19. Juli 2024 News
Von Bits zu Bolzen: Die entscheidenden Unterschiede zwischen IT und OT
Was verbirgt sich hinter den Begriffen IT und OT?
Mehr Informationen +
Wenn wir von den Technologien eines Unternehmens sprechen, wird häufig über zwei Schlüsselbereiche gesprochen, die im Zentrum vieler Geschäftsprozesse stehen: IT (Information Technology) und OT (Operational Technology). Doch was verbirgt sich dahinter und wo liegen die Unterschiede? Dieser Beitrag gibt einen Überblick über die Grundlagen von IT und OT sowie wichtige damit verbundene Sicherheitsaspekte. Auch beleuchten wir, welche Rolle diese Unterscheidung in der Cyberversicherung spielt.
Was ist IT?
IT steht für Informationstechnologie und umfasst alle Systeme und Technologien, die zur Verarbeitung, Speicherung und Übertragung von Daten und Informationen dienen. Dazu gehören:
- Computer und Laptops
- Netzwerke und Server
- Software und Datenbanken
- Kommunikationssysteme wie E-Mail, Messenger
- genutzte Cloud-Infrastrukturen
IT-Systeme finden wir überall im Büroalltag. Sie dienen dazu, das Kerngeschäft des Unternehmens zu unterstützen und die Produktivität zu steigern.
Was ist OT?
OT steht für Operational Technology und steht für die Betriebstechnologie. Darunter versteht man die Hard- und Software zur Steuerung und Überwachung von physischen Geräten und Prozessen, vor allem in der Industrie oder der Logistikwirtschaft. Beispiele sind:
- Industrielle Steuerungssysteme (ICS)
- Sensoren und Aktoren
- SCADA-Systeme (Supervisory Control and Data Acquisition)
- Roboter und Automatisierungstechnik
OT-Systeme kommen hauptsächlich in Produktionsumgebungen zum Einsatz, um Maschinen und Anlagen zu steuern.
Hauptunterschiede zwischen IT und OT
IT und OT unterscheiden sich maßgeblich voneinander, wenn auch die technologische Basis sehr ähnlich wirkt.
- Zweck und Fokus:
- IT dreht sich um die Verwaltung und Verarbeitung von Daten.
- OT ist auf die Steuerung und Überwachung physischer Prozesse ausgerichtet.
- Systemarchitektur:
- IT-Systeme sind häufig standardisiert und verwenden universelle Protokolle und Betriebssysteme.
- OT-Systeme sind oft proprietär und speziell für ihre jeweilige Anwendung zugeschnitten.
- Lebenszyklus:
- IT-Infrastrukturen haben kürzere Lebenszyklen und werden regelmäßig aktualisiert oder ersetzt.
- OT-Geräte haben lange Lebenszyklen und laufen oft über Jahrzehnte hinweg.
- Sicherheitsanforderungen:
- IT-Sicherheit zielt hauptsächlich auf den Schutz von Daten und die Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit ab.
- OT-Sicherheit konzentriert sich darauf, die physischen Prozesse und die Sicherheit der Betreiber sowie der Umgebung zu gewährleisten.
Abb. Hauptunterschiede IT-OT
Sicherheitsmaßnahmen in der OT
OT-Systeme sind zunehmend mit IT-Systemen verbunden, was neue Herausforderungen und Risiken mit sich bringt. Unternehmen welche eine OT betreiben, sind meist sehr sensibel bei Angriffen auf diese Systeme, da diese die operative Handlungsfähigkeit der Unternehmen gewährleisten. Damit haben folgende Sicherheitsmaßnahmen im Bereich der OT besondere Bedeutung:
- Segmentierung von Netzwerken: Durch die Trennung von IT- und OT-Netzwerken kann das Risiko eines Angriffs reduziert werden. Falls ein IT-System gehackt wird, erschwert dies den Angreifern den Zugang zu kritischen OT-Systemen – notwendige Verbindungen werden über restriktive Firewall-Regeln zugelassen und ständig überwacht.
- Isolieren von Altsystemen: Aufgrund der erwähnten langen Lebenszyklen von OT-Systemen basieren diese Systeme häufig auf veralteter Hard- und Software, welche teilweise nicht mehr durch die Hersteller aktualisiert wird. Sicherheitslücken sind damit bei diesen veralteten Systemen sehr wahrscheinlich – ein Ersatz der funktionierenden Anlagen steht häufig aber nicht zu Disposition. Solche Alt- bzw. Legacy-Systeme sollten von den anderen Systemen netzwerktechnisch getrennt betrieben werden- zur Sicherheit des OT-Systems und auch der übrigen Anlagen.
- Überwachung und Erkennung: Kontinuierliche Überwachung der OT-Systeme und die Implementierung von Erkennungssystemen für ungewöhnliche Aktivitäten helfen dabei, potenzielle Bedrohungen frühzeitig zu identifizieren und zu bekämpfen.
- Härten von Geräten und Systemen: Dies beinhaltet das Deaktivieren unnötiger Dienste und Funktionen, das regelmäßige Aktualisieren von Software und Firmware sowie das Implementieren von Sicherheitskonfigurationen und -richtlinien.
- Incident Response und Notfallpläne: Bereitstellung von klar definierten Plänen und Prozeduren zur Reaktion auf Sicherheitsvorfälle, um die Auswirkungen auf den Betrieb zu minimieren und eine schnelle Wiederherstellung zu ermöglichen. Regelmäßige Test dieser Pläne sollen darüber hinaus die Wirksamkeit gewährleisten.
- Schulung und Sensibilisierung: Mitarbeiter, die mit OT-Systemen arbeiten, sollten regelmäßig geschult werden, um sich der spezifischen Sicherheitsrisiken bewusst zu sein und zu lernen, wie sie potenzielle Bedrohungen erkennen und darauf reagieren können.
- Fernwartungen absichern: OT-Systeme erfordern häufig regelmäßige Fernwartungen durch die Hersteller. Diese Fernwartungszugänge bieten Hackern oft Eintrittstore zum Unternehmensnetzwerk. Daher ist eine Absicherung dieser Zugänge unumgänglich, idealerweise mittels MFA oder eine anlassbezogenen Freischaltung der Fernwartung durch die Unternehmens-IT.
OT und die Bedeutung in der Cyberversicherung
In den letzten Jahren hat die Bedeutung der OT im Bereich der Cyberversicherung stark zugenommen. Während früher die OT-Systeme oft Insellösungen waren, welche nicht im Unternehmensnetzwerk eingebunden waren, sind diese heute zunehmenden mit den IT-Systemen vernetzt und bieten damit Cyberkriminellen einen Erhöhung der Angriffsfläche, oft auch auf veraltete und damit leicht angreifbare System.
Versicherungsunternehmen sehen in den Schadensstatistiken, dass Störungen oder Ausfälle in OT-Systemen oft viel weitreichendere und kostenintensivere Folgen haben können als reine IT-Vorfälle. Ein Angriff auf ein SCADA-System in einem Kraftwerk beispielsweise könnte zu massiven Stromausfällen führen, während eine Manipulation von Steuerungssystemen in einer Fabrik die Produktion zum Erliegen bringen und sogar Sicherheitsrisiken für Mitarbeiter darstellen kann.
Diese potenziellen Schadenszenarien haben dazu geführt, dass Versicherer bei der Risikobewertung und Prämienkalkulation von Cyberversicherungen verstärkt auf OT-spezifische Sicherheitsmaßnahmen achten. Unternehmen, die robuste OT-Sicherheitskonzepte vorweisen können, profitieren oft von besseren Konditionen. Diese Entwicklung unterstreicht die wachsende Relevanz der OT-Sicherheit nicht nur für den operativen Betrieb, sondern auch für das Risikomanagement und die finanzielle Absicherung von Unternehmen.
Fazit
IT und OT sind zwei unterschiedliche, aber zunehmend konvergierende Technologiebereiche. Während IT-Sicherheit schon lange ein wichtiges Thema ist, hat die Absicherung von OT-Systemen erst in den letzten Jahren an Bedeutung gewonnen, da Schadensfälle in diesem Bereich gezeigt haben, dass massive Schäden entstehen können. Wir verorten gerade in diesem Bereich bei vielen Unternehmen massiven Aufholbedarf und werden gerade in der Absicherung der Cyberrisiken hier mitunter vor große Herausforderungen gestellt. Dabei liegt es häufig nicht am fehlenden Willen der Versicherungsnehmer sondern auch an den langen Entwicklungszyklen in diesem Bereich und der Abhängigkeit von Lieferanten der OT-Systeme.
TEILEN SIE DEN ARTIKEL
Unsere Produkte
D&O
Für Unternehmen, Stiftungen, Vereine, einzelne Personen & D&O mit Strafrechtschutz
CYBER
Für Dienstleister & Gewerbe, Versicherungs-Vermitttler, Produktions-Unternehmen etc.
SPEZIAL STRAF-RECHTSSCHUTZ
Strafrechtsschutz, Manager-Rechtsschutz, Steuerberater & Wirtschaftsprüfer
CRIME
Finanzinstitutionen,
Kommerzielle Kunden
VERMÖGENSSCHADEN-HAFTPFLICHT
Finanzinstitute, Private Equity, Werbung & Medien etc.
Lesen Sie hier weiter
News
Ein perfekter Angriff: Wie ich fast mein GMail-Konto verloren hätte
Die Zeit, in der man Cyberkriminelle an schlechter Grammatik oder offensichtlichen technischen Fehlern erkennen konnte, ist vorbei. Die neue Generation von KI-gestützten Angriffen ist raffiniert, überzeugend und hochprofessionell.
WEITERLESEN
News
Der EU AI Act: Regulierung für Künstliche Intelligenz
Am 1. August 2024 trat der "AI Act" der Europäischen Union in Kraft.
WEITERLESEN
News
Fehleinschätzungen zu NIS2: Wie Unternehmen die Richtlinie unterschätzen!
Über die EU-Richtlinie NIS2 wurde in den letzten Monaten viel berichtet. Sie stellt viele Unternehmen vor große Herausforderungen und zahlreiche Fehleinschätzungen und Missverständnisse erschweren die effektive Umsetzung.
WEITERLESEN← ZURÜCK ZUR ÜBERSICHT
INFINCO FINANCIAL
LINES BROKERS
