Montagmorgen, sieben Uhr. Die Schicht steht bereit, aber die Anlage startet nicht. Auf dem Bildschirm des Leitstands erscheint eine Lösegeldforderung. Was nach einem Einzelfall klingt, ist für viele mittelständische Fertigungsbetriebe ein reales Szenario. Laut der Bitkom-Studie Wirtschaftsschutz 2026 hatte jedes vierte Unternehmen in Deutschland im vergangenen Jahr verschlüsselte Daten und eine Erpressungsforderung.
In der Produktion wiegt so ein Angriff besonders schwer. Jede Stunde Stillstand kostet Umsatz, Lieferverträge geraten ins Wanken, und im schlimmsten Fall sind Menschen oder Anlagen gefährdet. Dieser Beitrag zeigt, warum gerade der Mittelstand ins Visier gerät, wo die typischen Schwachstellen in Fertigungsumgebungen liegen und mit welchen Maßnahmen Sie Ihre Produktion wirksam schützen.
Warum der Mittelstand für Angreifer so attraktiv ist
Konzerne haben eigene Sicherheitsabteilungen, rund um die Uhr besetzte Lagezentren und große Budgets. Viele Mittelständler haben das nicht, betreiben aber ebenso hochvernetzte Anlagen. Genau diese Mischung macht sie für Kriminelle interessant. Das BSI stellt in seinem Lagebericht 2025 fest, dass rund 80 Prozent der gemeldeten Angriffe, etwa mit Ransomware, kleine und mittlere Unternehmen treffen.
Hinzu kommt der Druck, unter dem Produktionsbetriebe stehen. Wer stillsteht, verliert jeden Tag Geld. Erpresser wissen das und setzen darauf, dass Fertigungsunternehmen schneller zahlen als etwa eine Behörde. Der Gesamtschaden durch Datendiebstahl, Spionage und Sabotage liegt laut Bitkom inzwischen bei 211 bis 270,8 Milliarden Euro pro Jahr, 76 Prozent davon gehen auf Cyberangriffe zurück.
Die Illusion der Sicherheit: „Unsere Anlagen sind doch getrennt“
Diesen Satz hört man in Werkshallen oft. Er stimmt nur selten. Die meisten Produktionsnetze sind über die Jahre gewachsen. Irgendwann kam ein Fernwartungszugang für den Maschinenhersteller dazu, dann eine Schnittstelle zum ERP-System, dann ein Dashboard für die Geschäftsführung. Jede dieser Verbindungen ist sinnvoll. Zusammen ergeben sie aber einen Weg von der Büro-IT bis in die Steuerung.
Viele Angriffe beginnen deshalb gar nicht in der Produktion. Sie starten mit einer Phishing-Mail in der Verwaltung und arbeiten sich von dort Schritt für Schritt bis zu den Anlagen vor. Wer seine Produktion schützen will, muss also beide Welten im Blick haben.
Was Produktions-IT von Büro-IT unterscheidet
In der Fachsprache heißt die Technik in der Fertigung OT, kurz für Operational Technology. Gemeint sind Steuerungen (SPS), Leitsysteme, Sensoren, Roboter und alles, was physische Prozesse steuert. Für die Sicherheit gelten hier andere Regeln als im Büro:
| Merkmal | Büro-IT | Produktion (OT) |
|---|---|---|
| Wichtigstes Ziel | Vertraulichkeit der Daten | Verfügbarkeit und sicherer Betrieb |
| Lebensdauer der Systeme | 3 bis 5 Jahre | oft 15 bis 25 Jahre |
| Updates | regelmäßig, meist automatisch | selten, oft nur im Wartungsfenster |
| Neustart | jederzeit möglich | kann die Fertigung stoppen |
| Zuständigkeit | IT-Abteilung | Produktion, Instandhaltung, Hersteller |
Daraus folgt das Grundproblem: Ein Virenscanner, der im Büro problemlos läuft, kann in der Produktion eine Steuerung ausbremsen. Ein Sicherheitsupdate, das am PC zwei Minuten dauert, braucht an der Anlage einen geplanten Stillstand und manchmal die Freigabe des Herstellers. Deshalb laufen in vielen Werken Rechner mit Betriebssystemen, für die es längst keine Updates mehr gibt.
Die häufigsten Einfallstore in Fertigungsumgebungen
Das BSI veröffentlicht mit „Industrial Control System Security: Top 10 Bedrohungen und Gegenmaßnahmen“ eine eigene Übersicht für Industrieanlagen. Zu den dort genannten Bedrohungen gehören unter anderem:
- Social Engineering und Phishing: Angreifer verschaffen sich über manipulierte Mails oder Anrufe Zugangsdaten, oft in der Verwaltung.
- Schadsoftware über Wechseldatenträger und externe Hardware: Der USB-Stick des Servicetechnikers oder der Laptop des Dienstleisters bringt Schadcode direkt an die Maschine.
- Infektionen über Internet und Intranet: Schadsoftware breitet sich aus dem Büronetz in die Produktion aus.
- Eindringen über Fernwartungszugänge: Ungesicherte oder dauerhaft offene Zugänge für Hersteller sind ein bevorzugter Weg ins Werk.
- Mit dem Internet verbundene Steuerungen: Komponenten, die direkt aus dem Netz erreichbar sind, lassen sich mit einfachen Mitteln finden und angreifen.
Auffällig ist: Die meisten dieser Wege haben mit Menschen, Prozessen und Zugängen zu tun, nicht mit exotischer Technik. Das ist eine gute Nachricht, denn genau hier lässt sich mit überschaubarem Aufwand viel erreichen.
KI: Werkzeug für Angreifer und für Verteidiger
Künstliche Intelligenz hat die Spielregeln verändert. Angreifer schreiben mit KI fehlerfreie Phishing-Mails in jeder Sprache, imitieren Stimmen von Geschäftsführern am Telefon und durchsuchen Netzwerke automatisiert nach Schwachstellen. Das BSI zählte im Berichtszeitraum seines Lageberichts 2025 im Schnitt 119 neue Schwachstellen pro Tag. Ohne Automatisierung kann kein Mittelständler da Schritt halten.
Auf der Verteidigerseite hilft KI vor allem bei der Erkennung. Systeme zur Anomalieerkennung lernen, wie normaler Datenverkehr in der Produktion aussieht. Kommuniziert eine Steuerung plötzlich mit einem unbekannten Gerät oder werden ungewöhnliche Befehle gesendet, schlagen sie Alarm. Das BSI beschreibt in seiner Empfehlung zu Monitoring und Anomalieerkennung in Produktionsnetzwerken, worauf es dabei ankommt. Wichtig ist: KI ersetzt keine Grundlagen. Sie ist sinnvoll, wenn Netz, Zugänge und Notfallprozesse bereits stehen.
Sieben Maßnahmen für eine sichere Produktion
1. Bestandsaufnahme: Wissen, was im Netz hängt
Sie können nur schützen, was Sie kennen. Am Anfang steht deshalb eine vollständige Liste aller Anlagen, Steuerungen, Rechner und Verbindungen in der Produktion, einschließlich Softwarestand und Ansprechpartner beim Hersteller. In vielen Werken ist das die Maßnahme mit dem größten Aha-Effekt.
2. Büro und Produktion trennen
Büro-IT und Produktion gehören in getrennte Netzbereiche, die nur über kontrollierte Übergänge miteinander sprechen. Innerhalb der Produktion lohnt sich eine weitere Unterteilung nach Linien oder Hallen. Mit Mikrosegmentierung lässt sich das sehr fein steuern. Gelingt einem Angreifer der Einbruch, bleibt der Schaden auf einen kleinen Bereich begrenzt.
3. Fernwartung kontrollieren
Fernzugänge für Hersteller und Dienstleister sollten nur bei Bedarf geöffnet, mit Multi-Faktor-Authentifizierung geschützt und protokolliert werden. Ein dauerhaft offener Zugang mit Standardpasswort ist eines der größten Risiken überhaupt. Das BSI hat zu Fernwartung im industriellen Umfeld eine eigene Empfehlung veröffentlicht.
4. Zero Trust statt blindem Vertrauen
Das Prinzip Zero Trust bedeutet: Kein Gerät und kein Nutzer bekommt automatisch Zugriff, nur weil er sich im Firmennetz befindet. Jeder Zugriff wird geprüft, und jeder erhält nur die Rechte, die er für seine Aufgabe braucht. Für die Produktion heißt das zum Beispiel, dass ein Wartungslaptop nur die eine Maschine erreicht, die er warten soll.
5. Produktionsnetz überwachen
Wer nicht hinsieht, bemerkt Angriffe erst, wenn die Anlage steht. Ein Monitoring speziell für Produktionsnetze erkennt ungewöhnliche Verbindungen und Befehle frühzeitig. Auch hier gilt: Lieber klein und passend anfangen als ein großes System einkaufen, das niemand auswertet.
6. Mitarbeitende schulen, auch in der Werkshalle
Schulungen zur IT-Sicherheit richten sich oft nur an Büroangestellte. Dabei sind Schichtleiter, Instandhalter und Servicetechniker diejenigen, die USB-Sticks einstecken, Fernzugänge freigeben und Störungen zuerst bemerken. Ein Awareness-Training, das auf die Produktion zugeschnitten ist, wirkt hier deutlich besser als allgemeine Folien.
7. Notfallplan für den Produktionsausfall
Was passiert, wenn morgen die Steuerung verschlüsselt ist? Wer entscheidet über den Stopp der Linie, wer informiert Kunden, wo liegen funktionierende Backups der Steuerungsprogramme? Diese Fragen sollten beantwortet sein, bevor der Ernstfall eintritt. Eine strukturierte IT-Notfallplanung schließt die Produktion ausdrücklich mit ein und wird regelmäßig geübt.
NIS2 und IEC 62443: Was rechtlich und normativ dazukommt
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es erfasst neben klassischen kritischen Infrastrukturen auch große Teile des verarbeitenden Gewerbes, darunter den Maschinenbau, die Herstellung von Fahrzeugen, elektrischen Ausrüstungen und Datenverarbeitungsgeräten sowie die Chemie. Betroffen sind laut BSI rund 29.500 Unternehmen. Wer in diesen Branchen mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme hat, muss Risikomanagement nachweisen, sich beim BSI registrieren und Vorfälle melden. Ob Ihr Betrieb dazugehört, klärt die NIS-2-Betroffenheitsprüfung des BSI. Mehr dazu lesen Sie auf unserer Seite zur NIS2-Beratung.
Für die technische Umsetzung in der Industrie hat sich die Normenreihe IEC 62443 als Maßstab etabliert. Sie beschreibt Sicherheitsanforderungen für Betreiber, Integratoren und Hersteller von Automatisierungstechnik. Viele Maschinenhersteller orientieren sich bereits daran. Es lohnt sich, bei neuen Anlagen gezielt danach zu fragen.
Fazit: Sichere Produktion ist ein Wettbewerbsvorteil
Cyber Security in der Produktion ist keine reine IT-Aufgabe mehr. Sie entscheidet darüber, ob Liefertermine gehalten werden, ob Kunden Vertrauen haben und ob ein Betrieb einen Angriff übersteht. Die gute Nachricht: Die wirksamsten Maßnahmen sind keine Raketenwissenschaft. Eine saubere Bestandsaufnahme, getrennte Netze, kontrollierte Fernwartung und ein geübter Notfallplan schließen bereits die meisten Einfallstore.
Sie wollen wissen, wie gut Ihre Produktion geschützt ist? Die Spezialistinnen und Spezialisten der Deutschen Cyberkom analysieren Ihre Anlagen und Netze und entwickeln mit Ihnen einen Plan, der zum laufenden Betrieb passt. Mehr zu OT Security
