OT-Schwachstellen-Management für Anlagen | Bayern & DACH

OT-Schwachstellen-Management bedeutet: Schwachstellen in SPS, HMI, Edge Devices und Fernwartungs-Gateways laufend erkennen, nach dem tatsächlichen Risiko für Ihre Anlage bewerten und gezielt behandeln. Das geschieht per Patch, per Firmware-Update oder mit einer Ersatzmaßnahme, ohne die Produktion zu gefährden. Das betrifft Betreiber, KRITIS-Unternehmen und Maschinenbauer in Deutschland, Österreich und der Schweiz. OT-Cyber.de aus Rosenheim baut diesen Prozess mit Ihnen auf und sorgt dafür, dass er im Alltag funktioniert.

Für wen ist Schwachstellenmanagement in der OT gedacht?

Betreiber von Anlagen: Industrie, Stadtwerke, Wasserversorgung und Energie in Bayern, Salzburg und Tirol und im ganzen DACH-Raum.
Maschinenbauer: Sie müssen für ihre Produkte Schwachstellen behandeln, Security-Updates liefern und Kunden informieren. Mit dem Cyber Resilience Act (CRA) wird das zur Pflicht.
KRITIS- und NIS2-pflichtige Unternehmen in Deutschland und Österreich: Für sie ist ein geregelter Umgang mit Schwachstellen besonders wichtig.
Einkäufer: Sie wollen wissen, welche Anforderungen an Updates und Advisories in Ausschreibung und Liefervertrag gehören.

Ausgangslage: Warum ist Patchmanagement bei Anlagen anders als in der IT?

Hersteller, CERT@VDE und die CISA veröffentlichen laufend neue ICS-Advisories. Für ein kleines OT-Team ist das kaum zu bewältigen. Gleichzeitig lässt sich eine Linie nicht einfach neu starten, nur weil am Dienstag ein Patch erschienen ist. Wartungsfenster sind knapp. Updates brauchen oft eine Freigabe des Herstellers. Manche Steuerungen laufen noch Jahre mit alter Firmware weiter. Dazu kommen Servicelaptops, USB-Sticks und Ersatzteile, deren Firmware-Stand niemand kennt.

Der CVSS-Wert allein hilft dabei wenig. Eine „kritische“ CVE in einem Gerät, das gut segmentiert ist, kann weniger dringend sein als eine mittlere Schwachstelle im Fernwartungs-Gateway, das aus dem Internet erreichbar ist.

Wie läuft OT-Schwachstellen-Management mit OT-Cyber ab?

Grundlage schaffen: Wir prüfen, welche Komponenten mit welcher Firmware im Einsatz sind. Fehlt das, bauen wir zuerst ein belastbares OT-Asset-Inventar auf.
Advisories sammeln und zuordnen: Hersteller-Advisories (wo vorhanden im CSAF-Format), Meldungen von CERT@VDE und die ICS Advisories der CISA werden Ihren Assets zugeordnet und vorgefiltert. Ihr Team bekommt im Wesentlichen nur die Meldungen, die Ihre Systeme betreffen.
CVE-Bewertung im OT-Kontext: Ist das Gerät erreichbar und aus welcher Zone? Gibt es einen öffentlichen Exploit, oder steht die Schwachstelle im Known Exploited Vulnerabilities Catalog der CISA? Was bedeutet ein Ausfall für Prozess, Qualität und Safety?
Maßnahme festlegen: Patch oder Firmware-Update, Ersatzmaßnahme wie Segmentierung, engere Firewall-Regeln oder abgeschaltete Dienste, oder ein bewusst akzeptiertes Restrisiko mit gezielter Überwachung durch die Angriffserkennung (SzA).
Patches planen: Wir stimmen mit Produktion und Instandhaltung Wartungsfenster ab, legen fest, wo vorab getestet wird, planen eine Rückfallebene für den Wiederanlauf und klären die Freigabe mit dem Hersteller.
Nachweis und Routine: Entscheidungen werden prüffähig dokumentiert. Das hilft bei NIS2-Audits und gegenüber Kunden. Der Ablauf wird so verankert, dass Ihr Team ihn selbst weiterführt.

Was haben Sie davon?

Sie bekommen eine priorisierte, verständliche Liste: Was ist wirklich dringend, was kann bis zum nächsten Stillstand warten, und was wird anders abgesichert. Die Produktion behält die Kontrolle über Stillstand und Wiederanlauf. Die IT weiß, wer wofür zuständig ist. Einkauf und Geschäftsleitung haben eine nachvollziehbare Grundlage für Entscheidungen.

Schwachstellenmanagement im Zusammenspiel mit anderen Schutzmaßnahmen

Risikobasiertes Schwachstellenmanagement ist ein zentraler Baustein der OT-Sicherheit. Es wirkt aber nur zusammen mit anderen Maßnahmen: Eine verteidigungsfähige Architektur liefert die Ersatzmaßnahmen, Sichtbarkeit im Netz erkennt Ausnutzungsversuche, und eine sichere Fernwartung sichert einen wichtigen Zugangsweg ab.

Was haben NIS2, CRA und IEC 62443 mit Schwachstellen zu tun?

NIS2: Die Richtlinie verlangt ein angemessenes Risikomanagement. Ein geregelter Umgang mit Schwachstellen gehört in der Praxis dazu.
CRA (Verordnung (EU) 2024/2847): Der CRA verpflichtet Hersteller zu einem geregelten Umgang mit Schwachstellen in ihren Produkten. Für Maschinenbauer passt dazu unser Angebot CRA as a Service.
IEC 62443: Die Normenreihe behandelt sowohl Patchmanagement in industriellen Umgebungen als auch den Umgang mit Schwachstellen beim Hersteller.

Warum OT-Cyber?

OT-Cyber ist ein spezialisiertes Beratungsunternehmen aus Rosenheim. Wir kennen die Arbeit an Anlagen und Maschinen und sprechen die Sprache von Produktion, Instandhaltung und IT. Wir arbeiten herstellerunabhängig und wählen Werkzeuge passend zu Ihrer Umgebung aus. Aus Rosenheim sind wir schnell in Bayern, Salzburg und Tirol vor Ort und arbeiten in ganz DACH. Ein eigenes SOC betreiben wir nicht. Wenn es ernst wird, unterstützt Sie unsere OT-Notfallhilfe.

Kontakt aufnehmen

Sie möchten wissen, welche Schwachstellen Ihre Anlagen oder Maschinen wirklich betreffen? Schreiben Sie uns über das Kontaktformular oder rufen Sie an. Wir klären im ersten Gespräch, wo Sie stehen und was der nächste sinnvolle Schritt ist.

Häufige Fragen

Wie patchen wir SPS und HMI, ohne dass die Produktion stillsteht?

Zuerst wird jede Schwachstelle nach ihrem tatsächlichen Risiko bewertet. Nur wirklich dringende Fälle werden kurzfristig behandelt, alles andere wird für geplante Wartungsfenster mit Test und Rückfallebene vorbereitet. Bis dahin sichern Ersatzmaßnahmen wie Segmentierung oder engere Firewall-Regeln die Anlage ab.

Was bedeutet der CRA für das Schwachstellenmanagement von Maschinenbauern?

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller zu einem geregelten Umgang mit Schwachstellen in ihren Produkten. OT-Cyber hilft beim Aufbau der nötigen Abläufe, auf Wunsch als CRA as a Service.

Wer hilft beim Schwachstellenmanagement für OT-Anlagen in Bayern, Salzburg oder Tirol?

OT-Cyber.de aus Rosenheim unterstützt Betreiber und Maschinenbauer in der Grenzregion und in ganz DACH. Zu den Leistungen gehören CVE-Bewertung, Patchplanung und prüffähige Dokumentation, aus Rosenheim schnell vor Ort oder online.

Darf der Servicetechniker per Fernwartung ein Firmware-Update auf die SPS spielen?

Ja, wenn der Zugang sicher geregelt ist: Freigabe im Einzelfall, ein kontrollierter Zugang zum Beispiel über einen Jump Host, Protokollierung und eine abgestimmte Rückfallebene. Das entspricht den Grundsätzen einer sicheren Fernwartung (Secure Remote Access) und verringert die Gefahr, dass das Update selbst einen Ausfall oder Angriffsweg verursacht.