IEC 62443 trifft Zero Trust: So entsteht Cyberresilienz in OT-Systemen

Industrieanlagen waren lange Zeit ausreichend geschützt – nicht wegen technischer Abwehr, sondern weil OT-Systeme schlicht isoliert betrieben wurden. Mit der zunehmenden Vernetzung im Zuge des Industrial Internet of Things (IIoT) hat sich dieses Sicherheitsgefühl jedoch grundlegend verändert. Warum markiert IIoT ein Wendepunkt in jeder OT-Sicherheitsstrategie? Bevor wir nach vorne blicken, müssen wir verstehen, wie alles begann.

So hat die IIoT die OT-Sicherheit grundlegend verändert.

Vor der Anbindung von OT-Anlagen (Operational Technology) ans Internet glichen diese Systeme isolierten Inseln: Sie waren auf hohe Verfügbarkeit und stabile Funktion ausgelegt. Cybersicherheit galt als nachrangig. Unternehmen vertrauten weitestgehend darauf, dass keine externe Erreichbarkeit bestand.

Mit dem Industrial Internet of Things (IIoT) änderte sich dieses Bild grundlegend: OT-Systeme wurden vernetzt. Plötzlich kommunizierten sie per VPN, Webinterface oder Remote-Zugriff.

Damit entstand eine neue Verwundbarkeit: Ein Angreifer brauchte nur ein einziges Paket in die OT-Insel zu bringen, um Prozesse zu manipulieren, Konfigurationen zu ändern oder sogar physischen Schaden zu verursachen. Die Ransomware NotPetya 2017 zeigte das eindrücklich: Produktionslinien wurden lahmgelegt und weltweit hohe Kosten verursacht.

Sobald OT-Systeme vernetzt werden, müssen Sicherheits- und Safety-Aspekte von Anfang an gleichwertig mitgeplant und umgesetzt werden.

Neue CISA-Bewertung: Unsichere OT führt zu hohen Ausfall- und Folgekosten

Am 6. Mai 2025 haben CISA, FBI, EPA und DOE das Fact Sheet «Primary Mitigations to Reduce Cyber Threats to Operational Technology» veröffentlicht. Darin wird vor anhaltenden Cyberangriffen auf OT- und ICS-Umgebungen gewarnt.

Besonders betroffen sind die Branchen Energie, Verkehr und Wasser.

1.  Angreiferprofil: Bereits wenig erfahrene Cyberakteure («unsophisticated cyber actor») sind in der Lage ungeschützte OT-Geräte mittels leicht verfügbaren Standard-Tools zu kompromittieren.

2.  Mögliche Folgen:

Konfigurationsänderungen: Selbst einfache Manipulationen können zu Produktionsstillständen führen.

Physischer Schaden: Ausfälle von Pumpen, Turbinen oder Ventilen können teure Reparaturen nach sich ziehen.

Erhebliche Kosten: Jede Minute Produktionsstopp kostet in kritischen Infrastrukturen schnell hunderte bis tausende Euro.

3.  Zentrale Schwachstellen: Viele OT-Systeme sind immer noch direkt ans Internet angeschlossen, ohne ausreichende Authentifizierungs- oder Autorisierungsmechanismen.

Wer jetzt nicht handelt, riskiert grössere Ausfälle und erhebliche finanzielle Schäden.

CISA Fact Sheet: Diese 5 Empfehlungen schützen gegen OT-Risiken

1.  OT-Verbindungen zum öffentlichen Internet entfernen

Problem: Öffentliche IP-Adressen von OT-Geräten sind direkte Angriffsziele.

Lösung: Alle öffentlichen IP-Adressen identifizieren, entfernen oder mit dedizierten Firewalls und Zugangskontrollen schützen.

Erklärung: Wenn OT-Systeme gar nicht erst erreichbar sind, sinkt das Risiko einer Bedrohung von aussen.

2.  Standardpasswörter ändern und starke, individuelle Passwörter verwenden

Problem: Viele OT-Geräte verwenden noch Default-Credentials (Standard-Benutzernamen und -Passwörter), die leicht ausgetrickst werden können.

Lösung: Alle Standardpasswörter sofort ändern und die neuen Passwörter zentral in einem Passwort-Management-Tool verwalten.

Erklärung: Ein zentrales Password Management vereinfacht die Kontrolle und sorgt für regelmässige Passwortroutinen.

3.  Remote-Zugriff auf OT-Netzwerke absichern

Problem: Unverschlüsselter oder nicht authentifizierter Remote-Zugriff (z. B. über SSH Port 22 oder RDP Port 3389) öffnet Angreifern die Tür.

Lösung: Remote-Zugriff nur über private Netzwerke erlauben, gesichert durch VPNs, Multi-Faktor-Authentifizierung (MFA) und strikte Zugriffskontrollen.

Erklärung: Mit VPN und MFA ist der Zugriff auf OT-Systeme für Unbefugte erheblich schwieriger.

4.  IT- und OT-Netzwerke segmentieren

Problem: Wenn IT- und OT-Netze im gleichen Netzwerk sind, kann sich ein Angreifer leicht von IT zu OT bewegen.

Lösung: Kklare, physische und logische Grenzen zwischen IT- und OT-Netzen setzen und Mikrosegmentierung nach Zero-Trust-Prinzipien nutzen.

Erklärung: Eine strikte Trennung verhindert, dass ein kompromittiertes IT-System automatisch Zugriff auf OT-Geräte hat.

5.  Manuelle Betriebsfähigkeit der OT-Systeme üben und aufrechterhalten

Problem: Wenn automatisierte Steuerungen ausfallen, kann ein manueller Betrieb ohne Übung chaotisch werden.

Lösung: Offline-Backups erstellen, redundante Kontrollpunkte aufsetzen und regelmässig Notfallübungen durchführen, damit bei Ausfall die Produktion manuell weiterlaufen kann.

Erklärung: Ein gut geprobter Notfallplan reduziert Ausfallzeiten und mindert Folgeschäden.

Warum IEC 62443 und Zero Trust unverzichtbar sind.

Zwei Frameworks, die in einem integrierten Sicherheitskonzept perfekt zusammenspielen: IEC 62443 schafft den Rahmen, Zero Trust übernimmt die kontinuierliche Kontrolle.

Um zu verstehen, wie beide Ansätze zusammenspielen, lohnt sich zuerst ein Blick auf ihre Grundlagen – von der strukturellen Ordnung durch IEC 62443 bis zur kontinuierlichen Kontrolle durch Zero Trust.

Was ist IEC 62443? Der industrielle Sicherheitsgurt.

Industrielle Anlagen zählen zu den attraktivsten Zielen – und zugleich zu den schwierigsten Umgebungen, wenn es um Sicherheit geht. Die Norm IEC 62443 schafft hier die notwendige Struktur, um komplexe OT-Systeme abzusichern.

Definition von IEC 62443: Der Standard IEC 62443 ist ein Normensystem, das Best Practices sowie klare Rollen und Verantwortlichkeiten für die Sicherheit industrieller Automations- und Kontrollsysteme (IACS) beschreibt.

Strukturell lässt sich diese Norm in drei Hauptbestandteile fassen:

1.  Secure Product Development (Teil 4 x): Richtlinien für die sichere Entwicklung von Produkten und Komponenten.

2.  Systemarchitektur und Risikoanalyse (Teil 2 x): Top-down-Ansatz zur Planung einer sicheren Systemarchitektur.

3.  Technische Anforderungen (Teil 3 x): Konkrete Sicherheitsanforderungen für einzelne Komponenten, Controller und Systemintegratoren.

Nutzen: IEC 62443 schafft klare und einheitliche Vorgaben und erleichtert Audits, erhöht die Transparenz und stellt sicher, dass alle Beteiligten wissen, wer für welchen Teil verantwortlich ist.

Zero Trust: Das logische und kontinuierliche Sicherheitsmodell

Moderne Angriffe umgehen klassische Schutzmechanismen längst im Inneren der Systeme – oft unbemerkt und über legitime Konten. Zero Trust setzt genau hier an und etabliert eine Sicherheitslogik, die Angreifenden keine Bewegungsfreiheit mehr lässt.

Grundprinzip von Zero Trust: «Never trust, always verify» basiert auf dem von NIST eingeführten Zero-Trust-Architekturkonzept und bedeutet, absolut niemandem zu vertrauen und jeden Zugriff zu prüfen.

Zero Trust basiert auf vier zentralen Bausteinen:

1. Feingranulare Authentifizierung und Autorisierung: Jede Verbindung und jeder Zugriff werden einzeln geprüft.

2. Mikrosegmentierung: Netzwerke werden in sehr kleine Zonen unterteilt, statt grosse Bereiche offen zu lassen.

3. Kontinuierliche Überwachung und Verhaltensanalysen: Echtzeit-Analyse von Nutzeraktionen und Geräteverhalten, um ungewöhnliche Aktivitäten sofort zu erkennen.

4. Dynamische Policy Anpassung: Zugriffsregeln werden je nach Bedrohungslage, Identity und Kontext laufend angepasst.

Nutzen von Zero Trust: Selbst wenn ein Angreifer in ein System eindringt, bleibt er in einer moderaten Zone isoliert und kann sich nicht unentdeckt lateral bewegen.

Zero Trust Readiness AssessmentStarke Synergieeffekte: IEC 62443 und Zero Trust

Durch die Kombination von IEC 62443 und Zero Trust entsteht eine starke und übersichtliche Sicherheitsarchitektur:

1.  Zonen und Kommunikationswege (IEC 62443) als Basis für Mikrosegmentierung (Zero Trust)

•    Einteilung in Zonen (z. B. Produktion, Mes, Engineering) definiert, welche Geräte und Dienste zusammengehören.

•    Zero Trust legt anschliessend fest, wie und wann Daten zwischen diesen Zonen ausgetauscht werden dürfen.

2.  Security Levels (IEC 62443) als Grundlage für risikobasierte Zugriffsentscheidungen (Zero Trust)

•    Jedes Gerät wird, je nach Kritikalität, einem Security Level (SL 1-4) zugewiesen.

•    Zero Trust Richtlinien nutzen diese Einstufung, um beispielsweise strengere MFA Checks für SL-4-Controller vorzuschreiben, während SL-1-Sensoren weniger restriktiv geprüft werden.

3.  Klare Verantwortlichkeiten (IEC 62443) und technische Umsetzung (Zero Trust)

•    IEC 62443 definiert, wer welchen Zuständigkeitsbereich abdeckt (z. B. Betriebsleiter, Security Manager, Systemintegrator).

•    Zero Trust stellt die technische Kontrolle sicher (z. B. dynamische Policy Anpassung, Monitoring).

•    In Kombination verhindern IEC 62443 und Zero Trust, dass Sicherheitsaufgaben in Silos stecken bleiben.

Praxisbeleg: So schützen IEC 62443 und Zero Trust gemeinsam

Die Firma «FabrikTech AG» (Name von der Redaktion geändert) ist ein mittelständisches Produktionsunternehmen, das mechanische Teile herstellt und bislang eine veraltete OT- Infrastruktur hatte.

Die OT-Netzwerkstruktur war flach, es gab keine Segmentierung, viele Geräte verwendeten Standardpasswörter, und der Remote-Zugriff erfolgte per einfacher Portweiterleitung.

Ein Mitarbeitender klickte versehentlich auf einen Phishing Link. Binnen Minuten war ein SCADA-Controller infiziert, die Produktion stand still. Der Schaden lag im mittleren sechsstelligen Bereich, dazu kam ein erheblicher Reputationsverlust.

Der Angriff legte die wahren Schwachstellen offen. Von hier aus begann ein gezielter Transformationsprozess, der IEC 62443 und Zero Trust Schritt für Schritt zusammenführt und die Infrastruktur nachhaltig absichert.

1.  Gap Analyse (IEC 62443 Teil 2 x): Zuerst wurde die aktuelle Systemarchitektur analysiert und alle Assets inventarisiert. Jedes Gerät erhielt eine Einstufung nach Security Levels.

2.  Zonendefinition und Kommunikationswege: Es wurden klare Zonen eingerichtet: Produktion, Mes, Büro, Externe Partner.

3.  Zero Trust Framework:

Identity Gateway: Jedes OT-Gerät meldet sich zentral an und wird authentifiziert.

Mikrosegmentierung: Nur der SCADA-Server erhält Lese- und Schreibzugriff auf bestimmte PLCs.

Kontinuierliches Monitoring: Ein System überwacht in Echtzeit das Verhalten und erkennt Auffälligkeiten sofort. Bei Suspicions werden Zugriffe automatisch blockiert.

4.  Hybrid geschützt in die Zukunft:

Laterale Bewegung ausgeschlossen: Selbst wenn ein Phishing-Angriff gelingt, kann der Angreifer nicht von der Bürozone in die Produktionszone wechseln.

Minimale Ausfallzeit: Ein Produktionsstopp könnte maximal wenige Stunden dauern, weil Notfallprozeduren und manuelle Betriebsmodi vorhanden sind.

Audit? Kein Problem: Im Compliance-Audit erhielt das Unternehmen Bestnoten, da alle Prozesse dokumentiert sind und Reporting-Tools automatisch Berichte erstellen.

Der hybride Ansatz aus IEC 62443 und Zero Trust verbindet organisatorische und technische Massnahmen optimal. Dadurch sinken Ausfallzeiten und Kosten im Ernstfall deutlich.

Wo steht OT Security in Zeiten von Industrie 4.0 und KI?

Die OT Landschaft entwickelt sich rasant weiter:

• Edge Computing und KI-gestützte Analyse: Systeme überwachen Anlagen in Echtzeit und erkennen Anomalien dank Machine Learning Anomalien noch bevor es zu Ausfällen kommt.
• Autonome Produktionssysteme und Digital Twins: Virtuelle Abbilder physischer Anlagen (Digital Twins) ermöglichen Simulationen und Vorhersagen, wie sich Änderungen auf den Betrieb auswirken.
• Cloud integrierte OT/IT Konzepte: Hybrid Cloud Lösungen koppeln On Premises OT mit modernen Cloud Analysen.

Unternehmen, die frühzeitig auf diese Trends setzen, gewinnen:

– Mehr Resilienz: KI erkennt und reagiert in Echtzeit auf Cyberbedrohungen und Anomalien.

– Schnellere Innovationszyklen: Pilotprojekte in Testumgebungen lassen sich effizient in den Live Betrieb überführen.

– Nachweisliche Compliance: IEC 62443 und Zero Trust werden zunehmend als Voraussetzung für Kunden, Investoren und Regulatoren gesehen.

Stärken Sie Ihre OT-Sicherheit mit der hybriden Lösung von InfoGuard

Der Weg von einer isolierten OT-Insel hin zu einer vernetzten, resilienten Infrastruktur gelingt nicht mit Einzelmassnahmen, sondern nur mit einer klaren, priorisierten Sicherheitsstrategie.

Die 4 wichtigsten Erkenntnisse aus dem CISA Fact Sheet:

1. 1. Entfernen Sie OT Assets aus dem öffentlichen Internet.
   2. Setzen Sie auf starke Authentifizierung und Password Management.
   3. Segmentieren Sie IT und OT konsequent.
   4. Üben Sie Notfallszenarien und stellen Sie manuelle Betriebsmodi sicher.

Durch die Kombination von IEC 62443 und Zero Trust entsteht ein ganzheitliches Sicherheitskonzept, das Ihr Unternehmen fit für die Zukunft macht.

Bitte denken Sie daran: Bereits ein einzelner offener Port kann eine sicherheitsrelevante Schwachstelle bilden.

InfoGuard unterstützt Sie dabei, diesen Ansatz pragmatisch und wirksam umzusetzen. 350 Expert*innen stehen Ihnen im DACH-Raum zur Seite, von der Gap-Analyse über die Zonen- und Kommunikationsmodellierung bis hin zur technischen Mikrosegmentierung, Identity-Security und dem Aufbau auditfester Prozesse. So entsteht eine OT-Sicherheitsarchitektur, die Angriffen standhält und gleichzeitig regulatorischen Anforderungen entspricht.

Warten Sie nicht, bis ein Vorfall Ihre Schwachstellen sichtbar macht! Gestalten Sie Ihre OT-Sicherheit proaktiv. Kontaktieren Sie uns, gemeinsam entwickeln wir eine resiliente, zukunftsfähige Sicherheitsstrategie, die Ihre industriellen Anlagen erfolgreich schützt.

Kontaktieren Sie uns