OT Site Survey in der Praxis: Produktionsnetze systematisch erfassen

Warum ein OT Site Survey kein IT-Assessment ist

In der IT lässt sich ein Netz weitgehend aus der Ferne inventarisieren: aktive Scans, Agenten auf den Endgeräten, Abfragen über zentrale Verzeichnisse. In der OT funktioniert keiner dieser Wege zuverlässig und einige sind schlicht gefährlich für die Produktion oder auch für die "Safety". Ältere Steuerungen und Feldgeräte reagieren auf einen simplen Portscan mitunter mit einem Neustart oder einem eingefrorenen Kommunikationsstack. Ein Produktionsstillstand durch ein „harmloses" Discovery-Tool ist kein theoretisches Risiko, sondern gelebte Projekterfahrung vieler OT-Teams.

Hinzu kommt: Ein erheblicher Teil der relevanten Informationen steht in keinem Netz. Die serielle Verbindung zwischen Steuerung und Bedienpanel, der USB-Wartungszugang am Frequenzumrichter, das LTE-Modem des Maschinenbauers im Schaltschrank - all das sieht kein passiver Sensor und kein Scanner. Ein OT Site Survey ist deshalb immer eine Kombination aus physischer Begehung, Gesprächen mit den Menschen vor Ort und technischer Erfassung. Wer nur eine der drei Ebenen bedient, bekommt ein unvollständiges und damit trügerisches Bild. Selbst wenn der Aktionsbereich und somit die "Verantwortung" an der Grenze zur Produktionsmaschine (das kann eine ganze Halle mit diversen Geräten sein) endet, darf der Produktionsbereich nicht gestört werden. Die Situation muss von vielen Seiten betrachtet werden: geht man z.B. mit seinen Planungen in den Bereich der Produktion hinein, dann kann dies die Gewährleistung des Maschinenherstellers einschränken oder ganz verlöschen lassen.

Organisatorische Vorbereitung: Der Survey beginnt Wochen vor der Begehung

Die häufigste Ursache für gescheiterte oder wertlose Site Surveys ist nicht mangelnde Technik, sondern mangelnde Vorbereitung. Vier Punkte müssen vor dem ersten Werkstor geklärt sein.

Scope und Zielbild festlegen

Ein Survey ohne definiertes Ziel produziert Datenfriedhöfe. Vorher muss klar sein, wofür die Ergebnisse gebraucht werden: als Grundlage für eine Segmentierung, für ein Risk Assessment nach IEC 62443-3-2, für die Risikoanalyse- und Dokumentationspflichten aus dem NIS2-Umsetzungsgesetz oder für eine Netzmodernisierung. Daraus ergibt sich, welche Ebenen erfasst werden - nur die Netzinfrastruktur oder auch Feldebene, Fernwartungszugänge und Gebäudetechnik - und in welcher Tiefe.

Die richtigen Personen an den Tisch holen

Instandhaltung, Betriebselektrik, Produktionsleitung, Maschinenhersteller / Anlagenbauer und, falls vorhanden, der lokale OT-Verantwortliche wissen Dinge, die in keiner Dokumentation stehen. Diese Personen müssen früh eingebunden werden, nicht erst am Tag der Begehung. Ebenso wichtig: die formale Seite. Sicherheitsunterweisung, Zutrittsregelungen, gegebenenfalls PSA und Fotografier-Erlaubnis in der Halle klärt man vorher, nicht am Empfang. In mitbestimmten Betrieben gehört auch der Betriebsrat informiert, sobald Netzwerkmitschnitte geplant sind. Der Datenverkehr kann personenbezogene Informationen enthalten.

Bestandsunterlagen einsammeln

Alles, was es gibt, kommt vor der Begehung auf den Tisch: Netzpläne, E-Pläne der Schaltschränke, Anlagendokumentationen der Maschinenbauer, Switch-Konfigurationen, Firewall-Regelwerke, Wartungsverträge mit Fernzugriffsklauseln. Die Unterlagen sind fast immer veraltet, aber genau die Abweichung zwischen Papier und Realität ist ein zentrales Ergebnis des Surveys.

Zeitfenster mit der Produktion abstimmen

Schaltschränke öffnet man nicht während des laufenden Schichtbetriebs ohne Absprache. Gase können sich durch Elektrizität z.B. in Netzteilen entzünden oder Carbon-Staub kann Netzteile oder elektrische Vorrichtungen zerstören. Für die Begehung braucht es Zeitfenster, in denen ein Anlagenverantwortlicher begleiten kann. Für das Ziehen von Switch-Konfigurationen und das Setzen von Mirror-Ports empfiehlt sich die Abstimmung mit geplanten Wartungsfenstern. Wer hier improvisiert, riskiert im besten Fall Ablehnung durch das Produktionspersonal, im schlechtesten Fall einen Stillstand.

Die Begehung: Was man nur vor Ort sieht

Die physische Begehung folgt idealerweise dem Signalweg: vom Übergabepunkt zwischen Office- und Produktionsnetz über die Verteilerräume und Hallenverteiler bis in die Schaltschränke der einzelnen Anlagen. Bewährt hat sich ein festes Aufnahmeschema pro Standort. Zum Beispiel Fotos jedes geöffneten Schranks (Übersicht plus Detail der Netzwerkkomponenten). Die Qualität der Kamera bei schlechten Sichtverhältnisse bestimmt den Grad der Qualität der Dokumentation mit. Beschriftung und Typ jedes aktiven Geräts, Patchungen und Kabelwege, auffällige Provisorien, alles sollte notiert und gegebenenfalls fotografiert und danach aufgearbeitet werden.

Besondere Aufmerksamkeit verdienen die Dinge, die in keinem Netzplan auftauchen: unmanaged Switches, die ein Maschinenbauer „nur mal eben" nachgerüstet hat; Medienkonverter und serielle Gateways; Mobilfunkrouter und DSL-Anschlüsse für Fernwartung, die am zentralen Perimeter vorbeiführen. Auch WLAN-Access-Points unklarer Herkunft oder direkt verbundene Programmiergeräte. Jeder dieser Funde ist doppelt relevant, da eventuelles Sicherheitsrisiko und als Beleg dafür, dass die offizielle Netztopologie unvollständig ist.

Parallel zur technischen Aufnahme laufen die Gespräche. Kurze, strukturierte Interviews mit Instandhaltern und Anlagenfahrern beantworten Fragen, die kein Tool klären kann. Wer greift von extern auf welche Anlage zu? Welche Anlagen dürfen unter keinen Umständen angefasst werden? Wo gab es in der Vergangenheit Netzprobleme? Welche Abhängigkeiten bestehen zwischen Linien? Diese Betriebssicht ist später die Grundlage für die Kritikalitätsbewertung der Zonen.

Technische Erfassung: Passiv vor aktiv und aktiv nur mit Freigabe

Für die technische Inventarisierung gilt in der OT eine klare Hierarchie der Methoden, geordnet nach Eingriffstiefe.

Stufe 1: Konfigurationen und Zustandsdaten auslesen

Der ergiebigste und zugleich risikoärmste Einstieg sind die vorhandenen Netzkomponenten selbst. MAC-Adresstabellen, ARP-Caches, LLDP/CDP-Nachbarschaften, VLAN- und Port-Konfigurationen der managed Switches liefern bereits ein erstaunlich vollständiges Bild der angeschlossenen Geräte und der realen Topologie ohne ein einziges zusätzliches Paket ins Netz zu senden. Voraussetzung ist Zugriff auf die Komponenten, was bei Anlagen im Eigentum von Maschinenbauern vertraglich geklärt sein muss.

Stufe 2: Passives Mitschneiden über SPAN oder TAP

An zentralen Punkten (typischerweise am Übergang zwischen den Ebenen, an Zellen-Uplinks und vor Fernwartungsgateways) wird der Datenverkehr über SPAN- bzw. Mirror-Ports oder Netzwerk-TAPs ausgeleitet und mit einem Analysewerkzeug ausgewertet. Passive OT-Discovery-Werkzeuge erkennen aus dem Mitschnitt Gerätetypen, Firmware-Stände, verwendete Industrieprotokolle und vor allem die tatsächlichen Kommunikationsbeziehungen. Wichtig ist eine ausreichende Aufzeichnungsdauer. Manche Kommunikation, wie z.B. Backup-Jobs, Rezepturübertragungen, zyklische Fernwartungs-Check-ins, tritt nur täglich oder wöchentlich auf. Ein Mitschnitt von wenigen Stunden erzeugt eine scheinbar saubere, in Wahrheit lückenhafte Kommunikationsmatrix.

Stufe 3: Selektive aktive Abfragen

Aktive Verfahren, auch gezielte Protokollabfragen oder in Ausnahmefällen eingegrenzte Scans, kommen nur dort zum Einsatz, wo passive Methoden Lücken lassen, und ausschließlich mit schriftlicher Freigabe des Anlagenverantwortlichen, in abgestimmten Zeitfenstern und mit definiertem Rückfallplan. Ganze Feldbus-Segmente mit Altgeräten bleiben grundsätzlich außen vor. Hier ersetzt die Sichtprüfung am Schrank den Scan.

Vom Rohdatenberg zum Ergebnis: Inventar, Kommunikationsmatrix, Zonenmodell

Der eigentliche Wert des Surveys entsteht in der Auswertung. Drei Artefakte sollten am Ende stehen.

Erstens das konsolidierte Asset-Inventar. Dabei ist jedes gefundene Gerät mit Typ, Hersteller, Firmware-Stand, Standort (bis auf Schrankebene), Netzanbindung, Verantwortlichem und Kritikalität relevant. Die Zusammenführung aus Begehungsprotokollen, Konfigurationsdaten und passiver Analyse deckt dabei regelmäßig Geräte auf, die nur in einer der Quellen auftauchen. Genau diese Differenzliste gehört explizit in den Bericht.

Zweitens die Kommunikationsmatrix: Wer spricht mit wem, über welches Protokoll, in welche Richtung, wie häufig. Sie ist die sachliche Grundlage für jede spätere Firewall-Policy und trennt begründbare Verbindungen von historisch gewachsenen Altlasten wie Any-Any-Regeln zwischen Office- und Produktionsnetz.

Drittens das abgeleitete Zonenmodell: Die erfassten Assets werden Ebenen des Purdue-Modells zugeordnet (logisch) und zu Zonen und Conduits im Sinne der IEC 62443-3-2 gruppiert (physikalisch). Nach Kritikalität, Schutzbedarf und realen Kommunikationsbeziehungen, nicht nach Organigramm. Der Ist-Zustand wird dem Soll-Zonenmodell gegenübergestellt, die Abweichungen ergeben priorisiert die Maßnahmenliste. Damit ist der Survey zugleich ein wesentlicher Baustein der Risikoanalyse, die das seit Dezember 2025 geltende NIS2-Umsetzungsgesetz von betroffenen Einrichtungen verlangt. Ohne belastbares Asset-Inventar lässt sich weder ein Risiko bewerten noch ein Vorfall sauber melden.

Typische Stolperfallen aus der Praxis

• Der Survey als Einmalaktion: Ein Inventar veraltet ab dem Tag der Erstellung. Ohne definierten Pflegeprozess (idealerweise gestützt auf dauerhaft installierte passive Sensorik) ist das Ergebnis nach einem Jahr wieder Makulatur.
• Nur das Ethernet-Netz betrachten: Serielle Strecken, Feldbusse, Punkt-zu-Punkt-Funkstrecken und USB-Wartungszugänge sind Angriffs- und Fehlerpfade, auch wenn sie kein IP sprechen.
• Ungewollt in Produktionsanlagen eingreifen: Die Gewährleistung des Anlagenbauers endet meißt damit.
• Fernwartung unterschätzen: Die Frage „Wie kommt der Hersteller auf diese Anlage?" liefert in fast jedem Survey mindestens einen unbekannten externen Zugang zutage.
• Ohne die Menschen vor Ort arbeiten: Wer die Instandhaltung übergeht, bekommt weder die Provisorien gezeigt noch später Akzeptanz für die Segmentierung.
• Ergebnisse ohne Maßnahmenbezug abliefern: Ein 200-Seiten-Bericht ohne priorisierte, mit der Produktion abgestimmte Maßnahmen verschwindet im Schrank neben den alten Netzplänen.

Fazit

Ein OT Site Survey ist kein Tool-Einsatz, sondern eine Methodik. Sorgfältige organisatorische Vorbereitung, physische Begehung mit den Betriebsverantwortlichen, technische Erfassung strikt nach dem Grundsatz „passiv vor aktiv". Dann eine Auswertung, die auf drei konkrete Artefakte zielt: Inventar, Kommunikationsmatrix und Zonenmodell. Damit erhalten Sie eine belastbare Grundlage für Segmentierung und Normkonformität und gewinnen nebenbei vielleicht das Vertrauen der Produktionsmannschaft. Beides braucht man für alles, was danach kommt.