DIN EN IEC 62443: Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung – praxisnah erklärt

OT-Systeme verschmelzen immer stärker mit IT und Cloud. Das erhöht Effizienz und Transparenz – und vergrößert zugleich die Angriffsfläche. Das neue EU-Regelwerk für Maschinen verpflichtet Hersteller, Integratoren und Betreiber dazu, Cyberrisiken von Beginn an mitzudenken: vom Entwurf über den Betrieb und die Wartung bis zur Modernisierung. In diesem Leitfaden zu DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung zeigen wir, wie Sie rechtssicher und praxistauglich vorgehen: systematisch, wiederholbar und messbar – entlang des gesamten Lebenszyklus Ihrer Maschinen und Anlagen.

Die Normenfamilie IEC/ISA 62443 gilt in der Industrie als De-facto-Standard für Security in IACS (Industrial Automation and Control Systems). Die aktuelle DIN EN IEC 62443-2-1 beschreibt, wie Sie ein Cyber Security Management System (CSMS) für OT etablieren: mit klaren Rollen, Policies, Risikoanalysen, Schulungen, Monitoring und kontinuierlicher Verbesserung. Im Folgenden fassen wir die zehn Grundsätze zusammen, die Ihnen helfen, die Anforderungen der Regulierung und der Norm wirkungsvoll umzusetzen – mit Fokus auf Sicherheit, Verfügbarkeit und Mensch-Maschine-Schutz.

Warum Cybersecurity jetzt Chefsache ist

Angriffe auf OT-Systeme verursachen reale physische Auswirkungen: unkontrollierte Bewegungen, ungeplante Stillstände, Qualitätseinbußen oder gar Personenschäden. Frühere Vorschriften berücksichtigten bösartige Handlungen kaum. Heute ordnen Vorschriften die Folgen explizit dem Hersteller oder Betreiber zu, wenn er notwendige Schutzmaßnahmen versäumt. Wer Maschinen entwickelt, integriert oder betreibt, braucht daher nachweislich Security by Design und Security by Default – nicht nur einzelne Tools, sondern ein geschlossenes System aus Organisation, Technik und Prozessen.

Die folgenden Prinzipien richten sich an Entscheider, Sicherheits- und Instandhaltungsleiter, OT-Architekten und Automatisierungsingenieure. Sie adressieren sowohl technische als auch organisatorische Kontrollen und übersetzen Normanforderungen in konkrete, prüfbare Schritte.

1. DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung: Risikoanalyse mit Cyberfokus

Starten Sie mit einer strukturierten, kontextbezogenen Risikoanalyse für Ihre Automatisierung. Inventarisieren Sie alle Komponenten und Softwarestände – von PLCs über SCADA/HMI bis zu industriellen Switchen und Sensoren. Identifizieren Sie kritische Assets, mögliche Angreifer und Eintrittswege (z. B. Fernzugang, Wechseldatenträger, exponierte Services). Bewerten Sie die Auswirkungen auf Sicherheit, Qualität und Verfügbarkeit. Priorisieren Sie Risiken und leiten Sie angemessene Kontrollen ab.

Typische Szenarien: Überschreiben von PLC-Programmen, Sabotage von Sicherheitsparametern, Manipulation von Rezepturen, Ransomware auf HMI/Engineering-Stationen. Legen Sie pro Risiko konkrete Gegenmaßnahmen fest, etwa Netzwerksegmentierung, Härtung von Protokollen, starke Authentisierung, Änderungs- und Zugriffskontrolle oder Monitoring mit Alarmierung. Verankern Sie die Risikoanalyse als laufenden Prozess – nach jeder relevanten Änderung und mindestens jährlich.

2. DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung: Netzwerksegmentierung und Angriffsfläche minimieren

Bauen Sie Ihre OT-Architektur sicherheitsorientiert auf. Trennen Sie Produktionsnetze strikt von IT und Internet. Führen Sie Zonen und Konduite ein und kontrollieren Sie Kommunikation explizit durch Firewalls, Application Layer Gateways und DMZ-Strukturen. Keine direkte Erreichbarkeit von Steuerungen aus dem Internet – niemals.

• Definieren Sie Zonen nach Kritikalität und Funktion (z. B. Safety, Motion, Historian, Engineering).
• Erlauben Sie nur notwendige Protokolle/Ports zwischen den Zonen (Allow-List statt Block-List).
• Entkoppeln Sie Datentransfers zur Cloud über gesicherte Broker in der DMZ.
• Deaktivieren Sie ungenutzte Dienste, Ports, USB-Schnittstellen und Standard-Accounts.
• Planen Sie Defence-in-Depth: mehrere, unabhängige Barrieren, die sich gegenseitig absichern.

Reduzieren Sie die Angriffsfläche konsequent. Wählen Sie Komponenten mit Security-Funktionen (z. B. signierte Firmware, Rollen- und Rechtekonzepte, verschlüsselte Protokolle). Konfigurieren Sie Updates so, dass Sie einzelne Zonen getrennt warten können, ohne die gesamte Anlage zu gefährden.

3. Identitäten, Rollen und Rechte konsequent steuern

Setzen Sie ein klares Identity- und Access-Management durch. Jeder Zugriff muss einer Person zugeordnet sein. Verbieten Sie geteilte Konten und Standardpasswörter. Setzen Sie das Prinzip der minimalen Rechte rigoros um – Operators sehen und bedienen, Admins konfigurieren, aber nur dort, wo es erforderlich ist.

• Erzwingen Sie starke Passwörter, Rotationszyklen und, wenn möglich, Multi-Faktor-Authentisierung.
• Deprovisionieren Sie Konten sofort nach Rollenwechsel oder Austritt.
• Nutzen Sie Vier-Augen-Freigaben für kritische Änderungen (z. B. Safety-Konfigurationen).
• Protokollieren Sie privilegierte Aktivität und prüfen Sie die Logs regelmäßig.

Saubere Identitäts- und Rechteverwaltung erschwert Lateral Movement, begrenzt Insider-Risiken und schafft Nachvollziehbarkeit – eine zentrale Forderung der Norm.

4. DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung: Integrität von Steuerungen sichern

Schützen Sie Software, Firmware und Konfigurationen Ihrer PLCs, Safety-Controller, SCADA/HMI und Netzkomponenten vor unautorisierten Änderungen. Nutzen Sie Schreibschutz, Betriebs-/Programmier-Schalter, signierte Pakete und Integritätsprüfungen. Führen Sie ein lückenloses Änderungsmanagement mit Dokumentation und Freigaben.

• Verifizieren Sie die Integrität von Programmen und Firmware (Signaturen/Checksummen).
• Etablieren Sie Versionierung und Rückfallpläne (Rollback) für Konfigurationsänderungen.
• Schützen Sie die physische Umgebung: verschlossene Schaltschränke, Port-Siegel, Zugangskontrollen.
• Zulassen nur geprüfter Geräte und freigegebener Software im OT-Netz.

So verhindern Sie Manipulationen an Sicherheitsparametern, unerlaubte Programmwechsel und versehentliche Fehlkonfigurationen – allesamt häufige Ursachen für Störungen.

5. Sichtbarkeit schaffen: Monitoring und Protokollierung

Was Sie nicht sehen, können Sie nicht schützen. Sammeln und korrelieren Sie Ereignisse aus Steuerungen, HMI/SCADA, Servern und Netzkomponenten. Zeichnen Sie Logins, Policy-Verstöße, Programm-Downloads, Konfigurationsänderungen und außergewöhnliche Netzwerkflüsse auf. Richten Sie Alarme für ungewöhnliche Muster ein.

• Nutzen Sie OT-fähige IDS/IPS und SIEM, die industrielle Protokolle verstehen.
• Korrelieren Sie OT- und IT-Events – entweder in einem gemeinsamen SOC oder mit klarer OT-SOC-Verantwortung.
• Definieren Sie Reaktionspläne für Alarme (Playbooks) und üben Sie sie regelmäßig.

Früherkennung verhindert Eskalationen. Wer Anomalien in Minuten statt in Tagen erkennt, reduziert Ausfallzeiten drastisch.

6. DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung: Patch- und Vulnerability-Management

Verwalten Sie Schwachstellen systematisch. Führen Sie ein aktuelles Anlagen- und Softwareverzeichnis mit Versionen und Patches. Abonnieren Sie Security-Hinweise der Hersteller und bewerten Sie Relevanz und Risiko für Ihre Umgebung. Testen Sie Updates offline oder in einer Staging-Zone und rollen Sie sie kontrolliert aus.

• Planen Sie Wartungsfenster und definieren Sie Freigabewege für OT-Patches.
• Setzen Sie bei Verzögerungen auf kompensierende Maßnahmen (z. B. zusätzliche Firewall-Regeln).
• Prüfen Sie regelmäßig auf fehlende Patches und Konfigurationsabweichungen (Benchmarks).

Ungepatchte Systeme gehören zu den häufigsten Einfallstoren in der OT. Ein etabliertes Patch-Programm reduziert die Angriffsfläche messbar und erfüllt explizite Anforderungen an den sicheren Betrieb.

7. DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung: Sicherer Fernzugriff

Fernzugriff beschleunigt Service und Support – wenn Sie ihn konsequent absichern. Verbieten Sie spontane Direktverbindungen ins Produktionsnetz. Führen Sie eine gesicherte, protokollierte Zugangskette ein: Authentisierung, Autorisierung, verschlüsselter Tunnel (z. B. über eine OT-Gateway-Lösung) und strikte Segmentierung über eine DMZ.

• Erzwingen Sie Multi-Faktor-Authentisierung für externen Zugriff.
• Nutzen Sie Just-in-Time-Freigaben: Verbindungen nur bei Bedarf und zeitlich begrenzt.
• Beschränken Sie die Reichweite: Zugriff nur auf definierte Assets und Funktionen.
• Protokollieren und zeichnen Sie Fernsitzungen auf (wo zulässig) – für Forensik und Nachweis.

So vermeiden Sie die klassischen Fehlerquellen: offen gelassene VPN-Ports, schwache Zugangsdaten oder unkontrollierte, dauerhafte Fernverbindungen.

8. Backups, Wiederherstellung und Resilienz

Backups retten den Betrieb, wenn etwas schiefgeht. Sichern Sie regelmäßig Programme, Konfigurationen, Prozessdatenbanken und virtuelle Maschinen. Lagern Sie mindestens eine Kopie offline oder in einem gehärteten Tresor. Testen Sie die Wiederherstellung – nicht nur die Sicherung.

• Definieren Sie Backup-Häufigkeiten nach Änderungsdynamik und Kritikalität.
• Prüfen Sie Restore-Prozeduren in realistischen Szenarien und messen Sie RTO/RPO.
• Dokumentieren Sie Wiederanlaufpläne (Disaster Recovery) und üben Sie regelmäßig.

Nur getestete Backups sind wertvolle Backups. Wer den Ernstfall trainiert, verkürzt Stillstände und erfüllt Vorgaben zur Sicherstellung der Betriebsfähigkeit.

9. Menschen befähigen: Training und Kultur

Technik allein reicht nicht. Schulen Sie alle Beteiligten – von der Bedienung über Instandhaltung und Engineering bis zur IT und zum Management. Passen Sie Inhalte an die Zielgruppe an: sichere Konfigurationen, Anzeichen für Manipulation, Meldewege, Umgang mit Wechseldatenträgern, Reaktionspläne.

• Regelmäßige Awareness-Maßnahmen und kurze Refresh-Sessions.
• Klare Do/Don’t-Listen (keine privaten USB-Sticks, keine Fremdgeräte im Produktionsnetz).
• Positive Sicherheitskultur: Meldungen honorieren, Umgehungen sanktionieren.

Eine informierte Mannschaft wirkt wie eine zusätzliche Schutzschicht: Sie erkennt Auffälligkeiten früh und verhindert, dass kleine Vorfälle groß werden.

10. DIN EN IEC 62443 – Die 10 wichtigsten Grundsätze der Cybersicherheit in der industriellen Automatisierung: Policies, Audits, kontinuierliche Verbesserung

Etablieren Sie verbindliche OT-Sicherheitsrichtlinien und Prozesse: Verantwortlichkeiten, Zulassungs- und Freigabeverfahren, Drittanbieteranforderungen, Backup-, Patch- und Monitoring-Standards, Incident-Response, Change- und Asset-Management. Verankern Sie das CSMS organisatorisch und messen Sie dessen Wirksamkeit.

• Legen Sie jährliche Reviews und anlassbezogene Neubewertungen fest (z. B. nach Änderungen).
• Prüfen Sie die Wirksamkeit mit internen/externen Audits und strukturierten Reifegradmodellen.
• Bewerten Sie jede wesentliche Änderung (Hardware, Firmware, Integration) erneut hinsichtlich Risiko und Konformität.

Security bleibt ein Prozess, kein Projekt. Wer kontinuierlich nachschärft, bleibt resilient gegen neue Angriffsmethoden, erfüllt regulatorische Erwartungen und schafft Vertrauen bei Kunden und Mitarbeitenden.

Fazit: Praxis vor Perfektion

Setzen Sie zuerst die wirksamsten Kontrollen um: Segmentierung, Rechteverwaltung, Monitoring, sichere Updates, Fernzugang unter Kontrolle und getestete Backups. Erheben Sie Kennzahlen (z. B. Patch-Status, Mean Time to Detect/Respond, Audit-Feststellungen) und verbessern Sie iterativ. So übersetzen Sie die Leitplanken der DIN EN IEC 62443 in robuste Praxis – für sichere, verfügbare und regelkonforme Automatisierung.

FAQ: DIN EN IEC 62443 in der Praxis