aiMOOC

IT-Sicherheit und OT-Sicherheit – Sicherheitsupdates risikogerecht organisieren

QR-Code

IT-Sicherheit und OT-Sicherheit – Sicherheitsupdates risikogerecht organisieren

Zielgruppe: Ausbildung in IT, Fachinformatik, Automatisierungstechnik und Mechatronik

Niveau: Ausbildung – Grundlagen bis Anwendung

Dauer: ca. 90 Minuten einschließlich praktischer Übungen

Schwerpunkte: Risikoanalyse, Test, Freigabe und Rücknahme von Sicherheitsupdates

Lernziel: Du kannst Sicherheitsupdates für IT- und OT-Systeme priorisieren, ihre Auswirkungen in einer isolierten Umgebung testen, eine Freigabe vorbereiten und eine sichere Rücknahme planen.

Einleitung

Ein Sicherheitsupdate kann Schwachstellen schließen. In der OT kann ein unzureichend getestetes Update jedoch auch Maschinenfunktionen, Prozessabläufe oder die Verfügbarkeit beeinträchtigen.

Merksatz: Ein Update ist erst dann bereit für den Einsatz, wenn das Risiko bewertet, die Verträglichkeit geprüft, die Rücknahme vorbereitet und die Freigabe erteilt wurde.

SCADA-Systeme verbinden Überwachung, Bedienung und Steuerung. Die Abbildung zeigt das Grundprinzip.

Video: Sicherheitsupdates – Bundesamt für Sicherheit in der Informationstechnik. Überlege, welche zusätzlichen Anforderungen bei OT-Systemen bestehen.

Dein Lernpfad

Lerneinheit	Dauer	Ergebnis
IT und OT unterscheiden	8 Minuten	Schutzziele erkennen
Risiken priorisieren	10 Minuten	Reihenfolge begründen
Updates testen	12 Minuten	Testprotokoll erstellen
Freigaben organisieren	8 Minuten	Freigabeentscheidung vorbereiten
Rücknahme üben	12 Minuten	Wiederherstellung prüfen
Ausbildungsfall und Transfer	40 Minuten	Eigenständige Entscheidung dokumentieren

Sicherheitsregel für den gesamten Kurs: Du verwendest ausschließlich fiktive Daten, lokale Python-Programme und ausdrücklich freigegebene Schulungsumgebungen. Keine fremden Netze, Produktivanlagen, Zugangsdaten oder Kundendaten werden untersucht, verändert oder übertragen. Es finden keine aktiven Netzwerkscans oder echten Updates statt.

Die eingebetteten Videos und externen Lernangebote sind freiwillige Zusatzmedien. Beim Aufruf können Verbindungen zu externen Anbietern entstehen. Übertrage keine betrieblichen Informationen dorthin.

Lerneinheit 1: IT-Sicherheit und OT-Sicherheit

IT verarbeitet Informationen. OT überwacht oder steuert physische Prozesse. Beide brauchen Informationssicherheit, aber die Auswirkungen eines Ausfalls können unterschiedlich sein.

IT-Sicherheit	OT-Sicherheit
Schutz von Daten und digitalen Diensten	Schutz von Steuerungsfunktionen und Anlagenprozessen
Updates häufig automatisierbar	Updates oft nur nach Abstimmung und Tests
Typische Folgen: Datenverlust, Dienstunterbrechung	Mögliche Folgen: Produktionsausfall, Prozessstörung, Sicherheitsgefahr
Rollback häufig über Softwareverwaltung möglich	Rücknahme kann Herstellerunterstützung und Anlagenstillstand erfordern

Die drei klassischen Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit. In der OT können zusätzlich Safety-Anforderungen, also der Schutz von Menschen, Umwelt und Anlagen, entscheidend sein.

Beispiel für speicherprogrammierbare Steuerungen.

Video: Operational Technology – Erklärung von SySS. Gezeigt werden industrielle Sicherheitsfragen. Führe keine demonstrierten Sicherheitstests an realen Systemen nach.

Basisaufgabe: Nenne zwei Unterschiede zwischen IT und OT beim Einspielen eines Updates.

Feedback: Richtig ist beispielsweise, dass ein OT-Update auf Prozessfunktionen und Ausfallfolgen geprüft werden muss. Das ist wichtig, weil die Verfügbarkeit einer Steuerungsfunktion unmittelbare physische Auswirkungen haben kann.

Lerneinheit 2: Sicherheitsupdates nach Risiko priorisieren

Ein hoher Schwachstellenwert allein ist keine vollständige Entscheidung. Berücksichtige außerdem Erreichbarkeit, tatsächliche Betroffenheit, mögliche Folgen, Herstellerfreigabe und das Risiko der Änderung.

Risikomatrix als Orientierung für die Bewertung.

Der Ausbildungsfall: Lernfabrik Nord

Du arbeitest in einer vollständig fiktiven, lokal simulierten Pumpenanlage. Es gibt keine Verbindung zu einer realen Maschine.

Drei Übungsupdates stehen an:

Komponente	Auswirkung	Exposition	Übungswert
HMI-Lernplatz	3	3	9
Datenlogger	2	2	4
SPS-Simulator	3	1	3

Übungsmodell: Prioritätswert = Auswirkung × Exposition.

Jeder Faktor liegt zwischen 1 und 3. Höhere Werte bedeuten in diesem vereinfachten Modell höheren Prüfbedarf. Diese Rechenregel ist keine normative Risikobewertung und ersetzt weder eine fachliche Gefährdungsbeurteilung noch CVSS, Herstellerinformationen oder eine standortspezifische Risikoanalyse.

Visualisierte Übungsdaten

HMI-Lernplatz   █████████  9
Datenlogger     ████       4
SPS-Simulator   ███        3

Die Balken zeigen nur den vereinfachten Prioritätswert. Sie sagen noch nicht aus, ob ein Update freigegeben werden darf.

Lokales Python-Labor 1: Risikowerte visualisieren

Voraussetzung: Python 3, ohne zusätzliche Pakete.

Speichere den folgenden Code als risiko.py auf Deinem eigenen Lernrechner und starte ihn mit python3 risiko.py beziehungsweise py risiko.py.

# Ausschliesslich fiktive Uebungsdaten
daten = [
    ("HMI-Lernplatz", 3, 3),
    ("Datenlogger", 2, 2),
    ("SPS-Simulator", 3, 1),
]

for name, wirkung, exposition in daten:
    punkte = wirkung * exposition
    balken = "█" * punkte
    print(f"{name:16} | {punkte:>2}/9 | {balken}")

Experiment: Setze die Exposition des SPS-Simulators auf 3. Beobachte, wie sich die Priorisierung verändert.

Hilfe 1: Suche den Datensatz des SPS-Simulators.

Hilfe 2: Die dritte Zahl ist die Exposition.

Hilfe 3: Der neue Übungswert beträgt 3 × 3 = 9.

Feedback: Die Priorität steigt, weil eine höhere Exposition die mögliche Ausnutzung begünstigt. Trotzdem darfst Du nicht automatisch installieren: Die Funktionsprüfung und Freigabe bleiben erforderlich.

Lerneinheit 3: Sicherheitsupdates getrennt testen

Updates sollen zuerst in einer geeigneten Testumgebung geprüft werden. Für OT gehören dazu insbesondere Kompatibilität, bestehende Funktionen und möglicherweise sicherheitsrelevante Prozessreaktionen.

Die Testpyramide veranschaulicht verschiedene Testebenen. Für OT sind zusätzlich anlagenspezifische Integrations- und Funktionstests notwendig.

Testplan für die simulierte Pumpenanlage

Prüfkriterium	Erwartetes Ergebnis
Update stammt aus vertrauenswürdiger Quelle	Herkunft nachweisbar
Hersteller- und Versionsverträglichkeit	Keine bekannte Unverträglichkeit
Alarmfunktion	Alarm bleibt aktiv
Anzeige	Messwerte bleiben sichtbar
Start und Neustart	Simulierter Prozess bleibt funktionsfähig
Rücknahme	Vorheriger Zustand lässt sich wiederherstellen

Stoppsignal: Scheitert ein kritischer Funktionstest, ist das Update nicht freigabereif.

Lokales Python-Labor 2: Isolierter Update-Test

Diese interaktive Mini-Testumgebung verwendet ausschließlich Python-Variablen. Sie öffnet keine Netzwerkverbindungen, liest keine fremden Dateien und verändert keine Anlage.

Speichere den Code als update_labor.py.

# Reine Simulation ohne echte Geraete
def pruefe(update):
    vorher = {
        "version": "1.0",
        "alarm": True,
        "anzeige": True
    }

    sicherung = vorher.copy()
    teststand = vorher.copy()
    teststand["version"] = "1.1"

    if update == "B":
        teststand["alarm"] = False

    tests = {
        "Alarm": teststand["alarm"] is True,
        "Anzeige": teststand["anzeige"] is True
    }

    print("Testbericht:", tests)

    if all(tests.values()):
        print("TEST BESTANDEN")
        print("Teamfreigabe bleibt erforderlich.")
    else:
        teststand = sicherung.copy()
        assert teststand == vorher
        print("TEST FEHLGESCHLAGEN")
        print("Ruecknahme:", teststand)

wahl = input("Fiktives Update A oder B? ")
wahl = wahl.strip().upper()

if wahl in ("A", "B"):
    pruefe(wahl)
else:
    print("Bitte A oder B waehlen.")

Starte das Programm mit python3 update_labor.py oder py update_labor.py.

Teste beide Varianten:

Update A: Beide simulierten Funktionen bleiben erhalten.
Update B: Die Alarmfunktion fällt im Testmodell aus.

Hilfe 1: Achte auf den Wert von alarm.

Hilfe 2: Vergleiche den Wert vor und nach der simulierten Aktualisierung.

Hilfe 3: Bei B wird der Alarm absichtlich auf False gesetzt.

Feedback: Update A besteht die modellierten Funktionstests, erhält damit aber noch keine reale Betriebsfreigabe. Update B muss zurückgenommen werden, weil die Alarmfunktion ausfällt. Der Vergleich der Python-Dictionaries ist nur ein Lernmodell und kein Nachweis für die Wiederherstellbarkeit einer industriellen Anlage.

Lerneinheit 4: Sicherheitsupdates freigeben

Eine Freigabe ist eine dokumentierte Entscheidung der zuständigen Personen. Ein bestandener Test allein reicht nicht aus.

Die Bausteine einer SPS verdeutlichen, weshalb Kompatibilität und Funktionsprüfung gemeinsam betrachtet werden müssen.

Freigabeprozess

Phase	Erforderlicher Nachweis	Entscheidung
Risikoanalyse	Betroffenheit und Folgen bewertet	Priorität festgelegt
Kompatibilität	Herstellerangaben geprüft	Prüfung fortsetzen oder stoppen
Test	Kritische Funktionen bestanden	Test akzeptieren oder stoppen
Rücknahme	Wiederherstellung vorbereitet und geprüft	Rücknahmebereitschaft bestätigen
Freigabe	Verantwortliche stimmen dokumentiert zu	Geplante Änderung erlauben oder ablehnen
Durchführung	Wartungsfenster und Zuständigkeiten festgelegt	Kontrollierte Umsetzung
Nachkontrolle	Sollfunktionen erneut geprüft	Änderung abschließen oder Rücknahme auslösen

In einem Ausbildungsbetrieb können IT-Sicherheit, OT-Verantwortliche, Instandhaltung und Hersteller beziehungsweise Integrator beteiligt sein. Die verbindliche Entscheidung trifft die im Betrieb zuständige Stelle.

Merke: Vier-Augen-Prüfung und klare Zuständigkeiten reduzieren das Risiko übersehener Fehler.

Fiktive Änderungsfreigabe

Feld	Eintrag
Änderungs-ID	TRAIN-CHG-017
System	HMI-Lernplatz
Update	Trainingspaket U1
Risiko	Übungswert 9
Herstellerverträglichkeit	Im Lehrfall bestätigt
Testprotokoll	Bestanden
Rücknahmeprobe	Im Lehrfall erfolgreich
Wartungsfenster	Geplante Schulungszeit
Entscheidung	Freigabe im fiktiven Verfahren möglich
Freigabeverantwortung	Fiktive OT-Leitung und IT-Sicherheit

Anwendungsaufgabe: Warum darf das Update des Datenloggers trotz bestandener Funktionstests nicht freigegeben werden, wenn die Rücknahme noch ungeprüft ist?

Feedback: Ein Funktionstest zeigt nur, dass die getesteten Funktionen nach der Änderung arbeiten. Ohne überprüfbaren Rückweg ist das Ausfallrisiko im Fehlerfall nicht ausreichend beherrscht.

Lerneinheit 5: Rücknahme sicher vorbereiten

Rollback bezeichnet die Rückkehr zu einem vorherigen Softwarezustand. Abhängig von System und Änderung können dafür zusätzlich Konfigurationen, Datenbestände oder vollständige Systemabbilder benötigt werden.

Die 3-2-1-Backupstrategie als allgemeines Sicherungsprinzip. OT-spezifische Sicherungen müssen zusätzlich zum jeweiligen System passen.

Rücknahme-Checkliste

Datensicherung: Vor dem Update geeignete Sicherungen erstellen.
Wiederherstellung: Die Rücksicherung in einer getrennten Umgebung erproben.
Konfigurationsmanagement: Versionsstände und Änderungen dokumentieren.
Notfallmanagement: Auslösekriterien für die Rücknahme festlegen.
Funktionsprüfung: Nach der Rücknahme kritische Funktionen erneut prüfen.

Wichtig: Eine vorhandene Backup-Datei ist noch kein Nachweis für eine erfolgreiche Wiederherstellung.

Lokales Python-Labor 3: Rücknahme einer Übungsdatei

Dieses Beispiel erzeugt selbst eine temporäre Textdatei und entfernt sie automatisch beim Beenden. Es berührt keine fremden Dateien oder Systeme.

Speichere den Code als restore_labor.py.

from pathlib import Path
from tempfile import TemporaryDirectory

with TemporaryDirectory(prefix="ot_training_") as ordner:
    datei = Path(ordner) / "uebung.txt"

    datei.write_text(
        "Alarm=EIN\n", encoding="utf-8"
    )

    sicherung = datei.read_text(
        encoding="utf-8"
    )

    datei.write_text(
        "Alarm=AUS\n", encoding="utf-8"
    )

    datei.write_text(
        sicherung, encoding="utf-8"
    )

    ergebnis = datei.read_text(
        encoding="utf-8"
    )

    assert ergebnis == sicherung
    print("Lokaler Ruecknahmetest erfolgreich")
    print(ergebnis)

Starte das Programm mit python3 restore_labor.py oder py restore_labor.py.

Experiment: Ändere die ursprüngliche Zeile zu Alarm=BEREIT. Prüfe, ob exakt dieser Ausgangszustand wiederhergestellt wird.

Feedback: Der Test ist erfolgreich, wenn der gesicherte Inhalt vollständig zurückkehrt. Bei echten OT-Systemen müssen zusätzlich Herstellerverfahren, Abhängigkeiten, Datenkonsistenz und Prozessfunktionen geprüft werden.

Lerneinheit 6: Was tun, wenn ein Update nicht installiert werden kann?

Ist ein Update inkompatibel oder noch nicht freigegeben, können zeitweise alternative Schutzmaßnahmen notwendig sein. Diese müssen das Risiko angemessen reduzieren, dokumentiert und regelmäßig überprüft werden.

Allgemeines Netzwerksegmentierungsprinzip. Die Grafik ist keine fertige OT-Netzwerkarchitektur.

Mögliche Maßnahmen sind eine strengere Netzwerksegmentierung, eingeschränkte Kommunikationswege, reduzierte Zugriffsrechte, verstärkte Überwachung oder andere herstellerseitig empfohlene Maßnahmen.

Video: Ask an OT Engineer – How would you manage patching? Claroty, englisch. Achte auf Priorisierung, Wartungsfenster und alternative Schutzmaßnahmen.

Transferfrage: Darf eine fehlerhafte Aktualisierung des SPS-Simulators nur deshalb eingespielt werden, weil sie eine schwerwiegende Sicherheitslücke beheben soll?

Feedback: Nein. Ein Update, das eine kritische Steuerungsfunktion beeinträchtigt, kann ein anderes erhebliches Risiko erzeugen. Im Lehrfall ist die Freigabe zu stoppen und eine geeignete Übergangslösung zu prüfen.

Ausbildungsprojekt: Entscheide im Änderungsboard

Situation: Du übernimmst in der fiktiven Lernfabrik Nord die Rolle der IT/OT-Sicherheitsfachkraft. Alle folgenden Angaben sind erfunden.

Update	Priorität	Funktionstest	Rücknahmeprobe	Herstellerverträglichkeit
HMI U1	9	Bestanden	Bestanden	Bestätigt
Logger U2	4	Bestanden	Noch offen	Bestätigt
SPS U3	3	Alarmtest fehlgeschlagen	Bestanden	Noch offen

Dein Auftrag: Formuliere für jedes Update eine begründete Entscheidung. Unterscheide zwischen sofortiger Freigabe, Freigabe nach Ergänzung fehlender Nachweise und vorläufigem Stopp.

Gestufte Hilfen

Hilfestufe	Leitfrage
Hilfe 1 – Orientierung	Welche Updates erfüllen alle genannten Prüfkriterien?
Hilfe 2 – Analyse	Welche Information oder welcher Test fehlt jeweils?
Hilfe 3 – Entscheidung	Ein fehlgeschlagener kritischer Test verhindert die Freigabe. Eine fehlende Rücknahmeprobe verhindert eine belastbare Freigabeentscheidung.

Musterentscheidungen mit begründetem Feedback

Update	Musterentscheidung	Begründung
HMI U1	Für das geplante Übungs-Wartungsfenster freigabefähig	Test, Herstellerverträglichkeit und Rücknahmeprobe sind dokumentiert; die formale Zustimmung bleibt notwendig.
Logger U2	Freigabe zurückstellen	Die Rücknahmeprobe fehlt. Eine erfolgreiche Wiederherstellung muss zuerst nachgewiesen werden.
SPS U3	Nicht freigeben	Ein kritischer Alarmtest schlägt fehl und die Herstellerverträglichkeit ist nicht bestätigt. Der Fehler muss geklärt werden.

Bewertung: Eine gute Entscheidung ist nachvollziehbar, dokumentiert und berücksichtigt sowohl die Cybergefahr als auch die Folgen einer Änderung.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Was unterscheidet OT-Updates besonders von vielen IT-Updates? (Die möglichen Auswirkungen auf physische Prozesse) (!Sie betreffen niemals Software) (!Sie benötigen grundsätzlich keine Tests) (!Sie haben keine Sicherheitsrisiken)

Warum werden Sicherheitsupdates in einer getrennten Testumgebung geprüft? (Um Fehlfunktionen vor einer Änderung der Betriebsumgebung zu erkennen) (!Um eine reale Anlage absichtlich zu überlasten) (!Um Herstellerangaben grundsätzlich zu ersetzen) (!Um die Dokumentation überflüssig zu machen)

Welchen Prioritätswert erhält ein System im Übungsmodell bei Auswirkung 3 und Exposition 2? (6) (!3) (!5) (!9)

Welches System besitzt im ursprünglichen Ausbildungsfall den höchsten Übungswert? (HMI-Lernplatz) (!Datenlogger) (!SPS-Simulator) (!Alle Komponenten sind gleich bewertet)

Was folgt aus einem fehlgeschlagenen kritischen Alarmtest? (Die Freigabe wird gestoppt) (!Das Update wird sofort freigegeben) (!Der Fehler wird ignoriert) (!Die Testpflicht entfällt)

Was zeigt eine erfolgreich getestete Rücknahme? (Der definierte Ausgangszustand kann wiederhergestellt werden) (!Alle zukünftigen Updates sind automatisch sicher) (!Sicherheitslücken sind vollständig beseitigt) (!Herstellerfreigaben sind nicht mehr notwendig)

Was gehört zu einer dokumentierten Änderungsfreigabe? (Prüfergebnisse Zuständigkeiten und Rücknahmeplan) (!Nur der Name des Updates) (!Nur das Installationsdatum) (!Ausschließlich die Dateigröße)

Was ist bei einem derzeit nicht installierbaren OT-Update sinnvoll? (Geeignete alternative Schutzmaßnahmen bewerten) (!Ohne Abstimmung produktiv testen) (!Alle Sicherheitswarnungen ignorieren) (!Schutzmaßnahmen dauerhaft abschalten)

Welche Aussage zu einem hohen Risikowert ist richtig? (Er erhöht den Handlungsbedarf ersetzt aber nicht die Freigabe) (!Er erlaubt jede beliebige Installation) (!Er macht Funktionstests unnötig) (!Er beweist die Kompatibilität eines Updates)

Wer entscheidet über eine reale OT-Änderung? (Die zuständigen und autorisierten betrieblichen Verantwortlichen) (!Immer die auszubildende Person allein) (!Jede beliebige Person im Netzwerk) (!Ausschließlich das Übungsprogramm)

Memory

Ordne Fachbegriffe und Bedeutungen einander zu.

Patch	Softwarekorrektur
Teststand	Getrennte Prüfumgebung
Rollback	Rückkehr zum Ausgangszustand
Freigabe	Dokumentierte Erlaubnis
Workaround	Vorläufige Schutzmaßnahme
Wartungsfenster	Geplante Änderungszeit
Regressionstest	Prüfung bestehender Funktionen

Drag and Drop

Ordne jeder Prozessphase ihre Funktion zu.

Ordne die richtigen Begriffe zu.	Funktion
Meldung sichten	Neue Schwachstelleninformation aufnehmen
Risiko bewerten	Betroffenheit und mögliche Folgen ermitteln
Teststand nutzen	Änderungen getrennt vom Betrieb prüfen
Rücknahme vorbereiten	Wiederherstellung vor der Freigabe absichern
Freigabe erteilen	Verantwortliche entscheiden dokumentiert

Kreuzworträtsel

Patch	Wie heißt eine kleine Softwarekorrektur?
Rollback	Wie heißt die Rückkehr zu einem früheren Softwarezustand?
Freigabe	Wie heißt die formale Erlaubnis für eine Änderung?
Teststand	Wo prüfst Du Änderungen getrennt vom Betrieb?
Sicherung	Was wird für eine mögliche Wiederherstellung benötigt?
Wartungsfenster	Wie heißt der geplante Zeitraum für eine betriebliche Änderung?

LearningApps

Suche ergänzende interaktive Lernaufgaben. Verwende dort keine echten Betriebsdaten.

Lückentext

Eine Softwarekorrektur wird häufig als

bezeichnet.

Systeme zur Überwachung und Steuerung physischer Prozesse gehören zur

.

Vor der Installation eines Sicherheitsupdates wird das

bewertet.

Ein hoher Prioritätswert ersetzt keine dokumentierte

.

Änderungen werden möglichst in einer getrennten

geprüft.

Bestehende Funktionen werden durch einen

überprüft.

Ein fehlgeschlagener kritischer Funktionstest verhindert die

.

Die Rückkehr zu einem vorherigen Zustand heißt

.

Vor einer Änderung muss eine geeignete

vorhanden sein.

Eine erfolgreiche Wiederherstellung wird durch einen

überprüft.

Geplante Installationen erfolgen nach Abstimmung in einem

.

Kann ein Update nicht eingespielt werden, sind gegebenenfalls alternative

erforderlich.

Offene Aufgaben

Bearbeite die folgenden Aufgaben mit den fiktiven Daten des Ausbildungsfalls. Alle praktischen Tests finden ausschließlich lokal statt.

Leicht – Basisaufgaben

IT-Sicherheit: Erstelle eine Tabelle mit drei typischen IT-Schutzzielen und je einem Beispiel.
Operational Technology: Zeichne eine vereinfachte simulierte Pumpenanlage mit Anzeige, Datenlogger und Steuerung.
Sicherheitsupdate: Erkläre den Unterschied zwischen einem Update und seiner Freigabe.
Datensicherung: Erstelle eine fünfteilige Checkliste für die sichere Rücknahme eines Updates.

Begründetes Feedback: Deine Ergebnisse sind vollständig, wenn Schutzziele, betroffene Funktionen und Verantwortlichkeiten klar erkennbar sind. Eine Freigabe ist eine organisatorische Entscheidung und nicht mit dem technischen Installationsvorgang gleichzusetzen.

Standard – Anwendungsaufgaben

Risikoanalyse: Ändere im lokalen Python-Programm zwei fiktive Werte und vergleiche die Prioritäten.
Softwaretest: Führe die simulierten Updates A und B aus und protokolliere die Testergebnisse.
Änderungsmanagement: Erstelle ein fiktives Freigabeformular für HMI U1.
Wiederherstellung: Verändere die Übungsdatei im Rücknahmelabor und überprüfe die erfolgreiche Wiederherstellung.

Begründetes Feedback: Ein gelungenes Ergebnis zeigt reproduzierbare Testwerte, begründete Entscheidungen und eine überprüfte Rücknahme. Das ist notwendig, weil eine bloße Aussage wie „funktioniert“ keinen belastbaren Testnachweis darstellt.

Schwer – Transferaufgaben

Patchmanagement: Entwickle einen priorisierten Updateplan für eine vollständig erfundene Produktionslinie mit fünf Komponenten.
Netzwerksegmentierung: Zeichne eine mögliche Übergangsarchitektur für eine fiktive nicht aktualisierbare Komponente und begründe die Zugriffsbeschränkungen.
Notfallmanagement: Entwirf einen Rücknahmeplan für den hypothetischen Ausfall der HMI-Anzeige nach einem Update.
Risikomanagement: Simuliere ein Änderungsboard mit unterschiedlichen Rollen, diskutiere Zielkonflikte und dokumentiere eine gemeinsame Entscheidung.

Begründetes Feedback: Gute Transferlösungen enthalten mehrere Handlungsoptionen und wägen Sicherheit, Verfügbarkeit, Kosten und Zuständigkeiten gegeneinander ab. Ein pauschales „immer sofort patchen“ oder „OT niemals patchen“ berücksichtigt diese Zielkonflikte nicht ausreichend.

Lernkontrolle

Bearbeite die Aufgaben schriftlich oder im Fachgespräch. Begründe Deine Entscheidungen und verwende ausschließlich den fiktiven Ausbildungsfall.

Risikoabwägung: Ein Update hat eine hohe Sicherheitspriorität, beeinträchtigt aber die Alarmfunktion. Entwickle eine sichere Vorgehensweise und begründe sie.
Änderungsmanagement: Vergleiche eine automatische IT-Updateverteilung mit einem abgestimmten OT-Wartungsfenster. Erläutere Vor- und Nachteile.
Softwarequalität: Erkläre, weshalb ein erfolgreiches Installationsprotokoll allein keine ausreichende Freigabegrundlage ist.
Datensicherungskonzept: Bewerte die Aussage, eine vorhandene Backup-Datei mache einen Rücknahmetest überflüssig.
Sicherheitsarchitektur: Entwickle Schutzmaßnahmen für eine fiktive Steuerung, deren Softwarehersteller keinen Patch mehr bereitstellt.
Verantwortung: Entwirf ein Verfahren zur Entscheidungsfindung, wenn IT-Sicherheit und OT-Betrieb unterschiedliche Empfehlungen aussprechen.

Bewertungskriterien: Nachvollziehbare Begründung, Berücksichtigung von Safety und Verfügbarkeit, geeignete Testnachweise, praktikabler Rücknahmeplan und klare Verantwortlichkeiten.

Lernnachweis

Für einen erfolgreichen Lernnachweis erstellst Du eine kompakte Dokumentation mit:

Einer Gegenüberstellung der wesentlichen IT- und OT-Sicherheitsanforderungen.
Einer Risikopriorisierung für drei fiktive Komponenten.
Einem Testprotokoll mit mindestens zwei funktionalen Prüfkriterien.
Einer dokumentierten Freigabeentscheidung mit Begründung.
Einem nachvollziehbaren und lokal getesteten Rücknahmebeispiel.
Einer alternativen Schutzmaßnahme für ein nicht freigabefähiges Update.
Einer kurzen Reflexion über Grenzen des vereinfachten Risikomodells.

Nachweisanforderung: Alle Ergebnisse müssen aus eigenen, fiktiven oder ausdrücklich genehmigten Lernumgebungen stammen. Zugangsdaten, Kundendaten und Informationen über echte Anlagen gehören nicht in den Lernnachweis.

OERs zum Thema

Wikipedia: Operational Technology

Weitere Grundlagen findest Du bei Operational Technology, Patch (Software), Speicherprogrammierbare Steuerung, Risikomanagement, Datensicherung und Informationssicherheit.

Geprüfte fachliche Quellen

BSI – ICS-Security-Kompendium: Offizielle Handlungsempfehlungen für industrielle Steuerungssysteme. Enthält Empfehlungen zur Bewertung, zum Testen und Freigeben von Sicherheitsupdates sowie zu alternativen Schutzmaßnahmen.
NIST SP 800-82 Revision 3: Guide to Operational Technology Security. Veröffentlichung September 2023. Behandelt OT-spezifisches Patchmanagement, Offline-Tests, Regressionstests und dokumentierte Änderungsverfahren.
NIST SP 1339: OT Backup Quick Start Guide. Veröffentlichung Juni 2026. Betont regelmäßige Sicherungen, Wiederherstellungstests und die Einbindung in das Änderungsmanagement.
CISA: ICS Recommended Practices. Enthält das Dokument „Recommended Practice for Patch Management of Control Systems“.
Wikipedia: Operational Technology sowie Patch – Software.

Quellenstand: Oktober 2026. Bei NIST ist SP 800-82 Revision 3 die veröffentlichte finale Fassung; Revision 4 befindet sich zu diesem Zeitpunkt im Entwurfsstadium. Die Quellen dienen als Fachgrundlage; das vereinfachte Punktesystem, die Fallentscheidungen und alle Übungsdaten sind eigens für diesen Lernkurs erstellte didaktische Beispiele.

Mediennachweise und Nutzungsrechte

Die folgenden Wikimedia-Commons-Dateien wurden anhand ihrer Dateibeschreibungsseiten und Lizenzangaben ausgewählt. Beachte bei einer Weiterverwendung insbesondere Namensnennung und gegebenenfalls Weitergabe unter gleichen Bedingungen.

Medium	Urheber	Lizenz laut Wikimedia Commons
SCADA Schematischer Überblick.png	HaPi	Gemeinfrei
Programmable logic controller.jpg	Bisgaard	CC BY-SA 3.0
Risikomatrix.svg	Josef Kolerus	CC BY-SA 4.0
Testing Pyramid.svg	Abbe98	CC BY-SA 4.0
PLC Block Diagram.jpg	ProVision	CC BY-SA 4.0
3-2-1 backup.svg	Olaf Pichler	CC BY-SA 4.0
DMZ network diagram 1 firewall.svg	Pbroks13	Gemeinfrei

Lizenztexte: CC BY-SA 4.0 und CC BY-SA 3.0.

YouTube-Medien:

Sicherheitsupdates – BSI, veröffentlicht 2019.
Operational Technology – SySS, vom Anbieter 2025 vorgestellt.
Ask an OT Engineer: How would you manage patching? – Claroty, veröffentlicht 2025.

Für die YouTube-Videos wird keine freie Creative-Commons-Lizenz behauptet. Sie sind als externe Videos eingebettet, nicht als eigene Dateien neu veröffentlicht. Verfügbarkeit und Einbettungsrechte können sich ändern. Hinweise zur Quellenprüfung und zu den jeweiligen Nutzungsbedingungen sind bei einer Weiterverwendung zu berücksichtigen.