Ein OT-Asset-Inventar ist eine strukturierte, regelmäßig aktualisierte Liste aller Steuerungen, Bediengeräte, Netzwerkkomponenten, Rechner und Softwarestände in der Produktion, ergänzt um ihre Kommunikationsbeziehungen und Zuständigkeiten. Es ist die Grundlage jeder OT-Sicherheitsmaßnahme: Was Sie nicht kennen, können Sie weder segmentieren noch patchen noch im Notfall wiederherstellen. Für NIS2-pflichtige Unternehmen ist Asset-Management zudem eine der Mindestmaßnahmen nach § 30 BSIG.
Das BSI bringt es in seinen NIS-2-Infopaketen auf den Punkt: Alle Systeme, Anwendungen und Daten müssen bekannt sein, um sie schützen zu können. Ein internationaler Leitfaden von CISA und Partnerbehörden, darunter das BSI, beschreibt seit August 2025 ausführlich, wie Betreiber ein OT-Inventar aufbauen.
OT-Asset-Inventar: welche Daten Sie brauchen
Der CISA-Leitfaden nennt 14 vorrangige Attribute, darunter Kommunikationsprotokolle, Kritikalität, Rolle, IP- und MAC-Adresse, Hersteller, Modell, Betriebssystem, Standort, offene Ports und Dienste sowie Benutzerkonten. Der IT-Grundschutz-Baustein IND.1 Prozessleit- und Automatisierungstechnik verlangt in der Anforderung IND.1.A4 ein Bestandsverzeichnis aller Software- und Systemkomponenten mit Produkt- und Protokollversionen und Zuständigkeiten. Für die Praxis hat sich diese Struktur bewährt:
| Bereich | Attribute | Woher |
|---|---|---|
| Identifikation | Anlage, Standort, Gerätetyp, Hersteller, Artikelnummer, Seriennummer | Typenschild, Stromlaufplan |
| Software | Firmware, Betriebssystem, Projektversion, Bibliotheken | Online-Diagnose, Engineering-Projekt |
| Netzwerk | IP, MAC, VLAN, Protokolle, offene Dienste | Netzwerkscan, Switch-Konfiguration |
| Betrieb | Kritikalität, Verantwortlicher, Lebenszyklusstatus | Instandhaltung, Hersteller |
| Beziehungen | Kommunikationspartner, Fernwartung, Datenträger | Monitoring, Interviews |
Drei Wege der Erfassung
Für die Erfassung gibt es drei Methoden, die sich ergänzen. Keine reicht allein.
- Dokumente und Begehung: Stromlaufpläne, Engineering-Projekte und ein Gang durch die Schaltschränke. Langsam, aber die einzige Methode, die auch Geräte ohne Netzwerk findet.
- Passives Monitoring: Ein Sensor liest den Netzwerkverkehr am Spiegelport eines Switches mit und erkennt Geräte, Protokolle und Verbindungen, ohne selbst Pakete zu senden. Für laufende Produktion die sicherste automatische Methode.
- Aktive Abfrage: Gezieltes Auslesen von Steuerungen über ihre eigenen Protokolle oder über das Engineering-Werkzeug. Liefert genaue Firmwarestände, muss aber mit der Produktion abgestimmt werden.
Seien Sie mit aktiven Netzwerkscans vorsichtig. Ältere Steuerungen und Kommunikationsprozessoren reagieren auf ungewohnte Pakete mitunter mit Fehlern oder Neustarts. Scannen Sie produktive Netze nur in Abstimmung mit der Instandhaltung und möglichst in einem Stillstand. Das BSI beschreibt Monitoring und Anomalieerkennung in Produktionsnetzen in der Publikation BSI-CS 134.
Rhebo erklärt: Wie Anomalie-Erkennung funktioniert
Rhebo
Dieses Video wird von YouTube bereitgestellt. Beim Abspielen werden Inhalte von Google geladen, und es können Cookies gesetzt werden.
Auf YouTube ansehenEin Beispiel aus der Praxis
Nehmen Sie ein Kunststoffwerk mit zwölf Spritzgießmaschinen, einer zentralen Materialversorgung, zwei Robotern zur Entnahme und einer Verpackungslinie. Auf dem Papier sind das rund 20 Steuerungen. Bei der Erfassung tauchen typischerweise deutlich mehr Geräte auf: Temperiergeräte mit eigener Steuerung, Panel-PCs, ein Messrechner in der Qualitätssicherung, ein vergessener Fernwartungsrouter eines Lieferanten und ein Switch, der nur deshalb da ist, weil ein Netzwerkkabel zu kurz war.
Genau diese Geräte sind es, die in Sicherheitsvorfällen eine Rolle spielen. Der Fernwartungsrouter mit Standardpasswort ist gefährlicher als jede gut gepflegte Steuerung. Planen Sie deshalb für die erste Erfassung ausreichend Zeit für die Begehung ein und sprechen Sie mit den Schichtführern. Sie wissen, welcher Laptop regelmäßig an welche Maschine gesteckt wird.
Halten Sie bei der Begehung auch fest, was nicht im Netz hängt: Steuerungen, die nur per USB-Stick oder Programmierkabel aktualisiert werden, sind ebenfalls Teil des Inventars. Gerade über Wechseldatenträger kommt laut BSI die häufigste Bedrohung in industrielle Steuerungen. Notieren Sie deshalb, wie Programme und Rezepturen auf diese Geräte gelangen und wer das tut.
Eine einfache Regel für die Begehung: Jedes Gerät mit Display, Netzwerkbuchse oder USB-Port bekommt einen Eintrag. Lieber zu viel erfassen und später als unkritisch markieren, als ein Gerät zu übersehen.
Kritikalität und Taxonomie
Ein Inventar mit 2.000 Einträgen hilft wenig, wenn nicht klar ist, welche davon wichtig sind. Der CISA-Leitfaden empfiehlt deshalb eine OT-Taxonomie: eine Einteilung der Assets nach Funktion und Kritikalität, die sich an Zonen und Conduits nach IEC 62443 orientiert. In einer Fertigung kann das ganz einfach aussehen: Kritikalität A für Anlagen, deren Ausfall die Lieferfähigkeit stoppt oder Sicherheitsfunktionen betrifft, B für Anlagen mit Ausweichmöglichkeit, C für Hilfssysteme.
Mit dieser Einteilung lassen sich Maßnahmen priorisieren. Eine A-Anlage mit abgekündigter Steuerung, offenem Fernwartungszugang und ohne Programmsicherung steht ganz oben auf der Liste. Eine C-Anlage mit denselben Schwächen kann warten. Den nächsten Schritt nach dem Inventar, die Aufteilung in Zonen, beschreiben wir im Beitrag IEC 62443 Zonen und Conduits.
Aktuell halten: der eigentliche Aufwand
Die erste Erfassung ist ein Projekt, die Pflege ist ein Prozess. Binden Sie das Inventar an bestehende Abläufe: Jede Änderung an einer Steuerung, jede neue Maschine und jeder Tausch nach einem Defekt löst einen Eintrag aus. Maschinenbauer sollten bei der Übergabe einer neuen Anlage eine Komponentenliste mit Firmwareständen liefern. Fordern Sie das im Lastenheft. Passives Monitoring hilft, Abweichungen zu erkennen, etwa ein neues Gerät, das plötzlich im Netz auftaucht.
Ein realistischer Rhythmus: vollständiger Abgleich einmal im Jahr, Aktualisierung bei jeder Änderung, automatischer Abgleich über Monitoring wo vorhanden. Verknüpfen Sie das Inventar mit dem Lebenszyklusstatus der Hersteller, dann sehen Sie auch, welche Steuerungen in die Ersatzteilphase gehen. Das ist zugleich die Planungsgrundlage für Migrationen wie die der S7-300.
Wie Wartens unterstützt
Wartens erstellt OT-Asset-Inventare für Produktionsbereiche: aus Engineering-Projekten, Dokumentation und abgestimmter Erfassung vor Ort durch Ihr Team, ergänzt um Bewertung von Kritikalität und Lebenszyklus. Das Ergebnis ist die Grundlage für Zonenkonzept und Gap-Analyse nach IEC 62443. Den Rahmen beschreibt der Beitrag NIS2 und OT-Sicherheit, unser Angebot finden Sie unter Automatisierungs-Engineering.
Nächster Schritt: Schicken Sie uns die Anlagenliste eines Produktionsbereichs und vorhandene Netzpläne. Wir nennen Umfang und Festpreis für das Inventar. Kontakt.
