Vergleiche
IT-SOC vs. OT-SOC: 10 Unterschiede, die in der Industrie zählen
Das Wichtigste in Kürze
- Die Rangfolge der Schutzziele kehrt sich um: In der OT stehen Sicherheit und Verfügbarkeit vor Vertraulichkeit.
- OT-Telemetrie stammt vor allem aus passiven Netzwerksensoren, nicht aus EDR-Agenten.
- Automatische Eindämmung ist in der OT die Ausnahme; Reaktionen werden mit dem Betrieb abgestimmt.
- Ein IT-SOC kann die OT nur mit OT-Telemetrie, Protokollwissen und vereinbarten Eskalationswegen abdecken.
Was ist der Kernunterschied zwischen OT-SOC und IT-SOC?
Der Kernunterschied liegt darin, was geschützt wird. Ein IT-SOC schützt Informationen: Daten, Identitäten und die Systeme, die sie verarbeiten. Ein OT-SOC schützt einen physischen Prozess – eine Fertigungslinie, ein Wasserwerk, ein Umspannwerk – sowie die Menschen und Anlagen in seinem Umfeld. Alle weiteren Unterschiede folgen daraus.
| Dimension | IT-SOC | OT-SOC |
|---|---|---|
| 1. Schutzziele | Vertraulichkeit → Integrität → Verfügbarkeit | Sicherheit → Verfügbarkeit → Integrität → Vertraulichkeit |
| 2. Assets | Notebooks, Server, Cloud-Workloads, Identitäten | SPS, RTU, Bedienstationen, Engineering-Workstations, Historians, SIS |
| 3. Telemetrie | EDR-Agenten, Identitäts-, E-Mail- und Cloud-Logs | Passive Netzwerksensoren (SPAN/TAP), Logs von OT-Systemen, Firewalls, Fernwartung |
| 4. Protokolle | HTTP(S), DNS, SMB, Kerberos, LDAP | Modbus, S7comm, PROFINET, EtherNet/IP, DNP3, IEC 104, IEC 61850, OPC UA |
| 5. Lebensdauer der Systeme | 3–5 Jahre | 15–30 Jahre, oft mit nicht mehr unterstützten Betriebssystemen |
| 6. Patchen | Monatliche, automatisierte Zyklen | Nur in Wartungsfenstern; ersatzweise kompensierende Maßnahmen |
| 7. Detektionsschwerpunkt | Malware, Phishing, Missbrauch von Zugangsdaten, Datendiebstahl | Unbefugte Änderungen an Logik und Sollwerten, ungewöhnliche Engineering-Zugriffe, ICS-Malware |
| 8. Eindämmung | Automatische Isolierung binnen Minuten | Vorab vereinbart, manuell, abgestimmt mit der Leitwarte |
| 9. Kompetenzen | Windows, Cloud, Identitäten, Malware-Analyse | Zusätzlich Industrieprotokolle, Automatisierungstechnik und Prozesssicherheit |
| 10. Kennzahlen | MTTD, MTTR, Abdeckung der Endpunkte | Zusätzlich Anteil überwachter kritischer Conduits, Genauigkeit des Asset-Inventars, Anteil störungsfreier Reaktionen |
Warum kehrt sich die Rangfolge der Schutzziele in der OT um?
In der IT ist ein mehrstündiger Ausfall teuer, aber selten gefährlich. In der OT kann ein ungeplanter Stillstand Anlagen beschädigen, eine Charge unbrauchbar machen oder im schlimmsten Fall Menschen gefährden. Deshalb stellen OT-Rahmenwerke wie NIST SP 800-82 und die IEC 62443 Sicherheit und Verfügbarkeit an die erste Stelle. Für das SOC bedeutet das: Kein Alarm wird isoliert betrachtet. Analysten müssen wissen, welchen Prozess ein Gerät steuert und was eine Reaktion dort auslösen würde.
Warum ist OT-Monitoring überwiegend passiv?
Viele Steuerungen und eingebettete Geräte wurden nie dafür entwickelt, unerwarteten Netzwerkverkehr zu verarbeiten. Aktive Scans oder intensives Polling können sie zum Absturz oder Neustart bringen. Die meisten OT-SOCs spiegeln deshalb den Verkehr an Switches (SPAN) oder setzen Netzwerk-TAPs ein und werten ihn außerhalb des Steuerungsnetzes aus. Dabei dekodieren sie die Industrieprotokolle und sehen, wer welche Steuerung programmiert, welche Befehle gesendet werden und welche Werte sich ändern.
Kann ein IT-SOC die OT überwachen?
Ja, unter drei Voraussetzungen:
- OT-Telemetrie – passive Sensoren an den wichtigsten Conduits sowie Logs von OT-Systemen und Fernwartungszugängen.
- OT-Wissen – Analysten (intern oder bei einem Partner), die Industrieprotokolle und die Techniken aus MITRE ATT&CK for ICS verstehen.
- Vereinbarte Eskalation – eine Ansprechperson im Betrieb für jeden Standort und abgestimmte Reaktionsoptionen je Zone.
Untersuchungen von SINTEF und NTNU beschreiben mehrere tragfähige Modelle, vom vollständig integrierten IT/OT-SOC über ein dediziertes OT-SOC bis zum herstellerbetriebenen Monitoring. Einen Überblick gibt Was ist ein SOC für OT?
Häufige Fragen
Sollten IT- und OT-Monitoring in einem gemeinsamen SOC laufen?
Viele Organisationen entscheiden sich für ein konvergentes SOC, weil Angriffe auf die OT meist in der IT beginnen. Das funktioniert, wenn das SOC OT-Telemetrie erhält, über Analysten oder einen Partner mit Wissen zu Industrieprotokollen verfügt und abgestimmte Playbooks mit dem Betrieb hat. Ein dediziertes OT-SOC lohnt sich vor allem für große, sicherheitskritische oder stark regulierte Betreiber.
Warum isoliert ein OT-SOC ein infiziertes System nicht einfach?
Weil ein OT-System Teil eines laufenden Prozesses sein kann. Wird eine Bedienstation, ein Historian oder eine Engineering-Workstation isoliert, verlieren Bediener womöglich die Sicht auf die Anlage oder die Produktion steht still; Eingriffe in ein sicherheitstechnisches System können gefährliche Zustände auslösen. Eindämmungsoptionen werden deshalb je Zone vorab vereinbart und gemeinsam mit der Leitwarte umgesetzt.
Welche Kennzahlen eignen sich für ein OT-SOC?
Neben den klassischen Werten wie mittlerer Erkennungs- und Reaktionszeit (MTTD, MTTR) sind in der OT vor allem der Anteil überwachter kritischer Conduits, die Genauigkeit des Asset-Inventars und der Anteil von Reaktionen ohne ungeplante Prozessstörung aussagekräftig.
Quellen
- NIST SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security — National Institute of Standards and Technology
- MITRE ATT&CK for ICS matrix — MITRE
- A Comparative Study of SOC Models for Operational Technology — SINTEF / NTNU
Weiterlesen
Was ist ein SOC für OT? Security Operations für die Betriebstechnik
Ein SOC für OT überwacht Leittechnik und Produktionsnetz auf Cyberangriffe und steuert die Reaktion – Sicherheit des Prozesses zuerst. Aufgaben, Datenquellen, Pflichten.
§ 31 BSIG: Systeme zur Angriffserkennung (SzA) in der OT
Was § 31 Abs. 2 BSIG seit dem NIS2UmsuCG von Betreibern kritischer Anlagen verlangt, was sich gegenüber § 8a BSIG geändert hat und wie ein OT-SOC die SzA-Pflicht umsetzt.