OT-Assets inventarisieren: Warum Sichtbarkeit über IT und OT entscheidet

Lange Zeit existierten in produzierenden Unternehmen, Energieversorgern und Logistikkonzernen zwei völlig isolierte Welten. Auf der einen Seite gab es die IT (Information Technology): klimatisierte Rechenzentren, Cloud-Server, Mitarbeiter-Laptops und standardisierte Windows-Betriebssysteme. Auf der anderen Seite stand die OT (Operational Technology): die raue Welt der Fabrikhallen, geprägt von speicherprogrammierbaren Steuerungen (SPS/PLC), SCADA-Systemen, Industrierobotern und Sensoren, die physische Prozesse steuern.

Die goldene Regel der Sicherheit lautete früher: „Air Gapping“. Die Produktionsnetze waren physisch vom Internet und vom Büro-Netzwerk getrennt. Ein Hacker aus dem Internet konnte das Büro lahmlegen, aber niemals die Fließbänder stoppen.

Im Jahr 2026 ist diese goldene Regel tot. Willkommen im Zeitalter von Industrie 4.0 und dem Industrial Internet of Things (IIoT). Die IT-OT-Konvergenz – das Zusammenwachsen dieser beiden Welten – ist unaufhaltsam. Maschinen liefern Produktionsdaten in Echtzeit in die AWS-Cloud, ERP-Systeme steuern direkt die Materialausgaben am Werkstor, und Wartungstechniker loggen sich per VPN aus dem Homeoffice auf den Roboterarm ein. Das treibt die Effizienz in ungeahnte Höhen, erzeugt aber ein gigantisches Sicherheitsproblem.

In diesem Beitrag beleuchten wir, warum die Erfassung und Absicherung von OT-Assets die Königsdisziplin der Inventarisierung darstellt und wie Sie verhindern, dass Ihre Fabrikhallen zum Einfallstor für Cyberkriminelle werden.

Warum Hacker die OT lieben

Mit der Aufhebung des Air Gaps haben sich Angreifer extrem schnell auf die lukrative OT-Welt eingestellt. Warum? Weil ein Angriff auf die OT weitaus verheerendere (und teurere) Konsequenzen hat als ein Angriff auf die IT.

Wenn der E-Mail-Server ausfällt, trinken die Mitarbeiter Kaffee. Wenn die SCADA-Steuerung eines Automobilzulieferers verschlüsselt wird, stehen die Bänder still. Die Verluste gehen in die Millionen, weshalb die Bereitschaft zur Zahlung von Lösegeldern (Ransomware) in der OT historisch betrachtet deutlich höher ist.

Das Hauptproblem ist die Beschaffenheit der OT-Geräte selbst

1. Lebensdauer: Ein IT-Server wird nach 3–5 Jahren ausgetauscht. Ein Industrieroboter oder eine Steuerungseinheit läuft oft 15 bis 20 Jahre. Viele Systeme laufen noch auf Windows XP oder älteren, völlig ungeschützten proprietären Betriebssystemen.
2. Patchings ist ein Tabu: Man kann eine Anlage, die 24/7 im Dreischichtbetrieb läuft, nicht einfach an einem Dienstagvormittag „kurz durchpatchen“. Jeder Neustart ist ein Risiko für die Produktion.
3. Fragilität: OT-Netzwerke sind archaisch. Wenn ein Security-Analyst aus der IT versucht, ein OT-Netzwerk mit einem handelsüblichen Scanner (wie Nmap) aktiv nach Schwachstellen zu scannen, stürzen die sensiblen alten Steuerungssysteme einfach ab. Der Scanner legt die Produktion lahm, nicht der Hacker.

Das Inventarisierungs-Dilemma: Wer ist zuständig?

Die Konvergenz bringt auch kulturelle Probleme mit sich. Die IT-Abteilung kennt sich mit Cloud und Firewalls aus, versteht aber keine Siemens-S7-Steuerungen. Die Anlagenführer (OT-Engineers) kennen jede Schraube der Maschine, betrachten IT-Adressen und Firewalls aber als lästiges IT-Zeug.

Die Folge: Das OT-Inventar existiert, wenn überhaupt, in Form von veralteten Excel-Listen auf den Laptops der Schichtleiter. Die zentrale IT-Dokumentation (CMDB) des Unternehmens ist blind für die Produktionshalle. Wenn das Security-Team nun das Firmennetzwerk überwachen oder ein NIS-2-Audit vorbereiten soll, steht es vor einer schwarzen Wand. Es gibt keine „Single Source of Truth“.

Wie man die OT sicher ins Licht holt

Um dieses lebensgefährliche Silo aufzubrechen, benötigen Unternehmen eine Asset-Management-Strategie, die die Sprache beider Welten spricht. Eine moderne Plattform wie Qbilon löst dieses Problem durch intelligente, passive Integration:

1. Passives OT-Discovery: Da aktive Scans in der Fabrik zu gefährlich sind, erfolgt die Inventarisierung von OT-Geräten heute passiv. Spezialisierte OT-Security-Sensoren „lauschen“ dem Netzwerkverkehr an den Switches (Port Mirroring/SPAN) und identifizieren Steuerungen, Roboter und Sensoren anhand ihrer Kommunikationsmuster. Qbilon bindet diese spezialisierten OT-Sensoren über APIs an und importiert die Daten nahtlos in die zentrale CMDB.
2. Die magische Brücke: Dependency Mapping: Hier entfaltet sich der wahre Wert. Qbilon zeigt nicht nur die OT-Server und die OT-Maschinen an. Die Plattform visualisiert die Abhängigkeiten quer über die Systemgrenzen hinweg. Der IT-Leiter sieht auf einem Dashboard: „Wenn der alte, ungepatchte Server im Entwickler-Netzwerk (IT) von Ransomware infiziert wird, gibt es eine direkte Netzwerk-Route zu der kritischen Fertigungsstraße 3 (OT). Diese Erkenntnis ermöglicht es, sofort rettende Firewall-Regeln (Mikrosegmentierung) zu etablieren.“
3. Einheitliche Compliance-Reports: Für Regulatoren (NIS-2) ist das Unternehmen eine Einheit. Qbilon ermöglicht es, Compliance-Richtlinien systemübergreifend zu definieren und Evidenzen zu generieren, die belegen, dass sowohl der Cloud-Speicher als auch die Steuerungseinheit im Keller sauber inventarisiert und (dem Umstand entsprechend) abgesichert sind.

Fazit: Ein Unternehmen, eine Datenbasis

Die Zeiten, in denen sich IT-Admins und Anlagenführer hinter ihren jeweiligen Zuständigkeiten verstecken konnten, sind vorbei. Die IT-OT-Konvergenz ist Fakt, und die Hacker machen keinen Unterschied mehr zwischen Büro und Fabrik.

Um die Errungenschaften von Industrie 4.0 abzusichern, müssen Sie die Datensilos einreißen. Sie benötigen ein zentrales, automatisiertes IT-Gedächtnis, das den Webserver bei AWS genauso detailgetreu und historisiert erfasst wie die SPS-Steuerung an der Produktionsstraße. Nur mit einer „Single Source of Truth“, die beide Welten vereint, behalten Sie die Kontrolle über Ihr Unternehmen.