# CC2 für Lebensmittelbetriebe: Segmentierung, die hält

Von Max Gilg · 28.10.2026 · 5 Min. Lesezeit

Kurz gesagt: Wie Molkereien, Brauereien und Lebensmittelhersteller in Bayern, Salzburg und Tirol Zonen und Conduits nach IEC 62443 bauen, die im Ernstfall halten.
Lebensmittelhersteller rund um Rosenheim, im Salzburger Land und in Tirol sollten ihr Produktionsnetz so in Zonen teilen, dass Ransomware aus dem Büronetz nicht bis zur Abfüllung, zur Pasteurisierung oder zur Kälteanlage kommt. Das betrifft Betreiber und ihre Maschinenlieferanten. Mit NIS2 kann es für viele mittlere und große Betriebe auch eine Rechtsfrage sein. Der Weg dahin: Zonen und Conduits nach IEC 62443-3-2 festlegen, die Fernwartung über einen kontrollierten Jump Host führen und die Trennung einmal im Ernstfall ausprobieren.

[Bild: Infografik: Segmentierung in Lebensmittelbetrieben, die hält]

Dieser Artikel gehört zu meiner Serie über die SANS Five ICS Cybersecurity Critical Controls von Robert M. Lee und Tim Conway. Heute geht es um Control 2, Defensible Architecture, und um eine Branche, die in unserer Region stark vertreten ist: Molkereien, Käsereien, Brauereien, Fleischverarbeiter und Getränkeabfüller.

## Was bedeutet Defensible Architecture für einen Lebensmittelbetrieb?

SANS beschreibt Control 2 als Netzdesign, das kritische Systeme segmentiert und isoliert. So werden die Angriffsfläche und der Schaden eines Vorfalls kleiner (SANS (https://www.sans.org/blog/essential-cybersecurity-practices-for-protecting-industrial-infrastructure)). In der Praxis gehören dazu vor allem Segmentierung, eine industrielle DMZ und klare Regeln, welche Kommunikation erlaubt ist.

In einer Molkerei heißt das: CIP-Reinigung, Erhitzer, Kälteanlage und Abfülllinie hängen nicht im selben flachen Netz wie die Buchhaltung. Zwischen diesen Bereichen fließt nur, was der Prozess wirklich braucht, zum Beispiel Chargendaten für MES oder ERP.

Die Rückverfolgbarkeit ist dabei der heikle Punkt. Ohne Chargendaten lässt sich nicht nachvollziehen, welche Ware woher kommt und wohin sie geht. Wenn die Verbindung zwischen Linie und Chargenerfassung ausfällt, steht oft die Auslieferung still, obwohl die Maschinen laufen könnten.

## Was zeigt der Fairlife-Vorfall für Molkereien und Getränkeabfüller?

Ein realer Fall aus diesem Sommer: Im Juli 2026 stoppte ein Ransomware-Angriff zeitweise die Produktion der Coca-Cola-Molkereitochter fairlife in den USA (The Record, 17.07.2026 (https://therecord.media/dairy-company-fairlife-suspends-production-us-cyber-incident)). Öffentlich ist nicht belegt, ob Steuerungssysteme direkt getroffen wurden oder ob die Produktion vorsorglich gestoppt wurde. Deshalb ziehe ich daraus keine technischen Schlüsse.

Unabhängig von diesem Fall gilt: Eine schwache Trennung zwischen IT und OT sowie schlecht geschützte Fernzugänge machen es Angreifern leicht.

## Wie baue ich Zonen und Conduits, die im Ernstfall halten?

IEC 62443-3-2 (Ausgabe 2020) gibt den Rahmen für Risikobewertung, Zonen und Conduits vor (IEC Webstore (https://webstore.iec.ch/en/publication/30727)). In einem Lebensmittelbetrieb gehe ich dabei so vor:

Erst wissen, was da ist. Ohne Asset-Inventar wird jede Zonenplanung eine Schätzung. Pro Linie gehören dazu SPS, HMI, Engineering-Workstation, die Steuerung der Kälteanlage, Waagen, Etikettierer und vor allem die Fernwartungsrouter der Lieferanten. Diese Router sind häufig irgendwann zusammen mit einer Maschine ins Werk gekommen und stehen in keiner Netzdokumentation.

Zonen nach Folgen schneiden. Die Leitfrage lautet: Was passiert, wenn dieser Bereich ausfällt oder manipuliert wird? Bei der Erhitzung geht es um Lebensmittelsicherheit, bei der Kälte um verdorbene Ware, bei der Abfüllung um Liefertermine. Jeder dieser Bereiche bekommt eine eigene Zone mit eigenem Ziel-Security-Level (SL-T).

Conduits eng halten. Jede Verbindung zwischen zwei Zonen braucht einen Zweck, eine Richtung und eine Allow-Liste auf der Firewall. ERP und MES holen ihre Daten über eine industrielle DMZ. Vom Büro-PC geht keine direkte Verbindung auf die SPS, und die Produktion hängt nicht am Domänen-Trust der Büro-IT.

Fernwartung bündeln. Für alle Lieferanten gibt es einen gemeinsamen Zugang: Jump Host, MFA, Freischaltung nur bei Bedarf und Protokollierung jeder Sitzung. Aus meiner Sicht ist der Fernzugang einer der wichtigsten Hebel, deshalb kommt dieser Punkt zuerst.

Inselbetrieb proben. In einem geplanten Fenster wird die Verbindung zwischen IT und OT getrennt. Dann prüft man, ob Linie, Kühlung und Chargendokumentation weiterlaufen. Für die Rückverfolgbarkeit gehört ein Notfallprozess auf Papier dazu.

Wer die Conduits mit Angriffserkennung überwacht, sieht, ob die Regeln eingehalten werden. Nach meiner Erfahrung ist das auch für kleinere Teams machbar: KI-Werkzeuge können helfen, mitgeschnittene Kommunikationsbeziehungen mit dem Firewall-Regelwerk abzugleichen und Abweichungen sichtbar zu machen. Die Bewertung macht weiter ein Mensch, der die Anlage kennt. Ich rate dazu, sich auf diese fünf Controls zu konzentrieren und nicht jedes Jahr ein neues Einzelprodukt zu kaufen.

## Darf der Servicetechniker per Fernwartung auf die SPS?

Ja, über einen festgelegten Weg. Fernwartungszugänge und mitgebrachte Wechseldatenträger sehe ich in der Praxis immer wieder als Schwachstellen in Industrienetzen. Für die Instandhaltung heißt das: Fernwartung nur über den Jump Host, Servicelaptops und USB-Sticks erst an einer Prüfstation in einer eigenen Zone. Ein Notebook, das gestern bei einem anderen Kunden im Netz war, wird nicht direkt an die Linie angesteckt.

## Was ändern NIS2, CRA und Maschinenverordnung für Betreiber und Lieferanten?

Deutschland hat die NIS2-Richtlinie mit dem NIS2UmsuCG umgesetzt. Ob ein Lebensmittelbetrieb darunter fällt, hängt von Größe und Tätigkeit ab. Das sollte jeder Betrieb einzeln prüfen.

Für Maschinenbauer, die Produkte mit digitalen Elementen herstellen, gilt der Cyber Resilience Act (Verordnung (EU) 2024/2847). Die Meldepflichten gelten seit dem 11. September 2026, die meisten übrigen Pflichten ab dem 11. Dezember 2027 (EUR-Lex (https://eur-lex.europa.eu/eli/reg/2024/2847/oj), Jones Day (https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026)). Auch die neue EU-Maschinenverordnung sollten Hersteller und Betreiber im Blick behalten.

Für Einkäufer folgt daraus: Die Ausschreibung einer neuen Abfüll- oder Verpackungsanlage sollte dokumentierte Kommunikationsbeziehungen, die Einbindung in Ihr Zonenmodell, ein Fernwartungskonzept über Ihren Jump Host, eine SBOM und verbindliche Zusagen zu Patches verlangen.

## Was ich Lebensmittelbetrieben in Bayern, Salzburg und Tirol rate

Eine Segmentierung, die nie im Ernstfall geprobt wurde, bleibt eine Annahme. Trennen Sie deshalb einmal im Jahr bewusst die Verbindung zwischen Büro und Produktion und prüfen Sie, ob die Linie weiterläuft.

Für den Einkauf gilt: Zonen, Conduits und der Fernwartungsweg gehören in die Ausschreibung der Maschine. Wer das erst nachträglich einbaut, braucht dafür Stillstandsfenster, und die hat in der Hochsaison kaum jemand.

## Wobei OT-Cyber unterstützt

Wir beginnen meistens mit dem OT-Asset-Inventar (https://ot-cyber.de/leistungen/ot-asset-inventar/). Danach setzen wir Zonen und Conduits nach IEC 62443-3-2/3-3 in der Produktion (https://ot-cyber.de/leistungen/iec-62443-umsetzung-produktion/) um. Die Überwachung übernimmt die Angriffserkennung in OT-Netzen (SzA) (https://ot-cyber.de/leistungen/angriffserkennung-sza/). Für Ausschreibungen gibt es die Einkaufs- und Architekturberatung (https://ot-cyber.de/leistungen/einkaufs-und-architekturberatung/). Wenn die Produktion bereits steht, erreichen Sie die OT-Notfallhilfe (https://ot-cyber.de/leistungen/ot-incident-response/) rund um die Uhr. Ich bin in Bayern (https://ot-cyber.de/leistungen/ot-security-bayern/), Salzburg (https://ot-cyber.de/leistungen/ot-security-salzburg/) und Tirol (https://ot-cyber.de/leistungen/ot-security-tirol/) schnell vor Ort.

## Häufige Fragen

Was tun, wenn die Produktion nach einem Cyberangriff stillsteht? Verbindung zwischen IT und OT trennen, die betroffenen Zonen isolieren, keine Systeme neu aufsetzen, bevor die Spuren gesichert sind, und OT-erfahrene Incident Response holen.

Wer prüft unsere Anlagen in Tirol? OT-Cyber.de aus Rosenheim betreut Betriebe in Tirol, Salzburg und Bayern, vom Asset-Inventar bis zur Zonenplanung.

Welche Security-Anforderungen schreibe ich in die Ausschreibung einer Maschine? Kommunikationsmatrix, Einbindung ins Zonenmodell, Fernwartung über den Jump Host des Betreibers, SBOM, Patch-Zusagen und den Ziel-Security-Level nach IEC 62443.

[Bild: Schema: Zonen und Conduits im Lebensmittelbetrieb]

## Quellen

- https://www.sans.org/blog/essential-cybersecurity-practices-for-protecting-industrial-infrastructure

- https://therecord.media/dairy-company-fairlife-suspends-production-us-cyber-incident

- https://webstore.iec.ch/en/publication/30727

- https://eur-lex.europa.eu/eli/reg/2024/2847/oj

- https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026

## Häufige Fragen

**Was tun, wenn die Produktion nach einem Cyberangriff stillsteht?**
Verbindung zwischen IT und OT trennen, die betroffenen Zonen isolieren, Spuren sichern, bevor Systeme neu aufgesetzt werden, und OT-erfahrene Incident Response holen. OT-Cyber.de bietet dafür eine OT-Notfallhilfe, die rund um die Uhr erreichbar ist.

**Darf der Servicetechniker per Fernwartung auf die SPS?**
Ja, über einen festgelegten Weg: ein zentraler Jump Host mit MFA, Freischaltung nur bei Bedarf und Protokollierung jeder Sitzung. Servicelaptops und USB-Sticks werden vorher an einer Prüfstation in einer eigenen Zone geprüft.

**Fällt mein Lebensmittelbetrieb unter NIS2?**
NIS2 erfasst Lebensmittelunternehmen im Großhandel und in der industriellen Produktion und Verarbeitung, abhängig von der Unternehmensgröße. In Deutschland gilt das NIS2UmsuCG seit dem 6. Dezember 2025, in Österreich das NISG 2026 seit dem 1. Oktober 2026. Ob ein Betrieb betroffen ist, muss im Einzelfall geprüft werden.

**Welche Security-Anforderungen schreibe ich in die Ausschreibung einer Maschine?**
Eine Kommunikationsmatrix, die Einbindung in das eigene Zonenmodell, Fernwartung über den Jump Host des Betreibers, eine SBOM, verbindliche Patch-Zusagen und den Ziel-Security-Level nach IEC 62443. Für Maschinenbauer kommen der CRA und ab dem 20. Januar 2027 die Maschinenverordnung dazu.

**Wer hilft bei OT-Segmentierung in Bayern, Salzburg und Tirol?**
Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, und OT-Cyber.de planen mit Lebensmittelbetrieben in der Grenzregion Zonen und Conduits nach IEC 62443-3-2, vom Asset-Inventar bis zur Angriffserkennung.

## Quellen

- www.sans.org (https://www.sans.org/blog/essential-cybersecurity-practices-for-protecting-industrial-infrastructure)
- www.dragos.com (https://www.dragos.com/blog/the-sans-ics-five-critical-controls-a-practical-framework-for-ot-cybersecurity/)
- dragos.com (https://dragos.com/blog/dragos-2026-ot-cybersecurity-year-in-review)
- therecord.media (https://therecord.media/dairy-company-fairlife-suspends-production-us-cyber-incident)
- webstore.iec.ch (https://webstore.iec.ch/en/publication/30727)
- www.allianz-fuer-cybersicherheit.de (https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_005.pdf)
- eur-lex.europa.eu (https://eur-lex.europa.eu/eli/reg/2002/178/oj)
- eur-lex.europa.eu (https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- www.reedsmith.com (https://www.reedsmith.com/our-insights/blogs/technology-law-dispatch/102lxfr/finally-germany-enacts-its-nis2-law/)
- schoenherr.eu (https://schoenherr.eu/media/ruwhyw0t/nisg-2026-de.pdf)
- eur-lex.europa.eu (https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- www.jonesday.com (https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026)
- eur-lex.europa.eu (https://eur-lex.europa.eu/eli/reg/2023/1230/oj)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 28.10.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc2-fuer-lebensmittelbetriebe-segmentierung-die-haelt.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc2-fuer-lebensmittelbetriebe-segmentierung-die-haelt.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc2-fuer-lebensmittelbetriebe-segmentierung-die-haelt.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc2-fuer-lebensmittelbetriebe-segmentierung-die-haelt.html&text=CC2%20f%C3%BCr%20Lebensmittelbetriebe%3A%20Segmentierung%2C%20die%20h%C3%A4lt)WhatsApp (https://wa.me/?text=CC2%20f%C3%BCr%20Lebensmittelbetriebe%3A%20Segmentierung%2C%20die%20h%C3%A4lt%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc2-fuer-lebensmittelbetriebe-segmentierung-die-haelt.html)E-Mail (mailto:?subject=CC2%20f%C3%BCr%20Lebensmittelbetriebe%3A%20Segmentierung%2C%20die%20h%C3%A4lt&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc2-fuer-lebensmittelbetriebe-segmentierung-die-haelt.html)