OT-Netzwerküberwachung: Passive Erkennung ohne zusätzliche Angriffsfläche

01Wichtigste Erkenntnisse

1. 01

   OT-Netzwerküberwachung ist überwiegend passiv: Sie beobachtet eine Kopie des Datenverkehrs, statt aktive Steuerungssysteme abzufragen, weil aktives Scannen fragile Geräte stören kann.

2. 02

   Passive Überwachung liefert Asset-Inventar, protokollbewusste Baseline-Bildung sowie Anomalie- und Bedrohungserkennung aus einem SPAN- oder TAP-Feed, ganz ohne Agenten auf SPS oder RTUs.

3. 03

   Wirksame Erkennung in der OT kombiniert verhaltensbasierte Baseline-Bildung mit bekannten Bedrohungssignaturen und der Abbildung auf MITRE ATT&CK for ICS-Techniken.

4. 04

   Standards erwarten dies: NIST SP 800-82 Rev. 3 und ISA/IEC 62443 fordern beide eine kontinuierliche Überwachung, die auf OT-Sicherheit und -Verfügbarkeit ausgelegt ist.

5. 05

   Der Überwachungs-Stack selbst ist Angriffsfläche. Seine Daten über eine unidirektionale Übertragung nach außen zu senden, hält das SOC informiert, ohne einen eingehenden Pfad in die OT-Zone zu öffnen.

02Was OT-Netzwerküberwachung ist

OT-Netzwerküberwachung ist die kontinuierliche Beobachtung von Datenverkehr, Geräten und Verhalten innerhalb eines Netzwerks der operativen Technologie. Sie umfasst die Systeme, die physische Prozesse steuern: speicherprogrammierbare Steuerungen (SPS), Remote Terminal Units (RTUs), Mensch-Maschine-Schnittstellen (HMIs), Engineering-Workstations, Historians und die Protokolle, die sie verbinden.

Der Zweck ist dreifach: zu wissen, was sich im Netzwerk befindet, zu wissen, wie es normalerweise kommuniziert, und zu wissen, wann etwas abweicht. In der IT ist dies Routine. In der OT sind die Anlagen oft alt, undokumentiert, empfindlich gegenüber unerwartetem Datenverkehr und an Sicherheit und Verfügbarkeit gebunden, sodass die Überwachungsmethode ebenso wichtig ist wie die Daten, die sie erzeugt.

Kurzfassung: OT-Netzwerküberwachung ist industrielle Transparenz und Erkennung, durchgeführt, ohne den beobachteten Prozess zu beeinträchtigen.

03Warum OT-Überwachung standardmäßig passiv ist

IT-Sicherheitswerkzeuge entdecken Anlagen oft, indem sie sie aktiv scannen: Sie senden Prüfpakete und lesen die Antworten aus. In der OT birgt dieser Ansatz ein reales Risiko. Viele Steuerungsgeräte verfügen über kleine Netzwerk-Stacks und begrenzte Rechenreserven. Ein aggressiver Port-Scan oder ein fehlerhaftes Prüfpaket hat schon SPS zum Absturz gebracht, Sicherheitsfunktionen ausgelöst oder Prozessstörungen verursacht.

Passive Überwachung vermeidet dies, indem sie niemals selbst Datenverkehr in Richtung der Steuerungsgeräte erzeugt. Sie empfängt eine gespiegelte Kopie des Netzwerkverkehrs und analysiert sie außerhalb des Datenpfads. Nichts Neues wird auf die Leitung eingespeist, sodass es kein Prüfpaket gibt, das einen empfindlichen Endpunkt destabilisieren könnte. NIST SP 800-82 Rev. 3 bevorzugt ausdrücklich passive Techniken in der OT und behandelt aktives Scannen als etwas, das nur mit Vorsicht, wenn überhaupt, und idealerweise nur in Test- oder Wartungsfenstern eingesetzt werden sollte.

Passive Überwachung

Analysiert eine Kopie des bestehenden Datenverkehrs von einem TAP oder SPAN-Port. Fügt dem OT-Netzwerk keine Pakete hinzu und kann Endpunkte nicht stören.

Aktives Scannen

Sendet Anfragen an Geräte, um sie zu entdecken und zu fingerprinten. Schneller und reichhaltiger, aber es kann fragile OT-Anlagen stören und ist in der Regel auf kontrollierte Fenster beschränkt.

Selektives Polling

Eine eng begrenzte, herstellerbewusste Form der aktiven Abfrage, die sparsam eingesetzt wird, um passive Daten anzureichern, mit konservativem Timing und ausdrücklicher Freigabe der Anlage.

04Warum Transparenz die Grundlage der OT-Verteidigung ist

Verteidiger können nicht auf Aktivitäten reagieren, die sie nie beobachten. Die meisten OT-Umgebungen sind über Jahrzehnte gewachsen, wobei Anlagen von verschiedenen Integratoren, Herstellern und Schichten hinzugefügt wurden. Das Ergebnis sind Netzwerke, in denen niemand ein vollständiges, aktuelles Inventar besitzt. Überwachung ist der Weg, wie dieses Inventar real wird und aktuell bleibt.

Transparenz ist auch die Grundlage der Erkennung. Vorfälle wie die Angriffe auf das ukrainische Stromnetz in den Jahren 2015 und 2016 sowie der TRITON/TRISIS-Angriff auf ein Sicherheitssystem (Safety Instrumented System) im Jahr 2017 haben gezeigt, dass Angreifer wochenlang innerhalb von OT-Netzwerken agieren, bevor sie handeln. Sie nutzen legitime Engineering-Protokolle und gestohlene Zugangsdaten und fügen sich so unauffällig ein. Ohne Überwachung auf Verkehrsebene bleibt diese Aktivität unsichtbar, bis der Prozess bereits betroffen ist.

Passive Überwachung ist zudem eine der wenigen Maßnahmen, die nicht vom Patchen abhängt. Wo eine Anlage nicht gepatcht oder gehärtet werden kann, ist die Beobachtung ihres Verhaltens oft die realistischste verfügbare kompensierende Maßnahme.

05Wie passive OT-Überwachung funktioniert

Passive Überwachung beginnt auf der physischen Schicht. Ein Netzwerk-TAP oder ein SPAN-/Mirror-Port eines Switches erzeugt eine Kopie des Datenverkehrs, der ein Segment durchquert. Diese Kopie wird an einen Sensor weitergeleitet, der eine Deep Packet Inspection industrieller Protokolle wie Modbus/TCP, EtherNet/IP, DNP3, PROFINET, OPC UA, IEC 60870-5-104 und S7comm durchführt.

Aus diesem Datenverkehr extrahiert der Sensor Anlagen, Kommunikationsbeziehungen und Prozessvariablen. Er erlernt eine Baseline des normalen Verhaltens: welche Geräte mit welchen kommunizieren, über welche Protokolle, in welcher Reihenfolge und mit welcher Rate. Sobald die Baseline festgelegt ist, werden Abweichungen zu alarmierbaren Ereignissen. Die Analyse findet abseits des Produktionspfads statt, sodass das OT-Netzwerk nie auf das Überwachungssystem warten muss.

• Erfassen: Ein TAP oder SPAN-Port spiegelt den Datenverkehr zum Sensor, ohne Endpunkte zu berühren.
• Parsen: Die Deep Packet Inspection dekodiert industrielle Protokolle bis hinunter zu Funktionscodes und Prozesswerten.
• Inventarisieren: Anlagen, Firmware-Versionen und Konversationen werden aus dem beobachteten Datenverkehr ermittelt.
• Baseline: Der Sensor modelliert normale Kommunikationsmuster über einen Lernzeitraum.
• Erkennen: Anomalien, bekannte Bedrohungssignaturen und Richtlinienverstöße werden für Analysten markiert.
• Weiterleiten: Angereicherte Alarme und Metadaten werden zur Korrelation an ein SIEM, einen Historian oder ein SOC gesendet.

06Was OT-Überwachung tatsächlich erkennt

Gute OT-Überwachung verbindet zwei Erkennungsstile. Verhaltensbasierte Erkennung markiert Abweichungen von der erlernten Baseline: ein neues Gerät, eine unerwartete Konversation, einen Engineering-Befehl von einem ungewöhnlichen Host oder einen Konfigurationsdownload außerhalb eines Wartungsfensters. Signaturbasierte Erkennung gleicht den Datenverkehr mit bekannten Indikatoren und Mustern des Protokollmissbrauchs ab.

Die nützlichsten Plattformen bilden Befunde auf MITRE ATT&CK for ICS ab, sodass Analysten über das Verhalten von Angreifern nachdenken können statt über rohe Pakete. Beobachtenswerte Techniken umfassen unautorisierte Engineering-Verbindungen, das Herunterladen von Programmen und die Modifikation von Steuerungslogik, die Manipulation des I/O-Abbilds, Denial-of-Service gegen Steuerungen sowie den Verlust der Sicht (Loss of View) oder den Verlust der Kontrolle (Loss of Control), der oft einer physischen Auswirkung vorausgeht.

• Neue oder unautorisierte Anlagen, die auf einem Segment auftauchen, das statisch sein sollte.
• Engineering-Protokollbefehle (Programm-Upload/Download, Stopp/Start) von unerwarteten Quellen.
• Änderungen an der SPS-Logik, an Sollwerten oder an der I/O-Konfiguration.
• Klartext-Zugangsdaten, unverschlüsselte Protokolle und schwache Authentifizierung auf Conduits.
• Scanning, Brute-Force oder Protokoll-Fuzzing mit Ursprung innerhalb der OT-Zone.
• Kommunikation, die Zonengrenzen überschreitet, die die Segmentierungsrichtlinie untersagen sollte.

07Eine Überwachungsarchitektur nach Zonen entwerfen

Die Platzierung der Sensoren folgt der Netzwerkarchitektur, nicht umgekehrt. ISA/IEC 62443 gliedert die OT in Zonen und Conduits, und das Purdue-Modell schichtet die Anlage von Feldgeräten bis hinauf zu Unternehmenssystemen. Wirksame Überwachung platziert Sensoren dort, wo der sicherheitsrelevanteste Datenverkehr überquert: an den Conduits zwischen Zonen, an der Grenze zwischen dem Steuerungsnetzwerk und der DMZ sowie innerhalb kritischer Zellen.

Hardware-TAPs sind SPAN-Ports für hochwertige Verbindungen vorzuziehen, weil sie ausfallsicher sind, unter Last keine Frames verwerfen und nicht durch einen kompromittierten Switch umkonfiguriert werden können. SPAN-Ports sind praktisch und für Segmente geringerer Kritikalität akzeptabel, bei denen gelegentlicher Frame-Verlust tolerierbar ist. Wo immer möglich, sollte die Capture-Schnittstelle des Sensors auf der physischen Schicht ausschließlich empfangend sein, sodass der Sensor selbst nicht in das überwachte Netzwerk senden kann.

Ein Überwachungssensor mit einer sendefähigen Management-Schnittstelle auf der OT-Seite ist ein neuer Pivot-Punkt. Behandeln Sie den Sensor als eine Anlage, die es zu schützen gilt, nicht bloß als ein Werkzeug, das andere schützt.

08Wie sie sich auf Standards und Compliance abbildet

Kontinuierliche Überwachung ist nach aktuellen Rahmenwerken nicht optional. NIST SP 800-82 Rev. 3 baut auf den Kontrollfamilien von SP 800-53 auf, einschließlich der Familien Audit und Rechenschaftspflicht (AU) sowie System- und Informationsintegrität (SI), und passt sie an OT-Randbedingungen an. ISA/IEC 62443-3-3 definiert Systemanforderungen, die die Erkennung von Sicherheitsereignissen und die kontinuierliche Überwachung von Conduits umfassen.

Die sektorale Regulierung verstärkt dies. In den nordamerikanischen Verbundstromnetzen verlangen NERC-CIP-Standards wie CIP-007 eine Überwachung von Sicherheitsereignissen auf den betreffenden Cyber-Systemen. In der EU verpflichtet die NIS2-Richtlinie Betreiber wesentlicher Dienste, erhebliche Vorfälle zu erkennen und zu melden, was ohne OT-bewusste Überwachung schwierig ist. Auch die sektorübergreifenden Leistungsziele der CISA fordern Netzwerktransparenz und -erkennung in kritischen Infrastrukturen.

NIST SP 800-82 Rev. 3

OT-Sicherheitsleitfaden; empfiehlt passive Überwachung und passt die AU- und SI-Kontrollen aus SP 800-53 an industrielle Randbedingungen an.

ISA/IEC 62443-3-3

Systemsicherheitsanforderungen, einschließlich der Erkennung von Sicherheitsereignissen und der Überwachung über Zonen und Conduits hinweg.

NERC CIP-007

Verlangt die Überwachung und Protokollierung von Sicherheitsereignissen für die betreffenden Cyber-Anlagen von Verbundstromnetzen.

09Häufige Fallstricke, die OT-Überwachung scheitern lassen

Überwachungsprojekte scheitern weniger an schlechten Sensoren als an schlechtem Design und Betrieb. Der häufigste Fehler ist die Bereitstellung einer Erkennung, ohne dass jemand darauf reagiert. Alarme, die niemand sichtet, erzeugen Rauschen, und Rauschen bringt Betreibern bei, die Konsole zu ignorieren.

• Sich auf SPAN-Ports verlassen, die unter Last stillschweigend Frames verwerfen und so gerade in den geschäftigsten Momenten blinde Flecken hinterlassen.
• Aktives Scannen als sicher behandeln und Steuerungen abfragen, die es nicht vertragen.
• Die Baseline während eines abnormalen Zeitraums abstimmen, sodass das erlernte „Normal“ falsch ist.
• Alarme erzeugen, ohne einen Triage-Prozess, ein Reaktions-Runbook oder einen Verantwortlichen.
• Vergessen, dass der Überwachungsserver, sein Management-Netzwerk und sein Daten-Feed selbst Angriffsfläche sind.
• OT-Telemetrie über eine bidirektionale Verbindung an das SOC senden, die zu einem eingehenden Pfad in die Anlage wird.

Der letzte Punkt wird am häufigsten übersehen. Transparenz hinzuzufügen sollte nicht Erreichbarkeit hinzufügen. Eine Überwachungsinstallation, die eine routbare, bidirektionale Verbindung vom Unternehmens-SOC in die OT-Zone öffnet, kann klammheimlich zum gefährlichsten Pfad im Netzwerk werden.

10Wo die unidirektionale Datenübertragung ins Bild passt

Überwachungsdaten müssen die OT-Zone verlassen, um nützlich zu sein: Sie speisen das SIEM, das SOC und die Langzeitanalyse. Die Frage ist, wie man sie exportiert, ohne einen Rückweg zu schaffen. Genau hier passt die unidirektionale Übertragung auf natürliche Weise. Der Überwachungs-Feed ist definitionsgemäß rein publizierend: Daten fließen hinaus, und nichts muss zurückkommen.

Eine Datendiode oder ein unidirektionales Gateway lässt Protokolle, Alarme und Paket-Metadaten von der OT-Seite auf die Unternehmensseite gelangen, während es physisch verhindert, dass Datenverkehr durch diese Grenze zurückkehrt. Das SOC erhält vollständige Transparenz; die OT-Zone gewinnt keinen neuen eingehenden Weg. In Kombination mit passiven Sensoren, die niemals in das Steuerungsnetzwerk senden, lässt sich die gesamte Überwachungskette so gestalten, dass sie Beobachtung ergänzt, ohne Exposition zu ergänzen.

Sie ist eine Maßnahme unter mehreren. Eine Diode sichtet keine Alarme, stimmt keine Baselines ab und ersetzt keine Segmentierung. Für Teams, die die Optionen abwägen, kann ein AIRGAPNET-Muster für kontrollierte Konnektivität neben passiven Sensoren, TAPs und der SOC-Integration als Teil desselben Überwachungsdesigns stehen, sodass die Entscheidung darum geht, welche Grenzen online, unidirektional oder standardmäßig getrennt sein müssen.

11Eine praxisorientierte Reihenfolge für den Einstieg

Beginnen Sie dort, wo sich Risiko und Datenverkehr konzentrieren, und weiten Sie dann aus. Transparenz liefert schnell Mehrwert, weil die meisten Umgebungen ihre eigene Anlagenliste und Kommunikationskarte noch nie gesehen haben.

• Kartieren Sie das Netzwerk und identifizieren Sie Zonen, Conduits und die Segmente mit den höchsten Konsequenzen.
• Platzieren Sie einen TAP- oder SPAN-Feed zuerst an der Grenze zwischen OT und DMZ sowie an der kritischsten Zelle.
• Betreiben Sie einen passiven Sensor im Lernmodus und bauen Sie ein Asset-Inventar und eine Baseline auf.
• Stimmen Sie die Erkennungen auf den Prozess ab, bilden Sie Befunde auf MITRE ATT&CK for ICS ab und weisen Sie die Verantwortung für Alarme zu.
• Exportieren Sie Alarme und Metadaten über einen unidirektionalen Pfad an das SOC, damit Transparenz niemals zu einem eingehenden Weg wird.
• Weiten Sie die Sensorabdeckung Zone für Zone aus und validieren Sie, dass keine Überwachungskomponente in das Steuerungsnetzwerk senden kann.

Das Ziel ist nicht eine perfekte Abdeckung am ersten Tag. Es geht darum, ein undurchsichtiges OT-Netzwerk in eines zu verwandeln, das Sie sehen, mit einer Baseline versehen und verteidigen können, während Sie verhindern, dass die Überwachung selbst zum nächsten Einfallstor wird.

FAQHäufig gestellte Fragen

SRCQuellen