OT-Security-Strategien für die verteidigungsrelevante Industrie – Herausforderungen, regulatorische Vorgaben und ein fünf-Ebenen-Modell
In der verteidigungsnahen Industrie ist die Trennung zwischen klassischer IT und Operational Technology (OT) zunehmend nur noch ein formaler Unterschied. Vernetzte Steuerungen in Panzergetrieben, Munitionslinien oder Werften bilden das Rückgrat nationaler Sicherheitsbereitschaft – und zugleich ein attraktives Ziel staatlich gelenkter Angreifer. Dieser Artikel beleuchtet, warum OT-Security unverzichtbar ist, wie die EU-NIS2-Richtlinie die Branche prägt, welche Bedrohungen aktuell bestehen und stellt ein praxisorientiertes fünf-Ebenen-Referenzmodell vor.
Warum OT-Security in der verteidigungsrelevanten Industrie entscheidend ist
OT-Umgebungen unterscheiden sich grundlegend von klassischen IT-Umgebungen. Die wichtigsten Eigenheiten sind:
- Lebensdauer: Steuerungen (SPS), HMI und SCADA laufen oft 15 bis 25 Jahre, häufig ohne Herstellersupport und ohne Möglichkeit, reguläre Patches zu installieren.
- Prioritätenumkehr: In der Produktion hat Verfügbarkeit Vorrang vor Vertraulichkeit – ein Produktionsstillstand gefährdet sofort die Einsatzbereitschaft.
- Regulatorischer Graubereich: Die NIS2-Richtlinie nennt die Verteidigung nicht explizit, lässt jedoch den Mitgliedstaaten zu, die Industrie einzubeziehen.
Ein effektives OT-Security-Programm erfordert daher eine klare Governance-Struktur, die OT-Spezifika von Anfang an berücksichtigt. Ohne diese Struktur bleibt OT-Security fragmentiert, reaktiv und kann kritische Lücken aufweisen.
Einfluss der NIS2-Richtlinie auf die Verteidigungsindustrie
Die NIS2-Richtlinie verpflichtet alle EU-Mitgliedstaaten, kritische Infrastrukturen zu schützen – dazu zählt auch die verteidigungsnahe Industrie. Schätzungen gehen davon aus, dass über 1000 Unternehmen (Stand 2023) unmittelbar von den neuen Vorgaben betroffen sind. Die Richtlinie schafft einen einheitlichen europäischen Sicherheitsstandard und erhöht die Verantwortlichkeit der Unternehmen.
„Die NIS2-Richtlinie hat signifikante Implikationen für Unternehmen in der Verteidigungsindustrie. Diese Richtlinie verpflichtet alle Mitgliedstaaten der EU, Standards für die Sicherheit kritischer Infrastrukturen zu etablieren und zu fördern.“
Zunahme von Cyberangriffen auf kritische Infrastrukturen
Laut einem Report der Europäischen Agentur für Cybersecurity (ENISA) haben Cyberangriffe auf kritische Infrastrukturen in den letzten Jahren um 75 % zugenommen (2022). Besonders betroffen sind Sektoren wie Energie und Verteidigung. Diese Entwicklung verdeutlicht die Dringlichkeit, robuste OT-Security-Maßnahmen zu implementieren.
„Produktionsnetze sind für staatlich gelenkte Akteure kein Nebenschauplatz, sondern ein strategisches Ziel.“
Wirtschaftliche Auswirkungen von Cybersecurity-Vorfällen
Studien zeigen, dass Unternehmen, die Opfer eines Cyberangriffs werden, durchschnittlich 3,86 Millionen Euro an direkten und indirekten Kosten tragen (2021). Diese Summe umfasst Wiederherstellung, Ausfall von Umsatz und weitere betriebliche Schäden.
Die finanziellen Anreize, in robuste OT-Security zu investieren, sind damit besonders hoch – insbesondere in einer Branche, in der Ausfallzeiten unmittelbare Auswirkungen auf die nationale Sicherheitsbereitschaft haben.
Anzeige*
Fünf-Ebenen-Modell für ein effektives OT-Security-Programm
Das nachfolgende Modell wurde speziell für die verteidigungsrelevante Produktion entwickelt. Es beginnt bei der Governance und reicht bis zur kontinuierlichen Absicherung von Legacy-Anlagen.
Ebene 1: Aufbau einer CISO-Organisation
Entscheidungen müssen dort getroffen werden, wo Fach- und Kontextwissen zusammenkommen. Eine dedizierte CISO-Struktur stellt sicher, dass OT-Security nicht mit anderen Sicherheitsdomänen um Aufmerksamkeit konkurriert. Kernpunkte:
- Analyse bestehender Verantwortlichkeiten
- Benennung fachlich geeigneter Bereichs-CISOs
- Definition von Entscheidungs-, Eskalations- und Notfallprozessen
„Ein OT-Security-Programm, das nur IT-Frameworks eins zu eins überträgt, erzeugt unter diesen Bedingungen mehr Reibung als Schutz.“
Ebene 2: Aufbau eines OT-Security Operation Centers (OT-SOC)
Das OT-SOC ist die operative Schaltstelle. Es kann auf bestehenden IT-Security-Strukturen aufsetzen oder eigenständig aufgebaut werden. Wesentliche Funktionen:
- Cyber-Security Incident Response Team
- Vulnerability Management
- Red Team und Threat Intelligence
- OT-spezifische Alarmierungsmechanismen und Workflows
Industrieprotokolle wie Modbus, S7 oder OPC UA erfordern spezielles Analysten-Know-how – daher ist gezielte Schulung ein Grundpfeiler.
Ebene 3: Das Produkt „OT-Security“
Governance und SOC werden zu einem internen Produkt zusammengeführt. Das bedeutet:
- OT-spezifische Governance und Werkzeugkataloge
- Eine abgestimmte IT-&-OT-Architektur
- Eine aktive OT-Security-Community
- Ein CERT-Lead als Single Point of Contact
Im Defence-Kontext ermöglicht das Produkt die Nachweis-fähigkeit gegenüber NIS2-Fristen, KRITIS-Anforderungen und internationalen Standards wie CMMC.
Ebene 4: Befähigung des gesamten Unternehmens
OT-Security muss über die IT-Abteilung hinaus in Einkauf, Planung und Instandhaltung verankert werden. Schlüsselaspekte:
- Lieferanten-Schnittstellenmanagement mit dokumentierter Schwachstellen- und Mitigationsverfolgung
- Kontrollierter Remote-Access inkl. Logging und Review
- Identity- und Access-Management mit starker Authentifizierung
- Patch- und Rollout-Management, das OT-Downtime-Fenster respektiert
- Einheitliche Systemarchitektur und konsequentes Backup-Management
Ebene 5: Kontinuierliche Absicherung der betriebenen Anlagen
Legacy-Systeme verschwinden nicht; sie müssen dauerhaft gesichert werden. Maßnahmen umfassen:
- Environmental CVSS zur Priorisierung von Mitigationsmaßnahmen
- Deception-Techniken und zusätzliche Sensorik für nicht-instrumentierbare Endpunkte
- Operatives Risikomanagement für nicht mitigierbare Schwachstellen
- Client Hardening, Application Control und Endpoint Detection & Response (EDR) als Schutz-Kombination
Zu strenge Firewall-Strategien können in OT-Umgebungen zu dezentralen Policy-Orchestrierungen und manuellen Überbrückungen führen – ein Risiko, das vermieden werden muss.
Ausblick
Verteidigungsnahe OT-Umgebungen sind nach wie vor ein bevorzugtes Ziel staatlich gelenkter Akteure. Um diese Angreifer wirkungsvoll abzuwehren, reicht es nicht aus, lediglich einzelne Maßnahmen zu ergänzen oder isolierte Ebenen zu härten. Notwendig ist ein über alle fünf Ebenen hinweg aufgebautes Modell, das konsequent weiterentwickelt und an veränderte Bedrohungslagen angepasst wird. Dabei wirken Governance, operative Fähigkeiten und Anlagenschutz erst in der Summe – einzelne Ebenen allein genügen weder regulatorischen Anforderungen wie NIS2 noch dem tatsächlichen Bedrohungsbild. OT-Security wandelt sich so vom internen Kostenfaktor zu dem, was sie in dieser Branche tatsächlich ist: ein unmittelbarer Beitrag zur nationalen und bündnisweiten Reaktionsfähigkeit.
Schnellüberblick:
Was sind die Hauptbedrohungen für OT-Security in der Verteidigungsindustrie?
Die Hauptbedrohungen umfassen staatlich geförderte Angriffe, Ransomware und Insider-Threats, die gezielt gegen kritische Infrastrukturen gerichtet sind.