Netzwerk-Sicherheitsüberwachung für OT/ICS & IoT

Fabriken, Versorger und Krankenhäuser betreiben Steuerungen, die sich nicht schnell patchen lassen, nicht aktiv gescannt werden dürfen und nie für feindliche Netze entworfen wurden. Passive Sensoren, die Industrieprotokolle dekodieren, bauen ein Asset-Inventar auf, lernen, wie „normale“ Kommunikation aussieht, und melden bösartige Befehle, neue Geräte und prozessrelevante Änderungen, ohne das Produktionsnetz zu berühren. Typischer Nutzen: Sichtbarkeit dort, wo bisher keine war, und eine prüfbare Grundlage für die Compliance mit NIS2 und IEC 62443.

Problem & Nutzen

• Heute: Viele Anlagen haben nur Asset-Listen in Tabellen, flache oder schlecht segmentierte Netze und IT-Sicherheitswerkzeuge, die OT-Protokolle entweder nicht verstehen oder empfindliche Geräte beim aktiven Scannen stören. OT-Patchzyklen sind an Wartungsfenster gebunden, die in Monaten oder Jahren gemessen werden.
• KI-Nutzen: automatische Asset-Erkennung aus dem Datenverkehr, Verhaltensbasislinie dazu, wer mit welchem Funktionscode mit welcher SPS spricht, Erkennung ungewöhnlicher Schreib-/Stopp-/Firmware-Befehle und Priorisierung von Schwachstellen nach Ausnutzbarkeit und Netzwerkexposition statt allein nach CVSS.
• Regulatorischer Sog: NIS2 weitet Sicherheits- und Meldepflichten auf Betreiber in Energie, Wasser, Verkehr, Fertigung und Gesundheit aus; IEC 62443 ist der De-facto-Technikstandard; der Cyber Resilience Act (CRA) drängt Hersteller vernetzter Produkte, sichere und aktualisierbare Komponenten auszuliefern [1][2][3].
• Bedrohungskontext: Die MITRE-ATT&CK-for-ICS-Matrix dokumentiert reale ICS-Techniken, und öffentliche Warnungen von CISA und nationalen Behörden (in Deutschland das BSI) zeigen wiederkehrend aus dem Internet erreichbare Steuerungen [4][5].

Varianten

• Diskrete Fertigung: PROFINET-/S7-/EtherNet/IP-Zellen, Fernwartungszugänge der Hersteller, Überwachung von Engineering-Stationen.
• Energie und Versorger: IEC 104, DNP3, IEC-61850-Umspannwerke, dezentrale Energieanlagen und Smart-Grid-Edge-Geräte.
• Wasser, Verkehr, Gebäudeautomation: Modbus, BACnet, Bahn- und Flughafensysteme.
• Gesundheitswesen / IoMT: Erkennung und Segmentierung von Medizingeräten und Gebäude-IoT (klinische Sicherheit hat Vorrang).
• KMU nur mit IoT: verwaltete Dienste oder in die Firewall integrierte OT-Sichtbarkeit statt einer eigenen Plattform.

So funktioniert es

1. SPAN/TAP at OT switches (passive, one-way)
2. protocol dissectors (Modbus, S7, PROFINET, IEC 104, OPC UA, DNP3 ...)
3. asset fingerprinting (vendor, model, firmware, role)
4. live inventory
5. baseline learning (communication graph, function codes, polling cycles, value ranges)
6. detection: rules/signatures (known ICS malware, CVE exploits) + anomaly models (new flow, new write command, protocol deviation)
7. enrichment with vulnerabilities and exposure
8. risk score
9. alert triage (LLM-assisted summary)
10. SIEM/SOAR/firewall
11. OT security team

• Sensoren laufen am Standort (oft industriegehärtete Appliances der Klasse HW1) und senden Metadaten, nicht den Rohverkehr, an eine zentrale Konsole; Standorte ohne Netzanbindung (Air Gap) nutzen lokale Konsolen.
• KI-Komponenten: unüberwachte und graphbasierte Basislinien der Kommunikationsmuster, Sequenzmodelle für das Verhalten bei Befehlen/Funktionscodes, Klassifikatoren für die Geräteerkennung und seit 2025 LLM-Assistenten zur Erklärung von Alarmen und für Abfragen in natürlicher Sprache. Anomalien bei Prozesswerten (Temperaturen, Drücke) sind eine eigene Disziplin, siehe ANOM-005.
• Mensch-in-der-Schleife (Human-in-the-Loop): OT-Ingenieure bestätigen, ob ein gemeldeter Schreibzugriff eine legitime Wartungsmaßnahme ist; Eindämmung (Sperren, Isolieren einer Zelle) erfolgt bei sicherheitsrelevanten Assets nie automatisch ohne Freigabe des Anlagenbetreibers.

Datenaufbereitung

Das Rohmaterial ist Netzwerkverkehr: SPAN-/Mirror-Port- oder TAP-Kopien von OT-Switches sowie Asset-Listen aus dem Engineering (SPS- und HMI-Listen, Netzpläne, Firmware-Versionen) und Patch- oder Schwachstellendaten der Hersteller. In einem mittelständischen Fertigungsbetrieb sind diese über die Dokumentation des Automatisierungslieferanten, eine Excel-Liste beim Wartungsteam und die Köpfe einiger Experten verstreut.

Typische Lücken: veraltete oder fehlende Netzpläne, kein Asset-Inventar, nicht verwaltete Switches, die keinen Verkehr spiegeln können, flache Netze, die IT und OT vermischen, unbekannte Verantwortliche je Zelle und keine Basislinie des „normalen“ Betriebs.

Schritte zur Vorbereitung: 1. Eine Asset-Liste aus der Anlagendokumentation in einer Tabelle zusammenführen (PREP-011) und Datenverantwortliche benennen (PREP-004). 2. Die Sensorplatzierung mit dem Automatisierungslieferanten planen und Änderungsfenster klären. 3. Zwei bis vier Wochen Basisverkehr sammeln, bevor Alarme eingeschaltet werden. 4. Bekannte Wartungs- und Engineering-Tätigkeiten kennzeichnen, damit sie nicht gemeldet werden (PREP-020). 5. Schwachstellen- und Asset-Daten aus Herstellersystemen exportieren (PREP-005).

Werkzeuge: verwaltete Switches oder TAPs, eine Sensor-Appliance, Zeek, Excel oder CMDB. Grober Aufwandsanteil: 30–40 Prozent, vor allem Inventar und Netzwerkzugang; siehe GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• Großunternehmen: Weg A — ausgereifte OT-Überwachungsprodukte (passive Sensoren, Protokoll-Parser für Modbus, S7, OPC UA, IEC 104) sind mit Anlagenherstellern erprobt, und Protokolldekoder selbst zu schreiben und zu pflegen lohnt sich für eine zentrale Produktionsumgebung nicht.
• Öffentlicher Sektor (Versorger, kommunale Anlagen): Weg A — ein Produkt mit Sensoren und Analyse vor Ort (On-Premises), KRITIS-/NIS2-fähiger Berichterstattung und deutschem oder EU-Support wählen; OT-Verkehr darf den Standort nicht verlassen.
• Entwickler: Weg C — Zeek mit ICS-Parsern, Malcolm oder Security Onion plus Open-Source-Anomalieerkennung ermöglichen es Integratoren und Forschenden, die Überwachung auf einem kleinen Server aufzubauen und anzupassen.

Weg A — Kaufen (Standardsoftware)

• OT/ICS-Plattformen: Nozomi Networks (Guardian-Sensoren, Vantage), Claroty (xDome, CTD), Dragos Platform (Threat-Intelligence-geführt, mit dem Dienst OT Watch), Rhebo (DE, EU), Armis (agentenlose Asset-Intelligenz inkl. IoT), Forescout, Microsoft Defender for IoT, OT-Module von Fortinet und Palo Alto; Siemens SINEC Security Guard und Industrial-Edge-Apps für Siemens-Bestände.
• EU / regional: Rhebo (Deutschland); prüfen Sie außerdem verwaltete OT-SOC-Dienste europäischer Integratoren und Partnerschaften mit nationalen CERTs.
• Prüfen: Protokollabdeckung für Ihre Steuerungsmarken, rein passiver Betrieb, Option einer Konsole vor Ort, SIEM- und Firewall-Konnektoren, IEC-62443-Berichte, Datenstandort und Souveränität der Cloud-Konsole.
• A wählen, wenn: Sie kritische oder wesentliche Einrichtungen betreiben, kein OT-Sicherheitspersonal haben oder schnell auditfähige Nachweise brauchen.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Selten ein vollständiger Ersatz. Nutzen Sie Cloud-LLMs (Azure OpenAI in EU-Region, Mistral, Claude, Gemini), um Alarme aus der API der Plattform zusammenzufassen, Befunde auf IEC 62443 / ATT&CK for ICS abzubilden und Vorfallberichte gemäß den NIS2-Fristen für die Frühwarnung zu entwerfen. Senden Sie niemals Rohverkehr oder Prozessdaten der OT ohne ausdrückliche Entscheidung zur Datenklassifizierung an externe APIs.
• Über SIEM (Microsoft Sentinel, Splunk, Elastic) und SOAR integrieren; siehe SEC-001.

Weg C — Selbst betreiben (Open Source)

• Sensoren und Parser: Zeek mit ICS-Protokollanalysatoren, Suricata mit ICS-Regelsätzen, CISAs Malcolm (Suite zur Paketaufzeichnung und -analyse) und CISAs offene ICSNPP-Parser [6]; Arkime für die Volltextsuche in Paketen.
• Asset- und Schwachstellendaten: NetBox, OpenVAS/Greenbone (nur auf Testumgebungen, nicht auf produktiven SPS), CISA KEV und ICS-Advisories.
• Analytik: OpenSearch oder Elastic, Grafana, scikit-learn / PyOD / Graphbibliotheken für Basislinien; kleine LLMs mit offenen Gewichten (Llama, Qwen, Mistral Small über Ollama oder vLLM) zur Alarmzusammenfassung auf HW1-/HW2-Hardware.
• Aufwand: erheblich; Sie pflegen Parser, Regeln und Feinabstimmung. Gut für Forschung, Labore, kleine Standorte und Lehre.

Weg D — Eigenes Training

Lohnt sich nur für Hersteller, große Betreiber mit ungewöhnlichen proprietären Protokollen oder die Forschung. Erfordert pro Standort Wochen bis Monate sauberer Basis-Mitschnitte sowie gelabelte Angriffssimulationen aus Testumgebungen (nicht aus laufenden Anlagen). Öffentliche Datensätze, etwa aus ICS-Testumgebungen, gibt es, sie lassen sich aber schlecht zwischen Standorten übertragen.

Stand der Technik (2026)

• Passive Deep Packet Inspection plus Verhaltensbasislinien ist der ausgereifte Kern; führende Anbieter kombinieren sie mit kuratierter Threat Intelligence (bekannte ICS-Schadsoftware-Familien, Angreifergruppen) und expositionsbasierter Schwachstellenpriorisierung.
• Konvergenz der Sichtbarkeit von IT, OT und IoT (ein gemeinsames Asset-Inventar, einheitliches Expositionsmanagement) ist der wichtigste Anbietertrend; ebenso die Einbindung von OT-Alarmen in IT-SOC-Abläufe und Analysten-Assistenten auf Basis generativer KI.
• Zero-Trust-Segmentierung für OT: Aus beobachteten Datenflüssen abgeleitete Richtlinienvorschläge speisen Firewall-Regeln (IEC-62443-Zonen und -Conduits).
• Grenzen: Verschlüsselte Protokolle (OPC UA mit Sicherheit, TLS) verringern die Inspektionstiefe; im Lernmodus erstellte Basislinien können eine bereits bestehende Kompromittierung einschließen; Fehlalarme nehmen nach Prozessänderungen zu; die Abdeckung proprietärer oder älterer Protokolle ist ungleichmäßig; Angriffserkennung auf der Ebene der Prozessphysik ist noch unausgereift. Anomalie-Alarme ohne Prozesskontext überfordern kleine Teams.

Gemeinsame Bausteine & Kombinationen

• Teilt Streaming- und Anomalieerkennungsfähigkeiten mit SEC-006 (IDS für das IT-Netz) und SEC-005 (Verhaltensanomalien); Alarme fließen in SEC-001 (SOC-Triage).
• SEC-004 (Schwachstellenmanagement), SEC-008 (Threat Intelligence) und SEC-009 (NIS2-/ISO-Compliance-Automatisierung) nutzen das Inventar und die Befunde.
• ANOM-005 und PRED-006 überwachen den physischen Prozess; zusammen mit der Netzwerkerkennung trennen sie Cybervorfälle von Anlagenstörungen.
• SEC-012 (Bedrohungsmodellierung) nutzt die erkannte Topologie für den Entwurf von Zonen und Conduits.

Aufwand, Kosten & Kennzahlen

• Weg A: 2–6 Monate für einen ersten Rollout an mehreren Standorten (Sensorplatzierung, SPAN-Konfiguration, Basislinienbildung, Feinabstimmung); die Kosten fallen üblicherweise je Sensor/Standort plus Abonnement an; holen Sie Angebote ein, die Preise sind nicht öffentlich.
• Weg C: 3–9 Monate Engineering für ein vergleichbares Ergebnis; geringe Lizenzkosten, hohe Personalkosten.
• Kennzahlen: Anteil der inventarisierten OT-Assets im Vergleich zur Realität, mittlere Zeit bis zur Erkennung und Bestätigung, Fehlalarmrate je Standort und Woche, Anteil kritischer Schwachstellen mit Ausgleichsmaßnahmen, Segmentierungsabdeckung (definierte Zonen und Conduits), Bereitschaft zur Vorfallmeldung gegenüber den NIS2-Fristen.

Menschen & Veränderung

Anlagenbetrieb und IT-Sicherheit arbeiten oft in getrennten Welten, daher beziehen Sie beide von Anfang an ein. Die Geschäftsführung finanziert und trägt das Risiko; die Fachbereichsleitung (Anlagen- oder Produktionsleitung) stimmt Sensorplatzierung und Änderungsfenster ab; IT und IT-Sicherheit betreiben die Überwachung; Datenverantwortliche und externe Lieferanten (Automatisierungshersteller, Integratoren) liefern Asset-Daten und genehmigen jede Verbindung zu ihren Systemen; die Rechtsabteilung prüft die Pflichten nach NIS2 und KRITIS.

Betriebsrat: abhängig vom Einzelfall. Die Verkehrsanalyse betrifft überwiegend Maschine-zu-Maschine-Kommunikation, aber wenn Anmeldungen von Bedienern, Befehle von Engineering-Arbeitsplätzen oder Schichtaktivitäten namentlich genannten Personen zugeordnet werden können, ist das System objektiv zur Verhaltensüberwachung geeignet und §87 Abs. 1 Nr. 6 BetrVG greift. Informieren Sie den Betriebsrat trotzdem früh (§90 Abs. 1 Nr. 3) und vereinbaren Sie, dass Alarme auf Geräte und Anomalien zielen, nicht auf die Leistung Einzelner (GUIDE-004). Behörden beziehen den Personalrat ein. Sind personenbezogene Daten sichtbar (Benutzernamen), binden Sie die bzw. den Datenschutzbeauftragten ein und prüfen Sie eine Datenschutz-Folgenabschätzung (DSFA) (GUIDE-005).

Beginnen Sie mit einem passiven Pilot in einer Produktionszelle, nur Alarmierung, keine automatische Sperre, denn Fehlalarme können die Produktion stören (GUIDE-009). Typische Sorgen: „Stört es den Prozess?“ (passiv heißt: kein aktives Scannen) und „Wer wird beobachtet?“. Fördern Sie die KI-Kompetenz von Bedienern und Sicherheitspersonal (Art. 4 KI-Verordnung, GUIDE-006, GUIDE-008). Menschen entscheiden über jede Reaktion in der Anlage.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Das Überwachungssystem selbst ist in der Regel ein minimales Risiko. Ist die KI eine Sicherheitskomponente beim Management und Betrieb kritischer Infrastruktur (Anhang III Nr. 2), könnten Pflichten gelten; ein reines Werkzeug zur Cyber-Erkennung ist es normalerweise nicht, prüfen Sie aber im Einzelfall. Eine Praxis nach Art. 5 ist nicht berührt, es sei denn, die Daten werden zur Überwachung einzelner Beschäftigter genutzt, was zu vermeiden ist [7].
• NIS2 / KRITIS: Wesentliche und wichtige Einrichtungen brauchen Risikomanagement, Vorfallmeldung (Frühwarnung innerhalb von 24 Stunden) und Lieferkettensicherheit; Leitungsorgane haften [1]. Der CRA fügt Pflichten zur Behandlung von Schwachstellen für Produkthersteller hinzu [3].
• IEC 62443: Zonen und Conduits, Sicherheitsstufen, sichere Entwicklung; ordnen Sie Überwachungsnachweise den Anforderungen von 62443-2-1 und 3-3 zu [2].
• DSGVO: Verkehrsmetadaten können Bediener-IDs, Benutzernamen, Ausweis- oder Wartungszugangsprotokolle und IP-Adressen enthalten; binden Sie den Betriebsrat ein, minimieren und pseudonymisieren Sie und legen Sie Aufbewahrungsfristen fest.
• Risiken und Gegenmaßnahmen: falsch konfigurierte Sensoren, die die Produktion stören (passive TAPs nutzen, in einer Staging-Umgebung testen), Cloud-Konsole, die die Anlagentopologie offenlegt (On-Premises oder EU-Hosting bevorzugen), Alarmmüdigkeit (stufenweise Feinabstimmung), Vergiftung der Basislinie (Lernphase validieren), Anbieterbindung (offene Exportformate, SIEM-Integration).

Erste Schritte

1. Mit dem OT-Engineering, nicht nur mit der IT, die zentralen Prozesse („Kronjuwelen“) und die Verantwortlichkeiten des Anlagenbetreibers festlegen.
2. Fähigkeiten der Switches (SPAN-/TAP-Punkte) bestätigen und das Netz abbilden; für die Architektur den Leitlinien von NIST SP 800-82 folgen [5].
3. Einen zeitlich begrenzten passiven Erkennungspilot an einem Standort durchführen (4–8 Wochen), mit zwei Anbietern oder mit Malcolm/Zeek als Vergleichsbasis.
4. Inventar und Befunde mit dem Anlagenpersonal prüfen; Reaktions-Playbooks und Eskalation an die OT-Verantwortlichen festlegen.
5. An das SIEM anbinden, die Segmentierung anhand beobachteter Datenflüsse planen und die Berichterstattung mit den NIS2-Pflichten abstimmen.

Quellen

1. Directive (EU) 2022/2555 (NIS2) - https://eur-lex.europa.eu/eli/dir/2022/2555/oj
2. ISA/IEC 62443 series overview - https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards
3. Regulation (EU) 2024/2847 (Cyber Resilience Act) - https://eur-lex.europa.eu/eli/reg/2024/2847/oj
4. MITRE ATT&CK for ICS - https://attack.mitre.org/matrices/ics/
5. NIST SP 800-82 Rev. 3, Guide to Operational Technology Security - https://csrc.nist.gov/pubs/sp/800/82/r3/final
6. CISA Malcolm and ICSNPP (Idaho National Laboratory / CISA) - https://github.com/cisagov/Malcolm
7. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
8. Nozomi Networks platform documentation - https://www.nozominetworks.com/
9. Dragos platform - https://www.dragos.com/
10. Rhebo Industrial Protector - https://rhebo.com/en/
11. BSI - Industrial control systems security - https://www.bsi.bund.de/EN/