OT/ICS Security — SCADA, Modbus & das Purdue-Modell

OT-Grundlagen & Purdue-Modell — die Architektur industrieller Netzwerke

Das Purdue-Modell (ISA-95/IEC 62264) definiert die hierarchische Architektur industrieller Netzwerke in 6 Levels: Level 0 — Physical Process: Die physische Welt (Sensoren, Aktoren, Motoren, Ventile). Level 1 — Basic Control: PLCs (Programmable Logic Controllers), RTUs (Remote Terminal Units), die direkt Geräte steuern. Level 2 — Area Supervisory: SCADA-Server, HMI (Human Machine Interface), Engineering Workstations. Level 3 — Site Operations: Historian-Server, MES (Manufacturing Execution System), Patch-Server. DMZ: Zwischen OT (Level 0–3) und IT (Level 4–5) — streng kontrollierter Übergang. Level 4–5 — IT/Enterprise: ERP, E-Mail, Internet. Das Kardinalsprinzip: Keine direkte Kommunikation zwischen IT und OT — immer über die DMZ.

Die IT/OT-Konvergenz ist 2026 Realität: Industrie 4.0, IoT-Sensoren und Cloud-basierte Analytics erfordern Datenaustausch zwischen OT und IT. Aber: OT-Systeme haben fundamental andere Anforderungen als IT: Verfügbarkeit > Vertraulichkeit (ein Produktionsstillstand kostet Millionen pro Stunde), Echtzeitfähigkeit (Steuerungsprozesse tolerieren keine Latenz), Lebenszyklus 15–30 Jahre (PLCs aus den 2000ern laufen noch), Patching ist oft nicht möglich (Herstellerzertifizierung, keine Wartungsfenster, Safety-Validierung erforderlich). Diese Unterschiede machen klassische IT-Security-Ansätze („einfach patchen“, „Antivirus installieren“) in OT-Umgebungen ungeeignet oder sogar gefährlich.

• SCADA-Protokolle — ohne Security designt: Modbus (1979) — keinerlei Authentifizierung, Verschlüsselung oder Integritätsprüfung. Jeder im Netzwerk kann Modbus-Befehle senden: Register lesen, Coils setzen, Outputs ändern. DNP3 (Distributed Network Protocol) — in SCADA-Systemen für Energie/Wasser verbreitet, optional DNP3 Secure Authentication (selten implementiert). OPC Classic (OLE for Process Control) — basiert auf Microsoft DCOM, inhärent unsicher (dynamische Ports, keine Verschlüsselung). OPC UA (Unified Architecture) — der moderne Nachfolger mit eingebauter Verschlüsselung und Authentifizierung (X.509-Zertifikate). Empfehlung 2026: OPC UA statt OPC Classic für alle Neuinstallationen.
• PLCs und RTUs — die verwundbarsten Komponenten: PLCs (Siemens S7, Allen-Bradley, Schneider Modicon, ABB) sind spezialisierte Computer, die physische Prozesse steuern. Sicherheitsprobleme: Default-Passwörter (viele PLCs haben keine oder triviale Passwörter — Siemens S7-300: kein Passwortschutz für CPU-Zugriff standardmäßig), Keine Firmware-Signierung (Angreifer kann modifizierte Firmware flashen), Keine Netzwerk-Segmentierung (PLCs im selben Netzwerk wie Office-PCs), Veraltete Betriebssysteme (Engineering Workstations mit Windows 7/XP). Shodan-Suche nach öffentlich erreichbaren PLCs liefert 2026 immer noch tausende Ergebnisse.
• HMI (Human Machine Interface) als Angriffsziel: HMIs sind die Visualisierungs- und Bedienoberflächen für Operatoren — sie zeigen Prozessdaten an und ermöglichen manuelle Eingriffe. Sicherheitsrisiken: HMIs laufen oft auf Standard-Windows-PCs mit veralteten Softwareversionen, Web-basierte HMIs (Trend 2026) sind anfällig für Web-Schwachstellen (XSS, SQL Injection, Default Credentials). Ein Angreifer, der die HMI kontrolliert, sieht den gesamten Prozesszustand und kann Befehle an PLCs senden. Besonders gefährlich: Der Angreifer kann die HMI-Anzeige manipulieren, sodass der Operator falsche Werte sieht („alles normal“), während im Hintergrund gefährliche Aktionen ausgeführt werden — genau das machte Stuxnet.
• Historian-Server — die Brücke zwischen IT und OT: Historian-Server (OSIsoft PI, GE Historian, Wonderware) sammeln Prozessdaten aus der OT-Umgebung und stellen sie der IT-Seite zur Verfügung (für Business Intelligence, Predictive Maintenance, Reporting). Sie stehen typischerweise in der DMZ und haben Verbindungen zu beiden Seiten — ein perfektes Pivot-Ziel für Angreifer. Kompromittierung des Historians → Zugriff auf OT-Netzwerk. Best Practice: Unidirektionale Data Diodes (Waterfall, OPSWAT) — physikalisch erzwungener Einweg-Datenfluss von OT nach IT (kein Rückkanal möglich, selbst bei Kompromittierung).

ICS-Angriffe & Bedrohungen — wenn Cyberangriffe physisch werden

ICS-Angriffe sind die gefährlichste Kategorie von Cyberangriffen, weil sie physische Konsequenzen haben können. Die Geschichte der ICS-Angriffe beginnt mit Stuxnet (2010) — einem von den USA und Israel entwickelten Wurm, der iranische Uranzentrifugen (Siemens S7-315/S7-417 PLCs) manipulierte: Die Zentrifugen drehten sich mit falscher Geschwindigkeit, während die HMI normale Werte anzeigte. Stuxnet zerstörte schätzungsweise 1.000 von 5.000 Zentrifugen in Natanz. Seit Stuxnet gab es weitere signifikante ICS-Angriffe: BlackEnergy/Industroyer (2015/2016) — Angriff auf das ukrainische Stromnetz, 225.000 Kunden stundenlang ohne Strom. TRITON/TRISIS (2017) — Angriff auf das Safety Instrumented System (SIS) einer saudi-arabischen Petrochemie-Anlage — der einzige bekannte Angriff, der explizit Safety-Systeme kompromittierte.

• TRITON/TRISIS — der gefährlichste ICS-Angriff: TRITON zielte auf Schneider Electric Triconex Safety Instrumented Systems (SIS). SIS sind die letzte Verteidigungslinie in Industrieanlagen — sie überwachen kritische Parameter (Druck, Temperatur, Füllstand) und fahren den Prozess sicher herunter, wenn Grenzwerte überschritten werden. Der Angreifer (russische Hackergruppe XENOTIME/TEMP.Veles) modifizierte die SIS-Firmware, um die Safety-Logik zu deaktivieren — gleichzeitig hätte er den Prozess manipulieren können, ohne dass das SIS eingegriffen hätte. Potenzielles Ergebnis: Explosion, Freisetzung toxischer Stoffe, Todesfälle. Der Angriff wurde nur durch einen Bug in der Malware entdeckt, der einen SIS-Trip auslöste.
• Industroyer2 (2022) — erneuter Angriff auf die Ukraine: Im April 2022 setzte die russische Sandworm-Gruppe Industroyer2 gegen ukrainische Hochspannungs-Umspannwerke ein — während des laufenden Krieges. Die Malware nutzte IEC 60870-5-104 (ein SCADA-Protokoll für Energienetze), um Leistungsschalter zu öffnen. Der Angriff wurde durch CERT-UA und ESET kurz vor der Ausführung entdeckt und verhindert — andernfalls hätten 2 Millionen Menschen den Strom verloren. Lehre: ICS-Angriffe sind eine aktive Waffe in geopolitischen Konflikten, nicht nur eine theoretische Bedrohung.
• Ransomware in OT-Umgebungen: Ransomware-Gruppen zielen 2026 zunehmend auf Produktionsunternehmen: Nicht weil sie PLCs verschlüsseln (das können die meisten nicht), sondern weil die Verschlüsselung von IT-Systemen (Historian, MES, ERP, Engineering Workstations) die Produktion lahmlegt. Ohne MES kann die Produktion nicht geplant werden. Ohne Historian gibt es keine Prozessdaten. Ohne Engineering Workstation können PLCs nicht programmiert werden. Norsk Hydro (2019): LockerGoga Ransomware → 170 Produktionsstandorte auf Handbetrieb → Schaden: 75 Mio. USD. Colonial Pipeline (2021): DarkSide Ransomware → Billing-System verschlüsselt → Pipeline abgeschaltet → Benzinknappheit an der US-Ostküste.
• Living-off-the-Land in OT: Angreifer nutzen legitime OT-Protokolle und -Tools für bösartige Aktionen: Modbus-Befehle zum Ändern von Sollwerten (kein separates Angriffstool nötig — ein einfaches Python-Skript genügt). Engineering-Software (Siemens TIA Portal, Rockwell Studio 5000) zum Modifizieren von PLC-Programmen. Remote-Desktop auf HMI/Engineering Workstations über legitime VPN-Verbindungen. Die Erkennung ist extrem schwierig, da die Aktionen von legitimer Wartung nicht zu unterscheiden sind. Lösung: OT Network Monitoring (Claroty, Nozomi Networks, Dragos) — Deep Packet Inspection für OT-Protokolle, Anomalieerkennung auf Prozessebene.

OT-Defense & IEC 62443 — industrielle Sicherheitsstandards

IEC 62443 ist der internationale Standard für industrielle Cybersicherheit — er definiert Anforderungen für Asset-Eigentümer, Systemintegratoren und Komponentenhersteller. Die Kernkonzepte: Zones & Conduits — das OT-Netzwerk wird in Sicherheitszonen aufgeteilt, die über definierte Conduits (kontrollierte Kommunikationswege) verbunden sind. Jede Zone hat ein Security Level (SL) von SL 1 (Basis) bis SL 4 (State-Level-Angreifer). Defense in Depth — mehrere Verteidigungsschichten: Netzwerksegmentierung, Zugangskontrolle, Monitoring, Incident Response. Security Lifecycle — Sicherheit über den gesamten Lebenszyklus: Assess, Implement, Maintain.

• Netzwerksegmentierung (Purdue-Modell umsetzen): 1) Industrielle Firewalls zwischen Level 3 (Site Operations) und Level 2 (Supervisory): Nur spezifische Protokolle/Ports erlauben (OPC UA: 4840, Modbus TCP: 502). 2) DMZ zwischen IT und OT: Historian-Mirror in der DMZ, kein direkter Zugriff von IT auf OT. 3) Data Diodes (Waterfall, OPSWAT, Owl Cyber Defense) für den Einweg-Datenfluss OT → IT (physikalisch garantiert, kein Rückkanal). 4) Micro-Segmentierung: Jede PLC-Zelle in einem eigenen VLAN, Firewalls zwischen Zellen. 5) Jump Server / PAW: Kein direkter Zugriff auf OT-Systeme — nur über dedizierte, gehärtete Workstations in der DMZ.
• OT-Monitoring & Anomalieerkennung: Claroty, Nozomi Networks, Dragos Platform — spezialisierte OT-Security-Plattformen, die: Passive Netzwerküberwachung durchführen (kein aktives Scanning — das könnte PLCs zum Absturz bringen!), Deep Packet Inspection für OT-Protokolle (Modbus, DNP3, S7comm, EtherNet/IP, OPC UA), Asset Discovery (welche PLCs, HMIs, Engineering Workstations existieren im Netzwerk?), Anomalieerkennung (ungewöhnliche Modbus-Befehle, neue Netzwerkverbindungen, PLC-Programmänderungen, Firmware-Updates). Kritisch: Niemals aktive Vulnerability-Scanner (Nessus, Qualys) auf OT-Netzwerke loslassen — selbst ein Portscan kann ältere PLCs zum Absturz bringen.
• Patch-Management in OT — die besondere Herausforderung: Patching in OT ist fundamental anders als in IT: 1) Herstellerfreigabe erforderlich — Patches müssen vom OT-Hersteller (Siemens, ABB, Rockwell) für die spezifische Anlage zertifiziert sein. 2) Wartungsfenster extrem begrenzt — einige Anlagen laufen 24/7, Wartungsfenster nur alle 6–12 Monate. 3) Safety-Revalidierung — nach einem Patch muss die Safety-Funktion erneut validiert werden. Alternative Schutzmaßnahmen („Virtual Patching“): IPS-Regeln auf der OT-Firewall, die den Exploit blockieren, Netzwerk-Segmentierung als Isolierung, Application Whitelisting auf Engineering Workstations (nur zugelassene Software darf laufen).
• NIS2 & KRITIS — regulatorische Anforderungen 2026: Die NIS2-Richtlinie (EU 2022/2555) klassifiziert zahlreiche OT-Sektoren als „wesentlich“ oder „wichtig“: Energie, Wasser, Transport, Fertigung, Lebensmittel, Chemie. Anforderungen: Risikomanagement (inkl. Supply-Chain-Sicherheit), Incident-Meldepflicht (24 Stunden für Erstmeldung, 72 Stunden für vollständigen Bericht), Persönliche Haftung der Geschäftsführung. In Deutschland: IT-Sicherheitsgesetz 2.0 und KRITIS-Verordnung — BSI-Zertifizierung, Angriffserkennungssysteme (SzA) Pflicht seit 2023, Audit alle 2 Jahre. IEC 62443 wird zunehmend als Nachweis-Framework für NIS2-Compliance akzeptiert.