Schritt 5 von 5 · nach SANS CC5 „Risk-based Vulnerability Management“ # Schritt 5: Schwachstellen im Griff Wissen Sie heute, ob die Lücke aus den Nachrichten Ihre Anlage betrifft? Jede Woche werden neue Lücken in Steuerungen und Software bekannt. Nicht jede betrifft Sie, und nicht jede muss sofort gepatcht werden. Wer seine Geräte kennt, kann in Minuten entscheiden: patchen, abschirmen oder beobachten. Ihr erster Schritt diese Woche: Erfassen Sie die zehn wichtigsten Geräte Ihrer Anlage mit Hersteller, Typ und Firmware-Stand. ## In einer Minute erklärt - - - - - InternetBüro-ITDMZLeitstandSteuerungPumpe1/4 Eine neue Meldung: eine Lücke in einer verbreiteten Steuerung. Betrifft sie Sie?Weiter - - - - - InternetBüro-ITDMZLeitstandSteuerungPumpe2/4 Blick ins Inventar: Ja, diese Steuerung ist verbaut, mit betroffener Firmware.ZurückWeiter - - - - - - - - - - InternetBüro-ITDMZLeitstandSteuerungPumpe3/4 Ist sie erreichbar? Nur aus dem Leitstand, Zonen schützen sie. Das Risiko ist begrenzt.ZurückWeiter - - - - - InternetBüro-ITDMZLeitstandSteuerungPumpe4/4 Entscheidung: Update beim nächsten Stillstand, bis dahin eine Regel in der Firewall.ZurückVon vorn ## Warum das wichtig ist In Anlagen lässt sich nicht alles sofort aktualisieren. Wichtiger als jeder Patch ist das Wissen, welche Geräte es gibt und welche davon erreichbar sind. ## Selbstcheck in zwei Minuten - Es gibt eine Liste aller wichtigen Geräte mit Hersteller, Typ und Firmware-Stand. - Jemand verfolgt regelmäßig neue Sicherheitsmeldungen zu diesen Geräten. - Es ist bekannt, welche Geräte aus dem Internet oder dem Büro erreichbar sind. - Für jede Meldung wird entschieden: patchen, abschirmen oder beobachten. - Updates werden für geplante Stillstände eingeplant. - Router, Firewalls und VPN-Geräte werden zeitnah aktualisiert. - Entscheidungen zu Lücken werden kurz dokumentiert. - Hersteller und Dienstleister informieren Sie über Lücken in gelieferter Technik.Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an. Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste. Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr. Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert. ## Was Sie tun können, je nach Betrieb Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt. KleinstbetriebKleiner Betrieb mit TechnikMittelständische ProduktionKleiner Versorger oder KommuneGroßer Versorger oder NetzbetreiberGroßindustrie und ProzessindustrieSupermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox. - Automatische Updates im Router einschalten. - Den Kälte- oder Heizungstechniker fragen, ob es für den Regler Updates gibt. - Prüfen lassen, ob Ihre Anlage aus dem Internet erreichbar ist (wir sagen es Ihnen kostenfrei).Zum 30-Minuten-Check für Kühlung und Heizung → (/schritte/kleinbetrieb/) Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller. - Geräteliste mit Firmware-Stand anlegen, auch für Router und Fernwartungsboxen. - Sicherheitsmeldungen der eigenen Hersteller abonnieren oder die OT-Lage lesen. - Updates mit dem Dienstleister für ruhige Zeiten einplanen.Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller. - Asset-Inventar für alle Linien, automatisch abgeglichen mit Sicherheitsmeldungen. - Entscheidungsregeln: was sofort, was beim nächsten Stillstand, was nur mit Absicherung. - Updates gemeinsam mit den Maschinenherstellern testen.Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon. - Inventar für Leitsystem, Außenstationen und Fernwirktechnik. - Meldungen von CERT@VDE, BSI und Herstellern regelmäßig auswerten. - Erreichbarkeit aus dem Internet regelmäßig prüfen lassen.Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten. - Schwachstellenmanagement mit Risikobewertung je Zone. - Feste Fristen je Schwere, Ausnahmen dokumentiert und befristet. - Tägliche Auswertung der Lage, Abgleich mit dem Inventar.Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams. - Konzernweites Inventar und Schwachstellenmanagement, Werke mit lokalen Verantwortlichen. - Absprachen mit Lieferanten zu Updates, Meldepflichten und Lebensdauer. - Kennzahlen: offene Lücken je Kritikalität und Alter. ## Hands-on: Das Inventar der zehn wichtigsten Geräte in 60 Minuten - Vorlage ausdrucken. Mit der Technik an die Schaltschränke gehen. - Die zehn wichtigsten Geräte erfassen: Steuerungen, Bedienrechner, Router, Fernwartungsboxen. - Bei jedem Gerät Hersteller, Typ und Firmware-Stand notieren (steht oft auf dem Display oder im Menü). - Für jedes Gerät eintragen, von wo es erreichbar ist: nur vor Ort, aus dem Büro, aus dem Internet. - Die aktuelle OT-Lage durchgehen: Ist eines Ihrer Geräte dabei? Dann mit dem Entscheidungsbaum weitermachen. ## In der Simulation ausprobieren Öffnen Sie in einer Simulation den Reiter „Asset-Inventar“: So sieht ein vollständiges Inventar mit Firmware, Zone und Einbauort aus. Im Reiter „Härtung“ sehen Sie, wie sich Maßnahmen auf das Risiko auswirken. Zu den Simulationen (/simulationen/) ## Zum Ausdrucken Vorlage Inventar der wichtigsten Geräte, Entscheidungsbaum: aktualisieren, absichern, warten, Checkliste Schwachstellen. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Inventar und Entscheidung für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann. PDF mit Vorlage und Beispiel herunterladen (/schritte/schwachstellen/checkliste-schritt-5-schwachstellen.pdf) ## Was verlangen Gesetz und Norm? In Deutschland gehört der Umgang mit Schwachstellen zu den Mindestmaßnahmen (§ 30 Abs. 2 Nr. 5 BSIG). Hersteller müssen nach dem Cyber Resilience Act seit 11. September 2026 aktiv ausgenutzte Schwachstellen melden, ab 11. Dezember 2027 gilt die Verordnung vollständig. Die Pflichten treffen Hersteller, nicht Betreiber. Fragen Sie Ihre Hersteller, wie Sie deren Sicherheitsmeldungen bekommen. ## Quellen - SANS Institute: The Five ICS Cybersecurity Critical Controls (Lee, Conway, Oktober 2022) (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls) - CISA: Known Exploited Vulnerabilities (aktiv ausgenutzte Lücken) (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) - CISA: Stakeholder-Specific Vulnerability Categorization (Entscheidungsbaum) (https://www.cisa.gov/stakeholder-specific-vulnerability-categorization-ssvc) - CISA: Foundations for OT Cybersecurity, Asset Inventory Guidance (2025) (https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators) - CERT@VDE: Sicherheitsmeldungen von Automatisierungsherstellern (https://certvde.com/de/) - Cyber Resilience Act, Verordnung (EU) 2024/2847 (https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - § 30 BSIG (Mindestmaßnahmen, gültig seit 6.12.2025) (https://openlex.de/bsig/30) ## Aktuell dazu Automatisch zugeordnet aus der täglichen Lage und dem Blog. - Vorfall-Lagebild: Erster Schweizer Kühlanlagen-Hack: Metzgerei Köniz (/blog/vorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html) (05.11.2026) - CC3 in der Prozessindustrie: Sehen, was im OT-Netz passiert (/blog/cc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html) (04.11.2026) - Sicherer Fernzugang für Netzbetreiber und Stadtwerke (/blog/sicherer-fernzugang-fuer-netzbetreiber-und-stadtwerke.html) (04.11.2026) - SANS Five Controls am Beispiel einer 3D-Druck-Farm (/blog/sans-five-controls-in-der-eigenen-fertigung-umgesetzt.html) (03.11.2026) - 1.500 offene GLT-Dienste: Lage Bayern und DACH (/blog/1-500-offene-gebaeudesteuerungen-lage-bayern-und-dach.html) (02.11.2026) - Erfolgreiche OT-Angriffe 2026: Wege und Prioritäten (/blog/erfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html) (02.11.2026)Zur aktuellen Lage → (/ot-lage/) ## Was gilt bei Ihnen? Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet (/schritte/notfall/#region). Persönlich in der Region: OT-Security in Bayern (/leistungen/ot-security-bayern/) · OT-Security in Salzburg (/leistungen/ot-security-salzburg/) · OT-Security in Tirol (/leistungen/ot-security-tirol/) ## Häufige Fragen **Muss ich jede Lücke sofort patchen?** Nein. Entscheidend ist, ob das Gerät betroffen und erreichbar ist. Oft reicht bis zum nächsten Stillstand eine Absicherung, etwa eine Firewall-Regel. **Woher erfahre ich von neuen Lücken?** Aus den Meldungen der Hersteller, von CERT@VDE, dem BSI (CERT-Bund) und den ICS-Meldungen der CISA. Was aktiv ausgenutzt wird, steht im KEV-Katalog der CISA. Einfacher: die tägliche Lage auf dieser Seite, jede Meldung mit Quelle. **Was, wenn es kein Update gibt?** Dann das Gerät besser abschirmen: Zonen, keine Erreichbarkeit aus dem Internet, Überwachung. ← Schritt 4: Fernzugang absichern (/schritte/fernzugang/)Alle fünf Schritte (/schritte/) Zuletzt aktualisiert: 05.11.2026 Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164) Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fschwachstellen%2F)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fschwachstellen%2F)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fschwachstellen%2F)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fschwachstellen%2F&text=Schritt%205%3A%20Schwachstellen%20im%20Griff%20%7C%20OT-Sicherheit%20einfach)WhatsApp (https://wa.me/?text=Schritt%205%3A%20Schwachstellen%20im%20Griff%20%7C%20OT-Sicherheit%20einfach%20https%3A%2F%2Fot-cyber.de%2Fschritte%2Fschwachstellen%2F)E-Mail (mailto:?subject=Schritt%205%3A%20Schwachstellen%20im%20Griff%20%7C%20OT-Sicherheit%20einfach&body=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fschwachstellen%2F)