Klassisches IoT-Monitoring greift in der OT zu kurz. Viele OT-Protokolle wie Modbus, Profinet oder DNP3 verwenden keine Standardsignaturen, die ein typisches Antivirenprogramm erkennt. Außerdem dürfen Scanner Steuerungen nicht aktiv abfragen, weil die Geräte sonst abstürzen können. OT-Monitoring braucht deshalb eigene Werkzeuge und Ansätze. Passive Erfahrung statt aktiver Scans In der OT setzen Unternehmen auf passive Network Detection. Eine Sonde lauscht am Netzwerk-Switch, analysiert den Datenverkehr und erstellt ein Asset-Inventar – ganz ohne aktive Anfragen an die Steuerungen. Diese Methode ist betriebssicher und liefert trotzdem ein vollständiges Bild der Anlage.
Anomalieerkennung als Schlüssel
Weil signaturbasierte Erkennung in der OT oft versagt, dominiert die Anomalieerkennung. Das System lernt das normale Kommunikationsverhalten der Anlage über mehrere Wochen kennen. Sobald ein Gerät plötzlich ungewöhnliche Befehle sendet oder eine fremde IP-Adresse auftaucht, schlägt das Monitoring Alarm.
Moderne Lösungen nutzen dafür Machine Learning. Sie erkennen subtile Abweichungen, die ein Mensch übersehen würde. Das BSI empfiehlt OT-Angriffserkennungssysteme, oft als OT-NIDS bezeichnet, in seinen Vorgaben für Betreiber kritischer Infrastrukturen (KRITIS) ausdrücklich. Integration in das Security Operations Center
Ein OT-Monitoring entfaltet erst seinen vollen Nutzen, wenn es in ein zentrales Security Operations Center (SOC) eingebunden ist. Dort laufen Alarme aus IT und OT zusammen. Analyst:innen können einen Angriff verfolgen, der sich über die Bürowelt in die Produktion ausbreitet. Folgende Werkzeuge spielen im SOC eine Rolle: SIEM-Systeme (SIEM: Security Information and Event Management): sammeln und korrelieren Logdaten aus IT und OT
SOAR-Plattformen (SOAR: Security Orchestration, Automation and Response): automatisieren Reaktionen auf Vorfälle
OT-spezifische NDR-Lösungen (NDR: Network Detection and Response): liefern tiefe Einblicke in industrielle Protokolle
Threat-Intelligence-Feeds: informieren über aktuelle Bedrohungen für Ihre Branche
Was gutes OT-Monitoring leisten muss
Bei der Auswahl einer Monitoring-Lösung sollten Sie auf einige Schlüsselfunktionen achten. Die folgende Liste hilft Ihnen dabei, Anbieter zu vergleichen. Ein gutes Portfolio beinhaltet etwa:
Vollständiges Asset-Inventar in Echtzeit
Unterstützung gängiger OT-Protokolle (Modbus, OPC UA, Profinet, IEC-104, DNP3 und mehr)
Erkennung von Anomalien sowohl auf Netzwerk- als auch auf Verhaltensebene
Klare, priorisierte Alarme mit Bezug zu MITRE ATT&CK for ICS
Nahtlose Anbindung an SIEM, SOAR und bestehende Ticketsysteme
Nachvollziehbare Forensik-Funktionen für Audits und Vorfallsuntersuchungen
Mit einem solchen Setup erfüllen Sie nicht nur technische Anforderungen, sondern auch die gestaffelten Meldepflichten aus dem NIS2-Umsetzungsgesetz. Eine erste Frühwarnung müssen Sie binnen 24 Stunden ans BSI senden, eine detaillierte Vorfallsmeldung folgt nach 72 Stunden, ein abschließender Bericht nach einem Monat. Ohne aussagekräftiges Monitoring ist das kaum zu leisten.
