Klassische IT-Sicherheitsansätze lassen sich nicht einfach auf OT übertragen – stattdessen sind hybride, pragmatische Lösungen sowie ein angepasstes Security Posture Management erforderlich. Es gilt den Fokus auf Transparenz und Kontinuität zu legen, anstatt eine perfekte PKI zu fordern, um die Resilienz und Sicherheit kritischer Infrastrukturen zu stärken.

Digitale Zertifikate stellen die sichere Kommunikation, Authentifizierung und Integrität in IT-Systemen sicher. Operational Technology (OT), die Produktionsumgebungen, Energieversorgung und die für unsere Gesellschaft kritische Infrastruktur umfasst, benötigt ebenfalls digitale Zertifikate, um reibungslos zu funktionieren. Diese Abhängigkeit wird jedoch selten thematisiert, obwohl Ausfallzeiten hier nicht nur einen Verlust von Produktivität bedeuten, sondern Sicherheitsverletzungen, Umweltschäden oder Störungen kritischer, landesweiter Dienste.

Daher ist Public Key Infrastructure (PKI), die in OT-Umgebungen die Grundlage für digitale Zertifikate darstellt, ebenfalls von höchster Bedeutung, wird jedoch oftmals übersehen. Dies schafft Risiken, die bei der Planung, Verwaltung und Abwägung von Cyberresilienz, Compliance und Legacy-Systemen beachtet werden müssen.

Digitale Zertifikate und Betriebskontinuität. Für die meisten Unternehmen bleibt ihre Abhängigkeit von digitalen Zertifikaten unbemerkt, bis diese ablaufen. Und während in IT-Umgebungen ein abgelaufenes Zertifikat in der Regel »nur« zum Beispiel eine nicht funktionierende Website bedeutet, können abgelaufene Zertifikate in OT-Umgebungen ganze Produktionslinien lahmlegen, die Kommunikation zwischen wichtigen Netzwerkkomponenten unterbrechen oder die Fernüberwachung kritischer Anlagen verhindern.

OT-Systeme verfügen oft über Laufzeiten von zehn bis 20 Jahren. Zertifikate laufen jedoch innerhalb von ein bis drei Jahren ab. Damit besteht eine inhärente Diskrepanz zwischen einem langlebigen Steuerungssystem, das von kurzlebigen Zertifikaten abhängt. Betriebskontinuität ist deshalb auf ein effektives und effizientes Zertifikatslebenszyklusmanagement angewiesen.

Die oftmals übersehenen Ebenen des Purdue-Modells. Die Purdue Enterprise Reference Architecture (PERA), ist ein Rahmenmodell zur Segmentierung industrieller Steuerungssysteme (ICS), um deren Sicherheit durch eine Trennung von Unternehmensnetzwerken zu verbessern.

Der Fokus von Diskussionen über OT-Sicherheit liegt üblicherweise auf Purdue-Ebene 3 oder höher, wo IT und OT zusammenlaufen. Auf diesen Ebenen ist die Implementierung von PKI am »einfachsten«, da sich dort in der Regel moderne Server, Windows-Domänen und sofort einsetzbereite Transport Layer Security (TLS) befinden, die eine solche Implementierung unterstützen.

Unterhalb von Purdue-Ebene 2 wird dies jedoch komplexer. Bei den dort eingesetzten speicherprogammierbaren Steuerungssystemen (PLCs) und Sensoren handelt es sich häufig um Altsysteme, die oft keine modernen digitalen Zertifikate unterstützen. Darüber hinaus nutzen sie oftmals proprietäre oder unverschlüsselte Protokolle und ihre Komponenten sind oft vom Hersteller mit fest codierten Anmeldedaten oder Sicherheitsmodellen ausgestattet.

In diesen Fällen wird die Implementierung von PKI zu einer großen Herausforderung oder sogar unmöglich. Damit entsteht eine große Sicherheitslücke, die Angreifern nur zu gut bekannt ist.

Herausforderungen durch Legacy-Systeme. Legacy-OT-Umgebungen stellen so ein Paradoxon für die Implementierung von PKI dar. Einerseits soll Verschlüsselung und Authentifizierung wo immer möglich implementiert werden, andererseits könne viele Geräte die dafür erforderlichen Zertifikate ohne ein umfassendes Redesign nicht unterstützen.

Daher greifen viele Unternehmen auf Behelfslösungen zurück, von Jump-Servern bis hin zu Protokoll-Gateways oder der Segmentierung von Legacy-Systemen hinter Firewalls. Diese Ansätze sind jedoch kein echter Ersatz für die Sicherheit, die eine umfassende PKI-Implementierung bietet. Die eigentliche Herausforderung besteht also darin, ein hybrides Setup zu verwalten.

Security Posture Management in einem nicht perfekten Setup. In Cloud- und IT-Umgebungen überprüfen Posture-Management-Plattformen das Setup kontinuierlich auf Fehlkonfigurationen, abgelaufene Zertifikate und Compliance-Lücken. Viele Geräte in OT-Umgebungen unterstützen jedoch keine digitalen Zertifikate, sodass es schwierig ist, die Posture in diesen Umgebungen zu überprüfen.

Die Lösung besteht also nicht darin, einen für IT-Umgebungen entwickelten Ansatz zu kopieren, sondern an OT-Umgebungen anzupassen. Das bedeutet, für die Assets, die eine moderne PKI unterstützen, die Sicherheitslage weiterhin anhand von Heuristiken wie Zertifikatslebenszyklus und -entzug oder Einhaltung von Verschlüsselungsstandards zu messen. Für Assets, die keine moderne PKI unterstützen, muss die Sicherheitslage stattdessen anhand von Behelfsmetriken gemessen werden, beispielsweise mithilfe von Segmentierungen oder durch die Erkennung und Analyse von Anomalien.

Was Sicherheitsverantwortliche und Regulierungsbehörden daraus lernen können. Sicherheitsverantwortliche wie auch Regulierungsbehörden müssen an dieser Stelle eine schwierige Gratwanderung schaffen: Es ist einfach »Ende-zu-Ende-PKI in OT-Umgebungen« zu fordern, aber die Realität sorgt oftmals dafür, dass eine Umsetzung nicht möglich ist. Ein sinnvollerer Ansatz ist es, dort pragmatisch vorzugehen, wo dies möglich ist.

Anstatt zu versuchen, abstrakte Sicherheitsreifegrade zu erreichen, sollten konkrete operative Risiken identifiziert werden: Was sind die tatsächlichen Konsequenzen, wenn ein Zertifikat abläuft oder kompromittiert wird?

Fazit. Sicherheitsverantwortliche und Regulierungsbehörden sollten vermeiden, eine perfekte PKI in OT-Umgebungen zu fordern. Stattdessen sollten sie pragmatisch vorgehen und sich auf Transparenz fokussieren, um zu wissen, wo digitale Zertifikate in OT-Umgebungen existieren und auf Kontinuität, um Störungen und Ausfallzeiten durch eine Anpassung von Zertifikatslebenszyklen auf OT-Lebenszyklen zu vermeiden.

Kurz gesagt: Brücken zwischen PKI und OT zu schlagen bedeutet nicht, eine perfekte Lösung zu finden, sondern die Resilienz des Unternehmens zu steigern, um die Betriebskontinuität sicherzustellen.

Létitia Combes,
Co-Gründerin und Managing Director
bei BxC Security

Illustration: © Jozef Micic | Dreamstime.com

732 Artikel zu „Cyberresilienz OT“

News | IT-Security | Ausgabe 11-12-2025 | Security Spezial 11-12-2025

it-sa 2025 – Zwischen KI-Disruption und dem Gebot der Cyberresilienz

27. Dezember 2025

Die it-sa 2025 in Nürnberg stand im Zeichen einer tiefgreifenden Zerrissenheit: Selten lagen Hype und Handlungsdruck, Chance und Zwang so nah beieinander. Auf der einen Seite entfesselt künstliche Intelligenz eine beispiellose Innovationsdynamik, auf der anderen Seite zwingt ein Tsunami an Regularien wie NIS2 die Unternehmen zu einem strategischen Umdenken.

Létitia Combes, Co-Gründerin und Managing Director bei BxC Security

732 Artikel zu „Cyberresilienz OT“

Létitia Combes,
Co-Gründerin und Managing Director
bei BxC Security