OT-Cyber.de
Notfall 24/7 · +49 8031 8603164Kontakt

Schritt 5 von 5 · nach SANS CC5 „Risk-based Vulnerability Management“

Schritt 5: Schwachstellen im Griff

Wissen Sie heute, ob die Lücke aus den Nachrichten Ihre Anlage betrifft?

Jede Woche werden neue Lücken in Steuerungen und Software bekannt. Nicht jede betrifft Sie, und nicht jede muss sofort gepatcht werden. Wer seine Geräte kennt, kann in Minuten entscheiden: patchen, abschirmen oder beobachten.

Ihr erster Schritt diese Woche: Erfassen Sie die zehn wichtigsten Geräte Ihrer Anlage mit Hersteller, Typ und Firmware-Stand.

In einer Minute erklärt

InternetBüro-ITDMZLeitstandSteuerungPumpe
1/4 Eine neue Meldung: eine Lücke in einer verbreiteten Steuerung. Betrifft sie Sie?

InternetBüro-ITDMZLeitstandSteuerungPumpe
2/4 Blick ins Inventar: Ja, diese Steuerung ist verbaut, mit betroffener Firmware.

InternetBüro-ITDMZLeitstandSteuerungPumpe
3/4 Ist sie erreichbar? Nur aus dem Leitstand, Zonen schützen sie. Das Risiko ist begrenzt.

InternetBüro-ITDMZLeitstandSteuerungPumpe
4/4 Entscheidung: Update beim nächsten Stillstand, bis dahin eine Regel in der Firewall.

Warum das wichtig ist

In Anlagen lässt sich nicht alles sofort aktualisieren. Wichtiger als jeder Patch ist das Wissen, welche Geräte es gibt und welche davon erreichbar sind.

Selbstcheck in zwei Minuten

Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an.

Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste.

Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr.

Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert.

Was Sie tun können, je nach Betrieb

Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt.

Supermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox.

  • Automatische Updates im Router einschalten.
  • Den Kälte- oder Heizungstechniker fragen, ob es für den Regler Updates gibt.
  • Prüfen lassen, ob Ihre Anlage aus dem Internet erreichbar ist (wir sagen es Ihnen kostenfrei).

Zum 30-Minuten-Check für Kühlung und Heizung →

Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller.

  • Geräteliste mit Firmware-Stand anlegen, auch für Router und Fernwartungsboxen.
  • Sicherheitsmeldungen der eigenen Hersteller abonnieren oder die OT-Lage lesen.
  • Updates mit dem Dienstleister für ruhige Zeiten einplanen.

Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller.

  • Asset-Inventar für alle Linien, automatisch abgeglichen mit Sicherheitsmeldungen.
  • Entscheidungsregeln: was sofort, was beim nächsten Stillstand, was nur mit Absicherung.
  • Updates gemeinsam mit den Maschinenherstellern testen.

Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon.

  • Inventar für Leitsystem, Außenstationen und Fernwirktechnik.
  • Meldungen von CERT@VDE, BSI und Herstellern regelmäßig auswerten.
  • Erreichbarkeit aus dem Internet regelmäßig prüfen lassen.

Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten.

  • Schwachstellenmanagement mit Risikobewertung je Zone.
  • Feste Fristen je Schwere, Ausnahmen dokumentiert und befristet.
  • Tägliche Auswertung der Lage, Abgleich mit dem Inventar.

Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams.

  • Konzernweites Inventar und Schwachstellenmanagement, Werke mit lokalen Verantwortlichen.
  • Absprachen mit Lieferanten zu Updates, Meldepflichten und Lebensdauer.
  • Kennzahlen: offene Lücken je Kritikalität und Alter.

Hands-on: Das Inventar der zehn wichtigsten Geräte in 60 Minuten

  1. Vorlage ausdrucken. Mit der Technik an die Schaltschränke gehen.
  2. Die zehn wichtigsten Geräte erfassen: Steuerungen, Bedienrechner, Router, Fernwartungsboxen.
  3. Bei jedem Gerät Hersteller, Typ und Firmware-Stand notieren (steht oft auf dem Display oder im Menü).
  4. Für jedes Gerät eintragen, von wo es erreichbar ist: nur vor Ort, aus dem Büro, aus dem Internet.
  5. Die aktuelle OT-Lage durchgehen: Ist eines Ihrer Geräte dabei? Dann mit dem Entscheidungsbaum weitermachen.

In der Simulation ausprobieren

Öffnen Sie in einer Simulation den Reiter „Asset-Inventar“: So sieht ein vollständiges Inventar mit Firmware, Zone und Einbauort aus. Im Reiter „Härtung“ sehen Sie, wie sich Maßnahmen auf das Risiko auswirken.

Zu den Simulationen

Zum Ausdrucken

Vorlage Inventar der wichtigsten Geräte, Entscheidungsbaum: aktualisieren, absichern, warten, Checkliste Schwachstellen. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Inventar und Entscheidung für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann.

PDF mit Vorlage und Beispiel herunterladen

Was verlangen Gesetz und Norm?

In Deutschland gehört der Umgang mit Schwachstellen zu den Mindestmaßnahmen (§ 30 Abs. 2 Nr. 5 BSIG). Hersteller müssen nach dem Cyber Resilience Act seit 11. September 2026 aktiv ausgenutzte Schwachstellen melden, ab 11. Dezember 2027 gilt die Verordnung vollständig. Die Pflichten treffen Hersteller, nicht Betreiber. Fragen Sie Ihre Hersteller, wie Sie deren Sicherheitsmeldungen bekommen.

Quellen

Aktuell dazu

Automatisch zugeordnet aus der täglichen Lage und dem Blog.

Zur aktuellen Lage →

Was gilt bei Ihnen?

Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet. Persönlich in der Region: OT-Security in Bayern · OT-Security in Salzburg · OT-Security in Tirol

Häufige Fragen

Muss ich jede Lücke sofort patchen?

Nein. Entscheidend ist, ob das Gerät betroffen und erreichbar ist. Oft reicht bis zum nächsten Stillstand eine Absicherung, etwa eine Firewall-Regel.

Woher erfahre ich von neuen Lücken?

Aus den Meldungen der Hersteller, von CERT@VDE, dem BSI (CERT-Bund) und den ICS-Meldungen der CISA. Was aktiv ausgenutzt wird, steht im KEV-Katalog der CISA. Einfacher: die tägliche Lage auf dieser Seite, jede Meldung mit Quelle.

Was, wenn es kein Update gibt?

Dann das Gerät besser abschirmen: Zonen, keine Erreichbarkeit aus dem Internet, Überwachung.

← Schritt 4: Fernzugang absichernAlle fünf Schritte

Zuletzt aktualisiert: 05.11.2026

Fragen? Wir helfen auch. Notfall? 24/7 anrufen: +49 8031 8603164

Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail