OT- und SCADA-Sicherheit: Warum jede Organisation betroffen ist

Operational Technology (OT) steuert die physische Welt. Die Systeme, die das Wasser fließen lassen, das Stromnetz am Laufen halten und Produktionslinien in Bewegung halten, wurden für Verfügbarkeit und Sicherheit gebaut, nicht für die heutige Bedrohungslage. Im Jahr 2026 ist die Lücke zwischen dem, wofür diese Systeme entwickelt wurden, und der Art, wie sie angegriffen werden, zu einem der drängendsten Probleme der Cyber Security geworden.

Die meisten Organisationen prüfen ihre IT nach wie vor deutlich gründlicher als ihre OT. Tatsächlich prüfen viele ihre OT so gut wie gar nicht.l.

Haben Sie überhaupt OT? (Vermutlich ja) 

OT wird gerne als Problem der Fabriken und Kraftwerke abgetan. Ist es aber nicht. OT umfasst jede Technologie, die physische Geräte überwacht oder steuert, und die meisten Organisationen haben davon mehr, als ihnen bewusst ist.

Wenn Sie eine Fertigungslinie, ein Versorgungsunternehmen oder eine Logistikorganisation betreiben, ist die OT offensichtlich: PLCs, RTUs, SCADA-Systeme und Industriesensoren. Aber auch ganz normale Unternehmen, die sich selbst nie als „industriell" bezeichnen würden, betreiben täglich OT:

• Gebäudemanagementsysteme, die HLK, Beleuchtung und Energie steuern. Die meisten Gewerbeimmobilien, die nach dem Jahr 2000 gebaut wurden, haben eines.
• Physische Zutrittskontrolle wie Kartenleser, Drehkreuze, Türsteuerungen und Aufzüge.
• Überwachungs- und Sicherheitssysteme wie Videoüberwachung, Brandmeldeanlagen und Einbruchmeldeanlagen.
• Notstromversorgung und Umgebungssteuerung wie USV-Anlagen und Kühlung von Rechenzentren.

Diese Geräte hängen in Ihrem Netzwerk, oft nicht verwaltet und selten gepatcht, und sie sind genau die Art von exponierten Systemen, nach denen Angreifer heute suchen. Wenn Ihr Gebäude einen Kartenleser und ein Thermostat hat, die Sie in Ihren Security-Tools nicht sehen, haben Sie einen OT-Blindfleck.

Das Bild 2026: Mehr Angriffe, mehr Exposition, weniger Sichtbarkeit 

Die Zahlen aus diesem Jahr machen den Trend schwer zu ignorieren.

• Die Zahl offengelegter Schwachstellen steigt schnell. Sicherheitsforscher haben 2025 insgesamt 2.451 ICS-Schwachstellen bei 152 Herstellern erfasst, fast doppelt so viele wie die 1.690 im Jahr davor.
• Die Erkennungslücke ist real. In einem industriellen Benchmark 2025 gaben 44 % der Organisationen an, über starke Echtzeit-Sichtbarkeit zu verfügen, dennoch hatten fast 60 % geringes bis gar kein Vertrauen in ihre Fähigkeit, Bedrohungen für OT und IoT zu erkennen, und ein Drittel brauchte mehr als 90 Tage, um die gefundenen Bedrohungen zu beheben.
• Die Regulierung hat aufgeholt. NIS2 verlangt Asset-Inventarisierung, Schwachstellenmanagement und Zugriffskontrolle über die gesamte OT-Landschaft hinweg, mit persönlicher Haftung der Geschäftsführung.

Die Angriffsfläche wächst, die Bedrohungen werden leistungsfähiger, und die Vorschriften verlangen inzwischen den Nachweis, dass Sie das Thema im Griff haben.

Warum OT schwerer zu sichern ist als IT 

OT ist nicht einfach IT mit einem anderen Etikett. Die Geräte sind oft alt, empfindlich und vertragen die aggressive Prüfung, wie sie Standard-IT-Tools ohne weiteres Nachdenken einsetzen, nicht. Eine PLC wurde nie darauf ausgelegt, hohen Netzwerkverkehr zu verkraften.

Das führt in eine Falle. Die Tools, die Sichtbarkeit schaffen würden, fühlen sich zu riskant an, also bleibt die Umgebung ungeprüft, und die Exposition wächst. Diesen Kreislauf zu durchbrechen ist die eigentliche Herausforderung der OT-Sicherheit im Jahr 2026.

Wie Holm Security das Problem löst

Die Holm Security Plattform schließt den OT-Blindfleck, indem sie dasselbe Exposure- und Schwachstellenmanagement, das Sie bereits über IT, Netzwerk, Cloud und Identität einsetzen, in Ihre industrielle Umgebung erweitert. Eine Plattform, eine Sicht auf das Risiko, statt eines separaten, angeflanschten Tools.

Vier Punkte machen das sicher und praktikabel:

• Prüfung zu Ihren Bedingungen. Sie bestimmen Umfang, Zeitplan und Intensität. Beschränken Sie Prüfungen auf bestimmte IP-Bereiche, führen Sie sie in Wartungsfenstern durch, begrenzen Sie die Paketrate und schließen Sie empfindliche Assets aus. Nichts läuft ohne Ihre Konfiguration.
• Ehrliche, wirkungsarme Voreinstellungen. Unsere Standardprofile führen ausschließlich lesende Prüfungen durch, bleiben innerhalb Ihrer Konfiguration und greifen niemals zu aggressiven Techniken. Ein separates Aggressive-Profil steht für kontrollierte Tests in Vorproduktivumgebungen zur Verfügung, wenn Sie es aktivieren. Kein Anbieter kann null Risiko garantieren, und wir werden nicht so tun, als sei das anders. Was wir garantieren, ist das Verhalten unserer Standardprofile.
• Die richtige Methode für jedes Gerät. Ein schlanker Device Agent deckt Windows-Assets vollständig ohne Netzwerkprüfung ab, die sicherste Option für empfindliche Hosts. Netzwerkgebundene Steuerungsgeräte werden über abgestimmte, wirkungsarme Profile mit tiefem Verständnis industrieller Protokolle geprüft, damit erreichen wir sicher Systeme, die IT-fokussierte Scanner nicht abdecken.
• Abdeckung, die Schritt hält. Trainierte KI-Modelle triagieren neue Schwachstellenmeldungen und erzeugen jede Nacht Erkennungstests, alle qualitätsgesichert vor dem Release. Wenn etwas nicht automatisch bearbeitet werden kann, übernimmt ein Team, das ausschließlich auf SCADA und OT fokussiert ist, die manuelle Analyse und Validierung.

Als europäisches Unternehmen halten wir Ihre sensiblen Daten in Europa, besonders wichtig für Betreiber in regulierten und kritischen Sektoren. Das Ziel ist kein weiteres Einzeltool. Es geht darum, die OT-Lücke mit derselben Disziplin zu schließen, der Sie überall sonst schon vertrauen.

Fangen Sie mit Sichtbarkeit an 

Wo auch immer Sie stehen: Der erste Schritt ist immer derselbe, wissen, was Sie haben. Ein präzises Bild Ihrer OT-Assets und ihrer Exposition macht aus unsichtbarem Risiko gemanagtes Risiko, und ist die Grundlage, auf der jedes Framework aufbaut, von NIS2 bis IEC 62443.

Wenn Ihre OT heute weitgehend ungeprüft bleibt, ist 2026 ein gutes Jahr, das zu ändern.

FAQ

1. Was ist OT-Sicherheit, und wie unterscheidet sie sich von IT-Sicherheit?

   OT-Sicherheit (Operational Technology) schützt die Systeme, die physische Geräte überwachen und steuern, von PLCs und SCADA-Systemen bis hin zu Gebäudemanagement, Zutrittskontrolle und Überwachung. Sie unterscheidet sich von IT-Sicherheit, weil OT-Geräte häufig älter und empfindlicher sind und aggressive Prüfungen, wie sie Standard-IT-Tools einsetzen, nicht vertragen, was sichere Sichtbarkeit schwieriger macht. 
   
   

2. Hat meine Organisation OT, auch wenn wir nicht in der Industrie tätig sind?

   Mit hoher Wahrscheinlichkeit ja. OT beschränkt sich nicht auf Fabriken und Versorgungsbetriebe. Wenn Ihr Gebäude über HLK-Steuerungen, Kartenleser, Videoüberwachung, Brandmeldeanlagen, Aufzüge oder USV-Anlagen verfügt, betreiben Sie OT, oft nicht verwaltet und selten gepatcht. 
   
   

3.  Warum ist OT schwieriger zu prüfen als IT? 

   Viele OT-Geräte wurden nicht dafür gebaut, starken Netzwerkverkehr zu verkraften. Die Tools, die Sichtbarkeit schaffen würden, können sich als zu riskant anfühlen, also bleiben Umgebungen ungeprüft, und die Exposition wächst. Diesen Kreislauf zu durchbrechen erfordert Methoden, die speziell für empfindliche industrielle Assets entwickelt wurden. 
   
   

4. Wie prüft Holm Security OT, ohne den Betrieb zu stören?

   Sie kontrollieren Umfang, Zeitplan und Intensität, Prüfungen lassen sich auf bestimmte IP-Bereiche begrenzen, in Wartungsfenstern durchführen, in der Paketrate deckeln und für empfindliche Assets ausschließen. Standardprofile führen ausschließlich lesende, wirkungsarme Prüfungen durch, und ein schlanker Device Agent deckt Windows-Assets vollständig ohne Netzwerkprüfung ab. 
   
   

5. Unterstützt OT-Sicherheit die NIS2-Compliance?

   Ja. NIS2 verlangt Asset-Inventarisierung, Schwachstellenmanagement und Zugriffskontrolle über die gesamte OT hinweg, mit persönlicher Haftung der Geschäftsführung. Ein präzises Bild Ihrer OT-Exposition ist die Grundlage, auf der jedes Framework aufbaut, von NIS2 bis IEC 62443. 
   
   

6. Wo werden meine OT-Daten gespeichert?
   Als europäisches Unternehmen hält Holm Security Ihre sensiblen Daten in Europa, besonders wichtig für Betreiber in regulierten und kritischen Sektoren.