IT (Information Technology) umfasst Systeme, die Informationen verarbeiten, speichern und übertragen: Server, Datenbanken, Netzwerke, Büroanwendungen. OT (Operational Technology) umfasst Systeme, die physische Geräte und Prozesse überwachen oder steuern: speicherprogrammierbare Steuerungen (SPS), Leitsysteme (SCADA, DCS), Sensorik und Aktorik.

Die maßgebliche Definition und Einordnung liefert das US-amerikanische National Institute of Standards and Technology (NIST). Die Special Publication 800-82, im September 2023 in ihrer dritten, aktuell gültigen Revision als „Guide to Operational Technology (OT) Security“ veröffentlicht, beschreibt OT als Hard- und Software, die physische Geräte, Prozesse und Ereignisse direkt überwacht oder steuert, und stellt ihr die klassische IT mit ihren eigenen Schutzzielen gegenüber.

In der IT-Sicherheit gilt seit Jahrzehnten eine feste Reihenfolge der drei klassischen Schutzziele: Vertraulichkeit vor Integrität vor Verfügbarkeit. Ein Datenleck wiegt in dieser Logik schwerer als eine kurze Downtime — Kundendaten, die einmal öffentlich sind, lassen sich nicht zurückholen.

NIST SP 800-82 beschreibt für OT die entgegengesetzte Priorität: Verfügbarkeit vor Integrität vor Vertraulichkeit. Eine Anlage, die steht, kostet unmittelbar Produktion; eine Steuerung, die falsche Werte verarbeitet, kann Ausschuss oder Schäden verursachen; im schlimmsten Fall steht die Sicherheit von Personen auf dem Spiel. Wer davon ausgehen würde, dass Vertraulichkeit dort ebenso an erster Stelle steht wie in der IT, würde die falschen Prioritäten setzen — etwa ein Sicherheitsupdate außerhalb eines geplanten Wartungsfensters einspielen und damit die Anlage stillsetzen, weil eine theoretische Schwachstelle geschlossen werden sollte.

Diese Umkehrung ist kein Widerspruch zwischen zwei Weltanschauungen, sondern eine Folge dessen, was bei einem Ausfall tatsächlich passiert.

Neben den Schutzzielen unterscheiden sich IT und OT in praktisch jeder Betriebsfrage:

• Purdue-Modell. Ein verbreitetes Referenzmodell ordnet Systeme in Ebenen von der Feldebene (Sensoren, Aktoren) über Steuerung und Leitebene bis zur Unternehmens-IT — je höher die Ebene, desto eher IT-typische Anforderungen, je niedriger, desto eher OT-typische.
• Zonen und Conduits nach IEC 62443. Statt eines einzigen Netzes entstehen Sicherheitszonen mit vergleichbarem Schutzbedarf, verbunden über definierte, überwachte Übergänge — Separation of Concerns als konkrete Netzarchitektur.
• DMZ zwischen IT und OT. Eine demilitarisierte Zone puffert zwischen Büronetz und Produktionsnetz: Systeme dort dürfen mit beiden Seiten sprechen, ohne dass IT und OT direkt miteinander verbunden sind.
• BSI IT-Grundschutz, Baustein IND.1. Der Baustein „Prozessleit- und Automatisierungstechnik“ des Bundesamts für Sicherheit in der Informationstechnik beschreibt eigene Anforderungen für Systeme, die physische Prozesse steuern — getrennt von den allgemeinen IT-Bausteinen.

• Netzsegmentierung. Firewalls und VLANs trennen Büronetz und Produktionsnetz physisch oder logisch, statt beide in einem flachen Netz zu betreiben.
• Unidirektionale Gateways (Datendioden). Für besonders schützenswerte Anlagen lässt sich der Datenfluss technisch auf eine Richtung beschränken — Daten verlassen die OT, aber nichts kann von außen zurückwirken.
• Protokoll-Gateways an der Grenze. Ein Edge-Gerät übersetzt zwischen OT-Protokollen wie OPC UA oder Modbus und IT-Systemen, statt eine SPS direkt ans Büronetz zu hängen — dieselbe Rolle, die auch ein Namensraum an der Grenze zwischen Erfassung und Auswertung übernimmt.
• Getrenntes Patch-Management. IT-Systeme folgen einem laufenden Update-Rhythmus, OT-Systeme einem geplanten, oft von der Anlagenverfügbarkeit abhängigen Zyklus — beide brauchen eigene Prozesse, nicht denselben.

1. Bestandsaufnahme

   Welche Systeme sind eindeutig IT, welche eindeutig OT, und wo ist die Grenze bisher unklar — etwa bei einem Windows-Rechner, der eine Anlage bedient?

2. Netzsegmentierung nach Zonen

   Systeme mit vergleichbarem Schutzbedarf werden zu Zonen zusammengefasst, verbunden über definierte Übergänge statt über ein gemeinsames, flaches Netz.

3. Zuständigkeiten festlegen

   Wer patcht was, wer reagiert bei einer Störung an der Grenze zwischen beiden Seiten? Ohne klare Antwort bleibt jede technische Trennung unvollständig.

4. Sichtbarkeit herstellen

   Überwachung über beide Seiten hinweg zeigt, wo Datenflüsse tatsächlich stattfinden — ohne die Grenze selbst aufzulösen.

• Kein Gegensatz zur IT/OT-Konvergenz. Beide beschreiben verschiedene Seiten derselben Aufgabe: eine Grenze zu kennen und zu pflegen, statt Daten unkontrolliert oder gar nicht auszutauschen.
• Kein reines Firewall-Thema. Ohne festgelegte Zuständigkeiten und Prozesse bleibt jede technische Segmentierung Stückwerk.
• Kein einmal hergestellter Zustand. Systeme wandern, Schatten-IT entsteht, neue Anlagen kommen hinzu — die Grenze muss laufend gepflegt, nicht nur einmal gezogen werden.
• Keine Abwertung der OT-Sicherheit zum reinen IT-Problem. Die umgekehrten Schutzziele verlangen eigene Fachkenntnis, nicht die unveränderte Übertragung von IT-Sicherheitskonzepten.

• Schatten-IT in der Produktion. Ein Windows-Rechner mit Internetzugang zur Fernwartung einer Anlage, von der zentralen IT nie erfasst — ein Einfallstor, das niemand auf dem Schirm hat.
• Patch-Fenster, die nie kommen. Eine Anlage im Dauerbetrieb lässt sich nicht „mal eben“ patchen — ohne geplante Wartungsfenster bleiben Sicherheitslücken über Jahre offen.
• Flaches Netz. Wo Büro- und Produktionsnetz nicht getrennt sind, erreicht ein kompromittierter Büro-PC direkt die Steuerung.
• Verantwortungslücke. Ein Vorfall genau an der Grenze zwischen IT und OT, für den sich weder die IT-Abteilung noch die Instandhaltung zuständig fühlt.

pronubes ist die Plattform zwischen Shopfloor und IT — und sitzt damit genau an der Grenze, um die es auf dieser Seite geht.

• pronubes Edge übersetzt zwischen OT-Protokollen und IT-Systemen, statt eine Steuerung direkt ins Büronetz zu hängen.
• pronubes Zones respektiert bestehende Segmentierung — Struktur und Benennung, nicht ein einziges, flaches Netz.
• pronubes Insights liefert der IT die Daten, die sie braucht, ohne ihr direkten Zugriff auf das Produktionsnetz zu geben.

So bleibt die Grenze zwischen IT und OT erhalten — und wird trotzdem durchlässig genug für die Auswertungen, die beide Seiten brauchen. Mehr zur Plattform