Produktionsnetze, die man sehen kann
In vielen Produktionen weiß niemand genau, was am Netz hängt — bis etwas stillsteht. Wir machen Ihr OT-Netz sichtbar und segmentiert: mit Cisco Cyber Vision, direkt aus den Switches heraus, ohne die Anlage anzufassen.
- Passive Discovery ohne Anlagenrisiko
- Sensor im Switch statt Appliance
- Zonen nach IEC 62443
- NIS2-taugliches Inventar
Leistungsumfang
Vom unbekannten Netz zur beherrschten Zone
Der Weg zu einer OT-Umgebung, die Sie kennen und kontrollieren — sichtbar gemacht, in Zonen gefasst, meldefähig betrieben.
Asset-Inventar & Kommunikationsbild
Jede SPS, jedes HMI, jeder Feldbus-Teilnehmer mit Hersteller, Firmware und Gesprächspartnern — automatisch erhoben, laufend aktuell.
Schwachstellen & Risikolage
Bekannte Schwachstellen je Komponente, gewichtet nach Erreichbarkeit und Rolle in der Anlage — als Arbeitsliste statt PDF-Friedhof.
Segmentierung nach IEC 62443
Zonen und Übergänge (Conduits) aus dem echten Kommunikationsbild entwickelt — durchgesetzt mit Firewall und Cisco ISE.
Sensor-Rollout im Bestand
Cyber-Vision-Sensoren auf Catalyst-IE-Switches und ‑Routern aktivieren — ohne SPAN-Verkabelung, ohne zusätzliche Appliances.
Anbindung an die IT-Security
Ereignisse und Asset-Kontext fließen in ISE, Firewall und SIEM — OT-Vorfälle landen dort, wo Ihr Security-Team arbeitet.
Betrieb & Meldefähigkeit
Runbooks, Zuständigkeiten und Reports für Audits: NIS2-Meldewege und 62443-Nachweise werden Routine statt Feuerwehrübung.
Vorgehen
So gehen wir vor
OT-Security scheitert selten an Technik, sondern am Anfassen laufender Anlagen. Deshalb beginnt alles passiv — und jede Änderung kennt ihr Wartungsfenster.
Passiv mitlesen
Cyber Vision liest den Verkehr im Switch mit, die Anlage merkt davon nichts. Nach wenigen Wochen steht das erste vollständige Inventar.
Bewerten & priorisieren
Schwachstellen, Altsysteme und riskante Verbindungen nach Wirkung sortiert — gemeinsam mit Instandhaltung und Produktion.
Zonen bauen
Segmentierung in Wellen: erst unkritische Bereiche, dann die Kernprozesse — jede Regel vorher gegen das echte Kommunikationsbild geprüft.
Betrieb übergeben
Alarme, Baselines und Meldewege im Regelbetrieb; Ihr Team übernimmt mit Runbooks, wir bleiben auf Abruf.
Verständlich erklärt
Warum OT‑Netze eigene Sicherheit brauchen
Produktionsnetze folgen anderen Gesetzen als Büro-IT: Verfügbarkeit schlägt alles, Komponenten leben Jahrzehnte, und ein Neustart kostet echtes Geld. Eingeordnet von Engineers, die beide Welten kennen.
Warum Büro-IT-Rezepte in der Fabrik nicht funktionieren
Im Büro gilt: patchen, neu starten, notfalls Gerät tauschen. In der Produktion läuft eine Steuerung oft zehn oder zwanzig Jahre — mit Software, für die es keine Updates mehr gibt, an Maschinen, die nicht einfach stehen bleiben dürfen. Ein Virenscanner auf der SPS ist keine Option. OT-Security arbeitet deshalb anders: Sie beobachtet das Netz, statt in Endgeräte einzugreifen, und schützt Altsysteme, indem sie deren Umfeld kontrolliert — wer mit wem reden darf, und wer sicher nicht.
Wie Cyber Vision sieht, ohne einzugreifen
Klassische OT-Monitoring-Lösungen brauchen Spiegel-Ports und eigene Sammel-Appliances — praktisch ein zweites Netz nur fürs Zuschauen. Cisco geht einen anderen Weg: Der Sensor ist Software im Netzwerk-Switch selbst. Catalyst-IE-Switches und ‑Router beobachten den Verkehr dort, wo er entsteht, dekodieren über 180 Industrieprotokolle — von PROFINET über Modbus bis OPC UA — und melden nur kompakte Metadaten an die zentrale Auswertung. Ihre Anlage bemerkt davon nichts.
Zonen und Conduits: Segmentierung nach IEC 62443
Die Norm IEC 62443 denkt Produktionsnetze in Zonen: Bereiche mit ähnlichem Schutzbedarf, verbunden über kontrollierte Übergänge, sogenannte Conduits. Das klingt abstrakt, ist aber das wirksamste Mittel gegen den Ernstfall — ein befallener Büro-Rechner darf schlicht keine Steuerung erreichen. Wir entwickeln die Zonen aus dem echten Kommunikationsbild statt vom Reißbrett und setzen sie mit Firewall-Regeln und Cisco ISE durch, Schritt für Schritt, ohne die Produktion zu unterbrechen.
Was NIS2 von Ihrer Produktion verlangt
Die EU-Richtlinie NIS2 macht Cybersicherheit für viele Industrie- und Versorgungsunternehmen zur Pflicht: Risikomanagement, ein belastbares Bild der eigenen Systeme, Meldung erheblicher Vorfälle binnen 24 Stunden — und die Geschäftsleitung steht dafür gerade. Genau hier zahlt Sichtbarkeit ein: Ein automatisch gepflegtes Asset-Inventar und dokumentierte Zonen sind die Grundlage fast aller NIS2-Pflichten. Wir bauen die technische Basis, auf der Ihre Nachweise stehen.
Werkzeuge & Plattformen
- Cisco Cyber Vision
- Catalyst IE-Serie
- Cisco ISE
- Cisco Secure Firewall
- Splunk / SIEM
- IEC 62443 & NIS2
FAQ
Häufige Fragen zur OT-Security
Stört die Analyse laufende Anlagen?
Nein. Cyber Vision arbeitet zunächst rein passiv: Die Sensoren lesen den Verkehr im Switch mit und senden nur Metadaten zur Auswertung. Active Discovery — gezielte, protokollkonforme Abfragen für mehr Detailtiefe — schalten wir nur bewusst zu, abgestimmt mit Ihrer Instandhaltung und nie in kritischen Prozessphasen.
Brauchen wir dafür neue Switches?
Nicht zwingend. Läuft in Ihrer Produktion bereits Catalyst-IE-Hardware, wird der Sensor dort als Software aktiviert. Anderswo starten wir mit einzelnen sensorfähigen Switches an den wichtigsten Punkten — oft im Zuge ohnehin anstehender Modernisierungen. Ein separates Sammel-Netz mit eigenen Appliances ist nicht nötig.
Was ist mit Altanlagen, die nie Updates bekommen?
Die bleiben Realität — eine fünfzehn Jahre alte Steuerung wird nicht sicher, sie wird geschützt. Das Mittel ist Segmentierung: Die Zone um das Altsystem wird so eng gezogen, dass nur noch die nötigen Verbindungen möglich sind. Cyber Vision zeigt vorher, welche das sind — damit keine Regel die Produktion bricht.
Hilft uns das konkret für NIS2 oder ein IEC-62443-Audit?
Ja, sehr direkt: Das automatische Asset-Inventar, die Schwachstellenübersicht und dokumentierte Zonen sind genau die Nachweise, nach denen Auditoren zuerst fragen — und sie kommen aus dem laufenden System statt aus Excel-Ständen vom letzten Quartal. Die organisatorischen Pflichten wie Prozesse und Meldewege bauen wir gemeinsam darauf auf.
Welche Rolle spielen ISE und Firewall dabei?
Cyber Vision sieht und versteht; durchgesetzt wird woanders. Asset-Gruppen und Zonen fließen an Cisco ISE und die Firewall: ISE steuert, welches Gerät überhaupt ins Netz darf und in welche Zone es gehört, die Firewall kontrolliert die Übergänge zwischen den Zonen. So wird aus Sichtbarkeit echte Kontrolle.
Wie schnell sehen wir erste Ergebnisse?
Das erste Kommunikationsbild entsteht innerhalb weniger Tage nach Sensor-Start, ein belastbares Inventar nach zwei bis vier Wochen Mitlesen — je nach Zyklus Ihrer Anlagen. Ab dann arbeiten wir mit echten Daten statt mit Annahmen.
Nächster Schritt
Wissen Sie, was in Ihrem OT-Netz hängt?
Der erste Schritt ist Sichtbarkeit — passiv, ohne Risiko für die Anlage. Danach entscheiden Sie auf Basis von Fakten.
OT-Security anfragen