt darin, Experten hinzuzuziehen, die sowohl die technische als auch die regulatorische Dimension beherrschen – Experten, die verstehen, wie sich eine Schwachstelle im DNP3-Protokoll auf eine Sicherheitskontrolle auswirkt, und die dies in einen operativen Behebungsplan übersetzen können, den die Projektingenieure vor Ort tatsächlich umsetzen können.

Wie Shieldworkz Sie bei der Bewältigung dieser Herausforderungen unterstützt

Shieldworkz wurde speziell für industrielle Umgebungen entwickelt – unsere Lösungen wurden nicht einfach von IT-Sicherheitsplattformen adaptiert und nachträglich über OT-Netze gestülpt. Unsere Expertise umfasst OT-Sicherheitsarchitekturen, ICS-Threat-Intelligence, Schutzplattformen für Cyber-Physische Systeme (CPS) und die operativen Anforderungen, die für den Schutz kritischer Infrastrukturen ohne Beeinträchtigung der Produktion zwingend erforderlich sind.

Wir arbeiten eng mit den Sicherheitsteams vor Ort, den CISOs, den ICS-Ingenieuren und der Betriebsleitung zusammen, um das gesamte Spektrum der CPS-Sicherheitsherausforderungen zu bewältigen – von der ersten Bestandserfassung bis zum langfristigen Aufbau eines ganzheitlichen Sicherheitsprogramms.

Branchen, die wir unterstützen

●     Fertigungsindustrie & diskrete Produktion

●     Energieerzeugung & Stromnetze

●     Öl-, Gas- & Petrochemische Industrie

●     Wasser- & Abwasserwirtschaft (KRITIS)

●     Transport- & Logistikinfrastruktur

●     Chemische Industrie & Pharmazie

●     Gebäudeautomation & Smart Facilities

CPS-Sicherheit ist operationales Risikomanagement

Jede in diesem Beitrag beschriebene CPS-Sicherheitsherausforderung hat eine Gemeinsamkeit: Die Folgen eines Systemausfalls werden nicht in kompromittierten Datensätzen oder Bußgeldern bemessen, sondern in Produktionsausfällen, Sicherheitsvorfällen, Infrastrukturstörungen und im schlimmsten Fall in Gefahren für Leib und Leben.

Genau das unterscheidet die industrielle Cybersicherheit fundamental von der klassischen Enterprise-IT-Sicherheit. Und genau deshalb ist die Wahl des passenden Sicherheitspartners so entscheidend. Die theoretischen Frameworks mögen ähnlich sein – die Risiken sind es nicht.

Industrieunternehmen, die das Thema CPS-Sicherheit ernst nehmen, warten nicht erst auf einen schwerwiegenden Vorfall. Sie führen ehrliche Bewertungen ihres aktuellen Sicherheitsniveaus durch, identifizieren die kritischsten Lücken und bauen Schutzprogramme auf, die sich parallel zum laufenden Betrieb realisieren lassen – nicht gegen ihn.

Wenn Ihre Organisation bereit ist, das Sicherheitsniveau Ihrer CPS-Umgebungen fundiert zu analysieren, steht Shieldworkz Ihnen als Partner zur Seite. Unser Team vereint tiefgehendes technisches Know-how, reale Industrieerfahrung und den Anspruch, funktionale Sicherheit in Ihrer realen Betriebsumgebung zu etablieren – und nicht nur auf dem Papier.

Ihre Anlagen verdienen Schutz auf Industrieniveau

Jeder Tag, an dem CPS-Sicherheitslücken ungelöst bleiben, ist ein Tag, an dem potenzielle Angreifer im Vorteil sind. Ob Sie Ihre aktuelle Sicherheitslage bewerten, auf einen Vorfall reagieren müssen oder eine langfristige OT-Sicherheitsstrategie entwickeln möchten – unser Team unterstützt Sie kompetent.

Vereinbaren Sie eine kostenfreie Erstberatung mit unseren Experten

Sprechen Sie direkt mit den OT/ICS-Sicherheitsspezialisten von Shieldworkz, die Ihre industrielle Umgebung genau kennen. Keine Standard-Ratschläge. Keine reinen IT-Konzepte. Echte, praxiserprobte Expertise für die Werkshalle.

Zusätzliche Ressourcen:

IEC 62443 für industrielle Cybersicherheit hier
Checkliste für die OT-Netzwerksegmentierung hier
Was sind Wechselmedien? Risiken, Richtlinien und OT-Sicherheitslösungen hier
Kostenlose Richtlinien-Vorlage für Wechselmedien für OT- und IT-Teams hier
Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier
Checkliste zur Vorbereitung auf das interne Netzwerk-Sicherheitsmonitoring nach NERC CIP-015 für Energieversorgungsunternehmen hier