IT vs OT: 2 Welten, 2 Logiken

Eine Fabrik wird nicht wie ein Rechenzentrum gesichert. OT-Cybersicherheit hat eigene Regeln: Kontinuität, physische Sicherheit, nicht-patchbare Legacy-Geräte.

Purdue-Modell — Referenzkarte

6-stufige Hierarchie für jedes Industrienetz. Basis der Cybersicherheitsarchitektur: jede Ebene mit eigenen Anforderungen, Übergänge über Pflicht-Kontrollpunkte.

Wichtige Vorfälle — lehrreiche Geschichte

Diese 5 Angriffe haben die Wahrnehmung des OT-Risikos jeweils neu definiert. Jeder hat eine bis heute aktuelle technische Lehre.

Verteidigungsebenen — Defense in Depth

Keine Einzelmaßnahme reicht. OT-Cyber staffelt Barrieren — Umgehung einer Schicht gewährt keinen Prozesszugriff.

Standortvernetzung — Werk A ↔ Werk B ↔ Zentrale ↔ Cloud

SPS-Systeme verschiedener Werke müssen oft kommunizieren — MES-Aggregation, Konzernüberwachung, Hersteller-Fernwartung, Cloud-Zwilling. Diese standortübergreifende Vernetzung ist die heikelste Cyber-Risikozone der modernen Industrie. Ein naives Site-to-Site-VPN macht aus einem lokalen Vorfall ein Konzernereignis (NotPetya → Maersk, Juni 2017: ~10 Mrd. € Schaden in 10 Tagen über AD und VPN).

1. Die 5 typischen Szenarien

2. Referenzarchitektur — mehrstandortige Defense in Depth

In jedem Szenario folgt die Zielarchitektur demselben Prinzip: jeder Standort ist eine isolierte Festung, Brücken zwischen Festungen laufen über Kontrollpunkte mit Datenflussinspektion.

┌─────────────────────────────────────────────────────────────────────────────┐
│  Internet (publique, hostile)                                               │
│      ▲                                       ▲                              │
│      │  TLS 1.3 + cert mutuels               │  TLS 1.3 + cert mutuels      │
│  ┌───┴────────────────────┐              ┌───┴────────────────────┐         │
│  │  WERK A                │              │  WERK B                │         │
│  │  ┌──────────────────┐  │              │  ┌──────────────────┐  │         │
│  │  │ Niveau 5  ERP    │  │              │  │ Niveau 5  ERP    │  │         │
│  │  ├──────────────────┤  │              │  ├──────────────────┤  │         │
│  │  │ Niveau 4  MES    │  │              │  │ Niveau 4  MES    │  │         │
│  │  ├═══════════════ ══┤  │              │  ├═══════════════ ══┤  │         │
│  │  │ N 3.5 DMZ ind.   │  │              │  │ N 3.5 DMZ ind.   │  │         │
│  │  │ jump server, NDR │  │              │  │ jump server, NDR │  │         │
│  │  ├══════════════════┤  │              │  ├══════════════════┤  │         │
│  │  │ Niveau 3  SCADA  │  │              │  │ Niveau 3  SCADA  │  │         │
│  │  │ Niveau 2  HMI    │  │              │  │ Niveau 2  HMI    │  │         │
│  │  │ Niveau 1  PLC    │  │              │  │ Niveau 1  PLC    │  │         │
│  │  │ Niveau 0  procé. │  │              │  │ Niveau 0  procé. │  │         │
│  │  └──────────────────┘  │              │  └──────────────────┘  │         │
│  └────────────────────────┘              └────────────────────────┘         │
│                                                                             │
│  ❶ Pas de pont OT direct entre Werke. Toute synchro passe par les niveaux  │
│    4 (MES) chiffrée + authentifiée, JAMAIS depuis le niveau 1 ou 2.        │
│                                                                             │
│  ❷ La DMZ industrielle (N 3.5) est OBLIGATOIRE. Aucun flux ne traverse     │
│    N4 → N3 sans transit par DMZ (jump server, proxy, ou diode).             │
│                                                                             │
│  ❸ Active Directory séparé par site. Pas de domaine groupe partagé entre   │
│    les zones OT. Un AD compromis ne contamine pas les autres sites.         │
└─────────────────────────────────────────────────────────────────────────────┘

3. Verbindungsmethoden — Vergleich

4. Die 8 klassischen Fallstricke

1. Flaches Site-to-Site-VPN — Einmal verbunden sieht der Angreifer alle SPS. Immer am VPN-Ausgang mikro-segmentieren.
2. AD-Domäne über OT-Standorte hinweg — Eine AD-Kompromittierung in der Zentrale öffnet alle Werke. Getrennte AD-Forests pro OT-Standort.
3. Permanente Hersteller-Konten — Hersteller-24/7-Zugang? Nein. Just-in-Time, von Mensch validiert, zeitlich begrenzt, aufgezeichnet.
4. VLAN ≠ echte Segmentierung — Ein VLAN ist logische Isolation auf einem Switch — keine Firewall. Echte Isolation: L3/L4 auf Industrie-Firewall.
5. Backups aus dem Produktionsnetz erreichbar — OT-Ransomware, die Backups erreicht, eliminiert die BCM. Immer air-gapped und teilweise offline.
6. Keine zentralisierten standortübergreifenden Logs — Koordinierter Mehrwerk-Angriff bleibt unbemerkt, wenn SIEMs siloiert sind. Konzern-SIEM liest OT-Logs aller Werke.
7. Asymmetrische Routen mit MPLS + Internet — Ausgehend MPLS, Rückweg Internet: Firewall sieht nur die Hälfte. Symmetrisches BGP-Routing erzwingen.
8. Kein standortübergreifender IR-Plan — Bei Angriff auf Werk A — wann wird Werk B isoliert? Schriftliche Prozedur, jährliche Tabletop-Übungen unter NIS2.

5. Empfohlene Austauschprotokolle

Regulatorischer Rahmen

IEC 62443-Normen — Referenzserie

• IEC 62443-2-1 — Cybersicherheits-Managementprogramm — Betreiber
• IEC 62443-2-4 — Cybersicherheitsanforderungen für Dienstleister
• IEC 62443-3-2 — Risikobewertung und Systemdesign
• IEC 62443-3-3 — Sicherheitsanforderungen Systeme & Zonen
• IEC 62443-4-1 — Sicherer Produktentwicklungszyklus für Hersteller
• IEC 62443-4-2 — Technische Anforderungen für IACS-Komponenten

Die IEC-62443-Serie umfasst insgesamt 14 Dokumente — 4 Kategorien: allgemein, Betreiber, System, Komponente.

Werkzeuge

IEC-62443-Security-Level-Rechner, Purdue-Segmentierungsmatrix, NIS2-Checkliste — in Entwicklung.