Der Autor führt das Beharren auf Altechnik nicht auf Trägheit zurück, sondern auf Physik und Investitionskosten. In der IT lasse sich ein End-of-Life-Server durch eine neue virtuelle Maschine ersetzen; in der OT-Welt sei dieser “Server” eine PLC, die im Fundament eines Kraftwerks einzementiert oder fest in das Gehäuse einer Hydraulikpresse verdrahtet sei.

Der Austausch einer Steuerung für 5.000 Dollar koste nicht 5.000 Dollar. In der Fertigung bedeute er den Stillstand einer Produktionslinie, die 50.000 Dollar pro Stunde erwirtschafte. Bei Versorgern müssten Turbinengeneratoren, die vor dem Internet installiert wurden, mit schweren Kränen herausgehoben werden. In Kommunen heiße das, eine große Kreuzung aufzugraben, um an eine 20 Fuß tief vergrabene Abwasserpumpstation zu gelangen. Für eine einzige Fertigungslinie habe er Angebote von bis zu 10 Millionen Dollar gesehen – nicht für die Hardware, sondern für Bau, Neuzertifizierung und Ausfallzeit. Sage der Finanzchef Nein, werde dem CISO aufgetragen, es trotzdem zum Laufen zu bringen.

Daraus folge eine Realität, die der Autor als “eBay-Lieferkette” bezeichnet: Er habe Kunden aus Fertigung und Kommunen geholfen, auf eBay nach Steuerungsmodulen zu suchen, die seit der Clinton-Regierung nicht mehr hergestellt würden – keine Antiquitäten, sondern die konkreten Ein-/Ausgabekarten, um die Wasserversorgung oder das Fließband am Laufen zu halten. Manche Kunden beobachteten gezielt Insolvenzanmeldungen, um beim Schließen einer Fabrik Altsteuerungen aufzukaufen, aufzuarbeiten und einzulagern.

Diese “Zombie”-Infrastruktur müsse gegen staatlich gestützte Angreifer mit modernen Mitteln verteidigt werden. Moderne EDR-Agenten ließen sich auf diesen PLCs nicht installieren, sie würden den Kernel zum Absturz bringen. Schon ein einfacher nmap-Scan könne ein altes SCADA-System lahmlegen.

Der Autor beschreibt drei praktische Schutzansätze. Erstens “digitaler Beton”: VLANs allein genügten nicht; er rate zu strikten, hardwarebasierten Firewalls oder Datendioden, die Verkehr nur in eine Richtung zuließen – Telemetrie nach außen, nichts hinein. Das OT-Netz solle von außen wie ein schwarzes Loch wirken.

Zweitens die Überwachung der Leitung statt des Endpunkts: Da sich kein Agent auf eine 30 Jahre alte Steuerung setzen lasse, nutze man passive Netzwerküberwachung, um einen Normalzustand zu etablieren. Spreche eine PLC, die 15 Jahre lang mit derselben internen IP-Adresse kommuniziert habe, plötzlich einen Server in einem anderen Subnetz an, sei das der Alarm.

Drittens sei physische Sicherheit gleich Cybersicherheit. Der Autor berichtet von Bewertungen, bei denen eine Firewall im Wert von einer Million Dollar umgangen wurde, indem man in einen unverschlossenen Versorgungsschuppen ging und einen Raspberry Pi an einen Switch steckte. Bei Altgeräten werde der physische Perimeter aus Zäunen, Schlössern und Kameras zur primären Firewall.

Sein Appell: Organisationen sollten nicht für ihre Alttechnik beschämt, sondern beim Absichern unterstützt werden. Wasserpumpe, Autoteilefabrik und Stromnetz stützten sich wahrscheinlich auf die “eBay-Lieferkette”. Der Programmierer sei fort, der Hersteller insolvent, die Hardware veraltet – doch die Aufgabe bleibe. Die Pflicht der Sicherheitsverantwortlichen sei nicht, über den Rost zu klagen, sondern zu verhindern, dass aus dem Rost ein Sicherheitsvorfall werde.