Ausgangspunkt
Vom Geschäftsrisiko zum technischen Scope
In Industrieunternehmen treffen klassische IT, Produktionsnetze, Maschinen und externe Wartungszugänge aufeinander. Der Scope sollte diese Übergänge sichtbar machen, ohne produktionskritische Systeme unkontrolliert mit IT-Methoden zu testen.
Typische Systeme und Prüfflächen
- Internet-Perimeter, Office-IT und Active Directory
- Produktionsnetze, Leit- und Steuerungssysteme
- Engineering-Stationen und administrative Zugänge
- Fernwartung, VPN und Dienstleisterverbindungen
- Produktionsnahe Anwendungen und Datendrehscheiben
- WLAN, industrielle Funknetze und vernetzte Geräte
Priorisierung
Worauf Auftraggeber besonders achten sollten
IT-/OT-Übergänge
Firewallregeln, Sprungserver, Identitäten und Datenpfade zwischen Unternehmens- und Produktionsnetzen.
Fernzugänge
Zeitlich begrenzte Wartungsrechte, Mehrfaktor-Authentifizierung und nachvollziehbare Anbieterzugriffe.
Betriebssicherheit
Testmethoden, Zeitfenster und Abbruchregeln müssen zu Prozess, Anlage und Safety-Anforderungen passen.
Vorbereitung
Das gehört vor der Anfrage auf den Tisch
- 01Verantwortliche aus IT, OT, Produktion und Safety benennen
- 02Zonen-, Anlagen- und Datenflusspläne bereitstellen
- 03Passive und aktive Tests getrennt freigeben
- 04Wartungsfenster oder Testumgebung festlegen
- 05Backups und Wiederanlaufverfahren prüfen
- 06Hersteller und Betriebsdienstleister koordinieren
Wichtige Abgrenzung
Keine pauschale Compliance-Aussage
Ein Office-IT-Pentest deckt die Produktionsumgebung nicht automatisch ab. Aktive Prüfungen in OT/ICS benötigen eine eigene Risikoentscheidung und dürfen nur mit Anlagenverantwortlichen und belastbaren Sicherheitsgrenzen stattfinden.
Primärquellen zur Einordnung
Passende Prüfflächen