Umsetzung in der Praxis: Vorgehen, Tools, Standards

Die Basis jeder effektiven OT-Segmentierung bildet eine fun­dierte Bestandsaufnahme. „Ohne passive Asset-Discovery ­laufen Unternehmen Gefahr, ihr Netzwerk auf Basis falscher Annahmen zu segmentieren“, warnt A. Zuech. Im ersten Schritt werden daher mittels passiver Verkehrsanalyse alle Geräte, Kommunikationsflüsse und verwendeten Protokolle identifiziert – ohne den laufenden Betrieb zu stören.

Mit diesen Informationen erfolgt das Flow Mapping: die Abbildung und Analyse der realen Kommunikationsbeziehungen zwischen OT-Assets. Darauf aufbauend werden Zonen und Conduits nach IEC 62443 definiert. Zonen gruppieren Assets mit ähnlichen Risikostufen und Sicherheitsanforderungen, während Conduits die kontrollierten Kanäle darstellen, die die Kommunikation zwischen verschiedenen Zonen ermöglichen. Jede Zone erhält dabei ein Ziel-Sicherheits-Niveau (Security Level Target, SL), das festlegt, welchen Schutzgrad sie mindestens erfüllen muss – abhängig von ihrer Bedeutung für die Produk­tion und der potenziellen Schadenshöhe im Angriffsfall.

Wie ein solches Modell in der Praxis aussehen kann, zeigt die Tabelle: Sie veranschaulicht beispielhaft, wie industrielle Systeme, wie ERP-Server, Historian, Scada, SPS oder Feldgeräte, in funktionale Zonen (Z1 – Z5) eingeteilt und mit spezifischen Protokollen, SL-Anforderungen und Übergängen versehen werden. Solche Tabellen dienen als wichtige Grundlage für die tech­nische Umsetzung, beispielsweise für die Konfiguration von Firewalls, das Whitelisting von Verbindungen oder das Einrichten sicherer Fernzugänge. In der Umsetzung werden je nach Netzstruktur und Komplexität unterschiedliche Formen der Segmentierung eingesetzt: von physischer Trennung über VLAN bis hin zu industriellen DMZ und Mikrosegmentierung auf Anwendungsebene. Welcher technische Ansatz gewählt wird, hängt maßgeblich vom konkreten Umfeld ab, zum Beispiel von der Heterogenität der Anlage, der verfügbaren Dokumentation oder der Anforderungsdichte im Produktionsprozess.

Auf dieser Grundlage kann ein logisches Sicherheitsdesign entwickelt werden, das sich eng an den tatsächlichen Prozessflüssen orientiert. Insbesondere ältere, heterogene Umgebungen stellen dabei Herausforderungen dar: Fehlende Dokumentation, proprietäre oder veraltete Protokolle und geringe Skalierbarkeit erhöhen das Risiko unbeabsichtigter Störungen. In solchen Fällen entscheidet eine sorgfältige Erkundungs- und Migrations­planung über den Projekterfolg.

Praxisbeispiel: Modernisierungsstrategie in der Chemieindustrie

Ein Beispiel aus der Praxis verdeutlicht die Sinnhaftigkeit der Segmentierung: Ein multinationales Unternehmen aus der Chemieindustrie implementierte OT-Segmentierung als Teil einer umfassenden Modernisierungsstrategie. Dies geschah nicht als reaktive Maßnahme nach einem Sicherheitsvorfall, sondern als proaktiver Schritt zur Stärkung der Wettbewerbsfähigkeit und Erhöhung der Betriebsresilienz. Die zweijährige Implementierungsphase umfasste dabei neben der technischen Umsetzung auch die systematische Einbindung und Schulung unterschiedlicher Projektgruppen – von der lokalen OT-Mannschaft über die Unternehmens-IT bis hin zu Ingenieursteams und Anlagen­leitern. Dieser ganzheitliche Ansatz erwies sich als entscheidend für den Projekterfolg und die nachhaltige Akzeptanz der neuen Sicherheitsarchitektur. Dadurch erreichte das Werk nicht nur ein deutlich höheres Schutzniveau gegen Cyberbedrohungen, sondern konnte auch die Einhaltung der CRA-Vorschriften beschleunigen und sich so als proaktiver Vorreiter in Sachen Sicherheit und Regulierungsbereitschaft positionieren.

Fazit und Ausblick

Im Zuge der zunehmenden Vernetzung wird OT-Segmentierung also ein immer wichtigerer Pfeiler für Resilienz und langfristige Betriebskontinuität. Der Trend geht zur Integration von Segmentierung mit kontinuierlichen Monitoring-Lösungen, starker Authentifizierung, Privileged Access Management und Zero-Trust-Prinzipien, die auf die OT-Landschaft zugeschnitten sind. Segmentierung wird damit zum Ausgangspunkt, nicht zum Ziel, auf dem Weg zur cyberindustriellen Reife von Unternehmen. „Angesichts geopolitischer Krisen, globaler Lieferengpässe und beschleunigter Digitalisierung wird der Schutz industrieller Anlagen immer wichtiger. Schon heute ist das keine reine Technik­aufgabe mehr, sondern eine strategische Pflicht. OT-Segmentierung ist einer der ersten ganz praktischen Schritte, um widerstandsfähiger zu werden”, betont A. Zuech.