OT-Penetrationstests & Assessments
Wir prüfen Ihre Automatisierung so, wie ein Angreifer es täte: passiv im laufenden Betrieb, aktiv nur im abgestimmten Fenster. Am Ende steht die Karte der realen Kommunikationspfade und eine Befundliste, die nach Dringlichkeit trennt.
Was in gewachsenen OT-Netzen dokumentiert ist und was läuft
Eine Automatisierungsumgebung wächst über Jahrzehnte. Sie überlebt mehrere Integratoren, mehrere Leitsystemgenerationen und jede Menge Umbauten im laufenden Betrieb. Was dabei entsteht, ist eine Anlage, deren Netzplan den Sollzustand beschreibt und deren Kommunikation den gewachsenen.
Zwischen beidem liegt die Fernwartung, die nach einem Projekt offen blieb, der Historian mit zwei Netzkarten, die Freigabe für einen Lieferanten von vor drei Jahren. Das liegt an Systemen, die nicht abgeschaltet werden dürfen: Wer eine Verbindung entfernt, muss beweisen, dass die Anlage sie nicht braucht.
Ein Assessment liefert genau diesen Beweis. Es zeigt, welche Pfade heute tatsächlich offen sind, welche davon jemand nutzt und welche sich schließen lassen, ohne den Prozess zu berühren.
Drei Fragen, drei Formate
Sie beantworten Unterschiedliches und die Reihenfolge ist selten beliebig.
Assessment: Wo stehen wir?
Breite gegen ein Zielniveau. Architektur, Segmentierung, Zugriffskonzepte und Erkennungsfähigkeit werden bewertet und gegen die Anforderungen aus IEC 62443 gehalten. Ergebnis ist eine priorisierte Reihenfolge, kein Exploit.
Penetrationstest: Ist es ausnutzbar?
Tiefe auf definiertem Umfang. Was im Assessment als Risiko benannt wurde, wird hier tatsächlich versucht, mit Nachweis und Reproduktionsschritten. Das beantwortet die Frage, ob ein Befund real ist oder theoretisch.
Red Team: Würde es auffallen?
Zielgeführt über Wochen. Nicht der Befund steht im Mittelpunkt, sondern ob Erkennung und Reaktion greifen. Sinnvoll erst, wenn ein Monitoring existiert, das etwas bemerken könnte.
Prüfen, ohne die Anlage zu berühren
Ein Schwachstellenscan, der in einem Büronetz unauffällig bleibt, kann in einer Steuerungsumgebung eine Störung auslösen oder Safety-Mechanismen ansprechen lassen. Verfügbarkeit und Safety stehen vor Vertraulichkeit und danach richtet sich das Vorgehen.
Passive Verfahren zuerst: Architekturanalyse, Konfigurationsprüfung und die Auswertung mitgeschnittener Kommunikation. Das liefert den größten Teil der Aussage im laufenden Betrieb. Aktive Tests laufen nur in abgestimmten Fenstern, an Ersatz- oder Laboraufbauten, mit vorher festgelegten Abbruchkriterien und in Abstimmung mit den Anlagenverantwortlichen.
Wo eine Aussage nur durch Eingriff zu bekommen wäre, bilden wir sie an eigener Hardware nach, statt sie an Ihrer Anlage zu erzwingen.
Was am Ende in der Hand liegt
Ein Zonen- und Conduit-Modell nach IEC 62443-3-2, das die reale Kommunikation abbildet und nicht die geplante. Ein Risiko-Register, in dem jeder Befund nach Eintrittswahrscheinlichkeit und Auswirkung bewertet ist. Eine Gap-Analyse gegen das für Ihre Anlagen geforderte Niveau.
Daraus wird eine Reihenfolge: was sofort behoben werden muss, was in das nächste Wartungsfenster gehört und was als Restrisiko dokumentiert und akzeptiert wird. Dazu ein Management Summary, das als Entscheidungsgrundlage für Budget und Priorisierung taugt.
Wann ein Assessment der richtige Schritt ist
Am häufigsten steht am Anfang eine Anforderung von außen: NIS-2, IEC 62443 oder ein Kunde, der einen Nachweis sehen will. Ein Assessment liefert diesen Nachweis und nebenbei die Grundlage, ohne die jede weitere Maßnahme geraten ist.
Der zweite Anlass ist eine anstehende Investition. Vor einem Umbau der Netzarchitektur, vor der Einführung eines Leitsystems oder vor der Beschaffung von Monitoring lohnt sich die Frage, welche Kommunikationspfade heute tatsächlich existieren. Sonst wird ein Sollzustand abgesichert, den es so nicht gibt.
Der dritte ist ein geplanter SOC-Aufbau. Die Anlagen- und Kommunikationsübersicht aus dem Assessment ist genau das, worauf Sensorik und Use Cases später aufsetzen.
Aus Anlagen, aus dem eigenen Labor, aus der Forschung
Wir haben Penetrationstests an Kraftwerks- und Umspannwerksstandorten durchgeführt, Sicherheitsbewertungen in Netzleitstellen und an einer Stellwerkslandschaft über sechs Monate geprüft, ohne in den laufenden Verkehr einzugreifen. Die Sektoren, in denen wir regelmäßig arbeiten, sind Energie, Bahn, Produktion und Verwaltung.
Vorbereitet und nachgestellt wird im eigenen Labor. Dort stehen eine Modellstadt mit echter Fernwirk- und Stationstechnik, eine Siemens-Fertigungszelle mit Steuerungen der Reihen S7-1500 und S7-300, ein Zugmodell und ein Fahrzeugaufbau. Prüfvorgehen, das dort nicht sauber läuft, kommt nicht in eine Kundenanlage.
Dazu die Forschungsseite: dreieinhalb Jahre in einem vom Bund geförderten Vorhaben zur Fahrzeugsicherheit, gemeinsam mit Partnern aus Bahn, Automobilindustrie und Forschung, mit einer eigenen Erweiterung des Taktik- und Technikmodells für Domänen, die es bis dahin nicht abdeckte.
Wie ein OT-Assessment abläuft
Eine Woche für einen fokussierten Ausschnitt, verteilte Umgebungen mit vielen Standorten entsprechend länger. Gearbeitet wird passiv im laufenden Betrieb; aktive Schritte nur im abgestimmten Fenster.
Umfang und Freigaben
Welche Anlagenteile, welche Netzbereiche, welche Zeitfenster. Dazu die Frage, wer im Haus erreichbar ist, wenn etwas auffällt, und welche Abbruchkriterien gelten.
Passive Aufnahme
Mitschnitt an den Übergabepunkten, Auswertung der Protokolle, die tatsächlich laufen, und die vorhandene Dokumentation daneben gelegt. Kein aktiver Scan im Produktivnetz.
Bewertung gegen IEC 62443
Architektur, Segmentierung, Zugriffskonzepte und Erkennungsfähigkeit gegen das Zielniveau gehalten. Wo eine Aussage nur durch Eingriff zu bekommen wäre, stellen wir sie an eigener Hardware nach.
Zonenmodell und Reihenfolge
Ein Zonen- und Conduit-Modell nach 62443-3-2, das die reale Kommunikation abbildet, und eine Maßnahmenliste, die zwischen sofort, nächstem Wartungsfenster und Restrisiko trennt.
Häufige Fragen zum OT-Assessment
Die Prüfung einer Automatisierungsumgebung auf erreichbare Wege und Schwachstellen, mit Rücksicht auf den Prozess. Der überwiegende Teil läuft passiv: Mitschnitt an den Übergabepunkten und Auswertung der Protokolle, die tatsächlich laufen.
Aktive Prüfungen finden an Ersatz- oder Laboraufbauten statt oder im abgestimmten Fenster, mit vorher schriftlich festgelegten Abbruchkriterien.
In der IT wird gescannt, gepatcht und notfalls neu gestartet. In der Automatisierung ist jede dieser drei Handlungen ein Eingriff in den Prozess. Ein Portscan kann eine Steuerung aus dem Tritt bringen, die seit zwölf Jahren läuft.
Deshalb liegt der Schwerpunkt auf Beobachtung und auf der Frage, welche Kommunikationswege wirklich offen sind, statt auf einer Liste von Versionsnummern.
IEC 60870-5-101 und 104, IEC 61850 mit MMS, GOOSE und Sampled Values, Modbus, DNP3 und OPC UA in der Leittechnik. Im Fahrzeug- und Bahnumfeld dazu CAN, UDS nach ISO 14229, MVB nach IEC 61375 und CANopen.
Ausschließen lässt sich das Risiko nicht, begrenzen schon. Im Scoping legen wir fest, welches Testszenario zu Ihrer Risikobereitschaft passt. Unsere Werkzeuge validieren wir vorab an vergleichbaren Systemen und für Produktivumgebungen vereinbaren wir Abbruchkriterien. Wenn keine Testumgebung existiert, beginnen wir meist mit passiver Analyse und einem Konfigurationsreview.
Das hängt vom Umfang ab. Eine fokussierte Analyse einzelner Systeme ist innerhalb einer Woche abgeschlossen. Anlagen mit mehreren Netzsegmenten dauern entsprechend länger. Nach dem Erstgespräch können wir den Aufwand belegen.
Ja. Schicken Sie uns die Hardware, wir untersuchen sie im Labor: Firmware-Analyse, Implementierung der Protokolle, Debug-Schnittstellen. Das lohnt sich vor der Beschaffung neuer Komponenten und für Sicherheitsfreigaben.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.