Der Beitrag stellt die typischen Fragen einer IT-Untersuchung den Möglichkeiten in OT-Netzen gegenüber. In der IT fragt ein Sicherheitsteam: Welcher Nutzer hat sich authentifiziert? War die Anmeldung interaktiv oder remote? Welcher Prozess wurde ausgeführt, welcher Elternprozess hat ihn gestartet? Kam PowerShell zum Einsatz? Hat der Host eine Verbindung zu einer bekannten Command-and-Control-Adresse aufgebaut? Wurde ein neuer Dienst angelegt, ein Endpoint-Detection-Agent deaktiviert? Passt ein Datei-Hash zu bekannter Schadsoftware? Hat ein SIEM die Aktivität mit anderen Auffälligkeiten korreliert?
In OT-Umgebungen lassen sich diese Fragen kaum verlässlich beantworten. Eine speicherprogrammierbare Steuerung (PLC) meldet nicht, dass ein Angreifer sie abgefragt hat. Eine Remote Terminal Unit (RTU) erzeugt keine aussagekräftigen Authentifizierungsprotokolle, ein Kamerasystem keine Sicherheitsereignisdetails, ein Drucker-VLAN wird oft gar nicht überwacht. Gebäudeleittechnik gibt kaum Einblick in Aufklärung, fehlgeschlagene Zugriffe, Enumeration oder Befehlsversuche.
Und selbst wo Protokolle existieren, liegen sie häufig nur lokal, werden schnell überschrieben, erreichen das SIEM nicht oder liegen in Formaten vor, die sich nicht sauber auf gängige Sicherheitsanalytik abbilden lassen. Für signatur- oder heuristikbasierte Werkzeuge bleibt die Erkennungswahrscheinlichkeit entsprechend gering: Ein signaturbasiertes Werkzeug kann keine Signatur gegen Telemetrie prüfen, die es nie erhält. Ein SIEM kann keine Ereignisse korrelieren, die niemals eingesammelt wurden. Und ein Log-Analysewerkzeug erkennt keinen Angriffspfad, der über Anlagen ohne sinnvolle Protokollierung führt.
Cyber Deception setzt nach Hawks Argumentation an dieser Stelle an und liefert Einblicke über den gesamten Angriffspfad von der IT in die OT. In einem gut entworfenen Täuschungsaufbau erhält der Angreifer genau jene Informationen und Geräte, die er zum Fortsetzen des Angriffs braucht: Angaben über das Netzwerk und angreifbare Anlagen, durch die er navigieren kann. Jedes dieser Elemente sammelt Forensik und alarmiert die Verteidiger in Echtzeit.
Entscheidend sei der domänenübergreifende Blick, denn Angreifer halten sich nicht an organisatorische Grenzen, sondern nehmen den Weg, der sie dem operativen Ziel näherbringt. Der aussagekräftigste Beweis stammt daher oft nicht von der OT-Anlage selbst, sondern vom Weg dorthin. Eine angefasste gefälschte Zugangsberechtigung auf einer IT-Arbeitsstation, ein geöffneter OT-Netzplan mit Rückmeldefunktion, eine Täuschungs-Engineering-Workstation, die von einem kompromittierten Host aus erreicht wird, und eine simulierte PLC, die von unerwarteter Quelle abgefragt wird — all das kann Teil derselben Erkennungsgeschichte sein. Der Wert liege nicht nur in der hohen Trefferqualität der einzelnen Alarme, sondern darin, dass sie Bewegung über die entscheidende Grenze hinweg zeigen.
Damit lassen sich auch Bereiche abdecken, ohne jedes Gerät in einen modernen IT-Endpunkt verwandeln zu müssen. Ein Täuschungsdrucker, eine Täuschungskamera, ein vorgetäuschter Ausweisleser oder Gebäudeleitserver muss nicht jeden möglichen Exploit verstehen — er muss nur glaubwürdig genug wirken, dass ein Angreifer ihn für ein nützliches Ziel hält. Wird er berührt, ist die Aussage klar: Jemand bewegt sich in einem System oder Segment, in dem legitime Nutzer keinen Anlass zur Interaktion hatten.
Das verbessert laut Hawk auch die Reaktion. In OT sind Entscheidungen schwer, weil Fehlgriffe teuer sind: Einen Host zu blockieren, Zugangsdaten zurückzusetzen, einen Herstellertunnel zu schließen, ein Subnetz zu segmentieren oder eine Arbeitsstation zu unterbrechen hat betriebliche Folgen. Alarme mit geringer Aussagekraft sind kaum handlungsfähig. Wird dagegen eine Honig-Zugangsberechtigung genutzt, ein gefälschtes OT-Dokument geöffnet oder eine Täuschungs-PLC abgefragt, ist ein ungewöhnliches Ereignis belegt — Grundlage für schnellere und präzisere Reaktion.
Am ukrainischen Fall zeige sich das Prinzip: Der Erfolg der Angreifer hing an Vorbereitung, Zugang, Wissen und der Fähigkeit, von der Unternehmenskompromittierung zur operativen Kontrolle zu gelangen.