OT Security: Lagebild, Risiken und Recruiting-Realität in Industrie und KRITIS

OT Security ist 2026 kein Nischenthema mehr — für OT/ICS in Industrie und KRITIS ist sie Teil der Betriebsstabilität. Für Industrie und KRITIS ist sie Teil der Betriebsstabilität. Wenn OT-Sicherheit nicht funktioniert, sind die Folgen meist größer als in klassischer Office-IT: Produktionsstillstand, Versorgungsprobleme, längere Wiederanlaufzeiten und hohe Folgekosten.

Viele Unternehmen haben das erkannt. Trotzdem bleiben zentrale Rollen beim OT-Security-Personal lange unbesetzt. Genau hier setzt dieser Artikel an: Er verbindet Meldungen aus OT/ICS Threat Intelligence (z. B. Dragos, SANS) mit einer klaren Recruiting- und Umsetzungslogik.

Verwendete Grundlage:

• Dragos Resources (OT/ICS-Lagebilder)
• SANS ICS/OT Security
• ISA / IEC 62443 (Normenreihe zur Industrial Cybersecurity)
• Fortinet Reports

Warum OT Security anders ist als klassische IT Security

In OT-Umgebungen stehen Verfügbarkeit, Sicherheit und Prozessstabilität oft gleichrangig neben Vertraulichkeit. Das verändert Entscheidungen im Alltag:

• Patchen ist häufig an Wartungsfenster gebunden.
• Änderungen brauchen Freigaben aus Betrieb und Engineering.
• Altanlagen laufen länger und lassen sich nicht einfach ersetzen.
• Fehler wirken direkt auf physische Prozesse.

Diese Rahmenbedingungen erklären, warum reine IT-Standardmaßnahmen in OT-Kontexten oft nicht ausreichen.

Was aktuelle Reports über 2026 zeigen

Auch wenn Quellen unterschiedliche Methoden nutzen, ist die Richtung ähnlich:

1. Angriffe auf OT/ICS-Umgebungen bleiben ein reales Betriebsrisiko.
2. Exponierte Fernzugänge und Identitäten sind wiederkehrende Schwachstellen.
3. Segmentierung, Asset-Transparenz und Incident-Readiness bleiben Top-Baustellen.
4. Viele Organisationen investieren in Technik, aber nicht schnell genug in delivery-ready Teams.

Dragos- und SANS-Perspektiven stützen vor allem die operative Sicht: Der größte Unterschied liegt selten in Toolnamen, sondern in der Fähigkeit, unter Zeitdruck im Betrieb richtig zu handeln.

IEC 62443: nützlicher Rahmen, kein Selbstzweck

IEC 62443 ist für viele Unternehmen ein sinnvoller Kompass. Der Standard hilft, Rollen und Verantwortlichkeiten entlang des OT-Lebenszyklus zu strukturieren. Wichtig ist jedoch:

• Ein Standard ersetzt keine Priorisierung.
• Ein Standard ersetzt keine klare Rollenbeschreibung.
• Ein Standard ersetzt keine geübte Zusammenarbeit zwischen OT, IT und Security.

In der Praxis scheitern Mandate oft dort, wo IEC-Bezug als Schlagwort genutzt wird, aber Zielwirkung und Entscheidungswege unklar bleiben.

Optional: IEC 62443 schnell einordnen

IEC 62443 strukturiert OT-Security entlang von Lebenszyklus und Zuständigkeiten — nützlich für Profile, Nachweise und Abstimmung mit Integratoren.

Ohne klare Zielwirkung (was soll in 12 Monaten besser sein?) bleibt der Standard eine Etikette; mit klaren Ownern wird er zum gemeinsamen Raster für Hiring und Umsetzung.

Die häufigsten Engpässe im Recruiting

1) All-in-one-Stellenprofile

Eine Rolle soll Architektur, Betrieb, Governance und Audit zugleich abdecken. Ergebnis: geringe Besetzbarkeit und lange Time-to-hire.

2) Unklare Verantwortung

Wenn niemand final über Risiko-Trade-offs entscheidet, stocken Kandidatenprozess und spätere Umsetzung.

3) Zu langsame Auswahlprozesse

Starke Profile sind oft in wenigen Wochen vom Markt. Lange Schleifen reduzieren die Angebotsannahme deutlich.

4) Zertifikatsfokus ohne Delivery-Prüfung

Kurse und Zertifikate sind hilfreich, aber sie zeigen nicht automatisch, ob jemand in einer konkreten Produktionsumgebung liefern kann.

Welche Rollen zuerst Wirkung bringen

Nicht jede Vakanz ist gleich kritisch. Ein robustes Startmodell:

Priorität A: direkte Risikowirkung

• OT-Sicherheitsverantwortung mit Entscheidungskompetenz,
• operative Rollen für Erkennung, Härtung und Incident-Arbeit,
• klare Eskalationsverantwortung.

Priorität B: Stabilität und Nachweis

• Rollen für Governance und auditfähige Dokumentation,
• Schnittstellenrollen zwischen Produktion, IT, Security und Management.

Priorität C: Skalierung

• Vertiefte Spezialisierung,
• Team-Redundanz und Nachfolgefähigkeit,
• standortübergreifende Harmonisierung.

Diese Reihenfolge reduziert Risiko schneller als parallele Suche nach „allen Wunschprofilen“.

Interviewdesign mit hoher Vorhersagekraft

Für OT-Mandate funktionieren praxisnahe Fälle am besten:

1. Patch-vs-Uptime-Szenario
   Wie priorisiert die Person bei engen Wartungsfenstern?

2. Incident-Szenario in laufender Produktion
   Wie balanciert sie Eindämmung und Betriebsstabilität?

3. Nachweis-Szenario unter Prüfungsdruck
   Wie stellt sie belastbare Evidenz in kurzer Zeit bereit?

Solche Fragen zeigen schneller, ob ein Profil betrieblich anschlussfähig ist.

90-Tage-Start für Unternehmen mit akutem Engpass

Tage 1-30

• Top-Risiken und kritische Anlagen priorisieren,
• Rollen und Entscheidungswege verbindlich festlegen,
• Muss-Kriterien je Suchprofil auf Delivery reduzieren.

Tage 31-60

• Active Sourcing für Prioritätsrollen starten,
• Interviewpfad auf feste Stufen begrenzen,
• Kommunikations- und Eskalationsroutine testen.

Tage 61-90

• erste KPI auswerten,
• Fehlgründe bei Absagen strukturiert erfassen,
• Onboarding-Zielbild für erste Besetzungen umsetzen.

Ein kurzer Plan wirkt besser als ein umfangreiches Konzept ohne klare Taktung.

12-Monats-Modell für belastbare OT-Sicherheitsfähigkeit

Quartal 1: Klarheit und Priorität

• Asset- und Risikoübersicht schärfen,
• Rollenmatrix finalisieren,
• Baseline-KPI definieren.

Quartal 2: Besetzung und Stabilisierung

• kritische Rollen schließen,
• Entscheidungswege stabilisieren,
• erste Reifegradlücken in Betrieb und Governance schließen.

Quartal 3: Übung und Belastungstest

• realitätsnahe Incident-Übungen,
• Recovery- und Kommunikationsfähigkeit messen,
• Drittparteien-Schnittstellen testen.

Quartal 4: Standardisieren und skalieren

• Lessons Learned in Prozesse überführen,
• Rollenprofile nachschärfen,
• Planung für Folgejahr datenbasiert ausrichten.

KPI-Set für OT-Security-Recruiting und Delivery

• Time-to-Shortlist (kritische Rollen),
• Interview-to-Offer-Rate,
• Offer-Acceptance-Rate,
• Time-to-Productive im OT-Kontext,
• Anteil geschlossener Hochrisiko-Lücken pro Quartal.

Diese Kennzahlen helfen, Marktengpass und internen Prozessengpass sauber zu trennen.

Drittparteien und Servicepartner als Risikofaktor

Viele OT-Umgebungen hängen an Integratoren, Herstellern und Servicepartnern. Deshalb sollten Rollenprofile auch diese Fähigkeit prüfen:

• Sicherheitsanforderungen an externe Partner formulieren,
• Nachweise externer Maßnahmen bewerten,
• Maßnahmen über Vertragsgrenzen hinweg steuern.

Fehlt diese Kompetenz, verzögert sich die Umsetzung oft trotz interner Besetzung.

Regionale Realität in Industrie- und KRITIS-Mandaten

Standorte liegen häufig außerhalb großer Tech-Hubs. Das erfordert eine klare Suchstrategie:

• welche Aufgaben brauchen echte Vor-Ort-Präsenz,
• welche Aufgaben sind hybrid möglich,
• welche Aufgaben sind remote vertretbar.

Mit dieser Trennung vergrößert sich der Talentpool, ohne die Qualität zu schwächen.

Was Führungsteams monatlich sehen sollten

Ein kurzes Dashboard reicht:

1. Welche kritischen OT-Rollen sind offen?
2. Wo hängt der Kandidatenprozess?
3. Welche Risiken sind ohne Besetzung nicht beherrschbar?
4. Welche neuen Besetzungen zeigen bereits Wirkung?

Diese vier Fragen halten Recruiting auf Geschäftswirkung ausgerichtet.

Verwandte Vertiefungen

• IEC 62443 im Recruiting: Warum Industrial-Cybersecurity-Profile 2026 besonders knapp sind
• IT-Fachkräftemarkt 2026: Was das für KRITIS-Recruiting konkret bedeutet
• NIS2 in Unternehmen: Bin ich betroffen und was ist genau zu tun?

Fazit

OT Security 2026 ist vor allem eine Führungs- und Umsetzungsaufgabe. Die größte Lücke liegt selten in der Erkenntnis, sondern in der Besetzbarkeit kritischer Rollen und in der Qualität der Betriebsroutinen.

Unternehmen, die Risiko-Priorisierung, Rollenarchitektur und Prozessgeschwindigkeit verbinden, erreichen zwei Ziele zugleich:

• stabilere Sicherheitswirkung in Produktion und KRITIS-Kontext,
• deutlich robustere Besetzungen in einem engen Markt.

Genau das schafft echten Value: weniger Reibung, schnellere Wirkung, geringeres Fehlbesetzungsrisiko.

Typische Bedrohungsmuster im OT-Alltag

Für Unternehmen ist nicht jede Meldung gleich relevant. Hilfreich ist eine Einordnung nach Wirkung:

Muster 1: Zugang und Fernwartung

Viele Vorfälle starten über schwach kontrollierte Zugänge. Das betrifft:

• dauerhaft aktive Fernwartungszugänge,
• unklare Verantwortlichkeit für Dienstleister-Accounts,
• fehlende Trennung von Standard- und privilegierten Rechten.

Muster 2: Schwachstellen ohne praktikablen Patch-Pfad

Wenn Wartungsfenster eng sind, bleiben bekannte Lücken länger offen. Dann braucht es Kompensationsmaßnahmen und klare Risikoentscheidungen.

Muster 3: Segmentierungs- und Sichtbarkeitslücken

Ohne belastbare Asset-Transparenz und Segmentierung steigen laterale Bewegungsrisiken und die Reaktionszeit im Vorfall.

Muster 4: Unklare Krisenkommunikation

Technische Teams arbeiten, aber Management und Betrieb erhalten zu spät klare Lagebilder. Das kostet Zeit und erhöht Folgeschäden.

Diese Muster sind nicht neu. Neu ist die Geschwindigkeit, mit der sie heute in operative Risiken übersetzen.

Rollenmatrix für OT Security

Eine einfache Rollenmatrix hilft bei Priorisierung und Besetzung:

Rolle A: OT Security Lead

• Verantwortung für Priorität, Governance und Eskalation,
• Schnittstelle zur Leitung,
• Steuerung über Standorte oder Werke.

Rolle B: OT Security Engineer / Specialist

• technische Umsetzung von Härtung, Segmentierung, Monitoring,
• enge Zusammenarbeit mit Betrieb und Engineering,
• operative Incident-Mitarbeit.

Rolle C: OT Governance / Evidence Owner

• Nachweisfähigkeit, Reifegradtracking, Auditvorbereitung,
• Übersetzung technischer Umsetzung in prüfbare Evidenz.

Rolle D: Interface Manager IT/OT

• Koordination zwischen IT-Teams, Produktionsbereichen und Security,
• Auflösung von Zielkonflikten im Tagesgeschäft.

Diese Rollen müssen nicht immer als vier einzelne Stellen starten. Aber die Verantwortung muss klar verteilt sein.

Interview-Scorecard mit fünf Kriterien

Für konsistente Auswahl empfiehlt sich eine kompakte Scorecard:

1. Betriebsnähe
   Versteht die Person reale OT-Prozessabhängigkeiten?

2. Umsetzungsstärke
   Hat sie konkrete Maßnahmen in vergleichbaren Umgebungen geliefert?

3. Entscheidungsfähigkeit
   Kann sie unter Zielkonflikten klare Prioritäten setzen?

4. Schnittstellenwirkung
   Arbeitet sie belastbar mit Betrieb, Engineering, IT und Management?

5. Nachweisfähigkeit
   Kann sie Ergebnisse nachvollziehbar dokumentieren und steuern?

Eine einheitliche Scorecard reduziert Bauchentscheidungen und verbessert Vergleichbarkeit.

Onboarding: die ersten 12 Wochen

Selbst gute Besetzungen verlieren Wirkung, wenn der Einstieg unscharf ist.

Woche 1-2

• Zielanlagen, Kritikalität und Abhängigkeiten verstehen,
• Stakeholderkarte erstellen,
• Eskalationswege prüfen.

Woche 3-6

• priorisierte Risiko- und Maßnahmenliste erstellen,
• erste kurzfristige Verbesserungen umsetzen,
• Reporting-Takt mit Führung abstimmen.

Woche 7-12

• wiederholbare Routinen verankern,
• offene Hochrisiko-Themen mit Frist und Owner führen,
• Lessons Learned aus ersten Vorfällen/Tests dokumentieren.

So wird aus Personalzugang operative Wirksamkeit.

Gehalt, Angebot, Abschlussquote

In knappen OT-Märkten ist Vergütung wichtig, aber allein selten entscheidend. Hohe Abschlussquoten entstehen, wenn drei Dinge zusammenpassen:

• marktgerechtes Paket,
• klare Verantwortung,
• glaubwürdiger Umsetzungsrahmen.

Kandidaten prüfen zunehmend, ob Rolle und Mittel zusammenpassen. Unklare Mandate führen auch bei gutem Gehalt zu Absagen.

Jahresplanung für Recruiting-Teams

Eine klare Jahresplanung senkt Reibung:

Q1: Priorisieren

• Rollen nach Risikowirkung sortieren,
• Must-have-Kriterien kalibrieren,
• Suchkanäle je Rollentyp festlegen.

Q2: Besetzen

• Schwerpunkt auf kritische Rollen,
• kurze Entscheidungszyklen sicherstellen,
• Angebotsannahme eng monitoren.

Q3: Stabilisieren

• Onboarding-Ergebnisse messen,
• Profile und Prozess anhand Daten nachschärfen.

Q4: Vorsorgen

• Nachfolge- und Vertretungsrisiken prüfen,
• Folgejahr mit realen Engpässen planen.

Diese Taktung verhindert hektische Ad-hoc-Suchen.

Häufige Fehler und Gegenmaßnahmen

Fehler: zu breite Rollentitel

Gegenmaßnahme: Rolle auf 12-Monats-Zielwirkung reduzieren.

Fehler: zu viele Interviewrunden

Gegenmaßnahme: feste Maximaldauer je Prozessstufe.

Fehler: kein gemeinsames Bewertungsmodell

Gegenmaßnahme: einheitliche Scorecard mit klaren Kriterien.

Fehler: fehlende Übergabe ins Team

Gegenmaßnahme: verbindlicher 30-60-90-Plan und klare Mentoren.

Kurzcheck für Führungsteams

Sechs Fragen als Monatscheck:

1. Welche Top-Risiken sind personalbedingt unzureichend adressiert?
2. Welche kritische Rolle ist seit mehr als 90 Tagen offen?
3. Wo verlieren wir Kandidaten im Prozess?
4. Welche Drittpartei ist aktuell der größte OT-Risikotreiber?
5. Welche Besetzung hat in den letzten 60 Tagen messbar Wirkung erzeugt?
6. Welche Rolle braucht frühzeitige Nachfolgeplanung?

Wenn diese Fragen regelmäßig beantwortet werden, steigt Steuerbarkeit deutlich.

Abschlussbild für Unternehmen

OT Security wird in den kommenden Jahren nicht einfacher. Aber sie wird besser beherrschbar, wenn Unternehmen klar führen:

• erst Risiko, dann Rolle,
• erst Zielwirkung, dann Titel,
• erst Prozessdisziplin, dann Skalierung.

Für Unternehmen, die OT-Security-Personal suchen, ist genau das der entscheidende Hebel: den engen Markt nicht mit mehr Aktion, sondern mit besserer Struktur beantworten.

Einfache Reifegradeinschätzung für OT-Teams

Viele Unternehmen fragen: Wo stehen wir aktuell? Ein pragmatisches Drei-Stufen-Modell hilft.

Stufe 1: reaktiv

• Maßnahmen sind punktuell,
• Rollenüberschneidungen sind hoch,
• Entscheidungen dauern zu lange.

Stufe 2: strukturiert

• Rollen und Eskalationswege sind definiert,
• Prioritäten sind risikobasiert,
• erste KPI werden regelmäßig verfolgt.

Stufe 3: belastbar

• Team kann unter Druck schnell handeln,
• Wiederanlauf ist geübt,
• Recruiting und Nachfolgeplanung laufen proaktiv.

Das Ziel ist nicht schnelle Perfektion, sondern planbarer Fortschritt.

Zusammenspiel mit IT und Produktion

OT Security scheitert oft an Schnittstellen, nicht an Einzeldisziplinen. Erfolgreiche Unternehmen etablieren:

• feste Abstimmung zwischen Security und Produktion,
• klare Verantwortlichkeit bei Changes,
• gemeinsame Entscheidung bei Risiko-Trade-offs.

Wenn diese Regeln fehlen, entstehen Reibungsverluste und Verzögerungen.

Kompakter Maßnahmenplan für die nächsten 4 Wochen

1. Top-3-Risiken je Standort festlegen.
2. Kritische Rollen mit Owner/Vertretung benennen.
3. Einen realen Incident-Ablauf testen.
4. Eine hochkritische Drittpartei mit klarer Eskalationslogik hinterlegen.
5. Suchmandate für die zwei wichtigsten Engpassrollen starten.

Dieser Plan erzeugt schnell sichtbaren Fortschritt.

Warum dieser Ansatz für Kandidaten attraktiv ist

Auch für den Arbeitsmarkt ist Struktur ein Vorteil. Gute Kandidaten entscheiden sich eher für Mandate, wenn:

• Zielwirkung klar ist,
• Entscheidungswege transparent sind,
• die Rolle echte Autorität hat.

Damit verbessert sich nicht nur die Sicherheit, sondern auch die Abschlussquote im Recruiting.

Entscheidungshilfe: intern aufbauen oder extern besetzen?

Viele Unternehmen stehen vor derselben Frage. Ein einfaches Raster:

• Intern aufbauen, wenn Grundlagen vorhanden sind und ein erfahrener Sparringspartner zur Verfügung steht.
• Extern besetzen, wenn kurzfristig hohe Wirksamkeit gefordert ist.
• Hybridmodell, wenn Stabilisierung sofort und Wissensaufbau parallel laufen sollen.

Dieses Raster verhindert, dass Rollen aus Zeitdruck falsch zugeschnitten werden.

Messbare Zielbilder für OT-Security-Rollen

Statt allgemeiner Formulierungen sollten Rollenprofile konkrete Ergebnisziele enthalten:

• „kritische Eskalationskette innerhalb von 60 Tagen stabilisieren“,
• „Top-5-OT-Risiken mit Maßnahmenplan und Owner versehen“,
• „Nachweisqualität für priorisierte Kontrollen prüfbar verbessern“.

Solche Ziele machen Erwartungen transparent und erhöhen die Passung im Auswahlprozess.

Schlussimpuls

Wer OT Security personell stärken will, sollte nicht nur nach Fachbegriffen suchen, sondern nach nachweisbarer Betriebswirkung. Genau diese Perspektive trennt in 2026 starke Besetzungen von teuren Fehlversuchen.

Eine einfache Regel hilft dabei: Jede Rollenanforderung sollte sich auf ein konkretes Betriebsrisiko oder ein messbares Resilienzziel zurückführen lassen. Wenn das nicht möglich ist, ist das Profil meist zu unscharf.

Zusätzlich lohnt ein letzter Plausibilitätscheck vor Suchstart: Ist klar, welche drei Ergebnisse die Rolle in den ersten sechs Monaten liefern soll, wer diese Ergebnisse abnimmt und wie der Fortschritt gemessen wird? Wenn diese drei Punkte sauber beantwortet sind, steigt die Besetzungsqualität erfahrungsgemäß deutlich.

Genau dieser kleine Schritt spart später viel Zeit, weil Erwartungen, Verantwortungen und Erfolgskriterien von Anfang an synchron sind. Für den Bewerbermarkt ist das ebenfalls ein Signal: Das Unternehmen weiß, was es braucht, und kann Entscheidungen verlässlich treffen. Das erhöht die Umsetzungswahrscheinlichkeit im ersten Jahr spürbar.