# CC3 in der Prozessindustrie: Sehen, was im OT-Netz passiert

Von Max Gilg · 04.11.2026 · 6 Min. Lesezeit

Kurz gesagt: Netzwerk-Monitoring in der Leittechnik: Was CC3 der SANS Five Critical Controls verlangt, was NIS2 und NISG 2026 bedeuten und wie Sie in Rosenheim starten.
Netzwerk-Monitoring ist das dritte der SANS Five ICS Cybersecurity Critical Controls, und der Gedanke dahinter ist schlicht: Der Verkehr im OT-Netz wird passiv aufgezeichnet. Danach ist klar, welche Geräte es gibt und wer mit wem spricht. Abweichungen fallen so wesentlich früher auf. Betroffen ist die Prozessindustrie in ihrer ganzen Breite: von Chemie und Kunststoff über Lebensmittel bis zu Baustoffen. Wer unter das deutsche NIS2-Umsetzungsgesetz oder das österreichische NISG 2026 fällt, muss Sicherheitsvorfälle bewältigen. Und das setzt voraus, dass man sie überhaupt bemerkt. Der erste Schritt ist überschaubar: ein Mirror-Port (SPAN) oder TAP am zentralen Switch der Leittechnik, zwei Wochen mitschneiden und daraus ein Asset-Inventar bauen.

[Bild: Infografik: CC3: Sehen, was im OT-Netz passiert]

Ich bin Max Gilg, OT-Cybersecurity-Experte aus Rosenheim. Diese Serie geht die fünf Critical Controls der Reihe nach durch. Dieser Teil richtet sich an Betreiber verfahrenstechnischer Anlagen im Landkreis Rosenheim, im Inntal und auf der anderen Seite der Grenze in Salzburg und Tirol.

## Worum es beim Monitoring eigentlich geht

Robert M. Lee und Tim Conway haben die fünf Controls im November 2022 bei SANS veröffentlicht (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls). Beim Monitoring geht es um Sichtbarkeit: Industrieprotokolle im Netz der Leittechnik werden mitgelesen, also Modbus, PROFINET, OPC UA, S7 oder die herstellerspezifischen Protokolle eines Prozessleitsystems. Passiv heißt dabei, dass der Sensor nur zuhört und nichts ins Netz sendet. Für ein Prozessleitsystem, das seit Jahren stabil läuft, ist das die einzige akzeptable Art, damit anzufangen.

Wie es um diese Sichtbarkeit in der Praxis steht, zeigt der Dragos Year in Review vom Februar 2026 (https://www.dragos.com/blog/dragos-2026-ot-cybersecurity-year-in-review). Nur bei 46 Prozent der Assessments fand Dragos ein ausreichendes Monitoring im OT-Netz vor. 30 Prozent der Incident-Response-Fälle begannen mit Betriebsstörungen, die sich der Betreiber nicht erklären konnte. Und 82 Prozent der Organisationen hatten keine klaren Kriterien, ab wann eine Auffälligkeit im Prozess eine Cyber-Untersuchung auslöst. Zur Einordnung: Die Zahlen stammen von einem Hersteller, aus dessen eigenen Kundenprojekten und Incident-Response-Einsätzen. Eine repräsentative Erhebung für DACH ist das nicht. Ein Hinweis sind sie trotzdem, denn auch in den Netzen, die Dragos betrachtet hat, ist Sichtbarkeit längst nicht selbstverständlich.

## Warum Monitoring in der Prozessindustrie anders funktioniert als in der IT

In einer Chargenanlage oder einer kontinuierlichen Produktion ist der Netzverkehr erstaunlich gleichförmig. Dieselben Controller fragen dieselben Werte im selben Takt ab, Tag für Tag. Für die Angriffserkennung ist das ein Vorteil. Eine neue Verbindung vom Engineering-Arbeitsplatz zu einer Sicherheitssteuerung um drei Uhr nachts fällt sofort auf, ein Schreibbefehl von einem Rechner, der sonst nur liest, ebenso.

Das BSI beschreibt diesen Ansatz in der Empfehlung „Monitoring und Anomalieerkennung in Produktionsnetzwerken“ (https://www.bsi.bund.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_134.html). Die Pflicht für KRITIS-Betreiber, Systeme zur Angriffserkennung nachzuweisen, gilt ab dem 1. Mai 2023 und ist in der Orientierungshilfe SzA konkretisiert, aktuell in der Fassung vom 18. November 2024. Mit dem NIS-2-Umsetzungsgesetz hat sich die bisherige Nachweispflicht nach § 8a BSIG geändert: Für Betreiber von Energieanlagen und Energieversorgungsnetzen richtet sie sich jetzt nach dem EnWG (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-sza.html, https://www.bsi.bund.de/SharedDocs/FAQs/DE/BSIG/Angriffserkennung/Functions/faq-systeme-angriffserkennung.html). Betreiber aus anderen KRITIS-Sektoren sollten die für sie geltenden Vorgaben direkt beim BSI nachlesen.

Dazu kommt die funktionale Sicherheit. Wer PLT-Sicherheitseinrichtungen betreibt, sollte das NAMUR-Arbeitsblatt NA 163 zu deren IT-Risikobeurteilung kennen, das im November 2024 überarbeitet wurde (https://www.namur.net/en/publications/news-archive/na163-it-security-risk-assessment-for-safety-related-pct-equipment-has-been-revised.html). Allerdings beschreibt eine solche Beurteilung zunächst nur den Stand auf dem Papier. Ob die dokumentierten Datenverbindungen im laufenden Betrieb tatsächlich die einzigen sind, zeigt erst der Mitschnitt.

## NIS2 und NISG 2026 für Betreiber in Bayern, Salzburg und Tirol

In Deutschland ist das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft (https://www.usd.de/nis2umsucg-offiziell-in-kraft/, https://www.reedsmith.com/our-insights/blogs/technology-law-dispatch/102lxfr/finally-germany-enacts-its-nis2-law/). Wie die Registrierung im Einzelnen abläuft, steht beim BSI.

In Österreich gilt seit dem 1. Oktober 2026 das NISG 2026 (BGBl. I Nr. 94/2025, https://www.ris.bka.gv.at/eli/bgbl/I/2025/94). Die WKO rechnet mit rund 4.000 Unternehmen aus kritischen Sektoren (https://www.wko.at/oe/oesterreich/cybersicherheitsgesetz-nisg-2026). Betriebe in Salzburg und Tirol sollten jetzt prüfen, ob sie darunter fallen und welche Pflichten für sie gelten.

Beide Gesetze setzen die NIS2-Richtlinie (EU) 2022/2555 um und verlangen unter anderem, Sicherheitsvorfälle zu bewältigen (https://eur-lex.europa.eu/eli/dir/2022/2555/oj). In der Leittechnik scheitert das in aller Regel schon am ersten Schritt: Was niemand bemerkt, kann auch niemand bewältigen. Und wenn ein Verfahrenstechniker „komische Ventilstellungen“ meldet, ist das ein Zufallsfund und keine Angriffserkennung.

## So fängt man an

1. Messpunkt festlegen. Gesucht ist die Stelle, an der Leittechnik, Engineering und der Übergang zur IT zusammenkommen. Meist ist das ein zentraler Switch im Schaltraum. Dort wird ein SPAN-Port konfiguriert oder ein passiver TAP gesetzt, beides über das Change-Management. Ein Inline-TAP unterbricht beim Einbau kurz die Verbindung und gehört deshalb in ein Wartungsfenster.

2. Zwei Wochen mitschneiden. Ein normaler Produktionszyklus muss enthalten sein, inklusive Chargenwechsel, Reinigung und Besuch des Servicetechnikers. Gerade der Servicelaptop zeigt mitunter Verbindungen, die in keinem Plan stehen.

3. Asset-Inventar ableiten. Aus dem Mitschnitt entsteht eine Liste aller Geräte mit Hersteller, Firmware-Stand und Kommunikationspartnern. Diese Liste wird ohnehin für das Schwachstellenmanagement und für jede Advisory-Prüfung gebraucht. Unterstützung dazu: https://ot-cyber.de/leistungen/ot-asset-inventar/

4. Soll-Kommunikation festschreiben. Gemeinsam mit Verfahrenstechnik und Instandhaltung wird geklärt, welche Verbindungen erlaubt sind. Alles andere löst einen Alarm aus. Spätestens hier greifen Monitoring und Netzarchitektur ineinander: Jede Verbindung, die niemand erklären kann, wirft die Frage auf, ob die Segmentierung so dicht ist wie gedacht.

5. Zuständigkeit für Alarme klären. Ein Sensor, dessen Alarme niemand bearbeitet, nützt wenig. Es muss feststehen, wer werktags und nachts reagiert und ab wann die Schichtleitung die Anlage in einen sicheren Zustand fährt. Damit ist das Monitoring an die Incident Response angebunden.

Für kleine Teams ist der fünfte Schritt oft der Knackpunkt. Ein KI-Modell kann hier entlasten, etwa indem es Alarme vorsortiert und bekannte Wartungsfenster herausfiltert. Dem Instandhalter erklärt es dann in zwei Sätzen, was an einem Ereignis ungewöhnlich ist. Entscheiden muss weiterhin ein Mensch. So wird das Ganze auch für ein kleines Technikteam machbar, solange es sich auf die fünf Controls beschränkt und Routinearbeit an Werkzeuge abgibt.

## Wenn die Produktion schon steht

Auch dann zahlt sich das Monitoring aus. Ein vorhandener Mitschnitt zeigt im Ernstfall, welcher Rechner zuerst mit wem gesprochen hat, ob ein Angreifer bis in die Steuerungsebene gekommen ist und welche Teilanlagen sauber geblieben sind. Davon hängt ab, ob gezielt wieder angefahren werden kann oder alles neu aufgesetzt werden muss. Ohne diese Daten bleibt nur die vorsichtige und lange Variante.

## Wobei wir unterstützen

Wir richten Angriffserkennung in OT-Netzen passiv und ohne Eingriff in die Steuerungen und den Prozess ein (https://ot-cyber.de/leistungen/angriffserkennung-ot/). Für mehrere Standorte bauen wir das OT-Lagebild auf (https://ot-cyber.de/leistungen/ot-lagebild/). Im Ernstfall helfen wir über die OT-Notfallhilfe (https://ot-cyber.de/leistungen/ot-notfallhilfe/). Wer den Betrieb lieber im eigenen Haus aufbauen will, findet passende Schulungen: „OT verstehen, für IT-Profis“ und „Cyber-Awareness für Instandhaltung und Technik“. Tätig sind wir in Bayern, Salzburg, Tirol und ganz DACH. Schreiben Sie mir über https://ot-cyber.de/kontakt/.

[Bild: Schema: In 5 Schritten zum Monitoring in der Leittechnik]

## Quellen

- SANS, The Five ICS Cybersecurity Critical Controls (Lee/Conway, 2022): https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls

- Dragos, 2026 OT Cybersecurity Year in Review (Februar 2026): https://www.dragos.com/blog/dragos-2026-ot-cybersecurity-year-in-review

- BSI, Monitoring und Anomalieerkennung in Produktionsnetzwerken: https://www.bsi.bund.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_134.html

- BSI, Orientierungshilfe Systeme zur Angriffserkennung: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-sza.html

- BSI, FAQ Systeme zur Angriffserkennung: https://www.bsi.bund.de/SharedDocs/FAQs/DE/BSIG/Angriffserkennung/Functions/faq-systeme-angriffserkennung.html

- NAMUR, NA 163 überarbeitet: https://www.namur.net/en/publications/news-archive/na163-it-security-risk-assessment-for-safety-related-pct-equipment-has-been-revised.html

- usd AG, NIS2UmsuCG in Kraft: https://www.usd.de/nis2umsucg-offiziell-in-kraft/

- Reed Smith, Germany’s NIS-2 Implementation Law enters into force: https://www.reedsmith.com/our-insights/blogs/technology-law-dispatch/102lxfr/finally-germany-enacts-its-nis2-law/

- RIS, NISG 2026, BGBl. I Nr. 94/2025: https://www.ris.bka.gv.at/eli/bgbl/I/2025/94

- WKO, Cybersicherheitsgesetz NISG 2026: https://www.wko.at/oe/oesterreich/cybersicherheitsgesetz-nisg-2026

- EUR-Lex, Richtlinie (EU) 2022/2555 (NIS2): https://eur-lex.europa.eu/eli/dir/2022/2555/oj

## Häufige Fragen

**Was bedeutet CC3 ICS Network Visibility & Monitoring?**
CC3 ist das dritte der fünf SANS ICS Critical Controls (Lee/Conway, 2022). Gemeint ist das passive Mitlesen von Industrieprotokollen im OT-Netz. So kennen Sie alle Geräte und Verbindungen und bemerken Abweichungen früh.

**Stört Netzwerk-Monitoring unser Prozessleitsystem?**
Passives Monitoring über einen SPAN-Port oder TAP sendet nichts ins OT-Netz, es hört nur zu. Einen Mirror-Port richtet man meist in einem kurzen Wartungsfenster ein.

**Was tun, wenn die Produktion nach einem Cyberangriff stillsteht?**
Zuerst die Anlage sicher halten und den Notfallplan nach CC1 starten. Ein vorhandener Netzmitschnitt zeigt, welche Teilanlagen betroffen sind, und erlaubt ein gezieltes Wiederanfahren. Die OT-Notfallhilfe von OT-Cyber.de ist rund um die Uhr erreichbar.

**Wer hilft bei NIS2 und Angriffserkennung in Bayern, Salzburg und Tirol?**
Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, und OT-Cyber.de unterstützen Betreiber in ganz DACH bei Angriffserkennung, Asset-Inventar und NIS2- bzw. NISG-2026-Anforderungen.

**Woran sieht die Instandhaltung, ob der Servicelaptop unerwartete Verbindungen aufbaut?**
Am Mitschnitt während eines Servicebesuchs. Das Monitoring zeigt jede Verbindung des Laptops zu Steuerungen und Servern. Was nicht in der vereinbarten Soll-Kommunikation steht, wird zum Alarm.

## Quellen

- www.sans.org (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls)
- www.dragos.com (https://www.dragos.com/blog/dragos-2026-ot-cybersecurity-year-in-review)
- www.bsi.bund.de (https://www.bsi.bund.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_134.html)
- www.bsi.bund.de (https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-sza.html)
- www.bsi.bund.de (https://www.bsi.bund.de/SharedDocs/FAQs/DE/BSIG/Angriffserkennung/Functions/faq-systeme-angriffserkennung.html)
- www.namur.net (https://www.namur.net/en/publications/news-archive/na163-it-security-risk-assessment-for-safety-related-pct-equipment-has-been-revised.html)
- www.usd.de (https://www.usd.de/nis2umsucg-offiziell-in-kraft/)
- www.reedsmith.com (https://www.reedsmith.com/our-insights/blogs/technology-law-dispatch/102lxfr/finally-germany-enacts-its-nis2-law/)
- www.ris.bka.gv.at (https://www.ris.bka.gv.at/eli/bgbl/I/2025/94)
- www.wko.at (https://www.wko.at/oe/oesterreich/cybersicherheitsgesetz-nisg-2026)
- eur-lex.europa.eu (https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 04.11.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html&text=CC3%20in%20der%20Prozessindustrie%3A%20Sehen%2C%20was%20im%20OT-Netz%20passiert)WhatsApp (https://wa.me/?text=CC3%20in%20der%20Prozessindustrie%3A%20Sehen%2C%20was%20im%20OT-Netz%20passiert%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html)E-Mail (mailto:?subject=CC3%20in%20der%20Prozessindustrie%3A%20Sehen%2C%20was%20im%20OT-Netz%20passiert&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fcc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html)