Jeder Werksleiter und jeder Verantwortliche für OT-Sicherheit hat schon einmal eine Variante derselben Beschwichtigung gehört: "Wir haben Firewalls, wir segmentieren unsere Netzwerke und wir halten uns an die IEC 62443." Doch auf die Frage, wie ausgereift dieses Programm tatsächlich ist, auf welchem Reifegrad es sich befindet und welche Belege diese Behauptung stützen, herrscht im Raum meist Schweigen. Dieses Schweigen ist das eigentliche Risiko. Industrielle Cybersecurity wird nicht mehr danach beurteilt, ob Schutzmaßnahmen existieren, sondern danach, wie konsistent, nachweisbar und effektiv sie unter realem betrieblichen Druck funktionieren.

Ein Reifegrad-Assessment nach IEC 62443 schließt diese Lücke. Es ersetzt Annahmen durch Nachweise, ersetzt ein "Wir glauben, wir sind abgesichert" durch einen dokumentierten Reifegradwert (Capability Score) und bietet Entscheidungsträgern eine belastbare Grundlage für künftige Investitionen. Dieser Blog erläutert, was OT-Reifegrad gemäß IEC 62443 tatsächlich bedeutet, warum so viele Industrieunternehmen ihre eigene Sicherheitslage überschätzen und wie eine strukturierte Bewertung die Sicherheit von einer reinen Compliance-Checkliste in eine messbare, verbesserungsfähige Geschäftsfähigkeit verwandelt.

Warum der IEC 62443-Reifegrad für OT-Sicherheitsprogramme entscheidend ist

Die IEC 62443 wurde speziell für industrielle Automatisierungs- und Steuerungssysteme entwickelt, da OT-Umgebungen sich völlig anders verhalten als IT-Unternehmensnetzwerke. Verfügbarkeit, Sicherheit und Prozessintegrität haben Vorrang vor Vertraulichkeit. Patch-Zyklen werden in Monaten, nicht in Tagen gemessen. Legacy-Steuerungen (SCADA/PLC), Human-Machine-Interfaces und Engineering-Workstations können fünfzehn oder zwanzig Jahre ohne vollständige Erneuerung im Einsatz sein. Ein Reifegrad-Assessment ist deshalb so wichtig, weil es dieser Realität Rechnung trägt, anstatt eine IT-zentrierte Checkliste auf eine grundlegend andere Umgebung zu übertragen.

Reifegrad ist in diesem Zusammenhang keine Ja/Nein-Antwort auf Fragen wie "Haben Sie eine Firewall?" oder "Verfügen Sie über einen Notfallplan?". Er misst, wie konsistent eine Sicherheitsmaßnahme angewendet wird, wie gut sie dokumentiert ist, ob sie unter realistischen Bedingungen getestet wird und ob sie sich im Laufe der Zeit verbessert. Eine Sicherheitsmaßnahme, die nur auf dem Papier existiert, aber noch nie bei einer tatsächlichen Störung erprobt wurde, bietet nur sehr wenig realen Schutz. Ein Reifegrad-Assessment ist genau darauf ausgelegt, solche Lücken aufzudecken, bevor es zu einem Vorfall kommt.

Betrachten Sie drei Unternehmen, die alle von sich behaupten, "an der IEC 62443 ausgerichtet" zu sein:

• Unternehmen A verfügt über schriftliche Richtlinien und ein Netzwerkdiagramm, aber in den letzten zwei Jahren hat niemand die Segmentierung validiert, und das Diagramm ist bereits veraltet.

• Unternehmen B hat Zonen und Conduits segmentiert, überwacht den Datenverkehr dazwischen und hat in diesem Jahr zwei Tabletop-Übungen durchgeführt, an denen sowohl IT- als auch OT-Teams beteiligt waren.

• Unternehmen C verfügt über alle oben genannten Punkte und verfolgt zudem quantitative Metriken über mehrere Assessment-Zyklen hinweg, was eine messbare Verbesserung der Erkennungszeit und der Patch-Aktualität zeigt.

Auf dem Papier beschreiben sich alle drei gegenüber einem Auditor oder dem Vorstand möglicherweise auf dieselbe Weise. Ein strukturiertes Reifegrad-Assessment unterscheidet die tatsächliche Leistungsfähigkeit von guten Absichten. Es ist der einzige verlässliche Weg, um herauszufinden, welche dieser drei Beschreibungen tatsächlich auf Ihren eigenen Betrieb zutrifft.

Risiken, Herausforderungen und Branchenerkenntnisse

Sicherheitsvorfälle in der Industrie in den letzten Jahren weisen eine gemeinsame Parallele auf: Die betroffenen Unternehmen glaubten oft, ihre Sicherheitsmaßnahmen seien ausgereifter, als es tatsächlich der Fall war. Dies sind keine hypothetischen Szenarien. Es handelt sich um dokumentierte, öffentlich gemeldete Ereignisse, die genau zeigen, warum der Reifegrad und nicht nur das Vorhandensein von Sicherheitsmaßnahmen über die reale Resilienz entscheidet.

Die Kosten eines angenommenen Reifegrades

Im Jahr 2021 kam es in einer Wasseraufbereitungsanlage in Florida zu dem Versuch, die chemische Dosierung über ein unzureichend gesichertes Fernwartungstool aus der Ferne zu manipulieren. Die Anlage verfügte über Zugriffskontrollen, diese waren jedoch nicht für das spezifische Szenario einer unbefugten Remotesitzung mit erweiterten Berechtigungen getestet worden. Die Schwachstelle war keine fehlende Sicherheitsmaßnahme, sondern eine ungeprüfte und unzureichend ausgereifte Maßnahme.

Im selben Jahr zwang ein Ransomware-Vorfall einen großen Pipeline-Betreiber dazu, einen erheblichen Teil seines Verteilungsnetzes abzuschalten. Dies geschah nicht, weil die operative Technologie selbst direkt kompromittiert war, sondern weil dem Unternehmen eine ausreichend ausgereifte Trennungs- und Reaktionsfähigkeit zwischen IT- und OT-Domänen fehlte, um den Vorfall zuverlässig einzugrenzen. Die Ungewissheit allein reichte aus, um eine vollständige Abschaltung zu rechtfertigen – mit enormen betrieblichen und finanziellen Kosten.

Ein separater Vorfall bei einem globalen Aluminium- und Erneuerbare-Energien-Produzenten zeigte ein anderes Defizit im Reifegrad: Es gab zwar starke technische Sicherheitsmaßnahmen, aber das Unternehmen hatte manuelle Notbetriebsverfahren nicht ausreichend erprobt. Als die Systeme zur Eindämmung des Angriffs offline genommen wurden, mussten die Werke auf manuelle Prozesse umstellen, die das Personal seit Jahren nicht mehr praktiziert hatte. Die Wiederherstellung dauerte Wochen statt Tage, vor allem weil der betriebliche Reifegrad nicht mit den technischen Investitionen Schritt gehalten hatte.

Bei allen drei Beispielen ist das Muster konsistent. Reife Unternehmen sind nicht diejenigen mit den meisten Tools. Es sind diejenigen, die ihre Fähigkeiten in realistischen Szenarien getestet, das tatsächlich Funktionierende dokumentiert und die nötigen Abläufe verinnerlicht haben, um zu reagieren, wenn eine Sicherheitsmaßnahme unter Druck gerät, anstatt sie nur auf dem Papier vorzuhalten.

Häufige Herausforderungen, die den OT-Reifegrad hemmen

• Fragmentierte Zuständigkeiten: Sicherheitsverantwortlichkeiten sind oft zwischen der IT, dem OT-Engineering und dem Werksbetrieb aufgeteilt, ohne dass ein einzelnes Team für die Messung des Reifegrades über die gesamte Umgebung hinweg verantwortlich ist.

• Veraltete Asset-Inventare: Viele Anlagen können keine aktuelle, verifizierte Liste aller (SCADA/PLC), RTUs, HMIs und Engineering-Workstations im Netzwerk vorlegen, was jede Reifegradbehauptung in Bezug auf diese Assets unzuverlässig macht.

• Compliance-getriebenes Denken: Programme, die rein für das Bestehen eines Audits konzipiert wurden, enden oft bei der Dokumentation, ohne zu validieren, ob die Sicherheitsmaßnahmen im täglichen Betrieb auch wie beschrieben funktionieren.

• Einschränkungen durch Legacy-Technologie: Geräte, die moderne Authentifizierung, Verschlüsselung oder Patching nicht unterstützen, begrenzen den erreichbaren Reifegrad bestimmter Sicherheitsmaßnahmen und erfordern stattdessen kompensierende Maßnahmen.

• Mangel an OT-spezifischer Expertise: IT-Sicherheitsteams wenden häufig Frameworks an, die für Unternehmensnetzwerke entwickelt wurden, auf Steuerungssysteme an, bei denen dieselben Annahmen nicht gelten. Dies führt zu einem geschönten und ungenauen Bild des Reifegrades.

• Zu geringe Investitionen in Tests: Tabletop-Übungen, Failover-Tests und Vorfallssimulationen werden zugunsten der Produktionsverfügbarkeit häufig vernachlässigt, sodass kritische Reaktionsfähigkeiten ungeprüft bleiben.

Diese Herausforderungen sind kein Zeichen von Nachlässigkeit. Sie spiegeln die reale betriebliche Komplexität industrieller Umgebungen wider, in denen Sicherheit und kontinuierliche Produktion immer an erster Stelle stehen müssen. Sie bedeuten jedoch auch, dass die meisten Unternehmen ohne ein strukturiertes, unabhängiges Assessment von einem ungenauen Bild ihres eigenen OT-Sicherheitsreifegrades ausgehen – und genau auf dieses ungenaue Bild verlassen sich Angreifer.

Das IEC 62443-Reifegradmodell verstehen

Die IEC 62443 kennt kein einfaches Bestanden-oder-Durchgefallen-Kriterium. Sie definiert Security Levels (SL 1 bis SL 4), die die Stärke des Schutzes gegen zunehmend fähige Angreifer beschreiben, und kombiniert dies mit dem Konzept der Reifegrade (Maturity Levels) – oft angepasst aus Capability-Maturity-Modellen –, um zu beschreiben, wie konsistent und zuverlässig diese Schutzmaßnahmen tatsächlich über Mitarbeiter, Prozesse und Technologie hinweg implementiert sind. Ein bewährter Weg, den Status eines Programms zu verstehen, ist die gemeinsame Abbildung beider Dimensionen.

Tabelle 1: Ein vereinfachter Reifegradpfad zur Benchmark-Einstufung von OT-Sicherheitsprogrammen im Vergleich zu den Prinzipien der IEC 62443.

Die meisten Industrieunternehmen landen bei einer ehrlichen Bewertung für die Mehrheit ihrer Zonen irgendwo zwischen Level 1 und Level 2, selbst wenn bestimmte besonders kritische Assets mehr Aufmerksamkeit erhalten haben und näher an Level 3 liegen. Diese Unausgewogenheit ist normal, aber sie ist auch genau das, was ein Reifegrad-Assessment aufdecken soll. Denn eine einzige schwache Zone kann den Schutz untergraben, den eine wesentlich stärkere Zone an anderer Stelle im selben Netzwerk bietet.

Praktische Empfehlungen und Best Practices

Die Verbesserung des OT-Reifegrades ist ein strukturierter, schrittweiser Prozess. Unternehmen, die spürbare Fortschritte erzielen, folgen meist einer ähnlichen Abfolge, angepasst an ihre eigenen betrieblichen Rahmenbedingungen und ihre Risikotoleranz.

1. Aufbau und Validierung eines vollständigen Asset-Inventars

Der Reifegrad kann nicht für Assets gemessen werden, deren Existenz nicht bekannt ist. Ein validiertes Inventar, das jede Steuerung, jeden Sensor, jeden Netzwerk-Switch und jede Engineering-Workstation erfasst, ist das Fundament, auf dem jeder weitere Bewertungsschritt aufbaut. Dieses Inventar sollte Firmware-Versionen, den Netzwerkstandort, Kommunikationsprotokolle und die Kritikalität für den Gesamtprozess dokumentieren.

2. Definition von Zonen und Conduits basierend auf dem operationellen Risiko

Das Zonen- und Conduit-Modell der IEC 62443 gruppiert Assets nach Funktion und Risikoprofil und definiert anschließend die zulässigen Kommunikationspfade zwischen ihnen. Die Segmentierung sollte tatsächliche Prozessabhängigkeiten und Sicherheitsanforderungen widerspiegeln, nicht nur praktische Netzwerkgrenzen. Dieser Schritt deckt in der Regel bereits eine erhebliche Anzahl undokumentierter oder unnötiger Kommunikationspfade auf.

3. Bewertung des Ist-Zustands im Vergleich zu den Target Security Levels

Jede Zone sollte im Hinblick auf ein für ihr Risiko angemessenes Target Security Level bewertet und mit ihrer aktuellen Leistungsfähigkeit abgeglichen werden. Die Lücke zwischen Soll- und Ist-Zustand bildet die Roadmap für die Priorisierung. Nicht jede Zone muss das höchste Level erreichen; das Ziel sollte verhältnismäßig zu den Auswirkungen und der Eintrittswahrscheinlichkeit sein.

4. Testen der Sicherheitsmaßnahmen unter realistischen Bedingungen

Dokumentation ist kein Beweis für Reifegrad. Tabletop-Übungen, Failover-Tests und kontrollierte Vorfallssimulationen zeigen, ob eine Sicherheitsmaßnahme im Ernstfall wie vorgesehen funktioniert, und sie bauen die nötigen Betriebsabläufe auf, die reine Dokumentation niemals vermitteln kann.

5. Etablierung messbarer, wiederholbarer Metriken

Sinnvolle Metriken sind unter anderem die Patch-Aktualität bei kritischen Assets, die mittlere Zeit bis zur Erkennung von anomalem OT-Datenverkehr, der Prozentsatz der Assets mit verifizierten Backup- und Recovery-Prozessen sowie die Häufigkeit teamübergreifender Reaktionsübungen. Das Verfolgen dieser Werte über mehrere Assessment-Zyklen hinweg macht aus einer einmaligen Momentaufnahme ein echtes Reifegradprogramm.

6. Schließen von Lücken nach Priorität, nicht in alphabetischer Reihenfolge

• Priorisierung nach Auswirkung: Behandeln Sie Zonen, die mit Sicherheitssystemen und der kontinuierlichen Produktion verknüpft sind, zuerst.

• Priorisierung nach Ausnutzbarkeit: Beheben Sie bekannte, exponierte Schwachstellen, bevor Sie langfristige Architekturänderungen anstreben.

• Priorisierung nach Abhängigkeit: Beheben Sie grundlegende Lücken, wie z. B. ungenaue Asset-Inventare, bevor Sie in fortschrittliche Erkennungsfunktionen investieren, die auf der Genauigkeit dieser Daten basieren.

7. Rezertifizierung und wiederkehrende Assessments in festen Abständen

Der Reifegrad ist kein einmalig erzielter Wert. Anlagen verändern sich, neue Assets werden in Betrieb genommen, Personal wechselt und die Bedrohungslage entwickelt sich weiter. Ein wiederkehrender Assessment-Turnus, in der Regel jährlich mit kleineren Zwischenprüfungen, hält das Bild des Reifegrades aktuell und demonstriert der Unternehmensleitung sowie gegebenenfalls Behörden, KRITIS-Prüfern und Versicherern messbare Fortschritte.

Wie Shieldworkz Unternehmen unterstützt

Shieldworkz arbeitet eng mit Industrieunternehmen zusammen, um das IEC 62443-Reifegrad-Assessment von einem abstrakten Framework in ein praktisches, prioritäres Programm zu überführen, das den Realitäten laufender Produktionsumgebungen gerecht wird.

• Unabhängige OT-Asset-Erkennung: Aufbau eines präzisen, kontinuierlich aktualisierten Inventars von Steuerungen, Netzwerkgeräten und Engineering-Assets ohne Störung laufender Prozesse.

• Konzeption und Validierung von Zonen und Conduits: Abbildung der Segmentierung auf das tatsächliche betriebliche Risiko und Überprüfung, ob die Kommunikationspfade mit dem dokumentierten Design übereinstimmen.

• Strukturiertes Reifegrad-Benchmarking: Bewertung der aktuellen Leistungsfähigkeit im Vergleich zu den IEC 62443 Security Levels und den angestrebten Reifegraden, Zone für Zone.

• Gap-Analyse und prioritäre Roadmaps: Übersetzung der Assessment-Ergebnisse in einen phasenbasierten Verbesserungsplan, der nach Auswirkung, Ausnutzbarkeit und betrieblicher Machbarkeit strukturiert ist.

• Tabletop-Übungen und Validierung der Vorfallsreaktion: Durchführung funktionsübergreifender Übungen, die testen, wie IT-, OT- und Werksteams unter simulierten Bedingungen tatsächlich reagieren.

• Kontinuierliches Monitoring und Unterstützung bei Metriken: Unterstützung von Unternehmen bei der Etablierung wiederholbarer Metriken und Re-Assessment-Zyklen, sodass die Verbesserung des Reifegrades im Laufe der Zeit messbar und nicht nur anekdotisch ist.

• Reporting für Geschäftsführung und Vorstand: Übersetzung technischer Reifegradergebnisse in geschäftsrelevante Risikobegriffe, die Investitionsentscheidungen und Governance-Anforderungen unterstützen.

Das Ziel bei jedem Engagement ist dasselbe: Verantwortlichen in der Industrie ein ehrliches, evidenzbasiertes Bild davon zu vermitteln, wo ihr Programm heute tatsächlich steht, und einen realistischen, erreichbaren Weg dorthin aufzuzeigen, wo es sein muss – ohne die betrieblichen Prioritäten zu stören, die in der Werkshalle immer an erster Stelle stehen.

Fazit

Der Reifegrad der industriellen Cybersecurity misst sich nicht an der Anzahl der implementierten Tools oder an der Dicke eines Richtlinienordners. Er misst sich daran, wie konsistent, nachweisbar und effektiv die Mitarbeiter, Prozesse und Technologien eines Unternehmens standhalten, wenn sie unter realen betrieblichen Bedingungen getestet werden. Die IEC 62443 bietet Verantwortlichen für OT-Sicherheit einen strukturierten, branchenweit anerkannten Weg, um die Frage zu beantworten, die Vorstände, KRITIS-Aufsichtsbehörden und Versicherer immer häufiger stellen: Wie ausgereift ist Ihr Programm wirklich?

Die Unternehmen, die bei Vorfällen am besten abschneiden, sind selten diejenigen mit den größten Sicherheitsbudgets. Es sind diejenigen, die einen ehrlichen Blick auf ihren eigenen Reifegrad geworfen, eine realistische Roadmap erstellt und Verbesserungen als kontinuierliche Disziplin und nicht als einmaliges Projekt behandelt haben. Ein strukturiertes Reifegrad-Assessment ist der Ausgangspunkt für diese Disziplin und eine der wertvollsten Investitionen, die ein OT-Sicherheitsprogramm tätigen kann.

Sind Sie bereit zu erfahren, wo Ihr OT-Programm wirklich steht?

Jede Industrieumgebung ist anders, und das gilt auch für jeden Weg zu mehr OT-Sicherheit. Unser Team kann Sie dabei unterstützen, Ihren aktuellen Reifegrad nach IEC 62443 zu bewerten, die kritischsten Lücken zu identifizieren und eine realistische, prioritäre Roadmap zu erstellen, die auf Ihren Betrieb zugeschnitten ist.

Buchen Sie eine kostenfreie Beratung mit unseren Experten

Zusätzliche Ressourcen  

Ein herunterladbarer Bericht über den Stryker-Cybervorfall finden Sie hier  
Checkliste zur Bewertung und Auswahl von Anbietern für Scan-Lösungen für Wechselmedien finden Sie hier  
Auf IEC 62443 basierende OT/ICS-Risikobewertungs-Checkliste für den Lebens- und Genussmittelherstellungssektor finden Sie hier 
Auf IEC 62443 basierende Leitfäden zur Behebung von Schwachstellen finden Sie hier