Internet-Sicherheit 
KI-Governance reduziert das Sicherheitsrisiko, indem sie den Least-Privilege-Zugriff durchsetzt, die von KI-Systemen verarbeiteten Daten und Zugangsdaten schützt und jede KI-Aktion überprüfbar macht. Dies ist wichtig, da
Publiziert am September 23, 2026
Ende Juli 2026 richteten sich böswillige Cyberaktivitäten gegen Fernüberwachungs- und -steuerungstechnologien in über 30 kommunalen Wasserversorgungssystemen in ganz Minnesota, woraufhin Cyberangriffe auf die Wasserversorgung in mindestens 12 Bundesstaaten gemeldet wurden. Die zugrunde liegenden Sicherheitslücken in OT-Umgebungen sind jedoch nicht auf den Wassersektor beschränkt. Energieversorger, Produktionsanlagen, Verkehrssysteme und Einrichtungen des öffentlichen Sektors nutzen dieselben Arten von Betriebstechnologie (Operational Technology, OT) und greifen bei der Wartung auf ähnliche externe Integratoren zurück, wobei sie Geräte einsetzen, die bereits installiert wurden, bevor eine Zugriffsmöglichkeit über das Internet überhaupt denkbar war. Kritische Infrastrukturen benötigen eine Zero-Trust-Sicherheit, da in diesen Umgebungen der Zugriff nach wie vor davon abhängt, wo sich ein Benutzer oder ein Gerät im Netzwerk befindet. Genau diesen Umstand machen sich Angreifer mittlerweile zunutze.
Lesen Sie weiter, um zu erfahren, warum herkömmliche Sicherheitsmodelle nicht mehr ausreichen, warum KI die Geschwindigkeit erhöht, mit der Angreifer Schwachstellen in der OT aufspüren können, und wie sich das Zero-Trust-Konzept zum Schutz kritischer Infrastrukturen auf OT-Umgebungen anwenden lässt.
Wie das traditionelle Sicherheitsmodell bei kritischen Infrastrukturen versagt
Mit dem Internet verbundene Controller, Standard-Zugangsdaten und ein dauerhaft aktiver Anbieterzugang sind bekannte Schwachstellen, deren Ausnutzung weder ausgefeilte Technologie noch Fachwissen erfordert, da sie auf Vertrauensannahmen beruhen. Ein flaches oder leicht segmentiertes Netzwerk geht davon aus, dass alle bereits darin befindlichen Elemente dazugehören; eine technische Arbeitsstation mit Zugriff auf alle Steuerungen geht davon aus, dass die Person hinter der Tastatur auch diejenige ist, die dorthin gehört. Ebenso geht ein Standardpasswort davon aus, dass sich das Gerät an einem Ort befindet, den Außenstehende nicht erreichen können.
Der Cyberangriff auf das US-Wasserversorgungsnetz hat eine weniger auffällige Ausprägung desselben zugrunde liegenden Problems offenbart: Ein Teil der zugänglichen Geräte besteht aus Mobilfunkmodems und Geräten, die von Anbietern installiert wurden und bei routinemäßigen Sicherheitsscans nie erfasst werden. Die meisten dieser Umgebungen wurden unter Bedingungen entwickelt, bei denen jede Annahme bei der Installation getroffen und seitdem von jedem Team übernommen wurde, ohne jemals erneut überprüft zu werden. Niemand hat die Absicht, eine SPS im öffentlichen Internet zu belassen, doch die Konvergenz von IT und OT hat die Grenzen in den letzten Jahren verschoben, ohne dass die Vertrauensstruktur entsprechend angepasst wurde.
Warum KI die Zeit für die Behebung von OT-Schwachstellen verkürzt
In der gemeinsamen Sicherheitswarnung AA26-231A, die am 19. August 2026 veröffentlicht wurde, berichteten die NSA, die CISA, das FBI, das Energieministerium und die Umweltschutzbehörde, dass Cyberkriminelle KI-generierte Skripte verwenden, die als legitime Überwachungsprogramme getarnt sind, um Erkundungsangriffe auf mit dem Internet verbundene SPS der Siemens S7-Serie durchzuführen. Die Behörden warnten, dass die KI-gestützte Entwicklung die technischen Hürden senken und den Zeitaufwand für die Erstellung von Exploit-Tools verringern könne. In der Sicherheitswarnung werden keine neuen Zero-Day-Schwachstellen beschrieben. Vielmehr handelt es sich bei den beobachteten Aktivitäten eher um Erkundungsversuche als um bestätigte Störungen. Die Schwachstellen sind dieselben, die bereits in den Warnungen der Bundesbehörden genannt wurden, doch hat sich nun geändert, wer wie schnell darauf reagieren kann.
Die Bedenken hinsichtlich der KI-gestützten Sicherheit erstrecken sich auch auf den Identitätsbereich. Am 27. August 2026 unterzeichneten mehr als 100 Unternehmen einen offenen Brief zur kollektiven Cyberabwehr, in dem sie die Leser davor warnten, dass KI-gestützte Cyberangriffe bald an Bedeutung gewinnen könnten. Dabei nannten sie Krankenhäuser, Wasseraufbereitungsanlagen und die Internetinfrastruktur als besonders gefährdete Systeme und forderten Unterstützung für die mit unzureichenden Ressourcen ausgestatteten Verteidiger kritischer Infrastrukturen.
So verändert Zero-Trust für kritische Infrastrukturen die OT-Sicherheit
Zero-Trust ist ein Sicherheitsmodell, das implizites Vertrauen beseitigt. Anstatt den Zugriff auf der Grundlage des Netzwerkstandorts zu gewähren, überprüft es jeden Benutzer und jedes Gerät anhand seiner Identität, beschränkt den Zugriff auf das erforderliche Minimum und protokolliert alle Aktivitäten. In OT-Umgebungen bedeutet Zero-Trust, dass die Zugehörigkeit zum Steuerungsnetzwerk niemandem mehr das Recht einräumt, auf die darin befindlichen Geräte zuzugreifen. Nun hat sich jedoch verändert, was geschützt werden muss. Aus diesem Grund funktioniert Zero-Trust in Umgebungen, in denen die Grenzen bereits aufgeweicht sind und die dahinter liegenden Geräte nicht ersetzt werden können.
Identität wird zum Kontrollpunkt, nicht der Netzwerkstandort
Jeder Mensch, jeder Anbieter, jedes Dienstkonto und jeder KI-Agent, der mit Ihrer Umgebung in Berührung kommt, erhält eine verifizierte Identität, wobei Zugriffsentscheidungen anhand dieser Identität anstelle einer IP-Adresse getroffen werden. Ein geteilter Betreiber-Login scheitert bei diesem Test sofort, da er eine Rolle und keine Person identifiziert. Die KI-Branche hat denselben Standard für ihre eigenen Systeme festgelegt. In dem gemeinsamen Brief heißt es, dass die Identitäten der Agenten nachvollziehbar und rechenschaftspflichtig sein sollten; eine Verpflichtung der Unternehmen, die diese Agenten entwickeln, und keine Vorgabe an die Infrastrukturbetreiber. Dennoch lohnt es sich, Ihre KI-Anbieter an diesen Standard zu binden und ihn auf jeden in Ihrer Umgebung ausgeführten Agenten anzuwenden, um sicherzustellen, dass KI-Agenten keinen dauerhaften Zugriff erhalten.
Least-Privilege- und JIT-Zugriff haben Vorrang, nicht dauerhafte Zugriffsberechtigungen
Nehmen wir einen Integrator, der alle sechs Monate eine Kläranlage wartet und dabei jedes Mal mehrere Stunden Zugriff benötigt. Bei einem herkömmlichen Cybersicherheitsmodell verfügt dieser Anbieter über einen permanenten VPN-Zugang, was bedeutet, dass seine Zugangsdaten für den Rest des Jahres einen aktiven Zugang zu Ihrem Netzwerk darstellen und lediglich durch die internen Sicherheitsmaßnahmen des Anbieters geschützt sind. Beim JIT-Zugriff (Just-in-Time) ist es genau umgekehrt: Der Account wird erst bei der Planung der Arbeit eingerichtet, ist auf das jeweilige System beschränkt und wird automatisch widerrufen, sobald der Zeitraum endet. Zero-Trust-Netzwerkzugriff (ZTNA) wendet denselben Grundsatz auch auf die Verbindung selbst an. Anstatt den Anbieter wie bei einem VPN in Ihr Netzwerk einzubinden, verbindet es ihn mit einem einzigen System und macht alles andere unsichtbar.
Den Schadensradius über die IT/OT-Grenze hinweg begrenzen
Die Eindämmung geht davon aus, dass irgendwann jemand Zugriff erlangt, und stellt die Frage, wie weit diese Person mit diesem Zugriff gehen kann. Durch die Segmentierung der IT/OT-Grenze, die Einschränkung, welche technischen Workstations mit welchen Steuerungen kommunizieren dürfen, und die Abschaffung des dauerhaften Zugriffs wird der Schadensradius verringert. Dieselbe Logik gilt für KI-Agenten, die in Ihren Systemen operieren, wo sich Berechtigungen schnell und unbemerkt ansammeln. Testen Sie unseren Rechner für den Schadensradius von KI-Agenten, um zu erfahren, wie weit die Auswirkungen eines einzelnen kompromittierten KI-Agenten reichen könnten.
Aktivitäten kontinuierlich überprüfen, überwachen und Sitzungen aufzeichnen
Die Anmeldeverifizierung erfordert eine einmalige Überprüfung, während bei der fortlaufenden Verifizierung der Zugriff bei veränderten Bedingungen neu bewertet und gegebenenfalls widerrufen wird. Durch die Überwachung und Aufzeichnung von Sitzungen wird genau erfasst, was während einer privilegierten Verbindung zu einem Controller geschehen ist, sodass ein verdächtiges Ereignis zu etwas wird, das Sie untersuchen können, anstatt es im Nachhinein rekonstruieren zu müssen.
So wenden Sie Zero-Trust auf OT-Umgebungen an
In OT-Umgebungen stehen Verfügbarkeit und Sicherheit an erster Stelle, da ein Ausfall des Kontrollsystems dazu führen kann, dass die Menschen weder Wasser noch Strom erhalten. Der Leitfaden der CISA zur Anpassung der Zero-Trust-Prinzipien an die OT ordnet die Zero-Trust-Ergebnisse sechs Funktionen des NIST CSF 2.0 zu, und berücksichtigt dabei eindeutig bestehende Lücken, betriebliche Einschränkungen und Sicherheitsanforderungen. Der Leitfaden erkennt an, dass Zero-Trust-Prinzipien an OT-Umgebungen angepasst werden müssen, anstatt sie identisch wie bei herkömmlichen IT-Systemen anzuwenden. Das ist das praktische Argument für Zero-Trust in OT-Umgebungen. In der Sicherheitswarnung AA26-231A werden die Betreiber außerdem angewiesen, Ausgleichsmaßnahmen zu ergreifen, wenn ein Legacy-Gerät nicht ohne eine geplante Betriebsunterbrechung gepatcht oder neu konfiguriert werden kann. In dem gemeinsamen Brief wird für dieselbe Strategie plädiert. Eine veraltete Steuerung lässt sich möglicherweise nicht mehr mit Patches aktualisieren, jedoch kann gesteuert und überwacht werden, wer von wo aus und wie lange Zugriff erhält. So beginnen Sie bei der Anwendung von Zero-Trust in OT-Umgebungen:
- Erfassen Sie jeden Remote-Zugriffspfad in die OT, einschließlich Anbieterkonten, Mobilfunkmodems und allem, was außerhalb Ihres Change-Prozesses installiert wurde.
- Beseitigen Sie SPS, HMIs und Jump-Boxen, die mit dem Internet verbunden sind, wodurch das größte Risiko beseitigt wird – ein Punkt, den die Warnungen der Bundesbehörden immer wieder betonen. Die Beseitigung direkter Exposition verändert die Art und Weise, wie auf ein Gerät zugegriffen wird, nicht jedoch dessen Funktionsweise.
- Schaffen Sie Standard- und gemeinsam genutzte Zugangsdaten ab und setzen Sie an Remote-Zugangspunkten eine Phishing-resistente MFA durch. Standardpasswörter und im Internet zugängliche Steuerungen wurden bei den jüngsten Cyberangriffen auf Wasserversorgungssysteme als wiederkehrende Schwachstellen identifiziert. Eindeutige Zugangsdaten und eine hardwaregestützte Authentifizierung verursachen keine zusätzliche Latenz im Steuerungsprozess selbst.
- Verwandeln Sie den ständigen Anbieterzugang in einen vermittelten, zeitlich begrenzten und aufgezeichneten Zugang. Der Integrator hat weiterhin Zugriff, wenn die Arbeiten geplant sind, stellt jedoch für den Rest des Jahres keine dauerhaft offene Tür mehr dar.
- Segmentieren Sie die IT/OT-Grenze und verschaffen Sie sich einen Überblick über den Datenverkehr über diese Grenze hinweg.. Beginnen Sie im Überwachungsmodus und legen Sie zunächst fest, wie eine normale Kommunikation aussieht, bevor Sie Maßnahmen durchsetzen, damit die Durchsetzung niemals mitten im Prozess überraschend erfolgt.
- Setzen Sie ein messbares Ziel. Verfolgen Sie, wie schnell Sie einen Angriff eindämmen und ob Ihre Korrekturmaßnahmen bei erneuten Tests Bestand haben, und nicht, wie viele Tools Sie eingesetzt haben. Hierbei handelt es sich um eine Kennzahl, die Führungskräfte tatsächlich bewerten können.
Schützen Sie Ihre kritische Infrastruktur mit Keeper
Recent cyber attacks and federal advisories show why critical infrastructure organizations need stronger controls around privileged and remote access, particularly when legacy OT cannot be quickly patched or replaced. Organizations can reduce risk by controlling who can access critical systems, what resources they can reach, how long access lasts and what actions they can take. KeeperPAM® helps critical infrastructure organizations secure and manage privileged access across IT and OT environments. Through the KeeperPAM Gateway, it provides secure remote access to infrastructure without opening inbound firewall ports or exposing credentials to end users. Built on a zero-trust and zero-knowledge architecture, KeeperPAM also supports JIT access, automated credential rotation, least-privilege access and privileged session management. Start a free trial of KeeperPAM to close the access paths attackers are already scanning for.
Häufig gestellte fragen
Was ist Zero-Trust für OT?
Zero-Trust für OT ist ein Sicherheitsmodell, das implizites Vertrauen aus Industrieumgebungen entfernt. Anstatt den Zugriff basierend darauf zu gewähren, wo sich ein Benutzer oder Gerät im Netzwerk befindet, wird jede Verbindung anhand der Identität überprüft, auf den für eine Aufgabe mindestens erforderlichen Zugriff beschränkt und protokolliert.
Verlangt CISA Zero-Trust für kritische Infrastruktur?
Zero-Trust für kritische Infrastruktur ist für Betreiber des privaten Sektors nicht erforderlich. Die CISA veröffentlicht Leitfäden und Reifegradmodelle anstelle verbindlicher Anforderungen, wobei ihre OT-spezifischen Leitfäden eine Roadmap und keine Vorgabe darstellen. Bundesbehörden unterliegen separaten Zero-Trust-Richtlinien, wobei die für die jeweiligen Branchen zuständigen Aufsichtsbehörden wie die TSA und die EPA in den USA ihre eigenen Vorschriften festlegen. Die konkreten Anforderungen hängen daher von Ihrer Branche und Ihrem Zuständigkeitsbereich ab.
Kann Zero Trust bei Legacy-SPS funktionieren, für die keine Patches verfügbar sind?
Legacy-SPS müssen keine moderne Authentifizierung unterstützen, damit Unternehmen Zero-Trust-Sicherheitsprinzipien auf sie anwenden können. Unternehmen können kompensierende Kontrollen wie Netzwerksegmentierung, identitätsbasierten Fernzugriff, das Least-Privilege-Prinzip, Sitzungsüberwachung und zeitlich begrenzten Zugriff nutzen, um Risiken zu minimieren, wenn Legacy-Geräte nicht gepatcht oder neu konfiguriert werden können.
