Die Remediation eines Industrial Control System (ICS) nach einer Gap-Assessment ist der Punkt, an dem „Security auf dem Papier“ auf „Stahl und Kabel“ trifft. Als IEC-62443-Berater mit jahrzehntelanger Praxiserfahrung wissen wir: Das Ziel ist nicht nur, eine Lücke zu schließen – sondern sicherzustellen, dass Security niemals Safety oder Availability beeinträchtigt. Im heutigen Beitrag gehen wir tief in die Remediation von Feststellungen und Sicherheitslücken ein, die im Rahmen einer IEC-62443-basierten Risiko- und Gap-Assessment identifiziert wurden.

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blogbeitrag darüber anzusehen, was eine IRGC-Übernahme für den iranischen Threat Actor Handala bedeuten könnte, hier.

1. Governance- und Programm-Lücken (IEC 62443-2-1)

Das Fundament: Aufbau eines IACS-Sicherheitsprogramms

Die meisten Assessments zeigen, dass zwar technische Controls vorhanden sind, das Managementsystem jedoch fragmentiert ist. Die Remediation fokussiert sich hier auf das Element „Mensch und Prozess“.

• Remediation-Strategie: * Die Single Source of Truth für das Asset-Inventar: Sie können nicht schützen, was Sie nicht sehen. Beheben Sie 2-1-Lücken durch die Implementierung eines automatisierten Asset-Discovery-Tools, das Geräte nach Hardware-Version, Firmware-Stand und Kommunikationsmustern kategorisiert.

  • Die IACS-Sicherheitsrichtlinie: Erstellen Sie ein dediziertes OT-Sicherheitshandbuch. Übernehmen Sie IT-Richtlinien nicht einfach per Copy-paste. Ihre OT-Richtlinie muss „Emergency Access“-Verfahren explizit definieren, bei denen Lebensschutz Vorrang vor Authentisierung hat.

  • Risk-Assessment-Lifecycle: Wechseln Sie von einer einmaligen Bewertung zu einem Modell des „Continuous Risk Management“. Dazu gehört die Aktualisierung des Risikoregisters jedes Mal, wenn eine neue Engineering-Workstation hinzugefügt oder eine PLC-Firmware aktualisiert wird.

2. Systemarchitektur und Segmentierung (IEC 62443-3-2)

Der Bauplan: Security Risk Assessment und Systemdesign

Lücken in 3-2 betreffen meist „flache Netzwerke“, in denen ein kompromittierter Laptop im Büro einen Controller in der Produktionsumgebung erreichen kann.

• Remediation-Strategie:

  • Zonen- & Conduit-Modellierung: Gruppieren Sie Assets physisch oder logisch in „Security Zones“ auf Basis funktionaler Ähnlichkeit und Risikoprofil.

  • Definition von Conduits: Jeder Kommunikationspfad zwischen Zonen muss ein „Conduit“ sein. Beheben Sie Defizite durch den Einsatz von Stateful-Inspection-Firewalls, die nur notwendige industrielle Protokolle erlauben (z. B. EtherNet/IP, OPC UA).

  • Die IDMZ-Implementierung: Richten Sie eine Industrial Demilitarized Zone ein. Es sollte niemals direkter Datenverkehr vom Enterprise-Bereich (Level 4/5) in die Control Zone (Level 0-2) fließen. Jeder Datenaustausch muss in der IDMZ terminieren.

3. Technische Systemanforderungen (IEC 62443-3-3)

Der Schutzschild: Umsetzung funktionaler Sicherheit

Hier adressieren wir die „Seven Foundational Requirements“ (FRs). Typische Lücken sind gemeinsam genutzte Passwörter und unverschlüsselter Engineering-Datenverkehr.

• Remediation-Strategie:

  • FR 1: Identifikation & Authentisierung: Ersetzen Sie gemeinsam genutzte „Operator“-Logins durch eindeutige IDs. Wenn das HMI keine individuellen Logins unterstützt, implementieren Sie einen Jump-Host in der IDMZ, der MFA verlangt, bevor Zugriff auf das HMI gewährt wird.

  • FR 5: Eingeschränkter Datenfluss: Setzen Sie Deep Packet Inspection (DPI) ein. Wenn eine Lücke in der Protokollsicherheit besteht, kann DPI „Write“-Befehle von nicht autorisierten IP-Adressen verhindern, selbst wenn das Protokoll selbst keine Authentisierung unterstützt.

  • FR 6: Zeitnahe Reaktion auf Ereignisse: Zentralisieren Sie OT-Logs in einem dedizierten OT-SIEM. Stellen Sie sicher, dass Ihr SOC (Security Operations Center) den Unterschied zwischen einem „Scan“ und einem „Broadcast Storm“ versteht.

Die folgende Tabelle enthält eine domänenspezifische Liste von Maßnahmen für die IEC-62443-Compliance

4. Komponentenanforderungen (IEC 62443-4-1 und 4-2)

Die Bausteine: Produktentwicklung und technische Komponenten

Diese Lücken betreffen häufig Legacy-Anlagen, die früher „secure by obscurity“ waren, heute jedoch verwundbar sind.

• Remediation-Strategie (4-1: Lifecycle):

  • Sichere Beschaffung: Aktualisieren Sie Ihre RFP (Request for Proposal)-Vorlagen. Fordern Sie von Anbietern eine Software Bill of Materials (SBOM) sowie Nachweise zu sicheren Coding-Praktiken (SDLC).

• Remediation-Strategie (4-2: Komponenten):

  • Härtung von Endpunkten: Deaktivieren Sie ungenutzte physische Ports (USB, RJ45) an PLCs und Switches.

  • Kompensierende Maßnahmen für Legacy-Systeme: Wenn ein Legacy-Windows-XP-System nicht gepatcht werden kann (4-2-Verstoß), beheben Sie dies durch „Virtual Patching“ mittels IPS auf Conduit-Ebene sowie striktes Application Whitelisting, um jede nicht autorisierte Binärausführung zu verhindern.

Umgang mit Restrisiko: Das Ledger des CISO

Selbst nach vollständiger Remediation bleibt Restrisiko bestehen. In OT ist dies häufig das Risiko eines „Zero-Day“-Exploits gegen ein proprietäres Protokoll oder die physische Kompromittierung einer Remote Terminal Unit (RTU).

1. Quantifizierung: Verwenden Sie eine $Risk = Likelihood \times Impact$-Matrix, um dem Vorstand zu zeigen, wie die Remediation den „Expected Loss“ reduziert hat.

2. Akzeptanz: Lücken, die aufgrund von „Safety Overrides“ nicht geschlossen werden können, müssen formal durch die Betriebsleitung akzeptiert werden.

3. Versicherung: Stellen Sie für das verbleibende „Unmitigatable Risk“ sicher, dass die Cyber-Versicherung der Organisation explizit „Physical Property Damage“ und „Business Interruption“ durch OT-Incidents abdeckt.

Die 24-Monats-Roadmap

• Phase 1 (0–6 Monate): Asset Discovery, Zonensegmentierung und kritisches Patching.

• Phase 2 (6–12 Monate): Identity Management (MFA), IDMZ-Aufbau und OT-SIEM-Integration.

• Phase 3 (12–24 Monate): Vollständige 4-2-Härtung, SBOM-Integration in die Beschaffung und Red Teaming der OT-Umgebung.

Abschließender Gedanke: IEC-62443-Compliance ist als Marathon zu verstehen, nicht als Sprint. Jede PLC, die Sie schützen, und jedes Conduit, das Sie schließen, erhöht die „Cost of Attack“ für den Angreifer. Treiben Sie die Veränderung nach dem Prinzip „Engineering first“ voran.

Sprechen Sie mit einem IEC-62443-Praktiker hier.
Testen Sie die Shieldworkz OT Security NDR-Lösung hier.
Interessiert an Remediation-Strategien für Ihre OT-Infrastruktur? Laden Sie unsere kostenlosen Remediation-Guides herunter hier.
Alles, was Sie über die Implementierung von IEC-62443-Controls wissen wollten, hier.