OT-Security in der Produktion: Herausforderung für KMU

Die Zahl der Cyberangriffe auf Schweizer Unternehmen nimmt stetig zu. Besonders betroffen sind Industriebetriebe, die nicht nur ihre klassische IT, sondern auch ihre Operational Technologies (OT) schützen müssen. Denn mit der zunehmenden Digitalisierung und Vernetzung von Produktionsanlagen im Zuge von Industrie 4.0 und Smart Factory entstehen neue Schwachstellen, die gezielt von Angreifern ausgenutzt werden.

Unter OT versteht man sämtliche Technologien, die direkt den Betrieb von Maschinen und Produktionsanlagen steuern. Im Unterschied zur IT, die in erster Linie Menschen und Daten verbindet, sorgt OT für den reibungslosen Ablauf von Fertigungsprozessen. Gerade weil moderne Produktionsanlagen heute hochgradig vernetzt sind und miteinander kommunizieren, gewinnt der Schutz dieser Systeme enorm an Bedeutung.

Produzierende KMU besonders gefährdet

Ein besonderes Risiko stellen sogenannte Legacy-Systeme dar, die in vielen Industriebetrieben noch im Einsatz sind. Diese Anlagen sind oft über Jahrzehnte hinweg im Betrieb und lassen sich nur schwer oder gar nicht mit aktuellen Sicherheitsupdates versorgen. Ein Austausch oder eine Stilllegung ist häufig nicht möglich, weil sie für die Produktion unverzichtbar sind. Diese veralteten Systeme bieten Cyberkriminellen eine potenziell einfache Angriffsfläche.

Die Bedrohungslage für kleine und mittlere Unternehmen (KMU) ist dabei besonders ernst. Im Unterschied zu Grosskonzernen verfügen KMU oft weder über spezialisierte IT-Sicherheitsabteilungen noch über ausreichende finanzielle Mittel, um umfassende Schutzmassnahmen zu etablieren. Laut der aktuellen «Cyberstudie 2024» wurden in den letzten drei Jahren vier Prozent der befragten Schweizer KMU Opfer einer schwerwiegenden Cyberattacke. Hochgerechnet auf die gesamte Schweizer Unternehmenslandschaft entspricht das rund 24 800 betroffenen Firmen – bei rund drei Vierteln von ihnen entstand ein erheblicher finanzieller Schaden.

Besonders stark regulierte Branchen wie die Pharma- und Lebensmittelindustrie sind häufig Ziel solcher Angriffe. Gerade weil hier strenge gesetzliche Vorgaben gelten, können Unternehmen ihre Systeme nicht einfach anpassen oder aktualisieren, selbst wenn Sicherheitslücken bekannt sind. Angreifer wissen das und nutzen diese Schwächen gezielt aus. In einem von uns begleiteten Fall konnte ein Cyberangriff auf den Office-Bereich rechtzeitig gestoppt werden, bevor die Produktion betroffen war. Dennoch war der finanzielle Schaden erheblich – ein Beispiel, das zeigt, wie schnell eine vermeintlich kleine Lücke grosse Folgen haben kann.

Neue Vorschriften erhöhen den Handlungsdruck

Hinzu kommen neue regulatorische Vorgaben, wie etwa die EU-Richtlinie NIS2 oder der vom Bund eingeführte IKT-Minimalstandard. Bei NIS2 handelt es sich um eine Richtlinie der EU, die auch für Schweizer Firmen gilt, wenn sie Handel mit der EU betreiben. Der IKT-Minimalstandard wiederum ist ein vom Bund definierter, minimaler Branchenstandard für die Cybersecurity-Massnahmen von Unternehmen.

Auch wenn die Einhaltung dieser Standards mit bürokratischem Aufwand verbunden ist, bewerten wir diese als sinnvoll. Zudem sind sie eine wichtige Unterstützung, um die Cybersicherheitsstrategie zu überprüfen und gezielt zu verbessern. Denn: Ein Cybervorfall verursacht in jedem Fall deutlich mehr Aufwand und Kosten als vorbeugende Massnahmen. Für viele KMU besteht allerdings Unsicherheit: Sie wissen oft nicht, wie gut oder schlecht ihre aktuelle Sicherheitslage wirklich ist – und welche konkreten Massnahmen nötig wären.