OT-Trainings: Professional und Expert
Zwei Stufen mit festem Zuschnitt. Professional läuft remote an einem virtuellen Wasserwerk und schließt mit Prüfung ab, Expert steht in Präsenz vor echten Steuerungen.
IT-Wissen trägt in der Anlage nur zur Hälfte
Wer IT-Sicherheit kann, kennt Angriffsmuster, Werkzeuge und Vorgehen. In der Automatisierung ändern sich die Randbedingungen: Es wird nicht gepatcht, es wird nicht gescannt, Verfügbarkeit steht vor Vertraulichkeit und die Protokolle kennen weder Anmeldung noch Verschlüsselung.
Unsere OT-Trainings setzen an dieser Lücke an und beide Stufen enden an einer Anlage. Was dort läuft, läuft mit IEC 60870-5-104, IEC 61850, Modbus TCP und OPC UA, also mit dem, was auch in Ihrer Anlage spricht.
Vom Verstehen zum Selbermachen
Professional läuft an vier Tagen remote, 32 Unterrichtseinheiten, an einem virtuellen Wasserwerk über drei Ebenen: HMI mit OPC UA, die Steuerungsebene mit Modbus TCP, darunter Pumpe und Tank. Angegriffen und erkannt wird an diesem Aufbau, nicht an Beispielen. Am Ende stehen eine Prüfung mit vierzig Fragen und eine Notfallübung mit verteilten Rollen.
Expert läuft an drei Tagen in Präsenz, vor echten Steuerungen und mit Messtechnik. Hier schreiben die Teilnehmenden die Erkennungsregeln selbst, bis hin zu einer Regel, die auf einen Schreibbefehl anspringt. An einem Mitschnitt prüfen sie dann, ob sie greift.
Professional ist die Voraussetzung für Expert, wenn keine gleichwertige Praxis vorliegt.
Drei Rollen, zwei Wege
Welche Stufe passt, hängt weniger am Titel als daran, was danach getan werden soll.
Entscheider und Einsteiger
Professional. Danach wissen Sie, wie eine Anlage aufgebaut ist, welche Angriffe dokumentiert sind und was sie ausgelöst haben. Eine Notfallübung haben Sie mitgemacht.
SOC und Leitwarte
Professional, dann Expert. Wer Meldungen aus einer Anlage bewerten soll, braucht beides: das Verständnis für den Prozess und die Fähigkeit, eine Regel zu schreiben und zu prüfen.
Sicherheitspersonal mit OT-Auftrag
Expert, wenn die Grundlagen sitzen. Der Schwerpunkt liegt auf Messtechnik, Mitschnitten und eigenen Erkennungsregeln.
Was die Grundstufe behandelt
Wer OT-Sicherheit verantwortet, muss keine Protokolle analysieren. Verstehen muss er, wie industrielle Umgebungen aufgebaut sind, welche Bedrohungen dort greifen und was die Aufsicht verlangt.
Grundlagen. Was eine SPS ist und warum sie anders funktioniert als ein Server. HMI, SCADA-System und Historian. Der Aufbau einer typischen OT-Architektur und die Übergänge zwischen IT und OT.
Sicherheitskonzepte. Netzwerksegmentierung in OT-Umgebungen. Was IEC 62443 konkret fordert, welche Zonen und Security Levels relevant sind und was daraus für die eigene Organisation folgt. Welche Rolle Maschinenhersteller, Integratoren und Wartungsdienstleister für die Angriffsfläche spielen.
Reale Angriffe. Was bei Stuxnet, Industroyer und Triton tatsächlich funktioniert hat und was daraus folgt.
Regulatorik. Was NIS2, KRITIS-Verordnung und IT-Sicherheitsgesetz verlangen und was das für Entscheidungen und Budget bedeutet.
Was die Aufbaustufe behandelt
Protokolle. Modbus, ohne Authentifizierung und ohne Verschlüsselung. S7comm, das Siemens-eigene Protokoll aus vielen Produktionsumgebungen. OPC UA mit Sicherheitsmechanismen, die in der Praxis häufig falsch konfiguriert sind. IEC 60870-5-104 und IEC 61850 aus der Energieversorgung, beide mit eigenen Angriffsflächen.
Angriffe. Wie Angreifer von IT nach OT gelangen und wie laterale Bewegung durch Segmentierungslücken konkret aussieht. Industroyer manipuliert Schutzrelais über IEC 104 und IEC 61850. Triton greift Triconex-Safety-Systeme über proprietäre Protokolle an. Pipedream ist modular aufgebaut und gegen verschiedene Steuerungsplattformen einsetzbar. Grundlage der Analyse ist MITRE ATT&CK for ICS.
Erkennung. OT-IDS-Technologien, Use-Case-Entwicklung nach MITRE ATT&CK for ICS, SIEM-Integration und Anomalieerkennung für industrielle Protokolle.
Reaktion. Containment ohne Produktionsstopp, Forensik an der SPS und die Koordination zwischen IT-Sicherheit und OT-Engineering.
Tabletop Exercise
Wissen ist das eine, unter Druck die richtige Entscheidung zu treffen das andere.
Eine Tabletop Exercise ist eine moderierte Simulation eines Sicherheitsvorfalls. Kein Code, keine Werkzeuge. Ein Szenario, ein Raum und die Menschen, die im Ernstfall zusammenarbeiten müssen. Neue Informationen kommen in Echtzeit, Entscheidungen fallen ohne vollständige Faktenlage. Typische Szenarien:
- Ransomware breitet sich Richtung OT aus
- Verdächtige Firmware-Änderung an einer SPS
- Unbekannter Fernzugriff in der Nacht
- Anomale Prozesswerte ohne erkennbare Ursache
Geübt werden Eskalationswege und Kommunikation, Entscheidungen unter Unsicherheit, die Zusammenarbeit zwischen IT, OT, Produktion und Management sowie die Abwägung zwischen Safety, Security und Verfügbarkeit. Die Szenarien entstehen gemeinsam mit Ihnen, damit sie zu Ihrer Anlage, Ihrer Branche und Ihren Risiken passen.
Dauer: 2 bis 4 Stunden. Ergebnis: dokumentierte Lessons Learned, identifizierte Prozesslücken, Maßnahmenplan.
Red- und Blue-Team-Übung auf YekCity
YekCity ist unsere Modellstadt mit Stromversorgung, Verkehrssteuerung und Industrieanlagen. Echte Steuerungen von Siemens und Schneider, echte Protokolle mit Modbus, S7comm, OPC UA, IEC 60870-5-104 und IEC 61850, echte Angriffe. Die Szenarien stammen aus dokumentierten Vorfällen, etwa dem Industroyer-Angriff auf ukrainische Umspannwerke, der genau diese Protokolle genutzt hat.
Im Red- und Blue-Format greift unser Red Team an, Ihr Blue Team erkennt und stoppt. Die Lichter gehen aus, Ampeln fallen aus, Prozesse stoppen, kontrolliert und abgestimmt. In der Purple-Variante arbeiten beide zusammen und werten nach jeder Phase gemeinsam aus: Was wurde erkannt, was nicht, warum? Welche Use Cases fehlen im SIEM, wo greift das Playbook nicht? Das Format ist iterativ und liefert Verbesserungen statt einer Momentaufnahme.
Geprüft werden die Abdeckung gegen MITRE ATT&CK for ICS, Alarmqualität und Triage-Fähigkeit, Reaktionszeit und Wirksamkeit der Playbooks sowie die Koordination zwischen IT-SOC und OT-Engineering.
Als Abschluss eines SOC-Aufbaus eignet sich das Format besonders: Es zeigt, ob die aufgebauten Fähigkeiten im Ernstfall greifen. Eine Basis-Erkennung mit OT-IDS und SIEM-Anbindung sollte dafür stehen.
Für Bahn und Fahrzeug
Für Sicherheitspersonal aus der Bahn- und Schienenindustrie haben wir ein eigenes Training entwickelt, das an YekTrain arbeitet: MVB und CANopen, gefälschte Telegramme, Angriffserkennung auf dem Fahrzeugbus und der Aufbau eines Rail SOC.
Für das Fahrzeugumfeld läuft das entsprechende Format an YekCar mit CAN, Diagnose über UDS und Keyless-Systemen. Krisenübungen für Versorger und Kommunen laufen an YekCity. Alle drei Aufbauten stammen aus unserer Forschung und arbeiten mit echter Technik.
Wie die beiden Stufen ablaufen
Professional: vier Tage remote, 32 Unterrichtseinheiten, mit Prüfung. Expert: drei Tage in Präsenz vor echten Steuerungen. Professional ist die Voraussetzung für Expert, wenn keine gleichwertige Praxis vorliegt.
Einstufung
Wer soll teilnehmen und was ist danach zu tun. Für Entscheider genügt Professional; wer Meldungen aus einer Anlage bewerten soll, braucht beides.
Professional, vier Tage remote
Grundlagen, Sicherheitskonzepte, reale Angriffe und Regulatorik, geübt an einem virtuellen Wasserwerk über drei Ebenen. Am Ende eine Prüfung mit vierzig Fragen und eine Notfallübung mit verteilten Rollen.
Expert, drei Tage in Präsenz
Protokolle, Angriffe, Erkennung und Reaktion vor echten Steuerungen und mit Messtechnik. Die Teilnehmenden schreiben ihre Erkennungsregeln selbst und prüfen an einem Mitschnitt, ob sie greifen.
Nachweis
Die Prüfung und die Notfallübung werden bescheinigt und lassen sich als Nachweis regelmäßiger Schulung nach NIS-2 verwenden.
Häufige Fragen zu OT-Trainings
Für Professional nicht. Grundkenntnisse in Netzwerken helfen, alles Weitere bringen wir mit. Für Expert setzen wir Professional oder gleichwertige Praxis voraus.
Professional schließt mit einer Prüfung über vierzig Fragen ab, dazu kommt die Notfallübung. Beides wird bescheinigt und lässt sich als Nachweis regelmäßiger Schulung nach NIS-2 verwenden.
Schulen ja, angreifen nein. Die Übungen laufen am virtuellen Wasserwerk oder an unseren Aufbauten. In der Produktivanlage arbeiten wir passiv und im abgestimmten Fenster.
Bei Expert sechs bis zwölf, damit jeder an die Steuerungen und an die Messtechnik kommt. Professional läuft remote und verträgt mehr.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.