Unser OT-Pentest in der Industrie prüft Produktionsnetz, Fernwartung und vernetzte Produkte aus Angreifersicht. Die Tests stimmen wir auf Ihre Stillstandsfenster ab.
Ihr Werk ist über Jahrzehnte gewachsen: eine Steuerung aus der Zeit vor der Vernetzung, ein MES aus dem letzten Rollout, eine Cloud-Anbindung für vorausschauende Wartung, dazu ein Fernwartungszugang je Maschinenhersteller. Jede dieser Entscheidungen war für sich sinnvoll. In Summe sind Produktionsnetz und Office-IT heute enger verbunden, als es jede Netzskizze zeigt.
In unseren Tests zeigt sich dabei ein Muster. Um eine Linie zu stoppen, müssen Angreifer die SPS gar nicht erreichen. Für einen Ransomware-Angriff genügen die Windows-Systeme, von denen die Linie abhängt: Engineering-Stationen, HMIs, MES und Etikettendruck. Sind diese Abhängigkeiten bekannt, lassen sich Segmentierung und Wiederanlauf gezielt darauf ausrichten.
Fallen die Windows-Systeme der Fertigung aus, steht die Linie, auch wenn jede Steuerung intakt ist. Wir simulieren den Angriff bis zu diesen Systemen und prüfen, ob Backup und Wiederanlauf greifen.
Über das Active Directory kann ein Angreifer aus der Office-IT bis ins Produktionsnetz gelangen, auch dort, wo die Netze auf dem Papier getrennt sind. Wir machen diese Pfade sichtbar und prüfen, ob die Segmentierung hält.
Router, VPN-Zugänge und Konten der Maschinenhersteller sind häufig dauerhaft aktiv und können einem Angreifer mehr öffnen als die eine Maschine. Wir prüfen, was sich über einen solchen Zugang erreichen lässt.
Automobilhersteller verlangen ein TISAX-Label, andere Kunden Pentest-Nachweise oder ISO/IEC-27001-Belege. Wir schneiden den Test so zu, dass ein Ergebnis mehrere dieser Anforderungen bedient.
Vernetzte Maschinen und Geräte werden beim Kunden Teil von dessen Netz. Wir prüfen Ihr Produkt aus Angreifersicht, bevor es in den Markt geht, auch mit Blick auf den Cyber Resilience Act.
Wir legen Test und Bericht so an, dass ein Ergebnis mehreren Anforderungen dient: NIS2 erfasst wichtige Zweige des verarbeitenden Gewerbes ab mittlerer Unternehmensgröße, der Cyber Resilience Act richtet sich an Hersteller vernetzter Produkte und TISAX wirkt über die Lieferkette der Automobilindustrie.
Der Test kann zugunsten einer realen Bewertung Teil Ihres Verfahrens zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen nach BSIG sein. Der Bericht zeigt, welche Maßnahmen im Werk und an den Übergängen zur Produktion wirken und wo Sie nachschärfen sollten.
Für Hersteller prüfen wir das Produkt über Firmware, Schnittstellen, Apps und Backends auf ausnutzbare Schwachstellen. Der Bericht ist so aufgebaut, dass er als Testnachweis in die technische Dokumentation einfließt.
Auf Wunsch ordnen wir Befunde den relevanten Kontrollfragen des VDA ISA zu, etwa zu Schwachstellenmanagement und Netztrennung. Bericht und Prüfbescheinigung dienen im Assessment als Nachweis für technische Anforderungen.
Für Betreiber richten wir Scope und Prüftiefe an Zonen und Conduits aus, für Hersteller an den Anforderungen an Komponenten. Befunde aus Werk und Produkt ordnen wir diesem Rahmen zu, damit Ihr Team sie direkt einplanen kann.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Werke und Hersteller, die ihren Stand für Geschäftsführung, Kunden und das TISAX-Assessment belegen wollen.
Pentest von außen und im Office-Netz mit Active Directory, bis zu den Übergängen in die Produktion, dazu ein Phishing-Test. Zum Abschluss präsentieren wir die Ergebnisse Ihrer Geschäftsführung.
Ein priorisierter Fahrplan für Office-IT und Übergang zur Fertigung, verwendbar für Kunden- und TISAX-Nachweise.
Werke mit segmentierter OT, Automotive-Zulieferer mit hohem Schutzbedarf und Hersteller vernetzter Produkte.
OT-Pentest im Stillstandsfenster oder Produkttest am Testgerät, dazu eine Ransomware-Simulation bis zum Wiederanlauf. Im Technischen Workshop schließen wir erste Befunde mit Ihrem Automatisierungsteam.
Belegte Angriffspfade bis in die Fertigung oder ins Produkt, mit umsetzbaren Maßnahmen für Produktion und Entwicklung.
Gruppen mit mehreren Werken und Hersteller, die ihre Produkte regelmäßig mit neuen Releases ausliefern.
Ein Pentest-Programm mit zentralem Vergleich aller Werke, Tests der Apps und Portale zu Ihren Produkten vor jedem Release und Begleitung, bis alle Befunde nachweislich geschlossen sind.
Vergleichbare Sicherheit in allen Werken und ein belegbarer Prozess für Produktsicherheit über den Lebenszyklus.
In der Industrie verbinden wir den Blick auf Werk, Produkt und Lieferkette mit der Frage, wie schnell die Fertigung nach einem Angriff wieder läuft.
Wir prüfen Produktionsnetz, Steuerungen, Fernwartung und vernetzte Produkte aus Sicht des Betreibers und des Herstellers.
Wir zeigen, wie weit ein Angreifer bis zu den Systemen kommt, die Ihre Linie braucht, und ob Backup und Wiederanlauf greifen.
Das Active Directory kann zur Brücke zwischen Office und Produktion werden. Wir zeigen die Pfade, bevor ein Angreifer sie nutzt.
Wir prüfen, was von außen erreichbar ist: Fernwartungszugänge, Lieferantenportale und vergessene Systeme aus Projekten.
Werkstore, Lieferverkehr und Fremdfirmen schaffen Zugänge. Wir prüfen, ob sich ein Gerät ins Produktionsnetz einschleusen lässt.
Für Gruppen mit mehreren Werken oder Gesellschaften macht ein zentraler Vergleich die Sicherheitslage jedes Standorts sichtbar.
Ein global vernetztes Industrieunternehmen mit hochsensiblen Produktionsumgebungen und entsprechend hohen Anforderungen an die Informationssicherheit.
ProSec unterstützte TDK Electronics mit spezialisierter Security-Expertise, hoher technischer Qualität und einem partnerschaftlichen Austausch auf Augenhöhe.
Eine Zusammenarbeit, die den hohen Sicherheitsansprüchen von TDK gerecht wurde und zu einer 100%igen Zufriedenheit mit den erbrachten Leistungen führte.
„Die Erstgespräche mit ProSec und deren Erfahrungen waren auf einem sehr hohen Niveau und haben uns gezeigt, hier auf den richtigen Partner zu setzen. Ich bin zu 100% zufrieden mit den erhaltenen Leistungen und würde mich jederzeit wieder für ProSec entscheiden!“
Wir klären gemeinsam, welche Werke, Netze und Produkte in den Scope gehören und wie der Test in Ihre Produktionsplanung passt.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Nur passiv oder in abgestimmten Fenstern. Aktive Prüfungen an Steuerungen erfolgen im Stillstand, an redundanten Linien oder an Referenzanlagen, gemeinsam mit Ihrem Automatisierungsteam. Abbruchkriterien, Ansprechpartner und eine Notabschaltung für jede getestete Anlage legen wir vorab fest.
Ja. Bericht und Prüfbescheinigung lassen sich im TISAX-Assessment als Nachweis für technische Anforderungen einsetzen. Auf Wunsch ordnen wir die Befunde den relevanten Kontrollfragen des VDA ISA zu.
Wenn Sie vernetzte Produkte in der EU bereitstellen, gelten seit dem 11. September 2026 Meldepflichten für aktiv ausgenutzte Schwachstellen und ab dem 11. Dezember 2027 die vollständigen Anforderungen. Ein Produkttest zeigt, welche ausnutzbaren Schwachstellen Ihr Produkt heute hat, und liefert Evidenz für die technische Dokumentation.
Für Office-IT und die Übergänge zur Produktion ist ein jährlicher Test üblich, ergänzt um Tests nach größeren Änderungen wie neuen Linien, Werken oder Fernwartungszugängen. Hersteller vernetzter Produkte testen zusätzlich vor Releases, weil der Cyber Resilience Act regelmäßige wirksame Tests verlangt. Den Rhythmus legen wir gemeinsam fest.
TISAX ist ein Assessment- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Ein Pentest ist ein kontrollierter Angriff auf Ihre Systeme. Das Assessment bewertet Ihr ISMS anhand des VDA ISA. Der Pentest zeigt, ob Ihre technischen Maßnahmen einem Angreifer standhalten. Seine Ergebnisse können Sie im Assessment als Nachweis einsetzen.
Sie benennen Ansprechpartner aus Automatisierung und Produktion und stellen eine Übersicht der Netze, Übergänge und Fernwartungszugänge bereit. Im Scoping legen wir Stillstandsfenster, Referenzanlagen und Abbruchkriterien fest. Vor Testbeginn sorgen Sie für eine aktuelle Datensicherung. Lücken in der Dokumentation schließen wir über passive Analyse im Test.
Ja, auf Ihrer Seite der Verbindung: Router, VPN-Zugänge, Konten und die Netze, die darüber erreichbar sind. Systeme des Herstellers selbst testen wir nur mit dessen Zustimmung. So sehen Sie, ob ein kompromittierter Zugang wirklich nur die eine Maschine erreicht.
Der Aufwand hängt von der Zahl der Werke und Linien, den Übergängen zwischen Office-IT und Produktion und der Zahl der Fernwartungszugänge ab. Ein Produkttest richtet sich nach Schnittstellen, Firmware, Apps und Backends des Produkts. Die Prüfung selbst dauert je nach Umfang wenige Tage bis einige Wochen. Wie sich diese Tage verteilen, bestimmen vor allem Ihre Stillstandsfenster. Nach dem Scoping erhalten Sie ein Angebot mit festgelegtem Umfang.
Der OT-Pentest prüft Ihre Produktion als Betreiber. Dabei geht es um Netze, Steuerungen, Protokolle wie Modbus, OPC und Profinet, Fernwartung und die Übergänge zur Office-IT. Der Produkttest prüft das Gerät oder die Maschine, die Sie an Kunden liefern. Dabei geht es um Firmware, Schnittstellen, Apps und Backends, meist an einem Testgerät. Der Produkttest liefert Nachweise für die technische Dokumentation nach dem Cyber Resilience Act.
