Wie definieren Sie IT/OT-Resilienz konkret für einen Maschinen- und Anlagenbauer, und wo stehen die Unternehmen heute?

Wenn wir über IT/OT-Resilienz sprechen, steht in der Praxis meist Cybersecurity im Vordergrund. Viele Unternehmen betrachten das zunächst als regulatorische Pflicht durch neue Vorgaben. Dadurch wirkt es schnell wie eine zusätzliche Hürde.
Eigentlich geht es aber um den Schutz der eigenen Produktion: Wer seine Systeme absichert, schützt Verfügbarkeit, Wertschöpfung und Know-how. Gleichzeitig schafft eine solide Sicherheitsarchitektur Vertrauen in den Datenaustausch im Unternehmen. Erst dann lassen sich Digitalisierungsinitiativen wirklich nutzen.
Man sollte IT/OT-Resilienz deshalb nicht als Bedrohung sehen, sondern als Chance. Allerdings sind die Voraussetzungen unterschiedlich. Gerade im Mittelstand fehlt häufig die Kompetenz, IT und OT sicher miteinander zu verbinden.

Es geht also im Kern um Cybersecurity-Kompetenz?

Um Cybersecurity-Kompetenz und um die Fähigkeit, IT und OT zusammenzubringen. Die zentrale Frage lautet: Wie verbinde ich beide Welten so, dass ich funktional und gleichzeitig sicher davon profitieren kann?

Sie unterscheiden häufig zwischen IT-, OT- und IoT-Kommunikation. Wie grenzen Sie das ab?

OT-Kommunikation betrifft die eigentlichen Prozessdaten, also Kommunikation zwischen Steuerungen, Maschinen, Linien und Anlagen. Das sind Echtzeitdaten, die für den Betrieb der Anlage relevant sind.
IT-Kommunikation betrifft eher das Gerätemanagement: Firmware-Updates, Benutzerverwaltung oder Integration in Unternehmenssysteme.
IoT-Kommunikation geht noch einen Schritt weiter. Dabei werden zusätzliche Informationsdaten der Anlage, etwa Zustands- oder Monitoringdaten, für Digitalisierungsanwendungen bereitgestellt, zum Beispiel für Cloud- oder Analyseplattformen.

Welchen Einfluss haben Regularien wie der Cyber Resilience Act auf die Produktentwicklung?

Viele Unternehmen fragen sich aktuell, was genau sie umsetzen müssen. Der Cyber Resilience Act definiert Sicherheitsanforderungen auf regulatorischer Ebene, liefert aber noch kein detailliertes "Kochbuch" für die Umsetzung.
Die konkreten technischen Anforderungen werden über harmonisierte Normen definiert, und viele davon befinden sich noch in Entwicklung. Dadurch entsteht derzeit Unsicherheit im Markt.
Als Referenzrahmen dient häufig die IEC 62443; sie beschreibt Sicherheitsanforderungen sehr detailliert und adressiert unter anderem ‚Secure Development‘ und ‚Security by Design‘. In manchen Punkten geht sie sogar über die regulatorischen Anforderungen hinaus.

Das Stichwort Security by Design fällt häufig. Verlängert das die Entwicklungszeiten?

Am Anfang entsteht tatsächlich zusätzlicher Aufwand, weil Prozesse und Kompetenzen aufgebaut werden müssen. Secure Development beinhaltet zum Beispiel Risikoanalysen, Sicherheitsanforderungen und Maßnahmen über den gesamten Produktlebenszyklus hinweg.
Dazu gehört auch das Monitoring von bekannten Schwachstellen und das Patch-Management. Wenn diese Prozesse aber etabliert sind, werden sie Teil des normalen Entwicklungsablaufs. Der Aufwand relativiert sich dann, und gleichzeitig steigt die Qualität der Produkte.

Wie unterstützen Sie Gerätehersteller, die Ihre Schnittstellen einbauen, konkret bei der Umsetzung solcher Anforderungen?

Zum einen über Produkte mit integrierten Sicherheitsfunktionen, zum anderen über Transparenz: Wir dokumentieren, welche Kommunikationskanäle existieren, welche Sicherheitsmechanismen implementiert sind und welches Schutzniveau erreicht wird.
Darüber hinaus stellen wir Best Practices bereit, wie unsere Schnittstellen in Gerätearchitekturen integriert werden sollten. Unsere Module bieten unterschiedliche Konfigura-tionsmöglichkeiten. Wichtig ist, dass der Hersteller bewusst entscheidet, welche Kommunikationspfade wirklich benötigt werden und wie diese abgesichert werden.

Welche typischen Angriffsvektoren sehen Sie in der OT?

Auf Feldebene, also in Maschinen und Produktionslinien, sind Anlagen häufig noch relativ gut abgeschottet, zum Beispiel durch Firewalls oder Netzsegmentierung.
Viele Probleme entstehen weniger durch gezielte externe Angriffe als durch unbeabsichtigte Änderungen oder Fehlkonfigurationen. Cybersecurity hilft hier vor allem, unbefugte oder unqualifizierte Zugriffe zu verhindern. Ein klassisches Beispiel ist der berühmte mit Viren infizierte USB-Stick oder ein unkontrollierter Zugriff auf eine Schnittstelle.

Welche Rolle spielen Software-Supply-Chain-Risiken, etwa bei Firmware-Updates?

Die Updatefähigkeit ist heute entscheidend. Schnittstellen müssen über ihren gesamten Lebenszyklus aktualisierbar sein, weil zwangsläufig neue Schwachstellen entdeckt werden. Unsere Module unterstützen sichere Firmware-Updates und verwenden signierte Firmware. Das bedeutet, dass nur freigegebene und kryptografisch validierte Software installiert werden kann. Dadurch verhindern wir Manipulationen oder das Einschleusen unsicherer Software.

Welche Rolle spielt die Hardware bei Security-Konzepten?

Eine sehr große Rolle: Moderne Chips bieten Hardware- beschleuniger für Kryptografie. Dadurch lassen sich Verschlüsselung und Authentifizierung umsetzen, ohne die Echtzeitfähigkeit zu beeinträchtigen.
Gleichzeitig arbeiten wir daran, unsere Kernsoftware stärker von der Hardware zu entkoppeln. Dadurch können wir schneller auf neue Chipgenerationen reagieren oder alternative Hardware einsetzen.

Welche Architekturprinzipien sind für resiliente Geräte und OT-Netzwerke besonders wichtig?

Ein zentrales Prinzip ist die Entkopplung von Hardware und Software. Dadurch können Hersteller flexibler auf neue Technologien oder Lieferengpässe reagieren. Wenn Hardware ausgetauscht werden kann, ohne dass die gesamte Software neu entwickelt werden muss, reduziert sich der Anpassungsaufwand erheblich. Genau diese Flexibilität wird für zukünftige Systeme immer wichtiger.

Wie lässt sich Netzsegmentierung nach IEC 62443 pragmatisch umsetzen?

Der erste Schritt ist immer eine Bestandsaufnahme. Man muss verstehen, welche Geräte vorhanden sind, welche davon kritisch sind und welche Kommunikationsverbindungen bestehen. Auf dieser Basis lassen sich Zonen und Kommunikationspfade definieren. Typische Maßnahmen sind Firewalls, sichere Gateways oder klar getrennte Netzwerkbereiche. Häufig sehen wir Architekturen, bei denen ein Gateway die Kommunikation nach außen übernimmt, ohne direkten Durchgriff auf das interne Produktionsnetz zu erlauben.

Können Unternehmen diesen Ist-Zustand selbst erfassen?

Teilweise. Es gibt Analysewerkzeuge, die Netzwerkverkehr mithören und Geräte im Netz identifizieren können. Schwieriger wird es bei Firmwareständen, Patchleveln oder der Sicherheitsbewertung einzelner Komponenten. Hier unterstützen wir mit Diagnosetools sowie Schulungen und Trainings. Unser Ziel ist es, dass Kunden langfristig eigene Kompetenz aufbauen. IT/OT-Security ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess.

Welche Security-Funktionen sind heute in modernen Kommunikationsmodulen zwingend erforderlich?

Erstens, sichere Firmware-Updates. Zweitens, Zugriffskontrolle und Minimierung der Angriffsfläche, also das Abschalten unnötiger Dienste und Ports. Und drittens, Authentifizierung und Verschlüsselung für Management- und IT-nahe Dienste wie Webserver oder OPC UA. In der klassischen OT-Kommunikation entwickelt sich das gerade erst, wird aber zunehmend wichtig.

Wie helfen Lösungen wie Anybus Embedded, sichere Kommunikation schneller zu integrieren?

Die Kommunikationsanforderungen wachsen stark: Feldbusse, Industrial Ethernet, IT-Anbindung, IoT-Kommunikation und Security. Für einen Gerätehersteller wäre es ein sehr großes Projekt, all diese Funktionen selbst zu entwickeln. Unsere Embedded-Lösungen integrieren viele dieser Mechanismen bereits. Neue Baugruppen kombinieren OT-, IoT- und Security-Funktionen, sodass Hersteller bestehende Designs erweitern können, ohne ihre gesamte Architektur neu entwickeln zu müssen.

Zum Abschluss: Welche Maßnahmen sollten Maschinenbauer in den nächsten ein bis zwei Jahren priorisieren?

Der erste Schritt ist Transparenz: Unternehmen müssen wissen, welche Systeme und Schnittstellen sie tatsächlich im Einsatz haben.
Der zweite Schritt ist eine Risikoanalyse: Welche Komponenten sind kritisch und wo bestehen potenzielle Schwachstellen?
Und der dritte Schritt ist die Umsetzung konkreter Schutzmaßnahmen, etwa sichere Updateprozesse, deaktivierte unnötige Dienste oder der Einsatz geprüfter Kommunikationsmodule.
In vielen Fällen lohnt sich dabei die Zusammenarbeit mit spezialisierten Partnern, um schneller zu belastbaren Sicherheitskonzepten zu kommen.

Herr Bieber, vielen Dank für das Gespräch!