LONDON (IT BOLTWISE) – Die US-Behörde CISA gemeinsam mit dem FBI und dem australischen Cyber Security Centre (ACSC) fordert Betreiber kritischer Infrastrukturen zur konsequenten Isolation operativer Technologien (OT) auf. Der Leitfaden „CI Fortify – Advice for isolating vital systems“ zielt auf die Trennung von OT von Unternehmensnetzwerken und auf den Abzug von Internetpfaden. Zusätzlich werden technische Trennpunkte, umfassende Notfallpläne sowie Tests ganzer Isolationsszenarien als Teil eines abgestuften Umsetzungsplans beschrieben. Besonders wichtig: Auch unterstützende Dienste wie AD und DNS müssen im Sicherheitskonzept mitgedacht werden.
Die aktuelle Sicherheitsinitiative richtet sich an Betreiber kritischer Infrastrukturen mit einem klaren Schwerpunkt: Wer Produktions- und Leittechnik betreibt, soll OT-Systeme nicht nur „härten“, sondern im Zweifel bewusst aus dem direkten IT-Kontext herausziehen. In dem von internationalen Sicherheitsbehörden gemeinsam verantworteten Leitfaden „CI Fortify – Advice for isolating vital systems“ wird die Isolation als operative Maßnahme beschrieben, um die Aufrechterhaltung essentieller Dienste bei Cyberangriffen zu ermöglichen. Damit verschiebt sich der Fokus von reiner Detektion und Reaktion hin zu einer Architekturentscheidung: Systeme für Steuerung und Überwachung sollen so platziert und abgeschirmt sein, dass sich ein erfolgreicher Zugriff von Angreifern nicht automatisch zu einem anhaltenden OT-Betriebsproblem verdichten kann.
Technisch betrachtet beginnt der Ansatz mit einer sauberen Abgrenzung, was in der Anlage überhaupt als „vital“ gilt. Die Behörden empfehlen, OT-Komponenten präzise zu definieren und daraus abzuleiten, welche minimal notwendigen Teile für den Basisbetrieb zwingend erforderlich sind. Erst auf dieser Grundlage lässt sich eine Netzarchitektur entwerfen, die nicht nur auf dem Papier „segmentiert“ ist, sondern konkrete Trennpunkte umsetzt. In der Praxis umfasst das laut Leitlinie das Kartieren bestehender Verbindungen und die Ausarbeitung von Notfallplänen, die im Ernstfall die Isolation schnell, nachvollziehbar und reproduzierbar durchführen. Als Sicherheitsziel wird dabei explizit auch physische Isolation genannt – ein Hinweis darauf, dass die Autoren nicht auf einzelne technische Kontrollmechanismen als alleinige Verteidigung setzen.
Ein weiteres Detail, das in OT-Umgebungen oft unterschätzt wird, ist der Umgang mit Datenflüssen zwischen Netzen. Der Leitfaden nennt den Einsatz von Daten-Dioden als Möglichkeit, den Informationsfluss streng zu kontrollieren und unbefugte Zugriffe von außen zu unterbinden. Damit wird das Kernproblem adressiert, das in vielen Industrienetzwerken entsteht: Selbst wenn OT-Hosts von klassischen Unternehmensressourcen getrennt sind, können unkontrollierte Kommunikationspfade (Protokolle, Gateways, Browser- oder Admin-Zugänge) die Isolation faktisch aushebeln. Daten-Dioden verfolgen hier eine sehr enge Kopplung von Datenübertragung und Sicherheitsgarantien, wodurch die Wahrscheinlichkeit sinkt, dass sich ein kompromittierter IT-Zugriff in Richtung OT weiterbewegt. Ergänzend fordern die Leitlinien regelmäßige Tests vollständiger Isolationsszenarien, weil erst im Übungsbetrieb sichtbar wird, welche Abhängigkeiten in der realen Betriebsführung tatsächlich existieren.
Die australische ASD-Version setzt dabei zusätzlich eine zeitliche Zielmarke: Für OT-Systeme und deren vitale unterstützende Infrastruktur wird ein Drei-Monats-Isolationsziel formuliert. Diese Vorgabe zielt auf einen abgestuften Plan, statt auf „Alles-oder-nichts“. Gerade für Betreiber mit heterogenen Anlagen, verschiedenen Lieferanten und gewachsenen Netzen ist dieser Ansatz organisatorisch relevant, weil Isolation nicht als einmaliges Projekt gedacht werden kann. Der Leitfaden verbindet die technische Trennung außerdem mit einem Verständnis gemeinsamer Abhängigkeiten, die als Sicherheitsrisiko wirken können. Genannt werden unter anderem Routing-Mechanismen sowie Verzeichnisdienste wie Active Directory und das Domain Name System. Die zentrale Botschaft lautet: Isolation ist nur dann wirksam, wenn auch diese unterstützenden Dienste in das Sicherheitskonzept integriert werden. Das bedeutet in der Regel, dass Betriebsannahmen zu Authentifizierung, Namensauflösung und Netzwerkpfaden neu bewertet werden müssen, damit etwa AD- oder DNS-Abhängigkeiten nicht im laufenden Betrieb als „Umweg“ in die isolierte Zone zurückwirken.
Hinter der Forderung nach Isolationsstrategie steht die Bedrohungslage, die die Behörden als verschärft beschreiben. In den Ausführungen wird auf Aktivitäten staatlich gesteuerter Akteure verwiesen; besonders genannt werden Hackergruppen, die unter den Bezeichnungen Volt Typhoon und Salt Typhoon bekannt sind. Ihnen wird zugeschrieben, gezielt Schwachstellen in kritischen Infrastrukturen zu suchen, um im Konfliktfall Störungen herbeizuführen. Diese Erwartung ist für die OT-Perspektive entscheidend: Angreifer müssen nicht zwingend sofort „alles lahmlegen“. Oft reichen laut Leitlogik schon gezielte Zugriffe und das Ausnutzen von Vertrauensbeziehungen, um Betriebsprozesse mittelbar zu stören. Gleichzeitig wird in dem Dokument auch die wachsende Relevanz KI-gestützter Angriffe betont, die die Verteidigung komplexer machen können – etwa, weil Angreifer schneller handlungsfähige Angriffsketten aus Varianten und Signalen ableiten und so schneller an neue Abschirmungen angepasst werden.
Aus der Umsetzungsperspektive folgt daraus ein zweistufiges Sicherheitsmodell: Zuerst die konsequente Trennung, danach die Kontrolle, ob die isolierte Umgebung tatsächlich weiterhin sauber bleibt. Der Leitfaden verweist dafür auf eine Post-Isolations-Überwachung, um sicherzustellen, dass keine verbleibenden Schadcode-Strukturen innerhalb der isolierten Umgebung aktiv werden. In OT-Umgebungen ist das besonders anspruchsvoll, weil viele Systeme nicht für dauerhafte Agent-basierte Telemetrie gebaut wurden und der Betriebssinn von „Monitoring“ eng mit Verfügbarkeit und Latenz zusammenhängt. Ergänzend wird empfohlen, Offline-Kopien kritischer Datenbestände vorzuhalten. Diese Maßnahme wirkt wie eine betriebliche Rückversicherung: Selbst wenn Isolation nicht alle Spuren eines Eindringens eliminiert, kann das Wiederherstellungsfenster planbar bleiben. Zusammengenommen wird in der Leitlinie deutlich gemacht, dass Resilienz nicht nur aus technischen Trennmaßnahmen besteht, sondern aus der Kombination mit organisatorischer Vorbereitung – inklusive Notfallplänen und wiederkehrenden Übungen.
Für Unternehmen und Betreiber bedeutet das, die Isolation als technischen und organisatorischen Lebenszyklus zu behandeln. Ein Netz, das heute getrennt ist, kann morgen durch notwendige Schnittstellenwachstumsannahmen wieder „verwässert“ werden – etwa durch neue Fernwartungswege, geänderte Routing-Regeln oder Abhängigkeiten bei Namensauflösung. Der Leitfaden liefert deshalb eine Art Check für den Alltag: Trennpunkte definieren, Abhängigkeiten (AD, DNS, Routing) sauber im Konzept verankern, Tests der vollständigen Isolationsszenarien als Regel etablieren und im Betrieb auf Post-Isolations-Überwachung sowie offline verfügbare Datenbestände setzen. Wer diese Schritte früh umsetzt, schafft die Grundlage dafür, dass im Ernstfall nicht nur einzelne Komponenten reagieren, sondern das Gesamtsystem handhabbar bleibt – und damit die Versorgungssicherheit nicht an der Komplexität von IT-OT-Vertrauensketten scheitert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA und Partner: OT-Systeme künftig konsequent isolieren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA und Partner: OT-Systeme künftig konsequent isolieren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA und Partner: OT-Systeme künftig konsequent isolieren« bei Google Deutschland suchen, bei Bing oder Google News!