Zum Inhalt springen
CONFIGLANE
Anfrage

OT-Security · Plan / Build / Operate

Cisco OT-Security, die man sehen kann

In vielen Produktionen weiß niemand genau, was am Netz hängt — bis etwas stillsteht. Wir machen Ihr OT-Netz sichtbar und segmentiert: mit Cisco Cyber Vision, direkt aus den Switches heraus, ohne die Anlage anzufassen.

OT-Security besprechen

4 Leistungen · OT-Security

Produktion schützen, ohne sie zu übergehen.

Wir machen Anlagen und Kommunikation sichtbar, planen kontrollierte Übergänge und verankern Security in den Betriebsabläufen von IT, Instandhaltung und Produktion.

Vorhaben besprechen

  1. OT-Assessment & Cyber Vision

    Anlagen, Kommunikation und Risiken erfassen. Eine belastbare Grundlage für den nächsten Schutzschritt.

  2. IT/OT-Segmentierung

    Produktionszonen und erlaubte Verbindungen gemeinsam mit IT, Instandhaltung und Anlagenverantwortlichen planen.

  3. Sicherer OT-Fernzugang

    Wartungszugänge auf Person, Ziel und Zeit begrenzen — mit Freigaben und nachvollziehbaren Sitzungen.

  4. OT-Security im Betrieb

    Aus Sichtbarkeit einen Prozess machen: Meldungen bewerten, Änderungen begleiten und Risiken nachhalten.

Der genaue Umfang folgt Ihrer Umgebung und den Abhängigkeiten. Preise, Servicezeiten und Reaktionsziele vereinbaren wir im Angebot.

Leistungsumfang

OT-Security vom unbekannten Netz zur beherrschten Zone

Der Weg zu einer OT-Umgebung, die Sie kennen und kontrollieren — sichtbar gemacht, in Zonen gefasst, meldefähig betrieben.

Asset-Inventar & Kommunikations­bild

Jede SPS, jedes HMI, jeder Feldbus-Teilnehmer mit Hersteller, Firmware und Gesprächspartnern — automatisch erhoben, laufend aktuell.

Schwachstellen & Risikolage

Bekannte Schwachstellen je Komponente, gewichtet nach Erreichbarkeit und Rolle in der Anlage — als Arbeitsliste statt PDF-Friedhof.

Segmentierung nach IEC 62443

Zonen und Übergänge (Conduits) aus dem echten Kommunikationsbild entwickelt — durchgesetzt mit Firewall und Cisco ISE.

Sensor-Rollout im Bestand

Cyber-Vision-Sensoren auf Catalyst-IE-Switches und ‑Routern aktivieren — ohne SPAN-Verkabelung, ohne zusätzliche Appliances.

Anbindung an die IT-Security

Ereignisse und Asset-Kontext fließen in ISE, Firewall und SIEM — OT-Vorfälle landen dort, wo Ihr Security-Team arbeitet.

Betrieb & Meldefähigkeit

Runbooks, Zuständigkeiten und Reports für Audits: NIS2-Meldewege und 62443-Nachweise werden Routine statt Feuerwehrübung.

Vorgehen

So gehen wir vor

OT-Security scheitert selten an Technik, sondern am Anfassen laufender Anlagen. Deshalb beginnt alles passiv — und jede Änderung kennt ihr Wartungsfenster.

  1. Passiv mitlesen

    Cyber Vision liest den Verkehr im Switch mit, die Anlage merkt davon nichts. Nach wenigen Wochen steht das erste vollständige Inventar.

  2. Bewerten & priorisieren

    Schwachstellen, Altsysteme und riskante Verbindungen nach Wirkung sortiert — gemeinsam mit Instandhaltung und Produktion.

  3. Zonen bauen

    Segmentierung in Wellen: erst unkritische Bereiche, dann die Kernprozesse — jede Regel vorher gegen das echte Kommunikationsbild geprüft.

  4. Betrieb übergeben

    Alarme, Baselines und Meldewege im Regelbetrieb; Ihr Team übernimmt mit Runbooks, wir bleiben auf Abruf.

Verständlich erklärt

Warum OT‑Netze eigene Sicherheit brauchen

Produktionsnetze folgen anderen Gesetzen als Büro-IT: Verfügbarkeit schlägt alles, Komponenten leben Jahrzehnte, und ein Neustart kostet echtes Geld. Eingeordnet von Engineers, die beide Welten kennen.

Warum Büro-IT-Rezepte in der Fabrik nicht funktionieren

Im Büro gilt: patchen, neu starten, notfalls Gerät tauschen. In der Produktion läuft eine Steuerung oft zehn oder zwanzig Jahre — mit Software, für die es keine Updates mehr gibt, an Maschinen, die nicht einfach stehen bleiben dürfen. Ein Virenscanner auf der SPS ist keine Option. OT-Security arbeitet deshalb anders: Sie beobachtet das Netz, statt in Endgeräte einzugreifen, und schützt Altsysteme, indem sie deren Umfeld kontrolliert — wer mit wem reden darf, und wer sicher nicht.

Wie Cyber Vision sieht, ohne einzugreifen

Klassische OT-Monitoring-Lösungen brauchen Spiegel-Ports und eigene Sammel-Appliances — praktisch ein zweites Netz nur fürs Zuschauen. Cisco geht einen anderen Weg: Der Sensor ist Software im Netzwerk-Switch selbst. Catalyst-IE-Switches und ‑Router beobachten den Verkehr dort, wo er entsteht, dekodieren über 180 Industrieprotokolle — von PROFINET über Modbus bis OPC UA — und melden nur kompakte Metadaten an die zentrale Auswertung. Ihre Anlage bemerkt davon nichts.

Zonen und Conduits: Segmentierung nach IEC 62443

Die Norm IEC 62443 denkt Produktionsnetze in Zonen: Bereiche mit ähnlichem Schutzbedarf, verbunden über kontrollierte Übergänge, sogenannte Conduits. Das klingt abstrakt, ist aber das wirksamste Mittel gegen den Ernstfall — ein befallener Büro-Rechner darf schlicht keine Steuerung erreichen. Wir entwickeln die Zonen aus dem echten Kommunikationsbild statt vom Reißbrett und setzen sie mit Firewall-Regeln und Cisco ISE durch, Schritt für Schritt, ohne die Produktion zu unterbrechen.

Was NIS2 von Ihrer Produktion verlangt

Die EU-Richtlinie NIS2 macht Cybersicherheit für viele Industrie- und Versorgungsunternehmen zur Pflicht: Risikomanagement, ein belastbares Bild der eigenen Systeme, Meldung erheblicher Vorfälle binnen 24 Stunden — und die Geschäftsleitung steht dafür gerade. Genau hier zahlt Sichtbarkeit ein: Ein automatisch gepflegtes Asset-Inventar und dokumentierte Zonen sind die Grundlage fast aller NIS2-Pflichten. Wir bauen die technische Basis, auf der Ihre Nachweise stehen.

Werkzeuge & Plattformen

  • Cisco Cyber Vision
  • Catalyst IE-Serie
  • Cisco ISE
  • Cisco Secure Firewall
  • Splunk / SIEM
  • IEC 62443 & NIS2

FAQ

Häufige Fragen zur OT-Security

Stört die Analyse laufende Anlagen?

Nein. Cyber Vision arbeitet zunächst rein passiv: Die Sensoren lesen den Verkehr im Switch mit und senden nur Metadaten zur Auswertung. Active Discovery — gezielte, protokollkonforme Abfragen für mehr Detailtiefe — schalten wir nur bewusst zu, abgestimmt mit Ihrer Instandhaltung und nie in kritischen Prozessphasen.

Brauchen wir dafür neue Switches?

Nicht zwingend. Läuft in Ihrer Produktion bereits Catalyst-IE-Hardware, wird der Sensor dort als Software aktiviert. Anderswo starten wir mit einzelnen sensorfähigen Switches an den wichtigsten Punkten — oft im Zuge ohnehin anstehender Modernisierungen. Ein separates Sammel-Netz mit eigenen Appliances ist nicht nötig.

Was ist mit Altanlagen, die nie Updates bekommen?

Die bleiben Realität — eine fünfzehn Jahre alte Steuerung wird nicht sicher, sie wird geschützt. Das Mittel ist Segmentierung: Die Zone um das Altsystem wird so eng gezogen, dass nur noch die nötigen Verbindungen möglich sind. Cyber Vision zeigt vorher, welche das sind — damit keine Regel die Produktion bricht.

Hilft uns das konkret für NIS2 oder ein IEC-62443-Audit?

Ja, sehr direkt: Das automatische Asset-Inventar, die Schwachstellenübersicht und dokumentierte Zonen sind genau die Nachweise, nach denen Auditoren zuerst fragen — und sie kommen aus dem laufenden System statt aus Excel-Ständen vom letzten Quartal. Die organisatorischen Pflichten wie Prozesse und Meldewege bauen wir gemeinsam darauf auf.

Welche Rolle spielen ISE und Firewall dabei?

Cyber Vision sieht und versteht; durchgesetzt wird woanders. Asset-Gruppen und Zonen fließen an Cisco ISE und die Firewall: ISE steuert, welches Gerät überhaupt ins Netz darf und in welche Zone es gehört, die Firewall kontrolliert die Übergänge zwischen den Zonen. So wird aus Sichtbarkeit echte Kontrolle.

Wie schnell sehen wir erste Ergebnisse?

Das erste Kommunikationsbild entsteht innerhalb weniger Tage nach Sensor-Start, ein belastbares Inventar nach zwei bis vier Wochen Mitlesen — je nach Zyklus Ihrer Anlagen. Ab dann arbeiten wir mit echten Daten statt mit Annahmen.

Fachbeiträge zum Thema

OT-Security · Betrieb

Cyber Vision als Datenquelle: OT-Sichtbarkeit, die weiterarbeitet

Zonen, die ISE und Firewall durchsetzen; Baseline-Differenzen als Änderungswache; Inventar und Risiko-Scores für Nachweise: was die Cyber-Vision-API liefert — und wozu man sie anzapft.

5 Min. LesezeitOT-Security · Lieferkette

CRA-Meldepflicht gilt: Wie Betreiber im OT-Netz reagieren.

Die Meldepflicht gilt. Wie Betreiber Herstellerhinweise bewerten und mit Inventar, Zonen und kontrollierten Kommunikationswegen handlungsfähig bleiben.

7 Min. Lesezeit

Verwandte Leistungen

Security & NetzzugangFirewall, Segmentierung, NAC mit Cisco ISE und SchwachstellenmanagementEnterprise NetworksCampus, WAN, SD-WAN und WLAN — vom Design bis zur Abnahme

Nächster Schritt

Wissen Sie, was in Ihrem OT-Netz hängt?

Der erste Schritt ist Sichtbarkeit — passiv, ohne Risiko für die Anlage. Danach entscheiden Sie auf Basis von Fakten.

OT-Security anfragen

Assessment → belastbarer erster Change