OT Detectionund Anomalien.
Diese Klasse erkennt verdächtige oder betrieblich ungewöhnliche Kommunikations- und Prozessmuster. Im OT-Umfeld muss jede Erkennung zwischen Cyber-Risiko, Wartung, Safety und normalem Produktionswechsel unterscheiden können.
Marktbild: Dedizierte OT-Plattformen verbinden Protokollwissen, Asset-Kontext und Anomalieerkennung. Ein reines NDR sieht oft die Pakete, aber nicht die technische Bedeutung eines Steuerungsbefehls.
Den Betrieb
vorbereiten.
Wenn SOC und OT Engineering sicherheitsrelevante Abweichungen erkennen und nachvollziehbar bewerten müssen.
Eine Anomalie ist kein Incident. Ohne Prozesskontext, Betriebszustand und verantwortliche OT-Rolle entstehen Fehlalarme oder gefährliche Eingriffe.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| Dragos · Dragos Platform | OT Threat Detection | ICS und kritische Infrastruktur | Protokolle und Incident-Service-Modell |
| Nozomi Networks · Guardian | Industrial Anomaly Detection | OT/IoT und verteilte Standorte | Tuning mit Engineering |
| Claroty · xDome | OT Threat Detection | CPS und Industrie | Integration in SOC und Ticketing |
| Tenable · Tenable One OT Exposure | Policy-, Behaviour- und Signature-Detection | Konvergierte OT/IT-Umgebungen | Abgrenzung zu passivem Inventar |
| Microsoft · Defender for IoT | OT Alerting und SOC-Integration | Microsoft Security Operations | Sensor- und Datenpfad |
| Forescout · eyeInspect | OT/IoT Threat Detection | Kritische Infrastruktur | Passive Sicht und Durchsetzung getrennt planen |
| Cisco · Cyber Vision | Industrial Threat Detection | Cisco OT-Netzwerke | Abdeckung der Prozessprotokolle |
| Palo Alto Networks · OT Security | OT Threat Prevention | NGFW- und Cortex-Umgebungen | Sichtbarkeit des Prozesskontexts |
| Fortinet · FortiGuard OT Security Service | OT Threat Intelligence und IPS | Fortinet Security Fabric | Passivität und Produktionsfreigaben |
| Darktrace · Darktrace/OT | Anomaly Detection | Netzwerkbasierte Verhaltensanalyse | OT-Semantik und menschliche Validierung |
Vom Alarm
zur Entscheidung.
- Die Lernphase über mindestens einen vollständigen Produktionszyklus fahren, einschliesslich Chargenwechsel und Wartung; sonst wird Normalbetrieb als Anomalie gemeldet.
- Detektionsfälle priorisieren: neue Engineering-Station im Netz, Programm-Download auf eine Steuerung, Wechsel einer SPS in den Programmiermodus, Fernwartung ausserhalb des vereinbarten Termins.
- Für jeden Fall ein Playbook mit der Schicht- bzw. Anlagenleitung abstimmen: wer darf was trennen, und wann entscheidet der Betrieb bewusst gegen einen Eingriff.
- Erkennungen regelmässig mit realistischen Testfällen nachweisen, in einer Testumgebung oder im Wartungsfenster.
- Zeit von OT-Alarm bis zur gemeinsamen Bewertung durch SOC und OT-Engineering
- Anteil Alarme, die auf genehmigte Änderungen oder Wartungen zurückgehen
- Anteil kritischer Zonen mit Erkennung von Programm- und Konfigurationsänderungen an Steuerungen
Das SOC überwacht und eskaliert; Bewertung und jeder Eingriff in die Anlage liegen beim OT-Engineering bzw. beim Anlagenverantwortlichen. Safety hat Vorrang vor jeder Security-Massnahme.
IEC 62443-3-3 beschreibt mit SR 6.2 die Anforderung einer kontinuierlichen Überwachung des Steuerungssystems; das Werkzeug liefert die technische Grundlage, die Reaktion bleibt organisatorisch zu regeln.
Betreiber kritischer Infrastrukturen in der Schweiz müssen meldepflichtige Cyberangriffe (ISG Art. 74d, z. B. Gefährdung der Funktionsfähigkeit oder Datenabfluss) seit 1. April 2025 innert 24 Stunden nach Entdeckung dem BACS melden (ISG Art. 74a ff.); NIS2 Art. 23 verlangt eine Frühwarnung innert 24 Stunden nach Kenntnis eines erheblichen Vorfalls.
IT-Signaturen reichen in der OT nicht. Viele Angriffe nutzen legitime Engineering-Funktionen; auffällig ist nicht der Befehl, sondern wer ihn wann an welche Steuerung sendet.
Nachweis statt
Versprechen.
- Erwartete Baselines pro Anlage, Schicht und Wartungsfenster definieren.
- Detection-Fälle mit OT-Engineering prüfen und Safety-relevante Eskalation vorab regeln.
- OT-Alarm mit Asset, Betreiber, Prozesskritikalität und Incident-Workflow verbinden.
OT Network Monitoring · NDR · Incident Response
Produktfunktionen sind Herstellerangaben. Ob die Plattform in der eigenen Umgebung wirkt, zeigt erst ein kontrollierter Test mit den relevanten Services, Daten, Rollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 13
Im Gebiet OT, IoT und Cyber-Physical Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet OT, IoT und Cyber-Physical Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.