Zero Trust in OT: Warum klassische IT-Konzepte nicht ausreichen

Zero Trust in OT wird 2026 in fast jedem Security-Strategiepapier genannt — und scheitert in der Praxis oft an derselben Ursache: Teams übertragen Office-IT-Logik auf Produktionsnetze, ohne Verfügbarkeit, Safety und jahrzehntealte Anlagenarchitekturen zu berücksichtigen. Zero Trust ist kein Produkt und kein VPN-Ersatz; es ist ein Modell expliziter Vertrauensgrenzen. In OT bedeutet das andere Prioritäten, andere Metriken und oft einen anderen Einstieg als in der IT.

Dieser Artikel ordnet ein, warum klassische IT-Konzepte allein nicht ausreichen, was CISAs OT Zero Trust Guidance (April 2026) und ISA/IEC 62443 als Outcomes liefern — und wie passive Überwachung unter Safety-First-Randbedingungen funktioniert.

Warum IT-Zero-Trust in OT scheitert

In der Office-IT dominiert ein Denkmuster: Identität verifizieren, Gerät prüfen, Zugriff minimieren, bei Verdacht schnell isolieren. In OT kollidieren dieselben Maßnahmen mit harten Betriebsrealitäten:

• Verfügbarkeit schlägt oft Vertraulichkeit — ein falsch getriggerter Cutover stoppt Produktion.
• Legacy-Protokolle (Modbus, PROFINET, OPC) kennen keine moderne Authentifizierung auf jeder Nachricht.
• Safety-Systeme dürfen nicht durch Security-Tools in der Reaktionszeit beeinträchtigt werden.
• Wartungsfenster erlauben keine „immer-on“-Patch- und Policy-Zyklen.

Zero Trust scheitert nicht am Prinzip „never trust, always verify“, sondern an der falschen Geschwindigkeit und Granularität. Wer in OT dieselben Kontrollen wie im Corporate LAN erzwingt, erzeugt entweder Betriebsblockaden oder Schattenzugänge durch Integratoren.

CISA April 2026: Was sich für OT ändert

Die CISA OT Zero Trust Guidance (April 2026) schärft ein zentrales Missverständnis: Zero Trust in OT ist kein Copy-Paste der fünf IT-Pfeiler, sondern ein outcome-orientiertes Modell entlang sichtbarer Assets, kontrollierter Kommunikationswege und nachweisbarer Governance.

Für europäische Betreiber ist CISA nicht unmittelbar bindend — aber die Guidance spiegelt Erfahrungen aus KRITIS- und Fertigungsumgebungen, die auch unter NIS2 und IEC 62443 relevant sind:

• Asset-Transparenz vor Mikrosegmentierung — wer segmentiert, ohne Inventar, segmentiert blind.
• Conduit-Kontrolle statt pauschaler „Air Gap“-Mythen — siehe Zonenmodell IEC 62443.
• Lieferketten-Identitäten — Fernwartung und Integratoren als persistente Risikopfade.
• Incident Response mit OT-Verantwortlichen — nicht nur SOC-Tickets.

Unser OT-Security-Lagebild zeigt, warum Asset-Transparenz und delivery-ready Teams hier zusammen gehören.

ISA/IEC 62443 Zero Trust Outcomes

ISA verbindet IEC 62443 explizit mit Zero-Trust-Outcomes: explizite Zonen, dokumentierte Conduits, Security Levels und Foundation Requirements — insbesondere FR1 (Identifikation), FR2 (Integrität) und FR5 (Datenfluss-Beschränkung). Das ist kein Marketing-Overlay, sondern operatives Vokabular:

• Zone = Vertrauensdomäne mit definiertem SL,
• Conduit = kontrollierter Pfad zwischen Zonen,
• SL2 als häufiger Startpunkt in Fertigung — ambitioniert genug, ohne SL4-Komplexität.

62443 liefert damit die Architekturgrammatik, die IT-Zero-Trust-Frameworks in OT oft fehlt. Vertiefung zu Rollen und Recruiting: IEC 62443 im Recruiting.

Breach in OT: andere Definition, andere Alarme

In IT dominiert die Vorstellung: Breach = unautorisierter Zugriff plus Exfiltration. In OT reicht für kritische Wirkung oft:

• eine Parametrierungsänderung an einem Regler,
• ein Logic-Download außerhalb des Change-Fensters,
• ein neuer Engineering-Pfad über Fernwartung,
• anomale Prozesswerte ohne erkennbares Malware-Signal.

Zero-Trust-Programme, die nur IT-IOC-Feeds ins SOC spielen, verpassen diese Muster. Deshalb braucht OT prozessnahe Detektion — Baselines für Kommunikation, Konfigurationsänderungen und physikalisch plausible Grenzwerte.

Passive Überwachung als pragmatischer Einstieg

Aktive Scans und Inline-Policy-Enforcement sind in vielen OT-Netzen betrieblich untauglich — Latenz, Protokollbruch, Safety-Risiko. Passive Überwachung (SPAN/TAP, OT-spezifische DPI, Konfigurations-Monitoring) ist deshalb oft der realistische Zero-Trust-Einstieg:

• Sichtbarkeit ohne Eingriff in den Produktionsfluss,
• Historie für Forensik und NIS2-Meldefenster,
• Grundlage für spätere Conduit-Härtung — wenn Wartungsfenster es erlauben.

Passive Monitoring ersetzt keine Segmentierung — aber es liefert die Evidenz, wo Vertrauensgrenzen fehlen. Ohne diese Daten führt Zero Trust zu teuren Architekturprojekten ohne Priorisierung.

Mini-Roadmap: Zero Trust in OT in 90 Tagen

Tage 1–30: SuC und kritische Zonen definieren, passive Sichtbarkeit an Kern-Switches, Integratoren-Zugänge inventarisieren.

Tage 31–60: Baselines für Engineering-Traffic, Fernwartung und Prozess-Alarms; erste Conduit-Policy-Entwürfe mit Betrieb.

Tage 61–90: Tabletop mit OT-Leads, Priorisierung nach Safety- und Verfügbarkeitsimpact, Rollen für Monitoring und Change Control besetzen.

Safety First: die nicht verhandelbare Leitplanke

Kein Zero-Trust-Projekt in OT ist erfolgreich, wenn Security-Maßnahmen Safety-Funktionen verschlechtern: längere Not-Aus-Ketten, verzögerte Schutz-Relais, fehlende Redundanz nach Segmentierung. Jede Architekturentscheidung braucht eine explizite Safety-Review — nicht als Nachgelagerte Checkbox.

Governance-seitig gehört Zero Trust deshalb in dieselbe Steuerung wie Cyber-Resilienz insgesamt — siehe Cybersecurity Governance 2026. Vorstand und Werkleitung müssen verstehen: Zero Trust in OT ist ein Risiko-Trade-off-Programm, kein Compliance-Sticker.

Identität und Fernwartung: der schwierigste Pfeiler

IT-Zero-Trust setzt auf Identität als Perimeter. In OT dominieren technische Konten, langlebige Engineering-Sessions und Integratoren-Zugänge, die über Jahre gewachsen sind. Ein pragmatischer OT-Ansatz:

• Jump-Server mit Session-Recording statt direkter SPS-Erreichbarkeit,
• Zeitlich begrenzte Fernwartungsfreigaben mit Betriebs-OK,
• Getrennte Pfade für Produktions-Engineering und Office-IT — nie dasselbe Identity-System blind verknüpfen,
• Lieferanten-Identitäten in Asset-Inventar und Conduit-Regeln — nicht nur interne User.

Zero Trust heißt hier: jeder Pfad ist explizit, zeitlich begrenzt und überwacht — nicht „MFA überall morgen“.

Segmentierung unter Wartungsfenster-Zwang

Microsegmentierung ist das IT-Herzstück — in OT oft schrittweise. Sinnvolle Sequenz:

1. Kernproduktion von Office und Internet trennen (Conduit-Level 1),
2. Engineering-Netze von Prozesszonen isolieren (Level 2),
3. Safety-Netze nur dort anfassen, wo Evidenz echte laterale Bewegung zeigt (Level 3).

Jede Stufe braucht Rollback-Plan und Betriebs-Freigabe. Wer das überspringt, erzeugt Stillstände — und damit Akzeptanzprobleme bei Produktionsleitern.

SOC-Integration ohne OT-Blindheit

Viele Zero-Trust-Initiativen enden im IT-SOC — ohne OT-Protokoll-Parsing, ohne Baselines für Modbus/PROFINET/OPC und ohne klare Eskalation an Schichtführung. Mindestanforderungen:

• dedizierte OT-Use-Cases im SIEM (Konfigurationsänderung, neue Engineering-Session),
• Runbooks mit Betriebs-Freigabe vor aktiver Isolation,
• gemeinsame Übungen mit Produktion — nicht nur IT-Tabletops.

Ohne diese Schnittstelle bleibt Zero Trust ein Netzwerkdiagramm, das im Incident irrelevant ist.

Personal und Umsetzung

Zero-Trust-Strategien scheitern an fehlenden Schnittstellenrollen: wer übersetzt CISA-Outcomes in Conduit-Regeln, wer kalibriert SOC-Alerts für OT-Protokolle, wer verhandelt Wartungsfenster mit Produktion? Der Markt für solche Profile ist knapp — Cybersecurity Recruiting mit outcome-basierten Profilen beschleunigt die Umsetzung.

Fazit

Zero Trust in OT scheitert nicht am Konzept, sondern an IT-Übertragung ohne OT-Outcomes. CISA-Guidance (April 2026) und ISA/IEC-62443 liefern ein belastbares Zielbild: Asset-Transparenz, Conduit-Kontrolle, passive Überwachung als Einstieg, Safety als Leitplanke und eine Breach-Definition, die Prozessintegrität ernst nimmt. Wer das mit delivery-ready Rollen und Betriebsfreigaben verbindet, baut echte Vertrauensgrenzen — statt Zero Trust auf Folien zu deklarieren.

Vertiefung: OT Security Lagebild, Cybersecurity Governance. Besetzung: Cybersecurity Recruiting.