OT-Security in der Pharmaindustrie: Wenn Produktionsanlagen zum Sicherheitsrisiko werden

In einem Pharmaunternehmen in Basel steht eine hochmoderne Fertigungsanlage still. Nicht wegen eines mechanischen Defekts, sondern weil ein veraltetes Steuerungssystem eine kritische Sicherheitslücke aufweist. Die Anlage produziert sterile Injektionslösungen - ein Bereich, in dem Compliance nicht verhandelbar ist. Der Stillstand kostet mehrere hunderttausend Franken pro Tag, aber ein Weiterbetrieb ohne Absicherung gefährdet die gesamte GMP-Zertifizierung.

Diese Situation begegnet uns regelmässig in Projekten. Die Operational Technology (OT) - also Steuerungssysteme, SCADA-Anlagen, Batch-Prozessoren - wurde jahrelang als isolierte Welt betrachtet. "Air-Gap" hiess das Sicherheitskonzept: keine Verbindung nach aussen, also kein Risiko. Diese Zeiten sind vorbei. Die Realität sieht heute so aus: Fernwartungszugänge für Maschinenbauer, MES-Systeme mit ERP-Anbindung, Condition-Monitoring über Cloud-Plattformen. Die OT ist längst vernetzt - oft ohne dass die IT-Security davon weiss.

Die unsichtbare Bedrohung: Warum klassische IT-Security nicht funktioniert

Ein konkretes Beispiel aus unserer Beratungspraxis: Ein mittelständischer Pharmazulieferer wollte sein bestehendes IT-Sicherheitskonzept auf die Produktion ausweiten. Der Plan klang vernünftig: Antivirus auf allen Systemen, regelmässige Patches, Netzwerk-Segmentierung. Was das Unternehmen nicht bedacht hatte: Die SPS-Steuerung der Tablettierpresse läuft auf Windows Embedded 2009. Automatische Updates? Nicht möglich, der Hersteller unterstützt das System nicht mehr. Antivirus-Scans? Führen zu Latenzproblemen. Neustart für Patches? Nur während geplanter Wartungsfenster alle sechs Monate.

Hier zeigt sich die Kernherausforderung: OT-Systeme sind auf Verfügbarkeit und Stabilität optimiert, nicht auf Sicherheit. Ein Produktionssystem muss 24/7 laufen, oft über Jahrzehnte. Änderungen bedeuten Risiko - nicht nur für die Sicherheit, sondern für den gesamten Betrieb.

Der Weg zur OT-Security: Pragmatismus statt Perfektion

Phase 1 - Transparenz schaffen: Bevor wir über Schutzmassnahmen sprechen, muss klar sein, was überhaupt vorhanden ist. In einem Projekt haben wir über 200 vernetzte Geräte identifiziert, von denen die IT-Abteilung nichts wusste. Passive Netzwerk-Scans mit spezialisierten OT-Analyse-Tools liefern hier ein realistisches Bild - ohne die Anlagen zu stören.

Phase 2 - Risikobewertung mit Realitätssinn: Nicht jede Schwachstelle ist gleich kritisch. Eine veraltete Firmware in einem Durchflussmessgerät, das physisch in einem gesicherten Reinraum steht, stellt ein anderes Risiko dar als ein HMI-Panel mit Fernwartungszugang. Wir bewerten Risiken nach: Zugriffsmöglichkeit von aussen, Kritikalität für den Produktionsprozess und regulatorische Anforderungen.

Phase 3 - Netzwerk-Segmentierung als Fundament: Die wirksamste Massnahme ist oft die einfachste: Trennung. Produktionsnetzwerke werden in Zonen aufgeteilt - kritische Fertigungslinien getrennt von Nebenanlagen, OT getrennt von IT, Fernwartung über dedizierte Jump-Hosts.

Phase 4 - Überwachung statt Prävention: Wenn Patches nicht möglich sind, wird Monitoring zur zentralen Schutzmassnahme. Anomalie-Erkennung erkennt ungewöhnliches Verhalten - eine SPS, die plötzlich mit einem unbekannten Server kommuniziert.

Fazit: OT-Security ist kein IT-Projekt

OT-Security in der Pharmaindustrie ist kein Sprint, sondern ein Marathon. Es geht nicht darum, von heute auf morgen alle Systeme auf den neuesten Stand zu bringen. Es geht darum, Risiken zu verstehen, pragmatische Schutzmassnahmen zu implementieren und kontinuierlich zu verbessern. Die erfolgreichsten Projekte sind die, bei denen Produktion, IT und Qualitätssicherung von Anfang an am Tisch sitzen.

At a pharmaceutical company in Basel, a state-of-the-art manufacturing line stands still. Not because of a mechanical defect, but because an outdated control system has a critical security vulnerability. The line produces sterile injection solutions - an area where compliance is non-negotiable. The downtime costs several hundred thousand francs per day, but continuing to operate without safeguards puts the entire GMP certification at risk.

We encounter this situation regularly in our projects. Operational technology (OT) - meaning control systems, SCADA installations, batch processors - was treated as an isolated world for years. "Air gap" was the name of the security concept: no connection to the outside, therefore no risk. Those days are over. Today's reality looks like this: remote maintenance access for machine builders, MES systems connected to ERP, condition monitoring via cloud platforms. OT has long been networked - often without IT security knowing about it.

The Invisible Threat: Why Classic IT Security Does Not Work

A concrete example from our consulting practice: a mid-sized pharmaceutical supplier wanted to extend its existing IT security concept to production. The plan sounded reasonable: antivirus on all systems, regular patches, network segmentation. What the company had not considered: the PLC controlling the tablet press runs on Windows Embedded 2009. Automatic updates? Not possible, the manufacturer no longer supports the system. Antivirus scans? They cause latency problems. Reboots for patches? Only during scheduled maintenance windows every six months.

This is where the core challenge becomes apparent: OT systems are optimized for availability and stability, not for security. A production system must run 24/7, often for decades. Changes mean risk - not only for security, but for the entire operation.

The Path to OT Security: Pragmatism Instead of Perfection

Phase 1 - Creating transparency: Before we talk about protective measures, it must be clear what actually exists. In one project, we identified more than 200 networked devices that the IT department knew nothing about. Passive network scans with specialized OT analysis tools deliver a realistic picture here - without disrupting the plants.

Phase 2 - Risk assessment with a sense of reality: Not every vulnerability is equally critical. Outdated firmware in a flow meter that is physically located in a secured cleanroom poses a different risk than an HMI panel with remote maintenance access. We assess risks according to: external access possibilities, criticality for the production process, and regulatory requirements.

Phase 3 - Network segmentation as the foundation: The most effective measure is often the simplest: separation. Production networks are divided into zones - critical manufacturing lines separated from auxiliary systems, OT separated from IT, remote maintenance via dedicated jump hosts.

Phase 4 - Monitoring instead of prevention: When patching is not possible, monitoring becomes the central protective measure. Anomaly detection identifies unusual behavior - a PLC that suddenly communicates with an unknown server.

Conclusion: OT Security Is Not an IT Project