--- title: "VORNAC OT Pentesting · Sicher testen für KRITIS, NIS2 & IEC 62443." description: "OT-Pentesting für KRITIS-Betreiber und Industrieanlagen. SPS, RTUs, SCADA, DCS und Sicherheitssteuerungen. Belegte Findings je IEC-62443-Zone, fertig als §8a-BSIG-Nachweis. Bewiesen, ohne die Produktion zu stoppen. Deutsche Rechenzentren, deutsche Jurisdiktion." url: https://www.vornac.com/ot-pentesting lang: de published: 2026-08-17 updated: 2026-10-01 alternate_en: https://www.vornac.com/en/ot-pentesting --- # VORNAC OT Pentesting Pentesting für Industrieanlagen: SPS, RTUs, SCADA, DCS und Sicherheitssteuerungen. Wir weisen jede Schwachstelle nach, **ohne die Produktion zu stoppen.** Jedes Finding bekommt seine IEC-62443-Zone und wird zum §8a-BSIG-Nachweis. Deutsche Rechenzentren, deutsche Jurisdiktion. ## 2017 griff TRITON als erste Schadsoftware gezielt das Sicherheitssystem einer Anlage an: *jene letzte Instanz, die eine Explosion verhindern soll.* OT-Ausfälle zählt man in Stillstand, zerstörten Chargen und Menschenleben, nicht in geleakten Datensätzen. Ein Test, der einen Controller abstürzen lässt, ist kein Finding, sondern der Vorfall. Wir beweisen den Exploit, ohne selbst einer zu werden. 0 Ungeplanter Stillstand durch Tests. Wir erkunden passiv. Aktive Schritte laufen nur im freigegebenen Wartungsfenster. Der Techniker der Anlage sitzt an der Konsole, die Rückkehr in den sicheren Zustand ist vorbereitet. 0 Ausgelöste Sicherheitsfunktionen. Das SIS prüfen wir am Design und am Replikat, nie in der laufenden Sicherheitsschleife. Genau das ist die Lehre aus TRITON. 0 Pakete an Live-Controller ohne schriftliche Freigabe. Nichts berührt Level 0 oder 1 der laufenden Anlage ohne Freigabe des Betreibers. Alles bleibt in deutschen Rechenzentren, unter deutschem Recht. Kein US Cloud Act. ## Unser Fachbeitrag in der et: Vom Messpunkt zum Steuerpunkt. Mit § 14a EnWG wird der Netzanschluss vom Messpunkt zum Steuerpunkt: Digitale Befehle greifen in den physischen Netzbetrieb ein. VORNAC-Geschäftsführer Arthur Raess analysiert in der et, warum die Angriffsfläche hinter dem Smart-Meter-Gateway entsteht und weshalb jährliche Penetrationstests den geforderten Wirksamkeitsnachweis nicht mehr erbringen. et *Vom Messpunkt zum Steuerpunkt: Die neue Angriffsfläche der Verteilnetze* Energiewirtschaftliche Tagesfragen 76\. Jg. (2026), Heft 9, S. 27 bis 29 Arthur Raess, VORNAC GmbH [Beitrag als PDF lesen](https://www.vornac.com/vornac-et-fachbeitrag-messpunkt-steuerpunkt-2026.pdf) ## Ein IT-Pentest auf einer Anlage ist kein Test. Er ist ein Vorfall, der auf den Auslöser wartet. OT dreht die Regeln um. Sicherheit und Verfügbarkeit zählen mehr als Vertraulichkeit. Anlagen laufen 20 bis 30 Jahre ohne Neustart. Und ein simpler Portscan legt schon mal eine SPS lahm, die älter ist als der Techniker, der sie wartet. ### Das IT-Playbook, auf OT gerichtet - **Priorität:** Vertraulichkeit der Daten. Die klassische CIA-Triade. - **Erkundung:** Aktive Scans gegen alles in Reichweite. - **Wo es läuft:** Live-Produktion. „Brich einfach nichts.“ - **Änderungen:** Neustart und Patch, monatlich. - **Ergebnis:** Eine generische CVE-/CVSS-Liste. ![VORNAC](https://www.vornac.com/logo-vornac-white.svg) - **Priorität:** Sicherheit vor Verfügbarkeit, beides vor Vertraulichkeit. Ein gestoppter Prozess ist der Vorfall. - **Erkundung:** Wir schneiden passiv mit. Ein Nmap-Sweep hängt eine alte SPS auf, also kartieren wir, bevor wir etwas anfassen. - **Wo es läuft:** Am Prüfstand, am Zwilling, am Replikat. Vor Ort nur im freigegebenen Fenster. - **Änderungen:** Kein freier Neustart. Firmware herstellergebunden, Protokolle proprietär, Patch-Fenster in Jahren. - **Ergebnis:** Findings je IEC-62443-Zone, SL-T gegen SL-A, fertig als §8a-BSIG-Nachweis. ## Sicher bewiesen, *ohne Risiko für die Anlage.* Wir verstehen die Anlage, bevor wir sie anfassen. An einer Live-Anlage läuft nichts Aktives ohne vereinbartes Fenster und die Freigabe einer benannten Instanz. ### Scope und Sicherheitsrahmen festlegen Welche Purdue-Level, welche Wartungsfenster, wer die Sicherheit verantwortet, wen wir bei Not-Halt anrufen. Rules of Engagement und Abbruchkriterien stehen, bevor irgendetwas beginnt. ### Passiv erkunden und kartieren Mitschnitt über SPAN/TAP, Inventar aus Assets und Firmware, passive Analyse von Modbus, DNP3, S7comm, OPC-UA, PROFINET und IEC 60870-5-104. So entstehen die Zonen und Übergänge der Anlage. Kein einziges Paket geht in die Live-Steuerung. ### Validieren, ohne Risiko Jede Exploit-Kette beweisen wir am Prüfstand, am Zwilling oder am Replikat. Aktiv getestet wird nur im Fenster, ein Techniker der Anlage daneben, Gerätezustand und sicherer Zustand laufend im Blick. Das SIS fassen wir an der laufenden Anlage nie an. ### Übergabe, audit-fertig Belegte Findings, jeder in seiner IEC-62443-Zone, fertig als §8a-BSIG-Nachweis. Unveränderliches Protokoll. Maßnahmen sortiert nach physischer Folge, nicht nach rohem CVSS. Gespeichert in deutschen Rechenzentren. ## Jeder OT-Vorfall ist *ein Abstieg.* Angreifer starten selten an der Anlage. Sie kommen über die IT und arbeiten sich das Purdue-Modell hinunter, Ebene für Ebene, bis ein Befehl etwas Physisches bewegt. Die Karte, die §8a BSIG verlangt, ist die Karte, gegen die wir testen. Gezeichnet als IEC-62443-Zonen und ihre Übergänge. 1. Phase IBusiness- & OT-Analyse 2. Phase IITestplan & Sicherheitsrahmen 3. Phase IIIPassiv → sicher-aktiv → Zwilling 4. Phase IVReporting & §8a-Nachweis L5 Enterprise-Zone ### Unternehmensnetz Unternehmens-WAN, Cloud, zentrale IT und Identität. Hier beginnt fast jeder Angriff: VPN, Fernzugriff, Phishing, Lieferkette. **VORNAC-Vorgehen**Ausgangspunkt · von der IT-Seite getestet L4 Enterprise-Zone ### Standort-Business-Systeme Standort-ERP, Produktionsplanung, Logistik, lokale Server. Der typische Ransomware-Einstieg. Von hier sucht der Angreifer den Weg nach unten. Colonial Pipeline · 2021DarkSide traf nur IT und Abrechnung. Die OT blieb sauber. Der Betreiber legte die Pipeline trotzdem vorsorglich still. **VORNAC-Vorgehen**Ausgangspunkt · von der IT-Seite getestet L3.5 IT-/OT-DMZ · regulierter Übergang ### Industrielle DMZ Firewalls, Datendioden, Jump-Hosts, replizierte Historians, Fernzugriff, Patch-Staging. Diese Grenze hält IT-Ransomware aus der OT. Ein einziger dual-homed Host reißt sie ein. **VORNAC-Vorgehen**Primäre Testgrenze · Übergang beweisen oder widerlegen L3 Operations-Zone ### Standortbetrieb MES, Historians, Batch- und Produktionssteuerung, OT-Domänencontroller, Patch- und AV-Server. Ein gemeinsames Active Directory wird zum Single Point of Failure für die ganze OT. **VORNAC-Vorgehen**Aktiv, beaufsichtigt · im Fenster L2 Control-Zone ### Bereichs-Leittechnik HMIs, SCADA-Server, DCS-Bedienstationen, Engineering-Workstations, Alarme. Meist Windows, oft ungepatcht. Über eine gekaperte Engineering-Workstation wandert manipulierte Logik nach L1. Stuxnet · 2010Über die Engineering-Workstation kam manipulierte Logik auf die Siemens-S7-SPS. **VORNAC-Vorgehen**Aktiv, beaufsichtigt · im Fenster L1 Control-Zone ### Basissteuerung SPS, RTUs, IEDs, DCS-Controller. Die Steuerprotokolle kennen keine Authentifizierung. Wer Zugriff hat, spielt Logik oder Firmware direkt ein. Industroyer2 · 2022Schaltete Umspannwerks-Leistungsschalter über IEC 60870-5-104. Erkannt und blockiert. PIPEDREAM / INCONTROLLER · 2022Modulares SPS-Toolkit für Modbus, CODESYS, OPC-UA. Entdeckt, bevor es Schaden anrichtete. **VORNAC-Vorgehen**Passiv · Aktives am Labor-Zwilling SIS Safety-Zone · eigener Übergang ### Sicherheitsgerichtete Steuerung SIL-zertifizierte Logikbausteine und Sicherheitsnetze. Die letzte Linie, die den Prozess sicher abschaltet. IEC 62443 und IEC 61511 verlangen dafür eine eigene Zone, nicht das normale L1. TRITON / TRISIS · 2017Zielte auf eine Triconex-Sicherheitssteuerung. Scheiterte und fuhr die Anlage sicher herunter. **VORNAC-Vorgehen**Design-Review + Replikat · niemals live L0 Prozess ### Feld / Prozess (E/A) Der physische Prozess: Sensoren, Messumformer, Ventile, Motoren, Antriebe. Keine Authentifizierung. Eine Manipulation wirkt sofort physisch und fällt kaum auf. **VORNAC-Vorgehen**Nur passiv · bewiesen am Zwilling Physischer Prozess Ventil aufgerissen · Rotor auf Überdrehzahl · Sicherheitsverriegelung umgangen. - Findings je IEC-62443-Zone und Zonenübergang - SL-T-Ziel gegen erreichtes SL-A, pro Zone - §8a-BSIG-Nachweis-Paket - Angriffserkennung geprüft (§8a Abs. 1a) - Maßnahmen nach physischer Folge sortiert ## Die ganze Anlage. *Vom Feldbus bis zur IT-Grenze.* Vom Sensor an der Linie bis zum Hersteller-VPN. Jede Ebene, über die ein Angreifer an den Prozess kommt. ### SPS, RTUs, IEDs & Antriebe Passive Protokollanalyse, Firmware-Review, Prüfung von Logik-Integrität und ungeschützten Schreibzugriffen an den Controllern, die den Prozess bewegen. ### HMI, SCADA & DCS Authentifizierung, Integrität der Projektdateien, unsignierte Logik-Downloads und manipulierte Bedienansichten an den Stationen, die die Anlage fahren. ### Sicherheitsgerichtete Systeme (SIS) Wir prüfen die Trennung von Safety und Basisprozess (die Grenze, die TRITON angriff), ohne den laufenden Betrieb zu stören, an SIL-zertifizierten Logikbausteinen in eigener Zone. ### Engineering-Workstations & Logik Missbrauch von Projektdateien und Logik-Downloads (der Weg von Stuxnet und TRITON auf die Controller), quer durch die Hersteller-Toolchains. ### IT/OT-DMZ, Übergänge & Fernzugriff Firewalls, Datendioden, Jump-Hosts, Historians, Hersteller-VPN, Wechselmedien. Wir prüfen Segmentierung und Zonenübergänge nach IEC 62443-3-2. ### Gebäude- & Standortsysteme BACnet-Gebäudeleittechnik, Strom und USV, Zutritt. Oft die schwächste Stelle, und eine stille Brücke ins OT-Netz. ## Die physische Folge ist *in jeder Anlage anders.* Was „L0 erreichen“ heißt, hängt davon ab, was das L0 der Anlage steuert: einen Leistungsschalter, eine Dosierpumpe, eine Verriegelung, eine Roboterzelle. - Energie & Netz KRITIS Leistungsschalter fernsteuern, Schutzrelais manipulieren. Das Industroyer-Playbook. Am Ende steht der *regionale Blackout*. - Wasser & Abwasser KRITIS HMI übernehmen, den Sollwert der Chemikaliendosierung verstellen. *Unsicheres Wasser verlässt die Anlage*. - Chemie & Prozess NAMUR · IEC 61511 Sicherheitssysteme angreifen, Verriegelungen umgehen. TRITON-Klasse. *Unkontrollierte Reaktion, Freisetzung oder Notabschaltung*. - Automotive & Fertigung TISAX Linien- und Roboterzellensteuerung kapern. *Bandstillstand zu siebenstelligen Kosten pro Stunde*, oder stille Qualitätssabotage. - Gebäude & Facility Angrenzende OT Strom, Kühlung, Zutritt. *Anlage oder Rechenzentrum steht still*, ganz ohne den Prozess zu berühren. Passende Programme für [kritische Infrastruktur](https://www.vornac.com/industries-critical-infrastructure) und [Automotive](https://www.vornac.com/industries-automotive). ## Die Pflicht. *Unser Nachweis.* KRITIS und NIS2 fragen nicht nach dem Sicherheitsgefühl. Sie wollen den Nachweis, im Takt und in der Sprache der Behörde. Den liefern wir. - §8a BSIG · KRITIS Stand der Technik umsetzen. Alle zwei Jahre einen Wirksamkeitsnachweis ans BSI. Belegte Findings je Zone und Übergang, gebündelt als §8a-Nachweis. - §8a Abs. 1a · Angriffserkennung KRITIS-Betreiber brauchen Systeme zur Angriffserkennung. Eingeführt mit dem IT-SiG 2.0, heute im BSIG. Wir zeigen, dass die Angriffserkennung bei echten Angriffswegen anspringt. Nicht nur, dass ein Sensor hängt. - NIS2 · NIS2UmsG (novelliert das BSIG) Größerer Kreis, jetzt auch die Fertigung. Artikel 21 fordert Risikomanagement, Wirksamkeitstests und Verantwortung der Leitung. Beaufsichtigte OT-Tests, die belegen: die Kontrollen halten dem echten Angriff stand. - IEC 62443-3-2 / 3-3 Anlage in Zonen und Übergänge aufteilen, je ein Ziel-Sicherheitslevel (SL-T) setzen. SL-T-Ziel gegen erreichtes SL-A, pro Zone und Übergang. - NAMUR NA 163 Das NAMUR-Arbeitsblatt der Prozessindustrie zur Security-Risikobeurteilung sicherheitsgerichteter Leittechnik, ergänzend zu IEC 61511. Getestete Realität zurück in die Risikobeurteilung für Leittechnik und SIS. ## Gebaut auf dem Standard, *an dem jeder Prüfer misst.* ![ISO 27001](https://www.vornac.com/cert-iso27001.png) Gebaut auf ISO 27001 ![BSI](https://www.vornac.com/cert-bsi.png) Ausgerichtet an BSI & KRITIS ![CISSP](https://www.vornac.com/cert-cissp.png) CISSP-zertifiziert ![OSCP](https://www.vornac.com/cert-oscp.png) OSCP-zertifiziert Jeder Test, jedes Finding, jeder Report bleibt **in deutschen Rechenzentren, unter deutschem Recht**. Kein US Cloud Act. Keine Drittlandtransfers. Wissen ## Was Regelwerke verlangen und wie automatisierte Penetrationstests den Nachweis liefern CTEM ### [Kontinuierliche Sicherheitsüberprüfung und Compliance für deutsche Unternehmen: CTEM in der Praxis](https://www.vornac.com/wissen/ctem-in-der-praxis) Die fünf Phasen nach Gartner mit Zuständigkeiten und Werkzeugen im Mittelstand, was in 48 Stunden implementierbar ist, sechs Kennzahlen und der Nachweis für ISO/IEC 27001 A.8.8, NIS2, TISAX und DORA. Mit Anbietern nach Phase und Datenhaltung. Stand: 9\. Oktober 2026 Verfahren ### [Assumed Breach Simulation: Sicherheit und Compliance für deutsche Unternehmen](https://www.vornac.com/wissen/assumed-breach-simulation) Ablauf in acht Schritten, Abgrenzung zu Breach and Attack Simulation, Nachweis für NIS2, TISAX, ISO/IEC 27001 und DORA, deutsche Besonderheiten bei Datenhaltung, Betriebsrat und Zertifizierung, Anbieter nach Ansatz und Sitz. Stand: 9\. Oktober 2026 DORA ### [Anforderungen an Penetrationstests nach DORA für Banken und Versicherer](https://www.vornac.com/wissen/dora-resilienztests) Art. 24 bis 27 DORA im Wortlaut: jährliche Tests der Systeme kritischer Funktionen, Testarten nach Art. 25, TLPT alle drei Jahre unter BaFin-Aufsicht. Mit der Grenze zwischen kontinuierlichem Pentest und TLPT und Anbietern je Stufe. Stand: 9\. Oktober 2026 [Alle Erklärseiten im Wissensbereich](https://www.vornac.com/wissen) ## Beweisen, dass die OT sicher ist. *Ohne die Produktion zu stoppen.* 30 Minuten Scoping. Wir gehen die Purdue-Level durch, die Wartungsfenster und die Tests, die wir fahren würden, bevor irgendetwas eine Live-Anlage berührt.