OT-Monitoring, Threat Intelligence und Incident Response in KRITIS

1. Herausforderungen des OT-Monitorings

Im Gegensatz zur klassischen IT ist die Betriebstechnologie (OT) stark durch deterministische Prozesse, proprietäre Protokolle und hohe Verfügbarkeitsanforderungen geprägt¹. Herkömmliche Intrusion Detection Systems (IDS) auf Signaturbasis greifen hier oft zu kurz oder bergen das Risiko von Systemstörungen durch aktive Scans¹.

2. Passive Anomaliedetektion und DPI

Moderne Überwachungskonzepte in KRITIS-Umgebungen setzen primär auf passive Überwachungsmethoden¹:

• Deep Packet Inspection (DPI): Analyse des Datenverkehrs auf Anwendungsebene zur Erkennung unzulässiger Steuerungsbefehle oder Protokollverletzungen¹.
• Verhaltensbasierte Analyse: Erfassung von Baseline-Profilen des normalen Netzwerkverkehrs, um Anomalien (z. B. unerwartete Verbindungsaufbauten, geänderte Firmware-Parameter) frühzeitig zu identifizieren¹.

3. Incident Response und Notfallmanagement

Gemäß den regulatorischen Vorgaben müssen Betreiber auf Sicherheitsvorfälle vorbereitet sein¹:

• Etablierung von Playbooks: Vordefinierte Abläufe für die Isolierung komprimierter Segmente, Beweissicherung (Forensik) und Wiederherstellung (Disaster Recovery)¹.
• Schnittstellen zu Behörden: Automatisierte oder strukturierte Informationsweitergabe an das BSI und betroffene Partner im Rahmen der gesetzlichen Meldefristen¹.