OT und IT trennen: Wie Sie Produktionsnetze richtig segmentieren

Was bedeutet Segmentierung — und warum flache Netze gefährlich sind?

Segmentierung heißt: Ein Netzwerk wird in mehrere abgeschottete Bereiche unterteilt, zwischen denen nur ausdrücklich erlaubter Verkehr fließt. Das Gegenteil ist das flache Netz — jedes Gerät kann mit jedem anderen sprechen.

Flache Netze sind selten geplant, sondern gewachsen: Eine neue Maschine wurde angeschlossen, weil der Switch daneben stand. Ein Leitrechner brauchte Zugriff auf den Dateiserver. Fernwartung wurde eingerichtet, weil der Hersteller sie forderte. Jeder Schritt war für sich vernünftig — das Ergebnis ist es nicht.

Die Folge zeigt sich im Angriffsfall: Schadsoftware, die in der Buchhaltung startet, findet in einem flachen Netz einen ungehinderten Weg zur Maschinensteuerung. Genau dieses Muster stand hinter dem Produktionsstillstand, den wir in Wenn Ransomware das Fließband stoppt beschrieben haben.

Wie unterscheiden sich OT und IT im Netzwerk?

Sie haben gegensätzliche Prioritäten. In der IT steht die Vertraulichkeit obenan: Lieber ein System abschalten als Daten preisgeben. In der OT zählt die Verfügbarkeit: Die Anlage muss laufen, ein ungeplanter Stopp ist der Schaden.

Daraus folgt alles Weitere. OT-Systeme laufen oft zehn bis zwanzig Jahre, werden selten aktualisiert und sprechen eigene Protokolle, die ursprünglich ohne jede Sicherheit entworfen wurden — sie setzen ein vertrauenswürdiges Netz einfach voraus. Ein Sicherheitsscan, der in der Büro-IT harmlos ist, kann eine alte Steuerung zum Absturz bringen.

Deshalb lässt sich das IT-Rezept nicht einfach übertragen. Man kann OT-Systeme meist nicht härten — aber man kann die Umgebung härten, in der sie stehen.

Wie sieht eine sinnvolle Zonen-Aufteilung aus?

Bewährt hat sich ein Aufbau in klar getrennten Zonen mit kontrollierten Übergängen:

• Büro-Zone (IT): Arbeitsplätze, Dateiserver, Drucker, Internetzugang.
• Übergangszone: Systeme, die mit beiden Seiten sprechen müssen — Betriebsdatenerfassung, Auswertungen, Fernwartungs-Sprungserver. Sie ist der einzige Ort, an dem sich beide Welten begegnen.
• Produktions-Zone (OT): Steuerungen, Leitsysteme, Bedienpanels. Kein direkter Internetzugang, kein direkter Zugriff aus dem Büro.
• Eigene Zonen für Sonderfälle: Gäste-WLAN, Gebäudetechnik, Kameras und Zutrittssysteme gehören nirgends dazu — sie bekommen eigene Bereiche.

Die Regel für die Übergänge lautet: Standardmäßig alles verboten, gezielt einzelne Verbindungen erlauben — nicht umgekehrt. Technisch umgesetzt wird die Trennung über VLANs, die Kontrolle über eine Firewall zwischen den Zonen.

Bremst Segmentierung nicht den Betrieb aus?

Das ist die häufigste Sorge — und sie ist berechtigt, wenn man es falsch angeht. Richtig umgesetzt merkt der Betrieb nichts, weil alle tatsächlich benötigten Verbindungen weiterhin erlaubt sind. Nur eben ausdrücklich statt zufällig.

Der ehrliche Aufwand steckt nicht in der Technik, sondern in der Bestandsaufnahme: Welches System spricht mit welchem, wofür? Diese Frage ist in gewachsenen Umgebungen selten dokumentiert. Genau deshalb beginnt jedes seriöse Projekt mit einer Beobachtungsphase, in der der tatsächliche Verkehr mitgeschrieben wird, bevor irgendetwas blockiert wird.

Der Nebeneffekt ist oft der wertvollste Teil: Am Ende wissen Sie erstmals genau, was in Ihrem Netz eigentlich passiert — und finden dabei regelmäßig Systeme, von denen niemand mehr wusste.

Wie führen Sie das ein, ohne die Produktion anzuhalten?

Schrittweise, in vier Etappen — jede für sich abgeschlossen und rückholbar:

• 1. Erfassen: Inventar aller Geräte und Verbindungen, ohne einzugreifen.
• 2. Beobachten: Verkehr mitschreiben, Regelwerk entwerfen — noch im Protokollier-Modus, es wird nichts blockiert.
• 3. Trennen: Zonen aktivieren, zunächst nur protokollierend, dann durchsetzend. Beginnen Sie mit den unkritischen Bereichen (Gäste, Kameras), nicht mit der Fertigungslinie.
• 4. Übergänge härten: Fernwartung auf zeitlich begrenzte, protokollierte Zugänge mit MFA umstellen.

Wichtig ist die Reihenfolge: Wer mit der Produktionslinie anfängt, riskiert genau den Stillstand, den er verhindern will.

Was sollten Sie als Nächstes tun?

Die ehrliche Einstiegsfrage lautet nicht „welche Firewall?", sondern: Wissen wir überhaupt, was in unserem Netz miteinander spricht? In den meisten gewachsenen Betrieben lautet die Antwort nein — und damit ist der erste Schritt klar.

Wir übernehmen das für Sie: Bestandsaufnahme, Beobachtung des realen Verkehrs, ein Zonen-Konzept, das zu Ihren Anlagen passt, und die schrittweise Umsetzung ohne Produktionsstopp. Das Ergebnis ist ein Netz, in dem ein Vorfall im Büro genau dort bleibt — und die Fertigung weiterläuft.