Warum die Überwachung von Cyber-Physical Systems nicht mehr optional ist

In der heutigen vernetzten Industriewelt ist die Grenze zwischen digitalen Systemen und physischen Prozessen praktisch verschwunden. Sensoren kommunizieren mit Steuerungen, Steuerungen geben Befehle an Aktoren und Aktoren bewegen die physische Welt – und das alles im Millisekundenbereich. Diese nahtlose Integration bildet das Rückgrat moderner kritischer Infrastrukturen, Fertigungslinien, Energienetze und Wasseraufbereitungsanlagen. Sie stellt jedoch auch eine der am häufigsten ausgenutzten Angriffsflächen in der heutigen Cybersicherheit dar.

Cyber-Physical Systems (CPS) repräsentieren diesen Konvergenzpunkt. Wenn Angreifer eine CPS-Umgebung ins Visier nehmen, stehlen sie nicht nur Daten. Sie sind in der Lage, physische Schäden zu verursachen, die Produktion stillzulegen, Sicherheitssysteme zu kompromittieren und Kettenreaktionen auszulösen, die sich auf Lieferketten und die gesamte Bevölkerung auswirken. Der Vorfall in der Wasseraufbereitungsanlage in Oldsmar, Florida, im Jahr 2021, bei dem ein Angreifer aus der Ferne den Chemikaliengehalt veränderte, hat exakt gezeigt, wie kritisch die CPS-Überwachung geworden ist. Der Angreifer verschaffte sich Zugriff auf das Fernzugriffssystem der Anlage und erhöhte die Natriumhydroxid-Konzentration auf ein gefährliches Niveau. Ein Operator bemerkte dies rechtzeitig, doch das Szenario legte eine beängstigende Sicherheitslücke offen. 

Warum Entscheidungsträger im Bereich der Industriesicherheit dies lesen müssen

Die Risiken in OT/ICS-Umgebungen unterscheiden sich grundlegend von denen der traditionellen IT-Sicherheit. Eine Sicherheitsverletzung in einem Unternehmensnetzwerk kann Datenverlust bedeuten. Eine Sicherheitsverletzung in einer CPS-Umgebung kann zu einem Produktionsausfall im Wert von Millionen Euro pro Stunde, dem Versagen von Sicherheitssystemen, Umweltschäden oder behördlichen Strafen führen. Dennoch gehen viele Unternehmen die CPS-Überwachung immer noch so an wie die Überwachung der Unternehmens-IT – und diese Diskrepanz schafft gefährliche blinde Flecken.

Dieser Vergleich bietet Entscheidungsträgern ein strukturiertes, herstellerneutrales Framework zur Bewertung von CPS-Monitoring-Tools basierend auf dem, was in Industrieumgebungen tatsächlich zählt: passives Monitoring ohne Beeinträchtigung des Betriebs, Protokollunterstützung für Legacy- und moderne ICS-Systeme, eine auf das physische Prozessverhalten abgestimmte Bedrohungserkennung und die Integration in IT-Sicherheitsstacks sowie OT-Workflows.

Unabhängig davon, ob Sie ein neues Sicherheitsprogramm von Grund auf aufbauen, Ihren aktuellen Tool-Stack auditieren oder auf eine Vorgabe des Vorstands reagieren, um die OT-Sicherheitsreife nachzuweisen: Die Informationen in diesem Artikel werden Ihre Entscheidungsfindung schärfen.

Das CPS-Monitoring-Umfeld verstehen

Was CPS-Monitoring von traditionellem IT-Monitoring unterscheidet

Industrielle Umgebungen unterliegen völlig anderen Rahmenbedingungen als die Unternehmens-IT. Die meisten OT/ICS-Netzwerke nutzen Protokolle wie Modbus, DNP3, PROFINET, EtherNet/IP und BACnet – keines davon wird von Standard-IT-Sicherheitstools verstanden. Viele Geräte laufen mit veralteter Firmware, die nicht gepatcht werden kann. Produktionssysteme laufen oft kontinuierlich, was bedeutet, dass jedes Monitoring-Tool, das Netzwerkverkehr erzeugt oder Latenzen verursacht, ein operationelles Risiko darstellt.

Effektives CPS-Monitoring muss passiv, protokollsensitiv und betriebsschonend sein. Es muss zwischen normalem Prozessverhalten und anomalen Aktivitäten unterscheiden, ohne Fehlalarme zu generieren, die Ingenieure überlasten oder zu einer Alarmmüdigkeit führen. Zudem muss es die Kommunikationslücke zwischen OT-Teams, die den Prozess verstehen, und IT/Sicherheitsteams, die die Cyberbedrohungen verstehen, schließen.

Die Konvergenz-Herausforderung: IT/OT/IoT in einer zentralen Konsole („Single Pane of Glass“)

Im Zuge der Modernisierung industrieller Umgebungen haben es Unternehmen zunehmend mit drei sich überschneidenden Asset-Klassen zu tun: der traditionellen IT-Infrastruktur (Windows-Server, Netzwerkgeräte), OT-Assets (SCADA/PLC, RTUs, HMIs, DCS) und IoT/IIoT-Geräten (intelligente Sensoren, Zustandsüberwachungsgeräte, Industrie-Gateways). Jede Klasse weist unterschiedliche Kommunikationsmuster, Risikoprofile und Sicherheitsanforderungen auf. Eine robuste CPS-Monitoring-Plattform muss Transparenz über alle drei Bereiche hinweg bieten, ohne dass drei separate Teams und drei unterschiedliche Toolsets erforderlich sind.

Die 10 Kernkompetenzen, die exzellentes CPS-Monitoring definieren

Anstatt herstellerspezifische Produkte zu vergleichen, die sich häufig ändern und oft regionale Unterschiede in Verfügbarkeit und Support aufweisen, kommt es bei jeder von Ihnen evaluierten Monitoring-Lösung auf das genaue Leistungsprofil an. Nachfolgend finden Sie eine strukturierte Aufschlüsselung der zehn kritischen Fähigkeiten, anhand derer jedes CPS-Monitoring-Tool bewertet werden sollte.

Reale Vorfälle, die die Prioritäten im CPS-Monitoring neu definiert haben

Der Angriff auf die Colonial Pipeline (2021)

Als Ransomware in das IT-Netzwerk von Colonial Pipeline eindrang, traf das Unternehmen die Entscheidung, seine OT-Systeme vorsorglich abzuschalten – nicht weil das OT-Netzwerk direkt kompromittiert war, sondern weil den Betreibern die nötige Transparenz fehlte, um dies mit Sicherheit auszuschließen. Das Ergebnis war eine sechstägige Unterbrechung der Kraftstoffversorgung an der US-Ostküste und eine Lösegeldzahlung in Höhe von 4,4 Millionen US-Dollar. Der Vorfall verdeutlichte, dass das Monitoring der IT/OT-Segmentierung und Netzwerktransparenz keine Luxusfunktionen sind. Sie bilden das Fundament der Betriebskontinuität.

TRITON/TRISIS-Malware: Angriff auf Sicherheitssysteme

Der TRITON-Angriff, der in einer petrochemischen Anlage im Nahen Osten entdeckt wurde, zielte auf Safety Instrumented Systems (SIS) ab – Systeme, die speziell zur Verhinderung katastrophaler physischer Ausfälle konzipiert sind. Die Malware wurde entwickelt, um die Sicherheitslogik zu deaktivieren oder zu modifizieren, was potenziell eine Explosion oder den Austritt von Giftstoffen hätte verursachen können. Forensische Untersuchungen ergaben, dass die Angreifer vor dem eigentlichen Angriff monatelang im Netzwerk präsent waren. Dieser Vorfall verdeutlichte, dass CPS-Monitoring über SCADA- und PLC-Netzwerke hinausgehen und auch Sicherheitssteuerungen umfassen muss. Zudem ist die Erkennung der Verweildauer (Dwell-Time) ebenso wichtig wie die Echtzeit-Alarmierung.

Angriffe auf das ukrainische Stromnetz (2015 & 2016)

In zwei aufeinanderfolgenden Wintern trafen koordinierte Cyberangriffe die ukrainische Stromverteilungsinfrastruktur und ließen Hunderttausende Kunden ohne Strom zurück. Die Angreifer nutzten Spear-Phishing für den Erstzugang und bewegten sich dann lateral durch das IT-Netzwerk, um die OT-Systeme zu erreichen. Sie deaktivierten unterbrechungsfreie Stromversorgungen (USV) und Fernzugriffssysteme, bevor sie zerstörerische Malware einschleusten. Diese Angriffe zeigten, dass CPS-Monitoring Transparenz für den Nord-Süd- und Ost-West-Verkehr bieten muss, um sowohl externe Einbrüche als auch interne laterale Bewegungen zu erfassen.

Vergleich der CPS-Monitoring-Architekturen: Bereitstellungsmodelle

Wie ein Monitoring-Tool bereitgestellt wird, ist oft ebenso wichtig wie das, was es erkennt. Industrielle Umgebungen weisen unterschiedliche Netzwerkarchitekturen, Air-Gapped-Segmente, Cloud-basierte Außenstellen und gemischte IT/OT-Zonen auf. Die folgende Tabelle vergleicht die primären Bereitstellungsmodelle und deren Eignung für verschiedene betriebliche Kontexte.

Wichtige Bewertungskriterien: Was Sie vor der Auswahl eines CPS-Monitoring-Tools fragen sollten

1. Versteht das Tool Ihre spezifischen Protokolle?

Nicht alle Bibliotheken für OT-Protokolle sind gleichwertig. Ein Tool, das zwar Unterstützung für EtherNet/IP verspricht, aber nur grundlegende Paket-Header ausliest, wird Anomalien auf Befehlsebene übersehen. Bitten Sie bei der Evaluierung einer Lösung um eine gezielte Demonstration mit Ihren Gerätetypen. Fordern Sie eine Dokumentation darüber an, welche Protokollbefehle, Funktionscodes und Datenobjekte dekodiert und für die Alarmierung herangezogen werden können.

2. Wie lange dauert die Phase des Basis-Lernens?

Eine verhaltensbasierte Erkennung setzt voraus, dass gelernt wird, was den Normalbetrieb darstellt. Die meisten Plattformen benötigen zwischen zwei und sechs Wochen, um eine präzise Baseline für eine bestimmte Umgebung zu erstellen. In dieser Phase erzeugt das System ein erhebliches Rauschen an Fehlalarmen. Klären Sie im Vorfeld, wie das Tool mit Ausnahmen während der Inbetriebnahme umgeht, wie lange die Lernphase dauert und was passiert, wenn eine größere Prozessänderung vorgenommen wird (z. B. die Integration einer neuen Fertigungslinie).

3. Wie geht das Tool mit Änderungen an Assets um?

OT-Umgebungen sind nicht statisch. Neue Sensoren werden installiert, Firmware wird aktualisiert, temporäre Wartungs-Laptops werden angeschlossen und externe Dienstleister bringen eigene Geräte mit. Ein leistungsstarkes CPS-Monitoring-Tool sollte neue Geräte automatisch erkennen, unbefugte Hinzufügungen kennzeichnen und Änderungen von Firmware-Versionen im gesamten Asset-Inventar ohne manuelles Eingreifen nachverfolgen.

4. Wie sieht der Integrationspfad in Ihr SOC aus?

Viele Unternehmen verfügen über etablierte IT Security Operations Centers, stehen jedoch im Bereich der OT-Sicherheit noch am Anfang. Die Fähigkeit, strukturierte und kontextualisierte Alarme aus dem OT-Monitoring in ein bestehendes SIEM zu übertragen – inklusive korrekter Kennzeichnung, Risikobewertung und Prozesskontext –, verkürzt die Zeitspanne von der Erkennung bis zur Reaktion drastisch. Prüfen Sie, ob das Tool nativ in Ihr aktuelles SIEM integriert werden kann oder ob benutzerdefinierte Parsing-Regeln erforderlich sind.

5. Wie unterstützt das Tool die Einhaltung von Compliance-Anforderungen?

Regulatorische Standards wie die IEC 62443, NERC CIP, NIS-2 und branchenspezifische KRITIS-Vorgaben fordern zunehmend dokumentierte Asset-Inventare, Netzwerk-Monitoring und die lückenlose Protokollierung von Vorfällen. Ein kompetentes CPS-Monitoring-Tool sollte auditsichere Compliance-Berichte erstellen, die Beweiserhebung bei Audits unterstützen und erkannte Risiken den jeweiligen regulatorischen Anforderungen zuordnen.

Vergleich der CPS-Monitoring-Fähigkeiten: Feature-Matrix

Die folgende Matrix ordnet wichtige Funktionen den jeweiligen Branchenumgebungen zu, in denen sie den höchsten betrieblichen Nutzen stiften. Nutzen Sie diese Übersicht als Bewertungsleitfaden für Ihre spezifischen Anforderungen.

Häufige Fehler bei der Implementierung von CPS-Monitoring

OT-Monitoring wie IT-Monitoring behandeln

Der am weitesten verbreitete Fehler besteht darin, IT-fokussierte Sicherheitstools direkt in OT-Umgebungen zu implementieren. Port-Scans, die in der IT alltäglich sind, können PLCs zum Absturz bringen. Signaturbasierte IDS-Engines, die in Rechenzentren hervorragend funktionieren, erzeugen in einer OT-Umgebung Tausende Fehlalarme, da sie die normalen industriellen Kommunikationsmuster nicht verstehen. Dies untergräbt das Vertrauen in das Monitoring-Tool und führt oft dazu, dass Sicherheitsteams die Alarmierung komplett deaktivieren, anstatt sie präzise zu konfigurieren.

Ausschließliche Fokussierung auf externe Bedrohungen

Innentäter – ob durch unzufriedene Mitarbeiter, kompromittierte Zugangsdaten von Dienstleistern oder unbeabsichtigte Fehlkonfigurationen – machen einen erheblichen Teil der OT-Sicherheitsvorfälle aus. Eine Monitoring-Strategie, die nur den eingehenden Datenverkehr aus dem Internet überwacht, übersieht den Ingenieur, der einen unbefugten Befehl an eine PLC sendet, oder den Wartungs-Laptop, der Schadsoftware über eine USB-Verbindung einschleust.

Ignorieren des Problems der Alarmmüdigkeit

Schlecht konfigurierte CPS-Monitoring-Systeme können Hunderte von Alarmen pro Tag generieren. Wenn Sicherheitsteams im Rauschen untergehen, werden echte Bedrohungen übersehen. Erfolgreiche Implementierungen investieren erhebliche Zeit in die Feinabstimmung von Erkennungsschwellen, das Unterdrücken bekannter, legitimer Aktivitäten und den Aufbau von Eskalations-Workflows, die sicherstellen, dass kritische Alarme rechtzeitig die richtigen Personen erreichen.

Fehlende Einbindung des OT-Betriebsteams

OT-Ingenieure und Anlagenbetreiber stehen Sicherheitstools oft skeptisch gegenüber, wenn diese scheinbar die Transparenz über die Betriebsstabilität stellen. Jedes CPS-Monitoring-Projekt, das das OT-Betriebsteam nicht aktiv einbezieht, läuft Gefahr, umgangen, ignoriert oder bei Betriebsstörungen fälschlicherweise als Ursache beschuldigt zu werden. Die erfolgreichsten Programme behandeln OT-Sicherheit als gemeinsame Verantwortung von Sicherheits- und Betriebsteams.

Die Rolle von CPS-Monitoring in einer Zero-Trust-OT-Architektur

Die Zero-Trust-Prinzipien – überprüfe jeden Benutzer, jedes Gerät, jede Verbindung – werden zunehmend für OT-Umgebungen adaptiert. CPS-Monitoring spielt in dieser Architektur eine fundamentale Rolle, da es die kontinuierliche Transparenz liefert, die zur Durchsetzung von Least-Privilege-Zugriffsrichtlinien und zur Echtzeit-Erkennung von Abweichungen erforderlich ist.

In einem Zero-Trust-OT-Modell speisen Monitoring-Tools Verhaltensdaten in Zugriffskontrollsysteme ein, was dynamische Richtlinienanpassungen ermöglicht. Wenn beispielsweise ein Feldgerät beginnt, mit IP-Adressen außerhalb seines normalen Betriebsprofils zu kommunizieren, kann das Monitoring-System automatisch einen Workflow zur Netzwerkerisolierung auslösen und gleichzeitig das Sicherheitsteam alarmieren. Diese Art der automatisierten Reaktion im geschlossenen Regelkreis ist nur möglich, wenn das Monitoring tief in die übergeordnete Sicherheitsarchitektur integriert ist.

So erstellen Sie einen Business Case für Investitionen in CPS-Monitoring

Viele OT-Sicherheitsverantwortliche stehen vor der Herausforderung, die Unternehmensführung und die Finanzabteilung von Investitionen in CPS-Monitoring zu überzeugen, wenn die Umgebung bisher ohne größere sichtbare Vorfälle betrieben wurde. Das Ausbleiben eines sichtbaren Angriffs wird oft fälschlicherweise als Beweis für eine ausreichende Sicherheit interpretiert.

Ein überzeugender Business Case sollte das quantifizierte betriebliche Risiko, die Kosten pro Stunde ungeplanter Ausfallzeiten, die drohenden Bußgelder unter geltenden regulatorischen Vorgaben (z. B. NIS-2, KRITIS), die Auswirkungen unzureichender Sicherheit auf Versicherungsprämien sowie Reputationsrisiken im Falle eines öffentlichen Vorfalls aufzeigen. Er sollte sich zudem auf die zunehmende Häufigkeit von Angriffen auf industrielle Ziele und die spezifischen Bedrohungsakteure beziehen, die bekanntermaßen Ihre Branche ins Visier nehmen.

Branchenberichte zeigen konsistent, dass die durchschnittlichen Kosten eines schwerwiegenden OT-Sicherheitsvorfalls die jährlichen Kosten eines umfassenden Monitoring-Programms bei weitem übersteigen. Wenn man CPS-Monitoring als betriebliches Risikomanagement und nicht als reinen Sicherheitskostenfaktor darstellt, findet dies in der Regel deutlich mehr Gehör bei der Geschäftsführung.

Wie Shieldworkz Unternehmen beim CPS-Monitoring unterstützt

Shieldworkz wurde speziell für die einzigartigen Sicherheitsherausforderungen von OT-, ICS- und KRITIS-Umgebungen entwickelt. Unser Ansatz kombiniert tiefgehendes industrielles Protokoll-Know-how mit einer sicherheitsfokussierten Methodik, die betriebliche Prioritäten respektiert – denn wir wissen, dass in Ihrer Umgebung Verfügbarkeit und Sicherheit an erster Stelle stehen.

Wenn Unternehmen bei der Strategie und Implementierung von CPS-Monitoring mit Shieldworkz zusammenarbeiten, profitieren sie von folgenden Vorteilen:

• Umfassende OT/ICS-Asset-Erkennung, die Ihrem Sicherheitsteam eine vollständige, präzise Inventarisierung jedes verbundenen Geräts in Ihrer Betriebstechnologie-Umgebung liefert – einschließlich veralteter Altsysteme, die von herkömmlichen IT-Tools nicht identifiziert werden können.

• Protokollsensitives Netzwerk-Monitoring, das die spezifischen Befehle, Funktionscodes und den Datenaustausch Ihrer Industrieumgebung versteht. Dies minimiert Fehlalarme und fokussiert die Aufmerksamkeit auf echte Bedrohungen.

• Verhaltensbasierte Baselining- und Anomalieerkennung, die Ihre spezifischen Prozessnormen lernt und bei Abweichungen alarmiert, die auf unbefugte Änderungen, Fehlkonfigurationen oder aktive Angreifer hinweisen.

• Spezifisch für industrielle Umgebungen kuratierte Threat Intelligence, die sicherstellt, dass Ihr Monitoring stets über die neuesten TTPs (Tactics, Techniques, and Procedures) von Angreifern informiert ist, die Ihre Branche im Visier haben.

• Integration in Ihr bestehendes Security Operations Center, wodurch OT-Sicherheitsereignisse mit dem erforderlichen Kontext, Risikobewertungen und Handlungsempfehlungen direkt in Ihr SIEM oder SOC einfließen können.

• Compliance-Mapping und Berichterstattung zur Unterstützung von IEC 62443, NERC CIP, NIS-2 und anderen relevanten regulatorischen Vorgaben, was die Audit-Vorbereitung beschleunigt und rechtssicher macht.

• Praxisnahe OT-Sicherheitsexpertise während des gesamten Projekts – von der ersten Architekturanalyse und Tool-Auswahl über die Implementierung und Feinabstimmung bis hin zum laufenden Managed-Monitoring-Support.

• Ein kollaborativer IT/OT-Sicherheitsansatz, der die Kommunikationslücke zwischen Ihrem Sicherheitsteam und Ihrem Betriebsteam schließt, um sicherzustellen, dass das Monitoring Mehrwert liefert, ohne die Produktion zu beeinträchtigen.

Shieldworkz bietet keine standardisierten, auf die Industrie übertragene IT-Sicherheitsdienstleistungen an. Unser Team besteht aus Experten mit direkter Praxiserfahrung in der Betriebstechnologie, in industriellen Steuerungssystemen und im Schutz kritischer Infrastrukturen – Fachleute, die sowohl die Cyber-Bedrohungslage als auch die ingenieurtechnische Realität der von ihnen gesicherten Umgebungen verstehen.

Transparenz ist das Fundament der OT-Sicherheit

Sie können nicht schützen, was Sie nicht sehen. In OT- und CPS-Umgebungen ist dies keine Floskel, sondern die grundlegende Realität, die darüber entscheidet, ob Ihr Sicherheitsprogramm in der Lage ist, Bedrohungen zu verhindern, zu erkennen und abzuwehren, bevor diese physischen, betrieblichen oder wirtschaftlichen Schaden anrichten.

Das richtige CPS-Monitoring-Tool ist nicht zwingend das funktionsreichste oder das teuerste. Es ist dasjenige, das präzise, betrieblich relevante Transparenz in Ihrer spezifischen Umgebung bietet, sich nahtlos in Ihre bestehenden Sicherheits-Workflows integriert und Ihr Team in die Lage versetzt, auf Basis der gewonnenen Erkenntnisse zielgerichtet zu handeln. Die in diesem Leitfaden vorgestellten Vergleichs-Frameworks und Bewertungskriterien bieten Ihnen einen strukturierten Weg, um diese Auswahl fundiert zu treffen.

Da Angreifer ihre Fähigkeiten kontinuierlich weiterentwickeln und industrielle Umgebungen immer enger mit digitalen Infrastrukturen verschmelzen, werden diejenigen Unternehmen, die heute in umfassendes CPS-Monitoring investieren, diejenigen sein, die ihre betriebliche Resilienz wahren, wenn – und nicht ob – sie mit einem Angriffsversuch auf ihre Systeme konfrontiert werden.

Sind Sie bereit, Ihre CPS-Monitoring-Strategie zu stärken?

Buchen Sie eine kostenfreie Beratung mit unseren OT/ICS-Sicherheits-Experten

Ihre Betriebsumgebung ist einzigartig. Ihre CPS-Monitoring-Strategie sollte es auch sein. Das Team von Shieldworkz arbeitet eng mit Ihren OT- und Sicherheitsexperten zusammen, um Ihre aktuelle Transparenz zu analysieren, Lücken zu identifizieren und ein Monitoring-Programm zu etablieren, das Ihre Prozesse schützt, ohne sie zu beeinträchtigen.

Zusätzliche Ressourcen     

Umfassender Leitfaden zu Network Detection and Response (NDR) im Jahr 2026 hier 
Ein herunterladbarer Bericht zum Stryker-Cybervorfall hier     
Leitfäden zur Behebung von Sicherheitslücken hier   
OT-Sicherheits-Best-Practices und Leitfaden zur Risikobewertung hier  
Checkliste zur OT/ICS-Risikobewertung auf Basis der IEC 62443 für die Lebensmittel- und Getränkeindustrie hier