Schritt 3 von 5 · nach SANS CC3 „ICS Network Visibility and Monitoring“ # Schritt 3: Sehen, was im Netz passiert Würden Sie merken, wenn ein fremdes Gerät mit Ihrer Steuerung spricht? Viele Angriffe auf Anlagen laufen wochenlang unbemerkt. Wer weiß, was im eigenen Netz normal ist, erkennt das Ungewöhnliche. Dafür reicht am Anfang ein Mitschnitt und ein geübter Blick. Ihr erster Schritt diese Woche: Schreiben Sie auf, welche Geräte in Ihrer Anlage miteinander sprechen sollten. Alles andere ist verdächtig. ## In einer Minute erklärt - - Büro-ITLeitstandSteuerungPumpeÜberwachung1/4 Normalbetrieb: Der Leitstand fragt die Steuerung ab, immer gleich, immer dieselben Werte.Weiter - - - Büro-ITLeitstandSteuerungPumpeÜberwachung2/4 Eine Überwachung hört passiv mit. Sie greift nicht ein und stört die Anlage nicht.ZurückWeiter - - - - Büro-ITLeitstandSteuerungPumpeÜberwachung3/4 Ein Rechner aus dem Büro schreibt plötzlich Werte auf die Steuerung. Das kam vorher nie vor.ZurückWeiter - - - - - - Büro-ITLeitstandSteuerungPumpeÜberwachung4/4 Die Überwachung schlägt Alarm, der Leitstand reagiert. Der Angreifer wird gestoppt, bevor etwas passiert.ZurückVon vorn ## Warum das wichtig ist Angreifer erkunden eine Anlage meist zuerst: Sie fragen Steuerungen ab und testen Zugänge. Wer mitliest, kann sie in dieser Phase stoppen, bevor etwas passiert. ## Selbstcheck in zwei Minuten - Es ist bekannt, welche Geräte in der Anlage miteinander sprechen sollten. - Es gibt eine Liste aller Geräte im Anlagennetz. - Der Netzverkehr der Anlage wurde schon einmal mitgeschnitten und angesehen. - Ein neues Gerät im Anlagennetz würde auffallen. - Anmeldungen an Bedienrechnern und Fernzugängen werden protokolliert. - Jemand schaut sich die Protokolle regelmäßig an. - Es gibt einen Alarm, wenn Steuerungen ungewöhnlich beschrieben werden. - Bei einem Alarm ist klar, wer ihn bekommt und was dann passiert.Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an. Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste. Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr. Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert. ## Was Sie tun können, je nach Betrieb Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt. KleinstbetriebKleiner Betrieb mit TechnikMittelständische ProduktionKleiner Versorger oder KommuneGroßer Versorger oder NetzbetreiberGroßindustrie und ProzessindustrieSupermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox. - Im Router die Liste der verbundenen Geräte ansehen: Kennen Sie jedes Gerät? - Temperaturalarm aufs Handy, am besten über einen eigenen Fühler, nicht nur über den Regler. - Mitteilungen des Routers über neue Geräte und Anmeldungen einschalten.Zum 30-Minuten-Check für Kühlung und Heizung → (/schritte/kleinbetrieb/) Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller. - Einmal im Quartal die Geräteliste von Router und Firewall mit dem Dienstleister durchgehen. - Protokolle der Fernzugänge aufbewahren und stichprobenartig ansehen. - Einen Mitschnitt der Maschinen machen lassen und mit dem Hersteller besprechen.Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller. - Spiegelport an den wichtigsten Switches einrichten. - Passive Angriffserkennung für das Anlagennetz einführen, Alarme an eine feste Stelle. - Ein Asset-Inventar aus dem mitgelesenen Verkehr aufbauen.Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon. - Angriffserkennung für Leitsystem und Fernwirkverbindungen, in Deutschland für KRITIS-Betreiber vorgeschrieben. - Alarme in den Bereitschaftsdienst einbinden. - Monatlich Auffälligkeiten durchgehen, auch kleine.Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten. - Systeme zur Angriffserkennung (SzA) mit Abdeckung aller Zonen. - Auswertung rund um die Uhr, eigene Spezialisten oder Dienstleister mit OT-Erfahrung. - Regelmäßige Bedrohungssuche (Threat Hunting) mit Szenarien aus der Lage.Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams. - Monitoring in allen Werken mit zentraler Auswertung. - Erkennungsregeln für die eigenen Prozesse, abgestimmt mit der Prozesstechnik. - Kennzahlen: Zeit bis zur Erkennung, Zeit bis zur Reaktion. ## Hands-on: Eine Stunde mitschneiden - Mit dem IT-Dienstleister einen Spiegelport an einem Switch der Anlage einrichten, oder in der Simulation starten. - Eine Stunde Netzverkehr mit Wireshark (kostenlos) mitschneiden. - Unter „Statistiken, Konversationen“ ansehen: Welche Geräte sprechen miteinander? - Jede Verbindung mit der Liste „Was ist bei uns normal?“ vergleichen. - Alles Unbekannte klären. Oft ist es eine vergessene Fernwartung oder ein Gerät, das niemand mehr kennt. ## In der Simulation ausprobieren Laden Sie in einer Simulation im Reiter „Netz und PCAP“ einen Mitschnitt herunter, öffnen Sie ihn mit Wireshark und suchen Sie den Angriff. Der Normalbetrieb zum Vergleich liegt daneben. Zu den Simulationen (/simulationen/) ## Zum Ausdrucken Liste „Was ist bei uns normal?“, Anleitung Mitschnitt in einer Stunde, Checkliste Überwachung. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Blatt „Was ist bei uns normal?“ für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann. PDF mit Vorlage und Beispiel herunterladen (/schritte/sehen/checkliste-schritt-3-sehen.pdf) ## Was verlangen Gesetz und Norm? In Deutschland müssen Betreiber kritischer Anlagen Systeme zur Angriffserkennung einsetzen (§ 31 Abs. 2 BSIG). Für alle anderen ist das freiwillig und trotzdem sinnvoll. IEC 62443-3-3 fordert die Überwachung von Sicherheitsereignissen (Grundanforderung 6, rechtzeitige Reaktion). ## Quellen - SANS Institute: The Five ICS Cybersecurity Critical Controls (Lee, Conway, Oktober 2022) (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls) - § 31 BSIG (Systeme zur Angriffserkennung für Betreiber kritischer Anlagen) (https://openlex.de/bsig/31) - Wireshark: Statistiken, Konversationen (https://www.wireshark.org/docs/wsug_html_chunked/ChStatConversations.html) - ISA/IEC 62443: Überblick über die Normenreihe (https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards) ## Aktuell dazu Automatisch zugeordnet aus der täglichen Lage und dem Blog. - Vorfall-Lagebild: Angriff über Kältedienstleister trifft EFS-Kühlräume (/blog/vorfall-lagebild-hacker-stellen-efs-blutkuehlraeume-von-30-auf-110-c.html) (05.11.2026) - CC3 in der Prozessindustrie: Sehen, was im OT-Netz passiert (/blog/cc3-in-der-prozessindustrie-sehen-was-im-ot-netz-passiert.html) (04.11.2026) - Einordnung: Safepay-Angriff auf ARA Lyss und Manno (/blog/einordnung-safepay-angriff-auf-ara-lyss-und-manno.html) (27.10.2026) - PHP2Shell in OT-Anlagen: warum die Lücke Jahre bleibt (/blog/php2shell-in-ot-anlagen-warum-die-luecke-jahre-bleibt.html) (22.10.2026) - Notfallplan im Netzbetrieb: geübt statt abgeheftet (/blog/notfallplan-im-netzbetrieb-geuebt-statt-abgeheftet.html) (20.10.2026) - CC3 für Netzbetreiber: Sehen, was im OT-Netz passiert (/blog/cc3-fuer-netzbetreiber-sehen-was-im-ot-netz-passiert.html) (15.10.2026)Zur aktuellen Lage → (/ot-lage/) ## Was gilt bei Ihnen? Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet (/schritte/notfall/#region). Persönlich in der Region: OT-Security in Bayern (/leistungen/ot-security-bayern/) · OT-Security in Salzburg (/leistungen/ot-security-salzburg/) · OT-Security in Tirol (/leistungen/ot-security-tirol/) ## Häufige Fragen **Stört ein Mitschnitt die Anlage?** Ein Spiegelport (SPAN) oder ein TAP liest nur mit und schickt nichts in die Anlage. Ein TAP ist noch rückwirkungsfreier, ein Spiegelport kann den Switch leicht belasten. Einrichtung mit dem Betrieb abstimmen. **Was ist Angriffserkennung (SzA)?** Systeme, die den Netzverkehr der Anlage mitlesen und Ungewöhnliches melden. In Deutschland sind sie für Betreiber kritischer Anlagen vorgeschrieben (§ 31 Abs. 2 BSIG). **Was mache ich mit einem Alarm?** Prüfen, ob die Verbindung bekannt ist. Wenn nicht: wie bei einem Notfall vorgehen, siehe Schritt 1. ← Schritt 2: Netz in Zonen trennen (/schritte/zonen/)Alle fünf Schritte (/schritte/)Schritt 4: Fernzugang absichern → (/schritte/fernzugang/) Zuletzt aktualisiert: 06.11.2026 Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164) Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fsehen%2F)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fsehen%2F)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fsehen%2F)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fsehen%2F&text=Schritt%203%3A%20Sehen%2C%20was%20im%20Netz%20passiert%20%7C%20OT-Sicherheit%20einfach)WhatsApp (https://wa.me/?text=Schritt%203%3A%20Sehen%2C%20was%20im%20Netz%20passiert%20%7C%20OT-Sicherheit%20einfach%20https%3A%2F%2Fot-cyber.de%2Fschritte%2Fsehen%2F)E-Mail (mailto:?subject=Schritt%203%3A%20Sehen%2C%20was%20im%20Netz%20passiert%20%7C%20OT-Sicherheit%20einfach&body=https%3A%2F%2Fot-cyber.de%2Fschritte%2Fsehen%2F)