Als Spezialist für OT-Cybersicherheit wissen wir bei Rhebo, dass die Brücke zwischen funktionaler Sicherheit (Functional Safety) und Cybersecurity oft wie eine Mammutaufgabe wirkt. Im Folgenden schlüsseln wir für Sie auf, was die TRBS 1115 Teil 1 konkret für Ihren Betrieb bedeutet und wie Sie die Vorgaben effizient umsetzen, ohne Ihre betriebliche Kontinuität zu gefährden.  ‍

Das Kernproblem: Cyberbedrohungen sind handfeste Sicherheitsrisiken

Früher konzentrierte sich die klassische Anlagensicherheit primär auf mechanisches Versagen, Materialermüdung oder Bedienfehler. Heute ist das anders: Moderne Cyberbedrohungen können aktiv verhindern, dass eine sicherheitsrelevante MSR-Einrichtung ihre lebenswichtige Schutzfunktion ausführt, oder sie können sogar direkt neue physikalische Gefahren für Mensch und Umwelt herbeiführen.  

Die TRBS 1115 Teil 1 stellt unmissverständlich klar, dass Arbeitgeber Cyberbedrohungen zwingend im Rahmen ihrer regulären Gefährdungsbeurteilung nach § 3 BetrSichV berücksichtigen müssen. Ein erfolgreicher Angriff gefährdet typischerweise die folgenden drei Grundpfeiler:  

• Verfügbarkeit: Das Blockieren oder Deaktivieren von kritischen Sicherheitsfunktionen.  

• Integrität: Die unberechtigte Manipulation von Sensordaten, Grenzwerten oder Applikationsprogrammen.  

• Vertraulichkeit: Der Abfluss von sensiblen Daten, Passwörtern oder Systemdokumentationen, die Angreifern als Blaupause dienen.  

Die 6 technischen und organisatorischen Kernmaßnahmen

Um Beschäftigte und die Umgebung wirksam zu schützen, fordert die TRBS 1115 Teil 1 einen robusten Schutz nach dem aktuellen Stand der Technik. Wenn die Cybersicherheit nicht bereits vom Hersteller beim Inverkehrbringen garantiert wurde, stehen Betreiber in der Pflicht, eigenständig Schutzmaßnahmen zu etablieren. Die Richtlinie nennt hierzu sechs zentrale Säulen:  

1. Segmentierung und Fernzugriffsschutz

Netzwerke müssen in kleinere, separate Sicherheitszonen unterteilt werden, die sich am jeweiligen Schutzbedarf orientieren. Netzwerkteilnehmer dürfen nur Verbindungen aufbauen können, die für ihre technische Funktion zwingend erforderlich sind – idealerweise durch physische Trennung oder logische Segmentierung (z. B. via VLAN). Besonders risikoreiche Fernwartungszugriffe über das Internet müssen streng limitiert, überwacht und explizit durch den Arbeitgeber freigegeben werden.  

2. Zugang und Zugriffskontrolle

Der physikalische und logische Zugriff auf kritische Komponenten muss restriktiv beschränkt werden. Dies beinhaltet die Zuweisung minimaler Rechte gekoppelt an rollenbasierte Tätigkeitsprofile, wirksame Authentifizierungsverfahren (z. B. Passwörter, Token oder Zugangskarten) sowie physische Barrieren wie verschlossene Server- und Schaltschränke.  

3. Härtung von Komponenten

Die Funktionalität der Hard- und Softwarekomponenten muss auf das absolute Mindestmaß reduziert werden, das zur Erfüllung der eigentlichen Aufgabe nötig ist. Ungenutzte Hardwareschnittstellen (z. B. USB-Ports) sind zu deaktivieren oder zu blockieren, unnötige Software ist zu entfernen und nicht autorisierte Kommunikationsdienste müssen (beispielsweise durch Blacklisting) unterdrückt werden.  

4. Unabhängigkeit von MSR-Einrichtungen

Sicherheitsrelevante MSR-Einrichtungen müssen so konzipiert sein, dass sie nicht durch Anomalien oder Ausfälle in der allgemeinen IT/OT-Umgebung unzulässig beeinflusst werden können. Selbst im Falle eines massiven Denial-of-Service-Angriffs (DoS) auf das restliche Netzwerk muss die Kernfunktion der Sicherheitssteuerung autark und stabil bleiben.  

5. Kontinuierliche Überwachung (Monitoring)

Um cybersicherheitsrelevante Vorfälle rechtzeitig zu erkennen, verlangt die TRBS 1115 Teil 1 die Installation von Überwachungssystemen an geeigneten, kritischen Punkten innerhalb der IT/OT-Umgebung – insbesondere an den Segmentgrenzen. Diese Systeme dienen dazu, die Integrität der Netzwerke kontinuierlich zu prüfen und Abweichungen sofort zu melden.  

6. Notfallmanagement

Sollte es trotz aller Vorsichtsmaßnahmen zu einer Kompromittierung kommen, muss ein klar definierter Notfallplan greifen. Dieser muss sicherstellen, dass Gefährdungen für die Belegschaft ausgeschlossen werden, etwa durch die Möglichkeit einer manuellen Abschaltung über nicht-digitale Infrastrukturen (wie unabhängige Not-Aus-Systeme). Vor einer Wiederinbetriebnahme muss garantiert sein, dass die Sicherheitslücke geschlossen ist und keinerlei Schadsoftwarereste im System verbleiben.  

Sicherheit als kontinuierlicher Prozess: Der Sicherheitslebenszyklus

Ein entscheidender Aspekt der TRBS 1115 Teil 1 ist die Erkenntnis, dass Cybersicherheit kein einmaliges Projekt ist, das man nach der Installation abhaken kann. Sie muss über den gesamten Sicherheitslebenszyklus der MSR-Einrichtung hinweg aktiv gelebt werden:  

Verfahren zur Überprüfung der Cybersicherheitsmaßnahmen müssen gemäß Richtlinie in folgenden vier Szenarien zwingend etabliert sein:  

1. Regelmäßig: In geeigneten, definierten Zeitabständen im laufenden Betrieb.  

2. Bei Änderungen: Sobald Modifikationen am Arbeitsmittel oder an den Schutzmaßnahmen vorgenommen werden.  

3. Bei neuen Erkenntnissen: Sobald neue Schwachstellenmeldungen, interne oder externe Cybersicherheitsvorfälle bekannt werden.  

4. Bei Wandel des Stands der Technik: Wenn sich die allgemeinen Standards und Abwehrmethoden in der IT/OT-Sicherheit weiterentwickeln.  

Der Rhebo-Ansatz: Souveräne Umsetzung des Überwachungsmandats

Die Anforderungen an die Sichtbarkeit, Rückwirkungsfreiheit und permanente Kontrolle im Netzwerk sind hoch. Genau hier setzt die Lösung von Rhebo an. Unsere industriellen Anomalieerkennungs- und Monitoringlösungen unterstützen Sie dabei, die strengen regulatorischen Erwartungen der TRBS 1115 Teil 1 mühelos und transparent zu erfüllen:  

• Vollständige Netzwerktransparenz: Wir validieren und überwachen kontinuierlich, ob Ihre implementierten Netzwerksegmentierungen in der Praxis fehlerfrei funktionieren und keine unerlaubten Zonenübergänge stattfinden.  

• Echtzeit-Anomalieerkennung: Durch die automatisierte Überwachung des OT-Netzwerks identifizieren wir unautorisierte Kommunikationsversuche, unbekannte Geräte oder verdächtige Parameteränderungen sofort im Moment des Entstehens.  

• Zielgerichtete Vorfallsanalyse: Im Ernstfall liefern unsere Systeme präzise, detaillierte Daten zum Datenverkehr. Dadurch kann Ihre IT/OT-Mannschaft Bedrohungen sofort isolieren und Notfall- sowie Disaster-Recovery-Pläne schnell und sicher exekutieren.  

• Unterstützung bei der Funktionskontrolle: Automatisierte Überwachungssysteme können direkt zur regelmäßigen, vom Gesetzgeber geforderten Kontrolle der Funktionsfähigkeit der Cybersicherheitsmaßnahmen herangezogen werden, um Systemmeldungen zyklisch auszuwerten.  

Überprüfen Sie die Belastbarkeit Ihrer Abwehrketten. Die Absicherung schutzbedürftiger MSR-Anlagen ist längst keine rein freiwillige "IT-Best-Practice" mehr, sondern eine verbindliche regulatorische Pflicht für die Betriebssicherheit.  

Weitere Informationen und Materialien über die Härtung Ihrer Systeme, kontinuierliches OT-Monitoring oder gesetzlicher Vorgaben finden Sie in unseren Ressourcen. Für ein persönliches Beratungsgespräch können Sie hier einen Termin buchen.  

Historisch gewachsene Infrastrukturen, Legacy-Systeme mit Lebenszyklen von über 20 Jahren und der absolute Vorrang der Anlagenverfügbarkeit machen einen blinden „Rundumschlag“ nach klassischem IT-Vorbild unmöglich. Wer versucht, starre IT-Konzepte unüberlegt über die Produktion zu stülpen, riskiert im schlimmsten Fall teure Stillstände.  

Wie sieht also eine effektive, praxisnahe OT-Absicherung aus, die reale Budget- und Personalrestriktionen berücksichtigt? Ein guter Ansatz, hier den Blickwinkel zu wechseln und die eigene Infrastruktur mit den Augen eines Angreifers – oder eines Pentesters – zu sehen.  

‍Der Blick aus dem Tagebuch eines Pentesters

Dass selbst gut gemeinte, oberflächliche Härtungsmaßnahmen ins Leere laufen können, zeigen zwei reale Fälle aus der Praxis, die unmissverständlich klarmachen: Cybersicherheit beginnt nicht erst in der Firewall, sondern am Werkstor.  

‍Fallbeispiel 1: In 20 Minuten zur Turbinensteuerung

In einem modernen Kraftwerk hatten die Betreiber bereits vorbildliche Hausaufgaben gemacht: Windows-Updates waren aktuell, Gruppenrichtlinien nach CIS-Benchmarks umgesetzt und starke Passwörter vergeben. Ein Pentest sollte die Wirksamkeit prüfen. Das Ergebnis war ernüchternd: Der Pentester gelangte unbemerkt in einem Fahrzeug auf das Gelände, fand einen offenen Schaltraum vor und steckte sein Notebook an einen zu Wartungszwecken offenen Port einer OT-Firewall. Über einen schlecht konfigurierten OPC-UA-Server der sich als unüberwachter, blinder Fleck herausstellte hatte er innerhalb von nur 20 Minuten uneingeschränkten Lese- und Schreibzugriff auf die sensiblen Turbinensteuerungen des Kraftwerks.  

‍Fallbeispiel 2: Die Hintertür im Leitsystem

Ein anderer Betreiber legte höchsten Wert auf ein transparentes Zugriffsmanagement und richtete für den Support eines Drittanbieters eine strenge Zwei-Faktor-Authentifizierung (2FA) ein. Als ein Wartungsfall eintrat, erledigte der Techniker den Support jedoch komplett ohne die erforderliche Freigabe. Die Ursache? Der Leitsystemhersteller hatte, ohne Wissen des Kunden, ein 5G-Modem als permanente Hintertür direkt im System verbaut. Ohne VPN, ohne Verschlüsselung und rund um die Uhr geöffnet. Jedes Drittunternehmen hatte so unbemerkt freien Zugang direkt ins innerste OT-Netzwerk.  

‍3 Sofort-Maßnahmen für spürbar mehr OT-Sicherheit

Diese Beispiele zeigen: Die größte Gefahr in der OT sind blinde Flecken und mangelnde Sichtbarkeit. Um Ihre Infrastruktur effektiv und ohne Produktionsrisiken zu härten, sollten Sie folgende drei Schritte priorisieren:  

• Zuständigkeiten und Prozesse schärfen: Klären Sie eineindeutig, wer von IT- und OT-Seite für welche Komponente zuständig ist. Unüberwachte „Schatten-IT“ oder vergessene Systeme (wie der OPC-UA-Server) sind die Einfallstore Nummer eins.
• Netzwerk segmentieren (Zones & Conduits): Trennen Sie konsequent die IT- Welt, die OT-Infrastruktur sowie Engineering- und Remote-Zugänge. Nutzen Sie gehärtete Firewalls zwischen den Zonen, um laterale Bewegungen von Angreifern im Keim zu ersticken.  
• Das Restrisiko mittels passivem Monitoring kontrollieren: Da 100%ige Prävention in der OT (aufgrund von Legacy-Systemen) eine Illusion ist, benötigen Sie ein Frühwarnsystem. Ein netzbasiertes Intrusion Detection System (NIDS) spiegelt die Kommunikation über einen Mirror-Port völlig rückwirkungsfrei. Es erkennt Anomalien, Protokollbrüche und Cyberangriffe in Echtzeit, ohne den industriellen Prozess auch nur im Geringsten zu belasten.  

‍Bereit für das vollständige Pentester-Playbook?

Die Absicherung Ihrer industriellen Infrastruktur ist kein unbezwingbares Mammutprojekt – man muss nur anfangen. Schritt für Schritt.  

In unserem neuen „Playbook für OT-Sicherheit – nach Art eines Pentesters“ gehen wir weit über diese ersten Schritte hinaus. Wir führen Sie detailliert durch die zehn wichtigsten organisatorischen und technischen Härtungsmaßnahmen (von Gruppenrichtlinien über Application Whitelisting bis hin zum Incident Management) und zeigen Ihnen, wie Sie die Anforderungen von IEC 62443, ISO 27001 und NIS2 praxisnah und budgetschonend lösen. Eine Video-Serie, welche Beispiele näher erläutert und bildlich beschreibt ist bereits in Arbeit.  

Laden Sie sich hier unser kostenloses Playbook herunterladen und sichern Sie Ihre OT-Infrastruktur effektiv ab.

Die Everfield Germany GmbH hat eine endgültige Vereinbarung zur Übernahme der Rhebo GmbH unterzeichnet. Der Abschluss der Transaktion steht unter dem Vorbehalt der erforderlichen behördlichen Genehmigungen und üblichen Abschlussbedingungen. Die Übernahme unterstreicht das weitere Engagement von Everfield im Bereich der OT-Sicherheit und stärkt die Präsenz des Unternehmens in der DACH-Region.

Everfield, ein „Buy-and-Hold“-Investor, der sich auf europäische B2B-SaaS-Unternehmen konzentriert, hat die Übernahme von Rhebo vereinbart, einem deutschen Technologieunternehmen, das sich auf die Angriffserkennung in industriellen (OT-)Netzwerken und IIoT-Umgebungen spezialisiert hat.

Das 2014 in Leipzig gegründete Unternehmen ermöglicht es industriellen Unternehmen und Betreibern kritischer Anlagen, ihre OT-Netze und IIoT Edge Devices kontinuierlich auf Anomalien und Cyberangriffe zu überwachen, ohne die sensiblen industriellen Prozesse zu beeinträchtigen.  

Angesichts sich verschärfender Regulierungen wie NIS2 und dem Cyber Resilience Act stehen Industrieunternehmen unter zunehmendem Druck, die Sicherheit und Resilienz ihrer vernetzten Infrastruktur zu stärken. Rhebo unterstützt diese Anforderungen durch eine kontinuierliche Netzwerküberwachung und handlungsrelevante Sicherheitsmeldungen, die speziell auf industrielle Umgebungen zugeschnitten sind.

„Mit seiner starken Marktposition in der DACH-Region und seiner fundierten technischen Expertise im Bereich OT-Sicherheit ergänzt Rhebo unser Ökosystem um eine entscheidende Kompetenz“, sagt Oscar Koberling, Country Manager für die DACH-Region bei Everfield. „Angesichts unserer Erfahrung darin, B2B-Softwareunternehmen beim Wachstum zu unterstützen, sehen wir in Rhebo großes Potenzial, ihr erstklassiges Produkt weiter zu verbessern, um ihre Kunden auch weiterhin effektiv zu schützen.“

Als Teil des Everfield-Ökosystems wird Rhebo seine Technologie weiterentwickeln, um auf die sich dynamisch verändernde Gefährdungslage, gesetzliche Entwicklungen und die wachsende Marktnachfrage zu reagieren. Das bestehende Managementteam unter der Leitung von CEO Gerald Müller wird Kunden und Partner weiterhin unterstützen, wobei es von dem etablierten Team von Everfield in der DACH-Region unterstützt wird. Der Firmensitz sowie die gesamte Entwicklung und Technologie verbleiben in Leipzig, Deutschland.

Das OT-Sicherheitsunternehmen war seit 2021 Teil der Schweizer Landis+Gyr Gruppe. Dem Übergang an Everfield ging eine strategische Neuausrichtung seitens Landis+Gyr im vergangenen Jahr voraus.  

„Im Rahmen der Schärfung unseres strategischen Fokus auf unser Kerngeschäft hat Landis+Gyr beschlossen, den Geschäftsbereich für OT-Sicherheitsprodukte von Rhebo auszugliedern und an einen starken passenden europäischen Investor zu übertragen”, ergänzt Todd Wiedman, CEO von Rhebo zwischen 2023 und 2026 sowie CISO von Landis+Gyr. “Angesichts der engagierten Ressourcen, der fundierten Fachkompetenz und des klaren Bekenntnisses von Everfield zum EMEA-Markt sind wir sehr zuversichtlich, dass das OT-Sicherheitsgeschäft ideal positioniert ist, um das Wachstum zu beschleunigen und den Kunden in der gesamten Region einen größeren Mehrwert zu bieten“.

Mit der Aufnahme von Rhebo in die Gruppe erweitert Everfield seinen Geschäftsbereich „Business and Industrial Systems“ um spezielle OT-Sicherheitsexpertise und ergänzt damit seine bestehenden OT-Softwarekompetenzen, darunter ondeso, einen in Regensburg ansässigen Anbieter von OT-Management-Software. Die Übernahme bekräftigt Everfields Engagement in der DACH-Region und baut sein europäisches Ökosystem weiter aus, das nun mehr als 40 B2B-Softwareunternehmen in ganz Europa und 10 in der DACH-Region umfasst.

“Mit Everfield haben wir einen Partner gefunden, der uns mit seinem Ökosystem und seiner Expertise beim weiteren Wachstum optimal unterstützen wird”, so Gerald Müller, ehemals COO und seit 2026 CEO von Rhebo. “Der Investitionsfokus auf europäische B2B-Softwareunternehmen ist für uns auch ein klares Commitment und eine starke Chance, die europäische digitale Souveränität voranzutreiben”.

Über Everfield

Everfield ist ein „Buy-and-Hold“-Investor, der sich auf europäische Unternehmen in vertikalen Märkten und auf Spezialsoftware spezialisiert hat. Everfield verfolgt ein dezentrales Modell, das es den übernommenen Unternehmen ermöglicht, ihre Marke und ihre Tradition beizubehalten und gleichzeitig auf operatives Know-how sowie ein Netzwerk von mehr als 40 B2B-Softwareunternehmen in ganz Europa zuzugreifen. Das Everfield-Ökosystem umfasst Branchen wie Unternehmens- und Industriesysteme, Lebensmittel, Gastgewerbe und Freizeit, Außendienst und Personalmanagement, Gesundheitswesen sowie Bildung. https://everfield.com

Eine Kernaussage des 2025er Lageberichts des BSI sticht im Abschnitt “Gemeldete Schwachstellen in Softwareprodukten” des Kapitels “02 Angriffsfläche” heraus: "Besonders das Fehlen von Logging‑ und Monitoring‑Mechanismen erschwert es Unternehmen, Angriffe rechtzeitig zu erkennen und darauf zu reagieren."

Für die OT als generelle Achillessehne industrieller Betriebe hat diese Beobachtung eine besondere Bedeutung.

Zeichen von Präpositionierung

Das beginnt bei der Anzahl der in Deutschland aktiven Advanced Persistent Threats (APT). Deutschland belegt nach den USA, Indien und Japan weltweit Platz 4 der Zielländer von den meist staatlich gesteuerten APT-Gruppen. 28 APTs haben Deutschland im Visier. Das entspricht 25% der weltweit beobachteten Gruppen.

Das BSI deutet in dem aktuellen Lagebericht an, was Rhebos Anne Grätz jüngst im Beitrag “Warum gibt es so wenig Cyberangriffe auf die OT?“ analysiert hat. Bislang fehlen bekannt gewordene Cybersabotage-Akte auf Infrastrukturen, jedoch häufen sich die Anzeichen von Präpositionierungs-Kampagnen durch staatliche APTs wie Sandworm und APT28. Die Anlage fliegt den Betreiber zwar noch nicht um die Ohren, aber die Angreifenden sitzen mitunter bereits am Zünder tief im Netzwerk.

Klassischer Perimeterschutz wird zusehends umgangen

Keine Frage, Firewalls als Perimeterschutz verlieren nicht ihre Relevanz für die Cybersicherheit. Sie werden jedoch immer mehr zu einer ersten Instanz von mehreren. Die BSI-Erkenntnisse verdeutlichen, wie alternativlos eine Defense-In-Depth-Architektur in Industrieunternehmen wird.

• Angreifende versuchen immer häufiger, über legitime Zugänge in Netzwerke einzudringen.
• Optimierte und stark diversifizierte Phishing-Kampagnen werden immer besser und greifen auch ins Private. Phishing erfolgt dabei längst nicht mehr nur über E-Mail (diese sinkt sogar im Anteil). Vishing (Voice, oftmals in Verbindung mit Identitätsdiebstahl aus Social Media), Quishing (QR-Codes im öffentlichen Raum auf maliziöse Webseiten), Smishing (SMS) sowie eine enorm dynamische Entwicklung maliziöser Webseiten (Seiten existieren im Schnitt weniger als zwei Stunden) haben das Arsenal der Phishing-Akteure sichtlich erhöht.
• Die Anzahl bekannt gewordener Schwachstellen ist zum Vorjahr um 24 % erneut gestiegen. Längst müssen Infrastrukturbetreiber davon ausgehen, dass ein System oder ein Kommunikationsweg eine Schwachstelle aufweist.
• Die Anzahl der in einem Honeypot des BSI dokumentierten Exploitations ist um 38 % auf 1.081 gestiegen. Dabei wurden vor allem auch Protokolle angegriffen und ausgenutzt, die in OT-Netzen noch Gang und Gebe sind, u.a. SSH (52%), RDP (22%), Telnet (11%) und VNC (10%). SSH kommt bei Logins zum Einsatz, während RDP und VNC für den Fernzugriff auf Anlagen eine entscheidende Rolle spielen.
• Infizierte Systeme steigen vor allem im IoT-Bereich an. In zwei größeren Vorfällen fand sich Botnetz-Schadsoftware sogar vorinstalliert auf den Geräten.

Im Ergebnis hinkt signaturbasierte Angriffserkennung immer stärker hinterher. Das wird auch durch den Einsatz von Large Language Models (LLMs) beschleunigt. Claude’s Anthropic finden das insgeheim scheinbar sogar richtig cool. Sie wirken in ihrem Beitrag “Disrupting the first reported AI-orchestrated cyber espionage campaign” wie 8-jährige Jungs, die ihre Entdeckung feiern, dass es so komisch kribbelt, wenn man den Nagel in die Steckdose steckt. Man könnte fast meinen, der Text ist ein Bewerbungsschreiben an Cyberkriminelle.

Die Cybersicherheit ist zu langsam in KRITIS

Auf der anderen Seite der Macht geht es dagegen behäbig zu. Die Reifegradbeurteilung des BSI fällt gezwungen optimistisch aus. “Die Resilienz Kritischer Infrastrukturen verbessert sich langsam, aber stetig. Immer mehr KRITIS-Betreiber haben Reifegrad 3 oder besser,” schreibt das Bundesamt im Abschnitt “Kritische Infrastrukturen”.

Jedoch fallen immer noch über 21 % (ISMS) und 36 % (BCSM) unter Reifegrad 1 und 2, eine Verbesserung um gerade einmal 2 % bzw. 1 % zum Vorjahreszeitraum. In einzelnen Sektoren wie Energie und Wasser scheinen Betriebe sogar zurückgestuft worden zu sein, wenn man 2024 und 2025 vergleicht.

Wohlgemerkt, die Pflicht, in ihren kritischen Prozessen und Anlagen ganzheitliche Cybersicherheit umzusetzen, existiert in den Betrieben durch das IT-SiG 2.0 bereits seit mittlerweile knapp 4 Jahren! Und die Angreifenden warten nicht. Im Gegenteil, gemeldete Vorfälle in kritischen Infrastrukturen sind zum Teil beträchtlich gestiegen (Abb. 1).

Was Betriebe mit OT jetzt prüfen sollten

Betriebe mit OT-Systemen und –Netzwerken sollten im ersten Schritt die Angriffsfläche ihrer eigenen Infrastruktur bewerten:

• Sind Geräte aus dem Internet erreichbar?
• Welche Fehlkonfigurationen liegen vor?
• Welche offenen Schwachstellen liegen vor?
• Sind die Kommunikationsflüsse sicher gestaltet?
• Wie sicher sind die Zugriffe auf Anlagen und Systeme?
• Ist das Netzwerk bereits kompromittiert?

Ein Rhebo Industrial Security Assessment untersucht die OT im Detail auf solche bestehenden Sicherheitslücken und Risiken, lokalisiert und analysiert sie. Zusätzlich gibt ein Pentest Aufschluss über weitere offene Flanken und auch organisatorische Sicherheitslücken.

Im zweiten Schritt sollte überprüft werden, ob die OT ausreichend in der Cybersicherheitsinfrastruktur integriert ist. Das BSI empfiehlt seit 2019 ein Sicherheitsmonitoring in Produktionsnetzwerken. Anfang 2025 bestätigte das Bundesamt mit BSI-CS 153 auch für die Stationsautomatisierung ein netzbasiertes Angriffserkennungssystem (NIDS) als effizientes und wichtiges Werkzeug, Angriffe frühzeitig zu erkennen, insbesondere wenn diese nicht bekannte Signaturen verwenden.

Vorweg: Ein System zur Angriffserkennung beschreibt kein konkretes Produkt, sondern eine Zielsetzung. Um eine möglichst umfassende Vorstellung zu erhalten, lohnen sich drei Quellen:

1. BSIG §2 Abs.9b: “Systeme zur Angriffserkennung im Sinne dieses Gesetzes sind durch technische Werkzeuge und organisatorische Einbindung unterstützte Prozesse zur Erkennung von Angriffen auf informationstechnische Systeme. Die Angriffserkennung erfolgt dabei durch Abgleich der in einem informationstechnischen System verarbeiteten Daten mit Informationen und technischen Mustern, die auf Angriffe hindeuten.” ¹
2. IT-Sicherheitsgesetz (IT-SiG 2.0) bzw. BSIG §8a: “Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen.” ²
3. ENISA (stellvertretend für die international gängige Definition eines Intrusion Detection Systems): “Ein Intrusion Detection System (IDS) ist eine Softwarekomponente […], die den Netzwerkverkehr oder das Verhalten des Betriebssystems auf unbefugte oder böswillige Aktivitäten überwacht und analysiert. Ein IDS-System arbeitet in der Regel im passiven Modus: Es erkennt eine Bedrohung, protokolliert Informationen und löst einen Alarm aus.” ³

Zugegeben, gerade mit Blick auf das BSIG §8a wirkt die Rechtsprechung inkonsistent und unsinnig. Das “sollte” im zweiten Satz reduziert den Kern der Angriffserkennung – die Identifikation von Bedrohungen – auf eine “Kann aber muss nicht”-Option, was der gesamten Zielsetzung zuwiderläuft.

Unserer Meinung nach sollte ein vollwertiges SzA über die schwache rechtliche Definition hinausgehen und den technologischen Common Sense von z. B. ENISA und Mitre berücksichtigen.

Grundlegende Anforderungen an ein SzA

Aus den oben genannten Definitionen lassen sich 5 Anforderungen ableiten, die in der OT berücksichtigt werden sollten.‍

1. SzA umfassen Technologie, Prozesse und Organisation.  

Das ist eine Besonderheit in Deutschland. International beziehen sich die Definitionen ausschließlich auf die Technologie. Der Managementansatz in der deutschen Gesetzgebung ist aber durchaus sinnvoll. Schließlich macht ein Werkzeug noch keine Handwerker. Es braucht Personal, Verantwortlichkeiten und nicht zuletzt klare Abläufe.

‍2. SzA sitzen innerhalb des unternehmerischen Netzwerks

Aus dieser Anforderung ergibt sich bereits eine Abgrenzung zu Firewalls. Während Firewalls an den Netzwerkgrenzen sitzen und den Blick nach Außen richten, wirkt ein SzA innerhalb der unternehmerischen Netzwerkgrenzen. Firewalls bleiben nach wie vor unabdingbar für die Cybersicherheit. Sie werden jedoch ergänzt durch einen umfassenden Innenblick in die Netzwerke und genutzten Systeme (Abb. 1). Der Grund für diese zweite Verteidigungslinie liegt in der Entwicklung der initialen Angriffsvektoren in den letzten zehn Jahren. Malware und aktives Hacking haben als initialer Vektor abgenommen. Angriffe über ausgenutzte Schwachstellen und gestohlene Zugangsdaten, die Firewalls nicht erkennen, machen mittlerweile über 50 % aus.^4,5

SzA können generell host-basiert und netzbasiert integriert werden. Aufgrund der limitierten CPU-Kapazitäten der meisten OT-Komponenten und oftmals proprietären Betriebssysteme, ist ein netzbasiertes Angriffserkennungssystem (NIDS für network intrusion detection system) in der OT am einfachsten und flächendeckendsten umsetzbar.  

Für das NIDS Rhebo Industrial Protector werden die Datenkollektoren beispielsweise an Mirrorport-Switchen (Hardware-Lösung) oder auf bestehenden Gateways (Software-Lösung) integriert. Beide Varianten ermöglichen ein schnelles Rollout ohne Beeinträchtigung der laufenden industriellen Prozesse.

‍3. SzA analysieren die Kommunikation fortlaufend auf verdächtige oder bösartige Vorgänge.  

Bedrohungen beschränken sich nicht mehr auf bekannte Muster bzw. Signaturen (siehe Punkt 2). Deshalb ist es sinnvoll und gegeben, die klassische signaturbasierte Angriffserkennung (Firewalls und Virenscanner) durch eine verhaltensbasierte Angriffserkennung (ein NIDS mit Anomalieerkennung) zu ergänzen.  

Wie in Punkt 2 erläutert, sind in OT-Netzwerken vor allem netzbasierte Angriffserkennungssysteme (NIDS) sinnvoll und praktikabel. Das NIDS identifiziert Bedrohungen, die sich bereits innerhalb der Netzwerke befinden und neuartigen, komplexen (mehrstufigen) Angriffsmustern folgen. Laterale Bewegungen, Angriffe über Schwachstellen, kompromittierte Nutzerkonten und Living-Off-The-Land (LOTL) Techniken werden dadurch sichtbar und den Verantwortlichen frühzeitig gemeldet.

Zusätzlich können, soweit vorhanden und sicherheitsrelevant, bestehende Loggings der Endgeräte als Quelle genutzt werden. Sinnvoll ist eine Zusammenführung aller Loggings und Alarmmeldungen in einem übergeordneten Security Information & Event Management (SIEM) System, um ein Gesamtbild der Cybersicherheit des Unternehmens (IT und OT) zu erhalten.

4. SzA funktionieren vorrangig passiv

Diese Anforderung ist insbesondere in OT-Netzwerken ausschlaggebend, wo aktives Blocken von Kommunikation und aktive Netzwerkscans unerwünscht sind bzw. betriebsgefährdend sein können. Die passive Funktionsweise ist auch im Zusammenhang der Anomalieerkennungsinnvoll. Nicht alle erkannten Anomalien rechtfertigen automatisch ein aktives, sofortiges Blocken, sondern bedürfen einer kontextuellen Analyse, bevor über eine Reaktion entschieden wird.‍

5. (Bonus) SzA gehen Hand in Hand mit Prävention und Reaktion

Nichtdestotrotz: Das Ziel der Cybersicherheit ist nicht, Bedrohungen nur zu erkennen, sondern diese auch abzuwehren und zu entfernen. Ein SzA bildet vielmehr das Fundament, um überhaupt aktiv gegen Bedrohungen und Vorfälle vorgehen zu können.  

Es erkennt Bedrohungen und liefert alle relevanten Informationen für das Incident Response Team, um ein sicherheitsrelevantes Ereignis schnell zu verstehen und zielgerichtet reagieren zu können. Zu diesen Informationen gehören u.a.:

• beteiligte Systeme und Komponenten (IP-, MAC-Adressen),
• zeitlicher Verlauf,
• assoziierte Vorgänge,
• verwendete Protokolle,
• Inhalte der Vorgänge.

Ein NIDS wie Rhebo Industrial Protector liefert deshalb zu jeder detektierten Anomalie das Packet Capture (pcap), in dem alle Daten und Metainformationen zum Vorfall gespeichert sind.

Organisatorisch hilft ab einer gewissen Größe der Infrastruktur ein Security Operation Center (SOC), um alle Maßnahmen und Funktionen unter einem Dach zu vereinen.

‍¹ https://www.gesetze-im-internet.de/bsig_2009/__2.html
² https://www.gesetze-im-internet.de/bsig_2009/__8a.html
³ ENISA: Proactive Detection of Security Incidents, 2012

Es bedarf nur einer kurzen Eingabe in eine Suchmaschine, um dieser scheinbar paradoxen Frage Gewicht zu verleihen. Man muss sich nur an die mittlerweile über zehn Jahre alten Enthüllungen Edward Snowdens erinnern.¹

Hintertüren in der Rechtsprechung

Im März 2025 erklärte der Chefjustiziar von Microsoft France unter Eid, dass er Unternehmen, die Microsoft nutzen und ihre Daten ausschließlich auf europäischen Microsoft-Servern speichern und verarbeiten, keinen 100-prozentigen Datenschutz nach europäischem Recht garantieren kann. Microsoft ist ein US-Unternehmen und unterliegt somit auch dem US Cloud Act. Dieser fordert von US-Unternehmen, US-Behörden unter bestimmten Bedingungen Zugriff auf die Daten ihrer Kunden zu geben – egal, wo diese auf der Welt gespeichert sind. Die Behörden können sogar verfügen, dass die betroffenen Unternehmen nicht einmal darüber benachrichtigt werden.²

Im Juli 2025 kam ans Licht, das Cisco – ein Unternehmen, dass Cybersicherheit verspricht – auf ihrem Unified Communications Manager eine fest installierte Hintertür eingebaut hatten. Weder wurde diese für Kunden dokumentiert. Noch wurde Kunden die Möglichkeit gegeben, diese zu konfigurieren, also selbst abzusichern. Die Hintertür war hard-coded.³ Und das war nicht das erste Mal.

Verschwunden in der Cloud

Manuel Atug, bekannt als Gründer der AG KRITIS, antwortete in unserem Podcast auf die Frage “Können Systeme zur Angriffserkennung zum Sicherheitsrisiko werden?” mit ziemlich ernüchternden Erfahrungen:

“Wir haben auch schon Software von [Systemen zur Angriffserkennung] gesehen, wo man von einem einzigen Client auf irgendeiner Umgebung auf die komplette Kundenumgebungen zugreifen konnte.” und ergänzte: “Teilweise wird sich das rausgenommen, zu sagen: „Ja, dann wandern die Daten erst mal in die Cloud und von da aus analysieren wir weiter. Das heißt, man hat in der Produktionsumgebung, in der kritischen Infrastruktur […] die Agentensoftware auf sämtlichen Systemen ausgerollt, dann oftmals auch mit kompletten Systemrechten, und die zieht alle möglichen kritischen Produktionsdaten und Infos der Komponenten zusammen, lädt das irgendwo in der Cloud und dann [werden] die Daten beispielsweise in den USA oder Israel weiterverarbeitet".

Bei Produkten aus der anderen Himmelsrichtung sieht es nicht besser aus. Im November 2022 wurde in den USA bekannt, dass bestimmte Router von chinesischen Anbietern von Werk aus mit eingebauten Backdoors ausgeliefert werden. Diese erhalten mitunter gleich nach Anschluss Besuch aus Übersee⁴. Erst dieses Jahr wurden in chinesischen Wechselrichtern für Photovoltaikanlagen undokumentierte Kommunikationskomponenten entdeckt.⁵ Die Produkte sind übrigens auch in Deutschland Gang und Gebe.

Darüber hinaus sollte man stets bedenken, dass Technologieunternehmen sowohl in China als auch in den USA oft mehr als bereit sind, mit dem Militär- und Geheimdienstkomplex zusammenzuarbeiten oder direkt aus diesem Personal zu rekrutieren.⁶ Dies gilt nicht zuletzt für Cybersicherheitsunternehmen.⁷

Datenschutz und digitale Souveränität stärken

Mit OT Security Made in Germany^Ⓡ setzt Rhebo ein Zeichen für ein klares Commitment zu Datenschutz und digitaler Souveränität unserer Kunden. Bereits seit Mitte 2021 ist Rhebo Träger des Vertrauenssiegels Cybersecurity Made in Europe der European Cyber Security Organisation (ECSO)⁸. Wir folgen damit den strikten Datenschutzbestimmung der DSGVO und der European Union Agency for Cybersecurity (ENISA).

OT Security Made in Germany^Ⓡ erweitert diese Verpflichtung:

• Entwicklung und Testing erfolgt zu 100 % in Deutschland.

• Es gibt keine eingebauten Backdoors für Sicherheitsdienste und Regierungsbehörden.

• Dritte Parteien erhalten nie Zugriff auf das Backend unserer Lösung.

• Wir arbeiten auf Entwicklungsebene nicht mit Sicherheitsbehörden oder dem Militär zusammen.

• unser netzbasiertes System zur Angriffserkennung ist immer als On-prem-Lösung betreibbar und kommt ohne Internetanbindung aus.

Darüber hinaus bedeutet es für unsere deutschen und europäischen Kunden:

• kurze Wege bei Rückfragen und

• schneller, umfangreicher Support.

Als deutsches Unternehmen berücksichtigt Rhebo auch explizit die Anforderungen des IT-Sicherheitsgesetzes sowie der BSI Orientierungshilfe zum »Einsatz von Systemen zur Angriffserkennung«.

Unternehmen können mit den Lösungen von Rhebo deshalb sicher sein, ein OT-Monitoring mit Anomalieerkennung zu erhalten, das ihre Ansprüche an Compliance, Leistungsfähigkeit, Einfachheit und Souveränität erfüllt.

OT Security Made in Germany^Ⓡ ist eine eingetragene Marke der Rhebo GmbH.‍

¹ https://www.globaltimes.cn/page/202305/1290958.shtml

² https://www.heise.de/news/Nicht-souveraen-Microsoft-kann-Sicherheit-von-EU-Daten-nicht-garantieren-10494684.html

³ https://www.security-insider.de/cisco-backdoor-ermoeglicht-root-zugang-a-d69914eb428eecf2c705a339be3e2b41/

⁴ https://cybernews.com/security/walmart-exclusive-routers-others-made-in-china-contain-backdoors-to-control-devices/

⁵ https://www.pv-magazine.de/2025/05/14/reuters-versteckte-vorrichtungen-in-wechselrichtern-aus-chinesischer-produktion-in-den-usa-gefunden/

⁶ https://techcrunch.com/2022/02/05/the-rise-of-defense-tech-is-bringing-silicon-valley-back-to-its-roots/

⁷ https://www.govconwire.com/articles/former-nsa-cybercom-chief-michael-rogers-appointed-claroty-advisory-board-chair

⁸ https://rhebo.com/de/unternehmen/news/post/rhebo-ist-traeger-des-ecso-vertrauenssiegels-cybersecurity-made-in-europe/

• Bundesamt für Sicherheit in der Informationstechnik empfiehlt für die Stationsautomatisierung der deutschen Energieversorgung ein dediziertes Sicherheitsmonitoring.
• Im Fokus der Empfehlung stehen die industriellen Anlagen und Systeme.
• Das deutsche OT-Cybersicherheitsunternehmen Rhebo bestätigt die Warnung des BSI, dass Umspannwerke bislang mehrheitlich unsicher sind.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit "Monitoring in der Stationsautomatisierung” eine Empfehlung für das Sicherheitsmonitoring der Stationsautomatisierung in Energienetzen ausgesprochen. In dem März 2025 veröffentlichten Dokument empfiehlt das BSI, in dezentral geführten Energieversorgungsanlagen wie Umspannwerken u.a. ein netzbasiertes Angriffserkennungssystem bzw. Network Intrusion Detection System (NIDS) zu installieren.  

Das BSI begründet seine neueste Empfehlung mit der Digitalisierung und Vernetzung kritischer Anlagen durch exponierte Netzwerkkomponenten sowie der wachsenden Gefahr eines Supply Chain Compromise. Bei dieser Form des Cyberangriffs versuchen Angreifende sowohl über die Komponentenhersteller als auch die Dienstleister, die in der Regel weitreichende Privilegien für die Systeme besitzen, in ein Netzwerk einzudringen. Die OT  (Operational Technology, d.h. Netzleit- und Fernwirktechnik) ist aufgrund ihres geringen eigenen Grades an Cybersicherheit besonders anfällig für externe Kompromittierung und Störung.

“Die Entscheidung des BSI spiegelt unsere Beobachtungen der letzten zehn Jahre aus Schwachstellenbewertungen sowie dem laufenden Betrieb unseres Angriffserkennungsystems in OT-Netzen wider”, kommentiert René Krause, Teamlead Support bei Rhebo. Das Leipziger Technologieunternehmen bietet seit 2015 ein dediziert für die OT entwickeltes NIDS, das passives Sicherheitsmonitoring mit Anomalieerkennung verbindet. Das Angriffserkennungssystem schützt bereits eine Vielzahl von Netzleitstellen deutscher Energieversorgungsunternehmen vor mehrstufigen Angriffen, versteckten Sicherheitsrisiken und technischen Fehlerzuständen. “Die Kerngefahr für die OT der deutschen Energieversorgung geht von veralteten Systemen, schwacher Authentifizierung und umfassenden Fernzugriff-Privilegien aus (siehe Abbildung). Diese Sicherheitslücken können jedoch nicht so einfach abgestellt werden. Ein NIDS bildet deshalb die beste Lösung, um dieses bleibende Restrisikos in den Griff zu bekommen. Was ich nicht direkt absichern kann, muss ich kontinuierlich überwachen”.

Arbeitsaufwand minimieren und Reaktionsfähigkeit sichern

Das Ziel der BSI-Empfehlung ist, dass Energieversorgungsunternehmen sicherheitsrelevante Ereignisse (SRE) in ihrer Stationsautomatisierung schnellstmöglich erkennen und auf diese reagieren können. Dazu empfiehlt das BSI auch, dass das industrielle System zur Angriffserkennung die SRE an eine zentrale Instanz im Unternehmen – in der Regel ein SIEM – übermittelt, um die OT-Sicherheit ressourcenschonend in die allgemeine IT-Sicherheit zu integrieren. Rhebo ermöglicht seit 2019 die Übermittlung der Sicherheitsmeldungen an SIEM-Systeme, u.a. von Splunk und IBM QRadar.

Für das einfache Anlernen des NIDS empfiehlt das BSI in IEC 61850 Infrastrukturen die Nutzung der bestehenden .scd-Datei – eine von Rhebo seit einigen Jahren angebotene Methode, um das Baselining der Anomalieerkennung zu automatisieren.

“Die Empfehlung für ein Monitoring in der Stationsautomatisierung ist ein wichtiger Schritt, die deutsche Energieversorgung gegen die bestehenden und kommenden Cybergefahren resilient zu machen”, so René Krause. Denn, wie das BSI in seiner Empfehlung anmerkt, wird weniger davon ausgegangen, dass Angriffe direkt über die zentrale Leittechnik erfolgen. Vielmehr würden sich Angreifende “gezielt Systeme suchen, die nur schwach gesichert und kontrolliert werden. […] Das Monitoring in Umspannwerken ist damit für den Schutz der kritischen Dienstleistung genauso wichtig, wie der Schutz der zentralen Netzleittechnik”.

Gleichzeitig befinden sich viele Industrieunternehmen noch am Anfang, wenn es um eine strukturierte und wirksame OT-Cybersicherheitsstrategie geht. Rhebo hat die Entwicklungen der OT-Cybersicherheit für 2024/2025 in seinem Bericht “Die Lage der OT-Cybersicherheit 2024/2025 – Metriken und Trends, global und lokal” zusammengefasst und um Insights aus Praxisprojekten bei industriell geprägten Unternehmen erweitert.

In der Kürze:

• Global wird OT-Cybersicherheit zunehmend systemrelevant. Cybervorfälle in der IT beeinträchtigen durch spill-over in die OT immer häufiger auch physische Prozesse. Verschleierungstaktiken, Living-off-the-Land-Techniken, Zero-Day-Schwachstellen, gestohlene Zugangsdaten und Präpositionierung verschärfen die Bedrohungslage. 2024 wurden gleich drei neue OT-fähige Schadprogramme in einem Jahr bekannt.
• In der EU nimmt die Regulierung Fahrt auf: Mit NIS2 und dem Cyber Resilience Act werden über 400.000 Unternehmen zu Cybersicherheit verpflichtet. Doch die Umsetzung verläuft schleppend. Schwachstellen in Lieferketten, Angriffe über Remote-Zugänge und fehlende Transparenz bei verwendeten Komponenten sind (nicht nur in Europa) weit verbreitet.
• Deutschland belegt bei der Anzahl bösartiger Akteure, die das Land im Fokus haben, weltweit Platz 2. Nur die USA steht einer größeren Anzahl cyberkrimineller Gruppen gegenüber. Dennoch haben laut BSI nur 31 % der Betreiber kritischer Infrastrukturen in den Versorgungssektoren alle „MUSS“-Anforderungen an ein System zur Angriffserkennung erfüllt.
• Rhebo hat im Rahmen von Rhebo Industrial Security Assessments zahlreiche OT-Netzwerke analysiert. Die Ergebnisse zeigen, dass grundlegende Schwachstellen bestehen bleiben, die potenzielle Angriffsflächen eröffnen. Und sie zeigen, wie groß der Bedarf an Sichtbarkeit und Überwachung der Legacy-Systeme ist.

Die gute Nachricht: Viele Unternehmen wollen ihre OT-Sicherheit aktiv verbessern.

Doch der Weg dorthin erfordert:

• Sichtbarkeit und Transparenz über Systeme und Kommunikationsflüsse.
• Technologisches Verständnis für OT-spezifische Risiken und Schwachstellen.
• Verlässliche Prozesse zur Erkennung und Bewertung von Sicherheitsvorfällen.
• Partnerschaftliche Unterstützung bei Analyse, Monitoring und Qualifikation.

In vielen Fällen fehlt es weniger am Willen – sondern an der Klarheit, wie und womit man starten sollte. Ein Rhebo Industrial Security Assessment liefert Sichtbarkeit und Transparenz über die Risiken in der OT – und schafft die Grundlage für ein sinnvolles System zur Angriffserkennung in der OT.

Laden Sie sich das eBook “Die Lage der OT-Cybersicherheit 2024/2025 – Metriken und Trends, global und lokal” kostenfrei herunter: https://www.rhebo.com/de/downloads/die-lage-der-ot-cybersicherheit-2024-2025—metriken-und-trends-global-und-lokal

Vom selbstfinanzierten Startup…

Rhebo begann als Idee der drei Unternehmensgründer Klaus Mochalski, Martin Menschner und Dr. Frank Stummer, die zuvor bereits zwei IT-Sicherheitsunternehmen erfolgreich zum Exit geführt hatten. Mit Klaus Mochalski wurde einer der Mitentwickler der modernen Deep Packet Inspection Technologie für das Unternehmen gewonnen. Die Technologie wurde maßgeblich für die Entwicklung der ersten industriellen Angriffserkennung in Deutschland, die OT-Monitoring mit Anomalieerkennung verband. Dr. Frank Stummer brachte als Geschäftsführer von Digital Forensics Erfahrung in forensischer Analyse von Cybervorfällen mit, während Martin Menschner als langjähriger CTO für Cybersicherheitsprodukte die technologische Federführung übernahm.

…zum Teil der globalen Landis+Gyr Familie

Die Geschäftsidee, industrielle Infrastrukturen – insbesondere von stark automatisierten Unternehmen und kritischen Infrastrukturen – gegen Cyberangriffe zu schützen, war 2014 ein Novum am deutschen wie internationalen Markt. Sie überzeugte jedoch schnell verschiedene Investoren, die über mehrere Finanzierungsrunden die Entwicklung Rhebos vorantrieben.

2015 brachte Rhebo das erste vollwertige industrielle Angriffserkennungssystem Rhebo Industrial Protector auf den Markt, das seitdem eine Vielzahl kritischer Infrastrukturen aus den Bereichen Strom, Gas, Wasser, Abwasser und Telekommunikation vor mehrstufigen Cyberangriffen schützt. Allein in Deutschland hat Rhebo mit seinen Lösungen bis 2024 die Stromversorgung von über 29 Millionen Menschen sicherer gemacht. Das entspricht 37 % der Gesamtfläche Deutschlands.

2020 folgte der Go-to-Market der weltweit ersten Angriffserkennung für (I)IoT Edge Devices, die bereits 2019 mehrere Zehntausend weltweit verteilte Energiespeicher der Firma Sonnen sicherte. Ein weiteres “First” war 2019 die Integration der Rhebo Lösung auf der SPS-Automatisierungsplattform ctrlX Automation von Bosch Rexroth.

“Wir sind 2014 auf einem Markt gestartet, der noch kein richtiges Bewusstsein für OT-Cybersicherheit hatte”, erinnert sich Mitgründer Klaus Mochalski, der bis 2022 den CEO stellte. “Es gab noch nicht einmal richtige Begriffe dafür. OT-Sicherheit etablierte sich als Konzept erst Jahre später. Mit umso mehr Freude und Stolz schaue ich deshalb heute auf all das, was Rhebo in den letzten Jahren erreicht hat”.

Auch einer der weltweit größten Anbieter von Energie- und Wassermanagementlösungen, der Schweizer Konzern Landis+Gyr, sah das Potenzial und übernahm 2021 Rhebo. Heute sichert die Angriffserkennung von Rhebo über 130.000 Anlagen und Geräte weltweit und ist zum integralen Sicherheitsarm der Landis+Gyr geworden.

Folgen Sie der Entwicklung von Rhebo von 2014 bis heute Schritt für Schritt in unserer Infografik. 

Das Ziel: Edge-to-End OT-Cybersicherheit

Die Zukunft von Rhebo liegt sowohl innerhalb der Zielgruppe von Landis+Gyr, als auch darüber hinaus. Den Start machte das Unternehmen dieses Jahr mit einem Angebot für Edge-to-End- Cybersicherheit, das Smart Grids von der zentralen Leitwarte und Netzführung über die Head-End Systeme bis zu den Edge Devices wie Energiespeicher und Smart Meter absichert.

Darüber hinaus steht für Rhebo der Ausbau der OT-Sicherheits-Dienstleistungen im Vordergrund. “Fachkräftemangel und fehlendes Knowhow in Industrieunternehmen müssen kurzfristig durch Managed Services überbrückt werden”, erklärt René Krause, Teamlead Services bei Rhebo. “Aus diesem Grund bieten wir seit 2017 Schwachstellenbewertungen für OT-Umgebungen und seit 2019 auch den Betrieb unseres Systems zur Angriffserkennung an – und unsere Kunden sind sichtlich froh über diese direkte Unterstützung”.

Für Todd Wiedman, CSO von Landis+Gyr und seit 2022 CEO von Rhebo, hören die Pläne dort jedoch nicht auf: “Die Rhebo-Lösungen können potenziell in jedem digitalen Edge Device implementiert werden. Durch die neue Zusammenarbeit zwischen Landis+Gyr und Google haben wir die Möglichkeit, das Angriffserkennungssystem von Rhebo noch flexibler und skalierbarer weiterzuentwickeln. Gerade im Zusammenhang mit NIS2 und dem Cyber Resilience Act in Europa sowie weiteren internationalen Cybersicherheits-Programmen blicken wir dort auf einen wachsenden Bedarf und Markt”.