OT-Schwachstellenmanagement: Patchen ohne Stillstand
Warum ist Schwachstellenmanagement in OT-Umgebungen so schwierig?
OT-Schwachstellenmanagement steht vor einem fundamentalen Dilemma: Bekannte Schwachstellen müssen behoben werden, aber Patches können Produktionsunterbrechungen und Zertifizierungsprobleme verursachen. Das ICS-CERT veröffentlicht jährlich mehr als 2.000 OT-spezifische Schwachstellen (CISA ICS-CERT, 2025). Nur ein Bruchteil davon kann durch klassisches Patching behoben werden. Der Rest erfordert kompensierende Kontrollen.
Wichtige Erkenntnisse
- ICS-CERT veröffentlicht 2.000+ OT-Schwachstellen jährlich (CISA)
- 60% aller OT-Schwachstellen haben keinen offiziellen Patch vom Hersteller (Claroty)
- Kompensierende Kontrollen sind die wichtigste Alternative zu direktem Patching
- OT-Patch-Management erfordert intensive Planung in langen Wartungsfenstern
- Risikobasierte Priorisierung ist unerlässlich: CVSS-Scores allein reichen nicht
In IT-Umgebungen ist Schwachstellenmanagement ein etablierter Prozess mit monatlichen Patch-Zyklen. In OT-Umgebungen ist jeder Neustart ein potenzielles Risiko und jeder Patch ein Eingriff in ein zertifiziertes System. Ein differenzierter Ansatz ist unerlässlich.
[INTERNAL-LINK: OT-Sicherheits-Best-Practices → OT-Sicherheit: 12 Bewährte Praktiken]
Wie priorisieren Sie OT-Schwachstellen richtig?
Standard-CVSS-Scores aus IT-Schwachstellendatenbanken sind für OT-Priorisierung unzureichend. Ein hoher CVSS-Score für eine Schwachstelle in einem air-gapped OT-System ist weniger kritisch als ein niedriger CVSS-Score in einem direkt internet-exponierten SCADA-Server. Nozomi Networks empfiehlt einen OT-spezifischen Risiko-Score, der sechs Faktoren berücksichtigt (Nozomi Networks, 2025).
OT-spezifische Risikofaktoren
Bewerten Sie jede Schwachstelle nach: (1) Ausnutzbarkeit aus der Ferne (ohne physischen Zugang), (2) Vorhandensein eines bekannten Exploits, (3) Position des betroffenen Geräts im Netzwerk, (4) Auswirkung auf Sicherheit und physische Prozesse, (5) Verfügbarkeit von Patches oder Mitigierungen, (6) Existenz kompensierender Kontrollen. Diese sechs Faktoren ergeben einen OT-spezifischen Prioritäts-Score.
Kritische vs. kompensierende Schwachstellen
Schwachstellen teilen sich in zwei Klassen: solche, die sofortiges Patching erfordern, und solche, die durch kompensierende Kontrollen beherrschbar sind. Kritisch sind: Schwachstellen mit bekanntem Exploit, direkter Internetzugang vom betroffenen Gerät, direkte Auswirkung auf Sicherheitssysteme. Kompensierbar sind: Schwachstellen ohne bekannten Exploit, luftspaltgesicherte Geräte, Schwachstellen mit wirksamen Netzwerkschutzmaßnahmen.
Brauchen Sie Unterstützung bei OT-Schwachstellenmanagement: Patchen ohne Stillstand?
Unsere Cloud-Architekten unterstützen Sie bei OT-Schwachstellenmanagement: Patchen ohne Stillstand — von der Strategie bis zur Umsetzung. Buchen Sie ein kostenloses 30-Minuten-Beratungsgespräch ohne Verpflichtung.
Wie planen Sie OT-Patches ohne Produktionsunterbrechung?
OT-Patches müssen in sorgfältig geplanten Wartungsfenstern durchgeführt werden. Siemens empfiehlt, OT-Patches in Quartalswartungsfenstern zu bündeln und intensiv in Testumgebungen zu validieren (Siemens ProductCERT, 2025). Ungeplante Patches in der Produktion sind eine häufige Ursache für Produktionsvorfälle.
Test-Umgebung als Voraussetzung
Ohne Testumgebung ist verantwortungsvolles OT-Patch-Management kaum möglich. Richten Sie eine gespiegelte Testumgebung ein, die die Produktions-OT-Systeme nachbildet. Testen Sie jeden Patch vollständig in der Testumgebung, bevor er in die Produktion geht. Das bedeutet: nicht nur technische Funktionsfähigkeit, sondern auch Prozessverhalten und Kommunikation mit anderen Systemen.
Koordination mit Herstellern
OT-Gerätehersteller haben oft spezifische Patch-Empfehlungen und freigegebene Patch-Kombinationen. Arbeiten Sie eng mit Herstellern wie Siemens, Rockwell Automation, Schneider Electric und ABB zusammen. Installieren Sie nur Patches, die der Hersteller für Ihre spezifische Hardware- und Softwarekonfiguration freigegeben hat. Nicht freigegebene Patches können Garantie und Zertifizierung gefährden.
Backup vor jedem Patch
Erstellen Sie vor jedem Patch-Vorgang vollständige Backups aller betroffenen Geräte: SPS-Programme, SCADA-Konfigurationen, Firmware-Images und Systemeinstellungen. Stellen Sie sicher, dass Rollback-Prozeduren getestet und im Ernstfall innerhalb von Wartungsfenstern durchführbar sind.
Was sind kompensierende Kontrollen für nicht-patchbare Schwachstellen?
60% aller OT-Schwachstellen haben keinen offiziellen Patch und müssen durch kompensierende Kontrollen beherrschbar gemacht werden. Claroty dokumentiert sechs wirksame kompensierende Kontrollmechanismen für ungepatchte OT-Systeme (Claroty, 2025).
Virtuelle Patches (Virtual Patching)
Virtuelle Patches blockieren Exploit-Verkehr auf Netzwerkebene, ohne das betroffene Gerät zu verändern. Intrusion Prevention Systeme (IPS) mit OT-spezifischen Signaturen erkennen und blockieren Ausnutzungsversuche bekannter Schwachstellen. Der Schutz ist nicht so robust wie ein echter Patch, reduziert aber das Angriffsrisiko erheblich.
Netzwerk-Mikrosegmentierung
Isolieren Sie nicht-patchbare Geräte in sehr kleinen Netzwerksegmenten. Erlauben Sie nur explizit notwendige Kommunikation. Je kleiner das Netzwerksegment, desto geringer ist die Angriffsfläche. Eine SPS mit bekannten Schwachstellen in einem Einzelgerät-Segment ist deutlich besser geschützt als in einem großen OT-Segment.
Anwendungs-Whitelisting
Application Whitelisting auf OT-Servern und Engineering-Workstations verhindert die Ausführung nicht autorisierter Software, einschließlich Malware. Nur explizit genehmigte Anwendungen können starten. Das eliminiert die Angriffsfläche für viele bekannte Exploit-Techniken, auch wenn die zugrundeliegende Schwachstelle nicht gepatcht ist.
[PERSONAL EXPERIENCE] In OT-Schwachstellenmanagement-Projekten stellen wir regelmäßig fest, dass der größte Engpass die Koordination zwischen OT-Ingenieuren und IT-Sicherheitsteams ist. Erfolgreiche Programme etablieren formale Übergabeprozesse für Schwachstelleninformationen und eine gemeinsame Priorisierungs-Governance.
[UNIQUE INSIGHT] Unternehmen, die ihre OT-Schwachstellendaten mit CVE-Feeds und Hersteller-Advisories automatisch abgleichen, reduzieren die Zeit zur Schwachstellenerkennung von durchschnittlich 45 Tagen auf unter 24 Stunden. Automatisierung ist bei 2.000+ jährlichen ICS-Schwachstellen keine Option, sondern Notwendigkeit.
Häufig gestellte Fragen
Wie oft sollte ich OT-Schwachstellenscans durchführen?
Aktive Schwachstellenscans in OT-Umgebungen sind riskant und können ältere Geräte zum Absturz bringen. Passive Analyse des Netzwerkverkehrs ermöglicht kontinuierliche Schwachstellenerkennung ohne Betriebsrisiko. Ergänzend sollten Hersteller-Advisories täglich geprüft und OT-spezifische CVE-Feeds automatisch abonniert werden.
Was mache ich, wenn mein Hersteller keinen Patch für eine kritische Schwachstelle bereitstellt?
Fordern Sie schriftlich einen Zeitplan für einen Patch vom Hersteller. Implementieren Sie sofort kompensierende Kontrollen (Virtual Patching, Segmentierung). Bewerten Sie, ob das betroffene Gerät durch ein sichereres Modell ersetzt werden kann. Dokumentieren Sie Ihren Risikomanagement-Ansatz für Auditoren. In Extremfällen kann eine temporäre Außerbetriebnahme des Geräts notwendig sein.
Fazit: OT-Schwachstellenmanagement ist ein kontinuierlicher Prozess
OT-Schwachstellenmanagement ist kein Projekt, das man abschließen kann, sondern ein dauerhafter Prozess. Neue Schwachstellen werden täglich veröffentlicht, OT-Umgebungen ändern sich und Bedrohungsakteure entwickeln neue Exploit-Techniken. Ein formaler, risikobasierter Prozess mit klaren Verantwortlichkeiten ist unerlässlich.
Erfahren Sie mehr über unsere OT-Sicherheitsservices und unser OT-Schwachstellenmanagement-Programm.
Über den Autor
Group COO & CISO
Fredrik ist Group COO und CISO bei Opsio. Er konzentriert sich auf operative Exzellenz, Governance und Informationssicherheit und arbeitet eng mit den Liefer- und Führungsteams zusammen, um Technologie, Risiko und Geschäftsergebnisse in komplexen IT-Umgebungen in Einklang zu bringen. Er leitet die Sicherheitspraxis von Opsio, einschließlich SOC-Services, Penetrationstests und Compliance-Frameworks.
Redaktionelle Standards: Dieser Artikel wurde von einer zertifizierten Fachperson verfasst und von unserem Engineering-Team geprüft. Wir überarbeiten ihn, wenn sich die behandelte Technologie oder Regulierung ändert; die Daten oben zeigen die letzte Aktualisierung. Opsio ist redaktionell unabhängig — wir empfehlen Lösungen nach technischen Kriterien, nicht nach Geschäftsbeziehungen.