Dem Vorstand OT Zero Trust erklären: Der 90-Tage-Kommunikations- und Aktionsplan des CISO

Hintergrund: OT Zero Trust ist keine Option mehr

Nach dem Ransomware-Vorfall bei der Colonial Pipeline im Jahr 2021 hat die US Transportation Security Administration (TSA) mehrere Sicherheitsanweisungen erlassen, die von Pipeline-Betreibern die Implementierung von Netzwerksegmentierung und Zero-Trust-Architektur verlangen. Gleichzeitig stellen Standards wie NERC CIP-013 ähnliche Anforderungen an die Lieferkettensicherheit. Viele Unternehmen geben jedoch bei regulatorischen Prüfungen oft mündlich zu, dass sie „Zero Trust bereits implementiert“ hätten, während es in Wirklichkeit an einer substanziellen Umsetzung mangelt – insbesondere an der kritischen Grenze zwischen OT und dem Internet der Dinge (IoT).

Der von der CISA veröffentlichte Leitfaden „Adapting Zero Trust Principles to Operational Technology“ (IC3/2026/260429) stellt fest, dass Zero Trust in OT-Umgebungen differenziert implementiert werden muss. NIST SP 800-07 „Zero Trust Architecture“ gilt zwar für alle Netzwerke, wurde aber ursprünglich eher für IT-Umgebungen konzipiert. OT-Systeme müssen rund um die Uhr laufen, verfügen über viele veraltete Geräte und sind extrem empfindlich gegenüber Latenz und Verfügbarkeit, sodass die Prinzipien „explizite Überprüfung, geringste Privilegien, Annahme einer Kompromittierung“ nur schwer direkt anwendbar sind.

Problem: Worauf achtet der Vorstand wirklich?

Wenn der Vorstand oder die interne Revision fragt: „Haben wir Zero Trust implementiert?“, steht der CISO vor einem Dilemma: entweder eine vage bejahende Antwort zu geben oder eine Fülle von technischen Details aufzulisten, die die Entscheidungsträger verwirren. Eine wirklich effektive Kommunikationsweise besteht darin, Zero Trust als eine Reihe überprüfbarer Sicherheitskontrollprinzipien neu zu definieren, nicht als abstrakte Architektur.

Zum Beispiel kann dem Vorstand erklärt werden: „Jeder Benutzer und jedes System muss seine Identität nachweisen und seine Zugriffsanforderungen darlegen – das ist der Kern von Zero Trust, und wir setzen an kritischen Einstiegspunkten entsprechende Authentifizierungs-, Autorisierungs- und Protokollierungsfunktionen ein.“ Der Fokus sollte gleichzeitig auf den Schnittstellen zwischen IT und OT liegen: Jump-Boxen, Historian-Verbindungen, Fernzugriffspfade und domänenübergreifende Identitätsspeicher. Dies sind genau die Kontrollpunkte, die von Regulierungsbehörden (wie TSA, NERC) wiederholt betont werden.

Technische und Risikoanalyse

Angriffsfläche und Ausnutzungskette

Angriffe in OT-Umgebungen dringen oft entlang der IT/OT-Grenze ein: Angreifer infiltrieren zunächst das IT-Netzwerk über Phishing-E-Mails und bewegen sich dann lateral über VPN oder Fernzugriffskanäle von Lieferanten in das OT-Netzwerk. Einmal drinnen, können Angreifer aufgrund fehlender Patches, lockerer Segmentierung und fehlender Überwachung die Produktionsprozesse leicht stören.

Betroffene Assets

• Dazu gehören Kompressorstationen, Kontrollräume, speicherprogrammierbare Steuerungen (SPS), Historianserver, entfernte Endgeräte (RTU) usw. Diese Assets haben gemeinsam, dass sie stabil laufen müssen und nicht häufig neu gestartet oder gepatcht werden können.### Risikostufen
• Betriebsrisiko: Dienstausfall führt zu Einkommensverlusten und Schäden an der Infrastruktur.
• Compliance-Risiko: Verstöße gegen TSA-Richtlinien oder NERC-Standards können zu Geldstrafen und Betriebsbeschränkungen führen.
• Finanzielles Risiko: Lösegeldzahlungen, Wiederherstellungskosten, steigende Versicherungsprämien.
• Markenrisiko: Angriffe auf kritische Infrastruktur beeinträchtigen das öffentliche Vertrauen erheblich.

Auswirkungen auf Unternehmen

Für Unternehmen mit OT-Umgebungen (z. B. Energie, Fertigung, Wasserwirtschaft) sind die direkten Folgen fehlender Zero-Trust-Maßnahmen explodierende Kosten für die Reaktion auf Sicherheitsvorfälle. Am Beispiel eines Pipeline-Betreibers: Ein sechstägiger Stillstand kann Verluste in Höhe von mehreren hundert Millionen Dollar verursachen und zu Anhörungen vor dem Kongress führen. Darüber hinaus stellt der Fernzugriff durch Drittanbieter eine häufige Schwachstelle dar – die CISA warnt wiederholt, dass viele Angriffe über ungeschützte RDP-Verbindungen von Anbietern erfolgen.

Aus Compliance-Sicht verlangt die TSA Directive 2021-02C, dass Betreiber jährlich Sicherheitspläne vorlegen und diese nach wesentlichen Änderungen aktualisieren. NERC CIP-013 fordert die Einbeziehung des Lieferantenmanagements in das Lieferkettenrisiko. Unternehmen, die keine Fortschritte bei Zero Trust nachweisen können, riskieren verschärfte Regulierungen oder den Entzug der Betriebsgenehmigung.

Branchentrends

• Die Diskussion über Zero Trust in OT hat sich von „Ist das machbar?“ zu „Wie setzen wir es um?“ verlagert. Die Branche entwickelt einen Konsens:
• Beginn an den IT/OT-Integrationspunkten: Jump-Hosts, Fernzugriff und domänenübergreifende Identitätssysteme sind die Kontrollpunkte mit der höchsten Priorität.
• Verschärfter Zugriff von Herstellern: Erzwingung der Multi-Faktor-Authentifizierung (MFA), Proxy-Zugriff und Sitzungsprotokollierung.
• Vereinfachung der Reifegradmessung: Einsatz eines „Govern-Schützen-Erkennen-Reagieren“-Rahmens mit Fokus auf die Abdeckung von Hochrisiko-Assets.

Dies ist kein Einzelfall, sondern Teil eines globalen Trends zur Sicherheitsverbesserung kritischer Infrastruktur. Die USA, die EU (NIS2) und Australien verschärfen alle die OT-Sicherheitsvorschriften. Zero Trust entwickelt sich von einem IT-Konzept zu einer OT-Compliance-Notwendigkeit.

Verteidigungs- und Reaktionsempfehlungen: 90-Tage-Aktionsplan

Tag 1–30: Bestandsaufnahme von Assets und Identitäten an der IT/OT-Grenze - In Zusammenarbeit mit OT-Ingenieuren hochwirksame Assets identifizieren (Betriebs-, Sicherheits- und Compliance-Dimensionen). - Alle Benutzer und Kanäle kartieren, die das OT-Netzwerk erreichen können (interne privilegierte Zugänge, Anbieter-VPNs, Cloud-Schnittstellen). - Identitäten und Verbindungen nach Risiko, Auswirkung und Exponierung klassifizieren. - Ergebnis: Eine klare Übersicht über „kritische OT-Assets, Einstiegspunkte und zugehörige Identitäten“.

Tag 31–60: Eindämmung des Fernzugriffs durch Drittanbieter, schnelle Erfolge erzielen - Für alle Remote-OT-Sitzungen ein Proxy-Schema erzwingen und MFA aktivieren. - Nicht mehr genutzte RDP-Verbindungen von Anbietern schließen. - Unabhängige Überwachung und Protokollierung der Aktivitäten Dritter einrichten. - In Anlehnung an die Anforderungen von TSA und NERC CIP-013 eine Richtlinie zur Zugriffskontrolle für Anbieter aufstellen.### Tag 61-90: Aufbau einer einfachen Reifegrad-Scorecard und Narrativ - Konsultieren Sie mit Sicherheits- und OT-Teams, um für die Organisation geeignete Metriken zu bestimmen (z.B. „Anteil der hochwirkungsvollen OT-Assets, in denen Segmentierungsstrategien implementiert sind“, „Anteil der risikoreichen Fernzugriffspfade, in denen MFA und Proxy aktiviert sind“). - Ordnen Sie die Metriken den drei Themen „Governance“, „Schutz“ und „Erkennung & Reaktion“ zu. - Definieren Sie für jedes Thema den „aktuellen Zustand“ und die „Ziele für das nächste Quartal“. - Ergebnis: Eine Fortschrittskarte, die dem Vorstand präsentiert werden kann und den aktuellen Stand der Zero-Trust-Umsetzung, die innerhalb von drei Monaten erzielten Verbesserungen sowie die verbleibenden Lücken klar darlegt.

SecurityPost Insight

Die Umsetzung von Zero Trust in OT erfordert nicht, die bestehende Architektur auf einen Schlag umzustoßen. Wie der Autor dieses Artikels betont, ist ein vierteljährlich aktualisierter 90-Tage-Plan weitaus überzeugender als das Versprechen einer „vollständigen Zero-Trust-Implementierung“.

Die größte Herausforderung für CISOs besteht darin, Sicherheitssprache in Geschäftssprache zu übersetzen. Durch die Fokussierung auf IT/OT-Grenzen, Identitätszuordnung und Lieferantenkontrollen sowie die Nutzung regulatorischer Anforderungen als Treiber können CISOs die Sicherheitsresilienz schrittweise verbessern, ohne den Betrieb zu unterbrechen. In Zukunft wird OT Zero Trust durch KI-gesteuerte Bedrohungserkennung und automatisierte Reaktion intelligenter werden, aber die Grundlage bleibt eine klare Identitäts- und Zugriffskontrolle. Unternehmen sollten jetzt damit beginnen, messbare Maßnahmen anstelle vager Visionen zu ergreifen.