IT/OT-Konvergenz absichern, ohne die Produktion zu stoppen

Warum IT und OT unterschiedlichen Regeln folgen

IT und OT verfolgen gegensätzliche Prioritäten. In der klassischen IT gilt die Reihenfolge Vertraulichkeit, Integrität, Verfügbarkeit. In der Produktion kehrt sich diese Rangfolge um: Verfügbarkeit steht an erster Stelle, denn ein Stillstand kostet unmittelbar Geld und kann Sicherheitsrisiken für Mensch und Anlage bedeuten. Ein Steuerungssystem lässt sich nicht mal eben zum Patchen neu starten, und ein Wartungsfenster ist oft nur wenige Stunden im Jahr lang.

Hinzu kommen unterschiedliche Lebenszyklen. Während IT-Systeme im Drei- bis Fünfjahresrhythmus erneuert werden, laufen Anlagen zwei Jahrzehnte und länger. Viele Produktionsprotokolle stammen aus einer Zeit, in der Netzsicherheit kein Entwurfsziel war: Sie kennen weder Authentifizierung noch Verschlüsselung. Wer IT- und OT-Welt zusammenführt, ohne diese Unterschiede zu berücksichtigen, verbindet ein robustes Fertigungsnetz mit der Angriffsfläche des Internets.

Das Risiko der naiven Konvergenz

Konvergenz bedeutet nicht, alle Netze zu einem einzigen zu verschmelzen. Genau dieses Missverständnis führt zu flachen Netzen, in denen ein in der Bürowelt kompromittierter Rechner ungehindert bis auf die Steuerungsebene durchgreifen kann. Sichere Konvergenz heißt das Gegenteil: kontrollierte, bewusst gestaltete Kopplung zweier weiterhin getrennter Welten. Daten fließen dorthin, wo sie gebraucht werden, aber nur über definierte, überwachte Übergänge und nur in die dafür vorgesehene Richtung.

Vier Prinzipien für die Umsetzung im laufenden Betrieb

1. Sichtbarkeit vor jedem Eingriff (passiv)

Am Anfang steht ein vollständiges Bild des Ist-Zustands: welche Geräte kommunizieren, über welche Protokolle, mit wem. Wichtig ist die Methode. In OT-Netzen ist aktives Scannen, wie es in der IT üblich ist, gefährlich. Ältere Steuerungen können auf unerwartete Anfragen mit Fehlfunktion oder Absturz reagieren. Die Bestandsaufnahme erfolgt deshalb passiv, durch Mitlesen des Datenverkehrs, ohne aktiv in die Kommunikation einzugreifen. So entsteht die Grundlage für alle weiteren Schritte, ohne die Produktion zu gefährden.

2. Eine Zielarchitektur als Bezugsrahmen

Bevor das erste Segment entsteht, wird die Soll-Struktur definiert. Als Ordnungsrahmen hat sich das Purdue-Referenzmodell bewährt, das die Fertigung in klar abgegrenzte Ebenen gliedert. Von der Sensor- und Aktorebene bis zur Unternehmens-IT. Zwischen der Produktions- und der Unternehmensebene liegt dabei eine industrielle DMZ (oft als Ebene 3,5 bezeichnet): eine Pufferzone, in der Daten ausgetauscht werden, ohne dass eine direkte Verbindung von der Bürowelt bis zur Steuerung entsteht. Ergänzt um das Zonen- und Conduit-Konzept der IEC 62443 ergibt sich eine Architektur, an der sich jeder einzelne Umbauschritt ausrichten lässt.

3. Datenfluss statt Netzzugang

Für die meisten Konvergenz-Anwendungsfälle (Kennzahlen, Zustandsdaten, Wartungsinformationen) muss die IT Daten aus der OT lesen, aber keinen Zugriff auf die Steuerung erhalten. Diese Richtungstrennung ist zentral. Ein Datenhistoriker in der industriellen DMZ sammelt die Werte, und die Unternehmens-IT greift ausschließlich dort zu. Wo besonders hohe Anforderungen bestehen, erzwingen unidirektionale Gateways oder Datendioden den Datenfluss physisch in nur eine Richtung. Die Steuerung bleibt so unerreichbar, obwohl ihre Daten verfügbar sind.

4. Segmentweise umbauen, mit Rückfalloption

Die eigentliche Trennung wird nicht in einem großen Schnitt vollzogen, sondern Segment für Segment. Man beginnt an den Übergängen mit dem höchsten Risiko und dem geringsten Eingriff in die Fertigung, plant jeden Schritt in ein reguläres Wartungsfenster und hält für jeden Umbau einen definierten Rückfallpfad bereit. Vorhandene Redundanzen in der Anlage lassen sich nutzen, um Änderungen an einem Pfad vorzunehmen, während der andere den Betrieb trägt. So sinkt das Risiko eines ungeplanten Stillstands auf ein beherrschbares Maß.

Ein bewährtes Migrationsvorgehen

1. Erfassen. Passive Bestandsaufnahme aller Geräte, Kommunikationsbeziehungen und bestehenden Übergänge zwischen IT und OT.
2. Entwerfen. Zielarchitektur mit Zonen, industrieller DMZ und definierten Datenflüssen festlegen und dokumentieren.
3. Pilotieren. Einen unkritischen Bereich zuerst umbauen, das Vorgehen validieren und die Rückfallprozesse erproben.
4. Ausrollen. Die Architektur segmentweise auf die restlichen Bereiche übertragen, jeweils in Wartungsfenstern und mit Rückfalloption.
5. Überwachen. Nach dem Umbau die Übergänge dauerhaft passiv überwachen, um Abweichungen und neue Kommunikationswege früh zu erkennen.

Konvergenz ist auch eine Organisationsfrage

Technische Trennung allein genügt nicht, wenn IT- und OT-Verantwortliche aneinander vorbei arbeiten. Sichere Konvergenz gelingt dort, wo beide Seiten eine gemeinsame Zielarchitektur teilen und Zuständigkeiten für die Übergänge klar geregelt sind: wer welche Regel ändern darf und wer im Störungsfall entscheidet. Die Architektur schafft den Rahmen, die abgestimmte Betriebsverantwortung hält ihn über die Zeit stabil. Richtig umgesetzt erhöht die Konvergenz nicht nur die Datenverfügbarkeit für das Unternehmen, sondern zugleich die Robustheit und Nachvollziehbarkeit des Produktionsnetzes.