Vom USB-Stick zum Stillstand: OT-Sicherheit ist Projektarbeit

Was tatsächlich passiert ist

Der Beitrag von David Petrikat (AMDT) arbeitet mit einem durchgerechneten Ablauf statt mit einem Vorfallbericht. Seine Kernaussagen:

• Angreifer müssen eine Maschine nicht unmittelbar übernehmen. Der Zugriff auf eine Engineering-Station, ein Projektverzeichnis oder ein Fernwartungssystem genügt, um Programme zu manipulieren oder Sicherungen unbrauchbar zu machen.
• In der Operational Technology kommen zu den IT-Folgen physische hinzu: Eine blockierte Steuerung hält eine Fertigungslinie an, manipulierte Prozessparameter führen zu Produkten, die die geforderte Qualität nicht erreichen. Im ungünstigsten Fall entstehen Risiken für Mitarbeitende und Betriebssicherheit.
• Der schleichende Schaden ist der gefährlichere. Ein Stillstand ist sofort sichtbar; eine unbemerkte Abweichung bei Temperatur, Druck, Geschwindigkeit oder Dosierung wirkt über Stunden oder Tage, die Anlage meldet keinen Fehler. Der wirtschaftliche Schaden zeigt sich erst bei der Qualitätskontrolle oder beim Kunden.
• Maschinenkonfigurationen sind digitales Fertigungswissen, werden aber oft nur manuell gesichert: Kopien auf lokalen Rechnern, unklar, welche Version aktuell ist. Ein Backup allein schafft noch keine Resilienz — erst der getestete Rückspielvorgang macht daraus belastbare Vorsorge.
• Ein kurzfristiges Update ist häufig nicht möglich, weil Eingriffe in laufende Prozesse geplant werden müssen.

Dazu passt die IT-Sicherheitsumfrage 2026 des Eco-Verbands, über die INDUSTR. am 5. Oktober berichtete: Als Folgen sicherheitsrelevanter Vorfälle nennt sie ausdrücklich Betriebsunterbrechungen, Produktionsstillstände und Manipulationen von Prozessen oder Produkten; knapp ein Drittel der 100 befragten IT-Entscheider berichtet von Vorfällen mit spürbaren Auswirkungen in zwölf Monaten. Das Bundeswirtschaftsministerium verweist in seiner Pressemitteilung vom 1. Oktober auf die Bitkom-Studie „Wirtschaftsschutz 2026“: mindestens 211 Milliarden Euro Schaden in der deutschen Wirtschaft, davon 160,4 Milliarden Euro durch Cyberangriffe.

Meine Einordnung

Der USB-Stick ist nicht das Problem, und genau hier setzen viele Diskussionen falsch an. In der IT ist eine Änderung dokumentiert: Ticket, Freigabe, Zeitstempel, Rückweg. In der OT ist die Konfiguration einer Steuerung häufig eine Datei auf einem Rechner im Nebenraum, und niemand kann sagen, ob die Sicherung von letzter Woche den Zustand abbildet, der wirklich läuft. Wir haben dort keinen Kontrollverlust durch einen Angriff, sondern einen Kontrollverlust durch Nichtdokumentation — der Angriff macht ihn nur sichtbar. Deshalb beginnt OT-Sicherheit für mich mit Bestandsaufnahme und Versionierung, nicht mit einer Produktentscheidung.

Das zweite, was in Projekten fast immer fehlt, ist ein gemeinsamer Wiederanlauf. Die meisten Häuser haben einen IT-Notfallplan und einen Plan für den Werkschutz. Aber die entscheidenden Fragen beantwortet keiner von beiden: Wer entscheidet über das Abschalten einer Anlage? In welcher Reihenfolge wird hochgefahren, und welche Konfiguration gilt dabei als vertrauenswürdig? Wer informiert die Produktion, wenn die IT das Netz trennt? Ich habe mehrfach erlebt, dass technisch alles richtig entschieden war und die Stillstandszeit trotzdem im Abstimmungsverlust zwischen Schichtleitung, IT und Instandhaltung entstand. Das ist ein Thema für die Projektleitung, nicht für die Firewall.

Und ich widerspreche der naheliegenden Lesart, dass mehr Sicherheitsprodukte das Risiko senken. Ein Werk belastbar machen vier Dinge: eine Liste der Anlagen mit maximal tolerierbarer Stillstandszeit, versionierte und automatisiert gesicherte Konfigurationen, ein getesteter Wiederanlauf und eine benannte Person mit Mandat an der Schnittstelle IT/OT. Ein Gremium erfüllt diese Rolle nicht — ich habe noch kein Werk gesehen, in dem ein Ausschuss nachts um drei entschieden hat. Der häufigste Grund, warum solche Vorhaben liegen bleiben, ist übrigens nicht das Budget, sondern dass niemand die Verantwortung für die Schnittstelle übernimmt.

Was Sie jetzt konkret tun können

1. Anlagenliste mit Kritikalität anlegen. Anlage, Steuerung, Engineering-Zugang, maximal tolerierbare Stillstandszeit, Ansprechpartner. Zwei Stunden Arbeit pro Werk, keine Software nötig.

2. Konfigurationen versionieren und sichern. Vollständig, regelmäßig, nachvollziehbar, mit Zuordnung zu Person, Zeitpunkt und Anlass. Lokale Kopien auf privaten Rechnern abziehen.

3. Rückspielen üben. Ein geplanter Test an einer Anlage, die nicht in der laufenden Produktion hängt. Erst danach ist aus einer Sicherung ein Wiederanlaufweg geworden.

4. Notfallmatrix IT/OT auf einer Seite festhalten. Wer entscheidet was, wer ruft wen, welcher Rückweg gilt.

5. Eine Person mit Mandat benennen. Zuständigkeit für Änderungen an Steuerungen, für Fernwartungszugänge und für die Nachweislage. Ohne diese Zuständigkeit bleiben alle Maßnahmen unverbindlich.

Wann sich externe Unterstützung lohnt: wenn Sie eine auditfähige Bestandsaufnahme brauchen oder wenn der Wiederanlauftest mit Produktion, IT und Instandhaltung moderiert werden muss. Wie ich solche Vorhaben steuere, steht unter /it-projektsteuerung/; Fragen der Netztrennung behandele ich unter /it-infrastruktur/. Erstgespräch über /kontakt/.

Quellen

• Industrieanzeiger, „Cyberangriffe auf die Produktion verhindern“ (David Petrikat, AMDT), 07.10.2026 — https://www.industrieanzeiger.industrie.de/management/it/der-kurze-weg-vom-usb-stick-zum-produktionsstillstand/
• INDUSTR., „Mittelstand unter Druck: Ein Drittel spürt Folgen durch Cybervorfälle“ (IT-Sicherheitsumfrage 2026 des Eco-Verbands), 05.10.2026 — https://www.industr.com/de/mittelstand-unter-druck-ein-drittel-spuert-folgen-durch-cybervorfaelle-2923748
• Bundesministerium für Wirtschaft und Energie, „Aktionsmonat Cybersicherheit“ (mit Angaben aus Bitkom „Wirtschaftsschutz 2026“), 01.10.2026 — https://www.bundeswirtschaftsministerium.de/Redaktion/DE/Pressemitteilungen/2026/10/20261001-aktionsmonat-cybersicherheit.html