Ein Steuerungsingenieur in einer mittelgroßen Wasseraufbereitungsanlage beschrieb sein Netzwerk einmal so, wie es die meisten industriellen Betreiber immer noch tun: „flach, schnell und fehlertolerant“. Jede SPS (PLC) konnte mit jedem Prozessdatenarchiv (Historian) kommunizieren. Jede Engineering-Workstation konnte jedes Remote Terminal Unit erreichen. Es funktionierte – bis zu dem Tag, an dem das Laptop eines Dienstleisters, das bei einem routinemäßigen Besuch infiziert worden war, das sicherheitsgerichtete System (SIS) erreichen konnte, ohne dass ihm etwas im Weg stand. Nichts erkannte es früh genug, um einzugreifen, da niemand die internen Kommunikationen zwischen Assets überwachte, die eigentlich nie hätten stattfinden dürfen.

Dieses Szenario wiederholt sich jedes Jahr in Produktionswerken, Versorgungsbetrieben, Wasseraufbereitungsanlagen und bei Energiebetreibern. Es handelt sich selten um das Versagen eines einzelnen Werkzeugs. Es ist ein Versagen der Architektur. Network Detection and Response (NDR) hat sich zum Rückgrat der OT-Sichtbarkeit entwickelt, aber selbst die leistungsfähigste NDR-Plattform ist nur so effektiv wie das Netzwerk, das sie überwacht. Wenn dieses Netzwerk flach, unsegmentiert und auf implizitem Vertrauen aufgebaut ist, wird die Erkennung fehleranfällig, die Reaktion träge und der Schadensradius (Blast Radius) einer einzelnen Kompromittierung weitaus größer als notwendig.

Dieser Leitfaden erläutert, wie Zero-Trust-Prinzipien und eine disziplinierte Netzwerksegmentierung NDR von einem passiven Alarmierungswerkzeug in eine echte strategische Verteidigungsebene für industrielle Umgebungen verwandeln. Er zeigt auf, was die OT-Erkennung grundlegend von der IT-Sicherheit unterscheidet, wie Segmentierung und Zero Trust einander verstärken, welche realen betrieblichen Risiken bei einer Fehlplanung drohen und wie ein praktischer, praxiserprobter Pfad für OT-Sicherheitsverantwortliche aussieht, die die Erkennung ohne Beeinträchtigung der Produktion stärken müssen.

Für OT-Sicherheitsverantwortliche, Werksleiter und CISOs, die industrielle Abläufe beaufsichtigen, verdient dieses Thema sofortige Aufmerksamkeit. Regulierungsbehörden, Versicherer und Vorstände stellen immer präzisere Fragen darüber, wie gut ein Unternehmen eine Kompromittierung erkennen und eindämmen kann, bevor sie physische Prozesse erreicht. Die Investitionen in NDR steigen in den Sektoren Fertigung, Energie, Wasser und in KRITIS-Bereichen kontinuierlich an. Dennoch stellen viele Organisationen – oft während eines Vorfalls oder Audits – fest, dass ihre Erkennungswerkzeuge zwar genau wie spezifiziert arbeiten, in einem Netzwerk ohne interne Struktur jedoch schlicht den Überblick verlieren. Zu verstehen, warum Segmentierung und Zero Trust für die Erkennungsergebnisse von entscheidender Bedeutung sind – und nicht nur für Compliance-Checklisten –, macht den Unterschied aus zwischen einem Sicherheitsprogramm, das lediglich auf Schlagzeilen reagiert, und einem, das das Risiko für Produktion und Sicherheit nachweislich minimiert.

Die folgenden Abschnitte sind so aufgebaut, dass sie von den grundlegenden Konzepten bis hin zu einem konkreten Maßnahmenplan führen. Ganz gleich, ob das Ziel darin besteht, eine neue NDR-Plattform zu evaluieren, eine bestehende Implementierung zu stärken oder die Business-Case-Begründung für ein Segmentierungsprojekt zu erstellen: Es wird ein klares, direkt anwendbares Framework bereitgestellt.

Grundlagen von NDR in OT/ICS-Umgebungen verstehen

Network Detection and Response ist die Praxis der kontinuierlichen Überwachung des Netzwerkverkehrs, um böswilliges, anomales oder richtlinienverletzendes Verhalten zu identifizieren und anschließend eine koordinierte Reaktion zu unterstützen. In IT-Umgebungen hat sich NDR um Endpoint-Agenten, Cloud-Telemetrie und Verhaltensanalysen herum entwickelt, die auf Büro- und Unternehmensdatenströme abgestimmt sind. Industrielle Umgebungen erfordern jedoch eine völlig andere Disziplin.

Was die OT-Netzwerkerkennung von IT-NDR unterscheidet

Netzwerke der operativen Technologie (OT) führen Protokolle aus, für deren korrekte Analyse IT-Sicherheitswerkzeuge nie konzipiert wurden. Dazu gehören Modbus, DNP3, OPC UA, EtherNet/IP sowie proprietäre Herstellerprotokolle, die auf Steuerungen (PLCs), RTUs, HMIs und sicherheitsgerichteten Systemen laufen. Diese Netzwerke tolerieren keine aktiven Scans, aggressiven Agenten oder andere Maßnahmen, die das Risiko bergen, eine Regelschleife zu unterbrechen. Ein einzelnes verlorenes Paket in einem sicherheitsgerichteten System (SIS) stellt ein völlig anderes Problem dar als ein verlorenes Paket auf einem E-Mail-Server.

• OT-NDR muss passiv arbeiten, indem es Traffic-Mirroring oder Netzwerk-Taps nutzt, anstatt intrusive Scans durchzuführen, die laufende Steuerungsprozesse destabilisieren könnten.

• Es muss Industrieprotokolle auf Befehlsebene verstehen und in der Lage sein, eine legitime Änderung der Konfiguration von einem böswilligen Schreibbefehl in ein SPS-Register (PLC) zu unterscheiden.

• Es muss extrem lange Lebenszyklen von Assets berücksichtigen, da viele Feldgeräte fünfzehn bis fünfundzwanzig Jahre ohne Sicherheits-Patch betrieben werden.

• Es muss den physikalischen Prozesskontext mit dem Netzwerkverhalten korrelieren, da eine Netzwerkanomalie, die zeitgleich mit einem ungewöhnlichen Ventil- oder Turbinenbefehl auftritt, eine völlig andere Gewichtung besitzt.

• Es muss den betrieblichen Kalender respektieren, da ein Wartungsfenster, ein Firmware-Update oder eine saisonale Produktionsänderung für ein Modell ohne Kontext wie Anomalien wirken können. Jede fälschliche Meldung dieser Ereignisse untergräbt das Vertrauen in das System rapide.

Diese Unterschiede sind nicht rein akademischer Natur. Ein auf IT ausgerichtetes Erkennungswerkzeug, das ohne Protokollkontext in ein OT-Netzwerk integriert wird, übersieht entweder böswillige Befehle, die in legitim wirkendem Industrie-Traffic verborgen sind, oder erzeugt so viele Fehlalarme bei normalen Engineering-Aktivitäten, dass die Bediener den Alarmen schließlich keinen Glauben mehr schenken. Beide Ergebnisse führen zu einer Gefährdung des Unternehmens. Daher sind speziell für Industrieumgebungen entwickelte NDR-Plattformen und die sie tragende Architektur weitaus wichtiger als bloße Werbeversprechen zur Erkennungsgenauigkeit.

Warum traditionelle Perimeter-Sicherheit nicht mehr ausreicht

Jahrzehntelang stützte sich die industrielle Sicherheitsstrategie stark auf das Konzept des „Air Gaps“, also einer physischen oder logischen Trennung zwischen dem OT-Netzwerk und der Außenwelt. Diese Annahme hat sich längst überholt. Fernzugriffe für Dienstleister, cloudbasierte Prozessdatenarchive (Historians), IT/OT-Konvergenzprojekte und selbst einfache USB-basierte Firmware-Updates haben zahlreiche informelle Brücken in Umgebungen geschlagen, die ursprünglich auf Isolation ausgelegt waren.

Sobald ein Angreifer diesen Perimeter überwindet – sei es durch eine Phishing-E-Mail im IT-Bereich oder eine kompromittierte Fernzugriffssitzung – bietet ein flaches Netzwerk fast keinen internen Widerstand mehr. Genau hier werden Segmentierung und Zero Trust unerlässlich. Sie sind keine bloßen Compliance-Häkchen, sondern die grundlegende Architektur, die darüber entscheidet, ob NDR nachfolgende Aktivitäten tatsächlich erkennen und unterbinden kann.

Es ist wichtig, die wirtschaftlichen Konsequenzen offen anzusprechen. Ein durch einen Sicherheitsvorfall verursachter Produktionsausfall bemisst sich in entgangener Wertschöpfung, Vertragsstrafen und, in regulierten Sektoren, verpflichtenden Meldungen gemäß KRITIS-Vorgaben. Die Kompromittierung eines sicherheitsgerichteten Systems zieht Folgen nach sich, die weit über rein finanzielle Verluste hinausgehen. Segmentierung und Zero Trust als reine IT-Projekte zu betrachten, greift zu kurz: Sie sind Investitionen zur Risikominimierung, die die Verfügbarkeit, die funktionale Sicherheit (Safety) und die Betriebsfähigkeit des Unternehmens direkt schützen.

Das Plädoyer für Zero Trust in Prozessleitsystemen (ICS)

Zero Trust wird fälschlicherweise oft als Produktkategorie verstanden. Richtiger ist es, Zero Trust als Betriebsmodell zu begreifen: Vertrauen darf niemals allein aufgrund des Netzwerkstandorts vorausgesetzt werden. Jeder Benutzer, jedes Gerät und jede Kommunikation, die auf eine Ressource zugreifen möchte, muss kontinuierlich verifiziert werden, unabhängig davon, ob die Anfrage innerhalb oder außerhalb des traditionellen Perimeters initiiert wurde.

Kernprinzipien von Zero Trust für die OT

• Explizit verifizieren. Jede Zugriffsanfrage wird basierend auf Identität, Gerätezustand und Kontext authentifiziert und autorisiert – nicht einfach deshalb, weil die Anfrage aus dem internen Werksnetzwerk stammt.

• Einführung des Least-Privilege-Prinzips. Eine Engineering-Workstation darf nur auf die spezifischen Steuerungen zugreifen können, die sie tatsächlich verwaltet, und nicht auf alle Geräte einer Produktionslinie.

• „Assume Breach“ (Gehe vom Schlimmsten aus). Die Umgebung ist so zu gestalten, als ob sich ein Angreifer bereits im Netzwerk befindet. Monitoring und Segmentierung müssen so aufgebaut sein, dass sie die Reichweite und die Seitwärtsbewegung (Lateral Movement) des Angreifers wirksam begrenzen.

• Kontinuierliche Inspektion und Protokollierung. Jede Sitzung – insbesondere Fernzugriffe und Zugriffe von Drittanbietern – muss sichtbar sein, aufgezeichnet werden und für nachträgliche Analysen zur Verfügung stehen.

Ein häufiges Missverständnis bedarf einer klaren Richtigstellung: Zero Trust bedeutet nicht, das Vertrauen in Bediener, Ingenieure oder das Personal zu entziehen, das die Produktion aufrechterhält. Es bedeutet vielmehr, dem Netzwerk selbst kein blindes Vertrauen mehr entgegenzubringen. Ein Steuerungsingenieur mit berechtigten Gründen für den Zugriff auf bestimmte Steuerungen muss diesen schnell und zuverlässig erhalten. Zero Trust entzieht lediglich die Annahme, dass ein Gerät automatisch Zugriff auf das gesamte Netzwerk erhält, nur weil es sich im internen Netz befindet. Diese Unterscheidung ist in der Kommunikation mit den Werksteams von großer Bedeutung, da diese den Begriff sonst mit operativem Mehraufwand anstatt mit erhöhtem Schutz assoziieren könnten.

Durchdacht umgesetzt, verringert Zero Trust im OT-Kontext langfristig die operativen Hürden, da Zugriffe vorhersehbar, auditierbar und an tatsächliche Arbeitsfunktionen gebunden sind – anstatt an das, was das Netzwerk zufällig zulässt. Untersuchungen von Vorfällen beschleunigen sich zudem drastisch, da eine identitätsbasierte Protokollierung präzise aufzeigt, wer oder was wann auf ein bestimmtes System zugegriffen hat, anstatt dass Teams Aktivitäten mühsam aus unstrukturierten Paketaufzeichnungen (PCAPs) rekonstruieren müssen.

Zero Trust vs. Legacy-Vertrauensmodelle in industriellen Netzwerken

Tabelle 1: Wie Zero Trust die Vertrauensannahmen im Vergleich zur klassischen, perimeterbasierten OT-Sicherheit verändert.

Hierfür ist kein Austausch von Legacy-Geräten erforderlich. Zero Trust wird in Industrieumgebungen vorwiegend auf der Netzwerk- und Zugriffsebene durch Segmentierung, identitätsbasierte Gateways und reglementierte Fernzugriffe umgesetzt, da viele Feldgeräte selbst keine moderne Authentifizierung unterstützen. Die Strategie löst Legacy-Einschränkungen auf organisatorische und technische Weise, was sie für Unternehmen mit Anlagen, die noch ein Jahrzehnt oder länger in Betrieb sein werden, absolut realisierbar macht.

Netzwerksegmentierung als Fundament der Verteidigung

Wenn Zero Trust die Philosophie darstellt, ist die Segmentierung der Mechanismus, der sie im industriellen Netzwerk umsetzt. Die Segmentierung unterteilt ein Netzwerk basierend auf Funktion, Kritikalität und Risiko in verschiedene Zonen und regelt präzise, welcher Datenverkehr zwischen ihnen zugelassen wird (gemeinhin als Conduit oder Verbindungsleitung bezeichnet).

Das Purdue-Modell und moderne Segmentierungsstrategien

Die Purdue-Referenzarchitektur (PERA) bleibt ein nützliches gedankliches Modell für industrielle Netzwerke, das die Umgebung in Ebenen unterteilt – von Feldgeräten und Steuerungen auf den unteren Ebenen bis hin zu ERP- und Unternehmenssystemen an der Spitze. Eine effektive Segmentierung erzwingt strikte Grenzen zwischen diesen Ebenen, insbesondere zwischen den operativen Systemen der Ebene 3 (Level 3) und der IT des Unternehmens auf Ebene 4 (Level 4), wo die weitaus meiste Zahl realer OT-Kompromittierungen ihren Ursprung hat.

Moderne Industrieumgebungen lassen sich aufgrund von Cloud-Prozessdatenarchiven, Fernüberwachungsplattformen und IIoT-Sensoren selten noch eins zu eins auf die klassischen Purdue-Ebenen abbilden. Dies hat viele Unternehmen zu einem Hybridmodell geführt, das die Zonen-und-Conduit-Logik von Purdue beibehält, jedoch identitätsbasierte Kontrollen für Verbindungen integriert, die diese Grenzen zwangsläufig überschreiten.

Mikrosegmentierung in laufenden Produktionsumgebungen

Über die grobe Trennung von Zonen hinaus verfeinert die Mikrosegmentierung die Kontrolle bis auf die Ebene einzelner Assets oder kleiner funktionaler Gruppen. Dies umfasst beispielsweise die Isolation der Steuerungen einer Produktionslinie von allen anderen Linien oder die vollständige Trennung eines sicherheitsgerichteten Systems (SIS) vom Standard-Prozessleitsystem (BPCS), das es absichert.

• Gruppierung von Assets nach Funktion und Kritikalität, nicht allein nach physischem Standort.

• Isolierung von sicherheitsgerichteten Systemen (SIS) als eigenständige Zone mit den restriktivsten verfügbaren Conduit-Regeln.

• Behandlung von Engineering-Workstations als hochkritische Ziele und deren Segmentierung abseits des allgemeinen Bedienerzugriffs.

• Schrittweise Umsetzung der Segmentierung und Validierung jeder Änderung am realen Prozessverhalten, bevor die nächste Grenze restriktiver gestaltet wird.

  

Mikrosegmentierung ist häufig der Punkt, an dem Unternehmen zögern, da sie befürchten, dass restriktivere interne Grenzen neue betriebliche Risiken einführen könnten. In der Praxis hat sich ein inkrementeller, evidenzbasierter Ansatz bewährt: Den realen Datenverkehr über einen definierten Zeitraum beobachten, validieren, welche Verbindungen für den Prozessbetrieb zwingend erforderlich sind, Richtlinien um diese verifizierte Baseline herum erstellen und erst im Anschluss vom Monitoring-Modus in den Enforcement-Modus wechseln. Das Überspringen der Beobachtungsphase ist die häufigste Ursache für das Scheitern von Segmentierungsprojekten, da ungeplante Ausfallzeiten das Vertrauen der Betriebsteams nachhaltig beschädigen.

Wie Zero Trust und Segmentierung NDR gemeinsam stärken

NDR-Plattformen sind im Kern Mustererkennungssysteme. Sie lernen, wie der Normalzustand aussieht, und melden Abweichungen. Die Qualität dieser Baseline und die Geschwindigkeit, mit der eine tatsächliche Bedrohung aus dem Grundrauschen herausgefiltert wird, hängt maßgeblich von der zugrunde liegenden Netzwerkarchitektur ab. Hier zeigt sich, wie Segmentierung und Zero Trust eine gute NDR-Implementierung in ein hocheffektives Werkzeug verwandeln.

Reduzierung der Angriffsfläche und Erhöhung der Signalqualität

In einem flachen Netzwerk sieht ein NDR-Sensor an einem Core-Switch eine unübersichtliche Mischung aus Datenverkehr von Dutzenden Asset-Typen und Unternehmensfunktionen. Eine subtile, böswillige Befehlsinjektion aus diesem Rauschen herauszufiltern, ist selbst für hochentwickelte Verhaltensmodelle extrem schwierig.

Die Reduzierung der Angriffsfläche wird oft als abstrakte Sicherheitsmetrik diskutiert, für OT-Teams hat sie jedoch eine sehr konkrete Bedeutung: weniger erreichbare Geräte von einem einzelnen Kompromittierungspunkt aus, weniger freigegebene Protokolle über Zonengrenzen hinweg und weniger dauerhaft aktive Zugangsdaten, die einem Angreifer bei Diebstahl weitreichenden Zugriff gewähren würden. Jede dieser Reduzierungen vereinfacht die Analysen einer NDR-Plattform. Dies erklärt, warum Unternehmen, die Segmentierung und Bedrohungserkennung parallel vorantreiben, durchweg eine schnellere Amortisation (Time-to-Value) ihrer Monitoring-Investitionen verzeichnen als jene, die Erkennungswerkzeuge in einem unveränderten, flachen Netzwerk implementieren.

Die Signalqualität verbessert sich im Laufe der Zeit kontinuierlich. Eine in einer präzise definierten Zone erstellte Verhaltens-Baseline bleibt länger stabil, da sich die Anzahl der Geräte und die Kommunikationsmuster innerhalb dieser Zone weit seltener verändern als in einem flachen Gesamtnetzwerk. Diese Stabilität führt direkt zu weniger Zyklen für das Neulernen der Baseline, weniger Alarmierungsspitzen bei routinemäßigen Wartungsfenstern und einem Security-Operations-Team, das den empfangenen Alarmen vertraut, anstatt sie zu ignorieren.

Die Segmentierung unterstützt dies, indem sie den NDR-Sensoren eine sauberere, berechenbarere Baseline innerhalb jeder Zone liefert. Ein Sensor, der ausschließlich das Steuerungsnetzwerk einer Abfüllanlage überwacht, sieht ein eng eingegrenztes, wiederkehrendes Muster an Kommunikationsbeziehungen. Abweichungen lassen sich so mit hoher Zuverlässigkeit identifizieren, und die Fehlalarmrate sinkt signifikant – ein entscheidender Faktor für schlank aufgestellte OT-Sicherheitsteams, die keine Kapazitäten für das Verfolgen von Fehlalarmen haben.

Eindämmung von Lateral Movement vor dem Entstehen eines schweren Vorfalls

Die folgenschwersten Cybervorfälle in der Industrie betreffen selten nur ein einzelnes kompromittiertes Gerät. Meist bewegen sich Angreifer unbemerkt von einem ersten Einstiegspunkt zu kritischen Systemen – sei es zu einem Prozessdatenarchiv mit administrativen Zugangsdaten, einer Engineering-Workstation mit Programmierrechten oder einer Steuerung des Sicherheitsgerätesystems (SIS). Die Segmentierung macht jede Zonengrenze zu einem Kontrollpunkt, und Zero Trust stellt sicher, dass das Überschreiten dieses Punkts eine explizite, verifizierte Autorisierung erfordert, anstatt sich auf die bloße Erreichbarkeit im Netzwerk verlassen zu können.

Für NDR ändert dies alles. Anstatt die sprichwörtliche Nadel im Heuhaufen zu suchen, kann die Plattform ihre Analysen auf die geringe Anzahl legitimer Conduits zwischen den Zonen konzentrieren. Ein unerwarteter Verbindungsversuch über eine Segmentierungsgrenze hinweg – insbesondere in Richtung einer Sicherheits- oder Prozesssteuerungszone – generiert einen der qualitativen Alarme, die ein Sicherheitsteam erhalten kann.

Hinzu kommt die Reaktionsgeschwindigkeit, die häufig unberücksichtigt bleibt. In einem flachen Netzwerk bedeutet die Eindämmung einer verifizierten Bedrohung oft die schwierige Abwägung, ein kompromittiertes Gerät während der laufenden Analyse online zu lassen oder einen unverhältnismäßig großen Teil des Netzwerks zu trennen und damit Produktionsausfälle zu riskieren. Eine segmentierte Umgebung erlaubt es dem Sicherheitsteam, die betroffene Zone präzise zu isolieren und den Angriffsvektor zu blockieren, während unbeteiligte Produktionslinien und Systeme ungestört weiterlaufen. Diese Präzision entscheidet darüber, ob ein Vorfall nach wenigen Stunden Analyse eingedämmt ist oder zu einem weitreichenden Betriebsstillstand führt, der öffentlichkeitswirksam wird.

Tabelle 2: Die praktischen Auswirkungen von Segmentierung und Zero Trust auf die Erkennungs- und Reaktionsqualität von NDR.

Risiken, Herausforderungen und Branchenanalysen

Reale Vorfälle verdeutlichen die Kosten flacher Netzwerke

Zahlreiche gut dokumentierte Vorfälle in der Industrie zeigen deutlich auf, welche Risiken entstehen, wenn Segmentierung und Monitoring fehlen oder unvollständig implementiert sind.

• Bei den Angriffen auf ukrainische Energieversorger in den Jahren 2015 und 2016 konnten sich Angreifer, die sich zunächst über Phishing Zugriff verschafft hatten, mit minimalem Widerstand aus der Unternehmens-IT in die operativen Netzwerke vorarbeiten, um letztlich Leistungsschalter zu steuern und Hunderttausende Haushalte vom Netz zu trennen.

• Der Vorfall im Jahr 2017 in einer petrochemischen Anlage im Nahen Osten zeigte, wie Angreifer bis zur Logik der sicherheitsgerichteten Systeme (SIS) vordrangen – eine Zugriffsebene, die durch eine strikte Zonenisolierung um Sicherheitssysteme gezielt hätte verhindert werden müssen.

• Der Ransomware-Vorfall bei einem globalen Aluminiumproduzenten im Jahr 2019 zwang mehrere Werke zur Rückkehr zum manuellen Betrieb, nachdem sich die Schadsoftware ungehindert in IT- und OT-Netzwerken verbreitet hatte, denen es an internen Sicherheitsgrenzen mangelte.

• Die Kompromittierung des Fernzugriffssystems einer Wasseraufbereitungsanlage in Florida im Jahr 2021 verdeutlichte, wie eine unsegmentierte, unzureichend überwachte Remote-Verbindung einen direkten Pfad zu sicherheitskritischen chemischen Dosierungssystemen eröffnen kann.

• Die Ransomware-Attacke auf einen großen US-Pipelinebetreiber im Jahr 2021, die primär die IT-Systeme betraf, führte zu einer vorsorglichen Abschaltung der OT-Systeme. Dies verdeutlicht, wie eine IT/OT-Interdependenz ohne klare Segmentierung einen IT-Vorfall schnell zu einer betrieblichen Krise ausweiten kann.

Keiner dieser Vorfälle lässt sich auf das Versagen eines einzelnen Tools zurückführen. In jedem Fall ermöglichte das Fehlen restriktiver Grenzen, dass sich eine initiale Kompromittierung weitflächig ausbreiten und erheblich mehr Schaden anrichten konnte, als dies in einer sauber segmentierten, kontinuierlich überwachten Umgebung möglich gewesen wäre.

Ein wiederkehrendes Muster bei fast allen diesen Ereignissen ist, dass der Erstzugang selten direkt über das operative Netzwerk erfolgte. Phishing-E-Mails, offene Fernzugriffs-Schnittstellen und Verbindungen von externen Dienstleistern waren durchweg die ersten Schritte. Der tatsächliche Schaden entstand erst, als der Angreifer in der Lage war, sich ungehindert vom Einstiegspunkt zu Systemen vorzuarbeiten, die direkten Einfluss auf physische Prozesse haben. Genau diese Ausbreitung soll eine Segmentierung verhindern, und genau diese Bewegungen soll ein strategisch platzierter NDR-Sensor an einer Zonengrenze im Moment ihres Entstehens detektieren.

Der geschäftliche und regulatorische Rahmen

Neben den direkten Kosten von Betriebsunterbrechungen oder Sicherheitsunfällen stehen Segmentierung und Zero Trust zunehmend im Fokus regulatorischer Vorgaben und von Versicherungsanforderungen, gegenüber denen OT-Sicherheitsverantwortliche direkt rechenschaftspflichtig sind. Branchenweit anerkannte Frameworks wie die DIN EN IEC 62443 für die Sicherheit industrieller Automatisierungssysteme (IACS) sowie das NIST Cybersecurity Framework positionieren Netzwerksegmentierung und Zugriffskontrolle im Zentrum eines resilienten Sicherheitsprogramms. Auch Cyber-Versicherer stellen in ihren Risikofragebögen mittlerweile sehr gezielte Fragen zur Segmentierung von IT und OT sowie zur Absicherung und Überwachung von Fernzugriffen.

Tabelle 4: Wie Segmentierung und Zero Trust übergreifende geschäftliche, regulatorische und versicherungstechnische Prioritäten unterstützen.

Häufige Herausforderungen bei der Umsetzung für OT-Teams

Obwohl weitgehend Einigkeit darüber herrscht, dass Segmentierung und Zero Trust die Sicherheitslage entscheidend verbessern, stoßen OT-Teams in der Praxis regelmäßig auf ähnliche Hürden.

• Legacy-Geräte, die moderne Authentifizierung oder Verschlüsselung nicht unterstützen und kompensierende Kontrollen anstelle einer direkten Durchsetzung am Endpunkt erfordern.

• Hoher Produktionsdruck, der Wartungsfenster minimiert und das Testen sowie Einführen neuer Segmentierungsrichtlinien ohne Ausfallrisiko erschwert.

• Unvollständige Asset-Inventare – eine effektive Segmentierung ist unmöglich, wenn im Netzwerk befindliche Geräte nicht bekannt sind.

• Kulturelle Diskrepanzen zwischen IT-Teams, die restriktive Zugriffskontrollen priorisieren, und OT-Teams, für die Verfügbarkeit und Prozessstabilität an erster Stelle stehen.

• Historisch gewachsene Fernzugriffslösungen für externe Dienstleister, die auf breiten, permanenten Netzwerkzugriffen anstatt auf zeitlich und inhaltlich begrenzten Sitzungen basieren.

Diese Herausforderungen sind kein Grund, Vorhaben aufzuschieben. Sie erfordern vielmehr eine sorgfältige Priorisierung: mit Transparenz beginnen, die risikoreichsten Schnittstellen zuerst absichern und Segmentierung als kontinuierlichen Prozess anstelle eines einmaligen Projekts begreifen. Organisationen, die versuchen, sämtliche Systeme in einem einzigen Großprojekt gleichzeitig zu segmentieren, scheitern häufig oder müssen Änderungen nach ungeplanten Produktionsstörungen rückgängig machen. Erfolgreich sind jene Unternehmen, die die Umsetzung schrittweise an Risiken und der betrieblichen Machbarkeit ausrichten.

Praktische Empfehlungen und Best Practices

Die Optimierung von NDR durch Segmentierung und Zero Trust erfordert keine sofortige, fundamentale Neugestaltung der gesamten Infrastruktur. Die erfolgreichsten industriellen Sicherheitsprogramme verfolgen einen phasenbasierten, risikoorientierten Ansatz.

• Aufbau und kontinuierliche Pflege eines vollständigen, dynamischen Asset-Inventars über alle Ebenen der Umgebung hinweg – einschließlich Feldgeräten, Steuerungen, Workstations und Netzwerkinfrastruktur.

• Analyse des tatsächlichen Datenverkehrs vor der Definition von Segmentierungsregeln, um mittels passivem Monitoring zu verstehen, welche Systeme real miteinander kommunizieren.

• Definition von Zonen und Conduits basierend auf Prozessfunktion und Kritikalität, beginnend mit der risikoreichsten Schnittstelle: der Verbindung zwischen IT und OT.

• Isolierung von sicherheitsgerichteten Systemen (SIS) in einer eigenständigen, streng kontrollierten Zone mit minimalen zugelassenen Conduits.

• Implementierung passiver, protokollsensitiver NDR-Sensoren an allen kritischen Zonengrenzen und nicht ausschließlich am Netzwerkperimeter.

• Ablösung permanenter VPN-Zugänge für Dienstleister durch rollenbasierte, zeitlich begrenzte und überwachte Fernzugriffssitzungen.

• Etablierung einer verhaltensbasierten Baseline für jede Zone vor der Aktivierung restriktiver Blockierregeln, um Fehlalarme bei legitimem Prozessverkehr auszuschließen.

• Regelmäßige Durchführung von Tabletop-Übungen zur Simulation von Lateral-Movement-Szenarien, um zu validieren, ob Segmentierungsgrenzen und NDR-Alarme wie spezifiziert greifen.

• Turnusmäßige Überprüfung und Nachjustierung der Segmentierungsrichtlinien, da sich industrielle Netzwerke durch neue Anlagen und Integrationen kontinuierlich verändern.

Für OT-Sicherheitsverantwortliche empfiehlt es sich, jeden dieser Schritte als Meilenstein mit eigenen Erfolgskriterien zu definieren, anstatt ein unstrukturiertes Gesamtprojekt aufzusetzen. Die Vollständigkeit des Asset-Inventars, der Prozentsatz der analysierten Datenströme, die Anzahl der Zonen mit aktiven Conduit-Richtlinien sowie die durchschnittliche Zeit bis zur Erkennung eines simulierten Lateral-Movement-Versuchs sind messbare Indikatoren. Diese können der Unternehmensführung als klarer Fortschritt berichtet werden.

Evaluierungskriterien für NDR-Plattformen im OT-Bereich

Bei der Auswahl oder Optimierung einer NDR-Plattform für industrielle Umgebungen sollten Sicherheitsverantwortliche die folgenden Kriterien priorisieren.

Tabelle 3: Essenzielle Kriterien für die Bewertung und den Ausbau von NDR-Plattformen im OT-Umfeld.

Häufig gestellte Fragen von OT-Sicherheitsverantwortlichen

Erfordert die Segmentierung den Austausch bestehender OT-Systeme?

Nein. Der Großteil der Segmentierungsmaßnahmen wird auf der Netzwerkebene mittels Switches, Firewalls und Überwachungssystemen umgesetzt. Modifikationen oder ein Austausch von Feldgeräten, Steuerungen (PLCs) oder sicherheitsgerichteten Systemen (SIS) sind hierfür nicht erforderlich. Die Bestandssysteme bleiben unverändert in Betrieb, während die sie umgebende Netzwerkstruktur gehärtet wird.

Beeinträchtigt Zero Trust die Arbeit von Bedienern und Ingenieuren im Schichtbetrieb?

Bei einer professionellen Umsetzung ist dies nicht der Fall. Zugriffsberechtigungen orientieren sich präzise an den tatsächlichen Aufgabenrollen. Bediener oder Ingenieure behalten schnellen und verlässlichen Zugriff auf die für ihre Arbeit erforderlichen Systeme. Es entfällt lediglich der standardmäßige, unkontrollierte Zugriff auf unbeteiligte Netzwerkbereiche, was das Risiko signifikant senkt, ohne Hürden im Arbeitsalltag aufzubauen.

Wie viel Zeit erfordert die Einführung von Segmentierung und Zero Trust im Durchschnitt?

Die Projektlaufzeiten hängen von der Größe und Komplexität der Werke ab. Deutliche Sicherheitsgewinne lassen sich häufig bereits innerhalb der ersten drei bis sechs Monate erzielen, indem die risikoreichste Schnittstelle – die IT/OT-Anbindung – sowie die Isolierung von sicherheitsgerichteten Systemen priorisiert werden. Eine umfassende Mikrosegmentierung wird in der Regel phasenweise über einen Zeitraum von zwölf bis vierundzwanzig Jahren parallel zu regulären Wartungsfenstern realisiert.

Kann NDR bereits vor Abschluss der Segmentierung implementiert werden?

Ja, und dies ist in den meisten Fällen auch dringend ratsam. Die frühzeitige Bereitstellung von passivem NDR liefert die notwendige Transparenz, um Segmentierungsrichtlinien auf Basis realer Datenströme anstelle von Annahmen zu entwerfen. Zudem steigt der Nutzen des NDR-Systems mit fortschreitender Segmentierung kontinuierlich an, da sich die Erkennungsqualität mit jeder neu definierten Zone präzisiert.

Wie Shieldworkz Industrieunternehmen unterstützt

Shieldworkz unterstützt Industrieunternehmen, Fertiger und KRITIS-Betreiber dabei, die Lücke zwischen Sicherheitsarchitektur und Bedrohungserkennung zu schließen. Wir führen Segmentierung und Zero Trust aus der Theorie in die operative Praxis. Jedes Projekt basiert auf derselben Prämisse: Kontinuität und Sicherheit der Produktion stehen an erster Stelle – die Sicherheitsarchitektur muss sich an diesen Gegebenheiten ausrichten, nicht umgekehrt.

• Umfassende OT-Asset-Erkennung und Risikobewertung zum Aufbau des detaillierten Inventars, das für Segmentierung und Erkennung gleichermaßen essenziell ist.

• Konzeption von Zonen und Conduits abgestimmt auf reale Produktionsprozesse, entwickelt in enger Kooperation mit den Betriebs- und Engineering-Teams vor Ort.

• Implementierung passiver, protokollsensitiver Netzwerküberwachung an den kritischsten Schnittstellen, insbesondere an den IT/OT-Schnittstellen und in sicherheitsgerichteten Systemzonen.

• Zero-Trust-Fernzugriffsstrategien, die weitläufige, permanente Dienstleisterzugänge durch klar eingegrenzte, überwachte und zeitlich limitierte Verbindungen ersetzen.

• Kontinuierliche Bedrohungserkennung und Incident-Response-Unterstützung mit Fokus auf den industriellen Prozesskontext, frei von generischen IT-Alarmen.

• Beratung für eine phasenbasierte, unterbrechungsfreie Implementierung, um Segmentierungsmaßnahmen ohne Störung der Produktionspläne umzusetzen.

• Fortlaufende Audits der Sicherheitsarchitektur und Tabletop-Übungen zur Validierung der Abwehrfähigkeit gegenüber realen Angriffsszenarien.

Das Ziel jeder Zusammenarbeit ist identisch: Werksleitern, Ingenieuren und Sicherheitsteams ein Netzwerk bereitzustellen, dem sie vertrauen können – gestützt auf Erkennungswerkzeuge, die die hierfür erforderliche Präzision und Transparenz liefern.

Fazit

Network Detection and Response bleibt eine Kernkomponente der industriellen Cybersicherheit, doch ihre Effektivität steht und fällt mit der zugrunde liegenden Netzwerkarchitektur. Zero-Trust-Prinzipien und eine konsequente Netzwerksegmentierung liefern NDR die präzisen Signale, die reduzierte Angriffsfläche und die Kontrollpunkte, die notwendig sind, um reale Bedrohungen frühzeitig zu erkennen und eine Reaktion einzuleiten, die den Betrieb und die Sicherheit der Anlage schützt.

Für OT-Sicherheitsverantwortliche geht es beim zukünftigen Weg nicht um den übereilten Austausch bestehender Infrastrukturen oder das Aufzwingen von IT-Sicherheitskonzepten in Umgebungen, die dafür nicht ausgelegt sind. Es geht darum, Bestandsstrukturen methodisch zu erfassen, sinnvolle Grenzen um kritische Kernbereiche zu ziehen und der Erkennungstechnologie die strukturierte Umgebung bereitzustellen, die sie für eine optimale Leistung benötigt. Unternehmen, die diese Investition tätigen, stellen regelmäßig fest, dass ihre bestehenden Sicherheitswerkzeuge – einschließlich NDR – nahezu sofort eine signifikant höhere Wirksamkeit entfalten.

Bei realen Vorfällen schneiden selten die Organisationen am besten ab, die die teuersten Einzellösungen implementiert haben. Es sind jene, die im Vorfeld ihre Assets präzise erfasst, ihre Kommunikationsbeziehungen analysiert und eine Netzwerkstruktur etabliert haben, in der eine Kompromittierung in einem Teilbereich des Werks nicht unbemerkt den gesamten Betrieb lahmlegen kann. Segmentierung und Zero Trust sind die Werkzeuge zum Aufbau dieser resilienten Struktur – eine höhere, schnellere und zuverlässigere Erkennungsleistung ist einer der unmittelbarsten und messbarsten Vorteile dieses Ansatzes.

Sind Sie bereit, die Sichtbarkeit Ihres OT-Netzwerks zu stärken?

Jede industrielle Umgebung weist eine eigene Dynamik aus Legacy-Assets, Produktionsanforderungen und Sicherheitsaspekten auf. Unser Team unterstützt OT-Sicherheitsverantwortliche dabei, reale Risiken zu analysieren, eine prozesskonforme Segmentierung zu entwerfen und den Wert bereits implementierter Erkennungswerkzeuge nachhaltig zu steigern.

Vereinbaren Sie jetzt ein kostenfreies Beratungsgespräch mit unseren Experten →

Zusätzliche Ressourcen:

Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier
NERC CIP-015 Bereitschafts-Checkliste zur internen Netzwerk-Sicherheitsüberwachung für Energieversorger hier
OT SOC Grundlagen-Leitfaden hier
Managed SOC Service hier
OT Cyber Threat Intelligence Report - Naher Osten hier
NIS-2-Richtlinie: Erreichung der NIS-2-Compliance mittels IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und Sicherheitslösungen für die OT hier
Kostenlose Richtlinien-Vorlage für Wechselmedien für OT- und IT-Teams hier