Kommt ein Angreifer aus Ihrer Office-IT bis an die OT-Steuerung und würde es jemand bemerken?
Ein OT-Pentest prüft Produktionsnetze, Steuerungen und vernetzte Geräte auf Angriffswege, passiv beginnend und mit aktiven Schritten nur in abgestimmten Wartungsfenstern. Für Betreiber stehen IT-OT-Segmentierung, Fernwartung und industrielle Protokolle wie Modbus, OPC und Profinet im Fokus. Wir testen mit den Techniken realer Angreifer (MITRE ATT&CK for ICS) und bewerten die Ergebnisse anhand der IEC 62443. Für Hersteller prüfen wir Firmware, Schnittstellen und Update-Wege mit Blick auf den Cyber Resilience Act, IEC 62443-4-2 und ETSI EN 303 645.
In der Produktion gelten andere Regeln als in der Office-IT. Verfügbarkeit und Anlagensicherheit stehen über allem. Systeme laufen über Jahre unverändert und ein Neustart zur falschen Zeit kann teurer sein als ein Angriff. Genau deshalb sind OT-Umgebungen selten so geprüft wie IT-Netze, obwohl die Vernetzung von Steuerungen und Geräten die Angriffsfläche stetig vergrößert. Mit NIS2 fallen zudem viele produzierende Unternehmen unter gesetzliche Pflichten zum Risikomanagement.
Wir betrachten zwei Perspektiven. Der Betreiber will wissen, wo seine Produktions- und Steuerungstechnik angreifbar ist, ohne dass die Prüfung selbst zum Risiko wird. Der Hersteller vernetzter Geräte will wissen, welche Schwachstellen sein Produkt vor dem Inverkehrbringen hat und wie es zu den Anforderungen des Cyber Resilience Act und der IEC 62443 passt. Wir prüfen Netzsegmentierung, Protokolle, Authentifizierung und die Geräte selbst, mit dem nötigen Respekt vor der Anlage.
Wir prüfen, wie sauber Produktionsnetze von der Office-IT getrennt sind und ob ein Angreifer aus der IT in die OT gelangt.
Wir bewerten die Sicherheit industrieller Protokolle wie Modbus, OPC und Profinet sowie die Authentifizierung an Steuerungen.
Ausgehend von einer angenommenen Kompromittierung zeigen wir, wie weit ein Angreifer in Richtung Anlage kommt, in Wartungsfenstern und ohne zerstörende Tests.
Für vernetzte Geräte prüfen wir Firmware, Schnittstellen, Update-Mechanismen und Standardkonfiguration orientiert an etablierten Gerätenormen.
Wir bewerten, ob Angriffe im OT-Bereich überhaupt sichtbar würden, denn Monitoring ist hier oft schwächer ausgeprägt als in der IT.
Ein OT-Pentest prüft Angriffswege von der Grenze zwischen Office-IT und Produktionsnetz über industrielle Protokolle und Steuerungen bis zum vernetzten Gerät mit Firmware. Gedacht ist er für Betreiber von Produktions- und Versorgungsanlagen und für Hersteller vernetzter Geräte; aktive Schritte erfolgen nur nach Abstimmung mit dem Betrieb. Die IT-Seite ergänzt der Pentest der Internen Infrastruktur & Active Directory. Betreiber verbessern danach Segmentierung und Erkennung, Hersteller ordnen die Ergebnisse in den Konformitätsnachweis ein.
Wir legen gemeinsam fest, was geprüft wird, welche Systeme unantastbar sind und in welchen Wartungsfenstern aktive Tests laufen.
Wir beginnen mit nicht eingreifenden Verfahren, um die Umgebung zu verstehen, bevor aktive Schritte erfolgen.
Aktive Tests erfolgen nur im abgestimmten Fenster, mit Vorankündigung kritischer Schritte und Ausschluss zerstörender Tests und Eingriffe in Sicherheitsfunktionen.
Befunde und Bewertung werden vor Übergabe gegengeprüft.
Sie erhalten die Auswertung mit Blick auf Verfügbarkeit und Anlagensicherheit, für Hersteller mit Bezug zu den einschlägigen Anforderungen.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und die Prüfbescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Jeder Befund mit Nachweis, Einordnung nach CVSS, Auswirkung und Relevanz für Ihre Umgebung, dazu die Liste der betroffenen Systeme und Geräte. Nachvollziehbar und auf Wunsch in einem Retest überprüfbar.
Ein priorisierter Actionplan mit klaren Verantwortlichkeiten, optional geschärft im Technischen Workshop mit Ihrem Team. Er ist die Grundlage für die Behebung und auf Wunsch begleiten wir die Umsetzung bis zum Retest.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Welcher Pentest-Nachweis Auditor, Aufsicht und Versicherer genügt
„Wir haben die Zusammenarbeit als äußerst vertrauensvoll und professionell erlebt. Der Penetrationstest wurde mit großer Sorgfalt und Rücksicht auf unsere Produktionsanlagen durchgeführt. Dank der praxisnahen Empfehlungen konnten wir unsere IT-Sicherheitsmaßnahmen spürbar optimieren.“
Martin Vollenbröker, Leiter IT und Digitalisierung, Privatmolkerei Naarmann GmbH
Diese Prüfung betrachtet Produktion, Steuerung und vernetzte Geräte. Die IT-Seite, von der viele Angriffe ausgehen, und verwandte Systeme lassen sich gezielt ergänzen.
Kombinierbar, sobald die Office-IT und ihr Active Directory als naheliegender Weg in die Produktion mitgeprüft werden sollen.
Zur LeistungWenn Ihre Systeme Drohnen, Satellitenverbindungen oder Bodenstationen umfassen, betrachtet diese Prüfung Gerät, Funkstrecke und Bodensegment gemeinsam.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Ja, mit einem Vorgehen, das das Risiko für den Betrieb begrenzt. Ganz ausschließen lässt es sich bei aktiven Tests nicht. Wir beginnen passiv und führen aktive Tests nur in abgestimmten Wartungsfenstern durch. Zerstörende Tests und Eingriffe in Sicherheitsfunktionen wie Not-Aus sind ausgeschlossen. Verfügbarkeit und Anlagensicherheit haben Vorrang vor Testabdeckung, das legen wir im Scoping verbindlich fest.
Ja, als Baustein, aber nicht als Ersatz für die Konformitätsbewertung. Der Cyber Resilience Act gilt gestaffelt: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit 11. September 2026, die übrigen Anforderungen ab 11. Dezember 2027. Für industrielle Komponenten bietet IEC 62443-4-2 eine anerkannte Grundlage, an der sich die Prüfung ausrichten lässt, auch wenn sie keine harmonisierte Norm unter dem CRA ist. Frühzeitiges Prüfen verschafft Vorlauf bis zum Stichtag.
Für Betreiber vor allem IEC 62443 (etwa Teil 3-3); getestet wird mit den Techniken realer Angreifer nach MITRE ATT&CK for ICS. Für Hersteller industrieller Komponenten gilt IEC 62443-4-2, für vernetzte Consumer-Geräte ETSI EN 303 645. Welche Norm im Vordergrund steht, hängt von Ihrer Rolle und dem Gerätetyp ab und wird im Scoping festgelegt.
Ein OT-Penetrationstest stellt Verfügbarkeit und Anlagensicherheit über die Testabdeckung, ein IT-Test kann aktiver und breiter vorgehen. In der OT beginnen wir passiv, arbeiten in Wartungsfenstern und bewerten Befunde zusätzlich nach ihrer Wirkung auf den Prozess. Industrielle Protokolle und langlebige Systeme erfordern eigenes Fachwissen.
NIS2 schreibt keinen OT-Penetrationstest vor, verlangt aber Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Das gilt auch für Produktionssysteme, die Sie für Ihre Dienste nutzen. Ein Test liefert dafür einen nachvollziehbaren Beleg. Welche Pflichten für Sie gelten, klärt ProSec Governance.
Wir brauchen Netzpläne, eine Übersicht der Anlagen und Steuerungen, abgestimmte Wartungsfenster und einen Ansprechpartner aus dem Anlagenbetrieb, der während des Tests erreichbar ist. Für Herstellerprüfungen kommen Testgeräte und Dokumentation zu Firmware und Schnittstellen hinzu. Den Umfang legen wir im Scoping fest.
Ja, Fernwartungszugänge von Herstellern und Dienstleistern sind ein typischer Weg in die OT und gehören auf Wunsch zur Segmentierungsprüfung. Wir bewerten, wie sie angebunden, authentifiziert und überwacht sind. Ob sie einbezogen werden, legen wir im Scoping fest.
Vor allem von Zahl und Art der Anlagen, Standorte und Netzsegmente und von den verfügbaren Wartungsfenstern. Weil aktive Schritte an diese Fenster gebunden sind, bestimmt der Betrieb die Laufzeit oft stärker als der Prüfumfang. Bei Herstellerprüfungen zählen Zahl der Schnittstellen, Firmware-Komplexität und verfügbare Testgeräte. Die Laufzeit reicht je nach Umfang von wenigen Tagen bis zu mehreren Wochen.
Nach wesentlichen Änderungen an Anlagen, Segmentierung oder Fernwartungszugängen, für Hersteller vor Releases mit sicherheitsrelevanten Änderungen. Weil OT-Systeme über Jahre unverändert laufen, verschiebt sich das Risiko vor allem über neue Anbindungen. Einen festen Rhythmus stimmen Betreiber sinnvoll mit ihrem ISMS und ihren NIS2-Pflichten ab.
