Ein Steuerungsingenieur in einer mittelgroßen Wasseraufbereitungsanlage beschrieb den Moment, als sein Team schließlich eine kontinuierliche Überwachung in ihrem operativen Netzwerk einführte, einmal in einem einfachen Satz: „Wir wussten nicht, was wir nicht wussten.“ Innerhalb der ersten Woche identifizierte die Plattform einen drahtlosen Access Point, den niemand im Team erklären konnte, drei veraltete PLCs, auf denen noch Standard-Anmeldedaten aktiv waren, und ein Muster von Remote-Anmeldungen außerhalb der Arbeitszeiten, das monatelang unbemerkt geblieben war. In dieser Umgebung hatte sich über Nacht nichts verändert. Was sich geändert hatte, war die Transparenz.

Diese Geschichte ist kein Einzelfall. Sie ist tatsächlich die Norm in Fertigungsanlagen, Versorgungsbetrieben, Raffinerien und kritischen Infrastrukturen weltweit. Betriebstechnische Umgebungen (OT) wurden auf Zuverlässigkeit und Sicherheit ausgelegt, nicht für Cybersicherheitsprüfungen, und die meisten waren nie darauf ausgelegt, ihren eigenen Sicherheitszustand zu melden. Da diese Umgebungen immer stärker vernetzt sind, hat sich dieser blinde Fleck zu einem der folgenschwersten Risiken für Industrieunternehmen von heute entwickelt.

Dieser Leitfaden wirft einen tiefen, praxisnahen Blick auf das CPS-Sicherheitsmonitoring, warum es für cyber-physische Systeme unerlässlich geworden ist, was eine moderne CPS-Sicherheitsplattform tatsächlich leisten muss und wie kontinuierliche Transparenz die Art und Weise verändert, wie OT-Sicherheitsverantwortliche betriebliche Risiken erkennen, untersuchen und darauf reagieren.

Abbildung 1: Eine vielschichtige CPS-Sicherheitsmonitoring-Architektur, von Feldgeräten bis hin zum Sicherheitsbetrieb.

Cyber-physische Systeme verstehen und warum sie sich unterscheiden

Cyber-physische Systeme (CPS) sind Technologien, bei denen digitale Steuerung auf physische Aktionen trifft. Eine Speicherprogrammierbare Steuerung (PLC), die ein Ventil öffnet, ein Frequenzumrichter, der einen Motor regelt, ein sicherheitsgerichtetes System (SIS), das einen Prozess abschaltet, bevor er gefährlich wird – dies sind keine abstrakten IT-Assets. Es handelt sich um Systeme, bei denen sich ein Cybersicherheitsvorfall direkt in physischen Konsequenzen niederschlagen kann: ein Produktionsausfall, eine kontaminierte Charge, ein Sicherheitsunfall oder ein regionaler Stromausfall.

Dies ist der Hauptgrund, warum die CPS-Sicherheit nicht einfach das Handbuch der IT-Sicherheit kopieren kann. In einem Büronetzwerk kann ein kompromittierter Laptop den Diebstahl von Daten bedeuten. In einer cyber-physischen Umgebung kann ein kompromittierter Controller bedeuten, dass eine Pumpe trocken läuft, ein Heizkessel außerhalb sicherer Parameter arbeitet oder ein chemisches Dosiersystem die falsche Menge verabreicht. Es geht um physische Auswirkungen und damit auch um physische Dringlichkeit.

Das CPS-Sicherheitsmonitoring existiert, um die Transparenzlücke zwischen dem, was Betreiber in ihrer physischen Umgebung vermuten, und dem, was tatsächlich geschieht, zu schließen. Es ist die Praxis der kontinuierlichen Überwachung von Assets, Netzwerkkommunikation, Konfigurationen und Verhalten über OT-, ICS-, SCADA- und vernetzte IoT-Systeme hinweg, sodass Risiken sichtbar werden, lange bevor sie zu einem Vorfall führen.

Es spiegelt auch einen grundlegenden Wandel in der Art und Weise wider, wie Industrieunternehmen über Resilienz nachdenken. Jahrelang wurde die OT-Sicherheit primär unter dem Aspekt der Segmentierung und Zugriffskontrolle betrachtet – man baute Mauern zwischen Systemen und hoffte, dass diese Mauern hielten. Mauern sind nach wie vor wichtig, aber sie reichen alleine nicht mehr aus. Moderne Industrieumgebungen weisen zu viele legitime Verbindungspunkte, Remote-Zugriffe von Drittanbietern, drahtlose Sensoren und cloudbasierte Historians auf, als dass eine reine Perimeter-Strategie dauerhaftem Druck standhalten könnte. Kontinuierliches Monitoring akzeptiert diese Realität und verlagert den Fokus von der bloßen Abwehr von Bedrohungen darauf, jederzeit genau zu wissen, was innerhalb des Perimeters geschieht – und das mit absoluter Präzision und Verlässlichkeit.

Mehr als nur Erkennung: Warum diese Unterscheidung für Führungskräfte wichtig ist

Für eine OT-Sicherheitsführungskraft, die einen Business Case erstellt, ist der Unterschied zwischen IT-Monitoring und CPS-Monitoring keine technische Nuance, sondern das entscheidende Argument. Budgetausschüsse, Vorstände und Betriebsleiter reagieren auf Risiken, die in ihnen vertrauten Begriffen formuliert sind: Ausfallzeiten, Sicherheitsvorfälle, regulatorische Risiken und Produktionsverluste. Eine CPS-Sicherheitsplattform sichert sich ihren Stellenwert in der Diskussion genau deshalb, weil sie Cyberrisiken in die Betriebssprache übersetzt. Sie gibt der Führungsebene die Möglichkeit, Risiken auf dieselbe Weise zu bewerten wie Geräteausfälle, Lieferengpässe oder die Einhaltung von Sicherheitsvorschriften.

Dies ist auch der Grund, warum CPS-Sicherheitsmonitoring zunehmend in den Risikoregister auf Vorstandsebene und in Gesprächen mit Versicherern auftaucht. Cyber-Versicherer, die industrielle Betriebe abdecken, stellen detailliertere Fragen zur Netzwerksegmentierung, Asset-Transparenz und zum Reifegrad des Monitorings, bevor sie Deckungszusagen verlängern oder erneuern. Regulierungsbehörden, die kritische Infrastrukturen (KRITIS) von Energie über Wasser bis hin zum Transportwesen überwachen, verschärfen die Anforderungen an das kontinuierliche Monitoring und die Meldung von Vorfällen gemäß den KRITIS-Vorgaben und BSI-Sicherheitsstandards. Transparenz ist nicht mehr nur eine Best Practice der Sicherheit; sie wird zu einer grundlegenden Erwartungshaltung aus jeder Richtung – finanziell, regulatorisch und betrieblich.

Risiken, Herausforderungen und Branchenerkenntnisse

Die industrielle Bedrohungslage hat sich in den letzten Jahren drastisch verändert, und die Daten spiegeln ein Muster wider, das OT-Sicherheitsverantwortliche nicht länger als Zukunftsszenario betrachten können. Es ist eine gegenwärtige Bedrohung.

Abbildung 2: Wichtige betriebliche Risikoindikatoren aus aktuellen Branchenuntersuchungen zur ICS/OT-Sicherheit.

Das Problem der Konvergenz

Über Jahrzehnte hinweg arbeiteten OT-Netzwerke in relativer Isolation, konstruktionsbedingt von der Unternehmens-IT getrennt. Diese Trennung verschwindet zunehmend. Produktionshallen sind heute mit ERP-Systemen (Enterprise Resource Planning), Cloud-Analyseplattformen, Remote-Zugriffstools für Drittanbieter und drahtlosen Sensornetzwerken verbunden. Diese Konvergenz bietet echten betrieblichen Nutzen – bessere Daten, schnellere Entscheidungen, effizientere Wartung –, aber sie hebt auch die natürliche Barriere auf, die Industriesysteme einst vor externen Bedrohungen schützte.

Hersteller, die Unternehmens-IT-Ressourcen in Produktionsnetzwerke integriert haben, berichten von einem starken Anstieg von Sicherheitsvorfällen als direkte Folge dieser Konvergenz. Das Muster ist über alle Branchen hinweg konsistent: Je vernetzter eine Umgebung ist, desto dringender benötigt sie eine dedizierte Transparenz darüber, was tatsächlich über ihr Netzwerk übertragen wird.

Legacy-Infrastruktur war nie darauf ausgelegt, sich selbst zu überwachen

Ein erheblicher Teil der Controller, Historians und Feldgeräte, die heute kritische Prozesse steuern, wurde vor zehn, zwanzig oder sogar dreißig Jahren installiert. Sie wurden auf maximale Betriebszeit und Determinismus ausgelegt, nicht auf die Erzeugung von Sicherheitstelemetrie. Viele können traditionelle Endpoint-Agents nicht ausführen. Viele laufen mit veralteter Firmware, die nicht ohne ein geplantes, vollständiges Wartungsfenster gepatcht werden kann. Dies ist kein Versäumnis der Engineering-Teams, die diese Systeme konzipiert haben und instand halten; es ist schlicht eine Diskrepanz zwischen der Zeit ihrer Entwicklung und der Bedrohungslage, in der sie heute betrieben werden.

Genau aus diesem Grund sind passive, rückwirkungsfreie Monitoring-Ansätze in der CPS-Sicherheit so entscheidend. Transparenz muss erreicht werden, ohne sicherheitskritische Regelkreise zu beeinträchtigen oder Risiken in Systeme einzubringen, in denen Ausfallzeiten in Produktionsverlusten und nicht in Unannehmlichkeiten gemessen werden.

Reale Vorfälle, die das Bewusstsein verändert haben

Mehrere öffentlich dokumentierte Vorfälle verdeutlichen, warum ein kontinuierliches CPS-Monitoring von einer Zusatzoption zu einer Priorität auf Vorstandsebene geworden ist:

• Eine hochkomplexe Schadsoftware, die 2010 entdeckt wurde, zielte gezielt auf industrielle Steuerungssoftware ab, die in Zentrifugenbetrieben eingesetzt wird. Sie demonstrierte erstmals, dass Schadcode so entwickelt werden kann, dass er physische Prozesse manipuliert, anstatt lediglich Daten zu stehlen.

• Koordinierte Angriffe auf ein nationales Stromnetz in den Jahren 2015 und erneut 2016 führten dazu, dass Hunderttausende Einwohner ohne Strom dastanden. Sie wurden von Angreifern ausgeführt, die monatelang im Netzwerk verbracht hatten, um die Arbeitsabläufe der Bediener zu studieren, bevor sie aktiv wurden.

• Schadsoftware, die 2017 in einer petrochemischen Anlage entdeckt wurde, zielte gezielt auf sicherheitsgerichtete Systeme (SIS) ab – die letzte Verteidigungslinie, die katastrophale physische Ausfälle verhindern soll. Dies war einer der ersten bekannten Versuche, Sicherheitssysteme direkt zu deaktivieren.

• Ein Ransomware-Angriff auf einen großen Pipeline-Betreiber im Jahr 2021 erzwang eine vollständige Betriebsunterbrechung. Nicht, weil die Steuerungssysteme selbst kompromittiert waren, sondern weil dem Unternehmen die nötige Transparenz und Segmentierung fehlte, um die OT verlässlich von der betroffenen IT-Umgebung zu isolieren.

• Ein Aluminiumhersteller, der 2019 von Ransomware getroffen wurde, war gezwungen, Teile seiner Produktion über mehrere Wochen hinweg an verschiedenen Standorten auf manuellen Betrieb umzustellen. Dies zeigt, wie sich ein einzelner Vorfall mit Ursprung in der IT kaskadenartig auf den gesamten physischen Betrieb auswirken kann.

Was diese Vorfälle verbindet, ist nicht allein die Raffinesse der Angreifer. In fast allen Fällen fehlte den betroffenen Organisationen eine kontinuierliche, kontextbezogene Sicht auf ihre Betriebsumgebung. Warnsignale waren vorhanden. Sie waren für die Teams, die sie hätten sehen müssen, nur nicht rechtzeitig sichtbar, um reagieren zu können.

Es lohnt sich, dieses Muster genauer zu betrachten, da es sich bei fast jedem gut dokumentierten Industrie-Vorfall der letzten fünfzehn Jahre wiederholt. Angreifer benötigten nicht zwingend neuartige Techniken, um erfolgreich zu sein. Sie benötigten Zeit in einem Netzwerk, das sich selbst nicht genau genug überwachte, um Ausspähung, laterale Bewegungen oder die unauffällige Vorbereitung von Schadcode zu bemerken. Die „Dwell Time“ – die Zeitspanne, die ein Angreifer unbemerkt in einer Umgebung operiert – bleibt eine der aussagekräftigsten Kennzahlen in der Industriesicherheit, und es ist eine Kennzahl, die durch kontinuierliche Überwachung direkt und messbar verbessert wird.

Die tatsächlichen Kosten eines unentdeckten Vorfalls

Die finanziellen Auswirkungen eines OT-Sicherheitsvorfalls enden selten bei den Kosten für die Behebung. Betriebsbedingte Ausfallzeiten können bei großen Fertigungs- oder Energieunternehmen schnell Millionen Euro pro Tag betragen. Hinzu kommen behördliche Bußgelder, vertragliche Pönalen aufgrund verpasster Lieferzusagen, Reputationsschäden oder die Kosten für den manuellen Betrieb während der Wiederherstellung. Fast jedes fünfte Unternehmen, das von einem neueren OT-Vorfall betroffen war, gab an, dass die Behebung länger als einen Monat dauerte – ein Zeitraum, der nicht nur die technische Wiederherstellung widerspiegelt, sondern auch die Schwierigkeit, eine saubere Umgebung verlässlich zu bestätigen, wenn die Transparenz von vornherein eingeschränkt war.

Dies sind die stillen Kosten, die selten Schlagzeilen machen: die lange Phase nach einem Vorfall, in der ein Unternehmen unter Unsicherheit operiert, unsicher darüber, ob ein Angreifer immer noch Zugriff hat, unsicher, welchen Systemen vertraut werden kann, und unfähig, grundlegende Fragen präzise zu beantworten. Kontinuierliches Monitoring verkürzt diese Phase der Unsicherheit drastisch, da historische Daten zu Netzwerkverhalten, Asset-Zustand und Konfigurationsänderungen bereits vorliegen, wenn Ermittler sie am dringendsten benötigen.

Wo heute noch Erkennungslücken bestehen

Aktuelle Branchenanalysen zeichnen ein klares Bild davon, wo die größten Lücken bestehen. Etwa die Hälfte der ICS- und OT-Sicherheitsvorfälle lässt sich auf unbefugte externe Zugriffe oder Remote-Verbindungen zurückführen, häufig über Wartungszugänge von Drittanbietern, die nie vollständig inventarisiert oder überwacht wurden. Ransomware ist nach wie vor der größte Treiber für betriebliche Störungen, und die gemeldeten Ransomware-Aktivitäten gegen OT-Umgebungen steigen Jahr für Jahr an. Besonders aussagekräftig ist, dass ein erheblicher Teil der untersuchten OT-Umgebungen eine unzureichende Netzwerktransparenz nach wie vor als eine der größten Herausforderungen für die Betriebssicherheit meldet.

Insider-Risiken verschärfen das Problem. Die Mehrheit der Vorfälle im Zusammenhang mit internen Akteuren in Industrieumgebungen ist nicht auf böswillige Absichten zurückzuführen, sondern auf Fahrlässigkeit – ein ungepatchter Laptop, der an ein Produktionsnetzwerk angeschlossen wird, eine falsch konfigurierte Firewall-Regel oder Zugangsdaten, die informell bei Schichtwechseln weitergegeben werden. Ohne kontinuierliches Monitoring werden diese alltäglichen Betriebsgewohnheiten zu unsichtbaren Risikofaktoren, die sich im Laufe der Zeit unbemerkt anhäufen.

Was CPS-Sicherheitsmonitoring tatsächlich umfasst

Kontinuierliches CPS-Sicherheitsmonitoring ist kein einzelnes Werkzeug oder ein einzelnes Dashboard. Es ist eine vielschichtige Disziplin, die verschiedene Funktionen kombiniert, um ein präzises, dynamisches Bild des betrieblichen Risikos zu zeichnen.

Umfassende Asset-Transparenz

Sicherheit beginnt mit dem Wissen, was vorhanden ist. Eine umfassende CPS-Sicherheitsplattform erkennt und inventarisiert passiv jedes verbundene Asset: Controller, Historians, Engineering-Workstations, HMIs, drahtlose Geräte und sogar Schatten-IT, die unbemerkt ihren Weg ins Netzwerk gefunden hat. Ohne ein präzises, kontinuierlich aktualisiertes Asset-Inventar ist jede andere Sicherheitsmaßnahme auf einem unvollständigen Fundament aufgebaut.

Überwachung der Netzwerkkommunikation

Industrielle Protokolle verhalten sich völlig anders als standardmäßiger IT-Traffic, und ihr Verständnis erfordert ein tiefes Protokollwissen. Effektives Monitoring überwacht den Ost-West- und Nord-Süd-Traffic in der gesamten Umgebung und bildet ab, wie Geräte tatsächlich kommunizieren – anstatt sich auf die theoretische Dokumentation zu verlassen. Dies deckt oft undokumentierte Verbindungen, unbefugte Datenflüsse und Kommunikationspfade auf, die nie Teil des ursprünglichen Netzwerkdesigns waren.

Verhaltens-Baselines und Anomalieerkennung

Sobald eine Plattform versteht, wie der Normalbetrieb aussieht – Kommunikationsmuster, Timing, Befehlsfolgen, Datenvolumina –, kann sie relevante Abweichungen identifizieren. Hier zeigt kontinuierliches Monitoring seinen eigentlichen Wert. Ein einzelner ungewöhnlicher Befehl, der zu einer ungewöhnlichen Uhrzeit an einen Controller gesendet wird, ein Gerät, das plötzlich mit einem System kommuniziert, mit dem es noch nie zuvor verbunden war, oder eine Konfigurationsänderung außerhalb eines geplanten Wartungsfensters – dies sind die Signale, die darauf hinweisen, dass sich etwas verändert hat, oft lange bevor ein offensichtlicher Vorfall eintritt.

Konfigurations- und Änderungsverfolgung

Unbefugte oder undokumentierte Konfigurationsänderungen gehören zu den häufigsten Vorläufern von Betriebsvorfällen, unabhängig davon, ob sie durch böswillige Aktivitäten, menschliches Versagen oder unkontrollierten Zugriff von Drittanbietern verursacht wurden. Kontinuierliches Monitoring verfolgt Konfigurationsabweichungen (Configuration Drift) über Controller und Feldgeräte hinweg und liefert den Engineering- und Sicherheitsteams ein klares, prüfbares Protokoll darüber, was wann und auf welchem Weg geändert wurde.

Schwachstellen- und Risikokontext

Nicht jede Schwachstelle hat das gleiche Gewicht. Eine theoretische Schwachstelle auf einem isolierten, unkritischen Gerät stellt ein völlig anderes Risiko dar als eine ausnutzbare Schwachstelle auf einem Controller, der einen sicherheitskritischen Prozess steuert. Leistungsstarke CPS-Monitoring-Plattformen korrelieren Schwachstellendaten mit der tatsächlichen Kritikalität des Assets, der Exposition und dem betrieblichen Kontext, sodass Sicherheits- und Engineering-Teams Prioritäten auf das setzen können, was wirklich zählt, anstatt jedem Befund gleichermaßen nachzujagen.

Integration von Threat Intelligence

Operational Threat Intelligence – Informationen über aktive Kampagnen, bekannte schädliche Infrastrukturen und Angreifer-Taktiken speziell für Industrieumgebungen – liefert entscheidenden Kontext zu den Rohdaten des Monitorings. Wenn Bedrohungsinformationen mit Verhaltensanalysen verknüpft werden, können Sicherheitsteams nicht nur erkennen, dass etwas ungewöhnlich ist, sondern auch, warum es wichtig ist und wie dringend gehandelt werden muss.

Vergleich der Monitoring-Fähigkeiten

Die folgende Tabelle zeigt auf, wie sich der Reifegrad des Monitorings in Industrieunternehmen typischerweise entwickelt und was jede Stufe realistisch leistet.

Abbildung 3: Ein praktischer Reifegrad-Stufenplan für Unternehmen beim Aufbau kontinuierlicher CPS-Monitoring-Fähigkeiten.

Praktische Empfehlungen und Best Practices

Der Aufbau kontinuierlicher CPS-Transparenz erfordert weder den Austausch bestehender Infrastrukturen noch die Unterbrechung des Betriebs. Erfolgreiche Unternehmen gehen in der Regel planvoll und phasenweise vor.

Starten Sie mit passiver Transparenz, nicht mit aktivem Scannen

In Umgebungen, in denen Verfügbarkeit und Sicherheit unumgänglich sind, sind passive Monitoring-Ansätze, die den Netzwerk-Traffic ohne das Senden von Befehlen an empfindliche Geräte überwachen, der sicherere Ausgangspunkt. Aktives Scannen hat seine Berechtigung, sollte jedoch vorsichtig und erst dann eingeführt werden, wenn die passive Überwachung ein klares Bild der Umgebung etabliert hat.

Priorisieren Sie kritische Assets zuerst

Nicht jedes Asset benötigt am ersten Tag das gleiche Maß an Aufmerksamkeit. Beginnen Sie mit den Systemen, deren Ausfall die größten Auswirkungen auf die Sicherheit, die Umwelt oder die Produktion hätte. Der Aufbau von Transparenz ausgehend von den kritischsten Prozessen stellt sicher, dass frühe Maßnahmen die größtmögliche Risikominderung bewirken.

Etablieren Sie Verhaltens-Baselines, bevor Sie Erkennungsleistung erwarten

Eine Anomalieerkennung ist nur so gut wie die Baseline, mit der sie vergleicht. Geben Sie Monitoring-Plattformen ausreichend Zeit (in der Regel mehrere Wochen), um zu lernen, wie der normale Betrieb über Schichten, Produktionszyklen und Wartungsfenster hinweg tatsächlich aussieht, bevor Sie Alarmschwellen feinabstimmen.

Schließen Sie die Lücke zwischen IT- und OT-Teams

Kontinuierliches Monitoring funktioniert am besten, wenn Sicherheitserkenntnisse in eine Sprache übersetzt werden, mit der Betriebs- und Engineering-Teams arbeiten können. Ein Befund, der rein in IT-Sicherheitsbegriffen formuliert ist, führt oft zu Verzögerungen, während derselbe Befund, der die Auswirkungen auf Prozesse und die Sicherheit thematisiert, schnell gelöst wird. Der Aufbau eines gemeinsamen Vokabulars zwischen IT-Sicherheit, Engineering und Werksleitung ist einer der am meisten unterschätzten Erfolgsfaktoren bei CPS-Monitoring-Programmen.

Behandeln Sie Remote-Zugriffe als oberste Monitoring-Priorität

Da Vorfälle sehr häufig über Remote- oder Drittanbieter-Zugänge initiiert werden, sollte die Überwachung explizit darauf achten, wer sich von wo aus, über welchen Pfad und mit welchen Systemen verbindet. Remote-Sitzungen verdienen die gleiche Aufmerksamkeit wie jede andere privilegierte Aktivität innerhalb der Umgebung.

Überprüfen und testen Sie Incident-Response-Pläne regelmäßig

Transparenz ist nur dann wertvoll, wenn sie zu Maßnahmen führt. Organisationen, die ihre Incident-Response-Pläne regelmäßig aktualisieren und dabei neue Bedrohungsinformationen sowie Lehren aus jüngsten Branchenereignissen einbeziehen, sind messbar besser aufgestellt, um Vorfälle schnell einzudämmen und die betrieblichen Auswirkungen zu begrenzen.

Messen Sie, was wichtig ist, nicht nur, was leicht zu zählen ist

Viele Monitoring-Programme neigen dazu, das Alarmvolumen als Indikator für Erfolg zu nutzen. Eine hohe Anzahl von Alarmen deutet jedoch oft eher auf eine schlechte Abstimmung als auf ein hohes Sicherheitsniveau hin. Aussagekräftigere Kennzahlen sind die mittlere Zeit bis zur Erkennung (MTTD), die mittlere Zeit bis zur Untersuchung (MTTI), der Prozentsatz der Assets mit bestätigter Transparenz und die Reduzierung unbekannter oder unmanaged Geräte im Laufe der Zeit. Die Verfolgung dieser Zahlen im Quartalsvergleich bietet OT-Sicherheitsverantwortlichen eine fundierte und datengestützte Möglichkeit, den Reifegrad des Programms gegenüber der Geschäftsführung zu belegen.

Häufige Monitoring-Lücken und ihre betrieblichen Auswirkungen

Wie Shieldworkz Ihr Unternehmen unterstützt

Shieldworkz arbeitet eng mit Industrieunternehmen zusammen, um die in diesem Leitfaden beschriebene kontinuierliche, kontextbezogene Transparenz aufzubauen – ohne den laufenden Betrieb zu beeinträchtigen, den diese Transparenz schützen soll. Unser Ansatz basiert auf den Realitäten realer Produktionsumgebungen und wird nicht von generischen IT-Sicherheits-Frameworks kopiert.

• Passive, rückwirkungsfreie Asset-Erkennung, die ein vollständiges, kontinuierlich aktualisiertes Inventar von OT-, ICS- und vernetzten IoT-Geräten erstellt, ohne sicherheitskritische Regelkreise zu beeinflussen.

• Tiefgehendes, protokollsensitives Netzwerk-Monitoring, das industrielle Kommunikation versteht und undokumentierte Verbindungen, unbefugte Datenflüsse sowie ungewöhnliche Traffic-Muster aufdeckt.

• Verhaltens-Baselining und Anomalieerkennung, die auf reale Betriebszyklen, Schichtmuster, Wartungsintervalle und Produktionspläne abgestimmt sind, sodass Alarme echte Risiken widerspiegeln und nicht nur Hintergrundrauschen darstellen.

• Risikogewichtete Schwachstellen-Intelligence, die Befunde basierend auf Asset-Kritikalität, Exposition und Betriebskontext priorisiert, anstatt sich auf generische Schweregrad-Bewertungen zu verlassen.

• Konfigurations- und Änderungsverfolgung, die Engineering- und Sicherheitsteams ein klares, prüfbares Protokoll darüber liefert, was wann an kritischen Geräten geändert wurde.

• Dedizierte Überwachung von Remote-Zugriffen und Drittanbieter-Verbindungen, die einen der häufigsten Einstiegspunkte bei realen OT-Sicherheitsvorfällen absichert.

• Geführte Unterstützung bei der Reaktion auf Vorfälle, die Teams dabei hilft, nach einer Erkennung schnell und koordiniert zur verlässlichen Eindämmung überzugehen.

• Kollaboratives Onboarding, das bestehende Engineering-Workflows, Sicherheitsanforderungen und Change-Management-Prozesse vom ersten Tag an respektiert.

Unser Ziel ist klar definiert: Wir bieten OT-Sicherheitsverantwortlichen, Werksleitern und CISOs ein präzises, kontinuierlich aktualisiertes Bild des betrieblichen Risikos, damit Entscheidungen über Zeitinvestitionen, Budgets und Prioritäten auf harten Fakten statt auf Annahmen beruhen.

Häufig gestellte Fragen zum CPS-Sicherheitsmonitoring

1. Erfordert kontinuierliches Monitoring Eingriffe oder Scans in laufenden Steuerungssystemen?

Nicht zwingend. Der am weitesten verbreitete Ansatz in sensiblen OT-Umgebungen ist das passive Monitoring. Dieses beobachtet den Netzwerk-Traffic und die Gerätekommunikation, ohne Befehle an Controller oder Feldgeräte zu senden. Dadurch können Unternehmen eine umfassende Transparenz aufbauen, ohne betriebliche Risiken für sicherheitskritische Prozesse einzugehen.

2. Wie lange dauert es, bis nach der Implementierung aussagekräftige Ergebnisse vorliegen?

Asset-Erkennung und Netzwerktransparenz sind in der Regel bereits in den ersten Tagen nach der Implementierung sichtbar. Verhaltens-Baselines, die eine präzise Anomalieerkennung ermöglichen, benötigen meist einige Wochen, da die Plattform das gesamte Spektrum normaler Betriebsbedingungen – einschließlich Wartungsfenster, Schichtwechsel und Produktionszyklen – erfassen muss, bevor sie Abweichungen verlässlich melden kann.

3. Ist CPS-Sicherheitsmonitoring nur für Großkonzerne relevant?

Nein. Während große Betreiber kritischer Infrastrukturen (KRITIS) einer strengen behördlichen Überwachung unterliegen, werden kleine und mittlere Hersteller und Versorgungsbetriebe häufig gezielt angegriffen. Angreifer gehen oft zu Recht davon aus, dass diese Unternehmen über weniger dedizierte Sicherheitsressourcen verfügen. Transparenzlücken hängen nicht von der Unternehmensgröße ab, sondern davon, wie vernetzt und wie gut überwacht eine Umgebung ist.

4. Welchen Bezug hat das CPS-Monitoring zu Compliance-Frameworks?

Viele regulatorische Vorgaben und Industriestandards (z. B. BSI-Standards oder IT-Sicherheitsgesetz) für kritische Infrastrukturen und die verarbeitende Industrie fordern zunehmend nachweisbare Netzwerktransparenz, Asset-Inventare und Funktionen zur Erkennung von Vorfällen. Kontinuierliches Monitoring liefert die erforderlichen Nachweise, Protokolle, Asset-Aufzeichnungen und Änderungshistorien, die für Compliance- und Audit-Prozesse benötigt werden, und macht so aus einem periodischen Audit eine kontinuierliche, nachweisbare Praxis.

5. Was ist der Unterschied zwischen CPS-Sicherheit und traditioneller OT-Sicherheit?

Die Begriffe überschneiden sich stark, aber die CPS-Sicherheit legt den Fokus explizit auf die physischen Folgen einer digitalen Kompromittierung. Sie berücksichtigt, dass die geschützten Systeme direkt physische Prozesse steuern. Diese Perspektive beeinflusst alles – von der Implementierung des Monitorings (bevorzugt passive, rückwirkungsfreie Methoden) bis zur Priorisierung von Vorfällen, bei der physische Auswirkungen und die Sicherheit von Mensch und Anlage gleichberechtigt neben der Datenvraulichkeit bewertet werden.

Fazit

Cyber-physische Systeme stehen an der Schnittstelle zwischen digitaler und physischer Welt. Genau an dieser Schnittstelle sind betriebliche Risiken am schwersten zu erkennen und im Ernstfall am folgenschwersten. Veraltete Infrastrukturen, zunehmende Vernetzung, Zugriffe von Drittanbietern und hochspezialisierte Angreifer führen in Kombination dazu, dass mangelnde Transparenz selbst zu einem erheblichen Haftungs- und Betriebsrisiko wird.

Unternehmen, die sich in dieser Landschaft erfolgreich behaupten, haben eines gemeinsam: Sie haben sich von punktuellen Audits und Momentaufnahmen verabschiedet und setzen auf ein kontinuierliches, kontextbezogenes Monitoring, das die tatsächlichen Abläufe in ihrer Umgebung widerspiegelt. Dieser Schritt erfordert weder den Austausch bestehender Infrastrukturen noch die Unterbrechung des laufenden Betriebs. Er erfordert die richtige Kombination aus Asset-Transparenz, Netzwerkeinblick, Verhaltensanalyse und Risikokontext, die kontinuierlich angewendet wird.

Betriebliche Risiken kündigen sich nicht an. Sie bauen sich unbemerkt auf – in unüberwachten Remote-Sitzungen, undokumentierten Geräten und Konfigurationsänderungen, die der routinemäßigen Kontrolle entgehen, bis sie zu einem Vorfall führen. Kontinuierliches CPS-Sicherheitsmonitoring ist der Weg, diese Lücke verlässlich zu schließen, bevor sie Schaden anrichtet.

Sind Sie bereit zu erfahren, was in Ihrer Betriebsumgebung tatsächlich geschieht?

Jede industrielle Umgebung birgt Risiken, die erst sichtbar werden, wenn man an den richtigen Stellen sucht. Unser Team unterstützt Sie dabei, Ihre Transparenzlücken zu identifizieren und zu zeigen, wie ein kontinuierliches CPS-Sicherheitsmonitoring für Ihre spezifischen Anforderungen aussehen kann.

Buchen Sie ein kostenfreies Beratungsgespräch mit unseren Experten

Zusätzliche Ressourcen     

Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier
Arbeitsbuch zur Berechnung des OT-Sicherheitsrisikos hier
Ein herunterladbarer Bericht zum Stryker-Cybervorfall hier     
Leitfäden zur Behebung und Schadensminimierung hier   
OT-Sicherheits-Best-Practices und Leitfaden zur Risikobewertung hier  
IEC 62443-basierte OT/ICS-Risikobewertungs-Checkliste für die Lebensmittel- und Getränkeindustrie hier