aiMOOC

IT-Sicherheit und OT-Sicherheit – Sicherheitsvorfälle geordnet behandeln

QR-Code

IT-Sicherheit und OT-Sicherheit – Sicherheitsvorfälle geordnet behandeln

Lernkurs für die berufliche Ausbildung

Kurzbeschreibung: Eindämmung, Beweissicherung und Facheskalation bei IT- und OT-Sicherheitsvorfällen.

Zielgruppe: Fachinformatikerinnen und Fachinformatiker, Elektronikerinnen und Elektroniker für Automatisierungstechnik sowie weitere technische Ausbildungsberufe.

Lernzeit: Rund 90 Minuten mit zusätzlichen Projektaufgaben.

Voraussetzungen: Grundkenntnisse in Netzwerken, Betriebssystemen und der Bedienung eines Computers.

Lernziele: Du erkennst mögliche Sicherheitsvorfälle, unterscheidest IT- und OT-Risiken, sicherst fiktive Beweise, dokumentierst Entscheidungen und verständigst zuständige Fachpersonen.

Sicherheitsregel: Alle praktischen Übungen finden ausschließlich lokal mit erfundenen Daten statt. Es werden keine Produktivanlagen, fremden Netze, Steuerungen, Zugangsdaten oder Kundendaten verwendet. Technische Eingriffe in reale IT- oder OT-Systeme sind nicht Bestandteil dieses Kurses.

Einleitung

Ein ungewöhnlicher IT-Alarm ist nicht automatisch ein nachgewiesener Cyberangriff. Trotzdem muss er geordnet behandelt werden.

In der IT stehen häufig Informationen und digitale Geschäftsprozesse im Mittelpunkt. Die OT überwacht oder steuert dagegen auch physische Prozesse, beispielsweise Maschinen, Pumpen oder Förderanlagen.

Bei einem Sicherheitsvorfall sind drei Fähigkeiten entscheidend:

Eindämmung: Weitere Schäden verhindern, ohne neue Gefahren zu schaffen.
Beweissicherung: Informationen möglichst unverändert erhalten und nachvollziehbar dokumentieren.
Facheskalation: Rechtzeitig die zuständigen Fachpersonen einbeziehen.

Merksatz: Erst Menschen und Anlagen schützen, dann abgestimmt handeln, Beweise erhalten und Entscheidungen dokumentieren.

Abbildung: Speicherprogrammierbare Steuerungen sind typische Bestandteile industrieller Automatisierung.

Dein Lernpfad

Einheit	Thema	Zeit	Lernprodukt
Einstieg	IT und OT unterscheiden	8 Min.	Risikovergleich
Erkennen	Vorfälle bewerten	10 Min.	Ereignisprotokoll
Eindämmen	Sichere Erstmaßnahmen wählen	12 Min.	Maßnahmenentscheidung
Sichern	Digitale Beweise erhalten	12 Min.	Hashwert und Beweiskette
Eskalieren	IT- und OT-Fachstellen einbeziehen	10 Min.	Erstmeldung
Anwenden	Lokales IR-Labor	25 Min.	Simulation und Auswertung

Ausbildungsfall: Alarm in der Lernfabrik

Alle Personen, Geräte, Meldungen und Ereignisse sind frei erfunden.

Du absolvierst Deine Ausbildung in der fiktiven Lernfabrik Nord.

Eine Förderanlage wird von einer simulierten SPS überwacht. Am Büro-PC erscheint eine Dateiwarnung. Kurz danach zeigt eine simulierte Bedienoberfläche eine ungewöhnliche Sollwertmeldung.

Die Ursache ist noch unbekannt.

Dein Auftrag: Beurteile die Lage und bereite die sichere Zusammenarbeit von IT und OT vor. Du darfst selbst keine reale Anlage verändern.

Beispiel eines industriellen Schaltschrankaufbaus. Die Übung selbst verwendet keine solche Hardware.

Die fiktive Ereigniskette

08.10.2026 – LERNFABRIK NORD

09:00  IT       Anmeldung unauffällig
09:02  IT       Dateiwarnung
09:04  IT       Ungewöhnlicher Prozess
09:05  DMZ      Auffällige Verbindungsmeldung
09:06  HMI      Sollwertwarnung
09:07  HMI      Sensorabweichung
09:08  BETRIEB  Prozess stabil gemeldet
09:09  IT       Erstmeldung aufgenommen
09:10  DMZ      Eindämmung angefragt
09:11  DMZ      Fachfreigabe ausstehend

Die Reihenfolge zeigt eine zeitliche Nähe. Sie beweist aber noch keinen ursächlichen Zusammenhang.

Startfrage: Welche Informationen fehlen Dir, bevor Du eine technische Maßnahme empfehlen kannst?

Lerneinheit 1: IT-Sicherheit und OT-Sicherheit unterscheiden

Dauer: 8 Minuten

IT schützt Informationen – OT auch physische Prozesse

Betrachtung	IT	OT
Beispiel	Büro-PC	Maschinensteuerung
Wichtiges Schutzgut	Daten und Anwendungen	Menschen, Anlagen und Prozesse
Mögliche Schadensfolge	Datenverlust	Produktionsstörung oder physischer Schaden
Reaktion	Isolieren kann sinnvoll sein	Isolieren muss auf Prozessfolgen geprüft werden

Video: Operational Technology verstehen

SySS: Operational Technology und Sicherheit industrieller Umgebungen. Beachte: Der Film behandelt auch Sicherheitstests; solche Tests werden in diesem Kurs nicht an realen Anlagen durchgeführt.

Mini-Auftrag: Erkläre Deinem Lernpartner, warum das Ausschalten eines Büro-PCs andere Folgen haben kann als das Ausschalten einer laufenden Maschinensteuerung.

Begründetes Feedback: Eine gute Erklärung berücksichtigt nicht nur digitale Daten, sondern auch Prozesszustand, Arbeitssicherheit und mögliche Folgeschäden.

Lerneinheit 2: Sicherheitsereignisse erkennen und bewerten

Dauer: 10 Minuten

Ein Sicherheitsereignis ist eine beobachtete Auffälligkeit. Erst ihre Bewertung klärt, ob daraus ein bestätigter Sicherheitsvorfall wird.

Wichtige Fragen sind:

Was? Welche Meldung ist tatsächlich dokumentiert?
Wo? Welches IT- oder OT-System ist möglicherweise betroffen?
Wann? Welche Zeitangabe und Zeitzone gelten?
Wie kritisch? Besteht Gefahr für Personen, Anlagen, Daten oder Betrieb?
Was ist ungeklärt? Welche Hypothesen dürfen noch nicht als Tatsachen gelten?

Merke: Eine Korrelation ist noch kein Beweis für einen Angriff.

Sicherheitsvorfälle im Überblick

Historische Darstellung nach NIST SP 800-61 Revision 2. Diese Ausgabe wurde durch Revision 3 von 2025 ersetzt. Die Abbildung dient zum Vergleich älterer Prozessmodelle; die aktuellen Empfehlungen findest Du in den Fachquellen.

Video: Security Operations Center

IBM Technology erläutert die Erkennung, Bewertung und Bearbeitung von Sicherheitsmeldungen.

Kurzaufgabe: Was weißt Du wirklich?

Beobachtung	Bewertung
IT-Dateiwarnung um 09:02	Dokumentiertes Ereignis
HMI-Sollwertwarnung um 09:06	Dokumentiertes Ereignis
Beide Meldungen haben dieselbe Ursache	Unbewiesene Hypothese
Anlage ist definitiv angegriffen	Nicht belegt

Deine Anwendung: Ergänze eine weitere mögliche Erklärung für die Meldungen, ohne einen Angriff zu behaupten.

Feedback: Auch eine Fehlkonfiguration, ein technischer Defekt oder ein Bedienfehler kann eine Auffälligkeit verursachen. Die Untersuchung muss diese Möglichkeiten offenhalten.

Lerneinheit 3: Sicherheitsvorfälle eindämmen

Dauer: 12 Minuten

Eindämmung soll Auswirkungen begrenzen.

In der IT kann beispielsweise die autorisierte Isolation eines betroffenen Arbeitsplatzrechners geeignet sein.

Bei OT-Systemen muss zuerst geprüft werden, welche Auswirkungen eine Maßnahme auf den laufenden Prozess hätte.

Wichtig: Ein Not-Halt ist eine Einrichtung für entsprechende Gefahrensituationen. Er darf nicht mit einer allgemeinen IT-Sicherheitsmaßnahme verwechselt werden. Es gelten die Sicherheitsanweisungen der jeweiligen Anlage.

Entscheidungspfad

      AUFFÄLLIGKEIT ERKANNT
                |
                v
     Gefahr für Menschen?
          /          \
         JA          UNKLAR / NEIN
         |                |
         v                v
  Betriebliche        Lage erfassen
  Notfallregeln       und melden
  beachten                |
         |                v
         |         IT- und OT-Fachteam
         |                |
         +--------+-------+
                  |
                  v
        Risiken bewerten
                  |
                  v
      Eindämmung abstimmen
                  |
                  v
        Beweise erhalten
                  |
                  v
       Wirkung kontrollieren

Achtung: Bei unmittelbarer Gefahr gelten die vorgeschriebenen betrieblichen Notfallmaßnahmen ohne Verzögerung. Für andere technische Eingriffe sind Zuständigkeiten und Freigaben zu beachten. Dokumentation und sichere Beweissicherung erfolgen soweit möglich parallel.

Anwendung: Welche Maßnahme ist geeignet?

Situation: Die simulierte HMI meldet eine Sollwertabweichung. Der reale Anlagenzustand ist unbekannt.

Vorschlag	Bewertung
Steuerung ungeprüft neu starten	Nicht zulässig als spontane Ausbildungsmaßnahme
IT- und OT-Verantwortliche informieren	Geeignete Erstreaktion
Meldung löschen	Gefährdet die Nachvollziehbarkeit
Prozesszustand durch Fachpersonal überprüfen lassen	Geeignete Sicherheitsabklärung

Feedback: Wer eine Anlage ohne Zuständigkeit oder Prozesskenntnis verändert, kann den Schaden vergrößern. Eine sichere Eindämmung braucht eine dokumentierte Risikoabwägung.

Lerneinheit 4: Digitale Beweise sichern

Dauer: 12 Minuten

Zur IT-Forensik gehört die methodische Sicherung und Auswertung digitaler Spuren.

Relevant sind beispielsweise Protokolle, Konfigurationsstände, Alarmmeldungen oder Zeitangaben.

Im echten Vorfall erfolgen solche Maßnahmen nur nach festgelegten Befugnissen, Sicherheitsvorgaben und datenschutzrechtlicher Prüfung.

Die Beweiskette

  DATENQUELLE
       |
       v
  Quelle und Zeit dokumentieren
       |
       v
  Beweisdaten fachgerecht sichern
       |
       v
  Integrität mit Hashwert prüfen
       |
       v
  Original geschützt aufbewahren
       |
       v
  Untersuchung an Arbeitskopie
       |
       v
  Zugriffe und Übergaben protokollieren

Ein kryptografischer Hashwert hilft, Veränderungen einer Datei festzustellen.

Ein Hashwert allein beweist weder die ursprüngliche Herkunft noch die Echtheit der vor dem Hashen erhobenen Daten.

Die Grafik veranschaulicht das Hash-Prinzip anhand von SHA-1. Das folgende Lernprogramm verwendet den heute geeigneteren Algorithmus SHA-256.

Muster für eine Beweissicherung

Feld	Fiktives Beispiel
Vorfall-ID	TRAIN-OT-01
Quelle	ereignisse.csv
Erfassung	Ausbildungs-Lernlabor
Zeit	Mit Datum und Zeitzone
Prüfsumme	SHA-256
Verantwortlichkeit	Autorisierte Übungsrolle
Übergaben	Dokumentieren, falls vorhanden

Wichtig: Ein gewöhnlicher Dateikopiervorgang ersetzt keine professionelle forensische Datenerhebung. Im Lernlabor übst Du nur das Grundprinzip mit eigens erzeugten Dateien.

Lerneinheit 5: Facheskalation und Zusammenarbeit

Dauer: 10 Minuten

Ein Vorfall lässt sich nur dann sicher behandeln, wenn die richtigen Personen informiert sind.

Das CERT beziehungsweise CSIRT koordiniert je nach Organisation die technische Behandlung von IT-Sicherheitsvorfällen.

Bei OT kommen Fachleute hinzu, die Prozesse, Steuerungen und die Sicherheit der Anlagen beurteilen können.

Wer übernimmt welche Aufgabe?

Stelle	Zuständigkeit im Ausbildungsfall
Auszubildende	Beobachten, dokumentieren und melden
IT-Notfallteam	IT-Indikatoren bewerten und IT-Maßnahmen abstimmen
OT-Schichtleitung	Betriebssicherheit und Prozesseinschätzung koordinieren
Automatisierungstechnik	Technische Auswirkungen auf Steuerungssysteme prüfen
Arbeitssicherheit	Gefahren für Personen beurteilen
IT-Forensik	Fachgerechte Beweissicherung und Analyse
Datenschutz und Rechtsstelle	Bei entsprechender Betroffenheit rechtliche Anforderungen prüfen

Video: Incident Response

IBM Technology zeigt Rollen und Abläufe der Sicherheitsvorfallbearbeitung.

Eine gute Erstmeldung

Beispiel:

Vorfall TRAIN-OT-01, Lernfabrik Nord. Um 09:02 wurde am fiktiven Büro-PC eine Dateiwarnung protokolliert. Um 09:06 meldete die simulierte HMI eine Sollwertwarnung. Die Ursache ist ungeklärt. Es wurden keine technischen Eingriffe durchgeführt. Bitte IT-Notfallteam und OT-Schichtleitung zur gemeinsamen Bewertung einbeziehen.

Mini-Auftrag: Formuliere die Meldung in eigenen Worten mit maximal 70 Wörtern.

Feedback: Die Erstmeldung ist gut, wenn sie Fakten und Vermutungen unterscheidet, den Status nennt und einen eindeutigen nächsten Ansprechpartner enthält.

Lerneinheit 6: Lokales interaktives IR-Labor

Dauer: 25 Minuten

Du arbeitest ausschließlich mit künstlich erzeugten Daten auf Deinem eigenen Rechner.

Technik: Python 3 mit Standardbibliothek. Keine zusätzlichen Pakete, keine Internetverbindung, kein Netzwerkzugriff und keine echte Steuerung erforderlich.

Lege einen leeren lokalen Übungsordner an. Speichere die folgenden Beispiele darin. Führe nur diese selbst gespeicherten Programme aus.

Labor A: Ereignisse visualisieren und Beweiskopien prüfen

Speichere den folgenden Code als sim_ir.py.

from pathlib import Path
from collections import Counter
from datetime import datetime
import csv
import hashlib
import shutil

ordner = Path("ir_lernlabor")
ordner.mkdir(exist_ok=True)

original = ordner / "ereignisse.csv"
kopie = ordner / "beweiskopie.csv"
manifest = ordner / "beweiskette.txt"
testkopie = ordner / "veraenderter_test.csv"

dateien = (original, kopie, manifest, testkopie)

if any(p.exists() for p in dateien):
    raise SystemExit(
        "Trainingsdateien existieren bereits. "
        "Nutze einen neuen leeren Uebungsordner."
    )

daten = [
    ("09:00", "IT", "ANMELDUNG_OK"),
    ("09:02", "IT", "DATEIWARNUNG"),
    ("09:04", "IT", "PROZESS_UNGEWOEHNLICH"),
    ("09:05", "DMZ", "VERBINDUNG_UNGEWOEHNLICH"),
    ("09:06", "HMI", "SOLLWERTWARNUNG"),
    ("09:07", "HMI", "SENSOR_ABWEICHUNG"),
    ("09:08", "BETRIEB", "PROZESS_STABIL"),
    ("09:09", "IT", "MELDUNG_AUFGENOMMEN"),
    ("09:10", "DMZ", "EINDAEMMUNG_ANGEFRAGT"),
    ("09:11", "DMZ", "FREIGABE_AUSSTEHEND"),
]

with original.open(
    "x", encoding="utf-8", newline=""
) as datei:
    writer = csv.writer(datei)
    writer.writerow(["zeit", "bereich", "ereignis"])
    writer.writerows(daten)

shutil.copyfile(original, kopie)

def sha256(pfad):
    return hashlib.sha256(pfad.read_bytes()).hexdigest()

with manifest.open("x", encoding="utf-8") as datei:
    datei.write(
        "Fall: TRAIN-OT-01; "
        "Quelle: ausschliesslich fiktive CSV\n"
    )
    datei.write(
        "Aufnahme: " +
        datetime.now().astimezone().isoformat() +
        "\n"
    )
    datei.write(
        "Verantwortlich: Uebungsrolle; "
        "Uebergaben: keine\n"
    )
    datei.write(
        "SHA256 Original: " +
        sha256(original) + "\n"
    )
    datei.write(
        "SHA256 Kopie: " +
        sha256(kopie) + "\n"
    )

with testkopie.open("x", encoding="utf-8") as datei:
    datei.write(kopie.read_text(encoding="utf-8"))
    datei.write(
        "09:12,IT,NUR_TESTAENDERUNG\n"
    )

with original.open(
    encoding="utf-8", newline=""
) as datei:
    zahlen = Counter(
        e["bereich"] for e in csv.DictReader(datei)
    )

print("Fiktive Ereignisse nach Bereich:")

for bereich in ("IT", "DMZ", "HMI", "BETRIEB"):
    print(
        f"{bereich:8} "
        f"{'#' * zahlen[bereich]} "
        f"{zahlen[bereich]}"
    )

print(
    "Beweiskopie unveraendert:",
    sha256(original) == sha256(kopie)
)
print(
    "Testaenderung erkannt:",
    sha256(original) != sha256(testkopie)
)
print("Alle Dateien bleiben lokal in:", ordner.resolve())

Start im Terminal:

python3 sim_ir.py

Unter Windows kann je nach Installation auch py sim_ir.py verwendet werden.

Erwartete Auswertung:

Fiktive Ereignisse nach Bereich:

IT       #### 4
DMZ      ### 3
HMI      ## 2
BETRIEB  # 1

Beweiskopie unveraendert: True
Testaenderung erkannt: True

Wichtig: Die veränderte Testdatei ist eine zusätzliche Datei. Die Beweiskopie wird nicht absichtlich verändert. Das Skript überschreibt keine bereits vorhandenen Trainingsdateien.

Datenvisualisierung: Ereignisse im Vergleich

Bereich	Anzahl	Visualisierung
IT	4	████
DMZ	3	███
HMI	2	██
Betrieb	1	█

Interpretation: Die Balken zeigen die Anzahl fiktiver Protokolleinträge, nicht den Schweregrad. Ein einzelnes OT-Ereignis kann wichtiger sein als mehrere harmlose IT-Einträge.

Basisaufgabe: Welcher Bereich hat die meisten Einträge?

Anwendungsaufgabe: Warum ist die HMI-Sollwertwarnung trotzdem besonders wichtig?

Transferaufgabe: Welche zusätzlichen Informationen bräuchtest Du, um eine fundierte Priorisierung vorzunehmen?

Feedback: Häufigkeit allein reicht nicht. Entscheidend sind unter anderem mögliche Folgen, Prozesszustand, Betroffenheit und Vertrauenswürdigkeit der Informationen.

Labor B: Interaktiver Entscheidungstrainer

Speichere den folgenden Code als entscheidungstrainer.py.

runden = [
    (
        "Die HMI meldet eine Abweichung. "
        "Der Anlagenzustand ist unklar.",
        {
            "a": (
                "Steuerung sofort neu starten",
                False,
                "Ein Neustart kann einen "
                "physischen Prozess gefaehrden."
            ),
            "b": (
                "OT-Leitung informieren und "
                "Prozesssicherheit klaeren",
                True,
                "Richtig. Sicherheit und "
                "Fachfreigabe kommen zuerst."
            ),
            "c": (
                "Alarm loeschen",
                False,
                "Das beseitigt weder eine "
                "Ursache noch die Gefaehrdung."
            ),
        },
        [
            "Denke zuerst an Personen und Anlagen.",
            "Wer kennt den sicheren Prozesszustand?"
        ]
    ),
    (
        "Eine fiktive Protokolldatei "
        "soll untersucht werden.",
        {
            "a": (
                "Kopie bilden, Hashwert pruefen "
                "und Herkunft dokumentieren",
                True,
                "Richtig. Das ermoeglicht "
                "eine nachvollziehbare Pruefung."
            ),
            "b": (
                "Original bearbeiten",
                False,
                "Das veraendert moeglicherweise "
                "die Beweisgrundlage."
            ),
            "c": (
                "Protokoll loeschen",
                False,
                "Dadurch gehen Informationen "
                "unwiederbringlich verloren."
            ),
        },
        [
            "Was muss unveraendert bleiben?",
            "Denke an Kopie, SHA-256 und Beweiskette."
        ]
    ),
    (
        "IT-Alarm und OT-Warnung "
        "treten zeitlich nahe auf.",
        {
            "a": (
                "Angriff als bewiesen melden",
                False,
                "Zeitliche Naehe beweist "
                "noch keine gemeinsame Ursache."
            ),
            "b": (
                "Allein die Steuerung anhalten",
                False,
                "Ohne Sicherheitsbewertung "
                "kann das gefaehrlich sein."
            ),
            "c": (
                "Fakten melden und IT- und "
                "OT-Fachstellen einbeziehen",
                True,
                "Richtig. Die Teams pruefen "
                "Risiken und Belege gemeinsam."
            ),
        },
        [
            "Trenne Beobachtung und Vermutung.",
            "Ueberlege, welche Fachrollen zustaendig sind."
        ]
    )
]

for nummer, (lage, antworten, hilfen) in enumerate(
    runden, start=1
):
    print("\nENTSCHEIDUNG", nummer)
    print(lage)

    for kennung, (aktion, _, _) in antworten.items():
        print(kennung + ":", aktion)

    while True:
        wahl = input(
            "Wahl a/b/c oder Hilfe h1/h2: "
        ).strip().lower()

        if wahl == "h1":
            print("Hilfe 1:", hilfen[0])
        elif wahl == "h2":
            print("Hilfe 2:", hilfen[1])
        elif wahl in antworten:
            _, richtig, begruendung = antworten[wahl]
            print("Feedback:", begruendung)
            if richtig:
                break
            print("Versuche es erneut.")
        else:
            print("Bitte a, b, c, h1 oder h2 eingeben.")

print("\nTraining abgeschlossen.")
print("Es wurden keine realen Systeme angesprochen.")

Start:

python3 entscheidungstrainer.py

Du erhältst drei Entscheidungssituationen mit sofortigem begründetem Feedback. Über h1 und h2 kannst Du gestufte Hilfen abrufen.

Sicherheitsprüfung: Das Programm verwendet ausschließlich lokale Konsoleneingaben. Es enthält keine Verbindungen zu Netzen oder industriellen Anlagen.

Gestufte Hilfen zum Ausbildungsfall

Hilfe 1 – Orientierung

Welche Risiken betreffen Informationen? Welche Risiken betreffen Menschen und physische Prozesse? Notiere beides getrennt.

Hilfe 2 – Nächste Schritte

Unterscheide zuerst Fakten und Vermutungen. Halte den Zeitpunkt fest, informiere Zuständige und sichere nur zugelassene Daten auf sichere Weise.

Hilfe 3 – Lösungsmuster

Gute Reihenfolge: mögliche Gefahr prüfen, betriebliche Notfallregeln beachten, IT- und OT-Fachstellen informieren, Risiken abstimmen, Belege erhalten und Maßnahmen dokumentieren. Eine eigenmächtige Steuerungsänderung ist keine geeignete Ausbildungsmaßnahme.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Was unterscheidet die Sicherheit von OT-Systemen besonders von vielen klassischen IT-Systemen? (Der Schutz physischer Prozesse und von Menschen) (!Die vollständige Abwesenheit von Software) (!Der Verzicht auf jede Dokumentation) (!Die ausschließliche Sicherung von Webseiten)

Was bedeutet die Eindämmung eines Sicherheitsvorfalls? (Weitere Auswirkungen und Schäden begrenzen) (!Sämtliche Protokolle löschen) (!Die Ursache ohne Prüfung festlegen) (!Alle Systeme sofort neu installieren)

Was solltest Du bei einer ungeklärten OT-Warnung zuerst beachten? (Die Sicherheit von Menschen und Anlagen) (!Die schnellstmögliche Löschung aller Alarme) (!Die Veröffentlichung der Betriebsprotokolle) (!Den sofortigen Neustart jeder Steuerung)

Was kann ein SHA-256-Hashwert unterstützen? (Die Prüfung der Dateiintegrität) (!Den Nachweis der Identität eines Angreifers) (!Die automatische Reparatur einer Maschine) (!Die Bestimmung des rechtlichen Eigentümers)

Was gehört zu einer nachvollziehbaren Beweiskette? (Quelle Zeitpunkt Verantwortlichkeit und Übergaben) (!Nur die Dateigröße) (!Nur die Farbe des verwendeten Speichermediums) (!Nur die Anzahl geöffneter Programme)

Wer sollte bei einem Vorfall mit möglichem Anlagenbezug einbezogen werden? (IT-Notfallteam und zuständige OT-Fachpersonen) (!Ausschließlich die Werbeabteilung) (!Nur eine zufällig anwesende Person) (!Ausschließlich ein externer Besucher)

Was beweisen zeitlich nahe IT- und OT-Alarme allein? (Noch keinen gemeinsamen Angriff) (!Eine eindeutig identifizierte Schadsoftware) (!Eine bestätigte Manipulation der Steuerung) (!Die sichere Herkunft aller Meldungen)

Welche Vorgehensweise ist bei der Sicherung fiktiver Protokolle sinnvoll? (Eine Beweiskopie mit dokumentiertem Hashwert anlegen) (!Die Originaldatei ungeprüft überschreiben) (!Alle Protokolle ohne Dokumentation entfernen) (!Das Dateidatum absichtlich verändern)

Wer darf eine risikobehaftete technische Maßnahme an einer realen Anlage freigeben? (Die nach betrieblichen Regeln zuständige autorisierte Stelle) (!Jede beliebige Person im Netzwerk) (!Immer automatisch der jüngste Auszubildende) (!Ein öffentliches Diskussionsforum)

Welche Umgebung ist für die praktischen Übungen dieses Kurses vorgesehen? (Eine lokale Simulation mit ausschließlich fiktiven Daten) (!Ein fremdes Unternehmensnetz ohne Erlaubnis) (!Eine laufende Kundenanlage) (!Ein öffentlich erreichbares Steuerungssystem)

Memory

Ordne jeweils den passenden Begriff und die richtige Bedeutung zu.

Eindämmung	Ausbreitung begrenzen
Beweiskette	Übergaben dokumentieren
Facheskalation	Zuständige Fachstelle einbeziehen
OT-Sicherheit	Physische Prozesse schützen
Hashwert	Dateiintegrität prüfen
Erstmeldung	Beobachtung und Zeitpunkt weitergeben

Drag and Drop

Ordne die richtigen Zuständigkeiten zu.

Ordne die richtigen Begriffe zu.	Fachliche Aufgabe
IT-Notfallteam	Auffällige Prozesse am Büro-PC untersuchen
OT-Schichtleitung	Sicheren Betriebszustand beurteilen
IT-Forensik	Digitale Beweise fachgerecht sichern
Arbeitssicherheit	Gefahren für Beschäftigte bewerten
Datenschutz	Personenbezug und mögliche Datenschutzpflichten prüfen

Kreuzworträtsel

Forensik	Wie heißt die methodische Untersuchung digitaler Spuren?
Freigabe	Wie heißt die autorisierte Zustimmung zu einer geplanten Maßnahme?
Beweiskette	Wie heißt die nachvollziehbare Dokumentation der Beweisübergaben?
Protokoll	Wie nennt man eine strukturierte Aufzeichnung von Ereignissen?
Meldung	Wie heißt eine Mitteilung an die zuständige Fachstelle?
Alarm	Wie nennt man ein Warnsignal bei einer erkannten Auffälligkeit?

LearningApps

Suche nach ergänzenden Aufgaben zum Thema. Die Suchergebnisse sind externe Angebote und keine geprüften Bestandteile der lokalen Simulation.

Lückentext

Ein auffälliger Protokolleintrag ist zunächst ein

und kein automatischer Beweis für einen Angriff.

Bei OT-Systemen muss besonders auf die

geachtet werden.

Das Begrenzen weiterer Auswirkungen heißt

.

Vor einem riskanten technischen Eingriff muss die zuständige Stelle eine

erteilen.

Für die digitale Beweissicherung ist die

der Daten wichtig.

Zur technischen Prüfung der Dateiintegrität eignet sich der Algorithmus

.

Eine vollständige Dokumentation von Beweisübergaben nennt man

.

Die zuständige Sicherheitsfachstelle kann durch eine

informiert werden.

Die fachliche Weitergabe eines Vorfalls wird als

bezeichnet.

Die industrielle Anlagensteuerung gehört zur

.

Eine speicherprogrammierbare Steuerung wird abgekürzt als

.

Die zeitliche Nähe zweier Alarme beweist noch keine gemeinsame

.

Die praktischen Übungen verwenden ausschließlich

Daten.

Offene Aufgaben

Bearbeite die Aufgaben in der Reihenfolge Basis, Anwendung und Transfer. Verwende nur eigene, selbst erzeugte Lernmaterialien und lokale Simulationen.

Leicht – Basisaufgaben

B1 – Ereignisse erkennen: Trenne die Beobachtungen aus dem Ausbildungsfall in Fakten, Vermutungen und offene Fragen.
B2 – Schutzziele verstehen: Zeichne eine Gegenüberstellung der Schutzziele von IT und OT.
B3 – Erstmeldung schreiben: Verfasse eine sachliche Sicherheitsmeldung mit maximal 70 Wörtern.
B4 – Sicherheitsgrenzen markieren: Zeichne ein kleines Lernfabrik-Schema und markiere die Bereiche, an denen Du keine eigenmächtigen Eingriffe vornehmen darfst.

Begründetes Feedback zur Basis:

B1 ist gelungen, wenn Du eine Warnung nicht automatisch als Angriff einstufst. B2 ist überzeugend, wenn Du physische Sicherheit und Betriebsfähigkeit einbeziehst. B3 benötigt belegbare Angaben und eine klare Zuständigkeit. B4 zeigt Verständnis, wenn technische und organisatorische Eingriffsgrenzen erkennbar sind.

Standard – Anwendungsaufgaben

A1 – Ereignisse visualisieren: Erstelle aus der fiktiven CSV-Datei eine Zeitachse und erkläre, was sie nicht beweisen kann.
A2 – Integrität prüfen: Führe das lokale Python-Programm aus, vergleiche die Hashwerte und erkläre das Ergebnis.
A3 – Entscheidungsgespräch: Spiele mit einer zweiten Person ein Gespräch zwischen IT-Notfallteam und OT-Schichtleitung durch.
A4 – Eskalationsplan: Entwickle eine Übersicht darüber, welche Fachstelle bei welchem Hinweis informiert werden muss.

Begründetes Feedback zur Anwendung:

A1 ist korrekt, wenn die Zeitachse keine unbelegten Ursachen behauptet. A2 ist richtig erklärt, wenn Du Integrität von Herkunftsnachweis unterscheidest. A3 überzeugt durch klare Rollen und Sicherheitsabwägung. A4 ist brauchbar, wenn Meldewege, Zuständigkeiten und Eskalationsauslöser eindeutig sind.

Schwer – Transferaufgaben

T1 – Variantenvergleich: Vergleiche die Reaktion bei stabilem Prozess mit der Reaktion bei unmittelbarer Gefahr für Beschäftigte.
T2 – Beweiskettenprüfung: Analysiere das Übungsmanifest und entwickle zusätzliche Angaben für eine professionelle Beweisdokumentation.
T3 – Playbook gestalten: Erstelle ein einseitiges IT-/OT-Vorgehensblatt für den Ausbildungsfall mit verantwortlichen Rollen.
T4 – Lessons Learned: Produziere ein kurzes Erklärvideo oder einen Audiobeitrag über drei Verbesserungen für die nächste Übung. Verwende ausschließlich fiktive Inhalte.

Begründetes Feedback zum Transfer:

T1 muss die unterschiedlichen Gefahrenlagen berücksichtigen. T2 soll insbesondere Herkunft, echte Verantwortlichkeiten, Zugriffsschutz und Übergaben einbeziehen. T3 ist nur dann praxistauglich, wenn Maßnahmen, Freigaben und Kommunikation zusammenpassen. T4 überzeugt durch konkrete, überprüfbare Verbesserungen statt unbelegter Schuldzuweisungen.

Lernkontrolle

Bearbeite die folgenden Aufgaben ohne automatische Lösungsvorgabe. Begründe jede Entscheidung.

Sicherheitsabwägung: Warum kann eine sofortige Netzwerkisolation in einem IT-Fall zweckmäßig und in einem OT-Fall riskant sein? Entwickle zwei unterschiedliche Vorgehensweisen.
Unsichere Erkenntnislage: Zwei Alarmmeldungen folgen kurz aufeinander. Erkläre, wie Du vermeidest, daraus voreilig eine gemeinsame Ursache abzuleiten.
Beweissicherung: Du erhältst zwei Dateien mit unterschiedlichen Hashwerten. Welche Schlussfolgerung ist zulässig und welche nicht?
Konkurrierende Ziele: Beschreibe, wie Du bei einem möglichen Konflikt zwischen Beweiserhalt und unmittelbarer Personengefährdung vorgehst.
Fachkommunikation: Eine IT-Fachperson verlangt die Abschaltung einer Steuerung, die OT-Schichtleitung warnt vor Folgeschäden. Erkläre einen sicheren Entscheidungsweg.
Wiederanlauf: Entwickle Kriterien für eine kontrollierte Rückkehr zum Normalbetrieb nach einem simulierten Sicherheitsvorfall.

Bewertungsraster:

Kriterium	Punkte	Begründung
Fachliche Richtigkeit	0–4	Maßnahmen und Begriffe sind zutreffend.
Sicherheitsbewusstsein	0–4	Risiken für Menschen und Prozesse werden berücksichtigt.
Beweissicherung	0–4	Herkunft, Integrität und Dokumentation werden beachtet.
Zusammenarbeit	0–4	Rollen und Freigaben sind nachvollziehbar.
Transfer	0–4	Entscheidungen werden auf neue Situationen übertragen.

Maximal 20 Punkte. Für einen überzeugenden Lernnachweis sind nachvollziehbare Begründungen wichtiger als das bloße Wiedergeben einzelner Fachwörter.

Lernnachweis

Für einen vollständigen Lernnachweis reichst Du folgende selbst erstellte Produkte ein:

Eine Risiko-Gegenüberstellung für IT und OT mit besonderer Berücksichtigung der physischen Sicherheit.
Eine Zeitachse des fiktiven Ausbildungsfalls mit Trennung von Beobachtungen und Hypothesen.
Das Auswertungsergebnis des lokalen Python-Programms einschließlich Hashvergleich.
Eine dokumentierte Entscheidung zur Eindämmung mit Beschreibung der notwendigen Fachfreigaben.
Eine sachliche Erstmeldung und einen nachvollziehbaren Eskalationsplan.
Eine kurze Reflexion darüber, welche Entscheidungen Du beim nächsten simulierten Vorfall verbessern würdest.

Qualitätsanforderung: Alle Materialien müssen nachvollziehbar, fachlich begründet und auf fiktive Daten beschränkt sein. In den Lernnachweis gehören keine Zugangsdaten, Kundendaten oder Aufzeichnungen aus Produktivanlagen.

OERs zum Thema

Fachlich geprüfte Quellen

Bundesamt für Sicherheit in der Informationstechnik:

DER.2.1 – Behandlung von Sicherheitsvorfällen: Anforderungen an geregelte Reaktion, Kommunikation und Eskalation.
DER.2.2 – Vorsorge für die IT-Forensik: Vorbereitung einer fachgerechten digitalen Beweissicherung.

National Institute of Standards and Technology:

NIST SP 800-61 Rev. 3: Empfehlungen zur Behandlung von Cybersicherheitsvorfällen, veröffentlicht 2025.
NIST SP 800-82 Rev. 3: Operational Technology Security, veröffentlicht 2023. Besonders relevant sind Sicherheit, Verfügbarkeit und Zuverlässigkeit.
NIST IR 8387: Grundlagen zur Erhaltung digitaler Beweise und zur nachvollziehbaren Beweiskette.

Weitere Fachquelle:

CISA ICS Recommended Practices: Fachmaterialien zu industriellen Steuerungssystemen und Incident Response.

Die genannten Quellen beschreiben fachliche und organisatorische Anforderungen. Die Lernfabrik, die Übungen und die Beispieldaten sind für diesen Kurs didaktisch konstruiert.

Wikipedia als ergänzende Lernressource

Industrial Control Systems:

Weiterführende Artikel: IT-Forensik, Computer Emergency Response Team, IEC 62443, Supervisory Control and Data Acquisition.

Medienrechte und Quellenangaben

Die im Kurs eingesetzten Wikimedia-Commons-Dateien wurden anhand ihrer Dateibeschreibungen und Lizenzangaben ausgewählt.

Medium	Urheber beziehungsweise Quelle	Lizenzstatus
Programmable logic controller	Bisgaard	CC BY-SA 3.0
Control panel	Bridgeland	CC BY-SA 3.0
Robotic arm control panel	Shixart1985	CC BY 2.0
Emergency stop button	Shixart1985	CC BY 2.0
Cryptographic Hash Function	Jorge Stolfi und Bearbeitende	Public Domain laut Commons
NIST Workflow Diagram	NIST	Public Domain laut Commons

YouTube-Medien:

SySS – Operational Technology: https://www.youtube.com/watch?v=DXl9C5bLfMQ
IBM Technology – Security Operations Center Explained: https://www.youtube.com/watch?v=OHkWXFheSKM
IBM Technology – Incident Response: https://www.youtube.com/watch?v=Jk79QJCxPkM

Die YouTube-Videos werden als Verweise beziehungsweise Einbettungen der jeweiligen Anbieter genutzt. Eine freie Weiterverwendung der Videoinhalte ist damit nicht zugesichert. Verfügbarkeit und Einbettungsmöglichkeiten können sich ändern.

Datenschutzhinweis: Externe Videos, Wikipedia- und LearningApps-iFrames können beim Öffnen dieser Lernseite Netzwerkanfragen an Drittanbieter auslösen. Sie sind nicht Bestandteil der lokalen Testumgebung. Die Python-Beispiele führen keine Datenübertragung aus.