Sicherheitsprüfung für Produktions- und OT-Netze
Im Produktionsnetz gilt eine andere Rangfolge: Verfügbarkeit vor Vertraulichkeit. Ein Portscan, der eine Steuerung zum Neustart bringt, legt eine Linie still – und kostet damit mehr, als der ganze Test wert ist. Wir arbeiten deshalb zweistufig: zuerst passiv im laufenden Betrieb, aktiv nur nach ausdrücklicher Freigabe und, wo möglich, am Ersatzsystem oder im Wartungsfenster.
- Passive Netzaufnahme: welche Geräte sprechen tatsächlich miteinander, über welche Protokolle
- Trennung von Büro- und Produktionsnetz – belastbar geprüft, nicht nur im Netzplan behauptet
- Fernwartungszugänge der Maschinenlieferanten: wer kommt wann von wo herein
- Der Weg vom Besucher-WLAN oder vom Bürorechner bis an die Steuerung
- Altsysteme ohne Update-Pfad und die Frage, was sich um sie herum absichern lässt
- Wechseldatenträger und Programmiergeräte als Übertragungsweg
- Protokollierung: Würde ein Zugriff auf die Steuerung überhaupt auffallen?
Die Frage, die der Test beantwortet
- Wie weit kommt jemand vom Büronetz oder aus der Fernwartung bis an die Steuerung, ohne dass die Prüfung die Linie stilllegt?
Erst passiv, aktiv nur nach Freigabe
Passive Netzaufnahme
Über einen Spiegelport hören wir im laufenden Betrieb mit, ohne jeden Eingriff: welche Geräte sprechen miteinander, über welche Protokolle.
Netzplan gegen Wirklichkeit
Auf dem Papier getrennt, in der Praxis über einen vergessenen Uplink verbunden.
Brücken in die Halle
Die offene Fernwartung des Lieferanten und der Programmierrechner mit Bürozugang führen direkt bis an die Steuerung.
Aktiv nur nach Freigabe
Aktive Prüfungen laufen nur nach ausdrücklicher Freigabe und, wo möglich, am Ersatzsystem oder im Wartungsfenster.
Die zwei Stufen der OT-Sicherheitsprüfung
- Läuft im laufenden Betrieb, ohne jeden Eingriff
- Liefert das Geräteinventar und die tatsächliche Kommunikation
- Prüft die Netztrennung belastbar
- Nur nach ausdrücklicher Freigabe
- Am Ersatzsystem oder im Wartungsfenster
- Systeme, die nicht berührt werden dürfen, legen Sie vorher fest
- Wir prüfen die Umgebung und die Kommunikation, nicht das Gerät selbst. Die Maschine wird nicht verändert.
Was wir prüfen
- Passive Netzaufnahme: welche Geräte sprechen tatsächlich miteinander, über welche Protokolle
- Trennung von Büro- und Produktionsnetz – belastbar geprüft, nicht nur im Netzplan behauptet
- Fernwartungszugänge der Maschinenlieferanten: wer kommt wann von wo herein
- Der Weg vom Besucher-WLAN oder vom Bürorechner bis an die Steuerung
- Altsysteme ohne Update-Pfad und die Frage, was sich um sie herum absichern lässt
- Wechseldatenträger und Programmiergeräte als Übertragungsweg
- Protokollierung: Würde ein Zugriff auf die Steuerung überhaupt auffallen?
Was wir dabei typischerweise finden
Die dauerhaft offene Fernwartung
Ein Zugang des Maschinenlieferanten, oft mit gemeinsam genutztem Passwort und ohne zweiten Faktor. Er steht selten in der Firewall-Dokumentation und noch seltener unter Beobachtung.
Netzplan und Wirklichkeit
Auf dem Papier getrennt, in der Praxis über einen vergessenen Uplink oder ein doppelt angebundenes Gerät verbunden. Die Trennung existiert nur in der Dokumentation.
Programmierrechner mit Bürozugang
Ein Notebook, das sowohl im Produktionsnetz als auch am E-Mail-Postfach hängt – die schnellste Brücke von der Phishing-Mail zur Steuerung.
Was Sie dafür bereitstellen
- Einen Ansprechpartner aus der Instandhaltung oder Produktionsleitung, nicht nur aus der IT
- Eine Anschlussmöglichkeit für die passive Aufnahme, etwa einen Spiegelport
- Die Freigabe, welche Systeme unter keinen Umständen aktiv geprüft werden dürfen
- Ein Wartungsfenster, falls aktive Prüfungen gewünscht sind
Häufige Fragen
Können Sie im laufenden Betrieb prüfen?
Ja. Die passive Aufnahme läuft ohne jeden Eingriff und liefert bereits einen großen Teil des Ergebnisses: Geräteinventar, tatsächliche Kommunikationsbeziehungen und die geprüfte Netztrennung. Aktive Prüfungen erfolgen nur nach ausdrücklicher Freigabe und bevorzugt außerhalb der Produktionszeit.
Was ist mit Anlagen, für die es keine Updates mehr gibt?
Das ist der Normalfall, nicht die Ausnahme. Wenn Patchen ausscheidet, bleibt die Umgebung: ein eigenes Netzsegment, eng gefasste Übergänge, keine direkte Internetverbindung, befristete und protokollierte Fernwartung. Damit sinkt das Risiko erheblich, ohne dass die Anlage angefasst wird.
Verliert die Maschine ihre Konformität, wenn Sie daran prüfen?
Nicht, wenn wir sie nicht verändern – und das tun wir nicht. Wir prüfen die Umgebung und die Kommunikation, nicht das Gerät selbst. Wo eine Prüfung das Gerät berühren würde, beziehen wir vorher den Hersteller ein.
Wie hängt das mit NIS2 und dem Cyber Resilience Act zusammen?
NIS2 verlangt von betroffenen Unternehmen eine Bewertung der Wirksamkeit ihrer Sicherheitsmaßnahmen – im Produktionsumfeld ist eine solche Prüfung der anerkannte Weg dorthin. Der Cyber Resilience Act betrifft Sie zusätzlich, wenn Sie selbst vernetzte Produkte herstellen.
Kontakt
Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr
Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.