OT-Cyber.de
Notfall 24/7 · +49 8031 8603164Kontakt

Schritt 3 von 5 · nach SANS CC3 „ICS Network Visibility and Monitoring“

Schritt 3: Sehen, was im Netz passiert

Würden Sie merken, wenn ein fremdes Gerät mit Ihrer Steuerung spricht?

Viele Angriffe auf Anlagen laufen wochenlang unbemerkt. Wer weiß, was im eigenen Netz normal ist, erkennt das Ungewöhnliche. Dafür reicht am Anfang ein Mitschnitt und ein geübter Blick.

Ihr erster Schritt diese Woche: Schreiben Sie auf, welche Geräte in Ihrer Anlage miteinander sprechen sollten. Alles andere ist verdächtig.

In einer Minute erklärt

Büro-ITLeitstandSteuerungPumpeÜberwachung
1/4 Normalbetrieb: Der Leitstand fragt die Steuerung ab, immer gleich, immer dieselben Werte.

Büro-ITLeitstandSteuerungPumpeÜberwachung
2/4 Eine Überwachung hört passiv mit. Sie greift nicht ein und stört die Anlage nicht.

Büro-ITLeitstandSteuerungPumpeÜberwachung
3/4 Ein Rechner aus dem Büro schreibt plötzlich Werte auf die Steuerung. Das kam vorher nie vor.

Büro-ITLeitstandSteuerungPumpeÜberwachung
4/4 Die Überwachung schlägt Alarm, der Leitstand reagiert. Der Angreifer wird gestoppt, bevor etwas passiert.

Warum das wichtig ist

Angreifer erkunden eine Anlage meist zuerst: Sie fragen Steuerungen ab und testen Zugänge. Wer mitliest, kann sie in dieser Phase stoppen, bevor etwas passiert.

Selbstcheck in zwei Minuten

Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an.

Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste.

Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr.

Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert.

Was Sie tun können, je nach Betrieb

Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt.

Supermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox.

  • Im Router die Liste der verbundenen Geräte ansehen: Kennen Sie jedes Gerät?
  • Temperaturalarm aufs Handy, am besten über einen eigenen Fühler, nicht nur über den Regler.
  • Mitteilungen des Routers über neue Geräte und Anmeldungen einschalten.

Zum 30-Minuten-Check für Kühlung und Heizung →

Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller.

  • Einmal im Quartal die Geräteliste von Router und Firewall mit dem Dienstleister durchgehen.
  • Protokolle der Fernzugänge aufbewahren und stichprobenartig ansehen.
  • Einen Mitschnitt der Maschinen machen lassen und mit dem Hersteller besprechen.

Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller.

  • Spiegelport an den wichtigsten Switches einrichten.
  • Passive Angriffserkennung für das Anlagennetz einführen, Alarme an eine feste Stelle.
  • Ein Asset-Inventar aus dem mitgelesenen Verkehr aufbauen.

Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon.

  • Angriffserkennung für Leitsystem und Fernwirkverbindungen, in Deutschland für KRITIS-Betreiber vorgeschrieben.
  • Alarme in den Bereitschaftsdienst einbinden.
  • Monatlich Auffälligkeiten durchgehen, auch kleine.

Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten.

  • Systeme zur Angriffserkennung (SzA) mit Abdeckung aller Zonen.
  • Auswertung rund um die Uhr, eigene Spezialisten oder Dienstleister mit OT-Erfahrung.
  • Regelmäßige Bedrohungssuche (Threat Hunting) mit Szenarien aus der Lage.

Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams.

  • Monitoring in allen Werken mit zentraler Auswertung.
  • Erkennungsregeln für die eigenen Prozesse, abgestimmt mit der Prozesstechnik.
  • Kennzahlen: Zeit bis zur Erkennung, Zeit bis zur Reaktion.

Hands-on: Eine Stunde mitschneiden

  1. Mit dem IT-Dienstleister einen Spiegelport an einem Switch der Anlage einrichten, oder in der Simulation starten.
  2. Eine Stunde Netzverkehr mit Wireshark (kostenlos) mitschneiden.
  3. Unter „Statistiken, Konversationen“ ansehen: Welche Geräte sprechen miteinander?
  4. Jede Verbindung mit der Liste „Was ist bei uns normal?“ vergleichen.
  5. Alles Unbekannte klären. Oft ist es eine vergessene Fernwartung oder ein Gerät, das niemand mehr kennt.

In der Simulation ausprobieren

Laden Sie in einer Simulation im Reiter „Netz und PCAP“ einen Mitschnitt herunter, öffnen Sie ihn mit Wireshark und suchen Sie den Angriff. Der Normalbetrieb zum Vergleich liegt daneben.

Zu den Simulationen

Zum Ausdrucken

Liste „Was ist bei uns normal?“, Anleitung Mitschnitt in einer Stunde, Checkliste Überwachung. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Blatt „Was ist bei uns normal?“ für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann.

PDF mit Vorlage und Beispiel herunterladen

Was verlangen Gesetz und Norm?

In Deutschland müssen Betreiber kritischer Anlagen Systeme zur Angriffserkennung einsetzen (§ 31 Abs. 2 BSIG). Für alle anderen ist das freiwillig und trotzdem sinnvoll. IEC 62443-3-3 fordert die Überwachung von Sicherheitsereignissen (Grundanforderung 6, rechtzeitige Reaktion).

Quellen

Aktuell dazu

Automatisch zugeordnet aus der täglichen Lage und dem Blog.

Zur aktuellen Lage →

Was gilt bei Ihnen?

Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet. Persönlich in der Region: OT-Security in Bayern · OT-Security in Salzburg · OT-Security in Tirol

Häufige Fragen

Stört ein Mitschnitt die Anlage?

Ein Spiegelport (SPAN) oder ein TAP liest nur mit und schickt nichts in die Anlage. Ein TAP ist noch rückwirkungsfreier, ein Spiegelport kann den Switch leicht belasten. Einrichtung mit dem Betrieb abstimmen.

Was ist Angriffserkennung (SzA)?

Systeme, die den Netzverkehr der Anlage mitlesen und Ungewöhnliches melden. In Deutschland sind sie für Betreiber kritischer Anlagen vorgeschrieben (§ 31 Abs. 2 BSIG).

Was mache ich mit einem Alarm?

Prüfen, ob die Verbindung bekannt ist. Wenn nicht: wie bei einem Notfall vorgehen, siehe Schritt 1.

← Schritt 2: Netz in Zonen trennenAlle fünf SchritteSchritt 4: Fernzugang absichern →

Zuletzt aktualisiert: 06.11.2026

Fragen? Wir helfen auch. Notfall? 24/7 anrufen: +49 8031 8603164

Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail