Industrie & Maschinenbau · NIS2 & IEC 62443
Stellt ihr Maschinen, Elektronik, elektrische Ausrüstung, Fahrzeuge oder Medizinprodukte her, fallt ihr ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme unter die NIS2-Pflichten als „wichtige Einrichtung“. Der technische Maßstab dafür heißt in der Praxis meist IEC 62443, ergänzt durch das ICS-Security-Kompendium des BSI. Wir testen genau dort, wo IT auf Produktion trifft: SPS und SCADA-Systeme, Fernwartungszugänge und das Werksgelände selbst, ohne eure Fertigung dabei aufs Spiel zu setzen.
Die Frage, die jede Werksleitung zuerst stellt
Wir prüfen, ohne die Linie zu stoppen. Aktive Tests laufen nur in vorher vereinbarten Fenstern, an OT-nahen Systemen lesen wir mit und schreiben nicht.
Vier Ebenen, zwei Wege hinein. Der zweite umgeht alles, was oben abgesichert wurde.
Verbreitung realer Vorfälle
24%
Rund jedes vierte Unternehmen im Maschinen- und Anlagenbau meldete innerhalb der letzten zwei Jahre einen signifikanten Cybersicherheitsvorfall.
Der Vorfall ist damit kein Ausnahmefall mehr, sondern ein Betriebsrisiko wie ein Maschinenschaden. Behandelt wird er in vielen Werken trotzdem anders: Für die Maschine gibt es einen Wartungsplan, für das Netz dahinter selten einen Prüfplan.
Quelle: VDMA-Studie „Industrial Security und Produktpiraterie 2024“, Fraunhofer AISEC, 100 befragte VDMA-Mitgliedsunternehmen
Die Kernansicht
Ein Werk lässt sich aufschneiden wie ein Gebäude. Oben die Büro-IT mit Arbeitsplätzen, Wareneingang und Pausenraum. Darunter die Fertigungssteuerung mit Leitsystemen und Fernwartungszugängen. Darunter die Steuerungsebene mit SPS und Feldbussen. Ganz unten die Anlagen selbst. Zwischen der ersten und der zweiten Ebene liegt die Stelle, um die sich alles dreht.
Zwei Einstiege
Einstieg 1 · von oben
Der Weg kommt oben an, in der Büro-IT, und arbeitet sich von dort nach unten. Er trifft unterwegs auf alles, was ihr an Schutz aufgebaut habt: Endpoint-Kontrolle, Berechtigungen, Segmentierung. Jede dieser Hürden kostet Zeit und hinterlässt Spuren.
Einstieg 2 · von der Seite
Der unangenehmere Weg. Der Zugang des Maschinenherstellers landet nicht oben, sondern seitlich und direkt unterhalb der Bruchstelle. Er überspringt damit jede Maßnahme der oberen Ebene, und er ist von außen erreichbar, ohne dass jemand im Haus etwas anklicken muss.
Arbeitsplätze, Wareneingang, Pausenraum, Active Directory
Ein präparierter USB-Stick im Pausenraum, eine Phishing-Mail an die Schichtplanung, eine aufgehaltene Tür am Wareneingang. Wer hier landet, steht in einem Netz, das in vielen Werken noch mit allem anderen verbunden ist.
Media Dropping und Phishing, zugeschnitten auf Schichtbetrieb und externe Dienstleister, dazu Zutrittsversuche und die klassische Büro-IT im Werk samt Active Directory. Auf dieser Ebene testen wir aktiv.
Social Engineering ansehenLeitsysteme, SCADA, Fernwartungszugänge
Maschinenbauer und Systemintegratoren brauchen Fernzugriff für Service und Wartung. Liegt dieser Zugang ohne Multi-Faktor-Authentifizierung im Netz oder mit weit gefassten Berechtigungen, führt er an allem vorbei, was oben abgesichert wurde.
Fernwartungszugänge, Leitsysteme und deren Berechtigungen, abgestimmt auf eure Produktionsfenster. Aktive Schritte laufen ausschließlich in vorher vereinbarten Zeitfenstern.
OT/ICS-Pentest ansehenSPS, Feldbusse, Engineering-Stationen
SPS, Leitsysteme und Feldbusse sind oft auf Verfügbarkeit statt auf Sicherheit ausgelegt und laufen jahrelang ohne Patches. Werks-Standardzugangsdaten auf einem industriellen Gerät sind hier keine Seltenheit.
Wir lesen mit, wir schreiben nicht. Erreichbarkeit, Firmware-Stände und Zugangsdaten erheben wir passiv. Ein Schreibzugriff auf eine laufende Steuerung findet nicht statt.
Infrastruktur-Pentest ansehenMaschinen, Sensorik, Industrial IoT
Sensorik und vernetzte Maschinen erweitern die Angriffsfläche, häufig noch mit Werkseinstellungen, die nie geändert wurden. Wer hier ankommt, steht an der Stelle, an der ein Fehler Material und Menschen betrifft.
Feldgeräte und Industrial IoT prüfen wir auf Erreichbarkeit, Standardzugangsdaten und offene Dienste, im Regelfall passiv und nie ohne die Werksleitung am Tisch.
Individuellen Pentest ansehenDie Bruchstelle
Genau dort, wo klassische Büro-IT auf die Produktionsebene trifft, fehlt häufig die Netzwerksegmentierung, die eine Ausbreitung verhindern würde. Diese eine Eigenschaft entscheidet darüber, ob aus einem kompromittierten Bürorechner ein Ärgernis wird oder ein Produktionsstillstand.
Ohne Segmentierung
Fehlt die Trennung zwischen Büro-IT und Produktionsnetz, sind SPS, Leitsysteme und der Fernwartungszugang des Maschinenherstellers vom kompromittierten Rechner aus erreichbar. Der Weg nach unten steht offen, und niemand merkt es, solange niemand danach sucht.
Mit Segmentierung
Ist die Grenze gezogen und durchgesetzt, bleibt der Vorfall in der Büro-IT. Der Schaden ist dann ein IT-Problem mit einem Wiederherstellungsaufwand, kein Fertigungsproblem mit stehenden Linien und offenen Lieferterminen.
So steht es im Bericht
Keine Netzwerksegmentierung zwischen Büro-IT und Produktionsnetz
Wie wir das prüfen
Wir setzen uns mit einem Zugang in die Büro-IT und versuchen, von dort in Richtung Produktionsnetz zu kommen. Was dabei erreichbar ist, wird dokumentiert, nicht ausgenutzt. Das Ergebnis ist eine Liste der Übergänge, die offen stehen, mit einer Bewertung, welcher davon zuerst geschlossen gehört.
Szenario aus der Praxis
Media Dropping ist eine etablierte Social-Engineering-Technik, die wir bei Access Granted regelmäßig in kontrollierter Form durchführen. Kein konkreter Vorfall bei einem bestimmten Kunden, sondern ein typischer Ablauf, der zeigt, wie wenig es oft braucht. Jeder Schritt gehört zu einer der vier Ebenen des Werksschnitts.
Ebene 01 · Büro-IT
Unauffällig platziert, oft mit einem Firmenlogo oder einer neugierig machenden Beschriftung versehen.
Ebene 01 · Büro-IT
Aus Neugier, Hilfsbereitschaft („vielleicht gehört er ja jemandem“) oder schlicht Gewohnheit, ganz ohne böse Absicht.
Ebene 01 · Büro-IT
Von dort aus prüfen wir im echten Assessment, wie weit sich der Zugriff in Richtung Produktionsnetz ausweiten ließe.
Bruchstelle · Ebene 02 und tiefer
Fehlt die Segmentierung zwischen Büro-IT und Produktionsnetz, sind SPS, Leitsysteme und der Fernwartungszugang des Maschinenherstellers vom kompromittierten Rechner aus erreichbar. Wir dokumentieren diesen Weg, statt ihn zu Ende zu gehen: An OT-nahen Systemen arbeiten wir passiv, aktiv nur in vorher abgestimmten Zeitfenstern.
Alle vier Ebenen
Jedes Finding bewertet nach Schweregrad, Ausnutzbarkeit und möglicher Auswirkung auf den Produktionsbetrieb, mit Management-Summary für Geschäftsführung, IT-Leitung und Werksleitung und einer Zuordnung zu NIS2 und IEC 62443. So kann ein Auszug aussehen:
Wir werten aus, wie hoch die Aufnahmequote in eurem Unternehmen tatsächlich ist, und ob eine fehlende Segmentierung daraus mehr macht als nur eine Randnotiz.
Der Bericht ordnet jedes Finding der Ebene zu, auf der es gefunden wurde, und benennt dazu die Maßnahme. Die Geschäftsführung liest die Zusammenfassung, die IT-Leitung die Technik, die Werksleitung den Teil, der die Linien betrifft.
| Schweregrad | Finding | Maßnahmenfeld |
|---|---|---|
| Kritisch | USB-Drop-Test: 3 von 10 ausgelegten Sticks wurden angeschlossen (Beispielwert) | Awareness & Endpoint-Kontrolle |
| Kritisch | Keine Netzwerksegmentierung zwischen Büro-IT und Produktionsnetz | IT/OT-Segmentierung |
| Hoch | Fernwartungs-VPN für Maschinenhersteller ohne Multi-Faktor-Authentifizierung erreichbar | Fernwartungszugänge |
| Hoch | SPS-Firmware auf mehreren Linien seit Jahren nicht aktualisiert | Patch- & Firmware-Management |
| Mittel | Tailgating: Zutritt zur Fertigungshalle ohne Ausweiskontrolle möglich (Beispielwert) | Physische Zutrittskontrolle |
| Niedrig | Industrielles Gerät mit Werks-Standardzugangsdaten erreichbar | Zugangsdaten-Härtung |
Beispielhafte Darstellung – keine echten Kundendaten.
Betroffenheit
Sechs Branchen des verarbeitenden Gewerbes stehen in Anlage 2 BSIG, darunter Maschinenbau, Elektronik und Fahrzeugbau. Wer dort tätig ist und die Größenschwellen erreicht, gilt als „wichtige Einrichtung“. Die Prüfreihenfolge dafür steht in § 28 BSIG, und sie fragt zuerst nach der Tätigkeit, dann nach der Größe.
Größenschwellen
Beschäftigte
50 und mehr
Gezählt wird das Unternehmen, nicht der einzelne Standort.
oder
Jahresumsatz und Bilanzsumme
10 Mio. €, jeweils mehr als
Umsatz und Bilanzsumme müssen beide überschritten sein, alternativ genügt die Beschäftigtenzahl.
Ergebnis
Maschinenbau, Elektronik, Kfz-Zulieferer und Medizintechnik fallen als Einrichtungsarten des verarbeitenden Gewerbes darunter. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 geltendes Recht in Deutschland. Unsicher, ob ihr die Schwelle erreicht? Der kostenlose Betroffenheits-Check führt euch durch die Prüfreihenfolge.
Ebene 01 · Büro-IT
Der Anforderungskatalog nach Art. 21 Abs. 2 verlangt unter anderem Zugriffskontrolle, Personalsicherheit und Schulung. Genau das prüft ein Pentest auf dieser Ebene technisch nach, statt es nur zu behaupten.
Bruchstelle
Die Segmentierung zwischen Büro-IT und Produktion ist der Punkt, an dem sich Risikomanagement messen lässt. Ein Nachweis dafür entsteht nicht durch eine Richtlinie, sondern durch einen Versuch, sie zu überwinden.
Ebene 02 bis 04
IEC 62443 ist der in der Praxis anerkannte Maßstab dafür, was in Automatisierungs- und Steuerungssystemen als angemessen gilt. Unsere Berichte ordnen die Findings entsprechend zu.
Alle Ebenen
§ 32 BSIG verlangt eine gestufte Meldung: frühe Erstmeldung binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden. Wer vorher weiß, welche Ebene wie erreichbar ist, kann im Ernstfall schneller sagen, was passiert ist.
Access Granted liefert den Penetrationstest und den technischen Nachweis. Die Registrierung beim BSI, die rechtliche Einstufung und die Beratung dazu gehören nicht dazu und bleiben bei euch oder eurer Rechtsberatung.
Erdgeschoss
Der Werksschnitt beginnt nicht am Bildschirm, sondern am Zaun. Vier Stationen auf dem Gelände entscheiden mit darüber, wie leicht jemand überhaupt in die Nähe von Ebene 01 kommt.
Station 01
Paketannahme, Lieferanten, Speditionsfahrer: Hier kommen jeden Tag fremde Menschen und fremde Gegenstände ins Haus, oft ohne dass jemand fragt, wer eigentlich dazugehört.
Station 02
Servicetechniker, Reinigungskräfte und Zeitarbeitende bewegen sich mit eigenem Laptop oder eigenem Ausweis durchs Werk. Deren Zugänge und Geräte laufen selten durch dieselbe Kontrolle wie eure eigenen.
Station 03
Wo Kolleginnen und Kollegen entspannt und hilfsbereit sind, wirkt ein herrenloser USB-Stick oder ein „Ich bin neu hier“ am glaubwürdigsten.
Station 04
Eine aufgehaltene Tür, ein Raucherausgang, eine Ausweiskontrolle, die nur morgens stattfindet: Der Weg in die Fertigungshalle führt oft an keiner Technik vorbei.
Physische Tests laufen mit schriftlicher Beauftragung und einem hinterlegten Ansprechpartner, der unsere Leute im Zweifel bestätigen kann. Niemand aus eurem Team gerät dadurch in eine Lage, die er nicht auflösen kann.
Unser Vorgehen
Verfügbarkeit der Fertigung hat Vorrang vor Testtiefe. Bevor wir irgendetwas anfassen, legen wir gemeinsam mit IT- und OT-Verantwortlichen fest, welche Systeme aktiv getestet, welche nur passiv analysiert und welche komplett ausgenommen werden. An SPS, Leitsystemen und anderen OT-nahen Systemen arbeiten wir im Regelfall passiv: Wir lesen mit, wir schreiben nicht.
Wo aktive Tests nötig sind, laufen sie in vorher abgestimmten Produktionsfenstern, mit definiertem Notfallkontakt auf beiden Seiten und der festen Regel, bei jeder unerwarteten Auswirkung sofort zu stoppen. Tests an Maschinen und Linien passieren nie ohne die Werksleitung am Tisch, damit kein Testschritt versehentlich die Fertigung anhält.
Das Fenster legt ihr fest, nicht wir. Bei durchgehendem Schichtbetrieb verschieben sich aktive Schritte auf geplante Stillstände, Wartungsfenster oder eine Testzelle abseits der Linie.
Prüfplan
Dieselbe Gliederung, die den Werksschnitt trägt, bestimmt auch, was wann geprüft wird. Von oben nach unten wird die Gangart vorsichtiger, weil die möglichen Folgen größer werden.
| Ebene | Modul | Modus | Grenze |
|---|---|---|---|
| Erdgeschoss · Gelände | Physical Pentest | Aktiv | Schriftliche Beauftragung, hinterlegter Ansprechpartner, keine Konfrontation. |
| Ebene 01 · Büro-IT | Social Engineering & Infrastruktur | Aktiv | Keine Inhalte aus privaten Postfächern, kein Druckaufbau auf einzelne Personen. |
| Bruchstelle · IT/OT | Netzwerksegmentierung | Aktiv | Erreichbarkeit wird nachgewiesen, der Übergang nicht zu Ende gegangen. |
| Ebene 02 · Fertigungssteuerung | OT/ICS Pentest | Aktiv im Fenster | Nur im vereinbarten Produktionsfenster, Notfallkontakt erreichbar. |
| Ebene 03 & 04 · Steuerung und Anlagen | OT/ICS Pentest | Passiv | Kein Schreibzugriff auf laufende Steuerungen, kein Neustart, kein Firmware-Eingriff. |
Die Zuordnung ist der Ausgangspunkt, nicht das Ergebnis. Nach dem Scope-Workshop steht für jedes System im Bericht, in welchem Modus es geprüft wurde.
Relevante Module
Wo IT, OT und Werksgelände zusammenkommen, braucht es mehr als einen Test. Das sind die Bausteine, mit denen wir arbeiten.
Sprecht mit uns, bevor es jemand anderes für euch tut. Ein kurzes Gespräch klärt Scope und NIS2-Relevanz, danach bekommt ihr ein transparentes Festpreisangebot.
