OT-Sicherheit im Praxistest: Das Härtungs-Playbook für Windows
Zu unserer Serie: OT-Sicherheit geht auch einfach. Zusammen mit Pentester Patrick Latus von ITrocks beleuchten wir ganz praxisorientiert die wichtigsten Schritte, um OT-Netze sicherer zu machen. Basierend auf dem gemeinsamen eBook “Playbook für OT-Sicherheit – nach Art eines Pentesters” zeigen wir in den Blogposts und Videos Schritt für Schritt, wie OT-Verantwortliche die im eBook empfohlenen Maßnahmen umsetzen können.
Welche SSL/TLS-Standards sind unsicher?
SSL/TLS-Protokolle sind auch auf Windowssystemen weit verbreitet, die in der OT laufen. TLS steht für Transport Layer Security (Transportschichtsicherheit) und ist ein Verschlüsselungsprotokoll, das für die sichere Datenübertragung genutzt wird. SSL (Secure Sockets Layer) repräsentiert die Vorgängerversion von TLS.
SSL/TLS-Protokolle sind natürlich nicht per se unsicher. Jedoch sollten OT-Systeme immer mit der aktuellen Version laufen.
Stand Oktober 2026 sind die folgenden Protokollversionen unsicher:
- alle SSL-Protokolltypen (SSL 1.0, SSL 2.0, SSL 3.0)
- TLS 1.0
- TLS 1.1
Sichere Versionen sind:
- TLS 1.3 (aktuelle Version seit 2018)
- TLS 1.2 ist ein Wackelkandidat.
Das seit 2008 als Industriestandard geltende Protokoll leidet seit Jahren unter Downgrade-Angriffen wie BEAST, POODLE und DROWN. TLS 1.2 erlaubt in manchen Konfigurationen noch immer 3DES und RC4, während Perfect Forward Secrecy manuell konfiguriert werden muss. Google, Apple und Firefox werden deshalb Ende 2026 / Anfang 2027 das Protokoll TLS 1.2 aus ihren Trust Stores nehmen und nicht weiter unterstützen[1]. Für Windowssysteme dagegen gilt: So lange das jeweilige Windowssystem Microsoft-Sicherheitsupdates erhält, werden diese auch für TLS 1.2 ausgeliefert.
Jedoch sollte auch auf unterstützten Windowssystemen beachtet werden:
- Ein Betriebssystem, das TLS 1.2 präferiert, kann unter Umständen im laufenden Betrieb (und Information der Verantwortlichen) auf ältere Versionen zurückfallen. Microsoft warnt: “Wenn eine Verbindung über TLS 1.2 hergestellt wird und keine zeitnahe Antwort erfolgt oder wenn die Verbindung zurückgesetzt wird, versucht das Betriebssystem möglicherweise, eine Verbindung zum Ziel-Webdienst über ein älteres TLS-Protokoll (wie TLS 1.0 oder 1.1) herzustellen. Dies geschieht in der Regel, wenn das Netz ausgelastet ist oder wenn ein Paket im Netz verloren geht”.[2]
- Angreifer nutzen genau diesen Mechanismus aus, indem sie attackierte Systeme – selbst wenn auf diesen TLS 1.2 oder TLS 1.3 als präferierte Verschlüsselungsprotokolle ausgewiesen sind – auf TLS 1.0 oder TLS 1.1 herunter zwingen.
Soweit für die Funktion der OT möglich, sollten Administrator:innen die unsicheren SSL/TLS-Versionen deaktivieren und bereits auf TLS 1.3 wechseln.
Wie deaktiviert man per Mausklick unsichere SSL/TLS-Standards in OT-Umgebungen?
Veraltete, unsichere SSL/TLS-Protokolle können über verschiedene Wege deaktiviert werden.
WICHTIG: Bevor Sie die Konfiguration der SSL/TLS-Protokolle durchgeführen, erstellen Sie IMMER ein Backup des Systems!
1. Windows Registry Rekonfiguration
Selbstverständlich kann die Nutzung der verschiedenen TLS-Versionen unter der Windows Registry konfiguriert werden[3]. Dies ist jedoch etwas umständlich. Selbst Microsoft rät davon ab.
2. Automatisierte Deaktivierung
Einfacher geht es über ein Open Source / Freeware-Tool wie IIS Crypto[4].* Dieses Programm erlaubt Administrator:innen, Protokolle, Cipher, Hashes und Key Exchange-Algorithmen auf Windows Servern und Clients (Versionen 2012-2025) zu aktivieren und deaktivieren. Das Tool ist als GUI und Kommandozeilen-Version (CLI) verfügbar.
Um unsichere SSL/TLS-Protokolle auf einem Windowssystem über die GUI-Version abzuschalten gehen Sie folgendermaßen vor:
- Backup des Systems erstellen.
- Programm herunterladen.
- Programm als Administrator ausführen (run as administrator).
- Liste der (de)aktivierten Verschlüsselungsprotokolle auf Server und Client-Seite, Hashes, Cipher und Key Exchanges prüfen.
- Veraltete, unsichere Versionen deaktivieren. Das kann für alle Einstellung manuell durchgeführt werden, indem die entsprechenden Tickboxen deaktivieren werden. Alternativ können über den Button “Best Practices” alle als unsicher erkannte Einstellungen mit einem Mal deaktiviert werden.
- Einstellungen über “Apply” bestätigen.
- Windows-System neustarten.
- Windows-System auf die notwendigen und zu erwartenden Prozesse prüfen. Um nachfolgend einzelne Verbindungen dediziert auf die angewendeten Verschlüsselungsprotokolle zu prüfen, empfiehlt sich die Nutzung des Programm Wireshark.
- Bei Funktionseinschränkungen und Problemen kann über IIC Crypto leicht nachkonfiguriert werden.
- Sollte für die Funktionalität die Nutzung unsicherer Protokolle oder Cipher notwendig werden (z. B. bei Legacy-Systemen), sollte das Windowssystem in ein Sicherheitsmonitoring eingebunden werden, um die Kommunikation über die veralteten Protokolle engmaschig zu überwachen. Dies kann flächendeckend für die gesamte OT über ein netzbasiertes Intrusion Detection System (NIDS) für die OT abgesichert werden – als Stand-Alone-Lösung oder integriert in Ihr SIEM.
Bitte beachten Sie, dass die Einstellungen mittels Tools wie IIS Crypto für jedes Windowssystem einzeln geändert werden müssen.
Um zu erfahren, wie die Rekonfiguration auf Angreiferseite aussieht, schauen Sie das kurzweilige Tutorial.
* Disclaimer: Die Nennung des Tools stellt keine ausdrückliche Empfehlung dar. Es gibt verschiedene Open Source / Freeware-Tools zur (De)aktivierung von Protokollen. Bitte prüfen Sie die Tools entsprechend Ihrer Sicherheitsrichtlinien, machen Sie in jedem Fall ein Backup der Systeme, und testen Sie das jeweilige Tool am besten vorab in einer isolierten Sandbox-Umgebung.
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
Angriffserkennungssysteme in Stadtwerken, Wasserwerken und Netzbetreibern
Compliance
Rechtskonformität ist nach wie vor der treibende Faktor für viele Kritis-Betriebe, ein System zur Angriffserkennung (SzA) in ihrer Infrastruktur umzusetzen. Eine Herausforderung dabei bleibt häufig die Frage, was genau ein SzA eigentlich ist und umfasst. Für die einen sind es die Firewalls an den Netzwerkgrenzen, für das BSI dagegen ein ganzen Managementsystem.
Dabei findet sich eine verhältnismäßig klare Definition der Funktionen und des Scope seit Jahren im IT-SIG 2.0. Demnach muss ein SzA:
- Die kritischen Prozesse und Anlagen von Versorgungsunternehmen überwachen können. Daraus ergibt sich bereits, dass mindestens die industriellen Prozesse und Anlagen der Energieversorgung abgedeckt sein müssen. Klassische IT-Lösungen und Firewalls haben dort wenig Gewicht, denn sie sitzen nur am Rand bzw. außerhalb der kritischen Anlagen und haben selten ein Verständnis für OT-Kommunikation. Ein SzA, das direkt in der industriellen Infrastruktur (der OT) sitzt, überwacht dagegen genau den Bereich, der rechtlich gefordert ist.
- Kontinuierlich Daten sammeln, um Angriffe zu erkennen. Hier spalten sich die Meinungen. Reicht es, wenn diese Daten ausschließlich an der Netzwerkgrenze gesammelt werden? Oder sollte bei der heutigen Bedrohungslandschaft, in der verstärkt der Netzwerkzugang über gestohlene Zugangsdaten forciert wird, der Blick auch nach innen gehen – auf die Netzwerke selbst? Siehe Punkt 1.
- Angriffe abwehren können. Das wiederum setzt voraus, dass sie überhaupt erkannt, lokalisiert und nachvollzogen werden können. Womit wir zu Punkt 2 zurückkehren.
Compliance umfasst für Stadtwerke, Wasserwerke und Netzbetreiber aber nicht nur den Nachweis eines SzA, sondern vor allem auch das Einhalten der Meldepflicht. Ein Angriffserkennungssystem für die OT – wie Rhebo Industrial Protector – detektiert und dokumentiert alle Cybervorfälle im Detail, in ihrer Gesamtheit und über die Zeit. Verdächtige Aktivitäten in der OT werden dabei als Packet Capture (pcap) gespeichert, so dass Vorfälle ausgewertet und entsprechend der gesetzlichen Anforderungen gemeldet werden können.
Asset Management
In vielen industriellen Infrastrukturen ist die Asset-Dokumentation nach wie vor lückenhaft. Das ist nicht nur ein Problem für die Cybersicherheit, sondern auch für das generelle Asset Management und die Netzführung. Welche Geräte und Systeme laufen überhaupt in der OT? Welche Abhängigkeiten existieren? Welche Assets sind kritisch für den Netzbetrieb?
Das SzA für die OT erstellt einen Netzplan (siehe Bild) aller kommunizierenden Assets, deren Eigenschaften, Verbindungen und Durchsätze. Dadurch erlangen Asset Manager nicht nur Klarheit darüber, welche Geräte und Systeme in der OT existieren, sondern auch in welchem Verhältnis sie zueinanderstehen. Das erleichtert die Planung von Reparaturen, Erneuerungen und Wartungseinsätzen.
Risikomanagement
Das Risikomanagement ist nicht nur eine Übung in Compliance sondern längst integrale Managementaufgabe, um die Versorgungsdienstleistung langfristig sicherzustellen. Durch die Informationen und insbesondere den Netzplan aus dem SzA für die OT kann auch das Risikomanagement besser bewerten:
- welche Abhängigkeiten zwischen Systemen herrschen.
- welche Schwachstellen im OT-Netz existieren.
- welche kritischen Systeme exponiert sind (zum Beispiel durch verbundene andere Systeme, für die es Schwachstellenmeldungen gibt oder die selbst exponiert sind).
- welche Sicherheitslücken in der OT-Kommunikation existieren, z. B. unsichere Protokolle, fehlende Authentifizierung etc.
Cybersicherheit gegen das Unbekannte
Cybersicherheit ist nicht gleich Cybersicherheit. Der etablierte Ansatz aus der IT baut nach wie vor auf bekannte Malware-Signaturen, das so genannte Blocklisting. Jedoch hat sich die Angriffslandschaft seit Jahren gewandelt. Der Einsatz von KI in Cyberangriffen reduziert weiter die Chance, über Signaturen aber auch reine Allowlists verdächtige Aktivitäten zu detektieren. Vielmehr muss heute – neben den altbewährten Ansätzen – darauf fokussiert werden, Veränderungen in der legitimen Kommunikation frühzeitig zu erkennen. Diese Anomalien sind gerade in der OT gut abzugrenzen, da die OT-Kommunikation in der Regel stark deterministisch und wiederholend ist.
Ein SzA mit Anomalieerkennung ermöglicht neben der klassischen Malware-Detektion:
- die Ausnutzung von Zero-Day-Schwachstellen zu erkennen,
- mehrstufige Cyberangriffe zu erkennen (z. B. laterale Bewegung, Scans, Manipulationen),
- mittels Deep Packet Inspection Manipulation der OT-Kommunikation zu erkennen,
- Angriffe über legitime Accounts (auch von Admin-Accounts) zu erkennen,
- Angriffe zu detektieren, die “Living-of-the-land”-Methoden nutzen.
- die indirekte Absicherung von Legacy-Systemen, für die keine Sicherheitsupdates mehr ausgeliefert werden. Was nicht abgesichert werden kann, ist nicht automatisch ein aussichtsloser Fall. Es muss nur genauer überwacht werden, um mögliche Kompromittierungen durch abweichendes Systemverhalten in Echtzeit zu erkennen.
Anlagenverfügbarkeit
Gerade in industriellen Umgebungen wie Umspannwerken, Hoch- und Mittelspannungsnetzen sowie Wasseraufbereitungs- und Kläranlagen steht die Anlagenverfügbarkeit über allem. Cyberangriffe sind (bislang) die geringere Gefahr. Technische Störungen, Netzwerk-Degradation, Ausfälle von Switchen oder Checksummenfehler gehören dagegen zum Alltag.
Ein SzA mit Anomalieerkennung sollte deshalb neben Cybersicherheitssignalen auch technische Fehlerzustände zuverlässig detektieren und melden. So können z. B. abweichende Umlaufzeiten oder Kommunikationsabbrüche frühzeitig registriert und im Rahmen der präventiven Wartung die fehlerbehafteten Geräte lokalisiert und ersetzt / repariert werden oder Fehlkonfigurationen korrigiert werden.
Business Continuity und Cyberresilienz
Nach dem Angriff ist vor nicht nur vor der Wiederherstellung, sondern auch vor dem nächsten Angriff.
Um sowohl die Wiederherstellung nachhaltig und sicher zu gestalten als auch auf den nächsten Angriff vorbereitet zu sein, braucht es Wissen darüber:
- welche Systeme betroffen waren,
- wie der Angriff verlief,
- welche Taktiken, Techniken und Verfahren (TTP für Tactics, Techniques, Procedures) die Angreifer genutzt haben.
Ein leistungsstarkes SzA speichert deshalb jede Anomalie in der OT-Kommunikation als Packet Capture (pcap). Darin wird die Anomalie im Detail dokumentiert, wodurch das Investigationsteam im Zuge ihrer forensischen Analyse genau nachvollziehen kann, was während des Angriffs passiert ist und wie die Timeline aussah.
Lieferkettensicherheit
Lieferkettensicherheit ist ein zweischneidiges Schwert. Für die Compliance und das Risikomanagement ist das Thema enorm wichtig. Gleichzeitig ist der Anspruch bzw. die Anforderung, auch innerhalb der Lieferkette die Cybersicherheit sicherzustellen und zu beeinflussen, in der Regel reine Wunschvorstellung. Die wenigsten Lieferanten lassen sich von ihren Kunden in die eigene Cybersicherheit reinreden.
Im Grunde muss die Lieferkette wie ein Legacy-System behandelt werden. Was nicht direkt beeinflusst werden kann, muss konsequent überwacht werden. Ein SzA mit Anomalieerkennung unterstützt:
- verändertes Verhalten von OT-Komponenten zu detektieren,
- bekannt gewordene Schwachstellen von Systemen und Komponenten zu detektieren,
- fehlerhafte Login-Versuche (z. B. über VPN oder Fernzugriff) bei Service-Zugängen zu detektieren.
Damit kann die Kompromittierung von Drittanbietertechnologie und -infrastruktur frühzeitig erkannt und der Hersteller gezielt zu mehr Cybersicherheit in der Produktentwicklung und Dienstleistung gedrängt werden.
Fazit
Ein System zur Angriffserkennung in der OT ist für Stadtwerke, Netzbetreiber und Wasserwerke nicht nur ein Tool, um die Compliance mit NIS2 sicherzustellen. Es unterstützt die Betreiber auch dabei, die Anlagenverfügbarkeit zu erhöhen und Herausforderungen wie das Asset Management und die Lieferkettensicherheit zu meistern.
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
Angriff auf die Steuerungsebene: OT-Malware, ICS-Sabotage und IT-Ransomware-Vorfälle im Überblick
Dieser Artikel beleuchtet die prägendsten realen Incidents, die tatsächliche Evolution von OT-Malware, TTPs (Tactics, Techniques, and Procedures) moderner Bedrohungsakteure sowie die Erkenntnisse aus den Lageberichten des BSI1 und von Dragos2.
1. Top-Incidents: Was in den OT-Netzen weltweit passiert ist
Die Vorfälle der jüngsten Zeitzeigen zwei deutliche Haupttrends: Einerseits gezielte Sabotage und Spionagedurch APT-Gruppen an kritischen Infrastrukturen (KRITIS), andererseits massive Ausfälle der Produktion durch IT-Ransomware-Kollateralschäden.
Vorfälle mit direktem OT-Impact & Sabotage Kommunales
- Heizwerk Lviv, Ukraine (Januar 2024): Erstmaliger praktischer Einsatz der Malware FrostyGoop. Die Angreifer nutzten ungesicherte, direkt über das Internet erreichbare ENCO-Steuerungen (Zelio Logic / Modbus-Komponenten). Sie führten keine Firmware-Downgrades durch, sondern sendeten legitime Modbus-TCP-Schreibbefehle (Holding Register Manipulation), um Sollwerte zu fälschen. Dies führte zum Ausfall der Wärmeversorgung für über 600 Wohngebäude bei Temperaturen unter dem Gefrierpunkt.
- Wasserversorger US & Irland (2023–2024): Mehrere reale Vorfälle verdeutlichten die Verwundbarkeit exponierter Systeme:
– Aliquippa (USA, Nov 2023): Die pro-iranische Gruppe CyberAv3ngers kaperten Unitronics-S70-PLCs, die über Standardpasswörter und ungeschützte Fernwartung zugänglich waren.
– Muleshoe (Texas, Jan 2024): Die pro-russische Gruppe Cyber Army of Russia Reborn manipulierte SCADA-Systeme, was zum Überlaufen von Wassertanks führte.
– Erris Water (Irland, Dez 2023): Ein weiterer Angriff auf Unitronics-Komponenten unterbrach die Wasserversorgung für hunderte Haushalte.
Kollateralschäden, Supply Chain & Ransomware in der Produktion
- Viasat KA-SAT Disruption (Februar 2022): Ein Angriff auf die Management-Infrastruktur des Satellitenbetreibers (Überschreiben des Flash-Speichers via AcidRain) legte zehntausende Terminals in Europa lahm. Kollateralschaden in der OT: Der Windkraftanlagen-Hersteller Enercon verlor schlagartig den Remote-Zugriff und die Monitorbarkeit von rund 5.800 Windkraftanlagen in Deutschland.
- Contec SolarView Compact Angriffe (Mai 2024): Über 800 SolarView Compact Überwachungsgeräte des Herstellers Contec wurden weltweit über ungepatchte RCE-Schwachstellen (z. B. CVE-2022-29303) gekapert und als Botnetz-Knoten oder Erpressungshebel missbraucht.
- Automotive & Zulieferer (VARTA, ThyssenKrupp, Honda): IT-Ransomware-Angriffe führten zu tagelangen Produktionsstillständen. Die Ursache lag meist nicht in verschlüsselter SPS-Hardware, sondern im Ausfall der OT-Support-Server (z. B. VMware ESXi mit MES-, HMI- und Historian-VMs) oder dem präventiven Entkoppeln der Fertigungsnetze.
2. OT-Malware Evolution: Die Werkzeuge der Angreifer
Während klassische IT-Malwareprimär auf Dateiverschlüsselung zielt, greift spezialisierte OT-Malware direktin industrielle Steuerungsabläufe ein. Dabei muss zwischen staatlich entwickelten APT-Frameworks und frei zugänglichen Red-Team-Tools unterschiedenwerden.
Wichtige OT-Schadsoftware-Familien im Überblick
- TRITON / TRISIS (2017): Zielgerichtet auf Schneider Electric Triconex Sicherheitssteuerungen (SIS). Zielt darauf ab, Notfall-Abschaltmechanismen in kritischen Prozessanlagen (z. B. Raffinerien) zu deaktivieren, um physische Schäden zu ermöglichen.
- PIPEDREAM / Chernovite (2022): Das bislang vielseitigste und modularste OT-Malware-Framework. Es deckt 6 MITRE ATT&CK for ICS Taktiken ab und kann SPS-Steuerungen (u. a. Schneider Electric, Omron), OPC-UA-Server sowie CODESYS-basierte Systeme ohne Ausnutzung spezifischer Zero-Days manipulieren.
- COSMICENERGY (2023) & Industroyer2 (2022): Beide Frameworks wurden speziell für Stromnetze entwickelt. Sie nutzen das Protokoll IEC 60870-5-104 (IEC-104), um Befehle direkt an Schutzgeräte und Leistungsschalter in Umspannwerken zu senden und so Stromausfälle zu provozieren.
- FrostyGoop (2024): Die erste in-the-wild beobachtete Schadsoftware, deren einziger Angriffsvektor auf der nativen Interaktion mit Modbus TCP (Port 502) beruht. Da dem Modbus-Protokoll jegliche Authentifizierung fehlt, liest und beschreibt die Malware gezielt Holding-Register, um Prozessdaten zu fälschen.
3. BSI Lagebericht & Deutschland-Fokus: Wo liegen die Schwachstellen?
Der Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI)1 zeichnet ein klares Bild der Expositions- und Gefährdungslage in Deutschland.
Deutschland im weltweiten APT-Ranking
Deutschland rangiert auf Platz 4 weltweit (gleichauf mit Taiwan) bezüglich der Anzahl identifizierter aktiver APT-Gruppen. Das BSI registrierte 22 APT-Gruppen, die primär auf die öffentliche Verwaltung, Verteidigung, Forschung, aber zunehmend auch auf den Maschinenbau und den Energiesektor abzielen.
Die Top-Schwachstellen & Eintrittswege
- Remote-Access-Protokolle im Visier: Bei der Analyse der internetexponierten Angriffsfläche dominieren SSH (52 %), RDP (22 %), Telnet (11 %) und VNC (10 %). Unzureichend abgesicherte RDP- und VNC-Zugänge stellen nach wie vor den Haupteintrittsweg in OT-nahe Management-Umgebungen dar.
- Web-Oberflächen & Fehlkonfigurationen: Rund 47 % der erreichbaren IP-Adressen unter der .de-Zone geben sensible Systeminformationen preis. 44 % der dem BSI gemeldeten Schwachstellen basieren auf Fehlkonfigurationen oder bekannten, ungepatchten Sicherheitslücken.
- Mangelndes Logging & OT-Monitoring: Das Fehlen von zentralem Logging und Anomaly Detection führt dazu, dass unbefugte Interaktionen auf ICS-Ebene (z. B. unerwartete Modbus-Schreibbefehle) oft monatelang unbemerkt bleiben.
4. Die OT-Ransomware-Realität: Angriff auf die Virtualisierung
Ein verbreiteter Irrtum ist, dass Ransomware-Akteure eigenen ICS-Schadcode entwickeln müssen, um eine Produktion stillzulegen. Die Realität sieht anders aus:
- Das Ziel: Angreifer nutzen gestohlene Zugangsdaten oder Initial Access Broker (IABs), bewegen sich mittels Living-off-the-Land (LotL)-Techniken (PsExec, WMI, RDP) durch die Enterprise-IT (Level 4/5) und zielen auf die Hypervisor-Schicht (z. B. VMware ESXi) sowie zentrale Support-Server auf Level 3 (Plant Area).
- Der Effekt: Sobald die Server für SCADA-Systeme, HMIs, Historian-Datenbanken und Engineering-Workstations verschlüsselt oder heruntergefahren sind, entsteht ein vollständiger "Loss of View" und "Loss of Control". Den Betreibern bleibt aus Sicherheitsgründen oft nur der kontrollierte Not-Aus oder der Wechsel in den manuellen Inselbetrieb.
5. Empfehlungen für OT-Spezialisten & CISOs
Aus den realen Vorfällen ergeben sich konkrete Maßnahmen für den Schutz von OT-Umgebungen:
Legacy Protokolle isolieren
- Protokolle ohne Authentifizierung (Modbus TCP, S7comm, IEC-104) streng auf Zone-Level isolieren. Nutzung von Deep Packet Inspection (DPI) Firewalls.
Credential Hygiene & MFA
- Eliminierung von Werks-Standardpasswörtern (z. B. 1111) auf PLCs und HMIs. Phishing-resistente MFA für alle Fernwartungszugänge und Jump-Hosts.
Baselining & Drift Detection
- Monitoring auf unautorisierte Sollwert-Änderungen (Parameter Drift) sowie unerwartete Modus-Wechsel (RUN -> STOP) an Steuerungen.
Passives OT-Monitoring
- Einsatz von passiver OT-Netzwerk-Anomalieerkennung zur Früherkennung von anomalem Protokollverhalten auf Level 1 und Level 2.
Inselbetrieb trainieren
- Regelmäßiges Proben des kontrollierten Entkoppelns (Island Mode) der OT vom IT-Netz sowie des manuellen Weiterbetriebs der Anlagen.
Durch den Einsatz des Rhebo Industrial Protector lassen sich blinde Flecken in der OT-Sicherheit gezielt beseitigen: Die Lösung behebt die mangelnde Transparenz über Netzwerk-Assets, Verbindungen sowie bekannte Schwachstellen (CVEs) und schließt Sicherheitslücken, die durch unentdeckte Cyberangriffe, wie Brute-Force-Attacken, Backdoors, Zero-Day-Exploits, laterale Bewegungen oder Innentäter, entstehen. Zudem schützt sie zuverlässig vor Ausfällen durch technische Fehlerzustände und Netzwerkanomalien. Damit reduzieren Unternehmen das Risiko von OT-Stillständen spürbar und erfüllen gleichzeitig mühelos die strengen Compliance-Vorgaben für Netzsicherheit und Angriffserkennung nach NIS2 und IEC 62443.
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
Cyberkriminalität und OT-Sicherheit: Motive, Akteure und Risiken
In der neuen Podcastfolge von OT Security Made Simple sprechen wir mit Dr. Marc T. Hoffmann über die Motive und Vorgehensweisen von Cyberkriminellen. Der Kriminal- und Intelligence-Analyst verfügt über langjährige Erfahrung in der Analyse von Täterverhalten im Cyberraum.
Was Cyberkriminelle antreibt
Das verbreitete Bild vom jugendlichen Hacker im Kapuzenpullover greift zu kurz. Cyberkriminalität ist heute ein globales, arbeitsteilig organisiertes Geschäftsfeld. Nach den im Gespräch genannten Prognosen könnten die weltweit verursachten Schäden bis 2026 auf jährlich 11,36 Billionen US-Dollar steigen. Diese Größenordnung macht deutlich: Hinter Cyberangriffen stehen nicht nur Einzelpersonen, sondern zunehmend professionell organisierte Gruppen mit erheblichen finanziellen und technischen Ressourcen.
Herausforderung statt finanzieller Gewinn
Die Motive von Cyberkriminellen unterscheiden sich deutlich. Laut einer von Dr. Hoffmann angeführten Untersuchung handeln 76,3 Prozent der befragten Black-Hat-Hacker vor allem aus Freude an der technischen Herausforderung und nicht in erster Linie aus finanziellen Gründen.
Der Reiz liegt für sie darin, Schutzmechanismen zu überwinden, komplexe Systeme zu verstehen und Anerkennung innerhalb einer bestimmten Gemeinschaft zu gewinnen. Finanzielle Anreize können eine Rolle spielen, sind jedoch nicht immer der entscheidende Faktor.
Warum kritische Infrastrukturen im Fokus stehen
Energieversorgung, Produktion, Gesundheitswesen und andere kritische Bereiche sind attraktive Angriffsziele. Ein erfolgreicher Angriff kann dort weitreichende wirtschaftliche und gesellschaftliche Folgen haben. Auch deshalb wurden mit der NIS2 Gesetzgebung kritische Infrastrukturen zu ganzheitlicher Cybersicherheit verpflichtet.
Technische Fähigkeiten allein führen allerdings nicht zwangsläufig zu einem Angriff. Dr. Hoffmann weist darauf hin, dass einige Hacker- und Ransomware-Gruppen nach selbst auferlegten Regeln handeln. Manche schließen etwa Krankenhäuser oder andere lebenswichtige Einrichtungen offiziell als Ziele aus. Solche Erklärungen sind jedoch weder verlässlich noch einheitlich. Zudem können Fehlkonfigurationen, unkontrollierte Schadsoftware oder Angriffe anderer Akteure weiterhin erhebliche Schäden verursachen.
Vier Gruppen von Cyberakteuren
Dr. Hoffmann unterscheidet vier zentrale Gruppen, die jeweils eigene Ziele und Vorgehensweisen verfolgen:
1. Einzeltäter: Häufig verfügen sie nur über begrenzte technische Fähigkeiten. Ihre Angriffe richten sich eher gegen einzelne Personen oder kleinere Ziele als gegen komplexe industrielle Infrastrukturen.
2. Ransomware-Gruppen: Ihr Hauptziel ist finanzieller Gewinn. Sie verschlüsseln Daten oder Systeme und verlangen Lösegeld. Einige Gruppen vermeiden öffentlich besonders sensible Ziele, weil Angriffe auf kritische Infrastrukturen starken politischen und strafrechtlichen Druck auslösen können.
3. Staatliche Akteure: Sie verfolgen vor allem strategische Ziele wie Spionage, Einflussnahme oder Sabotage. Bei der Informationsbeschaffung ist es für sie entscheidend, möglichst lange unentdeckt zu bleiben.
4. Organisierte Kriminalität: Diese Netzwerke arbeiten zunehmend wie Unternehmen. Sie teilen Aufgaben auf, nutzen spezialisierte Dienstleister und setzen professionelle Methoden ein, um Gewinne zu erzielen und einer Strafverfolgung zu entgehen.
Abwägung von Risiko und Ertrag
Vor einem Angriff bewerten Täter den möglichen Gewinn und das damit verbundene Risiko. Kritische Infrastrukturen können hohe Lösegeldforderungen ermöglichen. Gleichzeitig führen öffentlichkeitswirksame Angriffe häufig zu intensiveren Ermittlungen, politischen Reaktionen und zusätzlichen Sicherheitsmaßnahmen.
Diese Folgen können abschreckend wirken. Sie bieten jedoch keinen verlässlichen Schutz: Je nach Motivation, Auftrag und Risikobereitschaft können kriminelle oder staatliche Akteure zu einer völlig anderen Bewertung gelangen.
Fazit
Wer wirksame Cybersicherheitsstrategien entwickeln will, muss neben technischen Schwachstellen auch die Motive und Arbeitsweisen möglicher Angreifer verstehen. Gerade beim Schutz von OT-Umgebungen und kritischen Infrastrukturen reicht es nicht aus, von einem einheitlichen Täterbild auszugehen.
Das Gespräch mit Dr. Marc T. Hoffmann zeigt, wie unterschiedlich die beteiligten Akteure handeln und warum Unternehmen ihre Schutzmaßnahmen an realistischen Angriffsszenarien ausrichten sollten. Die vollständige Diskussion gibt es in unserer neuen Podcastfolge.
Rhebo entwickelt und vermarktet OT- und IIoT-Cybersecurity-Lösungen für Energieunternehmen, Kritische Infrastrukturen und Industrie. Das Unternehmen bietet standortübergreifende Cybersicherheit, Angriffserkennung und Sichtbarkeit in industriellen Netzwerken (ICS) durch OT-Monitoring und Threat & Intrusion Detection von der initialen Risikoanalyse bis zum Betrieb. Rhebo ist seit 2021 Teil der Landis+Gyr AG, einem global führenden Anbieter integrierter Energiemanagement-Lösungen für die Energiewirtschaft mit weltweit rund 5.000 Mitarbeiter:innen in über 30 Ländern.
Rhebo ist Partner der Allianz für Cyber-Sicherheit des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Teletrust – Bundesverband IT-Sicherheit e.V.. Als vertrauenswürdiges IT-Sicherheitsunternehmen ist Rhebo offizieller Träger der Gütesiegel »IT Security Made in Germany« sowie »Cybersecurity Made In Europe«. https://rhebo.com/
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
TRBS 1115-1 konform umsetzen: Schutz für sicherheitsrelevante OT-Systeme
Als Spezialist für OT-Cybersicherheit wissen wir bei Rhebo, dass die Brücke zwischen funktionaler Sicherheit (Functional Safety) und Cybersecurity oft wie eine Mammutaufgabe wirkt. Im Folgenden schlüsseln wir für Sie auf, was die TRBS 1115 Teil 1 konkret für Ihren Betrieb bedeutet und wie Sie die Vorgaben effizient umsetzen, ohne Ihre betriebliche Kontinuität zu gefährden.
Das Kernproblem: Cyberbedrohungen sind handfeste Sicherheitsrisiken
Früher konzentrierte sich die klassische Anlagensicherheit primär auf mechanisches Versagen, Materialermüdung oder Bedienfehler. Heute ist das anders: Moderne Cyberbedrohungen können aktiv verhindern, dass eine sicherheitsrelevante MSR-Einrichtung ihre lebenswichtige Schutzfunktion ausführt, oder sie können sogar direkt neue physikalische Gefahren für Mensch und Umwelt herbeiführen.
Die TRBS 1115 Teil 1 stellt unmissverständlich klar, dass Arbeitgeber Cyberbedrohungen zwingend im Rahmen ihrer regulären Gefährdungsbeurteilung nach § 3 BetrSichV berücksichtigen müssen. Ein erfolgreicher Angriff gefährdet typischerweise die folgenden drei Grundpfeiler:
- Verfügbarkeit: Das Blockieren oder Deaktivieren von kritischen Sicherheitsfunktionen.
- Integrität: Die unberechtigte Manipulation von Sensordaten, Grenzwerten oder Applikationsprogrammen.
- Vertraulichkeit: Der Abfluss von sensiblen Daten, Passwörtern oder Systemdokumentationen, die Angreifern als Blaupause dienen.
Die 6 technischen und organisatorischen Kernmaßnahmen
Um Beschäftigte und die Umgebung wirksam zu schützen, fordert die TRBS 1115 Teil 1 einen robusten Schutz nach dem aktuellen Stand der Technik. Wenn die Cybersicherheit nicht bereits vom Hersteller beim Inverkehrbringen garantiert wurde, stehen Betreiber in der Pflicht, eigenständig Schutzmaßnahmen zu etablieren. Die Richtlinie nennt hierzu sechs zentrale Säulen:
1. Segmentierung und Fernzugriffsschutz
Netzwerke müssen in kleinere, separate Sicherheitszonen unterteilt werden, die sich am jeweiligen Schutzbedarf orientieren. Netzwerkteilnehmer dürfen nur Verbindungen aufbauen können, die für ihre technische Funktion zwingend erforderlich sind – idealerweise durch physische Trennung oder logische Segmentierung (z. B. via VLAN). Besonders risikoreiche Fernwartungszugriffe über das Internet müssen streng limitiert, überwacht und explizit durch den Arbeitgeber freigegeben werden.
2. Zugang und Zugriffskontrolle
Der physikalische und logische Zugriff auf kritische Komponenten muss restriktiv beschränkt werden. Dies beinhaltet die Zuweisung minimaler Rechte gekoppelt an rollenbasierte Tätigkeitsprofile, wirksame Authentifizierungsverfahren (z. B. Passwörter, Token oder Zugangskarten) sowie physische Barrieren wie verschlossene Server- und Schaltschränke.
3. Härtung von Komponenten
Die Funktionalität der Hard- und Softwarekomponenten muss auf das absolute Mindestmaß reduziert werden, das zur Erfüllung der eigentlichen Aufgabe nötig ist. Ungenutzte Hardwareschnittstellen (z. B. USB-Ports) sind zu deaktivieren oder zu blockieren, unnötige Software ist zu entfernen und nicht autorisierte Kommunikationsdienste müssen (beispielsweise durch Blacklisting) unterdrückt werden.
4. Unabhängigkeit von MSR-Einrichtungen
Sicherheitsrelevante MSR-Einrichtungen müssen so konzipiert sein, dass sie nicht durch Anomalien oder Ausfälle in der allgemeinen IT/OT-Umgebung unzulässig beeinflusst werden können. Selbst im Falle eines massiven Denial-of-Service-Angriffs (DoS) auf das restliche Netzwerk muss die Kernfunktion der Sicherheitssteuerung autark und stabil bleiben.
5. Kontinuierliche Überwachung (Monitoring)
Um cybersicherheitsrelevante Vorfälle rechtzeitig zu erkennen, verlangt die TRBS 1115 Teil 1 die Installation von Überwachungssystemen an geeigneten, kritischen Punkten innerhalb der IT/OT-Umgebung – insbesondere an den Segmentgrenzen. Diese Systeme dienen dazu, die Integrität der Netzwerke kontinuierlich zu prüfen und Abweichungen sofort zu melden.
6. Notfallmanagement
Sollte es trotz aller Vorsichtsmaßnahmen zu einer Kompromittierung kommen, muss ein klar definierter Notfallplan greifen. Dieser muss sicherstellen, dass Gefährdungen für die Belegschaft ausgeschlossen werden, etwa durch die Möglichkeit einer manuellen Abschaltung über nicht-digitale Infrastrukturen (wie unabhängige Not-Aus-Systeme). Vor einer Wiederinbetriebnahme muss garantiert sein, dass die Sicherheitslücke geschlossen ist und keinerlei Schadsoftwarereste im System verbleiben.
Sicherheit als kontinuierlicher Prozess: Der Sicherheitslebenszyklus
Ein entscheidender Aspekt der TRBS 1115 Teil 1 ist die Erkenntnis, dass Cybersicherheit kein einmaliges Projekt ist, das man nach der Installation abhaken kann. Sie muss über den gesamten Sicherheitslebenszyklus der MSR-Einrichtung hinweg aktiv gelebt werden:
Verfahren zur Überprüfung der Cybersicherheitsmaßnahmen müssen gemäß Richtlinie in folgenden vier Szenarien zwingend etabliert sein:
1. Regelmäßig: In geeigneten, definierten Zeitabständen im laufenden Betrieb.
2. Bei Änderungen: Sobald Modifikationen am Arbeitsmittel oder an den Schutzmaßnahmen vorgenommen werden.
3. Bei neuen Erkenntnissen: Sobald neue Schwachstellenmeldungen, interne oder externe Cybersicherheitsvorfälle bekannt werden.
4. Bei Wandel des Stands der Technik: Wenn sich die allgemeinen Standards und Abwehrmethoden in der IT/OT-Sicherheit weiterentwickeln.
Der Rhebo-Ansatz: Souveräne Umsetzung des Überwachungsmandats
Die Anforderungen an die Sichtbarkeit, Rückwirkungsfreiheit und permanente Kontrolle im Netzwerk sind hoch. Genau hier setzt die Lösung von Rhebo an. Unsere industriellen Anomalieerkennungs- und Monitoringlösungen unterstützen Sie dabei, die strengen regulatorischen Erwartungen der TRBS 1115 Teil 1 mühelos und transparent zu erfüllen:
- Vollständige Netzwerktransparenz: Wir validieren und überwachen kontinuierlich, ob Ihre implementierten Netzwerksegmentierungen in der Praxis fehlerfrei funktionieren und keine unerlaubten Zonenübergänge stattfinden.
- Echtzeit-Anomalieerkennung: Durch die automatisierte Überwachung des OT-Netzwerks identifizieren wir unautorisierte Kommunikationsversuche, unbekannte Geräte oder verdächtige Parameteränderungen sofort im Moment des Entstehens.
- Zielgerichtete Vorfallsanalyse: Im Ernstfall liefern unsere Systeme präzise, detaillierte Daten zum Datenverkehr. Dadurch kann Ihre IT/OT-Mannschaft Bedrohungen sofort isolieren und Notfall- sowie Disaster-Recovery-Pläne schnell und sicher exekutieren.
- Unterstützung bei der Funktionskontrolle: Automatisierte Überwachungssysteme können direkt zur regelmäßigen, vom Gesetzgeber geforderten Kontrolle der Funktionsfähigkeit der Cybersicherheitsmaßnahmen herangezogen werden, um Systemmeldungen zyklisch auszuwerten.
Überprüfen Sie die Belastbarkeit Ihrer Abwehrketten. Die Absicherung schutzbedürftiger MSR-Anlagen ist längst keine rein freiwillige "IT-Best-Practice" mehr, sondern eine verbindliche regulatorische Pflicht für die Betriebssicherheit.
Weitere Informationen und Materialien über die Härtung Ihrer Systeme, kontinuierliches OT-Monitoring oder gesetzlicher Vorgaben finden Sie in unseren Ressourcen. Für ein persönliches Beratungsgespräch können Sie hier einen Termin buchen.
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
Wenn das Werkstor früh schon offensteht – Wie Sie OT-Cyberrisiken minimieren und Ihre Systeme härten
Historisch gewachsene Infrastrukturen, Legacy-Systeme mit Lebenszyklen von über 20 Jahren und der absolute Vorrang der Anlagenverfügbarkeit machen einen blinden „Rundumschlag“ nach klassischem IT-Vorbild unmöglich. Wer versucht, starre IT-Konzepte unüberlegt über die Produktion zu stülpen, riskiert im schlimmsten Fall teure Stillstände.
Wie sieht also eine effektive, praxisnahe OT-Absicherung aus, die reale Budget- und Personalrestriktionen berücksichtigt? Ein guter Ansatz, hier den Blickwinkel zu wechseln und die eigene Infrastruktur mit den Augen eines Angreifers – oder eines Pentesters – zu sehen.
Der Blick aus dem Tagebuch eines Pentesters
Dass selbst gut gemeinte, oberflächliche Härtungsmaßnahmen ins Leere laufen können, zeigen zwei reale Fälle aus der Praxis, die unmissverständlich klarmachen: Cybersicherheit beginnt nicht erst in der Firewall, sondern am Werkstor.
Fallbeispiel 1: In 20 Minuten zur Turbinensteuerung
In einem modernen Kraftwerk hatten die Betreiber bereits vorbildliche Hausaufgaben gemacht: Windows-Updates waren aktuell, Gruppenrichtlinien nach CIS-Benchmarks umgesetzt und starke Passwörter vergeben. Ein Pentest sollte die Wirksamkeit prüfen. Das Ergebnis war ernüchternd: Der Pentester gelangte unbemerkt in einem Fahrzeug auf das Gelände, fand einen offenen Schaltraum vor und steckte sein Notebook an einen zu Wartungszwecken offenen Port einer OT-Firewall. Über einen schlecht konfigurierten OPC-UA-Server der sich als unüberwachter, blinder Fleck herausstellte hatte er innerhalb von nur 20 Minuten uneingeschränkten Lese- und Schreibzugriff auf die sensiblen Turbinensteuerungen des Kraftwerks.
Fallbeispiel 2: Die Hintertür im Leitsystem
Ein anderer Betreiber legte höchsten Wert auf ein transparentes Zugriffsmanagement und richtete für den Support eines Drittanbieters eine strenge Zwei-Faktor-Authentifizierung (2FA) ein. Als ein Wartungsfall eintrat, erledigte der Techniker den Support jedoch komplett ohne die erforderliche Freigabe. Die Ursache? Der Leitsystemhersteller hatte, ohne Wissen des Kunden, ein 5G-Modem als permanente Hintertür direkt im System verbaut. Ohne VPN, ohne Verschlüsselung und rund um die Uhr geöffnet. Jedes Drittunternehmen hatte so unbemerkt freien Zugang direkt ins innerste OT-Netzwerk.
3 Sofort-Maßnahmen für spürbar mehr OT-Sicherheit
Diese Beispiele zeigen: Die größte Gefahr in der OT sind blinde Flecken und mangelnde Sichtbarkeit. Um Ihre Infrastruktur effektiv und ohne Produktionsrisiken zu härten, sollten Sie folgende drei Schritte priorisieren:
- Zuständigkeiten und Prozesse schärfen: Klären Sie eineindeutig, wer von IT- und OT-Seite für welche Komponente zuständig ist. Unüberwachte „Schatten-IT“ oder vergessene Systeme (wie der OPC-UA-Server) sind die Einfallstore Nummer eins.
- Netzwerk segmentieren (Zones & Conduits): Trennen Sie konsequent die IT- Welt, die OT-Infrastruktur sowie Engineering- und Remote-Zugänge. Nutzen Sie gehärtete Firewalls zwischen den Zonen, um laterale Bewegungen von Angreifern im Keim zu ersticken.
- Das Restrisiko mittels passivem Monitoring kontrollieren: Da 100%ige Prävention in der OT (aufgrund von Legacy-Systemen) eine Illusion ist, benötigen Sie ein Frühwarnsystem. Ein netzbasiertes Intrusion Detection System (NIDS) spiegelt die Kommunikation über einen Mirror-Port völlig rückwirkungsfrei. Es erkennt Anomalien, Protokollbrüche und Cyberangriffe in Echtzeit, ohne den industriellen Prozess auch nur im Geringsten zu belasten.
Bereit für das vollständige Pentester-Playbook?
Die Absicherung Ihrer industriellen Infrastruktur ist kein unbezwingbares Mammutprojekt – man muss nur anfangen. Schritt für Schritt.
In unserem neuen „Playbook für OT-Sicherheit – nach Art eines Pentesters“ gehen wir weit über diese ersten Schritte hinaus. Wir führen Sie detailliert durch die zehn wichtigsten organisatorischen und technischen Härtungsmaßnahmen (von Gruppenrichtlinien über Application Whitelisting bis hin zum Incident Management) und zeigen Ihnen, wie Sie die Anforderungen von IEC 62443, ISO 27001 und NIS2 praxisnah und budgetschonend lösen. Eine Video-Serie, welche Beispiele näher erläutert und bildlich beschreibt ist bereits in Arbeit.
Laden Sie sich hier unser kostenloses Playbook herunterladen und sichern Sie Ihre OT-Infrastruktur effektiv ab.
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
OT-Sicherheit nach dem BSI Lagebericht 2025
Eine Kernaussage des 2025er Lageberichts des BSI sticht im Abschnitt “Gemeldete Schwachstellen in Softwareprodukten” des Kapitels “02 Angriffsfläche” heraus: "Besonders das Fehlen von Logging‑ und Monitoring‑Mechanismen erschwert es Unternehmen, Angriffe rechtzeitig zu erkennen und darauf zu reagieren."
Für die OT als generelle Achillessehne industrieller Betriebe hat diese Beobachtung eine besondere Bedeutung.
Zeichen von Präpositionierung
Das beginnt bei der Anzahl der in Deutschland aktiven Advanced Persistent Threats (APT). Deutschland belegt nach den USA, Indien und Japan weltweit Platz 4 der Zielländer von den meist staatlich gesteuerten APT-Gruppen. 28 APTs haben Deutschland im Visier. Das entspricht 25% der weltweit beobachteten Gruppen.
Das BSI deutet in dem aktuellen Lagebericht an, was Rhebos Anne Grätz jüngst im Beitrag “Warum gibt es so wenig Cyberangriffe auf die OT?“ analysiert hat. Bislang fehlen bekannt gewordene Cybersabotage-Akte auf Infrastrukturen, jedoch häufen sich die Anzeichen von Präpositionierungs-Kampagnen durch staatliche APTs wie Sandworm und APT28. Die Anlage fliegt den Betreiber zwar noch nicht um die Ohren, aber die Angreifenden sitzen mitunter bereits am Zünder tief im Netzwerk.
Klassischer Perimeterschutz wird zusehends umgangen
Keine Frage, Firewalls als Perimeterschutz verlieren nicht ihre Relevanz für die Cybersicherheit. Sie werden jedoch immer mehr zu einer ersten Instanz von mehreren. Die BSI-Erkenntnisse verdeutlichen, wie alternativlos eine Defense-In-Depth-Architektur in Industrieunternehmen wird.
- Angreifende versuchen immer häufiger, über legitime Zugänge in Netzwerke einzudringen.
- Optimierte und stark diversifizierte Phishing-Kampagnen werden immer besser und greifen auch ins Private. Phishing erfolgt dabei längst nicht mehr nur über E-Mail (diese sinkt sogar im Anteil). Vishing (Voice, oftmals in Verbindung mit Identitätsdiebstahl aus Social Media), Quishing (QR-Codes im öffentlichen Raum auf maliziöse Webseiten), Smishing (SMS) sowie eine enorm dynamische Entwicklung maliziöser Webseiten (Seiten existieren im Schnitt weniger als zwei Stunden) haben das Arsenal der Phishing-Akteure sichtlich erhöht.
- Die Anzahl bekannt gewordener Schwachstellen ist zum Vorjahr um 24 % erneut gestiegen. Längst müssen Infrastrukturbetreiber davon ausgehen, dass ein System oder ein Kommunikationsweg eine Schwachstelle aufweist.
- Die Anzahl der in einem Honeypot des BSI dokumentierten Exploitations ist um 38 % auf 1.081 gestiegen. Dabei wurden vor allem auch Protokolle angegriffen und ausgenutzt, die in OT-Netzen noch Gang und Gebe sind, u.a. SSH (52%), RDP (22%), Telnet (11%) und VNC (10%). SSH kommt bei Logins zum Einsatz, während RDP und VNC für den Fernzugriff auf Anlagen eine entscheidende Rolle spielen.
- Infizierte Systeme steigen vor allem im IoT-Bereich an. In zwei größeren Vorfällen fand sich Botnetz-Schadsoftware sogar vorinstalliert auf den Geräten.
Im Ergebnis hinkt signaturbasierte Angriffserkennung immer stärker hinterher. Das wird auch durch den Einsatz von Large Language Models (LLMs) beschleunigt. Claude’s Anthropic finden das insgeheim scheinbar sogar richtig cool. Sie wirken in ihrem Beitrag “Disrupting the first reported AI-orchestrated cyber espionage campaign” wie 8-jährige Jungs, die ihre Entdeckung feiern, dass es so komisch kribbelt, wenn man den Nagel in die Steckdose steckt. Man könnte fast meinen, der Text ist ein Bewerbungsschreiben an Cyberkriminelle.
Die Cybersicherheit ist zu langsam in KRITIS
Auf der anderen Seite der Macht geht es dagegen behäbig zu. Die Reifegradbeurteilung des BSI fällt gezwungen optimistisch aus. “Die Resilienz Kritischer Infrastrukturen verbessert sich langsam, aber stetig. Immer mehr KRITIS-Betreiber haben Reifegrad 3 oder besser,” schreibt das Bundesamt im Abschnitt “Kritische Infrastrukturen”.
Jedoch fallen immer noch über 21 % (ISMS) und 36 % (BCSM) unter Reifegrad 1 und 2, eine Verbesserung um gerade einmal 2 % bzw. 1 % zum Vorjahreszeitraum. In einzelnen Sektoren wie Energie und Wasser scheinen Betriebe sogar zurückgestuft worden zu sein, wenn man 2024 und 2025 vergleicht.
Wohlgemerkt, die Pflicht, in ihren kritischen Prozessen und Anlagen ganzheitliche Cybersicherheit umzusetzen, existiert in den Betrieben durch das IT-SiG 2.0 bereits seit mittlerweile knapp 4 Jahren! Und die Angreifenden warten nicht. Im Gegenteil, gemeldete Vorfälle in kritischen Infrastrukturen sind zum Teil beträchtlich gestiegen (Abb. 1).
Was Betriebe mit OT jetzt prüfen sollten
Betriebe mit OT-Systemen und –Netzwerken sollten im ersten Schritt die Angriffsfläche ihrer eigenen Infrastruktur bewerten:
- Sind Geräte aus dem Internet erreichbar?
- Welche Fehlkonfigurationen liegen vor?
- Welche offenen Schwachstellen liegen vor?
- Sind die Kommunikationsflüsse sicher gestaltet?
- Wie sicher sind die Zugriffe auf Anlagen und Systeme?
- Ist das Netzwerk bereits kompromittiert?
Ein Rhebo Industrial Security Assessment untersucht die OT im Detail auf solche bestehenden Sicherheitslücken und Risiken, lokalisiert und analysiert sie. Zusätzlich gibt ein Pentest Aufschluss über weitere offene Flanken und auch organisatorische Sicherheitslücken.
Im zweiten Schritt sollte überprüft werden, ob die OT ausreichend in der Cybersicherheitsinfrastruktur integriert ist. Das BSI empfiehlt seit 2019 ein Sicherheitsmonitoring in Produktionsnetzwerken. Anfang 2025 bestätigte das Bundesamt mit BSI-CS 153 auch für die Stationsautomatisierung ein netzbasiertes Angriffserkennungssystem (NIDS) als effizientes und wichtiges Werkzeug, Angriffe frühzeitig zu erkennen, insbesondere wenn diese nicht bekannte Signaturen verwenden.
Rhebo entwickelt und vermarktet OT- und IIoT-Cybersecurity-Lösungen für Energieunternehmen, Kritische Infrastrukturen und Industrie. Das Unternehmen bietet standortübergreifende Cybersicherheit, Angriffserkennung und Sichtbarkeit in industriellen Netzwerken (ICS) durch OT-Monitoring und Threat & Intrusion Detection von der initialen Risikoanalyse bis zum Betrieb. Rhebo ist seit 2021 Teil der Landis+Gyr AG, einem global führenden Anbieter integrierter Energiemanagement-Lösungen für die Energiewirtschaft mit weltweit rund 5.000 Mitarbeiter:innen in über 30 Ländern.
Rhebo ist Partner der Allianz für Cyber-Sicherheit des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Teletrust – Bundesverband IT-Sicherheit e.V.. Als vertrauenswürdiges IT-Sicherheitsunternehmen ist Rhebo offizieller Träger der Gütesiegel »IT Security Made in Germany« sowie »Cybersecurity Made In Europe«. https://rhebo.com/
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
Wie sieht ein System zur Angriffserkennung (SzA) in der OT nach IT-SiG 2.0 aus?
Vorweg: Ein System zur Angriffserkennung beschreibt kein konkretes Produkt, sondern eine Zielsetzung. Um eine möglichst umfassende Vorstellung zu erhalten, lohnen sich drei Quellen:
- BSIG §2 Abs.9b: “Systeme zur Angriffserkennung im Sinne dieses Gesetzes sind durch technische Werkzeuge und organisatorische Einbindung unterstützte Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme. Die Angriffserkennung erfolgt dabei durch Abgleich der in einem informationstechnischen System verarbeiteten Daten mit Informationen und technischen Mustern, die auf Angriffe hindeuten.” 1
- IT-Sicherheitsgesetz (IT-SiG 2.0) bzw. BSIG §8a: “Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen.” 2
- ENISA (stellvertretend für die international gängige Definition eines Intrusion Detection Systems): “Ein Intrusion Detection System (IDS) ist eine Softwarekomponente […], die den Netzwerkverkehr oder das Verhalten des Betriebssystems auf unbefugte oder böswillige Aktivitäten überwacht und analysiert. Ein IDS-System arbeitet in der Regel im passiven Modus: Es erkennt eine Bedrohung, protokolliert Informationen und löst einen Alarm aus.” 3
Zugegeben, gerade mit Blick auf das BSIG §8a wirkt die Rechtsprechung inkonsistent und unsinnig. Das “sollte” im zweiten Satz reduziert den Kern der Angriffserkennung – die Identifikation von Bedrohungen – auf eine “Kann aber muss nicht”-Option, was der gesamten Zielsetzung zuwiderläuft.
Unserer Meinung nach sollte ein vollwertiges SzA über die schwache rechtliche Definition hinausgehen und den technologischen Common Sense von z. B. ENISA und Mitre berücksichtigen.
Grundlegende Anforderungen an ein SzA
Aus den oben genannten Definitionen lassen sich 5 Anforderungen ableiten, die in der OT berücksichtigt werden sollten.
1. SzA umfassen Technologie, Prozesse und Organisation.
Das ist eine Besonderheit in Deutschland. International beziehen sich die Definitionen ausschließlich auf die Technologie. Der Managementansatz in der deutschen Gesetzgebung ist aber durchaus sinnvoll. Schließlich macht ein Werkzeug noch keine Handwerker. Es braucht Personal, Verantwortlichkeiten und nicht zuletzt klare Abläufe.
2. SzA sitzen innerhalb des unternehmerischen Netzwerks
Aus dieser Anforderung ergibt sich bereits eine Abgrenzung zu Firewalls. Während Firewalls an den Netzwerkgrenzen sitzen und den Blick nach Außen richten, wirkt ein SzA innerhalb der unternehmerischen Netzwerkgrenzen. Firewalls bleiben nach wie vor unabdingbar für die Cybersicherheit. Sie werden jedoch ergänzt durch einen umfassenden Innenblick in die Netzwerke und genutzten Systeme (Abb. 1). Der Grund für diese zweite Verteidigungslinie liegt in der Entwicklung der initialen Angriffsvektoren in den letzten zehn Jahren. Malware und aktives Hacking haben als initialer Vektor abgenommen. Angriffe über ausgenutzte Schwachstellen und gestohlene Zugangsdaten, die Firewalls nicht erkennen, machen mittlerweile über 50 % aus.4,5
SzA können generell host-basiert und netzbasiert integriert werden. Aufgrund der limitierten CPU-Kapazitäten der meisten OT-Komponenten und oftmals proprietären Betriebssysteme, ist ein netzbasiertes Angriffserkennungssystem (NIDS für network intrusion detection system) in der OT am einfachsten und flächendeckendsten umsetzbar.
Für das NIDS Rhebo Industrial Protector werden die Datenkollektoren beispielsweise an Mirrorport-Switchen (Hardware-Lösung) oder auf bestehenden Gateways (Software-Lösung) integriert. Beide Varianten ermöglichen ein schnelles Rollout ohne Beeinträchtigung der laufenden industriellen Prozesse.
3. SzA analysieren die Kommunikation fortlaufend auf verdächtige oder bösartige Vorgänge.
Bedrohungen beschränken sich nicht mehr auf bekannte Muster bzw. Signaturen (siehe Punkt 2). Deshalb ist es sinnvoll und gegeben, die klassische signaturbasierte Angriffserkennung (Firewalls und Virenscanner) durch eine verhaltensbasierte Angriffserkennung (ein NIDS mit Anomalieerkennung) zu ergänzen.
Wie in Punkt 2 erläutert, sind in OT-Netzwerken vor allem netzbasierte Angriffserkennungssysteme (NIDS) sinnvoll und praktikabel. Das NIDS identifiziert Bedrohungen, die sich bereits innerhalb der Netzwerke befinden und neuartigen, komplexen (mehrstufigen) Angriffsmustern folgen. Laterale Bewegungen, Angriffe über Schwachstellen, kompromittierte Nutzerkonten und Living-Off-The-Land (LOTL) Techniken werden dadurch sichtbar und den Verantwortlichen frühzeitig gemeldet.
Zusätzlich können, soweit vorhanden und sicherheitsrelevant, bestehende Loggings der Endgeräte als Quelle genutzt werden. Sinnvoll ist eine Zusammenführung aller Loggings und Alarmmeldungen in einem übergeordneten Security Information & Event Management (SIEM) System, um ein Gesamtbild der Cybersicherheit des Unternehmens (IT und OT) zu erhalten.
4. SzA funktionieren vorrangig passiv
Diese Anforderung ist insbesondere in OT-Netzwerken ausschlaggebend, wo aktives Blocken von Kommunikation und aktive Netzwerkscans unerwünscht sind bzw. betriebsgefährdend sein können. Die passive Funktionsweise ist auch im Zusammenhang der Anomalieerkennungsinnvoll. Nicht alle erkannten Anomalien rechtfertigen automatisch ein aktives, sofortiges Blocken, sondern bedürfen einer kontextuellen Analyse, bevor über eine Reaktion entschieden wird.
5. (Bonus) SzA gehen Hand in Hand mit Prävention und Reaktion
Nichtdestotrotz: Das Ziel der Cybersicherheit ist nicht, Bedrohungen nur zu erkennen, sondern diese auch abzuwehren und zu entfernen. Ein SzA bildet vielmehr das Fundament, um überhaupt aktiv gegen Bedrohungen und Vorfälle vorgehen zu können.
Es erkennt Bedrohungen und liefert alle relevanten Informationen für das Incident Response Team, um ein sicherheitsrelevantes Ereignis schnell zu verstehen und zielgerichtet reagieren zu können. Zu diesen Informationen gehören u.a.:
- beteiligte Systeme und Komponenten (IP-, MAC-Adressen),
- zeitlicher Verlauf,
- assoziierte Vorgänge,
- verwendete Protokolle,
- Inhalte der Vorgänge.
Ein NIDS wie Rhebo Industrial Protector liefert deshalb zu jeder detektierten Anomalie das Packet Capture (pcap), in dem alle Daten und Metainformationen zum Vorfall gespeichert sind.
Organisatorisch hilft ab einer gewissen Größe der Infrastruktur ein Security Operation Center (SOC), um alle Maßnahmen und Funktionen unter einem Dach zu vereinen.
1 https://www.gesetze-im-internet.de/bsig_2009/__2.html
2 https://www.gesetze-im-internet.de/bsig_2009/__8a.html
3 ENISA: Proactive Detection of Security Incidents, 2012
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 (151) 5633-9726
E-Mail: press@rhebo.com
Die Lage der OT-Cybersicherheit 2024/2025
Gleichzeitig befinden sich viele Industrieunternehmen noch am Anfang, wenn es um eine strukturierte und wirksame OT-Cybersicherheitsstrategie geht. Rhebo hat die Entwicklungen der OT-Cybersicherheit für 2024/2025 in seinem Bericht “Die Lage der OT-Cybersicherheit 2024/2025 – Metriken und Trends, global und lokal” zusammengefasst und um Insights aus Praxisprojekten bei industriell geprägten Unternehmen erweitert.
In der Kürze:
- Global wird OT-Cybersicherheit zunehmend systemrelevant. Cybervorfälle in der IT beeinträchtigen durch spill-over in die OT immer häufiger auch physische Prozesse. Verschleierungstaktiken, Living-off-the-Land-Techniken, Zero-Day-Schwachstellen, gestohlene Zugangsdaten und Präpositionierung verschärfen die Bedrohungslage. 2024 wurden gleich drei neue OT-fähige Schadprogramme in einem Jahr bekannt.
- In der EU nimmt die Regulierung Fahrt auf: Mit NIS2 und dem Cyber Resilience Act werden über 400.000 Unternehmen zu Cybersicherheit verpflichtet. Doch die Umsetzung verläuft schleppend. Schwachstellen in Lieferketten, Angriffe über Remote-Zugänge und fehlende Transparenz bei verwendeten Komponenten sind (nicht nur in Europa) weit verbreitet.
- Deutschland belegt bei der Anzahl bösartiger Akteure, die das Land im Fokus haben, weltweit Platz 2. Nur die USA steht einer größeren Anzahl cyberkrimineller Gruppen gegenüber. Dennoch haben laut BSI nur 31 % der Betreiber kritischer Infrastrukturen in den Versorgungssektoren alle „MUSS“-Anforderungen an ein System zur Angriffserkennung erfüllt.
- Rhebo hat im Rahmen von Rhebo Industrial Security Assessments zahlreiche OT-Netzwerke analysiert. Die Ergebnisse zeigen, dass grundlegende Schwachstellen bestehen bleiben, die potenzielle Angriffsflächen eröffnen. Und sie zeigen, wie groß der Bedarf an Sichtbarkeit und Überwachung der Legacy-Systeme ist.
Die gute Nachricht: Viele Unternehmen wollen ihre OT-Sicherheit aktiv verbessern.
Doch der Weg dorthin erfordert:
- Sichtbarkeit und Transparenz über Systeme und Kommunikationsflüsse.
- Technologisches Verständnis für OT-spezifische Risiken und Schwachstellen.
- Verlässliche Prozesse zur Erkennung und Bewertung von Sicherheitsvorfällen.
- Partnerschaftliche Unterstützung bei Analyse, Monitoring und Qualifikation.
In vielen Fällen fehlt es weniger am Willen – sondern an der Klarheit, wie und womit man starten sollte. Ein Rhebo Industrial Security Assessment liefert Sichtbarkeit und Transparenz über die Risiken in der OT – und schafft die Grundlage für ein sinnvolles System zur Angriffserkennung in der OT.
Laden Sie sich das eBook “Die Lage der OT-Cybersicherheit 2024/2025 – Metriken und Trends, global und lokal” kostenfrei herunter: https://www.rhebo.com/de/downloads/die-lage-der-ot-cybersicherheit-2024-2025—metriken-und-trends-global-und-lokal
Rhebo entwickelt und vermarktet OT- und IIoT-Cybersecurity-Lösungen für Energieunternehmen, Kritische Infrastrukturen und Industrie. Das Unternehmen bietet standortübergreifende Cybersicherheit, Angriffserkennung und Sichtbarkeit in industriellen Netzwerken (ICS) durch OT-Monitoring und Threat & Intrusion Detection von der initialen Risikoanalyse bis zum Betrieb. Rhebo ist seit 2021 Teil der Landis+Gyr AG, einem global führenden Anbieter integrierter Energiemanagement-Lösungen für die Energiewirtschaft mit weltweit rund 5.000 Mitarbeiter:innen in über 30 Ländern.
Rhebo ist Partner der Allianz für Cyber-Sicherheit des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Teletrust – Bundesverband IT-Sicherheit e.V.. Als vertrauenswürdiges IT-Sicherheitsunternehmen ist Rhebo offizieller Träger der Gütesiegel »IT Security Made in Germany« sowie »Cybersecurity Made In Europe«. https://rhebo.com/
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Head of Marketing
Telefon: +49 341 – 393 790 0
E-Mail: oliver.kleindienst@rhebo.com
Webcast: »IT-SiG 2.0: So sichern Sie in wenigen Monaten Ihre Netzleittechnik« | Dienstag, 28. Juni (Webinar | Online)
Die Zeit rennt!
Betreibenden Kritischer Infrastrukturen im Energiesektor und Wassersektor bleiben weniger als 12 Monate, um auch die Netzleit- und Fernwirktechnik durch ein effizientes Angriffserkennungssystem abzusichern. Firewalls genügen nicht. Die Netzleit- und Fernwirktechnik ist häufig eine Blackbox in Bezug auf Assets, Zugänge und Vorgänge. Und Personal und Zeit sind knapp.
In diesem Webinar sprechen wir mit Alexander Harsch von der CyberRange-e, dem Trainingszentrum für Cybersicherheit für Energieversorgungsunternehmen, über die Herausforderungen und Best Practices der Cyberabwehr in Kritischen Infrastrukturen
In drei kurzweiligen Vorträgen erfahren Sie:
Die Agenda
15:00 Uhr – Welche Risiken, Anomalien und Sicherheitslücken in Netzleit- und Fernwirktechnik gang und gebe sind
Richard Stüber, Sales Manager
Rhebo
15:20 Uhr – Auf welche Angriffsszenarien Energieversorger vorbereitet sein sollten, welche Schwierigkeiten die trainierenden Unternehmen erleben und welche Best Practices sich bei der Abwehr von Cyberangriffen bewährt haben
Alexander Harsch, Head of Cyber Security Resilience
E.ON
15:40 Uhr – »Wie Sie in wenigen Monaten den Weg von der Risikoanalyse zu einem funktionierenden und laufenden Angriffserkennungssystem in der Netzleit- und Fernwirktechnik beschreiten und die ITSiG 2.0-Deadline einhalten
Richard Stüber, Sales Manager
Rhebo
Über Richard Stüber
Richard Stüber ist als Sales Manager der Rhebo GmbH verantwortlich für die Beratung und Betreuung von Neu- und Bestandskunden aus den Bereichen Energie, Kritische Infrastrukturen sowie industrielle Automatisierung. Bei Kundenprojekten in Industrie und IoT konnte er in den letzten Jahren sein Wissen und seine Erfahrungen in den Bereichen Cybersecurity, Angriffserkennung und Netzwerkstabilität vertiefen. Herr Stüber ist studierter Wirtschaftsinformatiker.
Alexander Harsch
Head of Cyber Security Resilience – E.ON
Alexander Harsch ist seit 2016 Leiter der Cyber Resilience Abteilung der E.ON. Er unterstützt Netzbetreiber und Stadtwerke bei der Umsetzung, der Ausgestaltung und Einrichtung zertifizierungsfähiger ISMS auf Basis des IT-Sicherheitskataloges der Bundesnetzagentur und der internationalen Standards ISO/IEC 27001 und ISO/IEC TR 27019. Zuvor arbeitete er über 10 Jahre in der Unternehmensberatung bei PricewaterhouseCoopers im Bereich „Cyber & Forensics“.
Eventdatum: Donnerstag, 28. Juli 2022 15:00 – 16:00
Eventort: Online
Firmenkontakt und Herausgeber der Eventbeschreibung:
Rhebo GmbH
Spinnereistr. 7
04179 Leipzig
Telefon: +49 (341) 393790-180
Telefax: +49 (341) 393790-0
http://www.rhebo.com
Weiterführende Links
verantwortlich. Dieser ist in der Regel auch Urheber der Eventbeschreibung, sowie der angehängten
Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH
übernimmt keine Haftung für die Korrektheit oder Vollständigkeit des dargestellten Events. Auch bei
Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit.
Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung
ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem
angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen
dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet