Compliance

Rechtskonformität ist nach wie vor der treibende Faktor für viele Kritis-Betriebe, ein System zur Angriffserkennung (SzA) in ihrer Infrastruktur umzusetzen. Eine Herausforderung dabei bleibt häufig die Frage, was genau ein SzA eigentlich ist und umfasst. Für die einen sind es die Firewalls an den Netzwerkgrenzen, für das BSI dagegen ein ganzen Managementsystem.

Dabei findet sich eine verhältnismäßig klare Definition der Funktionen und des Scope seit Jahren im IT-SIG 2.0. Demnach muss ein SzA:

1. Die kritischen Prozesse und Anlagen von Versorgungsunternehmen überwachen können. Daraus ergibt sich bereits, dass mindestens die industriellen Prozesse und Anlagen der Energieversorgung abgedeckt sein müssen. Klassische IT-Lösungen und Firewalls haben dort wenig Gewicht, denn sie sitzen nur am Rand bzw. außerhalb der kritischen Anlagen und haben selten ein Verständnis für OT-Kommunikation. Ein SzA, das direkt in der industriellen Infrastruktur (der OT) sitzt, überwacht dagegen genau den Bereich, der rechtlich gefordert ist.
2. Kontinuierlich Daten sammeln, um Angriffe zu erkennen. Hier spalten sich die Meinungen. Reicht es, wenn diese Daten ausschließlich an der Netzwerkgrenze gesammelt werden? Oder sollte bei der heutigen Bedrohungslandschaft, in der verstärkt der Netzwerkzugang über gestohlene Zugangsdaten forciert wird, der Blick auch nach innen gehen – auf die Netzwerke selbst? Siehe Punkt 1.
3. Angriffe abwehren können. Das wiederum setzt voraus, dass sie überhaupt erkannt, lokalisiert und nachvollzogen werden können. Womit wir zu Punkt 2 zurückkehren.

Compliance umfasst für Stadtwerke, Wasserwerke und Netzbetreiber aber nicht nur den Nachweis eines SzA, sondern vor allem auch das Einhalten der Meldepflicht. Ein Angriffserkennungssystem für die OT – wie Rhebo Industrial Protector – detektiert und dokumentiert alle Cybervorfälle im Detail, in ihrer Gesamtheit und über die Zeit. Verdächtige Aktivitäten in der OT werden dabei als Packet Capture (pcap) gespeichert, so dass Vorfälle ausgewertet und entsprechend der gesetzlichen Anforderungen gemeldet werden können.

Asset Management

In vielen industriellen Infrastrukturen ist die Asset-Dokumentation nach wie vor lückenhaft. Das ist nicht nur ein Problem für die Cybersicherheit, sondern auch für das generelle Asset Management und die Netzführung. Welche Geräte und Systeme laufen überhaupt in der OT? Welche Abhängigkeiten existieren? Welche Assets sind kritisch für den Netzbetrieb?

Das SzA für die OT erstellt einen Netzplan (siehe Bild) aller kommunizierenden Assets, deren Eigenschaften, Verbindungen und Durchsätze. Dadurch erlangen Asset Manager nicht nur Klarheit darüber, welche Geräte und Systeme in der OT existieren, sondern auch in welchem Verhältnis sie zueinanderstehen. Das erleichtert die Planung von Reparaturen, Erneuerungen und Wartungseinsätzen.

Risikomanagement

Das Risikomanagement ist nicht nur eine Übung in Compliance sondern längst integrale Managementaufgabe, um die Versorgungsdienstleistung langfristig sicherzustellen. Durch die Informationen und insbesondere den Netzplan aus dem SzA für die OT kann auch das Risikomanagement besser bewerten:

• welche Abhängigkeiten zwischen Systemen herrschen.
• welche Schwachstellen im OT-Netz existieren.
• welche kritischen Systeme exponiert sind (zum Beispiel durch verbundene andere Systeme, für die es Schwachstellenmeldungen gibt oder die selbst exponiert sind).
• welche Sicherheitslücken in der OT-Kommunikation existieren, z. B. unsichere Protokolle, fehlende Authentifizierung etc.

Cybersicherheit gegen das Unbekannte

Cybersicherheit ist nicht gleich Cybersicherheit. Der etablierte Ansatz aus der IT baut nach wie vor auf bekannte Malware-Signaturen, das so genannte Blocklisting. Jedoch hat sich die Angriffslandschaft seit Jahren gewandelt. Der Einsatz von KI in Cyberangriffen reduziert weiter die Chance, über Signaturen aber auch reine Allowlists verdächtige Aktivitäten zu detektieren. Vielmehr muss heute – neben den altbewährten Ansätzen – darauf fokussiert werden, Veränderungen in der legitimen Kommunikation frühzeitig zu erkennen. Diese Anomalien sind gerade in der OT gut abzugrenzen, da die OT-Kommunikation in der Regel stark deterministisch und wiederholend ist.

Ein SzA mit Anomalieerkennung ermöglicht neben der klassischen Malware-Detektion:

• die Ausnutzung von Zero-Day-Schwachstellen zu erkennen,
• mehrstufige Cyberangriffe zu erkennen (z. B. laterale Bewegung, Scans, Manipulationen),
• mittels Deep Packet Inspection Manipulation der OT-Kommunikation zu erkennen,
• Angriffe über legitime Accounts (auch von Admin-Accounts) zu erkennen,
• Angriffe zu detektieren, die “Living-of-the-land”-Methoden nutzen.
• die indirekte Absicherung von Legacy-Systemen, für die keine Sicherheitsupdates mehr ausgeliefert werden. Was nicht abgesichert werden kann, ist nicht automatisch ein aussichtsloser Fall. Es muss nur genauer überwacht werden, um mögliche Kompromittierungen durch abweichendes Systemverhalten in Echtzeit zu erkennen.

Anlagenverfügbarkeit

Gerade in industriellen Umgebungen wie Umspannwerken, Hoch- und Mittelspannungsnetzen sowie Wasseraufbereitungs- und Kläranlagen steht die Anlagenverfügbarkeit über allem. Cyberangriffe sind (bislang) die geringere Gefahr. Technische Störungen, Netzwerk-Degradation, Ausfälle von Switchen oder Checksummenfehler gehören dagegen zum Alltag.

Ein SzA mit Anomalieerkennung sollte deshalb neben Cybersicherheitssignalen auch technische Fehlerzustände zuverlässig detektieren und melden. So können z. B. abweichende Umlaufzeiten oder Kommunikationsabbrüche frühzeitig registriert und im Rahmen der präventiven Wartung die fehlerbehafteten Geräte lokalisiert und ersetzt / repariert werden oder Fehlkonfigurationen korrigiert werden.

Business Continuity und Cyberresilienz

Nach dem Angriff ist vor nicht nur vor der Wiederherstellung, sondern auch vor dem nächsten Angriff.

Um sowohl die Wiederherstellung nachhaltig und sicher zu gestalten als auch auf den nächsten Angriff vorbereitet zu sein, braucht es Wissen darüber:

• welche Systeme betroffen waren,
• wie der Angriff verlief,
• welche Taktiken, Techniken und Verfahren (TTP für Tactics, Techniques, Procedures) die Angreifer genutzt haben.

Ein leistungsstarkes SzA speichert deshalb jede Anomalie in der OT-Kommunikation als Packet Capture (pcap). Darin wird die Anomalie im Detail dokumentiert, wodurch das Investigationsteam im Zuge ihrer forensischen Analyse genau nachvollziehen kann, was während des Angriffs passiert ist und wie die Timeline aussah.

Lieferkettensicherheit

Lieferkettensicherheit ist ein zweischneidiges Schwert. Für die Compliance und das Risikomanagement ist das Thema enorm wichtig. Gleichzeitig ist der Anspruch bzw. die Anforderung, auch innerhalb der Lieferkette die Cybersicherheit sicherzustellen und zu beeinflussen, in der Regel reine Wunschvorstellung. Die wenigsten Lieferanten lassen sich von ihren Kunden in die eigene Cybersicherheit reinreden.

Im Grunde muss die Lieferkette wie ein Legacy-System behandelt werden. Was nicht direkt beeinflusst werden kann, muss konsequent überwacht werden. Ein SzA mit Anomalieerkennung unterstützt:

• verändertes Verhalten von OT-Komponenten zu detektieren,
• bekannt gewordene Schwachstellen von Systemen und Komponenten zu detektieren,
• fehlerhafte Login-Versuche (z. B. über VPN oder Fernzugriff) bei Service-Zugängen zu detektieren.

Damit kann die Kompromittierung von Drittanbietertechnologie und -infrastruktur frühzeitig erkannt und der Hersteller gezielt zu mehr Cybersicherheit in der Produktentwicklung und Dienstleistung gedrängt werden.

‍Fazit

Ein System zur Angriffserkennung  in der OT ist für Stadtwerke, Netzbetreiber und Wasserwerke nicht nur ein Tool, um die Compliance mit NIS2 sicherzustellen. Es unterstützt die Betreiber auch dabei, die Anlagenverfügbarkeit zu erhöhen und Herausforderungen wie das Asset Management und die Lieferkettensicherheit zu meistern.

Dieser Artikel beleuchtet die prägendsten realen Incidents, die tatsächliche Evolution von OT-Malware, TTPs (Tactics, Techniques, and Procedures) moderner Bedrohungsakteure sowie die Erkenntnisse aus den Lageberichten des BSI¹ und von Dragos².

1. Top-Incidents: Was in den OT-Netzen weltweit passiert ist

Die Vorfälle der jüngsten Zeitzeigen zwei deutliche Haupttrends: Einerseits gezielte Sabotage und Spionagedurch APT-Gruppen an kritischen Infrastrukturen (KRITIS), andererseits massive Ausfälle der Produktion durch IT-Ransomware-Kollateralschäden.

Vorfälle mit direktem OT-Impact & Sabotage Kommunales

• Heizwerk Lviv, Ukraine (Januar 2024): Erstmaliger praktischer Einsatz der Malware FrostyGoop. Die Angreifer nutzten ungesicherte, direkt über das Internet erreichbare ENCO-Steuerungen (Zelio Logic / Modbus-Komponenten). Sie führten keine Firmware-Downgrades durch, sondern sendeten legitime Modbus-TCP-Schreibbefehle (Holding Register Manipulation), um Sollwerte zu fälschen. Dies führte zum Ausfall der Wärmeversorgung für über 600 Wohngebäude bei Temperaturen unter dem Gefrierpunkt.
• Wasserversorger US & Irland (2023–2024): Mehrere reale Vorfälle verdeutlichten die Verwundbarkeit exponierter Systeme:

        – Aliquippa (USA, Nov 2023): Die pro-iranische Gruppe CyberAv3ngers kaperten Unitronics-S70-PLCs, die über Standardpasswörter und ungeschützte Fernwartung zugänglich waren.  
        – Muleshoe (Texas, Jan 2024): Die pro-russische Gruppe Cyber Army of Russia Reborn manipulierte SCADA-Systeme, was zum Überlaufen von Wassertanks führte. 
        – Erris Water (Irland, Dez 2023): Ein weiterer Angriff auf Unitronics-Komponenten unterbrach die Wasserversorgung für hunderte Haushalte. 

Kollateralschäden, Supply Chain & Ransomware in der Produktion

• Viasat KA-SAT Disruption (Februar 2022): Ein Angriff auf die Management-Infrastruktur des Satellitenbetreibers (Überschreiben des Flash-Speichers via AcidRain) legte zehntausende Terminals in Europa lahm. Kollateralschaden in der OT: Der Windkraftanlagen-Hersteller Enercon verlor schlagartig den Remote-Zugriff und die Monitorbarkeit von rund 5.800 Windkraftanlagen in Deutschland.
• Contec SolarView Compact Angriffe (Mai 2024): Über 800 SolarView Compact Überwachungsgeräte des Herstellers Contec wurden weltweit über ungepatchte RCE-Schwachstellen (z. B. CVE-2022-29303) gekapert und als Botnetz-Knoten oder Erpressungshebel missbraucht.
• Automotive & Zulieferer (VARTA, ThyssenKrupp, Honda): IT-Ransomware-Angriffe führten zu tagelangen Produktionsstillständen. Die Ursache lag meist nicht in verschlüsselter SPS-Hardware, sondern im Ausfall der OT-Support-Server (z. B. VMware ESXi mit MES-, HMI- und Historian-VMs) oder dem präventiven Entkoppeln der Fertigungsnetze.

2. OT-Malware Evolution: Die Werkzeuge der Angreifer

Während klassische IT-Malwareprimär auf Dateiverschlüsselung zielt, greift spezialisierte OT-Malware direktin industrielle Steuerungsabläufe ein. Dabei muss zwischen staatlich entwickelten APT-Frameworks und frei zugänglichen Red-Team-Tools unterschiedenwerden.

Wichtige OT-Schadsoftware-Familien im Überblick

• TRITON / TRISIS (2017): Zielgerichtet auf Schneider Electric Triconex Sicherheitssteuerungen (SIS). Zielt darauf ab, Notfall-Abschaltmechanismen in kritischen Prozessanlagen (z. B. Raffinerien) zu deaktivieren, um physische Schäden zu ermöglichen.
• PIPEDREAM / Chernovite (2022): Das bislang vielseitigste und modularste OT-Malware-Framework. Es deckt 6 MITRE ATT&CK for ICS Taktiken ab und kann SPS-Steuerungen (u. a. Schneider Electric, Omron), OPC-UA-Server sowie CODESYS-basierte Systeme ohne Ausnutzung spezifischer Zero-Days manipulieren.  
• COSMICENERGY (2023) & Industroyer2 (2022): Beide Frameworks wurden speziell für Stromnetze entwickelt. Sie nutzen das Protokoll IEC 60870-5-104 (IEC-104), um Befehle direkt an Schutzgeräte und Leistungsschalter in Umspannwerken zu senden und so Stromausfälle zu provozieren. ‍
• FrostyGoop (2024): Die erste in-the-wild beobachtete Schadsoftware, deren einziger Angriffsvektor auf der nativen Interaktion mit Modbus TCP (Port 502) beruht. Da dem Modbus-Protokoll jegliche Authentifizierung fehlt, liest und beschreibt die Malware gezielt Holding-Register, um Prozessdaten zu fälschen.

3. BSI Lagebericht & Deutschland-Fokus: Wo liegen die Schwachstellen?

Der Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI)¹ zeichnet ein klares Bild der Expositions- und Gefährdungslage in Deutschland.

Deutschland im weltweiten APT-Ranking

Deutschland rangiert auf Platz 4 weltweit (gleichauf mit Taiwan) bezüglich der Anzahl identifizierter aktiver APT-Gruppen. Das BSI registrierte 22 APT-Gruppen, die primär auf die öffentliche Verwaltung, Verteidigung, Forschung, aber zunehmend auch auf den Maschinenbau und den Energiesektor abzielen.

Die Top-Schwachstellen & Eintrittswege

1. Remote-Access-Protokolle im Visier: Bei der Analyse der internetexponierten Angriffsfläche dominieren SSH (52 %), RDP (22 %), Telnet (11 %) und VNC (10 %). Unzureichend abgesicherte RDP- und VNC-Zugänge stellen nach wie vor den Haupteintrittsweg in OT-nahe Management-Umgebungen dar.
2. Web-Oberflächen & Fehlkonfigurationen: Rund 47 % der erreichbaren IP-Adressen unter der .de-Zone geben sensible Systeminformationen preis. 44 % der dem BSI gemeldeten Schwachstellen basieren auf Fehlkonfigurationen oder bekannten, ungepatchten Sicherheitslücken.
3. Mangelndes Logging & OT-Monitoring: Das Fehlen von zentralem Logging und Anomaly Detection führt dazu, dass unbefugte Interaktionen auf ICS-Ebene (z. B. unerwartete Modbus-Schreibbefehle) oft monatelang unbemerkt bleiben.

4. Die OT-Ransomware-Realität: Angriff auf die Virtualisierung

Ein verbreiteter Irrtum ist, dass Ransomware-Akteure eigenen ICS-Schadcode entwickeln müssen, um eine Produktion stillzulegen. Die Realität sieht anders aus:

• Das Ziel: Angreifer nutzen gestohlene Zugangsdaten oder Initial Access Broker (IABs), bewegen sich mittels Living-off-the-Land (LotL)-Techniken (PsExec, WMI, RDP) durch die Enterprise-IT (Level 4/5) und zielen auf die Hypervisor-Schicht (z. B. VMware ESXi) sowie zentrale Support-Server auf Level 3 (Plant Area).
• Der Effekt: Sobald die Server für SCADA-Systeme, HMIs, Historian-Datenbanken und Engineering-Workstations verschlüsselt oder heruntergefahren sind, entsteht ein vollständiger "Loss of View" und "Loss of Control". Den Betreibern bleibt aus Sicherheitsgründen oft nur der kontrollierte Not-Aus oder der Wechsel in den manuellen Inselbetrieb.

5. Empfehlungen für OT-Spezialisten & CISOs

Aus den realen Vorfällen ergeben sich konkrete Maßnahmen für den Schutz von OT-Umgebungen:

‍Legacy Protokolle isolieren 

• Protokolle ohne Authentifizierung (Modbus TCP, S7comm, IEC-104) streng auf Zone-Level isolieren. Nutzung von Deep Packet Inspection (DPI) Firewalls.

Credential Hygiene & MFA

• Eliminierung von Werks-Standardpasswörtern (z. B. 1111) auf PLCs und HMIs. Phishing-resistente MFA für alle Fernwartungszugänge und Jump-Hosts.

Baselining & Drift Detection

• Monitoring auf unautorisierte Sollwert-Änderungen (Parameter Drift) sowie unerwartete Modus-Wechsel (RUN -> STOP) an Steuerungen.

Passives OT-Monitoring

• Einsatz von passiver OT-Netzwerk-Anomalieerkennung zur Früherkennung von anomalem Protokollverhalten auf Level 1 und Level 2.

Inselbetrieb trainieren

• Regelmäßiges Proben des kontrollierten Entkoppelns (Island Mode) der OT vom IT-Netz sowie des manuellen Weiterbetriebs der Anlagen.

Durch den Einsatz des Rhebo Industrial Protector lassen sich blinde Flecken in der OT-Sicherheit gezielt beseitigen: Die Lösung behebt die mangelnde Transparenz über Netzwerk-Assets, Verbindungen sowie bekannte Schwachstellen (CVEs) und schließt Sicherheitslücken, die durch unentdeckte Cyberangriffe, wie Brute-Force-Attacken, Backdoors, Zero-Day-Exploits, laterale Bewegungen oder Innentäter, entstehen. Zudem schützt sie zuverlässig vor Ausfällen durch technische Fehlerzustände und Netzwerkanomalien. Damit reduzieren Unternehmen das Risiko von OT-Stillständen spürbar und erfüllen gleichzeitig mühelos die strengen Compliance-Vorgaben für Netzsicherheit und Angriffserkennung nach NIS2 und IEC 62443.

¹ https://www.bsi.bund.de/…
² https://www.dragos.com/…

In der neuen Podcastfolge von OT Security Made Simple sprechen wir mit Dr. Marc T. Hoffmann über die Motive und Vorgehensweisen von Cyberkriminellen. Der Kriminal- und Intelligence-Analyst verfügt über langjährige Erfahrung in der Analyse von Täterverhalten im Cyberraum.

Was Cyberkriminelle antreibt

Das verbreitete Bild vom jugendlichen Hacker im Kapuzenpullover greift zu kurz. Cyberkriminalität ist heute ein globales, arbeitsteilig organisiertes Geschäftsfeld. Nach den im Gespräch genannten Prognosen könnten die weltweit verursachten Schäden bis 2026 auf jährlich 11,36 Billionen US-Dollar steigen. Diese Größenordnung macht deutlich: Hinter Cyberangriffen stehen nicht nur Einzelpersonen, sondern zunehmend professionell organisierte Gruppen mit erheblichen finanziellen und technischen Ressourcen.

Herausforderung statt finanzieller Gewinn

Die Motive von Cyberkriminellen unterscheiden sich deutlich. Laut einer von Dr. Hoffmann angeführten Untersuchung handeln 76,3 Prozent der befragten Black-Hat-Hacker vor allem aus Freude an der technischen Herausforderung und nicht in erster Linie aus finanziellen Gründen.

Der Reiz liegt für sie darin, Schutzmechanismen zu überwinden, komplexe Systeme zu verstehen und Anerkennung innerhalb einer bestimmten Gemeinschaft zu gewinnen. Finanzielle Anreize können eine Rolle spielen, sind jedoch nicht immer der entscheidende Faktor.

Warum kritische Infrastrukturen im Fokus stehen

Energieversorgung, Produktion, Gesundheitswesen und andere kritische Bereiche sind attraktive Angriffsziele. Ein erfolgreicher Angriff kann dort weitreichende wirtschaftliche und gesellschaftliche Folgen haben. Auch deshalb wurden mit der NIS2 Gesetzgebung kritische Infrastrukturen zu ganzheitlicher Cybersicherheit verpflichtet.

Technische Fähigkeiten allein führen allerdings nicht zwangsläufig zu einem Angriff. Dr. Hoffmann weist darauf hin, dass einige Hacker- und Ransomware-Gruppen nach selbst auferlegten Regeln handeln. Manche schließen etwa Krankenhäuser oder andere lebenswichtige Einrichtungen offiziell als Ziele aus. Solche Erklärungen sind jedoch weder verlässlich noch einheitlich. Zudem können Fehlkonfigurationen, unkontrollierte Schadsoftware oder Angriffe anderer Akteure weiterhin erhebliche Schäden verursachen.

Vier Gruppen von Cyberakteuren

Dr. Hoffmann unterscheidet vier zentrale Gruppen, die jeweils eigene Ziele und Vorgehensweisen verfolgen:

1. Einzeltäter: Häufig verfügen sie nur über begrenzte technische Fähigkeiten. Ihre Angriffe richten sich eher gegen einzelne Personen oder kleinere Ziele als gegen komplexe industrielle Infrastrukturen.
2. Ransomware-Gruppen: Ihr Hauptziel ist finanzieller Gewinn. Sie verschlüsseln Daten oder Systeme und verlangen Lösegeld. Einige Gruppen vermeiden öffentlich besonders sensible Ziele, weil Angriffe auf kritische Infrastrukturen starken politischen und strafrechtlichen Druck auslösen können.
3. Staatliche Akteure: Sie verfolgen vor allem strategische Ziele wie Spionage, Einflussnahme oder Sabotage. Bei der Informationsbeschaffung ist es für sie entscheidend, möglichst lange unentdeckt zu bleiben.
4. Organisierte Kriminalität: Diese Netzwerke arbeiten zunehmend wie Unternehmen. Sie teilen Aufgaben auf, nutzen spezialisierte Dienstleister und setzen professionelle Methoden ein, um Gewinne zu erzielen und einer Strafverfolgung zu entgehen.

Abwägung von Risiko und Ertrag

Vor einem Angriff bewerten Täter den möglichen Gewinn und das damit verbundene Risiko. Kritische Infrastrukturen können hohe Lösegeldforderungen ermöglichen. Gleichzeitig führen öffentlichkeitswirksame Angriffe häufig zu intensiveren Ermittlungen, politischen Reaktionen und zusätzlichen Sicherheitsmaßnahmen.

Diese Folgen können abschreckend wirken. Sie bieten jedoch keinen verlässlichen Schutz: Je nach Motivation, Auftrag und Risikobereitschaft können kriminelle oder staatliche Akteure zu einer völlig anderen Bewertung gelangen.

Fazit

Wer wirksame Cybersicherheitsstrategien entwickeln will, muss neben technischen Schwachstellen auch die Motive und Arbeitsweisen möglicher Angreifer verstehen. Gerade beim Schutz von OT-Umgebungen und kritischen Infrastrukturen reicht es nicht aus, von einem einheitlichen Täterbild auszugehen.

Das Gespräch mit Dr. Marc T. Hoffmann zeigt, wie unterschiedlich die beteiligten Akteure handeln und warum Unternehmen ihre Schutzmaßnahmen an realistischen Angriffsszenarien ausrichten sollten. Die vollständige Diskussion gibt es in unserer neuen Podcastfolge.

Der Wasserwirtschaftssektor bildet das Fundament für Gesellschaft, Wirtschaft sowie die Gesundheit von Mensch und Umwelt. Während voranschreitende Digitalisierung und Prozessautomatisierung die Steuerung optimieren, schaffen sie gleichzeitig neue Angriffsflächen für interne Fehler und Cyberattacken.  

Ein prominentes Beispiel zeigte bereits vor einigen Jahren die Brisanz des Themenfelds: Der Beinahe-Vorfall beim Wasserversorger im US-amerikanischen Oldsmar. Dort geriet die Wasserqualität schlagartig in Gefahr. Dass nichts Schlimmeres passierte, war glücklichen Umständen zu verdanken. Doch weil die nötige Sichtbarkeit in die Operational Technology (OT) fehlte, blieb zwei Jahre lang unklar, ob es sich um eine gezielte Cyberattacke oder einen internen Bedienfehler handelte.  

Gefahrenlage und operative Herausforderungen in der Wasserwirtschaft

In den letzten Jahren blieben zwar großflächige, erfolgreiche Angriffe auf die physische Steuerungstechnik (OT) in Deutschland die Ausnahme. Allerdings zeigen Vorfälle im In- und Ausland, wie Ransomware-Angriffe auf IT-Dienstleister von Stadtwerken, wie schnell die Abstrahlwirkungen die Versorger treffen können.  

Zu den größten Herausforderungen der Branche gehören:  
 

• Der akute Fachkräftemangel: In der Wasserwirtschaft wachsen IT/OT-Sicherheitsexperten schlicht nicht auf den Bäumen. Die operative Belegschaft vor Ort fokussiert sich primär auf die Aufbereitung von Trinkwasser und das Einhalten von Umweltgrenzwerten, nicht auf das Analysieren von Security Advisories.  

• Veraltete Anlagenstrukturen ("Legacy OT"): Viele Steuerungen in der Prozess- und Netzleittechnik (PNLT) laufen nach dem Prinzip „Never change a running system“ seit teils Jahrzehnten. Den Systemen fehlen meist grundlegende, eigene Sicherheitsmechanismen oder Verschlüsselungen.  

• Fehlende Transparenz & Asset-Übersicht: Oft fehlt den Betreibern ein detailliertes und tagesaktuelles Inventar darüber, welche Komponenten (Assets), Firmware-Stände und Kommunikationsverbindungen in der PNLT überhaupt existieren.  

• Kleinteiligkeit des Marktes: Deutschland zählt mehrere tausend Wasserversorger. Vor allem kleine und mittlere Betriebe können ein eigenes Security Operations Center (SOC) mit 24/7-Besetzung finanziell und personell kaum abbilden.  

Gesetzlicher Druck und regulatorische Leitplanken

Parallel zur dynamischen Bedrohungslage zieht der Gesetzgeber die Daumenschrauben für Betreiber Kritischer Infrastrukturen (KRITIS) spürbar an. Versorger stehen unter Zugzwang, ihre Systeme nach dem Stand der Technik abzusichern:  

1. NIS2-Richtlinie: Bisher war nur ein kleiner Bruchteil der Wasserwirtschaft reguliert. Durch deutlich gesenkte Schwellenwerte fallen künftig auch mittelständische Versorger unter strenge Verpflichtungen (u. a. Pflicht zu Systemen zur Angriffserkennung, erweiterte Meldepflichten und eine direkte Haftung der Geschäftsführung).  
2. B3S Wasser/Abwasser: Der Branchenstandard bildet den Leitfaden zur Umsetzung des IT-Grundschutzes in der Wasserwirtschaft. Er empfiehlt ein risikobasiertes Vorgehen über den Aufbau eines Informationssicherheitsmanagementsystems (ISMS) sowie eines Betrieblichen Kontinuitätsmanagements (BKM).  
3. DVGW- / DWA-Regelwerke: Vorgaben wie das Merkblatt DWA-M 1060 oder B3S-Projektmodule verlangen eine detaillierte Identifizierung von Risiken, die Segmentierung von Netzwerken sowie den Nachweis der Wirksamkeit von Schutzmaßnahmen.  

Lösungsansätze: Branchen-SOCs, Verbände und passives OT-Monitoring

Um die Lücke zwischen regulatorischen Pflichten und fehlenden Ressourcen zu schließen, setzen Verbände und Sektor-Initiativen auf partnerschaftliche und pragmatische Modelle.  

1. Das Sektor-SOC als "Sharing Community"

Mit Initiativen wie dem Kompetenzzentrum Digitale Wasserwirtschaft (KdW) und dem Lagezentrum Cybersec@Wasser steht der Branche ein gemeinschaftlicher Ansatz zur Verfügung.  

Der Kerngedanke: Kleinsten wie auch größeren Versorgern wird eine spezialisierte Angriffserkennung ermöglicht, ohne dass jeder Betrieb selbst ein 12-köpfiges IT-Security-Team vorhalten muss. Das Sektor-SOC bündelt das spezifische OT-Fachwissen der Wasserwirtschaft, wertet Anomaliemeldungen zentral aus und benachrichtigt Betreiber im Ernstfall gezielt. Mehr dazu hören Sie im Podcast mit Roland Derler vom KdW.

2. Industrielles Netzwerkmonitoring mit Anomalieerkennung

Um Angriffe oder technische Fehler zu erkennen, bevor die Wasserqualität oder Versorgung geschädigt wird, bildet ein passives Netzwerkmonitoring das Herzstück einer modernen Defense-in-Depth-Strategie:  
 

• Rückwirkungsfreie Sichtbarkeit: Das Monitoring liest die Steuerungskommunikation in der PNLT passiv mit ohne die sensiblen Echtzeitprozesse zu stören.  

• Deep Packet Inspection (DPI): Durch die Dekodierung der Industrieprotokolle bis auf Wertebene werden unbefugte Fernwartungszugriffe, Konfigurationsänderungen an SPSen oder fehlerhafte Telegramme sofort identifiziert.  

• Erkennung bekannter & unbekannter Gefahren: Während klassische IT-Firewalls nur an den Netzwerkgrenzen ansetzen, erkennt die Anomalieerkennung auch schadhafte Verhaltensabweichungen im Inneren des OT-Netzwerks (z. B. Innentäter, Zero-Day-Exploits oder Fehler durch Wartungspersonal).  

• Gezieltes Notfall- & Rezeptions-Training: Um den Ernstfall zu beherrschen, gewinnt das praktische Training an Bedeutung (analog zu Branchen-Initiativen wie der Cyber-Range im Energiesektor).  

Fazit

Die Transformation der Wasserwirtschaft erfordert ein Umdenken: Cybersicherheit ist kein reines IT-Projekt, sondern integraler Bestandteil der Versorgungssicherheit und Risikovorsorge auf Managementebene. Durch die Kombination aus passiver OT-Netzwerküberwachung und der Einbindung in branchenspezifische Sektor-SOCs oder externer personeller Expertise können Wasserversorger jeder Größe den regulatorischen Vorgaben gerecht werden und die Wasserqualität nachhaltig sichern. Weitere Informationen zum passiven OT Monitoring finden Sie hier.  

Als Spezialist für OT-Cybersicherheit wissen wir bei Rhebo, dass die Brücke zwischen funktionaler Sicherheit (Functional Safety) und Cybersecurity oft wie eine Mammutaufgabe wirkt. Im Folgenden schlüsseln wir für Sie auf, was die TRBS 1115 Teil 1 konkret für Ihren Betrieb bedeutet und wie Sie die Vorgaben effizient umsetzen, ohne Ihre betriebliche Kontinuität zu gefährden.  ‍

Das Kernproblem: Cyberbedrohungen sind handfeste Sicherheitsrisiken

Früher konzentrierte sich die klassische Anlagensicherheit primär auf mechanisches Versagen, Materialermüdung oder Bedienfehler. Heute ist das anders: Moderne Cyberbedrohungen können aktiv verhindern, dass eine sicherheitsrelevante MSR-Einrichtung ihre lebenswichtige Schutzfunktion ausführt, oder sie können sogar direkt neue physikalische Gefahren für Mensch und Umwelt herbeiführen.  

Die TRBS 1115 Teil 1 stellt unmissverständlich klar, dass Arbeitgeber Cyberbedrohungen zwingend im Rahmen ihrer regulären Gefährdungsbeurteilung nach § 3 BetrSichV berücksichtigen müssen. Ein erfolgreicher Angriff gefährdet typischerweise die folgenden drei Grundpfeiler:  

• Verfügbarkeit: Das Blockieren oder Deaktivieren von kritischen Sicherheitsfunktionen.  

• Integrität: Die unberechtigte Manipulation von Sensordaten, Grenzwerten oder Applikationsprogrammen.  

• Vertraulichkeit: Der Abfluss von sensiblen Daten, Passwörtern oder Systemdokumentationen, die Angreifern als Blaupause dienen.  

Die 6 technischen und organisatorischen Kernmaßnahmen

Um Beschäftigte und die Umgebung wirksam zu schützen, fordert die TRBS 1115 Teil 1 einen robusten Schutz nach dem aktuellen Stand der Technik. Wenn die Cybersicherheit nicht bereits vom Hersteller beim Inverkehrbringen garantiert wurde, stehen Betreiber in der Pflicht, eigenständig Schutzmaßnahmen zu etablieren. Die Richtlinie nennt hierzu sechs zentrale Säulen:  

1. Segmentierung und Fernzugriffsschutz

Netzwerke müssen in kleinere, separate Sicherheitszonen unterteilt werden, die sich am jeweiligen Schutzbedarf orientieren. Netzwerkteilnehmer dürfen nur Verbindungen aufbauen können, die für ihre technische Funktion zwingend erforderlich sind – idealerweise durch physische Trennung oder logische Segmentierung (z. B. via VLAN). Besonders risikoreiche Fernwartungszugriffe über das Internet müssen streng limitiert, überwacht und explizit durch den Arbeitgeber freigegeben werden.  

2. Zugang und Zugriffskontrolle

Der physikalische und logische Zugriff auf kritische Komponenten muss restriktiv beschränkt werden. Dies beinhaltet die Zuweisung minimaler Rechte gekoppelt an rollenbasierte Tätigkeitsprofile, wirksame Authentifizierungsverfahren (z. B. Passwörter, Token oder Zugangskarten) sowie physische Barrieren wie verschlossene Server- und Schaltschränke.  

3. Härtung von Komponenten

Die Funktionalität der Hard- und Softwarekomponenten muss auf das absolute Mindestmaß reduziert werden, das zur Erfüllung der eigentlichen Aufgabe nötig ist. Ungenutzte Hardwareschnittstellen (z. B. USB-Ports) sind zu deaktivieren oder zu blockieren, unnötige Software ist zu entfernen und nicht autorisierte Kommunikationsdienste müssen (beispielsweise durch Blacklisting) unterdrückt werden.  

4. Unabhängigkeit von MSR-Einrichtungen

Sicherheitsrelevante MSR-Einrichtungen müssen so konzipiert sein, dass sie nicht durch Anomalien oder Ausfälle in der allgemeinen IT/OT-Umgebung unzulässig beeinflusst werden können. Selbst im Falle eines massiven Denial-of-Service-Angriffs (DoS) auf das restliche Netzwerk muss die Kernfunktion der Sicherheitssteuerung autark und stabil bleiben.  

5. Kontinuierliche Überwachung (Monitoring)

Um cybersicherheitsrelevante Vorfälle rechtzeitig zu erkennen, verlangt die TRBS 1115 Teil 1 die Installation von Überwachungssystemen an geeigneten, kritischen Punkten innerhalb der IT/OT-Umgebung – insbesondere an den Segmentgrenzen. Diese Systeme dienen dazu, die Integrität der Netzwerke kontinuierlich zu prüfen und Abweichungen sofort zu melden.  

6. Notfallmanagement

Sollte es trotz aller Vorsichtsmaßnahmen zu einer Kompromittierung kommen, muss ein klar definierter Notfallplan greifen. Dieser muss sicherstellen, dass Gefährdungen für die Belegschaft ausgeschlossen werden, etwa durch die Möglichkeit einer manuellen Abschaltung über nicht-digitale Infrastrukturen (wie unabhängige Not-Aus-Systeme). Vor einer Wiederinbetriebnahme muss garantiert sein, dass die Sicherheitslücke geschlossen ist und keinerlei Schadsoftwarereste im System verbleiben.  

Sicherheit als kontinuierlicher Prozess: Der Sicherheitslebenszyklus

Ein entscheidender Aspekt der TRBS 1115 Teil 1 ist die Erkenntnis, dass Cybersicherheit kein einmaliges Projekt ist, das man nach der Installation abhaken kann. Sie muss über den gesamten Sicherheitslebenszyklus der MSR-Einrichtung hinweg aktiv gelebt werden:  

Verfahren zur Überprüfung der Cybersicherheitsmaßnahmen müssen gemäß Richtlinie in folgenden vier Szenarien zwingend etabliert sein:  

1. Regelmäßig: In geeigneten, definierten Zeitabständen im laufenden Betrieb.  

2. Bei Änderungen: Sobald Modifikationen am Arbeitsmittel oder an den Schutzmaßnahmen vorgenommen werden.  

3. Bei neuen Erkenntnissen: Sobald neue Schwachstellenmeldungen, interne oder externe Cybersicherheitsvorfälle bekannt werden.  

4. Bei Wandel des Stands der Technik: Wenn sich die allgemeinen Standards und Abwehrmethoden in der IT/OT-Sicherheit weiterentwickeln.  

Der Rhebo-Ansatz: Souveräne Umsetzung des Überwachungsmandats

Die Anforderungen an die Sichtbarkeit, Rückwirkungsfreiheit und permanente Kontrolle im Netzwerk sind hoch. Genau hier setzt die Lösung von Rhebo an. Unsere industriellen Anomalieerkennungs- und Monitoringlösungen unterstützen Sie dabei, die strengen regulatorischen Erwartungen der TRBS 1115 Teil 1 mühelos und transparent zu erfüllen:  

• Vollständige Netzwerktransparenz: Wir validieren und überwachen kontinuierlich, ob Ihre implementierten Netzwerksegmentierungen in der Praxis fehlerfrei funktionieren und keine unerlaubten Zonenübergänge stattfinden.  

• Echtzeit-Anomalieerkennung: Durch die automatisierte Überwachung des OT-Netzwerks identifizieren wir unautorisierte Kommunikationsversuche, unbekannte Geräte oder verdächtige Parameteränderungen sofort im Moment des Entstehens.  

• Zielgerichtete Vorfallsanalyse: Im Ernstfall liefern unsere Systeme präzise, detaillierte Daten zum Datenverkehr. Dadurch kann Ihre IT/OT-Mannschaft Bedrohungen sofort isolieren und Notfall- sowie Disaster-Recovery-Pläne schnell und sicher exekutieren.  

• Unterstützung bei der Funktionskontrolle: Automatisierte Überwachungssysteme können direkt zur regelmäßigen, vom Gesetzgeber geforderten Kontrolle der Funktionsfähigkeit der Cybersicherheitsmaßnahmen herangezogen werden, um Systemmeldungen zyklisch auszuwerten.  

Überprüfen Sie die Belastbarkeit Ihrer Abwehrketten. Die Absicherung schutzbedürftiger MSR-Anlagen ist längst keine rein freiwillige "IT-Best-Practice" mehr, sondern eine verbindliche regulatorische Pflicht für die Betriebssicherheit.  

Weitere Informationen und Materialien über die Härtung Ihrer Systeme, kontinuierliches OT-Monitoring oder gesetzlicher Vorgaben finden Sie in unseren Ressourcen. Für ein persönliches Beratungsgespräch können Sie hier einen Termin buchen.  

Historisch gewachsene Infrastrukturen, Legacy-Systeme mit Lebenszyklen von über 20 Jahren und der absolute Vorrang der Anlagenverfügbarkeit machen einen blinden „Rundumschlag“ nach klassischem IT-Vorbild unmöglich. Wer versucht, starre IT-Konzepte unüberlegt über die Produktion zu stülpen, riskiert im schlimmsten Fall teure Stillstände.  

Wie sieht also eine effektive, praxisnahe OT-Absicherung aus, die reale Budget- und Personalrestriktionen berücksichtigt? Ein guter Ansatz, hier den Blickwinkel zu wechseln und die eigene Infrastruktur mit den Augen eines Angreifers – oder eines Pentesters – zu sehen.  

‍Der Blick aus dem Tagebuch eines Pentesters

Dass selbst gut gemeinte, oberflächliche Härtungsmaßnahmen ins Leere laufen können, zeigen zwei reale Fälle aus der Praxis, die unmissverständlich klarmachen: Cybersicherheit beginnt nicht erst in der Firewall, sondern am Werkstor.  

‍Fallbeispiel 1: In 20 Minuten zur Turbinensteuerung

In einem modernen Kraftwerk hatten die Betreiber bereits vorbildliche Hausaufgaben gemacht: Windows-Updates waren aktuell, Gruppenrichtlinien nach CIS-Benchmarks umgesetzt und starke Passwörter vergeben. Ein Pentest sollte die Wirksamkeit prüfen. Das Ergebnis war ernüchternd: Der Pentester gelangte unbemerkt in einem Fahrzeug auf das Gelände, fand einen offenen Schaltraum vor und steckte sein Notebook an einen zu Wartungszwecken offenen Port einer OT-Firewall. Über einen schlecht konfigurierten OPC-UA-Server der sich als unüberwachter, blinder Fleck herausstellte hatte er innerhalb von nur 20 Minuten uneingeschränkten Lese- und Schreibzugriff auf die sensiblen Turbinensteuerungen des Kraftwerks.  

‍Fallbeispiel 2: Die Hintertür im Leitsystem

Ein anderer Betreiber legte höchsten Wert auf ein transparentes Zugriffsmanagement und richtete für den Support eines Drittanbieters eine strenge Zwei-Faktor-Authentifizierung (2FA) ein. Als ein Wartungsfall eintrat, erledigte der Techniker den Support jedoch komplett ohne die erforderliche Freigabe. Die Ursache? Der Leitsystemhersteller hatte, ohne Wissen des Kunden, ein 5G-Modem als permanente Hintertür direkt im System verbaut. Ohne VPN, ohne Verschlüsselung und rund um die Uhr geöffnet. Jedes Drittunternehmen hatte so unbemerkt freien Zugang direkt ins innerste OT-Netzwerk.  

‍3 Sofort-Maßnahmen für spürbar mehr OT-Sicherheit

Diese Beispiele zeigen: Die größte Gefahr in der OT sind blinde Flecken und mangelnde Sichtbarkeit. Um Ihre Infrastruktur effektiv und ohne Produktionsrisiken zu härten, sollten Sie folgende drei Schritte priorisieren:  

• Zuständigkeiten und Prozesse schärfen: Klären Sie eineindeutig, wer von IT- und OT-Seite für welche Komponente zuständig ist. Unüberwachte „Schatten-IT“ oder vergessene Systeme (wie der OPC-UA-Server) sind die Einfallstore Nummer eins.
• Netzwerk segmentieren (Zones & Conduits): Trennen Sie konsequent die IT- Welt, die OT-Infrastruktur sowie Engineering- und Remote-Zugänge. Nutzen Sie gehärtete Firewalls zwischen den Zonen, um laterale Bewegungen von Angreifern im Keim zu ersticken.  
• Das Restrisiko mittels passivem Monitoring kontrollieren: Da 100%ige Prävention in der OT (aufgrund von Legacy-Systemen) eine Illusion ist, benötigen Sie ein Frühwarnsystem. Ein netzbasiertes Intrusion Detection System (NIDS) spiegelt die Kommunikation über einen Mirror-Port völlig rückwirkungsfrei. Es erkennt Anomalien, Protokollbrüche und Cyberangriffe in Echtzeit, ohne den industriellen Prozess auch nur im Geringsten zu belasten.  

‍Bereit für das vollständige Pentester-Playbook?

Die Absicherung Ihrer industriellen Infrastruktur ist kein unbezwingbares Mammutprojekt – man muss nur anfangen. Schritt für Schritt.  

In unserem neuen „Playbook für OT-Sicherheit – nach Art eines Pentesters“ gehen wir weit über diese ersten Schritte hinaus. Wir führen Sie detailliert durch die zehn wichtigsten organisatorischen und technischen Härtungsmaßnahmen (von Gruppenrichtlinien über Application Whitelisting bis hin zum Incident Management) und zeigen Ihnen, wie Sie die Anforderungen von IEC 62443, ISO 27001 und NIS2 praxisnah und budgetschonend lösen. Eine Video-Serie, welche Beispiele näher erläutert und bildlich beschreibt ist bereits in Arbeit.  

Laden Sie sich hier unser kostenloses Playbook herunterladen und sichern Sie Ihre OT-Infrastruktur effektiv ab.

Eine Kernaussage des 2025er Lageberichts des BSI sticht im Abschnitt “Gemeldete Schwachstellen in Softwareprodukten” des Kapitels “02 Angriffsfläche” heraus: "Besonders das Fehlen von Logging‑ und Monitoring‑Mechanismen erschwert es Unternehmen, Angriffe rechtzeitig zu erkennen und darauf zu reagieren."

Für die OT als generelle Achillessehne industrieller Betriebe hat diese Beobachtung eine besondere Bedeutung.

Zeichen von Präpositionierung

Das beginnt bei der Anzahl der in Deutschland aktiven Advanced Persistent Threats (APT). Deutschland belegt nach den USA, Indien und Japan weltweit Platz 4 der Zielländer von den meist staatlich gesteuerten APT-Gruppen. 28 APTs haben Deutschland im Visier. Das entspricht 25% der weltweit beobachteten Gruppen.

Das BSI deutet in dem aktuellen Lagebericht an, was Rhebos Anne Grätz jüngst im Beitrag “Warum gibt es so wenig Cyberangriffe auf die OT?“ analysiert hat. Bislang fehlen bekannt gewordene Cybersabotage-Akte auf Infrastrukturen, jedoch häufen sich die Anzeichen von Präpositionierungs-Kampagnen durch staatliche APTs wie Sandworm und APT28. Die Anlage fliegt den Betreiber zwar noch nicht um die Ohren, aber die Angreifenden sitzen mitunter bereits am Zünder tief im Netzwerk.

Klassischer Perimeterschutz wird zusehends umgangen

Keine Frage, Firewalls als Perimeterschutz verlieren nicht ihre Relevanz für die Cybersicherheit. Sie werden jedoch immer mehr zu einer ersten Instanz von mehreren. Die BSI-Erkenntnisse verdeutlichen, wie alternativlos eine Defense-In-Depth-Architektur in Industrieunternehmen wird.

• Angreifende versuchen immer häufiger, über legitime Zugänge in Netzwerke einzudringen.
• Optimierte und stark diversifizierte Phishing-Kampagnen werden immer besser und greifen auch ins Private. Phishing erfolgt dabei längst nicht mehr nur über E-Mail (diese sinkt sogar im Anteil). Vishing (Voice, oftmals in Verbindung mit Identitätsdiebstahl aus Social Media), Quishing (QR-Codes im öffentlichen Raum auf maliziöse Webseiten), Smishing (SMS) sowie eine enorm dynamische Entwicklung maliziöser Webseiten (Seiten existieren im Schnitt weniger als zwei Stunden) haben das Arsenal der Phishing-Akteure sichtlich erhöht.
• Die Anzahl bekannt gewordener Schwachstellen ist zum Vorjahr um 24 % erneut gestiegen. Längst müssen Infrastrukturbetreiber davon ausgehen, dass ein System oder ein Kommunikationsweg eine Schwachstelle aufweist.
• Die Anzahl der in einem Honeypot des BSI dokumentierten Exploitations ist um 38 % auf 1.081 gestiegen. Dabei wurden vor allem auch Protokolle angegriffen und ausgenutzt, die in OT-Netzen noch Gang und Gebe sind, u.a. SSH (52%), RDP (22%), Telnet (11%) und VNC (10%). SSH kommt bei Logins zum Einsatz, während RDP und VNC für den Fernzugriff auf Anlagen eine entscheidende Rolle spielen.
• Infizierte Systeme steigen vor allem im IoT-Bereich an. In zwei größeren Vorfällen fand sich Botnetz-Schadsoftware sogar vorinstalliert auf den Geräten.

Im Ergebnis hinkt signaturbasierte Angriffserkennung immer stärker hinterher. Das wird auch durch den Einsatz von Large Language Models (LLMs) beschleunigt. Claude’s Anthropic finden das insgeheim scheinbar sogar richtig cool. Sie wirken in ihrem Beitrag “Disrupting the first reported AI-orchestrated cyber espionage campaign” wie 8-jährige Jungs, die ihre Entdeckung feiern, dass es so komisch kribbelt, wenn man den Nagel in die Steckdose steckt. Man könnte fast meinen, der Text ist ein Bewerbungsschreiben an Cyberkriminelle.

Die Cybersicherheit ist zu langsam in KRITIS

Auf der anderen Seite der Macht geht es dagegen behäbig zu. Die Reifegradbeurteilung des BSI fällt gezwungen optimistisch aus. “Die Resilienz Kritischer Infrastrukturen verbessert sich langsam, aber stetig. Immer mehr KRITIS-Betreiber haben Reifegrad 3 oder besser,” schreibt das Bundesamt im Abschnitt “Kritische Infrastrukturen”.

Jedoch fallen immer noch über 21 % (ISMS) und 36 % (BCSM) unter Reifegrad 1 und 2, eine Verbesserung um gerade einmal 2 % bzw. 1 % zum Vorjahreszeitraum. In einzelnen Sektoren wie Energie und Wasser scheinen Betriebe sogar zurückgestuft worden zu sein, wenn man 2024 und 2025 vergleicht.

Wohlgemerkt, die Pflicht, in ihren kritischen Prozessen und Anlagen ganzheitliche Cybersicherheit umzusetzen, existiert in den Betrieben durch das IT-SiG 2.0 bereits seit mittlerweile knapp 4 Jahren! Und die Angreifenden warten nicht. Im Gegenteil, gemeldete Vorfälle in kritischen Infrastrukturen sind zum Teil beträchtlich gestiegen (Abb. 1).

Was Betriebe mit OT jetzt prüfen sollten

Betriebe mit OT-Systemen und –Netzwerken sollten im ersten Schritt die Angriffsfläche ihrer eigenen Infrastruktur bewerten:

• Sind Geräte aus dem Internet erreichbar?
• Welche Fehlkonfigurationen liegen vor?
• Welche offenen Schwachstellen liegen vor?
• Sind die Kommunikationsflüsse sicher gestaltet?
• Wie sicher sind die Zugriffe auf Anlagen und Systeme?
• Ist das Netzwerk bereits kompromittiert?

Ein Rhebo Industrial Security Assessment untersucht die OT im Detail auf solche bestehenden Sicherheitslücken und Risiken, lokalisiert und analysiert sie. Zusätzlich gibt ein Pentest Aufschluss über weitere offene Flanken und auch organisatorische Sicherheitslücken.

Im zweiten Schritt sollte überprüft werden, ob die OT ausreichend in der Cybersicherheitsinfrastruktur integriert ist. Das BSI empfiehlt seit 2019 ein Sicherheitsmonitoring in Produktionsnetzwerken. Anfang 2025 bestätigte das Bundesamt mit BSI-CS 153 auch für die Stationsautomatisierung ein netzbasiertes Angriffserkennungssystem (NIDS) als effizientes und wichtiges Werkzeug, Angriffe frühzeitig zu erkennen, insbesondere wenn diese nicht bekannte Signaturen verwenden.

Vorweg: Ein System zur Angriffserkennung beschreibt kein konkretes Produkt, sondern eine Zielsetzung. Um eine möglichst umfassende Vorstellung zu erhalten, lohnen sich drei Quellen:

1. BSIG §2 Abs.9b: “Systeme zur Angriffserkennung im Sinne dieses Gesetzes sind durch technische Werkzeuge und organisatorische Einbindung unterstützte Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme. Die Angriffserkennung erfolgt dabei durch Abgleich der in einem informationstechnischen System verarbeiteten Daten mit Informationen und technischen Mustern, die auf Angriffe hindeuten.” ¹
2. IT-Sicherheitsgesetz (IT-SiG 2.0) bzw. BSIG §8a: “Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen.” ²
3. ENISA (stellvertretend für die international gängige Definition eines Intrusion Detection Systems): “Ein Intrusion Detection System (IDS) ist eine Softwarekomponente […], die den Netzwerkverkehr oder das Verhalten des Betriebssystems auf unbefugte oder böswillige Aktivitäten überwacht und analysiert. Ein IDS-System arbeitet in der Regel im passiven Modus: Es erkennt eine Bedrohung, protokolliert Informationen und löst einen Alarm aus.” ³

Zugegeben, gerade mit Blick auf das BSIG §8a wirkt die Rechtsprechung inkonsistent und unsinnig. Das “sollte” im zweiten Satz reduziert den Kern der Angriffserkennung – die Identifikation von Bedrohungen – auf eine “Kann aber muss nicht”-Option, was der gesamten Zielsetzung zuwiderläuft.

Unserer Meinung nach sollte ein vollwertiges SzA über die schwache rechtliche Definition hinausgehen und den technologischen Common Sense von z. B. ENISA und Mitre berücksichtigen.

Grundlegende Anforderungen an ein SzA

Aus den oben genannten Definitionen lassen sich 5 Anforderungen ableiten, die in der OT berücksichtigt werden sollten.‍

1. SzA umfassen Technologie, Prozesse und Organisation.  

Das ist eine Besonderheit in Deutschland. International beziehen sich die Definitionen ausschließlich auf die Technologie. Der Managementansatz in der deutschen Gesetzgebung ist aber durchaus sinnvoll. Schließlich macht ein Werkzeug noch keine Handwerker. Es braucht Personal, Verantwortlichkeiten und nicht zuletzt klare Abläufe.

‍2. SzA sitzen innerhalb des unternehmerischen Netzwerks

Aus dieser Anforderung ergibt sich bereits eine Abgrenzung zu Firewalls. Während Firewalls an den Netzwerkgrenzen sitzen und den Blick nach Außen richten, wirkt ein SzA innerhalb der unternehmerischen Netzwerkgrenzen. Firewalls bleiben nach wie vor unabdingbar für die Cybersicherheit. Sie werden jedoch ergänzt durch einen umfassenden Innenblick in die Netzwerke und genutzten Systeme (Abb. 1). Der Grund für diese zweite Verteidigungslinie liegt in der Entwicklung der initialen Angriffsvektoren in den letzten zehn Jahren. Malware und aktives Hacking haben als initialer Vektor abgenommen. Angriffe über ausgenutzte Schwachstellen und gestohlene Zugangsdaten, die Firewalls nicht erkennen, machen mittlerweile über 50 % aus.^4,5

SzA können generell host-basiert und netzbasiert integriert werden. Aufgrund der limitierten CPU-Kapazitäten der meisten OT-Komponenten und oftmals proprietären Betriebssysteme, ist ein netzbasiertes Angriffserkennungssystem (NIDS für network intrusion detection system) in der OT am einfachsten und flächendeckendsten umsetzbar.  

Für das NIDS Rhebo Industrial Protector werden die Datenkollektoren beispielsweise an Mirrorport-Switchen (Hardware-Lösung) oder auf bestehenden Gateways (Software-Lösung) integriert. Beide Varianten ermöglichen ein schnelles Rollout ohne Beeinträchtigung der laufenden industriellen Prozesse.

‍3. SzA analysieren die Kommunikation fortlaufend auf verdächtige oder bösartige Vorgänge.  

Bedrohungen beschränken sich nicht mehr auf bekannte Muster bzw. Signaturen (siehe Punkt 2). Deshalb ist es sinnvoll und gegeben, die klassische signaturbasierte Angriffserkennung (Firewalls und Virenscanner) durch eine verhaltensbasierte Angriffserkennung (ein NIDS mit Anomalieerkennung) zu ergänzen.  

Wie in Punkt 2 erläutert, sind in OT-Netzwerken vor allem netzbasierte Angriffserkennungssysteme (NIDS) sinnvoll und praktikabel. Das NIDS identifiziert Bedrohungen, die sich bereits innerhalb der Netzwerke befinden und neuartigen, komplexen (mehrstufigen) Angriffsmustern folgen. Laterale Bewegungen, Angriffe über Schwachstellen, kompromittierte Nutzerkonten und Living-Off-The-Land (LOTL) Techniken werden dadurch sichtbar und den Verantwortlichen frühzeitig gemeldet.

Zusätzlich können, soweit vorhanden und sicherheitsrelevant, bestehende Loggings der Endgeräte als Quelle genutzt werden. Sinnvoll ist eine Zusammenführung aller Loggings und Alarmmeldungen in einem übergeordneten Security Information & Event Management (SIEM) System, um ein Gesamtbild der Cybersicherheit des Unternehmens (IT und OT) zu erhalten.

4. SzA funktionieren vorrangig passiv

Diese Anforderung ist insbesondere in OT-Netzwerken ausschlaggebend, wo aktives Blocken von Kommunikation und aktive Netzwerkscans unerwünscht sind bzw. betriebsgefährdend sein können. Die passive Funktionsweise ist auch im Zusammenhang der Anomalieerkennungsinnvoll. Nicht alle erkannten Anomalien rechtfertigen automatisch ein aktives, sofortiges Blocken, sondern bedürfen einer kontextuellen Analyse, bevor über eine Reaktion entschieden wird.‍

5. (Bonus) SzA gehen Hand in Hand mit Prävention und Reaktion

Nichtdestotrotz: Das Ziel der Cybersicherheit ist nicht, Bedrohungen nur zu erkennen, sondern diese auch abzuwehren und zu entfernen. Ein SzA bildet vielmehr das Fundament, um überhaupt aktiv gegen Bedrohungen und Vorfälle vorgehen zu können.  

Es erkennt Bedrohungen und liefert alle relevanten Informationen für das Incident Response Team, um ein sicherheitsrelevantes Ereignis schnell zu verstehen und zielgerichtet reagieren zu können. Zu diesen Informationen gehören u.a.:

• beteiligte Systeme und Komponenten (IP-, MAC-Adressen),
• zeitlicher Verlauf,
• assoziierte Vorgänge,
• verwendete Protokolle,
• Inhalte der Vorgänge.

Ein NIDS wie Rhebo Industrial Protector liefert deshalb zu jeder detektierten Anomalie das Packet Capture (pcap), in dem alle Daten und Metainformationen zum Vorfall gespeichert sind.

Organisatorisch hilft ab einer gewissen Größe der Infrastruktur ein Security Operation Center (SOC), um alle Maßnahmen und Funktionen unter einem Dach zu vereinen.

‍¹ https://www.gesetze-im-internet.de/bsig_2009/__2.html
² https://www.gesetze-im-internet.de/bsig_2009/__8a.html
³ ENISA: Proactive Detection of Security Incidents, 2012

• Bundesamt für Sicherheit in der Informationstechnik empfiehlt für die Stationsautomatisierung der deutschen Energieversorgung ein dediziertes Sicherheitsmonitoring.
• Im Fokus der Empfehlung stehen die industriellen Anlagen und Systeme.
• Das deutsche OT-Cybersicherheitsunternehmen Rhebo bestätigt die Warnung des BSI, dass Umspannwerke bislang mehrheitlich unsicher sind.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit "Monitoring in der Stationsautomatisierung” eine Empfehlung für das Sicherheitsmonitoring der Stationsautomatisierung in Energienetzen ausgesprochen. In dem März 2025 veröffentlichten Dokument empfiehlt das BSI, in dezentral geführten Energieversorgungsanlagen wie Umspannwerken u.a. ein netzbasiertes Angriffserkennungssystem bzw. Network Intrusion Detection System (NIDS) zu installieren.  

Das BSI begründet seine neueste Empfehlung mit der Digitalisierung und Vernetzung kritischer Anlagen durch exponierte Netzwerkkomponenten sowie der wachsenden Gefahr eines Supply Chain Compromise. Bei dieser Form des Cyberangriffs versuchen Angreifende sowohl über die Komponentenhersteller als auch die Dienstleister, die in der Regel weitreichende Privilegien für die Systeme besitzen, in ein Netzwerk einzudringen. Die OT  (Operational Technology, d.h. Netzleit- und Fernwirktechnik) ist aufgrund ihres geringen eigenen Grades an Cybersicherheit besonders anfällig für externe Kompromittierung und Störung.

“Die Entscheidung des BSI spiegelt unsere Beobachtungen der letzten zehn Jahre aus Schwachstellenbewertungen sowie dem laufenden Betrieb unseres Angriffserkennungsystems in OT-Netzen wider”, kommentiert René Krause, Teamlead Support bei Rhebo. Das Leipziger Technologieunternehmen bietet seit 2015 ein dediziert für die OT entwickeltes NIDS, das passives Sicherheitsmonitoring mit Anomalieerkennung verbindet. Das Angriffserkennungssystem schützt bereits eine Vielzahl von Netzleitstellen deutscher Energieversorgungsunternehmen vor mehrstufigen Angriffen, versteckten Sicherheitsrisiken und technischen Fehlerzuständen. “Die Kerngefahr für die OT der deutschen Energieversorgung geht von veralteten Systemen, schwacher Authentifizierung und umfassenden Fernzugriff-Privilegien aus (siehe Abbildung). Diese Sicherheitslücken können jedoch nicht so einfach abgestellt werden. Ein NIDS bildet deshalb die beste Lösung, um dieses bleibende Restrisikos in den Griff zu bekommen. Was ich nicht direkt absichern kann, muss ich kontinuierlich überwachen”.

Arbeitsaufwand minimieren und Reaktionsfähigkeit sichern

Das Ziel der BSI-Empfehlung ist, dass Energieversorgungsunternehmen sicherheitsrelevante Ereignisse (SRE) in ihrer Stationsautomatisierung schnellstmöglich erkennen und auf diese reagieren können. Dazu empfiehlt das BSI auch, dass das industrielle System zur Angriffserkennung die SRE an eine zentrale Instanz im Unternehmen – in der Regel ein SIEM – übermittelt, um die OT-Sicherheit ressourcenschonend in die allgemeine IT-Sicherheit zu integrieren. Rhebo ermöglicht seit 2019 die Übermittlung der Sicherheitsmeldungen an SIEM-Systeme, u.a. von Splunk und IBM QRadar.

Für das einfache Anlernen des NIDS empfiehlt das BSI in IEC 61850 Infrastrukturen die Nutzung der bestehenden .scd-Datei – eine von Rhebo seit einigen Jahren angebotene Methode, um das Baselining der Anomalieerkennung zu automatisieren.

“Die Empfehlung für ein Monitoring in der Stationsautomatisierung ist ein wichtiger Schritt, die deutsche Energieversorgung gegen die bestehenden und kommenden Cybergefahren resilient zu machen”, so René Krause. Denn, wie das BSI in seiner Empfehlung anmerkt, wird weniger davon ausgegangen, dass Angriffe direkt über die zentrale Leittechnik erfolgen. Vielmehr würden sich Angreifende “gezielt Systeme suchen, die nur schwach gesichert und kontrolliert werden. […] Das Monitoring in Umspannwerken ist damit für den Schutz der kritischen Dienstleistung genauso wichtig, wie der Schutz der zentralen Netzleittechnik”.