Cybersecurity Leitfaden für Produktionsbetriebe

Ein stillstehendes ERP-System kann Aufträge verzögern. Ein verschlüsselter Fileserver kann die Arbeitsvorbereitung lahmlegen. Wird zusätzlich der Zugriff auf Maschinensteuerungen oder Qualitätsdaten unterbrochen, wird aus einem IT-Vorfall schnell ein Produktionsrisiko. Dieser Cybersecurity Leitfaden für Produktionsbetriebe richtet sich an mittelständische Unternehmen, die ihre Fertigung, ihre Daten und ihre Lieferfähigkeit kontrollierbar absichern wollen.

Das Risiko ist messbar: Bitkom bezifferte den jährlichen Schaden durch Cyberangriffe für die deutsche Wirtschaft 2024 auf 266,6 Milliarden Euro. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die IT-Sicherheitslage weiterhin als angespannt. Besonders kritisch ist nicht allein die Zahl der Angriffe, sondern deren Wirkung auf gewachsene Strukturen: Office-IT, Produktionsnetz, Fernwartung, Dienstleisterzugänge und Backups greifen ineinander. Wer diese Abhängigkeiten nicht kennt, kann Ausfälle kaum wirksam begrenzen.

Warum Produktionsbetriebe anders geschützt werden müssen

In einem Verwaltungsbetrieb ist ein verschlüsseltes Endgerät bereits ein ernstes Problem. In der Produktion kann derselbe Vorfall Liefertermine, Materialfluss und Maschinenauslastung beeinträchtigen. Produktionsbetriebe verbinden häufig klassische IT mit Operational Technology, kurz OT. Dazu gehören Maschinensteuerungen, Industrie-PCs, Messsysteme und Anlagenzugänge.

Die Herausforderung liegt im Zielkonflikt: IT-Systeme sollen regelmäßig aktualisiert werden, während ein ungeplanter Eingriff in eine Anlagenumgebung den Betrieb stören kann. Deshalb ist ein Standardrezept nicht sinnvoll. Sicherheitsmaßnahmen müssen sich an tatsächlichen Produktionsfenstern, Herstellerfreigaben und den Folgen eines Stillstands orientieren.

Hinzu kommen externe Verbindungen. Fernwartung durch Maschinenbauer, Zugriffe von Integratoren oder Datenaustausch mit Lieferanten sind im Alltag oft notwendig. Ohne klar geregelte Zugänge entsteht jedoch eine dauerhafte Angriffsfläche. Entscheidend ist nicht, externe Unterstützung zu verhindern, sondern sie nachvollziehbar, zeitlich begrenzt und kontrolliert einzurichten.

Cybersecurity-Leitfaden für Produktionsbetriebe: Erst Transparenz schaffen

Viele Sicherheitslücken entstehen nicht durch fehlende Produkte, sondern durch fehlenden Überblick. Die Geschäftsführung sollte zu Beginn vier Fragen zuverlässig beantworten können: Welche Systeme sind für die Produktion unverzichtbar? Wo liegen Konstruktions-, Kunden- und Produktionsdaten? Wer hat Zugriff? Und wie lange würde ein Ausfall jeweils dauern?

Eine Sicherheitsanalyse erfasst daher nicht nur Notebooks und Server. Sie dokumentiert auch Netzwerksegmente, Firewalls, Backup-Ziele, administrative Konten, externe Zugänge und kritische Anwendungen. Besonders wertvoll ist die Abhängigkeitssicht: Wenn das ERP ausfällt, welche Arbeitsplätze, Maschinen oder Schnittstellen sind betroffen? Wenn ein Domain-Administrator kompromittiert wird, kann ein Angreifer auch Sicherungen löschen?

Diese Bestandsaufnahme schafft eine belastbare Priorisierung. Nicht jedes Risiko muss sofort mit der gleichen Dringlichkeit behandelt werden. Ein veralteter Bürorechner ohne sensible Daten ist anders zu bewerten als ein ungeschützter Fernzugang in ein Produktionsnetz. Transparenz verhindert sowohl blinden Aktionismus als auch gefährliches Aufschieben.

Praxisfall: Der unbemerkte Zugang zum Produktionsnetz

In einer anonymisierten Sicherheitsanalyse eines metallverarbeitenden Mittelständlers zeigte sich ein typisches Bild: Die Verwaltung war über eine Firewall geschützt, mehrere Maschinen-PCs waren jedoch über ein historisch gewachsenes Netz erreichbar. Ein Fernwartungszugang eines Dienstleisters war dauerhaft aktiv, die zugehörigen Konten wurden nicht regelmäßig geprüft.

Der Betrieb war nicht angegriffen worden. Dennoch bestand ein vermeidbares Risiko. Die Maßnahme bestand nicht in einem kompletten Umbau über Nacht, sondern in einer schrittweisen Trennung der Netzwerkbereiche, individuell freigegebenen Wartungsfenstern und einer Protokollierung der Zugriffe. Für die Produktion blieb der Ablauf planbar, während die Angriffsfläche deutlich sank.

Die Schutzmaßnahmen mit der größten Wirkung

1. IT und Produktion logisch trennen

Büroarbeitsplätze, Server, Gäste-WLAN und Produktionssysteme sollten nicht frei miteinander kommunizieren können. Eine Segmentierung begrenzt Schäden: Gelangt Schadsoftware über eine Phishing-Mail auf ein Bürogerät, soll sie nicht automatisch Anlagenrechner oder Steuerungskomponenten erreichen.

Die konkrete Trennung hängt von der vorhandenen Architektur ab. In kleineren Betrieben kann eine sauber konfigurierte Managed Firewall mit getrennten Netzwerkbereichen ein guter Anfang sein. In komplexeren Umgebungen sind zusätzliche Regeln, Übergangszonen und eine genaue Freigabe einzelner Datenflüsse erforderlich. Wichtig ist, nur die Verbindungen zu erlauben, die fachlich notwendig sind.

2. Identitäten und Fernzugänge absichern

Gestohlene Zugangsdaten sind ein häufiger Einstiegspunkt. Deshalb brauchen besonders privilegierte Konten einen stärkeren Schutz. Mehr-Faktor-Authentifizierung sollte für E-Mail, Fernzugänge, Cloud-Dienste und Administratoren verbindlich sein. Gemeinsame Administratorkonten gehören abgeschafft, weil sie weder Verantwortlichkeit noch eine nachvollziehbare Prüfung erlauben.

Auch Dienstleisterzugänge sollten nach dem Prinzip minimaler Rechte eingerichtet werden. Der Zugriff wird nur für die benötigte Anlage, den vereinbarten Zeitraum und den konkreten Zweck freigegeben. Nach Abschluss der Wartung wird er wieder geschlossen. Das verursacht etwas mehr Abstimmung, verhindert aber, dass ein vergessener Zugang über Monate offen bleibt.

3. Endgeräte überwachen und Updates steuerbar umsetzen

Endpoint Protection erkennt auffälliges Verhalten auf Servern und Arbeitsplätzen, etwa Verschlüsselungsversuche, verdächtige Prozesse oder ungewöhnliche Netzwerkverbindungen. Für Produktionsumgebungen muss die Lösung jedoch mit Bedacht eingeführt werden. Nicht jede Software darf ohne Test auf einem Maschinen-PC installiert oder aktualisiert werden.

Das BSI empfiehlt ein systematisches Patch- und Schwachstellenmanagement. In der Praxis bedeutet das: Systeme inventarisieren, Sicherheitsupdates bewerten, Test- und Wartungsfenster definieren und Ausnahmen schriftlich begründen. Bei nicht mehr unterstützten Anlagenkomponenten braucht es kompensierende Maßnahmen, beispielsweise eine besonders strenge Netztrennung und den Verzicht auf direkten Internetzugang.

4. Backups für die Wiederherstellung planen, nicht nur erstellen

Ein Backup ist erst dann ein Schutz, wenn die Wiederherstellung funktioniert. Ransomware-Angreifer versuchen gezielt, Sicherungen mitzuverschlüsseln oder zu löschen. Deshalb sollten produktive Systeme und Sicherungen voneinander getrennt sein. Eine bewährte Orientierung ist die 3-2-1-Regel: mindestens drei Datenkopien, auf zwei unterschiedlichen Medien, davon eine Kopie getrennt vom Hauptsystem.

Für Produktionsbetriebe reicht es nicht, nur Datenbanken zu sichern. Benötigt werden je nach Umgebung auch Konfigurationen, virtuelle Server, Konstruktionsdaten, Rezepturen und dokumentierte Wiederanlaufpläne. Mindestens ebenso wichtig sind regelmäßige Rücksicherungsproben. Wer nicht getestet hat, wie lange die Wiederherstellung dauert und welche Abhängigkeiten bestehen, kennt seinen tatsächlichen Ausfallschutz nicht.

5. Angriffe früh erkennen und richtig reagieren

Angreifer arbeiten häufig zunächst unauffällig. Sie lesen E-Mails mit, sammeln Zugangsdaten und erkunden Systeme, bevor sie verschlüsseln oder Daten abziehen. Laufendes Monitoring kann ungewöhnliche Anmeldeversuche, auffällige Datenübertragungen oder Veränderungen an sicherheitsrelevanten Einstellungen frühzeitig sichtbar machen.

Technik allein genügt nicht. Es braucht einen verständlichen Notfallplan: Wer entscheidet im Ernstfall? Welche Systeme werden isoliert? Wie erreicht das Unternehmen seinen IT-Partner außerhalb der Geschäftszeiten? Welche Ansprechpartner aus Produktion, Geschäftsführung, Datenschutz und Kommunikation werden eingebunden? Ein kurzer, geübter Ablauf spart in einer Krise wertvolle Stunden.

Datenschutz und Lieferfähigkeit gehören zusammen

Artikel 32 der DSGVO verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Für Produktionsbetriebe betrifft das nicht nur Personal- oder Kundendaten. Auch Auftragsinformationen, Ansprechpartner bei Lieferanten und Zugriffsprotokolle können personenbezogen sein.

Die DSGVO schreibt keine einzelne Firewall oder Backup-Lösung vor. Sie fordert aber ein Sicherheitsniveau, das Risiko, Stand der Technik und mögliche Schäden berücksichtigt. Dokumentierte Zuständigkeiten, nachvollziehbare Zugriffsrechte und eine klare Datenverarbeitung nach deutschen Standards helfen dabei, Anforderungen nicht nur formal, sondern praktisch zu erfüllen.

Auch europäische Einordnungen bestätigen die Priorität: Die ENISA führt Ransomware, Angriffe auf Lieferketten und die Ausnutzung bekannter Schwachstellen regelmäßig als zentrale Bedrohungen. Für viele mittelständische Unternehmen ist NIS2 nicht unmittelbar einschlägig. Dennoch sind die dort betonten Themen wie Risikomanagement, Meldewege, Lieferkettensicherheit und Verantwortlichkeit der Leitung ein sinnvoller Orientierungsrahmen.

Sicherheit wird im Betrieb entschieden

Cybersecurity ist keine einmalige Anschaffung und kein Projekt, das nach der Installation einer Firewall abgeschlossen ist. Systeme verändern sich, Mitarbeitende wechseln, Dienstleister erhalten neue Zugänge und Maschinen werden nachgerüstet. Deshalb braucht Sicherheit einen festen Platz im laufenden Betrieb: mit klaren Verantwortlichkeiten, regelmäßiger Prüfung und verständlichen Berichten für die Geschäftsführung.

Eine kostenlose IT-Sicherheitsanalyse kann den ersten Schritt erleichtern. Sie ersetzt keine individuelle Risikobewertung, zeigt aber transparent, wo unmittelbarer Handlungsbedarf besteht und welche Maßnahmen sinnvoll gestaffelt werden können. Der beste Zeitpunkt dafür ist nicht nach einem Produktionsstillstand, sondern solange Sie noch selbst entscheiden, was geschützt wird und in welcher Reihenfolge.