OT-, Embedded- & Produktsicherheit

Was macht ein OT-Security-Spezialist?

Er sichert die Technik, die etwas bewegt: Produktionsanlagen, Steuerungen, Leitsysteme, Fahrzeuge, Medizingeräte, Bahn- und Energietechnik. Der Gegenstand unterscheidet diesen Beruf von der übrigen IT-Sicherheit stärker als jede Fähigkeit. In der Anlage geht es um Netzsegmentierung zwischen Büro- und Produktionsnetz, um Zonen und Übergänge, um Fernzugriffe von Maschinenlieferanten, um Bestandsaufnahmen von Geräten, die niemand vollständig kennt, und um Patches, die man nicht einspielen darf.

In der Produktsicherheit verschiebt sich die Arbeit nach vorn in die Entwicklung: Bedrohungs- und Risikoanalysen für ein Gerät, sichere Aktualisierung über die Lebensdauer, Schlüsselverwaltung, Härtung der Firmware, Nachweise gegenüber Kunden und Behörden. Wer in der Zulieferkette arbeitet, verbringt einen erheblichen Teil der Zeit mit Anforderungen der Abnehmer und mit dem Beleg, dass man sie erfüllt.

Wie wird man OT-Security-Spezialist?

Die Herkunft ist hier häufig nicht die Informatik. Elektrotechniker, Automatisierungstechniker, Mechatroniker und Maschinenbauer wechseln in dieses Feld und lernen die Sicherheit dazu; das ist der leichtere Weg, weil die Anlage schwerer zu verstehen ist als die Sicherheitslehre. Umgekehrt funktioniert es auch, dauert aber länger. Üblich sind ein Studium der Elektrotechnik, der Automatisierungstechnik, der technischen Informatik oder der IT-Sicherheit; in der Instandhaltung und im Anlagenbetrieb kommen auch Techniker und Meister in solche Rollen.

Die fachlichen Nachweise sind eigene. Die Normenreihe IEC 62443 ist der Kern, und es gibt dazu Personenzertifikate für Betreiber- und Herstellerrollen. Im Fahrzeugbereich sind ISO/SAE 21434 und die UN-Regelungen Nr. 155 und 156 maßgeblich, in der Zulieferkette TISAX auf Grundlage des VDA-ISA-Katalogs. Ein allgemeines Sicherheitszertifikat wie CISSP hilft, ersetzt diese Kenntnis aber nicht.

Was der Beruf verlangt

Zuerst das Umlernen einer Reihenfolge. In der Büro-IT steht Vertraulichkeit vorn, in der Anlage Verfügbarkeit: Eine Steuerung lässt sich nicht für ein Update abschalten, ein Neustart kostet eine Charge, und Geräte laufen zwanzig Jahre mit Software, für die es längst keine Aktualisierung mehr gibt. Wer hier mit den Mitteln der Büro-IT ankommt, wird von den Betriebsleuten zu Recht gebremst.

Dazu kommt die Nähe zur funktionalen Sicherheit. Eine Maßnahme, die die Verfügbarkeit einer Schutzfunktion beeinträchtigt, ist keine Verbesserung. In vielen Häusern sitzen Cyber Security und Functional Safety deshalb im selben Team oder in derselben Stelle. Und es gibt Präsenz: Anlagen stehen dort, wo sie stehen, Aufnahmen und Umbauten finden vor Ort statt, oft in Stillstandszeiten am Wochenende. Reisetage und Werksbesuche gehören dazu, Homeoffice deckt nur den Schreibtischteil ab.

Aussichten

Der Bedarf wächst deutlich, und er wächst aus der Regulierung. Betreiber kritischer Anlagen müssen ihre Vorkehrungen gegenüber dem BSI nachweisen, NIS2 zieht den Kreis der verpflichteten Unternehmen weit über die bisherigen KRITIS-Sektoren hinaus, und im Fahrzeugbau ist ein Cyber-Security-Managementsystem seit Juli 2024 Voraussetzung für die Zulassung neuer Fahrzeuge. Gleichzeitig ist das Angebot an Leuten, die Anlage und Sicherheit zugleich verstehen, klein. Wechselwege führen in die Sicherheitsarchitektur, in die Beratung und in die Produktverantwortung.