October 26, 2026

OT-Sicherheit: Produktion mit der IT verbinden, ohne Steuerungen offenzulegen

Am 29. Dezember 2025 wurden bei einem polnischen Produktionsunternehmen zahlreiche Computer durch Schadsoftware gelöscht. Das Bundesamt für Cybersicherheit (BACS) beschreibt den Angriff in seinem am 24. August 2026 veröffentlichten Halbjahresbericht. Der Einstieg erfolgte nicht über eine Maschine in der Werkhalle. Er erfolgte über die Perimeter-Firewall des Unternehmens, deren Konfiguration samt Passwörtern bei einem früheren Vorfall gestohlen worden war und in einem kriminellen Online-Forum frei verfügbar war. Laut BACS scheint dieses Opfer rein zufällig getroffen worden zu sein, weil die Angreifer eine Möglichkeit erkannten.

Am selben Tag richtete sich dieselbe Kampagne gegen Wind- und Photovoltaikparks und ein Heizkraftwerk. Die Fernzugriffspunkte waren dort ohne Multi-Faktor-Authentifizierung direkt dem Internet ausgesetzt, Passwörter wurden auf mehreren Geräten wiederverwendet, und teils waren noch die werkseitigen Standardpasswörter eingestellt. Das BACS hält fest, dass ihm keine Cybersabotageangriffe gegen Schweizer Ziele bekannt sind. Die Lehre gilt trotzdem überall: Angreifer zielen nicht unbedingt zuerst auf die Steuerung. Oft nutzen sie das Netzwerk, Fernzugänge oder IT-Systeme, über die sie anschliessend die Werkhalle erreichen können.

Was unterscheidet OT-Sicherheit von IT-Sicherheit?

OT-Sicherheit schützt physische Prozesse, nicht nur Daten. Ihre Priorität ist die Verfügbarkeit und die Sicherheit der Anlage, während die Büro-IT zuerst die Vertraulichkeit schützt.

OT, Operational Technology, bezeichnet die Geräte, die die Produktion steuern: speicherprogrammierbare Steuerungen, SCADA-Leitsysteme, Bedienoberflächen, Sensoren und Antriebe. Das BACS fasst es so zusammen: «Mit der Absicherung von industriellen Steuerungssystemen (Industrial Control Systems, ICS) werden nicht nur Daten geschützt, sondern auch die Infrastruktur, Prozesse und Menschen.»

Drei Unterschiede verändern das Vorgehen.

Für einen Patch hält man keine Linie an. Ein Neustart wird mit der Produktion geplant, in den geplanten Stillständen. Die Geräte bleiben viel länger in Betrieb als ein Büro-PC.
Ein Automat bleibt oft mit dem System in Betrieb, das er bereits am Tag der Inbetriebnahme hatte. Viele Industrieprotokolle wurden nicht für ein feindliches Netz entwickelt.
Modbus zum Beispiel authentifiziert den Absender eines Befehls nicht. Jedes Gerät mit ausreichendem Netzwerkzugriff kann potenziell Anfragen oder Befehle an die Steuerung senden.

Daraus folgt etwas Einfaches. In der OT lässt sich ein grosser Teil der Sicherheit nicht im Gerät einbauen, sondern muss darum herum entstehen, im Netzwerk.

Wo dringen Angreifer in ein Industrienetz ein?

Über die Berührungspunkte zwischen Werk und Aussenwelt: die Perimeter-Firewall, die Fernzugriffe, geteilte Konten und nie geänderte Passwörter. Von den drei Angriffen, die das BACS beschreibt, begann keiner bei einer Steuerung.

Das Szenario wiederholt sich. Angreifer beschaffen sich gültige Zugangsdaten, gestohlen, wiederverwendet oder voreingestellt. Sie kommen über ein VPN oder eine exponierte Administrationsoberfläche herein, schalten aus, was sie stören könnte, und bewegen sich dann zu den Systemen, die zählen. Beim Heizkraftwerk erkundeten sie im Laufe von etwa einem Monat die Systemlandschaft und ermittelten, welche Systeme die industriellen Steuerungen erreichen konnten.

Ein Detail des Berichts verdient die Aufmerksamkeit der Betriebsverantwortlichen. Mit den gestohlenen Zugangsdaten durchsuchten die Angreifer auch E-Mails und geteilte Dokumentenablagen der Opfer, gezielt nach Dateien zu ICS, OT und SCADA. Netzpläne, Adressen der Steuerungen und Wartungsanleitungen in geteilten Ordnern liefern Angreifern wertvolle Informationen und erleichtern die Ausnutzung von Software-Schwachstellen.

Muss das Produktionsnetz vollständig isoliert werden?

Nein, weil das selten möglich und fast nie wahr ist. Sobald ein MES, ein ERP oder ein Wartungswerkzeug Daten aus der Werkhalle liest, gibt es keine vollständige Isolation mehr. Was schützt, ist ein kontrollierter Übergang, der in ein klares Konzept zur Steuerung der Datenflüsse zwischen Werk und restlichem Informationssystem eingebunden ist.

Das BACS verlangt: «ICS-Netze und Büronetze müssen strikt getrennt sein oder durch ein klares Zonenkonzept voneinander abgeschottet werden.» Die zweite Variante entspricht der Realität der meisten Standorte.

Das Purdue-Modell, eine Karte der Ebenen

Das Purdue-Modell ist eine in der Industrie verbreitete Schichtendarstellung, die als Karte dient, bevor man Grenzen zieht. Es ist keine Norm, sondern ein Ordnungsraster.

Ebene	Inhalt	Beispiel
0 und 1	Der Prozess und seine direkte Steuerung	Sensoren, Aktoren, Steuerungen
2	Die Überwachung der Werkhalle	SCADA, Bedienoberflächen
3	Der Betrieb des Standorts	MES, Historisierung, Produktionsplanung
3,5	Die Austauschzone	Industrie-DMZ
4 und 5	Die Unternehmens-IT	ERP, E-Mail, Internetzugang

Die Regel passt in einen Satz. Kein Datenfluss geht direkt von den Ebenen 4 und 5 zu den Ebenen 0 bis 2. Alles läuft über die Austauschzone.

Die Industrie-DMZ, eine kontrollierte Übergangszone

Die Industrie-DMZ ist eine Pufferzone zwischen der Unternehmens-IT und der Werkhalle. Sie beherbergt oder vermittelt die Dienste, die für den Datenaustausch zwischen beiden Bereichen erforderlich sind, ohne direkte und unkontrollierte Verbindungen zwischen ERP, Büroarbeitsplätzen und Industrieanlagen zuzulassen. Fernzugriffe sollten idealerweise über einen Fernwartungs-Bastion-Host geführt werden. Die erlaubten Datenflüsse werden ausdrücklich gefiltert und protokolliert.

Die internationale Norm IEC 62443 fasst dieselbe Idee in die Begriffe Zonen und Conduits. Eine Zone fasst Geräte mit gleichem Vertrauensniveau zusammen, ein Conduit ist der einzige erlaubte Weg zwischen zwei Zonen, mit seinen Filterregeln. Das Vokabular hilft im Gespräch mit einem Integrator. Entscheidend ist, für jeden Datenfluss zu wissen, wo er beginnt, wo er endet und warum.

Wie verbindet man Produktionsstandorte mit dem Hauptsitz und dem ERP?

Über ein privates Netz, das nicht über das Internet läuft, mit einem vertraglichen Servicelevel und Vorrang für die Produktionsdaten. Ein Werk, das seine Produktionsdaten über eine Internetverbindung an das ERP am Hauptsitz meldet, schafft eine Angriffsfläche, die es nicht braucht.

Ein MPLS-Netz verbindet die Standorte über ein durchgehend privates Netzwerk. Die Verbindung von Konnektivität und Cybersicherheit ermöglicht es, den Datenaustausch zwischen Industriestandorten und Informationssystem besser zu kontrollieren. Bei CELESTE ist der Dienst durch ein SLA mit 99,95 % Verfügbarkeit und einer Wiederherstellungszeit von 4 Stunden garantiert. Zudem stehen sechs Serviceklassen zur Verfügung. Damit lassen sich Überwachungsdaten vor Dateiübertragungen oder Video priorisieren, was wichtig ist, wenn ein Leitstand von der Verbindung abhängt. CELESTE stützt sich in der Schweiz auf eigene Infrastrukturen und die langjährige Erfahrung seiner Teams mit Telekommunikationsdiensten für Unternehmen.

Ein privates Netz ersetzt die Segmentierung innerhalb des Standorts nicht. Es garantiert, dass der Verkehr zwischen Werk und Hauptsitz nicht über das Internet läuft, nicht, dass das ERP keine Steuerung ansprechen kann. Beides ergänzt sich: MPLS zwischen den Standorten, die Industrie-DMZ am Eingang jeder Werkhalle.

Bleibt die Frage der ausfallenden Leitung. Für ein Werk, dessen Produktion von Daten des Hauptsitzes abhängt, entscheidet sich die Netzredundanz für Standorte an der Unabhängigkeit des physischen Wegs, nicht an der Zahl der Leitungen.

Wie öffnet man die Fernwartung, ohne das Werk zu öffnen?

Über einen einzigen, personalisierten, verschlüsselten Zugang mit Zwei-Faktor-Authentifizierung, der nur offen ist, wenn er gebraucht wird. Das BACS ist deutlich: «Fernzugriffe sind ausschliesslich über VPN mit Zwei-Faktor-Authentisierung zu erlauben.» Zudem gilt das Prinzip der minimalen Rechtevergabe auch für externe Wartungsfirmen.

Hier verstecken sich die Zugänge, die niemand erfasst. Ein Modem, das ein Integrator vor Jahren eingebaut hat, eine Fernsteuerungssoftware, die auf einem Leitrechner aktiv geblieben ist, ein Konto, das alle Techniker eines Lieferanten teilen. Jeder davon ist eine Tür zur Werkhalle, und keiner steht im offiziellen Netzplan.

Verbreitete Praxis	Empfohlene Praxis
Dauerhafter, immer offener Zugang	Zugang für einen Einsatz geöffnet, danach geschlossen
Ein geteiltes Konto pro Lieferant	Ein persönliches Konto pro Techniker
Nur Passwort	Zwei-Faktor-Authentifizierung
Direkte Verbindung zur Steuerung oder zum SCADA	Verbindung über einen Fernwartungs-Bastion-Host in einer kontrollierten Zugangszone
Keine Spur	Protokollierte Sitzung mit Identität, Zeitpunkt, Zielsystem und ausgeführten Aktionen

Das BACS fügt hinzu: «Administrationsoberflächen dürfen nie direkt aus dem Internet erreichbar sein.» Genau das wurde an den polnischen Energiestandorten ausgenutzt.

Wie erkennt man ein Eindringen ins Industrienetz?

Indem man das normale Verhalten des Netzes kennt und alles prüft, was davon abweicht. Ein Industrienetz ist sehr regelmässig: Dieselben Geräte tauschen dieselben Meldungen in denselben Abständen aus. Eine neue Verbindung fällt dort auf, sofern jemand hinschaut.

Das BACS empfiehlt, Logs aller Systemklassen zentral zu sammeln, eine Baseline normaler Betriebsereignisse zu definieren und jede Abweichung abzuklären. Es hält fest, dass unbekannte Geräte, die sich neu verbinden, automatisch einen Alarm auslösen sollten, und dass erfolgreiche Angriffe oft erst Monate später entdeckt werden. Deshalb ist eine ausreichend lange Aufbewahrung der Logfiles entscheidend.

Ein Betriebsteam hat weder die Zeit noch die Werkzeuge, diese Logs laufend zu lesen. Ein Teil dieser Überwachung kann einem SOC (Security Operations Center) übertragen werden, sofern die betreffenden Systeme auswertbare Logs übermitteln oder geeignete Sensoren in die überwachte Umgebung integriert sind. Das SOC korreliert Ereignisse aus dem Netzwerk, von Servern und Arbeitsplätzen, um Bedrohungen zu erkennen. Für die Analyse industrieller Protokolle können zusätzliche spezialisierte Werkzeuge erforderlich sein. Beim polnischen Heizkraftwerk war es eine Überwachungslösung auf den Arbeitsplätzen, die die Schadsoftware blockierte, bevor sie weitreichenden Schaden anrichten konnte.

Was tun mit Steuerungen, die sich nicht aktualisieren lassen?

Sie über das Netzwerk schützen, weil man sie von innen nicht schützen kann. Eine Steuerung, für die der Hersteller keine Patches mehr liefert oder die sich nicht ohne Produktionsstopp neu starten lässt, gehört in eine Zone, aus der nichts herausgeht und in die nichts ohne Grund hineinkommt.
Das BACS empfiehlt ein Software-Inventar, ein systematisches Management von Patches, Software-Schwachstellen und Lebenszyklen sowie Whitelisting auf kritischen Geräten, damit nur bekannte und freigegebene Programme ausgeführt werden. Wo ein Patch unmöglich ist, gleichen drei Massnahmen die Risiken aus.

Die Kommunikationspartner reduzieren. Die Steuerung nimmt nur Verbindungen ihres Leitsystems an, nicht aus dem übrigen Netzwerk.
Ändern, was sich ändern lässt. Standardpasswörter lassen sich auch auf alten Geräten ändern, und das BACS nennt sie als Beispiel für Massnahmen, die mit wenig Aufwand viel bewirken.
Die Konfiguration sichern. Laut BACS gehören Konfigurationsdateien ebenfalls ins Backup, und die Wiederherstellung ist mindestens halbjährlich zu testen. Die Hardware kann unter Umständen ersetzt werden, doch der Verlust ihrer Konfiguration oder Programmlogik kann den Produktionsstillstand erheblich verlängern.

Welche rechtlichen Pflichten hat ein Industriebetrieb?

Das hängt von der Branche ab. Die konkreten Vorgaben betreffen kritische Infrastrukturen. Für Organisationen ausserhalb dieses gesetzlichen Geltungsbereichs stellen diese Standards nicht zwingend eine unmittelbare regulatorische Verpflichtung dar. Weitere gesetzliche, vertragliche oder sektorspezifische Pflichten können jedoch gelten.

Der IKT-Minimalstandard des Bundes ist für die Stromversorgung seit dem 1. Juli 2024 und für die Gasversorgung seit dem 1. Juli 2025 verbindlich. Den übrigen Betreibern kritischer Infrastrukturen wird er empfohlen. Laut BACS hilft er auch anderen Unternehmen, ihre Resilienz zu verbessern.
Meldepflicht für bestimmte Cybervorfälle: Seit dem 1. April 2025 müssen bestimmte Cybervorfälle dem BACS innerhalb von 24 Stunden nach ihrer Entdeckung gemeldet werden. Die Pflicht gilt für Organisationen, die unter den gesetzlichen Geltungsbereich der kritischen Infrastrukturen fallen.

Ein Industriebetrieb, der Energie, Wasser oder Lebensmittel liefert, sollte prüfen, ob er in diesen Kreis fällt. Allen anderen bietet der Minimalstandard ein vollständiges und kostenloses Raster, um den eigenen Stand einzuordnen, ohne bei null zu beginnen.

Wo anfangen? Sechs Massnahmen

Das BACS erinnert daran: «Sicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess.» Es rät, mit den Massnahmen zu beginnen, die mit wenig Aufwand viel bewirken.

Alle Geräte der Werkhalle erfassen: Steuerungen, Leitrechner, Gateways und Modems. Man schützt nicht, was man nicht kennt.
Alle Standardpasswörter ändern, auf jedem Gerät, das eines hat.
Prüfen, was aus dem Internet sichtbar ist: Administrationsoberflächen, Fernzugriffe und Firewall. Nichts aus der Werkhalle sollte direkt aus dem Internet erreichbar sein.
Die Fernwartungszugänge erfassen und schliessen, dann einzeln wieder öffnen, personalisiert und mit Zwei-Faktor-Authentifizierung.
Die Grenze zwischen IT und Werkhalle definieren und jeden Datenfluss über einen kontrollierten Übergang führen.
Die Konfiguration der Steuerungen sichern und eine Wiederherstellung testen.

CELESTE verbindet Unternehmensstandorte in der Schweiz über sein eigenes Netzwerk, mit Teams in Genf, Lausanne, Basel, Zürich und Bern. Unsere Teams stellen fest, dass die am besten geschützten Standorte nicht jene mit den meisten Sicherheitsgeräten sind, sondern jene, die genau wissen, wer wann und wo hereinkommt.

Die CELESTE-Teams unterstützen Sie dabei, die Verbindungen zwischen Ihren Standorten abzusichern, Fernzugriffe zu kontrollieren und die Überwachung der IT-Komponenten zu stärken, über die industrielle Umgebungen erreichbar sind.