Sicherheit lässt sich nicht kaufen, nur führen

Warum wirksame OT-Security von der Geschäftsführung und der Personalarbeit getragen wird und sich ausgerechnet in der Produktion entscheidet.

Ein Tag Produktionsstillstand kostet einem Industrieunternehmen meist mehr als ein ganzes Jahr an Investitionen in die Absicherung seiner Anlagen. Der wirtschaftliche Fall ist also längst entschieden. Die Technik ist es auch: Sensoren, Firewalls und Monitoring-Lösungen sind am Markt verfügbar. Trotzdem bleiben viele Fertigungsumgebungen verwundbar. Die Lücke liegt nicht in der Technik, sondern in der Kultur. Und Kultur ist ein Führungsergebnis, kein Produkt, das man einkauft, keine Software, die man beschafft.

Technische Schutzmaßnahmen wirken nur so weit, wie die Belegschaft sie im Alltag trägt.

Nirgends zeigt sich das deutlicher als in der OT-Sicherheit, dem Schutz der Betriebstechnik, also der Produktions- und Steuerungssysteme. Sie gilt als technisches Spezialthema. Tatsächlich ist sie aber vor allem eine Führungs- und Organisationsaufgabe und damit ein Lehrstück dafür, wie sehr Sicherheit nach wie vor vom Verhalten der Menschen abhängt.

Zwei Welten, ein gemeinsames Ziel

IT und Produktion haben sich über Jahrzehnte getrennt entwickelt, mit eigener Fachsprache, eigenen Prioritäten und einem eigenen Sicherheitsverständnis. Während die IT die Verfügbarkeit von Daten schützt, hat in der Produktion der Schutz von Mensch und Anlage Vorrang. Regulatorische Vorgaben wie die EU-Richtlinie NIS2, die viele Industrieunternehmen gesetzlich zu Cybersicherheit verpflichtet, zwingen beide Welten nun zusammen. 

Lesetipp

Doch eine Richtlinie allein schafft noch keine Zusammenarbeit. Die erste Führungsaufgabe besteht deshalb nicht darin, Technik zu beschaffen, sondern zwei Kulturen zu einer zu verbinden: gemeinsame Ziele, eine gemeinsame Sprache, geregelte Zuständigkeiten. Das ist Organisationsentwicklung, keine Technikfrage.

Kultur schlägt Kontrolle

Technische Schutzmaßnahmen wirken nur so weit, wie die Belegschaft sie im Alltag trägt. Ein physisch getrenntes Netz verliert seinen Schutz in dem Moment, in dem ein Servicetechniker sein Notebook ansteckt oder Daten über einen USB-Stick einspielt. Sicherheit entscheidet sich also nicht im Werkzeug, sondern im täglichen Verhalten. Genau das ist Sicherheitskultur: Sie zeigt sich daran, dass sicheres Handeln zum Regelfall wird – auch dann, wenn niemand kontrolliert. Eine solche Kultur entsteht nicht durch ein jährliches Awareness-Training, sondern durch das, was Vorgesetzte glaubwürdig vorleben und einfordern. Denn was die Führung im Kleinen toleriert, wird zum Standard: die übersprungene Freigabe, das geteilte Passwort, die ignorierte Warnmeldung.

Eine angstfreie Fehler- und Meldekultur ist keine Nebensache, sondern sicherheitskritisch.

Diese Haltung hat eine Voraussetzung, die oft übersehen wird: Melden setzt Vertrauen voraus. Wer fürchtet, für eine gemeldete Auffälligkeit oder einen eigenen Fehler belangt zu werden, schweigt – und genau dieses Schweigen ist das eigentliche Risiko. Eine angstfreie Fehler- und Meldekultur, in der Forschung psychologische Sicherheit genannt, ist deshalb keine Nebensache, sondern sicherheitskritisch. Sie entsteht dort, wo Führungskräfte Fehler als Lernquelle behandeln statt als Anlass für Schuldzuweisungen.

Verantwortung verteilen ist Führungssache

Sicherheit scheitert im Tagesgeschäft selten an fehlender Technik, sondern an ungeklärten Fragen: Wann wird ein Update eingespielt? Wer bewertet eine Störung? Und wer darf im Ernstfall die Produktion anhalten? Solange diese Verantwortung niemandem eindeutig zugewiesen ist, bleibt der Nutzen jeder Schutzmaßnahme begrenzt. Neue Rollen wie ein OT Security Officer oder ein Plant Security Owner können helfen. Doch entscheidend ist nicht der Titel, sondern die Klarheit, die dahinter steht: dass jeder weiß, wofür er verantwortlich ist und wo seine Zuständigkeit endet. Solche Rollen zu schaffen und mit echten Befugnissen auszustatten, ist eine originäre Führungsentscheidung.

Befähigung statt Belehrung

Auch die Sensibilisierung der Mitarbeiter lässt sich nicht unverändert aus der Büro-IT übernehmen. Ein Phishing-Training für den Schreibtisch bildet die Realität einer Fertigungshalle nur zum Teil ab. Wirksame Befähigung ist rollenspezifisch: Anlagenbediener lernen, Auffälligkeiten an Maschinen zu erkennen und zu melden; Servicetechniker lernen, welches Risiko der Anschluss externer Datenträger birgt. Erschwerend kommt hinzu, dass viele der vor Ort Tätigen gar nicht zur eigenen Belegschaft zählen. Externe Dienstleister und Zeitarbeitskräfte bewegen sich täglich in der Produktion, ohne je ein klassisches Onboarding durchlaufen zu haben. Eine Sicherheitskultur, die an der Werkstür der eigenen Belegschaft endet, greift deshalb zu kurz.

Ein Phishing-Training für den Schreibtisch bildet die Realität einer Fertigungshalle nur zum Teil ab.

Wie dringend Qualifizierung ist, zeigt der aDvens Threat Status Report: 2025 war das produzierende Gewerbe der in Deutschland am häufigsten von Ransomware betroffene Sektor – jeder fünfte erfolgreiche Angriff traf einen Industriebetrieb. Der gängigste Einfallsweg ist dabei der Missbrauch gestohlener Zugangsdaten. Auch der Microsoft Digital Defense Report bestätigt das: Über 97 Prozent aller identitätsbasierten Angriffe sind schlichte Passwortattacken. Die Angreifer brechen nicht in Systeme ein, sondern melden sich mit gültigen Zugangsdaten an. 

Rein technische Kontrollen reichen deshalb nicht aus, solange die Beschäftigten den sicheren Umgang mit Passwörtern, Phishing und Fernzugriffen nicht beherrschen. Das setzt eine Security Awareness voraus, die dauerhaft angelegt ist, statt auf einmalige Trainings zu bauen. Da spezialisierte OT-Security-Fachkräfte am Markt kaum verfügbar sind, liegt der Schlüssel in der gezielten und kontinuierlichen Weiterbildung der internen Teams. Das schließt die Kompetenzlücke und bindet zugleich die eigene Belegschaft.

Sicherheit ist auch Personalarbeit

Damit wird sichtbar, dass Sicherheitskultur nicht allein von der Geschäftsführung getragen wird, sondern ebenso von der HR-Abteilung. Sie verfügt über die Instrumente, mit denen aus Theorie gelebte Praxis wird. Sicherheitsverantwortung lässt sich in Rollenprofilen und Stellenbeschreibungen verankern, statt sie als lästige Zusatzaufgabe mitlaufen zu lassen. Onboarding-Prozesse setzen dann das richtige Signal, wenn sie Sicherheit von der ersten Stunde an als integrales Element vermitteln – für eigene Beschäftigte ebenso wie für Externe. Auch Zielvereinbarungen und Anreizsysteme können sicheres Verhalten zu einem Kriterium neben Produktivität und Qualität machen. Und Führungskräfteentwicklung sorgt dafür, dass Vorgesetzte ihre Vorbildrolle nicht nur ausfüllen, sondern dafür auch gerüstet sind. Sicherheit ist damit kein reines Technik-Projekt, sondern ein Feld, in dem Personalarbeit und Führung gemeinsam den Takt vorgeben.

Eine Frage von Leadership

Der Einstieg in eine belastbare OT-Sicherheit erfordert somit weder hohe Investitionen noch tiefes technisches Know-how. Am Anfang stehen drei Entscheidungen: Verantwortung eindeutig zuzuweisen, den Ist-Zustand der Systeme transparent zu erfassen und die beteiligten Fachbereiche an einen Tisch zu holen. Der wirksamste Hebel liegt damit nicht im Budget für neue Technik, sondern in der Haltung von Unternehmensführung und Personalarbeit. Sicherheit lässt sich nicht kaufen. Man muss sie führen.

Über den Autor

Patrick Scholl ist Director OT CoE bei Infinigate.