Ein cyber-physisches System fällt nicht so aus wie ein Büro-Laptop. Wenn eine speicherprogrammierbare Steuerung (SPS) einen fehlerhaften Befehl erhält, friert ein Ventil nicht einfach auf einem Bildschirm ein. Es öffnet sich, schließt sich, überhitzt oder stoppt die Zufuhr zu einem Prozess, auf den eine Anlage jede Sekunde des Tages angewiesen ist. Dies ist der grundlegende Grund, warum cyber-physische Systeme, häufig als CPS abgekürzt, einen Überwachungsansatz benötigen, der in keiner Weise der traditionellen IT-Sicherheitsüberwachung gleicht.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag über die Sicherung kritischer Infrastrukturen während geopolitischer Ereignisse und darüber hinaus hier zu lesen.

Für OT-Sicherheitsverantwortliche, ICS-Ingenieure, Betriebsleiter und CISOs, die industrielle Umgebungen beaufsichtigen, stellt sich nicht mehr die Frage, ob cyber-physische Systeme in Echtzeit überwacht werden sollen. Die Frage ist vielmehr, wie dies gelingen kann, ohne die Produktion zu stören, ohne Teams in Fehlalarmen ertrinken zu lassen und ohne blinde Flecken zwischen der Leitwarte und dem Unternehmensnetzwerk zu hinterlassen. Dieser Artikel erläutert, was Echtzeit-CPS-Monitoring tatsächlich beinhaltet, welchen Risiken Unternehmen ohne dieses Monitoring ausgesetzt sind und welche praktischen Schritte resiliente Betriebe von verwundbaren unterscheiden.

Was Echtzeit-CPS-Monitoring tatsächlich bedeutet

Cyber-physische Systeme vereinen IT-Infrastruktur, Netzwerke und physische Prozesse in einer einzigen Betriebsumgebung. Denken Sie an eine Wasseraufbereitungsanlage, in der Sensoren den Chlorgehalt messen, Steuerungen Dosierpumpen anpassen und Software die Ergebnisse für Berichte an Regulierungsbehörden protokolliert. Oder an eine Fertigungslinie, auf der PLCs Roboterarme auf die Millisekunde genau mit Förderbandgeschwindigkeiten synchronisieren. Jede dieser Komponenten ist sowohl ein physisches Asset als auch ein digitales Ziel.

Echtzeit-CPS-Monitoring bedeutet, das Verhalten, die Kommunikationsmuster und den physischen Zustand dieser Assets kontinuierlich zu überwachen – nicht nur deren Netzwerkverkehr. Es kombiniert Telemetriedaten von Sensoren und Aktoren, Transparenz auf Protokollebene in SCADA- und PLC-Kommunikationen sowie Verhaltens-Baselines, die Abweichungen innerhalb von Sekunden statt Tagen melden. Das Ziel ist einfach zu formulieren, aber schwer zu erreichen: zu wissen, wie der Normalbetrieb auf jeder Ebene des Betriebs aussieht, und Abweichungen zu erkennen, bevor sie zu Vorfällen werden.

Dies unterscheidet sich drastisch von periodischer Überwachung oder quartalsweisen Schwachstellen-Scans. Ein quartalsweiser Scan könnte aufzeigen, dass die Firmware einer Steuerung veraltet ist. Echtzeit-Monitoring hingegen zeigt, dass dieselbe Steuerung gerade um 2:47 Uhr morgens eine nicht autorisierte Konfigurationsänderung erhalten hat – drei Schichten bevor jemand ein Scan-Ergebnis bemerkt hätte.

Warum Echtzeit-Sichtbarkeit unverzichtbar geworden ist

Industrielle Umgebungen wurden auf Zuverlässigkeit und physische Sicherheit (Safety) ausgelegt, nicht auf Cyber-Resilienz. Viele der heute noch im Einsatz befindlichen Steuerungssysteme wurden vor Jahrzehnten entwickelt – lange bevor jemand damit rechnete, dass die Operational Technology (OT) einer Anlage jemals mit einem Unternehmensnetzwerk oder gar dem Internet verbunden sein würde. Da IT- und OT-Netzwerke zusammengewachsen sind, um Fernwartung, vorausschauende Instandhaltung und datengesteuerte Prozesse zu unterstützen, hat sich die Angriffsfläche weitaus schneller vergrößert, als die meisten Monitoring-Programme gereift sind.

Mehrere Faktoren treiben das Echtzeit-CPS-Monitoring von einem „Nice-to-Have“ zu einer grundlegenden Anforderung:

• IT/OT-Konvergenz: Mit der Cloud verbundene Datenarchive (Historians), Fernzugriff für Anbieter und ERP-Integrationen bedeuten, dass eine Kompromittierung des Unternehmensnetzwerks bis in die Werkshalle vordringen kann.

• Veraltete Infrastruktur: Legacy-PLCs und RTUs verfügen oft über keine Authentifizierung oder Verschlüsselung, was eine unbemerkte Manipulation ermöglicht, wenn der Datenverkehr nicht aktiv überwacht wird.

• Regulatorischer Druck: Branchenspezifische Richtlinien in den Bereichen Energie, Wasser und Produktion fordern zunehmend dokumentierte Überwachungs- und Vorfallreaktionskapazitäten, nicht nur reine Richtlinienerklärungen. Hier sind insbesondere die KRITIS-Standards und das IT-Sicherheitsgesetz zu beachten.

• Ransomware-Angriffe auf Produktionsprozesse: Angreifer haben gelernt, dass die Unterbrechung der Produktion den Druck zur Lösegeldzahlung massiv erhöht, was OT-Umgebungen zu einem bevorzugten Ziel macht.

• Anforderungen von Versicherungen und Audits: Cyber-Versicherer stellen gezielte Fragen zur OT-Sichtbarkeit, bevor sie industrielle Risiken zeichnen, und vage Antworten wirken sich direkt auf Prämien und Deckungsumfang aus.

Zudem ist Echtzeit-Monitoring kein einzelnes Produkt, das man einfach aus dem Regal nimmt. Es ist eine Disziplin, die die Netzwerkarchitektur, die Incident-Response-Planung, die Personalbesetzung und sogar die Art und Weise betrifft, wie Anbietern Fernzugriff auf Geräte gewährt wird. Organisationen, die dies als einmaliges Projekt betrachten, stellen meist fest, dass die Abdeckung innerhalb eines Jahres nachlässt, wenn neue Assets hinzukommen, Firmware aktualisiert wird und sich Netzwerkpfade ändern, ohne dass die Monitoring-Baseline angepasst wird. CPS-Monitoring als lebendiges Programm zu behandeln, das in festen Abständen überprüft und angepasst wird, unterscheidet Organisationen, die Sicherheitsdefiziten proaktiv begegnen, von jenen, die ihre Schwachstellen erst nach einem folgenschweren Vorfall bemerken.

Die Folgen fehlender Überwachung: Realitäten aus der Industrie

Die Folgen unzureichender CPS-Sichtbarkeit sind in der Industrie hinreichend dokumentiert, und die Muster wiederholen sich mit auffälliger Konsistenz.

Der Weckruf im Wassersektor

Im Jahr 2021 bemerkte ein Bediener in einer Wasseraufbereitungsanlage in Florida, dass sich ein Mauszeiger selbstständig über einen Steuerungsbildschirm bewegte. Jemand hatte aus der Ferne auf das System zugegriffen und versucht, den Natriumhydroxidgehalt im Trinkwasser auf eine gefährliche Konzentration zu erhöhen. Die Änderung wurde nur bemerkt, weil zufällig in diesem exakten Moment ein Mitarbeiter auf den Bildschirm blickte. Es gab keine automatisierte Verhaltenswarnung, keine Anomalieerkennung für die unbefugte Sitzung und keine Echtzeit-Überwachungsebene, die das Eindringen sofort zu Beginn gestoppt hätte. Dieser Vorfall wird im Wasser- und Versorgungssektor häufig als klares Beispiel dafür angeführt, warum die bloße manuelle Wachsamkeit keine nachhaltige Überwachungsstrategie darstellt.

Produktionsausfälle in der Fertigung

Ransomware-Vorfälle bei großen Herstellern zeigen immer wieder das gleiche Muster: Schadsoftware, die ihren Ursprung im IT-Netzwerk hat, erreicht schließlich Systeme, die die physische Produktion steuern, und zwingt die Werke dazu, die Produktion tagelang einzustellen, während die Systeme von Grund auf neu aufgebaut werden. In mehreren bekannten Fällen im Automobil- und Lebensmittelsektor richtete der bösartige Code selbst kaum physischen Schaden an den Anlagen an. Die weitaus höheren Kosten entstanden durch Unsicherheit. Ohne Echtzeit-Sichtbarkeit darüber, welche OT-Systeme tatsächlich betroffen und welche lediglich mit den betroffenen Netzwerken verbunden waren, sahen sich Unternehmen gezwungen, ganze Werke vorsorglich abzuschalten – was ein eingrenzbares IT-Ereignis in einen mehrtägigen Produktionsausfall verwandelte.

Unterbrechung von Energienetzen

Angriffe auf Energieverteilungssysteme in Osteuropa haben gezeigt, wie Angreifer, die die Steuerungsprozesse eines Ziels genau studieren, Befehle erteilen können, die für ein System ohne Verhaltens-Baseline vollkommen legitim wirken. Leistungsschalter wurden in einer Abfolge geöffnet, die das normale Verhalten eines Bedieners imitierte, was zu flächendeckenden Stromausfällen führte. Analysen nach dem Vorfall zeigten, dass die Angreifer Monate damit verbracht hatten, die Umgebung vor dem Angriff zu analysieren. Ein Monitoring-System, das auf realen Betriebsmustern basiert und nicht nur auf statischen Regeln, ist weitaus besser in der Lage, solch subtile Verhaltensänderungen lange vor der eigentlichen Schadensphase zu erkennen.

Produktionsstopps in der Lebensmittel- und Getränkeindustrie

Die Lebensmittel- und Getränkebranche war in den letzten Jahren immer wieder von Ransomware-bedingten Betriebsunterbrechungen betroffen. Dieses Muster verdient besondere Aufmerksamkeit, da es sich leicht von reinen Fertigungsszenarien unterscheidet. Bei diesen Vorfällen brachte das Verderb-Risiko einen Zeitdruck mit sich, den reine Datendiebstähle nicht aufweisen. Als Chargen- und Verpackungslinien stillstanden und kein klares Bild darüber vorlag, welche Steuerungssysteme tatsächlich kompromittiert oder lediglich im selben Netzwerksegment waren, mussten Betriebsleiter unter extremem Zeitdruck binäre Entscheidungen treffen: Entweder Produkte in der Verarbeitung vernichten oder das Risiko eingehen, Anlagen zu betreiben, deren Sicherheitsstatus nicht verifiziert werden konnte. Mehrere Betreiber bestätigten später, dass eine Monitoring-Ebene, die innerhalb von Minuten exakt hätte bestätigen können, welche PLCs und HMIs manipuliert wurden, Produkte gerettet hätte, die letztlich aus reiner Vorsicht entsorgt wurden.

Der gemeinsame Nenner dieser Fälle ist kein Mangel an Investitionen in die IT-Sicherheit. Viele dieser Organisationen verfügten über Firewalls, Zugriffskontrollen und IT-Sicherheitsprogramme. Was fehlte, war der kontinuierliche Echtzeit-Einblick in das, was die physischen Steuerungs- und Prozesssysteme in jedem Moment tatsächlich taten.

Risiken und Herausforderungen für OT-Verantwortliche heute

Der Aufbau eines Echtzeit-CPS-Monitorings ist nicht einfach mit der Installation eines weiteren Dashboards erledigt. Industrielle Umgebungen stellen Anforderungen, die eine traditionelle IT-Sicherheitsüberwachung nie lösen musste.

Fragmentierte und proprietäre Protokolle

Im Gegensatz zu IT-Netzwerken, die weitgehend auf wenigen gängigen Protokollen standardisiert sind, laufen in OT-Umgebungen Dutzende proprietäre und veraltete Kommunikationsstandards – je nach Hersteller und Alter der Geräte. Monitoring-Tools, die für den IT-Verkehr entwickelt wurden, können diesen Datenverkehr oft überhaupt nicht interpretieren. Dies erzeugt ein falsches Sicherheitsgefühl, wenn ein Tool „keine Anomalien“ meldet, nur weil es die Daten nicht versteht.

Alert Fatigue und Signal-Rausch-Verhältnis

Sicherheitsteams, die generische IT-Monitoring-Tools auf OT-Netzwerke übertragen, stellen häufig fest, dass normales industrielles Verhalten für ein auf Büro-IT trainiertes Tool wie eine Anomalie aussieht. Die Folge ist eine Flut von Alarmen (Alert Fatigue), die Bediener letztlich ignorieren – was wohl schlimmer ist als gar kein Monitoring, da es eine Scheinsicherheit erzeugt.

Verfügbarkeit über alles (Safety & Availability)

In der IT ist das Herunterfahren eines Systems zum Patchen oder zur Untersuchung lästig. In der OT kann das Abschalten eines Systems einen Sicherheitsvorfall, eine verdorbene Produktionscharge oder einen Netzausfall bedeuten, der die Allgemeinheit betrifft. Monitoring-Lösungen müssen passiv und rückwirkungsfrei sein; sie müssen den Datenverkehr überwachen, ohne jemals die Verfügbarkeit des zu schützenden Prozesses zu gefährden.

Eingeschränkte Sichtbarkeit bei Legacy-Assets

Viele vor zehn oder zwanzig Jahren installierte Steuerungen wurden nie dafür ausgelegt, ihren eigenen Status so zu melden, dass moderne Tools ihn verarbeiten können. Der Aufbau eines präzisen Asset-Inventars – der essenzielle erste Schritt eines jeden Monitoring-Programms – ist oft schwieriger als die Bereitstellung der Monitoring-Technologie selbst.

Silos und unklare Verantwortlichkeiten

OT-Ingenieure verstehen den physikalischen Prozess. IT-Sicherheitsteams verstehen die Bedrohungslage. Wenn diese Teams in Silos arbeiten, erreichen Monitoring-Daten die falsche Zielgruppe zu spät oder die richtige Zielgruppe ohne den Kontext, der für ein schnelles Handeln erforderlich ist.

Zugriff von Dritten und Service-Anbietern

Gerätehersteller, Systemintegratoren und Wartungsdienstleister benötigen routinemäßig Fernzugriff auf Industriesysteme für Fehlerbehebungen und Updates. Jede dieser Verbindungen stellt einen Pfad in die Umgebung dar, den es vor einem Jahrzehnt noch nicht gab. Viele Organisationen haben nur begrenzte Sichtbarkeit darüber, wann diese Sitzungen stattfinden, welche Befehle dabei erteilt werden oder ob die gewährten Berechtigungen dem tatsächlichen Bedarf entsprechen. Monitoring-Programme, die Drittanbietersitzungen nicht gezielt berücksichtigen, überwachen ein unvollständiges Bild der Umgebung – unabhängig davon, wie gut der interne Datenverkehr erfasst wird.

Echtzeit-CPS-Monitoring vs. traditionelles IT-Monitoring

Die folgende Tabelle verdeutlicht, warum industrielle Umgebungen einen grundlegend anderen Überwachungsansatz erfordern.

Praktische Empfehlungen für den Aufbau eines Echtzeit-Monitoring-Programms

Organisationen, die Echtzeit-CPS-Monitoring erfolgreich etablieren, folgen unabhängig von der Branche meist einem konsistenten Pfad. Die Details variieren, die Abfolge hingegen selten.

1. Starten Sie mit einem vollständigen, präzisen Asset-Inventar

Sie können nicht überwachen, wovon Sie nicht wissen, dass es existiert. Eine passive Netzwerkerkennung (Passive Network Discovery) anstelle von aktiven Scans, die empfindliche Steuerungen stören könnten, sollte der erste Schritt sein. Dieses Inventar sollte Hersteller, Modell, Firmware-Version, Kommunikationsprotokoll und die Kritikalität jedes verbundenen Assets erfassen.

Es kommt häufig vor, dass bereits in der Erkennungsphase Geräte auftauchen, von denen niemand im aktuellen Team wusste, dass sie noch verbunden sind: vergessene Testgeräte, stillgelegte Linien, die nie vollständig isoliert wurden, oder Diagnose-Laptops von Dienstleistern, die vor Jahren an einem Netzwerk-Switch vergessen wurden. Diesen Erkennungsprozess als einmaliges Projekt statt als kontinuierliche Fähigkeit zu behandeln, ist einer der häufigsten Gründe, warum die Überwachungsabdeckung im Laufe der Zeit durch Erweiterungen oder Upgrades unbemerkt abnimmt.

2. Etablieren Sie Verhaltens-Baselines vor der Aktivierung von Alarmen

Ein Monitoring-System benötigt Zeit, um zu lernen, wie der Normalbetrieb aussieht: typische Befehlsfolgen, erwartete Kommunikationspartner und routinemäßige Zeitmuster. Baselines, die über mehrere Wochen der Beobachtung hinweg erstellt werden, reduzieren Fehlalarme (False Positives) drastisch, sobald die Alarmierung aktiv geschaltet wird.

3. Priorisieren Sie passives, rückwirkungsfreies Monitoring

Jeder Monitoring-Ansatz, der in einer produktiven Industrieumgebung eingesetzt wird, darf niemals die Verfügbarkeit des geschützten Prozesses gefährden. Passive Netzwerk-Taps und Out-of-Band-Sensoren bieten Sichtbarkeit, ohne neue Risiken für den Prozess selbst einzuführen.

4. Integrieren Sie CPS Incident Response in das übergeordnete Sicherheitsprogramm

Erkennung ohne einen definierten Reaktionsplan erzeugt lediglich Besorgnis, keine Resilienz. Ein ausgereifter CPS-Incident-Response-Plan legt fest, wer benachrichtigt wird, wie Eindämmungsentscheidungen ohne unnötige Unterbrechung des sicheren Betriebs getroffen werden und wie Engineering- und Sicherheitsteams unter Druck zusammenarbeiten. Dieser Plan sollte durch Tabletop-Übungen getestet werden, an den sowohl OT-Ingenieure als auch IT-Sicherheitspersonal beteiligt sind – nicht das Sicherheitsteam allein.

Eine häufig übersehene Komponente der CPS-Vorfallsreaktion ist die Vorab-Autorisierung. Wenn im Vorfeld in einer ruhigen Betriebslage präzise festgelegt wird, wer die Befugnis hat, bei einem vermuteten Vorfall ein Segment zu isolieren oder einen Prozess zu stoppen, verhindert dies gefährliches Zögern im Ernstfall. Organisationen, die bis zum Eintritt eines aktiven Vorfalls warten, um Entscheidungsbefugnisse zu klären, verlieren regelmäßig kritische Minuten – und in industriellen Umgebungen entscheiden diese Minuten oft über die erfolgreiche Eindämmung oder eine Kaskadenwirkung.

5. Korrelieren Sie physische und digitale Signale

Fortschrittliche Monitoring-Programme kombinieren digitale Telemetriedaten (Netzwerkverkehr, Authentifizierungsprotokolle) mit physischen Prozessdaten (Druck, Temperatur, Durchflussmenge), um Situationen zu erkennen, in denen die beiden Datenquellen widersprüchliche Geschichten erzählen. Wenn ein Ventil als geschlossen gemeldet wird, Durchflusssensoren jedoch eine Bewegung der Flüssigkeit anzeigen, ist diese Diskrepanz oft der früheste Indikator für eine Manipulation.

6. Messen und berichten Sie die Monitoring-Performance

Die mittlere Zeit bis zur Erkennung (Mean Time to Detect) und die mittlere Zeit bis zur Reaktion (Mean Time to Respond) sind nicht nur Kennzahlen der IT-Sicherheit. Die Erfassung dieser KPIs für OT-Umgebungen bietet der Führungsebene ein klares, quantifizierbares Bild des Reifegrads des Programms und rechtfertigt kontinuierliche Investitionen.

Key Performance Indicators (KPIs) für das CPS-Monitoring

Die Überwachung der richtigen Kennzahlen sichert die Verantwortlichkeit des Monitoring-Programms und demonstriert der Führungsebene einen messbaren Mehrwert.

Skalierung des Monitorings über mehrere Standorte hinweg

Organisationen, die mehr als eine Betriebsstätte betreiben, stehen vor einer zusätzlichen Komplexität: Der Reifegrad des Monitorings entwickelt sich selten an allen Standorten gleichmäßig. Während ein Hauptwerk über hervorragende Sichtbarkeit verfügt, läuft ein kürzlich erworbenes Werk möglicherweise mit undokumentierten Legacy-Geräten ohne jegliche Baseline. Die Standardisierung auf eine gemeinsame Monitoring-Architektur und ein einheitliches Berichtsformat über alle Standorte hinweg ermöglicht es einem zentralen Sicherheitsteam, Risiken konsistent zu vergleichen, anstatt mit einem Flickenteppich inkompatibler Berichte zu arbeiten. Diese Konsistenz ist auch bei Audits und Versicherungsverlängerungen von Bedeutung, bei denen Regulierungsbehörden und Versicherer zunehmend eine einheitliche Sicht auf das operationelle Risiko der gesamten Organisation statt isolierter Momentaufnahmen einzelner Werke erwarten.

Wie Shieldworkz Organisationen unterstützt

Shieldworkz arbeitet eng mit Industrieunternehmen, Werksleitern und Sicherheitsverantwortlichen zusammen, um Monitoring-Programme aufzubauen, die die Realitäten laufender Produktionsumgebungen respektieren und gleichzeitig die Sichtbarkeitslücken schließen, die den Betrieb gefährden. Unser Ansatz basiert auf denselben Prinzipien, die in diesem Artikel beschrieben werden: passive Sichtbarkeit, kontextbezogene Erkennung und Reaktionspläne, die für physische Prozesse und nicht nur für Datensysteme entwickelt wurden.

• Umfassende OT- und ICS-Asset-Erkennung, die jede verbundene Steuerung, jeden Sensor und jedes Legacy-Gerät identifiziert, ohne den laufenden Betrieb zu stören.

• Echtzeit-Verhaltensüberwachung, die auf Industrieprotokolle zugeschnitten ist und darauf ausgelegt ist, SCADA- und PLC-Kommunikation zu verstehen, anstatt sie als generischen Netzwerkverkehr zu behandeln.

• Passive Implementierungsmethode, die während der Einführung keinerlei zusätzliche Risiken für sicherheitskritische Prozesse (Safety-critical) mit sich bringt.

• CPS-Incident-Response-Planung, die gemeinsam mit Engineering- und Sicherheitsteams entwickelt und durch realistische Tabletop-Übungen getestet wird.

• Kontinuierliche Leistungsberichte, die Monitoring-Daten in Kennzahlen übersetzen, auf deren Basis die Führungsebene fundierte Budgetentscheidungen treffen kann.

• Branchenspezifische Expertise in den Bereichen Fertigung, Energie, Versorgung und anderen kritischen Infrastrukturumgebungen (KRITIS), gestützt auf direkte Erfahrung mit realen Vorfällen in der Industrie.

• Fortlaufende beratende Unterstützung, die die Monitoring-Strategie an die sich verändernde Netzwerk- und Bedrohungslage sowie an regulatorische Erwartungen anpasst.

Verbindung von Threat Intelligence mit CPS-Monitoring

Eine reine Anomalieerkennung sagt einem Team lediglich, dass sich etwas geändert hat. Threat Intelligence (Bedrohungsaufklärung) sagt ihm, ob diese Änderung mit bekannten Verhaltensweisen von Angreifern übereinstimmt, die gezielt ähnliche Industrieumgebungen ins Visier nehmen. Beide Komponenten zusammen sind weitaus mächtiger als jede für sich allein, und dennoch werden sie in vielen industriellen Monitoring-Programmen nie verknüpft.

Effektive Threat Intelligence für Industrieumgebungen sieht anders aus als die Indikatoren-Feeds, die in der Unternehmens-IT-Sicherheit üblich sind. Anstelle von Listen bösartiger Domänen und Datei-Hashes beschreibt nützliche OT-Threat-Intelligence Taktiken der Angreifer: welche Industrieprotokolle eine Bedrohungsgruppe nachweislich manipuliert hat, für welche herstellerspezifischen Geräte bekannte Exploit-Techniken im Umlauf sind und welche Sektoren derzeit verstärkt im Fokus stehen. Wenn diese kontextbezogenen Erkenntnisse mit der Verhaltensüberwachung verknüpft werden, können Sicherheitsteams Alarme priorisieren, die aktiven Angreifer-Mustern entsprechen, anstatt jede Anomalie als gleich dringend zu behandeln.

Dies ist besonders in Zeiten geopolitischer Spannungen wertvoll, in denen kritische Infrastrukturen historisch gesehen messbare Zunahmen von Ausspähungsaktivitäten verzeichnen. Organisationen, die eine dauerhafte Verbindung zu für ihren Sektor relevanten Threat-Intelligence-Quellen pflegen, anstatt erst nach der Veröffentlichung einer offiziellen Warnung zu reagieren, verkürzen die Zeitspanne zwischen der ersten Aufklärung durch den Angreifer und der Erkennung erheblich.

Den Business Case für die Führungsebene aufbauen

Sicherheitsverantwortlichen fällt es selten schwer zu verstehen, warum Echtzeit-CPS-Monitoring wichtig ist. Die schwierigere Aufgabe besteht darin, dieses Verständnis in Budgetfreigaben von Geschäftsführern und Vorständen zu übersetzen, die primär in den Kategorien Produktionsleistung, Kapitaleffizienz und Risikominimierung denken. Die Formulierung der Investition in einer betriebswirtschaftlichen und operativen statt einer rein technischen Sprache führt meist zu einer weitaus höheren Akzeptanz.

Ungeplante Ausfallzeiten sind hierbei einer der stärksten Hebel. Eine einzige Stunde Produktionsstillstand auf einer mittelgroßen Fertigungslinie kann weitaus mehr kosten als die Monitoring-Infrastruktur für ein ganzes Jahr. Dieser Vergleich allein rückt das Thema oft weg von einer reinen Kostenstelle hin zu einer Versicherungspolice. Die Zeichnung von Versicherungen ist ein weiterer Aspekt, der direkt angesprochen werden sollte: Cyber-Versicherer, die industrielle Risiken abdecken, stellen zunehmend detaillierte Fragen zur OT-Segmentierung, zur Monitoring-Abdeckung und zu Incident-Response-Tests, bevor sie Verträge verlängern oder anbieten. Vage Antworten schlagen sich direkt in höheren Prämien oder Ausschlussklauseln nieder.

Die regulatorischen Anforderungen fügen eine dritte Dimension hinzu. Sektoren wie Energie, Wasser und Chemie sehen sich wachsenden gesetzlichen Pflichten gegenüber – oft gestützt durch behördliche Befugnisse –, dokumentierte Überwachungs- und Reaktionsfähigkeiten nachzuweisen, anstatt lediglich die Existenz von Sicherheitskontrollen zu behaupten. Die Fähigkeit, mit Nachweisen zu belegen, dass eine Organisation einen CPS-Vorfall innerhalb eines definierten Zeitrahmens erkennen und darauf reagieren kann, wird zunehmend als grundlegende Compliance-Anforderung und nicht mehr als optionales Ziel behandelt.

Schließlich spielen Reputationsrisiken und das Vertrauen von Kunden eine größere Rolle, als viele Unternehmen anfangs annehmen. B2B-Kunden in Branchen wie der Automobil-Zulieferkette oder der Pharmaindustrie fordern zunehmend den Nachweis eines reifen OT-Sicherheitsniveaus, bevor sie Verträge verlängern. Dies gilt insbesondere, nachdem mehrere öffentlichkeitswirksame Lieferketten-Unterbrechungen gezeigt haben, wie ein einziger verwundbarer Lieferant das Risiko auf eine ganze Branche übertragen kann.

Häufig gestellte Fragen von OT-Sicherheitsverantwortlichen

Erfordert Echtzeit-Monitoring den Austausch bestehender SCADA- oder DCS-Systeme?

Nein. Gut konzipierte Monitoring-Lösungen werden passiv parallel zu bestehenden Steuerungssystemen implementiert, anstatt sie zu ersetzen. Passive Netzwerk-Taps und schreibgeschützte Sensoren beobachten den Datenverkehr, ohne in die Regelschleife einzugreifen. Das bedeutet, dass die bestehende SCADA-, DCS- und PLC-Infrastruktur exakt so weiterläuft wie bisher.

Wie lange dauert es, bis nach der Implementierung aussagekräftige Ergebnisse vorliegen?

Die Asset-Erkennung liefert in der Regel innerhalb der ersten Wochen ein präzises Inventar. Die Verhaltens-Baseline benötigt im Allgemeinen ein längeres Beobachtungsfenster – oft acht bis zwölf Wochen, je nach Varianz der Betriebszyklen –, bevor die Alarmierung so fein abgestimmt werden kann, dass eine niedrige Fehlalarmquote erreicht wird. Organisationen, die diese Phase der Baseline-Erstellung übereilen, sind am ehesten von späterer Alert Fatigue betroffen.

Können kleinere Standorte mit begrenztem Sicherheitspersonal dies realistisch bewältigen?

Ja, insbesondere wenn das Monitoring mit einer Managed-Detection-Unterstützung oder einem Security Operations Center (SOC) kombiniert wird, das die Analysearbeit übernimmt. Viele mittelgroße Industriebetriebe verfügen nicht über die personellen Kapazitäten, um intern ein eigenes OT-Sicherheitsteam aufzubauen. Genau aus diesem Grund führt die Kombination von internem Ingenieurwissen mit externer Monitoring-Expertise meist zu besseren Ergebnissen, als zu versuchen, alles im eigenen Haus von Grund auf neu aufzubauen.

Was ist der Unterschied zwischen CPS-Monitoring und allgemeiner OT-Sicherheit?

OT-Sicherheit ist der übergeordnete Rahmen, der Netzwerksegmentierung, Zugriffskontrolle, Patch-Management und Richtlinien umfasst. Echtzeit-CPS-Monitoring ist die kontinuierliche Sichtbarkeitsebene innerhalb dieses breiteren Programms – die Komponente, die tatsächlich überwacht, was im Netzwerk und im physischen Prozess in jedem Moment geschieht, und die den Reaktionsprozess anstößt, wenn etwas vom erwarteten Verhalten abweicht.

Fazit

Beim Echtzeit-CPS-Monitoring geht es nicht darum, einer bereits komplexen Sicherheitsarchitektur ein weiteres Tool hinzuzufügen. Es geht darum, die Lücke zwischen dem zu schließen, was eine Organisation auf ihrer Werksebene vermutet, und dem, was dort tatsächlich Sekunde für Sekunde geschieht. Die in diesem Artikel erwähnten Vorfälle ereigneten sich nicht, weil es den Organisationen an Sicherheitsbudgets mangelte. Sie ereigneten sich, weil die Sichtbarkeit an den Grenzen des Netzwerks aufhörte – genau dort, wo der physische Prozess begann.

Für OT-Sicherheitsverantwortliche, ICS-Ingenieure und Führungskräfte, die für die Betriebskontinuität verantwortlich sind, ist der Weg nach vorn klar: Schaffen Sie Sichtbarkeit auf jeder Ebene des Betriebs, etablieren Sie Baselines vor der Aktivierung von Alarmen, halten Sie das Monitoring passiv sowie rückwirkungsfrei und verknüpfen Sie die Erkennung direkt mit einem Reaktionsplan, dem die Engineering-Teams vertrauen. Organisationen, die diese Schritte konsequent umsetzen, reduzieren Betriebsrisiken, vermeiden kostspielige Ausfallzeiten und bauen die Resilienz auf, die Regulierungsbehörden, Versicherer und Vorstände zunehmend erwarten.

Sind Sie bereit zu erfahren, wo Ihre blinden Flecken liegen?

Jede industrielle Umgebung weist eine eigene Mischung aus Legacy-Assets, Protokollen und betrieblichen Einschränkungen auf. Unser Team analysiert gerne Ihren aktuellen Reifegrad im Bereich Monitoring, identifiziert die kritischsten Lücken und skizziert einen praktischen Weg nach vorn – ohne die Prozesse zu stören, auf die Sie angewiesen sind.

Buchen Sie eine kostenlose Beratung mit unseren Experten

Zusätzliche Ressourcen:

Strategische Implementierung der ISA/IEC 62443-3-2 hier
Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier
NERC CIP-015 Bereitschafts-Checkliste für die interne Netzwerksicherheitsüberwachung in Elektrizitätsversorgungsunternehmen hier
OT SOC Grundlagen-Leitfaden hier
Managed SOC Service hier
OT Cyber Threat Intelligence Advisory - Mittlerer Osten hier
NIS2-Richtlinie: Erreichen der NIS2-Compliance durch IEC 62443 hier
Was sind Wechselmedien? Risiken, Richtlinien und industrielle OT-Sicherheitslösungen hier
Kostenlose Richtlinien-Vorlage für Wechselmedien für OT- und IT-Teams hier