Jeder ungeplante Produktionsausfall kostet Geld – und im industriellen Umfeld sind die Zahlen drastisch. Ein ungeplanter Ausfall in einer Fertigungsanlage kann sich auf Zehntausende von Euro pro Stunde belaufen. Für Betreiber im Bereich Energie, Öl und Gas oder für Versorgungsunternehmen steht sogar noch mehr auf dem Spiel.

Die meisten Betriebsleiter und OT-Ingenieure stellen fest, dass der Großteil dieser Ausfälle nicht mehr allein auf mechanisches Versagen zurückzuführen ist. Cyberbedrohungen, die auf industrielle Steuerungssysteme (ICS), SCADA-Netzwerke und Feldgeräte abzielen, sind zunehmend für Prozessunterbrechungen verantwortlich – und sie ereignen sich unbemerkt über Tage oder Wochen, bevor sie überhaupt jemand registriert.

Dienste zur kontinuierlichen OT-Überwachung verändern diese Ausgangslage grundlegend. Anstatt darauf zu warten, dass ein Alarm ertönt oder ein Band stillsteht, erhalten Sie eine permanente Transparenz über jedes Asset, jedes Protokoll und jedes Netzwerksegment in Ihrer Betriebsumgebung. Sie erkennen Anomalien bereits bei der Entstehung, können handeln, bevor sie eskalieren, und schützen die Betriebszeit im gesamten Unternehmen zuverlässig.

In diesem Blog wird genau erläutert, wie das funktioniert – mit praktischen Taktiken, Checklisten und Frameworks, die Sie noch heute anwenden können.

Vergessen Sie nicht, auch unseren vorherigen Blogbeitrag „Deep dive: Tata Electronics cyber incident“ zu lesen – hier

Warum herkömmliche IT-Sicherheitsüberwachung in OT-Umgebungen unzureichend ist

Bevor wir uns mit Lösungen befassen, ist es wichtig, die bestehende Lücke zu verstehen. Die meisten Unternehmen, die sich auf eine IT-zentrierte Sicherheitsüberwachung verlassen, gehen davon aus, dass dieselben Tools und Logiken, die Unternehmensnetzwerke schützen, auch ihre Fertigungsebene absichern. Diese Annahme ist falsch – und sie führt zu gefährlichen Sicherheitslücken.

OT-Umgebungen nutzen Protokolle wie Modbus, DNP3, IEC 61850, OPC-UA, PROFINET und BACnet. Dabei handelt es sich um deterministische Echtzeit-Kommunikationsprotokolle, die auf Zuverlässigkeit und nicht auf Sicherheit ausgelegt sind. Herkömmliche IT-Sicherheitstools können diese nicht interpretieren. Ein IT-basiertes SIEM meldet Ihnen nicht, dass um 02:14 Uhr nachts von einer Engineering-Workstation, die dies noch nie zuvor getan hat, ein Modbus-Funktionscode 6 (Write Single Register) an eine PLC gesendet wurde.

Zentrale Lücken einer reinen IT-Überwachung in OT-Umgebungen:

• Keine native Analyse industrieller Protokolle

• Unfähigkeit, ein normales OT-Geräteverhalten als Baseline zu definieren

• Aktives Scannen stört oder blockiert Feldgeräte (PLC, RTU, HMI)

• Alarmierungslogik ist auf Datenabfluss-Muster ausgelegt, nicht auf Prozessmanipulation

• Keine Zuordnung zum Purdue-Modell oder den Zonenstrukturen der DIN EN IEC 62443

Die kontinuierliche OT-Überwachung schließt diese Lücke durch den Einsatz passiver, agentenloser Sensoren. Diese analysieren den Netzwerkverkehr, ohne die Geräte selbst zu beeinträchtigen – wodurch die Betriebsintegrität gewahrt und gleichzeitig ein tiefgehendes Lagebild aufgebaut wird.

Die Bedrohungslage für Produktionsausfälle im Jahr 2025

Das Verständnis der Bedrohungen ist der erste Schritt zu einem wirksamen Schutz. Die Bedrohungen, die heute auf OT-Umgebungen abzielen, sind hochgradig professionalisiert, agieren verdeckt und sind zunehmend automatisiert.

Ransomware-Angriffe auf OT-Netzwerke

Ransomware-Akteure haben sich weiterentwickelt. Frühe Angriffe verschlüsselten IT-Dateien; moderne Kampagnen bewegen sich lateral von den Unternehmensnetzwerken in die OT-Segmente, nehmen Historian-Server ins Visier und sperren Engineering-Workstations – wodurch die Produktion gestoppt wird, ohne dass eine PLC direkt manipuliert werden muss. Eine Wiederherstellung ohne OT-spezifische Backups und entsprechende Überwachung kann Tage oder Wochen dauern.

Living-off-the-Land-Angriffe (LotL)

Angreifer nutzen legitime Tools, die bereits in Ihrer Umgebung vorhanden sind – Remote-Access-Software, Windows-Administrationswerkzeuge, Engineering-Software –, um sich durch Ihr Netzwerk zu bewegen, ohne signaturbasierte Alarme auszulösen. Ohne kontinuierliche Verhaltensüberwachung sind diese Angriffe nahezu unsichtbar.

Firmware-Manipulation an Feldgeräten

Advanced Persistent Threat (APT)-Akteure mit Fokus auf OT-Systeme haben die Fähigkeit demonstriert, Firmware auf RTUs, PLCs und Schutzrelais zu modifizieren. Das Ziel ist dabei oft keine sofortige Störung, sondern ein dauerhafter, unauffälliger Zugriff, der zu einem frei wählbaren Zeitpunkt eine Fehlfunktion auslösen kann.

Insider-Bedrohungen und Fehlkonfigurationen

Nicht jede Bedrohung kommt von außen. Eine fehlerhaft konfigurierte Firewall-Regel zwischen der DMZ und Level 2 des Purdue-Modells oder ein Techniker, der ein privates Notebook an ein HMI-Netzwerk anschließt, können die Sicherheitslücke öffnen, die ein Angreifer benötigt. Eine kontinuierliche OT-Überwachung erkennt solche Abweichungen automatisch.

So funktionieren Dienste zur kontinuierlichen OT-Überwachung

Dies ist die Betriebslogik hinter einem professionell konzipierten Service zur kontinuierlichen OT-Überwachung – und deshalb ist jede Ebene entscheidend, um Produktionsausfälle zu verhindern.

1. Passive Asset-Erkennung und Inventarisierung

Sie können nur schützen, was Sie auch sehen. Die OT-Überwachung beginnt mit einer agentenlosen, passiven Asset-Erkennung. Dabei wird der Netzwerkverkehr an Mirror-Ports (SPAN-Ports) oder über Netzwerk-TAPs analysiert, um ein lückenloses Inventar aller kommunizierenden Geräte zu erstellen.

Diese Inventarisierung erfasst:

• Gerätetyp, Hersteller, Firmware-Version und Kommunikationsrolle

• Aktive Protokolle und Port-Nutzung (Modbus, DNP3, BACnet, IEC 61850, EtherNet/IP)

• Kommunikationsbeziehungen – welche Geräte kommunizieren wie oft mit welchen anderen Systemen

• Zugriffsmuster auf Engineering-Workstations und HMIs

Warum dies Ausfälle verhindert: Sie kennen Ihre Angriffsfläche. Wenn ein neues Gerät im Netz erscheint oder ein vorhandenes Gerät sein Verhalten ändert, werden Sie sofort alarmiert – und nicht erst, wenn der Schaden bereits entstanden ist.

2. Protokollsensitive Baseline-Definition und Anomalieerkennung

Sobald das Asset-Inventar erstellt ist, definiert die OT-Überwachung eine Verhaltens-Baseline – ein Modell des Normalbetriebs, das speziell auf Ihre Umgebung zugeschnitten ist. Diese Baseline umfasst:

• Normale Befehlssequenzen pro Protokoll (z. B. typische DNP3-Lese-/Schreibzyklen zwischen einem Master und einer RTU)

• Erwartete Kommunikationszeiten und Datenmengen

• Autorisierte Quell-/Ziel-Paare über Netzwerkzonen hinweg

• Saisonale oder schichtabhängige Anpassungen für Werke mit Schichtbetrieb oder Chargenzyklen

Anomalien werden mit dieser Baseline abgeglichen. Ein Modbus-Schreibbefehl von einer unerwarteten Quelle, eine IEC 61850-GOOSE-Meldung mit einem ungewöhnlichen Datensatz-Verweis oder ein plötzlicher Anstieg von OPC-UA-Subskriptionsanfragen lösen Alarme aus, bevor die Situation eskaliert.

Warum dies Ausfälle verhindert: Angriffe mit dem Ziel der Prozessmanipulation beginnen oft mit minimalen Abweichungen. Die Erkennung auf Protokollebene verhindert, dass ein Angreifer eine Phase erreicht, in der er eine Abschaltung oder eine Beschädigung der Anlagen herbeiführen kann.

3. Echtzeit-OT-Bedrohungserkennung, zugeordnet zu MITRE ATT&CK for ICS

Eine effektive OT-Überwachung erkennt Anomalien nicht nur, sondern setzt sie in den richtigen Kontext. Die Zuordnung der Erkennungen zum MITRE ATT&CK for ICS-Framework bietet Ihrem Sicherheitsteam und dem SOC eine standardisierte Nomenklatur, um das Verhalten von Angreifern zu verstehen und Gegenmaßnahmen zu priorisieren.

Relevante MITRE ATT&CK for ICS-Taktiken für die Betriebszeit der Produktion:

Wenn Ihr OT-Überwachungsdienst meldet „Dieses Verhalten entspricht T0855 – Unauthorised Command Message“, weiß Ihr Incident-Response-Team sofort, welcher vordefinierte Prozess (Playbook) anzuwenden ist.

4. Überwachung der Netzsegmentierung und Zonen-Enforcement

Eine kontinuierliche OT-Überwachung gewährleistet eine permanente Transparenz über die Segmentierung:

• Alarmierung bei jeder neuen zonenübergreifenden Kommunikation (z. B. wenn ein Level-3-Historian direkt auf Level-1-Feldgeräte zugreift)

• Erkennung von flachen Netzwerkstrukturen, in denen OT-Geräte direkt mit IT-Endpunkten kommunizieren, ohne eine DMZ zu passieren

• Kennzeichnung von Remote-Access-Verbindungen außerhalb der vereinbarten Wartungsfenster

Warum dies Ausfälle verhindert: Mängel in der Segmentierung gehören zu den häufigsten Pfaden, über die sich Angreifer von einer Phishing-E-Mail auf einem Büro-Laptop bis zu einer PLC in Ihrer Fertigung vorarbeiten.

5. OT-spezifische Schwachstellen-Sicherheitsanalyse

Aufgrund betrieblicher Einschränkungen können nicht alle Schwachstellen in einer OT-Umgebung im Rahmen eines regulären Update-Zyklus gepatcht werden – manche überhaupt nicht. Erforderlich ist daher eine risikobasierte Bewertung von Schwachstellen, die folgende Aspekte berücksichtigt:

• Ist das betroffene Gerät aus einer benachbarten Zone überhaupt erreichbar?

• Existiert für die Schwachstelle bereits ein aktiver Exploit im Feld?

• Erfüllt das Gerät eine sicherheitskritische Funktion (Safety)?

• Welche betrieblichen Auswirkungen hat das Patchen (ist ein Anlagenstillstand erforderlich? Abstimmung mit dem Hersteller nötig?)

Die kontinuierliche OT-Überwachung gleicht Ihr aktives Asset-Inventar mit aktuellen Schwachstellendaten ab, um ein priorisiertes Risikoregister bereitzustellen – statt einer einfachen Liste von CVEs ohne betrieblichen Kontext.

Praktische Checkliste: Wird Ihre OT-Umgebung kontinuierlich überwacht?

Nutzen Sie diese Checkliste, um Ihren aktuellen Reifegrad im Bereich Monitoring anhand der Mindestanforderungen für eine effektive OT-Sicherheitsüberwachung zu bewerten.

Ergebnis: 8–10 Punkte erfüllt – Starke Überwachungsposition. Konzentrieren Sie sich auf kontinuierliche Optimierung und Tabletop-Übungen.

Ergebnis: 5–7 Punkte erfüllt – Durchschnittliche Absicherung. Lücken in der Abdeckung können im Ernstfall zu kritischen Blind Spots führen.

Ergebnis: Unter 5 Punkten – Kritisches Sicherheitsrisiko. Priorisieren Sie unverzüglich die Asset-Sichtbarkeit und die protokollsensitive Erkennung.

Die Verknüpfung von OT-Monitoring und regulatorischer Compliance

Die kontinuierliche OT-Überwachung ist nicht mehr nur eine Best Practice der Informationssicherheit, sondern zunehmend gesetzliche Pflicht. Die wesentlichen Regelwerke zur industriellen Cybersicherheit fordern entsprechende Erkennungs- und Überwachungssysteme – insbesondere im Kontext kritischer Infrastrukturen (KRITIS).

KRITIS-Regulierungen und BSI-Vorgaben

Gemäß dem IT-Sicherheitsgesetz müssen Betreiber Kritischer Infrastrukturen (KRITIS) Systeme zur Angriffserkennung (SzA) implementieren. Dies erfordert eine lückenlose Protokollierung und Erkennung von Unregelmäßigkeiten in den operativen Netzen. Eine kontinuierliche OT-Überwachung liefert genau die dafür notwendigen Nachweise, Packet Captures und Audit-Logs, die BSI-Auditoren im Rahmen der Prüfungen nach § 8a BSIG verlangen.

DIN EN IEC 62443

Die Normenreihe IEC 62443 definiert in Teil 3-3 Sicherheitsanforderungen für industrielle Automatisierungssysteme (IACS). Dazu gehören explizite Anforderungen an die Systemüberwachung (SR 6.1) und das Audit-Log-Management (SR 6.2). Ein an der IEC 62443 ausgerichteter Service zur kontinuierlichen OT-Überwachung bietet Ihnen eine nachweisbare Architektur und die erforderliche Dokumentation für die Compliance-Konformität.

NIST SP 800-82 Rev. 3

NIST SP 800-82 ist der international anerkannte Leitfaden für die Sicherheit von industriellen Steuerungssystemen. Er ist direkt auf das NIST Cybersecurity Framework abgestimmt und verortet die kontinuierliche Überwachung in der Funktion Detect – konkret unter DE.CM (Continuous Monitoring) und DE.AE (Anomalies and Events). Ihr Überwachungskonzept muss für diese Kontrollen überprüfbare Belege liefern, um Audits, Versicherungsanforderungen und dem Berichtswesen auf Vorstandsebene gerecht zu werden.

Worauf Sie bei einem Dienstleister für kontinuierliche OT-Überwachung achten sollten

Nicht jede OT-Monitoring-Plattform und nicht jeder Service ist gleich aufgebaut. Achten Sie bei der Evaluierung auf folgende Kriterien:

Kompatibilität mit dem Betrieb (Operational Compatibility):

• Arbeitet das System ausschließlich passiv und agentenlos oder erfordert es Agenten auf PLCs oder RTUs, die das Echtzeitverhalten der Geräte beeinträchtigen könnten?

• Welche Industrieprotokolle werden nativ und in welcher Tiefe analysiert?

• Unterstützt das System die Hardware-Hersteller Ihrer Bestandsanlagen (Siemens, Rockwell, Schneider, Honeywell, ABB, Yokogawa)?

Qualität der Erkennung:

• Werden gerätespezifische Baselines erstellt oder lediglich generische OT-Signaturen verwendet?

• Wie wird in datenintensiven OT-Umgebungen die Flut an Alarmmeldungen (Alert Fatigue) minimiert?

• Können Erkennungen den Taktiken und Techniken von MITRE ATT&CK for ICS zugeordnet werden?

Betriebskontinuität:

• Ist die Implementierung absolut rückwirkungsfrei? Keine aktiven Scans, keine Software-Agenten auf Legacy-Systemen?

• Wie schnell liefert das System nach der ersten Baseline-Erstellung verlässliche Alarme?

• Lässt sich die Lösung in Ihr bestehendes SIEM, Ihre SOC-Workflows oder Ticketsysteme integrieren?

Service und Fachexpertise:

• Handelt es sich um einen spezialisierten OT-Dienstleister oder um ein IT-Sicherheitsunternehmen mit einem nachträglich angeflanschten OT-Modul?

• Bietet der Dienstleister dedizierten OT-Incident-Response-Support anstatt einer bloßen Weiterleitung von Alarmen?

• Kann das Team Sie bei der Erstellung von Compliance-Berichten (z. B. für KRITIS, IEC 62443 oder NIST) unterstützen?

Typische Fehler, die die Effektivität des OT-Monitorings gefährden

Selbst Unternehmen, die in OT-Monitoring investieren, mindern manchmal unbewusst dessen Wirksamkeit. Vermeiden Sie folgende Fehlermuster:

Überwachung nur an den Netzwerkgrenzen (Perimeter) implementieren. Eine perimeterbasierte Sichtbarkeit erkennt lediglich ein- und ausgehenden Datenverkehr, nicht jedoch laterale Bewegungen innerhalb der OT-Zonen. Befindet sich ein Angreifer bereits in Ihrem Level-2-Netzwerk, bleibt er für eine reine Perimeter-Überwachung unsichtbar.

Ignorieren des Ost-West-Datenverkehrs zwischen OT-Assets. Die kritischste Kommunikation bei einem OT-Angriff findet oft zwischen legitimen OT-Geräten statt – beispielsweise, wenn eine Engineering-Workstation ungewöhnliche Befehle an eine PLC sendet. Überwachen Sie den Peer-to-Peer-Verkehr der OT, nicht nur die Nord-Süd-Verbindungen.

Verwendung rein signaturbasierter Alarme anstelle von Verhaltensanalysen. Eine rein signaturbasierte Erkennung übersieht neuartige Angriffstechniken und LotL-Aktivitäten vollständig. Verhaltensbasierte Baselines erkennen Abweichungen, bei denen Signaturen versagen.

Verzicht auf die kontinuierliche Feinabstimmung (Tuning). Jede OT-Umgebung ist einzigartig. Ein Alarm, der in einer Wasseraufbereitungsanlage korrekt ist, kann in einer Raffinerie Tausende von Fehlalarmen auslösen. Investieren Sie in die initiale Feinabstimmung, um die Erkennungslogik an Ihre betriebliche Realität anzupassen.

Betrachtung der Überwachung als einmaliges Projekt. OT-Umgebungen sind dynamisch: Neue Geräte werden integriert, Prozesskonfigurationen angepasst, Remote-Zugänge erweitert. Ihre Monitoring-Baseline und die Erkennungsregeln müssen sich synchron mit Ihrer Umgebung weiterentwickeln.

Fazit

Produktionsausfälle in einer OT-Umgebung sind längst kein rein betriebliches Risiko mehr, sondern ein kritisches Cybersicherheitsrisiko. Die Bedrohungen für industrielle Steuerungssysteme sind real, aktiv und hochgradig professionalisiert. Dienste zur kontinuierlichen OT-Überwachung bieten Ihnen die Transparenz, Erkennungsgeschwindigkeit und den Kontext, um diesen Bedrohungen wirksam zu begegnen.

Die wichtigsten Kernpunkte dieses Beitrags:

• Herkömmliche IT-Sicherheitsüberwachung kann OT-Umgebungen nicht schützen – Sie benötigen eine protokollsensitive, agentenlose und OT-native Überwachung.

• Kontinuierliches Monitoring basiert auf dem Aufbau von Verhaltens-Baselines, der Erkennung von Anomalien in industriellen Protokollen und der Zuordnung von Bedrohungen zu MITRE ATT&CK for ICS.

• Die Vermeidung von Produktionsausfällen erfordert eine Überwachung über alle Ebenen des Purdue-Modells hinweg – nicht nur an den Netzwerkgrenzen.

• Regulatorische Frameworks wie das IT-Sicherheitsgesetz (KRITIS), die IEC 62443 und NIST SP 800-82 fordern kontinuierliche Überwachungsfunktionen – diese Konformität muss auditfähig nachgewiesen werden.

• Häufige Fehler beim Monitoring resultieren aus einer Beschränkung auf den Perimeter, einer rein signaturbasierten Erkennung und unzureichendem Tuning für die spezifische OT-Umgebung.

Nächste Schritte:

Wenn Sie tiefer in die in diesem Beitrag genannten regulatorischen Anforderungen einsteigen möchten, bietet Ihnen Shieldworkz eine Bibliothek mit Compliance-Playbooks und einsatzbereiten Checklisten. Laden Sie diese herunter, um Ihren aktuellen Überwachungsstatus mit den tatsächlichen Anforderungen von Auditoren und Regulierungsbehörden abzugleichen.

Oder, wenn Sie sehen möchten, wie eine kontinuierliche OT-Überwachung in Ihrer spezifischen Betriebsumgebung funktioniert – fordern Sie eine Demo beim Shieldworkz-Team an. Wir führen Sie durch eine Live-Demonstration auf Basis Ihrer realen Netzwerkarchitektur, Protokolle und Bedrohungsszenarien. Keine generischen Präsentationen. Keine aus der IT adaptierten Konzepte. Nur OT-native Überwachung, entwickelt für Ihre betriebliche Realität.

Zusätzliche Ressourcen:

Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier
Readiness-Checklist zur internen Netzwerksicherheitsüberwachung für Energieversorger hier
OT SOC Grundlagen-Leitfaden hier
Managed SOC Service hier
OT Cyber Threat Intelligence Advisory - Middle East hier
NIS-2-Richtlinie: Erreichung der NIS-2-Konformität durch die IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und industrielle OT-Sicherheitslösungen hier
Kostenlose Richtlinien-Vorlage für Wechselmedien für OT- und IT-Teams hier