Informationstechnik und Betriebstechnik schützen Unterschiedliches. Die IT schützt zuerst Vertraulichkeit und Integrität von Daten. Die OT schützt zuerst die Verfügbarkeit der Anlage — und damit Menschen, Material und Termin. Ein Datenpfad zwischen beiden muss beiden Zielen genügen, und im Zweifel gewinnt die Anlage.

Daraus folgt eine unbequeme Regel: Ein Sicherheitskonzept, das die Produktion für Auswertungszwecke
öffnet, ist kein Kompromiss, sondern ein Fehler. Der Weg führt in die andere Richtung — die Produktion veröffentlicht nach außen, sie wird nicht von außen abgefragt.

Ein Cyberangriff auf eine Produktion sieht selten aus wie im Film. Die drei häufigsten Wege sind unspektakulär und seit Jahren dieselben:

• Fernzugriff. Ein Wartungszugang, der dauerhaft offen steht, mit einem Konto, das mehrere Dienstleister kennen. Der häufigste Einstieg in ICS-Umgebungen — Industrial Control Systems, also Steuerungen, SCADA und Leitsysteme.
• Ransomware über die Büro-IT. Die Verschlüsselung beginnt fast nie in der Anlage, sondern im Verwaltungsnetz. Ob sie die Produktion erreicht, entscheidet allein die Trennung dazwischen — und in vielen Werken fällt die Fertigung dann nicht aus, weil sie angegriffen wurde, sondern weil sie vorsorglich abgeschaltet werden muss.
• Lieferkette. Eine Komponente, ein Update oder ein Fremdgerät bringt mit, was niemand bestellt hat. Dagegen hilft kein Perimeter, sondern nur die Frage, was ein Gerät überhaupt erreichen darf.

Auffallend ist, was in dieser Aufzählung fehlt: der gezielte Angriff auf eine Steuerung. Er kommt vor, ist aber selten. Der Normalfall ist ein Weg, den jemand aus guten Gründen geöffnet und danach vergessen hat.

Das etablierte Ordnungsprinzip stammt aus der Normenreihe IEC 62443. Den Kern beschreibt IEC 62443-3-2 — Security Risk Assessment for System Design: Die Landschaft wird in Zonen mit vergleichbarem Schutzbedarf geteilt, und jeder Verkehr zwischen Zonen läuft über einen definierten Übergang, in der Norm Conduit genannt — wenige, benannte, überwachte Wege statt vieler gewachsener.

In der Praxis heißt dieselbe Sache Netzsegmentierung: Das flache Werksnetz wird in Abschnitte geteilt, zwischen denen nur das erlaubt ist, was gebraucht wird. Der Unterschied ist einer der Perspektive — Zonen und Conduits beschreiben den Schutzbedarf, die Segmentierung die Umsetzung im Netz.
Wer beides gleichsetzt, überspringt den entscheidenden Schritt: Erst wird bestimmt, was zusammengehört und was es zu schützen gilt, dann wird geschnitten.

Die Ebenenlogik dahinter ist älter als die Norm und in vielen Werken noch als Purdue-Modell geläufig: Feldebene, Steuerung, Leitebene, Betriebsleitebene, Unternehmensebene, dazwischen eine DMZ als Pufferzone zwischen Produktion und Büro-IT. Man muss das Modell nicht
übernehmen, um zu zonieren — aber es beantwortet die Frage, wo die DMZ hingehört.

Drei Zonen, zwei Übergänge, eine Richtung: die Produktion veröffentlicht, sie wird nicht abgefragt.

Praktisch heißt das: In die Produktionszone führt kein eingehender Port. Die lokale Runtime in der
Übergangszone holt Werte aus der Anlage und baut ihrerseits eine ausgehende, verschlüsselte Verbindung nach oben auf. Fällt diese Verbindung aus, puffert sie und liefert nach — die Produktion hängt nicht an der Verfügbarkeit der Zentrale.

• Eine Richtung

  Verbindungen werden aus der schützenswerteren Zone heraus aufgebaut, nie in sie hinein. Ein Rückweg für Vorgaben existiert — aber als eigener, ausdrücklich freigegebener Kanal, nicht als offener Port.

• Wenige Wege

  Je weniger Übergänge es gibt, desto vollständiger lassen sie sich prüfen. Eine gemeinsame Schicht ersetzt eine wachsende Zahl bilateraler Kopplungen, die niemand mehr vollständig kennt.

• Geprüfte Identitäten

  Jede Verbindung weist sich aus — über Zertifikate, nicht über geteilte Passwörter. Rechte werden je Rolle vergeben, und der Entzug eines Rechts wirkt sofort und überall.

• Nachweisbarkeit

  Es ist im Nachhinein feststellbar, welche Quelle wann was geliefert hat und wo eine Lücke entstand. Ohne diesen Nachweis lässt sich weder ein Vorfall aufklären noch eine Prüfung bestehen.

Der Druck verschiebt sich von der Maßnahme zum Nachweis. Drei Bezüge sind dafür maßgeblich:

• IEC 62443 beschreibt Sicherheit für industrielle Automatisierungssysteme — unter anderem über Zonen und Übergänge sowie abgestufte Sicherheitsniveaus. Sie liefert die Sprache, in der sich Architekturentscheidungen begründen lassen.
• NIS2. Das deutsche NIS-2-Umsetzungsgesetz ist nach Angaben des BSI am 6. Dezember 2025 in Kraft getreten. Die Risikomanagementpflichten stehen in §§ 30 ff. BSIG; die Sicherheit der Lieferkette ist dort ausdrücklich genannt (§ 30 Abs. 2 Nr. 4 BSIG). Betroffene Einrichtungen registrieren sich über das Portal des BSI. Bei einem erheblichen Sicherheitsvorfall gilt eine dreistufige Meldekette: innerhalb von 24 Stunden eine Erstmeldung, innerhalb von 72 Stunden eine Folgemeldung, spätestens nach einem Monat die Abschlussmeldung.
• BSI-Grundlagen. Für die konkrete Umsetzung sind das ICS-Security-Kompendium und der IT-Grundschutz-Baustein zur industriellen IT die praxisnächsten deutschsprachigen Quellen. Wo ein Informationssicherheits-Managementsystem nach ISO 27001 bereits besteht, deckt es einen erheblichen Teil der organisatorischen Anforderungen ab — die OT-spezifischen Punkte kommen hinzu, sie werden nicht ersetzt.

Für die Architektur folgt daraus vor allem eines: Was nicht dokumentiert und beobachtbar ist, lässt sich nicht nachweisen. Sichtbarkeit ist damit keine Komfortfunktion, sondern Teil der Pflicht.

Dieser Abschnitt ordnet ein und ersetzt keine Rechtsberatung. Ob und wie Ihr Unternehmen betroffen ist, klären Sie mit Ihrer Compliance-Funktion; maßgeblich sind die Angaben des BSI
und der Gesetzestext. Stand der Angaben: September 2026.

• pronubes Edge läuft lokal im Werk, baut ausgehende Verbindungen auf und puffert bei Verbindungsverlust — kein eingehender Zugriff in die Produktionszone.
• Secure by Design als Grundsatz: Zertifikate, Rollen, Telemetrie nur nach Opt-in, SBOM-fähig und Vault-ready.
• pronubes Insights macht Verbindungen, Datenströme und Systemzustände sichtbar — einschließlich der Ströme, die schweigen.
• pronubes Zones hält fest, welcher Strom zu welchem Standort, Bereich und System gehört — die Grundlage dafür, Zuständigkeit überhaupt zuweisen zu können.

Mehr zur Plattform