Irgendwo in Ihrer Anlage steht ein Windows-XP- oder Windows-7-System, das niemand anrühren möchte. Es betreibt ein HMI, einen Historian-Client, einen PLC-Programmierplatz, ein Laboranalysegerät oder eine CNC-Steuerung – und das bereits länger, als der aktuelle Betriebsleiter im Unternehmen ist. Jeder weiß, dass dieses System außer Betrieb genommen werden sollte. Jeder weiß jedoch auch, was mit der Produktionslinie passiert, wenn es stillsteht.

Microsoft hat die Bereitstellung von Sicherheitspatches für XP im April 2014 und für Windows 7 im Januar 2020 eingestellt. Die kostenpflichtigen Extended Security Updates (ESU) für Windows 7 liefen im Januar 2023 endgültig aus. Aus den Anlagen verschwunden sind diese Maschinen dadurch nicht. Was sich in den letzten zwölf Monaten jedoch gravierend geändert hat, ist das Ausmaß des Risikos: Windows 10 befindet sich nun außerhalb des regulären Supports, weitere Windows-Editionen erreichen diesen Monat ihr Support-Ende, Regulierungsbehörden verankern End-of-Support-Klauseln in verbindlichen Vorschriften und Ransomware-Gruppen greifen Industrieunternehmen in Rekordvolumen an.

Dieser Leitfaden richtet sich an CISOs, OT-Sicherheitsverantwortliche und Leiter der Instandhaltung bzw. Betriebsingenieure, die die Forderung „Einfach aktualisieren“ oft genug gehört haben und wissen, warum die Umsetzung in der Praxis nicht trivial ist. Er erläutert die Entwicklungen im Jahr 2026, wie Legacy-Windows in Industrieanlagen tatsächlich kompromittiert wird und welche praxiserprobten Sicherheitsmaßnahmen Sie ergreifen können, ohne die Steuerungslogik anzutasten oder den Produktionsbetrieb zu unterbrechen.

Zentrale Erkenntnisse

• Legacy-Windows ist kein Randphänomen. In einer Umfrage unter 550 europäischen OT-Entscheidungsträgern im Jahr 2026 gaben sechs von zehn Befragten an, dass veraltete Windows-Systeme mindestens die Hälfte ihrer OT-Umgebung ausmachen. 51 % verzeichneten in den letzten 12 Monaten einen Sicherheitsvorfall mit Bezug zu Legacy-Systemen (gegenüber 43 % im Vorjahr). Da es sich um eine herstellerinitiierte Umfrage handelt, sind die Zahlen als Richtwerte zu verstehen.

• Der Anteil an Altsystemen wächst weiter. Der reguläre Support für Windows 10 endete am 14. Oktober 2025. Am 13. Oktober 2026 erreichten zudem Windows 10 Enterprise LTSB 2016, Windows 10 IoT Enterprise LTSB 2016 sowie das finale ESU-Jahr für Windows Server 2012/2012 R2 ihr definitives Lebensende.

• Das Problem lässt sich nicht allein durch Patches lösen. Ein vertretbares Restrisiko lässt sich jedoch durch Isolation, Restriktionen und kontinuierliches Monitoring erreichen. Das primäre Ziel besteht in einem dokumentierten Satz kompensierender Maßnahmen – nicht in einem makellosen Betriebssystem.

• Die wirksamsten Maßnahmen sind meist die pragmatischen Basissicherheitsmaßnahmen: eine präzise Asset-Inventarisierung, strikte Netzwerksegmentierung, restriktiv gehärteter Fernzugriff, Application-Allowlisting sowie validierte Recovery-Images.

• Auditoren, Cyber-Versicherer und Aufsichtsbehörden fordern zunehmend Nachweise über diese Sicherheitskontrollen ein. Die Aussage „Das Problem ist bekannt und steht auf der Roadmap“ reicht heute nicht mehr aus.

Warum diese Systeme weiterhin laufen (und warum dies rational begründet ist)

Es ist leicht, Versäumnisse zu unterstellen. In den meisten Produktionsbetrieben ist der Weiterbetrieb jedoch eine rationale Reaktion auf betriebliche Rahmenbedingungen. Dieselbe Erhebung von 2026 belegt die größten Hürden bei einer Ablösung: Kompatibilität mit Bestandsanlagen (54 %), Kosten (38 %, nach 45 % im Jahr 2025), das Risiko von Stillstandzeiten (35 %) sowie fehlender Herstellersupport für neuere Plattformen (21 %).

In der operativen Praxis stellt sich dies wie folgt dar:

• Zertifizierte Software-Stacks. Der SCADA- oder HMI-Hersteller hat exakt eine Betriebssystemversion zertifiziert. Jede Modifikation führt zum Verlust des Hersteller-Supports; in regulierten Branchen (Pharma, Lebensmittel, Medizintechnik) erzwingt dies zudem eine aufwendige Requalifizierung bzw. Revalidierung.

• Treiber und Hardware. Für eine 20 Jahre alte PCI-Einsteckkarte oder eine proprietäre serielle Schnittstelle einer Antriebssteuerung existieren schlicht keine Treiber für moderne Betriebssysteme. Für zeitgemäße Industrie-PCs stellen Hersteller häufig keine XP- oder Windows-7-Treiber mehr bereit.

• Maschinenlebenszyklen. Eine Verpackungslinie oder Turbinensteuerung wird für einen Lebenszyklus von 25 Jahren beschafft. Der integrierte Industrie-PC war im Jahr 2005 lediglich eine untergeordnete Position im Investitionsplan.

• Fehlende Wartungsfenster. Kontinuierliche Prozesse laufen über Monate unterbrechungsfrei durch. Andere Anlagen verfügen über lediglich einen jährlichen Generalstillstand, bei dem Wartungsarbeiten stark priorisiert werden müssen.

Die entscheidende Fragestellung lautet daher nicht: „Warum wurde das System nicht aktualisiert?“, sondern: „Wie beherrschen wir das Betriebsrisiko angemessen, während ein tragfähiger Migrationsplan ausgearbeitet wird?“

Aktuelle Entwicklungen (Stand: 28. Oktober 2026)

1. Windows 10 gehört nun offiziell zu den Altsystemen

Der offizielle Support für Windows 10 22H2 endete am 14. Oktober 2025. Microsoft bot Unternehmen daraufhin ein kostenpflichtiges ESU-Programm an: 61 US-Dollar pro Gerät im ersten Jahr, 122 US-Dollar im zweiten und 244 US-Dollar im dritten Jahr, mit einer Laufzeit bis zum 10. Oktober 2028. Die Abrechnung erfolgt kumulativ: Wer im zweiten Jahr einsteigt, muss das erste Jahr nachzahlen. Das ESU-Programm für Privatanwender wurde bis zum 12. Oktober 2027 verlängert. Für ein Werk mit Hunderten von Windows-10-HMIs führt diese Preisstaffelung schnell zu erheblichen Kosten. ESU stellt lediglich eine Übergangslösung dar, keine finale Strategie.

2. Der 13. Oktober 2026: Stichtag für zahlreiche Support-Enden

Vor zwei Wochen erreichten Windows 10 Enterprise LTSB 2016 und Windows 10 IoT Enterprise LTSB 2016 ihr offizielles Support-Ende; für beide Systeme wird ein kostenpflichtiges ESU-Programm für bis zu drei weitere Jahre angeboten. Am selben Tag endete auch das dritte und finale ESU-Jahr für Windows Server 2012 und 2012 R2. Berichten zufolge bietet Microsoft kein viertes Verlängerungsjahr an. Windows Server 2016 folgt am 12. Januar 2027. Wer Historians, OPC-Server, Domänencontroller oder Batch-Server auf Basis von 2012 R2 oder 2016 betreibt, für den haben diese Stichtage gravierendere Auswirkungen als das Support-Ende der Desktop-Systeme. Prüfen Sie die spezifischen ESU-Bedingungen für Ihre Lizenzen direkt bei Microsoft oder Ihrem OEM, da für IoT-Lizenzmodelle teils abweichende Preismodelle gelten.

3. CISA setzt verbindliche Fristen für veraltete Systeme

Am 5. Februar 2026 erließ die US-Sicherheitsbehörde CISA die verbindliche Richtlinie „Binding Operational Directive 26-02“. Diese verpflichtet zivile US-Bundesbehörden zur Erfassung und Ablösung von Edge-Komponenten ohne Herstellersupport: Bestandsaufnahme bis zum 5. Mai 2026, Außerbetriebnahme gelisteter Systeme bis Februar 2027 und vollständiger Ersatz der verbleibenden Komponenten bis August 2027. Zudem forcierte die CISA den OpenEoX-Standard, damit Hersteller End-of-Support-Daten maschinenlesbar bereitstellen.

Hinsichtlich des Geltungsbereichs ist Präzision geboten: Die Direktive gilt unmittelbar für US-Bundesbehörden und Edge-Geräte, nicht zwingend für HMIs in Ihrer Fertigung. Sie besitzt jedoch Signalwirkung. Wenn führende Cyber-Sicherheitsbehörden nicht mehr unterstützte Technologien als inakzeptables Risiko einstufen, adaptieren Auditoren, Versicherer und KRITIS-Regulierungsbehörden diese Vorgaben erfahrungsgemäß zeitnah in ihren Anforderungskatalogen.

4. Die Bedrohungslage für Industrieunternehmen verschärft sich

Der OT/ICS Cybersecurity Report 2026 (veröffentlicht am 17. Februar 2026) verzeichnete im Jahr 2025 rund 3.300 Ransomware-Angriffe auf Industrieunternehmen, ausgeführt von 119 Gruppierungen (im Vergleich zu 80 im Vorjahr). Auf die Fertigungsindustrie entfielen dabei über zwei Drittel aller Vorfälle. Die Analyse zeigt zudem, dass Angreifer nicht mehr nur Zugänge vorbereiten, sondern Regelkreise aktiv ausspähen, um physische Prozessabläufe gezielt zu manipulieren. Eine unabhängige Erhebung auf Basis von Dragos-Quartalsdaten beziffert industrielle Ransomware-Vorfälle im ersten Halbjahr 2026 auf rund 2.160 – ein Anstieg von circa 58 % gegenüber dem Vorjahreszeitraum.

Für CISOs ist hierbei eine zentrale Differenzierung wichtig: Dragos stellte im zweiten Quartal 2026 keinen Fall fest, bei dem Ransomware-Akteure industrielle Steuerungssysteme unmittelbar manipulierten. Produktionsstillstände entstehen primär dadurch, dass übergeordnete Server, Virtualisierungsplattformen und abhängige IT-Systeme ausfallen. Legacy-Windows stellt somit ein doppeltes Risiko dar: als initialer Einfallswinkel für Angreifer sowie als fragile Systemabhängigkeit, die im Falle einer verschlüsselten IT-Infrastruktur nicht ohne Weiteres automatisiert wiederhergestellt werden kann.

5. Die OT-Legacy-Studie 2026: Vorfälle nehmen zu, Endpoint-Agenten ab

Eine Umfrage von Networks unter 550 Führungskräften in Deutschland, Frankreich, Italien, Polen, Schweden und Großbritannien wies Vorfallraten von 72 % in Schweden, 68 % in Polen und 64 % im Vereinigten Königreich aus. Im Bereich Food & Beverage sowie in der Halbleiterfertigung lagen die Raten bei jeweils 70 %. Die größten Sorgen galten Schadsoftware (56 %), unberechtigtem Zugriff (38 %), Ransomware (37 %) und fehlendem Patch-Management (33 %). Zwei Ergebnisse stechen hervor: Der Einsatz klassischer Endpoint-Protection sank von 51 % auf 39 %, da herkömmliche IT-Agenten erfahrungsgemäß mit OT-Echtzeitanwendungen kollidieren können. Zudem sind 55 % der Befragten inzwischen überzeugt, dass die Absicherung von Altsystemen wirtschaftlicher ist als deren vollständige Erneuerung. Das bedeutet nicht, dass Migrationen obsolet sind, sondern dass kompensierende Schutzmaßnahmen als Übergangsstrategie anerkannt werden.

6. 11.–12. Oktober: Angriffe auf französische Supermarkt-Kühlsysteme

In der Nacht vom 11. auf den 12. Oktober 2026 griffen Angreifer aus der Ferne Kältesteuerungen in Hunderten französischer Supermärkte an. Durch erzwungene Abtauzyklen verdarben Lebensmittel; in vereinzelten Filialen kam es zu Bränden. Erste Berichte nannten Danfoss-Steuerungen, gefolgt von einer zweiten Angriffswelle in der darauffolgenden Nacht auf Dixell-Systeme von Copeland. Französische Behörden stuften den Vorfall als beispiellos ein; der genaue Angriffsvektor war zum Zeitpunkt der Veröffentlichung noch nicht offiziell bestätigt. Die griechische Cyber-Sicherheitsbehörde meldete am 14. Oktober, dass sie über 300 vergleichbar exponierte Systeme im eigenen Land identifiziert habe.

Zwar handelte es sich nach aktuellem Kenntnisstand nicht um ein spezifisches Windows-XP-Problem, der Vorfall unterstreicht jedoch, wie schnell Angreifer Systeme kompromittieren, wenn Steuerungskomponenten direkt über das Internet erreichbar sind, und wie eine zentrale OEM-Fernwartungsschnittstelle zu flächendeckenden Ausfällen an mehreren Standorten führen kann.

Angriffsvektoren auf Legacy-Windows in Produktionsumgebungen

Pauschale Warnungen wie „XP ist unsicher“ bieten einem CISO keine belastbare Entscheidungsgrundlage. Die nachfolgenden Angriffsvektoren stellen die realen Szenarien dar, geordnet nach ihrer Häufigkeit bei industriellen Sicherheitsvorfällen.

1. Laterale Bewegung aus der Office-IT (Pivot). SANS-Erhebungen, auf die sich unter anderem ESET bezieht, legen nahe, dass knapp 60 % aller OT-Angriffe ihren Ursprung in der Unternehmens-IT haben. Angreifer kompromittieren ein Standard-Notebook, entwenden Anmeldedaten und breiten sich im Netzwerk aus – bis hin zu veralteten Windows-Systemen, die SMB- oder RDP-Verbindungen aus dem Office-Netzwerk ungefiltert akzeptieren.

2. Wurmfähige Netzwerkschwachstellen ohne Patch-Perspektive. Sicherheitslücken wie EternalBlue (SMBv1, verantwortlich für WannaCry im Mai 2017) und BlueKeep (RDP, CVE-2019-0708) haben gezeigt, wie flache Netzwerkarchitekturen ein einzelnes ungepatchtes System zur Gefahr für Hunderte Rechner machen. Für künftige Schwachstellen dieser Art werden Windows XP und Windows 7 keine Sicherheits-Patches mehr erhalten.

3. Service-Laptops externer Dienstleister und USB-Medien. Programmiergeräte und Wechselspeichermedien passieren Zonen- und Werksgrenzen kontinuierlich. Ein kompromittierter Service-PC, der direkt an einen Switch im unsegmentierten OT-Netzwerk angeschlossen wird, umgeht sämtliche Perimeter-Kontrollen.

4. Fernwartungszugänge. Permanente Dienstleister-VPNs, dauerhaft aktive Remote-Desktop-Tools und generische Shared-Credentials gehören nach wie vor zu den häufigsten Einfallstoren aus dem Internet in Steuerungsnetzwerke.

5. In die Active Directory integrierte Altsysteme. Ein ungepatchtes Altsystem, das Mitglied der zentralen Domäne ist, dient Angreifern als idealer Ausgangspunkt für den Diebstahl privilegierter Zugangsdaten und laterale Bewegungen.

6. Nicht mehr unterstützte Anwendungssoftware auf Betriebssystemebene. Veraltete Browser, Office-Pakete, Java-Laufzeitumgebungen, PDF-Reader und Frameworks weisen gravierende Sicherheitslücken auf – und laufen häufig auf denselben HMI-Stationen.

Grundsatz: Betrachten Sie jedes System ohne Herstellersupport aus Netzwerkperspektive als potenziell kompromittiert. Konzipieren Sie Ihre Schutzmaßnahmen so, dass ein Sicherheitsvorfall auf die jeweilige Teilzone begrenzt bleibt.

Technischer Handlungsleitfaden zur Absicherung von Windows 7 und XP in der OT

Die folgenden Maßnahmen sind nach ihrem Aufwand-Nutzen-Verhältnis priorisiert. Der Großteil lässt sich implementieren, ohne Anpassungen am Altsystem oder der Steuerungsapplikation vorzunehmen.

Schritt 1: Erstellung eines lückenlosen Asset-Inventars

Man kann nur schützen, was man kennt. Erfassen Sie für jedes Legacy-System: Betriebssystem und Service-Pack-Stand, funktionale Rolle, zugeordnete Produktionsanlage, Hersteller und Supportstatus, Netzwerkbeziehungen (Kommunikationspartner, Ports, Protokolle), installierte Software, Nutzung von Wechseldatenträgern, Fernwartungspfade und den zuständigen Risikoeigentümer. Bei empfindlichen Komponenten ist passive Netzanalyse zwingend dem aktiven Scannen vorzuziehen, da aktive Netzwerkscans zum Absturz älterer Steuerungen und Embedded-Stacks führen können. Weisen Sie jedem Asset eine Kritikalitätsstufe gemäß BSI-Standards hinsichtlich Safety, Verfügbarkeit und regulatorischer Relevanz zu.

Schritt 2: Segmentierung nach dem Zonen- und Conduits-Modell

Wenden Sie das Zonen- und Conduits-Modell nach IEC 62443 an: Gruppieren Sie Komponenten nach Funktion und Schutzbedarf in Zonen und regeln Sie alle Übergänge über definierte Kommunikationskanäle (Conduits).

• Platzieren Sie Altsysteme in einer eigenständigen Zone hinter einer Industrie- oder Next-Generation-OT-Firewall – ein reines VLAN auf einem gemeinsamen Switch genügt nicht.

• Erstellen Sie Positivlisten (Allowlisting) basierend auf IP-Adressen, Ports und Protokollen nach dem Prinzip des Default-Deny für beide Richtungen.

• Unterbinden Sie jeden direkten Internetzugriff vollständig – dies gilt auch für Updatemechanismen und Telemetriedaten.

• Sofern Daten die Zone lediglich verlassen müssen (z. B. Historian-Replikation, BDE-Meldungen), setzen Sie unidirektionale Gateways oder Datendioden ein, um Rückkanal-Angriffe physikalisch auszuschließen.

• Entfernen Sie Legacy-Systeme aus der zentralen Unternehmensdomäne. Verwenden Sie stattdessen lokale Konten mit eindeutigen, über ein Privileged-Access-Management (PAM) verwalteten Kennwörtern.

Schritt 3: Härtung und Reduzierung der Angriffsfläche am Endgerät

Wo kein Patching möglich ist, lässt sich die Angriffsfläche meist durch gezieltes Deaktivieren von Diensten minimieren.

• Deaktivieren Sie SMBv1, sofern die Anwendung dies zulässt. Andernfalls blockieren Sie SMB (TCP 445) sowie NetBIOS strikt an den Zonenübergängen.

• Deaktivieren Sie RDP, Telnet, FTP, Remote-Registry und alle nicht zwingend erforderlichen Hintergrunddienste. Validieren Sie Konfigurationsänderungen vorab anhand der Herstellervorgaben.

• Sperren Sie USB-Schnittstellen administrativ oder physisch und erzwingen Sie die Überprüfung von Wechselspeichern über Schleusen-PCs (Kiosksysteme).

• Deinstallieren oder isolieren Sie Standard-Webbrowser, E-Mail-Clients und Office-Anwendungen auf HMIs. Prozessbedienstete dürfen Bedienterminals keinesfalls für administrative Webrecherchen nutzen.

• Installieren Sie die letztverfügbaren kumulativen Sicherheitsupdates und härten Sie lokale Sicherheitsrichtlinien, Audit-Logs und Kontosperrungsregeln.

Schritt 4: Application-Allowlisting statt klassischer Antivirensoftware

Signaturbasierter Virenschutz wird für Windows XP und Windows 7 kaum noch gepflegt, beansprucht veraltete Hardware-Ressourcen stark und birgt das Risiko von Interferenzen mit industriellen Echtzeitprozessen. Application-Allowlisting (Ausführungsverbot für nicht explizit autorisierte Binärdateien) eignet sich ideal für Fixed-Function-Systeme, da sich der Softwarebestand im Betrieb so gut wie nie ändert. Wählen Sie Lösungen, die Legacy-Betriebssysteme offiziell unterstützen, autark offline arbeiten und minimale Systemlast erzeugen. Der in der Studie von 2026 belegte Rückgang klassischer Endpoint-Security zeigt, dass viele Betreiber an IT-orientierten Agenten gescheitert sind. Eine für OT zertifizierte Allowlisting-Lösung verhindert diese Inkompatibilitäten.

Schritt 5: Härtung von Fernwartung und Drittzugriffen

• Ersetzen Sie permanente VPN-Tunnel durch zeitlich limitierte, freigabepflichtige Sitzungen über Jump-Hosts oder Secure-Remote-Access-Gateways.

• Erzwingen Sie Multi-Faktor-Authentifizierung (MFA), vollständige Sitzungsprotokollierung und individualisierte Konten pro Dienstleister.

• Untersagen Sie direkte eingehende Verbindungen auf Altsysteme grundsätzlich; Zugriffe dürfen ausschließlich vermittelt über kontrollierte Sprungserver erfolgen.

• Überprüfen Sie OEM-eigene Fernwartungsmodule und Cloud-Anbindungen systematisch. Der Vorfall in den französischen Supermärkten verdeutlicht, dass herstellerverwaltete Steuerungen denselben Sicherheitsüberprüfungen unterliegen müssen wie interne Server.

Schritt 6: Virtual Patching und passives Monitoring implementieren

Kann eine Schwachstelle auf dem Host nicht behoben werden, lässt sich der Angriff häufig auf Netzwerkebene unterbinden. Industrielle Intrusion-Prevention-Systeme (IPS) bieten die Möglichkeit des Virtual Patchings, indem sie bekannte Exploit-Signaturen für Windows-Sicherheitslücken verwerfen, bevor die Datenpakete das Altsystem erreichen. Deep-Packet-Inspection (DPI) für industrielle Protokolle erkennt zudem unzulässige Schreibbefehle, unautorisierte Netzwerkteilnehmer und Änderungen außerhalb der regulären Wartungszeiten. Ergänzen Sie dies durch ein passives OT-Netzwerkmonitoring (z. B. zur Anomalieerkennung), um ein verlässliches Kommunikationsprofil zu erstellen. Verwenden Sie Inline-Systeme mit Hardware-Bypass, damit eine Sicherheitskomponente bei einem Defekt niemals zum Ausfall der Fertigungslinie führt.

Spezialisierte Drittanbieter bieten sogenannte Micropatches für ausgewählte End-of-Life-Windows-Versionen an. Dies kann eine sinnvolle Ergänzung sein, erfordert jedoch zwingend die Freigabe des ICS-Herstellers, um Gewährleistungs- und Supportansprüche nicht zu gefährden.

Schritt 7: Standardisierung und Verifizierung des Wiederanlaufs

Wenn ein Legacy-HMI innerhalb von 30 Minuten vollständig wiederhergestellt werden kann, verliert Ransomware ihren Schrecken. Fehlt diese Fähigkeit, droht ein mehrtägiger Stillstand.

• Halten Sie verifizierte, offline gelagerte (Air-Gapped) Voll-Images jedes Legacy-Hosts inklusive aller Konfigurations- und Projektdateien vor.

• Führen Sie quartalsweise Wiederanlauftests auf funktionsgleicher Reserve-Hardware durch und dokumentieren Sie die Wiederherstellungszeiten (RTO).

• Bauen Sie ein strategisches Ersatzteillager auf: Legacy-kompatible Industrie-PCs sind am Markt kaum noch verfügbar; beschaffen Sie Ersatzhardware vorausschauend.

• Prüfen Sie bei entsprechender Lizenzierung eine Physical-to-Virtual-(P2V)-Migration auf einen gehärteten Hypervisor. Dies vereinfacht Snapshot-Erstellung und Hardware-Unabhängigkeit, entbindet jedoch nicht von weiteren Schutzmaßnahmen, da das Gastbetriebssystem weiterhin ungepatcht bleibt.

Schritt 8: Risikomanagement und kontinuierliche Dokumentation

Führen Sie alle Altsysteme in einem zentralen Risikoregister. Dokumentieren Sie darin die kompensierenden Maßnahmen, den zuständigen Risikoeigentümer, Prüffristen und die Bedingungen für eine endgültige Stilllegung. Definieren Sie klare Freigabeprozesse für Ausnahmegenehmigungen. Diese Dokumentation bildet die Grundlage für Audits durch Wirtschaftsprüfer, KRITIS-Prüfer und Cyber-Versicherer.

Schritt 9: Definierte Migrationspfade budgetieren

Kompensierende Kontrollen minimieren Risiken, eliminieren sie jedoch nicht vollständig. Nutzen Sie geplante Stillstände zur schrittweisen Migration einzelner Systeme, fordern Sie von OEMs freigegebene Upgrade-Pfade ein und verankern Sie moderne, unterstützte Betriebssysteme verbindlich in allen Neubeschaffungen. Windows 10 IoT Enterprise LTSC 2021 und Windows 11 IoT Enterprise LTSC 2024 bieten langfristige Supportzyklen und stellen eine solide Basis für Neuanlagen dar.

Evaluierungsmatrix für Altsysteme

Nicht jedes Altsystem erfordert dieselben Maßnahmen. Eine strukturierte Entscheidungsmatrix schafft Transparenz und vers sachlicht die Diskussion mit der Betriebsleitung.

30-60-90-Tage-Maßnahmenplan

Tage 1 bis 30: Transparenz schaffen und kritische Risiken mitigieren.

• Erfassung aller Legacy-Assets über passive Netzwerküberwachung und Vor-Ort-Begehungen.

• Unterbindung des Internetzugriffs sowie eingehender SMB- und RDP-Verbindungen aus dem Office-Netzwerk in OT-Segmente.

• Deaktivierung nicht benötigter Systemdienste und physische bzw. administrative Sperrung von USB-Ports.

• Erstellung und Verifizierung von Komplett-Images der zehn kritischsten Systeme.

Tage 31 bis 60: Isolation und Zugriffskontrolle.

• Implementierung von Industrie-Firewalls mit striktem Whitelisting vor kritischen Legacy-Netzwerksegmenten.

• Umstellung aller Dienstleister-Zugänge auf kontrollierte, MFA-gesicherte Jump-Host-Architekturen.

• Pilotierung von Application-Allowlisting auf einem unkritischen Altsystem.

• Inbetriebnahme eines passiven Netzwerkmonitorings zur Profilierung des regulären Datenverkehrs.

Tage 61 bis 90: Validierung und strategische Roadmap.

• Finalisierung des OT-Risikoregisters inklusive Maßnahmenzuordnung und Risikoeigentümern.

• Durchführung einer praktischen Notfall-Wiederherstellungsübung (Disaster Recovery Test) inklusive RTO-Messung.

• Aktivierung von Virtual Patching (IPS) an besonders exponierten Schnittstellen.

• Verbindliche Abstimmung einer Migrations-Roadmap gekoppelt an Investitionszyklen und geplante Revisionsstillstände.

Konformität mit Standards und Regularien

• IEC 62443. Das Zonen- und Conduits-Modell sowie der Leitfaden zum Patch-Management in der Industrieautomation (IEC 62443-2-3) erkennen an, dass Einspielen von Patches technisch unmöglich sein kann – vorausgesetzt, das Risiko wird analysiert und durch kompensierende Kontrollen nachweisbar beherrscht.

• NIST SP 800-82 Rev. 3. Liefert konkrete Vorgaben zum Patch-Management in industriellen Automatisierungssystemen und beschreibt alternative Kompensationsmaßnahmen bei Nichtverfügbarkeit von Patches.

• NIS-2-Richtlinie (EU). Artikel 21 verlangt von betroffenen Unternehmen geeignete Risikomanagementmaßnahmen, die unter anderem die Behandlung von Schwachstellen und grundlegende Cyberhygiene für wesentliche und wichtige Einrichtungen vorschreiben.

• NERC CIP (Nordamerikanische Energieversorgung). Fordert standardisiertes Patch-Management, gestattet jedoch formal dokumentierte Minderungspläne, falls Hersteller keine Patches bereitstellen.

• Cyber-Versicherungen. Die Fragebögen der Assekuranz verlangen zunehmend detaillierte Auskunft über Systeme am Lebensende (End-of-Life), Netzwerksegmentierung sowie Fernwartungsarchitekturen.

Die zentrale Anforderung aller Standards lautet Dokumentation: Regulatoren und Versicherer verlangen selten eine sofortige Stilllegung aller Altsysteme, fordern jedoch einen nachvollziehbaren, risikobasierten und nachweisbaren Maßnahmenplan.

Typische Fehler in der Praxis

• VLANs als Sicherheitsgrenze missverstehen. Ohne ein überwachendes Regelwerk (Firewall) stellt ein VLAN lediglich eine organisatorische Netztrennung dar, keine Sicherheitsbarriere.

• Installation von Standard-IT-Endpoint-Agenten auf sensitiven Systemen ohne vorherige Herstellerfreigabe, was häufig nach Systemausfällen zum überstürzten Rollback führt.

• Aktives Scannen produktiver OT-Netze ohne vorangehende Risiko- und Verträglichkeitsprüfung.

• Falsches Vertrauen in „Air-Gapped“-Szenarien. Mobile Service-PCs, USB-Sticks und undokumentierte Wartungs-Modems hebeln vermeintlich isolierte Netze regelmäßig aus.

• Beibehaltung von Standard-Kennwörtern mit dem Verweis auf veraltete Herstellerdokumentationen.

• Investitionen in Prävention ohne validierten Notfall-Wiederanlaufplan. Kein Schutz ist absolut; im Ernstfall entscheidet allein die Wiederherstellungsfähigkeit über das Überleben des Betriebs.

Häufig gestellte Fragen (FAQ)

Ist der Betrieb von Windows 7 oder XP in Industrieanlagen im Jahr 2026 noch vertretbar? 

Nicht ohne zusätzliche Schutzmaßnahmen. Da beide Betriebssysteme keine Sicherheitsupdates mehr erhalten, ist der Betrieb nur dann verantwortbar, wenn die Systeme strikt segmentiert, zugangsbeschränkt, überwacht und gesichert betrieben werden – flankiert durch einen dokumentierten Migrationsplan.

Gibt es noch offizielle Sicherheitsupdates für Windows 7? 

Nein. Das offizielle ESU-Programm von Microsoft für Windows 7 endete im Januar 2023, jenes für Windows XP bereits 2014. Vereinzelte Drittanbieter bieten kostenpflichtige Micropatches für spezifische Schwachstellen an; diese sind jedoch lediglich als Teillösung zu verstehen und vorab mit dem ICS-Hersteller abzustimmen.

Zählt Windows 10 mittlerweile ebenfalls zu den Altsystemen (Legacy)? 

Ja, bezogen auf die Standard-Editionen. Der reguläre Support endete am 14. Oktober 2025. Unternehmen können über das ESU-Programm zeitlich befristet Patches beziehen (zu jährlich steigenden Gebühren); für LTSB/LTSC-Versionen gelten separate Fristen.

Ist Antivirensoftware unter Windows XP und Windows 7 noch wirksam? 

Wenige Hersteller bieten noch kompatible Signaturen an; die Schutzwirkung ist jedoch unvollständig und die Systemlast auf älterer Hardware erheblich. Application-Allowlisting kombiniert mit restriktiver Netzwerksegmentierung stellt für dedizierte OT-Systeme den deutlich robusteren Ansatz dar.

Was versteht man unter Virtual Patching? 

Hierbei werden Angriffe und Exploits auf Netzwerkebene (z. B. durch ein IPS) blockiert, bevor sie die Schwachstelle auf dem veralteten Host erreichen. Es ist eine der effektivsten Methoden, um Systeme zu schützen, die nicht mehr direkt gepatcht werden können.

Müssen sämtliche Altsysteme unverzüglich ersetzt werden? 

In der Regel nein. Ein phasenweises Vorgehen ist praxistauglicher: Priorisieren Sie die Kapselung und Absicherung der Bestandsanlagen und führen Sie den Austausch schrittweise im Rahmen regulärer Wartungsfenster, Budgetfreigaben und OEM-Freigaben durch.

Wie Shieldworkz Sie unterstützen kann

Shieldworkz bietet ganzheitliche Cybersicherheitslösungen für industrielle SCADA-, OT- und IoT-Infrastrukturen – von der Beratung über Technologieplattformen bis hin zu Managed Services. Bei der Absicherung gewachsener Windows-Umgebungen umfasst dies die passive Bestands- und Risikoanalyse, IEC-62443-konforme Zonen- und Conduit-Konzepte, gehärtete Fernwartungslösungen, kontinuierliches Monitoring sowie praxiserprobte Incident-Response- und Recovery-Konzepte – ausgelegt darauf, den laufenden Anlagenbetrieb zu keinem Zeitpunkt zu gefährden.

Wünschen Sie eine fundierte Ersteinschätzung zu Ihrer Sicherheitsarchitektur und den wirksamsten Maßnahmen zur Risikominimierung für Ihre Altsysteme? Kontaktieren Sie unsere Spezialisten für ein zielgerichtetes Legacy-Windows-Assessment. Vereinbaren Sie jetzt ein Fachgespräch mit unseren OT-Security-Experten!