Vernetzte Instandhaltung öffnet neue Angriffsflächen zwischen OT, IT und Cloud. OST-Professor Christoph Göldi zeigt, warum Zero Trust im Brownfield realistischer ist als gedacht und wo Betriebe anfangen.

Textquelle: Markus Frutig (Inoveris) im Auftrag von Easyfairs Switzerland

Die vernetzte Instandhaltung bietet grosse Chancen für die Industrie. Beispiele sind Remote Support, Predictive Maintenance und Industrie 4.0. Sie bringt jedoch auch neue Angriffsflächen zwischen OT, IT und Cloud mit sich. Auf der «maintenance Schweiz 2026» moderiert Prof. Christoph Göldi vom Institut für Netzwerke und Sicherheit (INS) der Ostschweizer Fachhochschule (OST) auf der Vortragsbühne des neuen Messeformats «SKDV-Service Dialog» gemeinsam mit dem Schweizer Service Verband (SKDV), Open Systems (Zero Trust und ZTNA), Vayron (OT Security) und Siemens (industrielle Praxis) das interaktive Panel «Cybersecurity in der vernetzten Instandhaltung». Im Trendinterview spricht er über realistische erste Schritte, Zero Trust in Brownfield-Umgebungen und die häufigsten Denkfehler in der Praxis.

Herr Prof. Göldi, was sind die Kernkompetenzen des INS im Bereich OT- und Netzwerksicherheit?

Prof. Christoph Göldi: Der Name sagt es bereits. Das Institut für Netzwerke und Sicherheit bearbeitet die Themen Cloud, Netzwerke und Sicherheit. Wir arbeiten genau an der Schnittstelle für die spannenden Entwicklungen rund um OT und vernetzte Instandhaltung. Moderne Vernetzung und Cloud-Technologien schaffen neue Anwendungen sowie bessere Betriebsmodelle. Gleichzeitig entstehen dort neue Sicherheitsrisiken. Wir möchten den Unternehmen helfen, diese neuen Chancen zu nutzen, aber dabei kontrolliert vorzugehen, so dass die Sicherheit erhalten bleibt.

Erfordert dieses Thema wirklich ein eigenständiges Institut? Gibt es nicht genügend Cybersecurity-Firmen für die Industrie?

Die Vernetzung rechtfertigt ein eigenes Institut. Dieser riesige Bereich spielt in der Ausbildung eine sehr grosse Rolle. Vor 20 Jahren besass die Vernetzung kaum Bedeutung. Heutzutage arbeitet fast jedes elektronische Gerät in einem Netzwerk. Jedes dieser Geräte erfordert einen entsprechenden Schutz. Dieses Thema nimmt in Lehre und Forschung an der Fachhochschule viel Raum ein.

Warum ein Anlagenstillstand teurer ist als die IT-Panne

Warum wird Cybersecurity heutzutage zur eigentlichen Grundlage der vernetzten Instandhaltung?

Zahlreiche Menschen verstehen das falsch. Cybersecurity ist zunächst ein Thema der Verfügbarkeit. Die Vernetzung von Anlagen und Automationsinfrastruktur bringt enorme Gewinne bei der Effizienz. Beispiele sind die Fernwartung und der datenbasierte Betrieb. Aber niemand entwickelte diese Systeme für eine Vernetzung. Diese Anlagen existieren in der Regel seit Jahrzehnten. Damals plante niemand einen Anschluss ans Netzwerk, was grosse Angriffsflächen schafft. Bei einem Angriff fällt ein solches System aus. Das betrifft dann nicht nur die IT, sondern auch direkt den Betrieb. Der Stillstand einer industriellen Anlage bedeutet direkte Verluste. Sogar Fachleute unterschätzen die Kosten solcher Ausfälle regelmässig. Die zentrale Frage, um die Sicherheit bei der Vernetzung im Griff zu halten, lautet deshalb: Wer wann und unter welchen Bedingungen Zugriff auf welche Systeme erhält.

Der Einstieg beginnt mit dem Inventar der Anlagen

Mit welchen konkreten Schritten beginnt für ein Unternehmen eine sichere vernetzte Instandhaltung?

Wenige Massnahmen erreichen in der Regel bereits einiges. Der Einstieg ist meistens eine Übersicht, die Inventarisierung. Ein Unternehmen fragt sich, welche Anlagen und Systeme es besitzt. Darauf folgt die Bewertung, welche davon kritisch sind, keinen Ausfall dulden oder sensible Prozesse betreffen. Danach geht es an die Netzwerke. Firmen teilen sie auf und segmentieren sie. Zum Schluss klären sie, wer wo Zugriff und wo nicht erhält.

Insbesondere in KMU fehlt zumeist das interne Fachwissen. Ein erfahrener Partner hilft hier sehr, der die typischen Architekturen kennt. Er reduziert die Zugriffe konsequent auf das Notwendige. Hier kommt Zero Trust ins Spiel. Konkrete Lösungen wie Zero Trust Network Access (ZTNA) erlauben zeitlich begrenzte, protokollierte und eindeutig definierte Zugriffe.

Was kommt zuerst: Sichtbarkeit der Assets, Netzwerksegmentierung, Identitäten oder Prozesse?

Ich entscheide mich für die Sichtbarkeit. Niemand kann unbekannte Dinge schützen. Ohne Inventar fehlt jede Grundlage. Nach dieser Sichtbarkeit und Inventarisierung folgt sehr schnell die Segmentierung. Wo braucht es eine eigene Zone für kritische Komponenten? Wo existieren ältere Legacy-Geräte ohne Eignung für eine Vernetzung? Ein weiterer relevanter Punkt ist das Verständnis für die Kommunikation dieser Komponenten. Nur so können Unternehmen die Kommunikation sinnvoll und gezielt einschränken.

Zero Trust im Brownfield: schrittweise statt Neubau

Zur Einordnung: Was sind Brownfield-Umgebungen und was bedeutet Zero Trust?

Fachleute sprechen von Brownfield-Umgebungen bei bestehenden Anlagen und Infrastrukturen, die über Jahre oder Jahrzehnte gewachsen sind. Das Gegenteil sind Greenfield-Umgebungen. Dort beginnt ein Projekt neu auf der «grünen Wiese». Zero Trust ist eine Denkweise und kein Produkt. Der Grundsatz lautet: Das System stuft niemanden und nichts automatisch als vertrauenswürdig ein. Es prüft und autorisiert jeden Benutzer, jedes Gerät und jeden Zugriff explizit. Zero Trust ist ein Zielmodell mit Reifegraden. Zahlreiche Unternehmen glauben an einen Irrtum. Sie denken an einen kompletten Neubau ihrer Brownfield-Umgebung. Das stimmt nicht. Firmen arbeiten sich schrittweise zu höheren Reifegraden vor.

Wie realistisch ist Zero Trust in typischen Brownfield-Umgebungen mit langen Anlagenlebenszyklen und Legacy-Protokollen?

Wir begleiten konkrete Kundenprojekte. Ein Betrieb plant zum Beispiel den Abruf von Telemetriedaten aus seinen CNC-Maschinen. Fachleute installieren dafür gezielt Geräte, die nur diese Telemetriedaten in die IT leiten. Das passiert eingeschränkt und sauber definiert. Es öffnen sich keine unbeabsichtigten Türen. Zero Trust in Brownfield ist zumeist realistischer als erwartet.

Welche Unterschiede bestehen zwischen einer strategischen Zielarchitektur nach IEC 62443 und den operativ machbaren Schritten für den heutigen Betrieb und die Instandhaltung?

IEC 62443 funktioniert ähnlich wie Zero Trust. Es beschreibt ein Zielbild und eine optimale Architektur. Kaum ein Unternehmen setzt das von heute auf morgen um. Deshalb hilft ein pragmatischer Weg. Dieser führt in der Regel über eine Asset-Inventarisierung, eine Netzwerksegmentierung mit eindeutig definierten Zonen und eine Auslegeordnung. Das klärt relevante Fragen: Welche Zugriffe erfolgen auf welche Systeme? Welche Rollen existieren? Welche Berechtigungen gelten? Diese Massnahmen bleiben idealerweise nicht isoliert, sondern bilden den Teil einer langfristigen Strategie. Unternehmen setzen diese schrittweise um. Dadurch stellen Firmen insbesondere am Anfang eines Projekts zahlreiche zentrale Weichen richtig.

Wie das INS KMU bei OT-Security-Projekten begleitet

Berät das INS Unternehmen direkt in solchen Projekten? Wie sieht das aus und was ist die Stärke seiner Rolle für KMU?

Ja, das machen wir. Wenn ein Unternehmen damit neu beginnt, schauen wir uns die Situation an und erarbeiten einen Plan. Solche Projekte wachsen schnell. Dann arbeiten wir mit anderen Firmen zusammen. Unsere Unabhängigkeit ist unsere Stärke. Wir vermitteln zwischen der IT-Welt und der Industriewelt. Ausserdem bauen wir Testumgebungen auf, damit Kunden die Funktion einer Lösung in der Praxis sehen. Erst danach investieren sie in ihre Produktion.

Welche Massnahmen KMU ohne grosses Programm gelingen

Welche Quick Wins gelingen ohne ein grosses Transformationsprogramm?

In historisch gewachsenen Brownfield-Umgebungen funktioniert überraschend viel. Das meiste hat mit Hygiene zu tun. Unternehmen ersetzen Standardpasswörter, entfernen unnötige Fernzugänge ohne Nutzung seit Jahren, überprüfen Administrationskonten und löschen verwaiste Konten. Sie erstellen demnach ein aussagekräftiges Inventar. Auch kleinere Unternehmen schaffen diese Aufgaben.

Die Trennung von Produktionsnetzwerken und Büronetzwerken bringt ebenfalls viel. Firmen koppeln also OT- und IT-Umgebungen voneinander ab. Unternehmen vergessen in der Regel den Back-up- und Wiederherstellungsprozess. Back-ups existieren meistens, die Firmen testen sie in der Regel jedoch schlecht. Ein Back-up funktioniert im Ernstfall am besten durch regelmässige Prüfungen. Solche Massnahmen gelingen einfach und reduzieren das Risiko deutlich.

Der Denkfehler «Uns kennt niemand» kostet Betriebe teuer

Was erleben Sie in der Praxis als häufigsten Denkfehler beim Thema OT-Security?

Der grösste Denkfehler in KMU lautet: «Uns kennt niemand, daher sind wir kein interessantes Ziel.» Die Realität sieht anders aus. Hacker automatisieren heutzutage die meisten Angriffe. Algorithmen finden verwundbare Systeme im Internet sofort. Die Bekanntheit eines Unternehmens spielt keine Rolle.

Der zweite Denkfehler betrifft die Umsetzung selbst. Zahlreiche Menschen sehen einen Widerspruch zwischen Sicherheit und Produktivität. Aufmerksame Nachrichtenleser sehen das Gegenteil. Angegriffene Unternehmen erleiden massive Ausfälle. Zwei Wochen Stillstand passieren regelmässig. Für kleinere Unternehmen bedeutet das meistens eine Gefahr für die Existenz.

Warum KMU externe Partner für OT-Security brauchen

Welche Rolle spielen Serviceprovider, Hersteller und externe Partner in einem sicheren Betriebsmodell?

Eine sehr zentrale Rolle. Grössere Unternehmen bauen eigene IT- und OT-Security-Teams auf. Kleineren Unternehmen fehlt dagegen sowohl das Fachwissen als auch die Kapazität beim Personal. Der laufende IT-Betrieb lastet sie in der Regel voll aus. OT-Security arbeitet zusätzlich übergreifend. Sie umfasst IT, OT, Betrieb und Engineering. Die gemeinsame Koordination überfordert zahlreiche Organisationen im Alleingang.

Erfahrene Partner helfen enorm. Fachleute installieren, betreiben und überwachen Sicherheitslösungen rund um die Uhr. Die meisten Unternehmen schaffen das nicht allein. Ein guter Partner leistet Support, macht die Massnahmen transparent und kontrolliert die Zugriffe. Hinzu kommt die regulatorische Dimension. Die Geschäftsleitung haftet in der EU persönlich für die Einhaltung der geforderten Sicherheitsstandards.

Wie EU-Regulierung die Schweizer Industrie einholt

Wo steht die vernetzte Instandhaltung in der Schweiz in ein bis zwei Jahren beim Thema OT-Security und Zero Trust?

Wir sehen noch sehr viel Arbeit. Das Spannungsfeld beschäftigt die Branche in den kommenden Jahren stark. Ein Grund dafür sind die regulatorischen Anforderungen aus der EU. Fachleute durchdringen zahlreiche Themen noch nicht bis auf den Grund. Jedes Unternehmen prüft am besten genau den Umgang mit den eigenen Risiken.

Die regulatorischen Anforderungen kommen nicht aus dem Nichts. Die Welt verhält sich in diesem Bereich sehr rau. Cyberangriffe auf Infrastrukturen nehmen zu. Geopolitische Motive spielen dabei eine grosse Rolle. Unternehmen nehmen diese Gefahr sehr ernst.

Warum das Panel Technik und Industrie zusammenbringt

Warum haben Sie sich als OST bewusst für ein interaktives Panel-Format statt klassischer Vorträge entschieden?

Wir verkaufen kein Produkt, sondern bringen Technologieanbieter und Industrieunternehmen zusammen. Dadurch entstehen tragfähige Lösungen für die Praxis. Das Panel-Format bietet den Raum für echten Austausch und Rückfragen. Es zeigt die Herausforderungen aus jedem Blickwinkel. Das hilft den Technologieanbietern. Sie verstehen dadurch den Standpunkt und die Bedürfnisse der Industrieunternehmen besser.

Was nehmen Fachbesuchende als wichtigste Erkenntnis von Ihrer Session am 26. August mit? Was ist Ihre persönliche Botschaft?

Ich habe zwei Kernbotschaften. Erstens: Cybersecurity und Zero Trust bilden keine Option mehr. Sie schaffen die Voraussetzung für einen sicheren und regelkonformen Betrieb. Zweitens: Das ist keine Hexerei. Das ist die gute Nachricht. Wenn Unternehmen das System einmal annehmen, helfen einfache Schritte am Anfang. Dadurch erreichen sie mit einem überschaubaren Aufwand sehr viel.

Mich persönlich fasziniert das Spannungsfeld zwischen Industrie und IT. Die beiden Welten sprechen unterschiedliche Sprachen. Sie nutzen grundsätzlich andere Denkmuster. Genau das macht die Aufgabe spannend. Wir bringen Menschen zusammen, suchen gemeinsam nach Lösungen, fördern den Dialog und räumen mit falschen Annahmen auf. Ich zeige sehr gerne die schnellen Erfolge nach einem Start.

---

Der Eintritt zu beiden Fachmessen sowie allen Vortragsflächen ist kostenlos. Vor Ort werden die Besuchenden mit Getränken und Snacks versorgt. Ein kostenloses Ticket kann mit dem Einladungscode «1416» auf der Website gesichert werden. Treffen Sie die Branche vom 26. bis 27. August 2026 in der Messe Zürich und nutzen Sie diese Weiterbildung sowie das Networking zum Nulltarif.