Produktion / OT (Werk Süd und Werk Nord)

Host	produktion
Datum	2026-01-20
Erhebung	Begehung + Netzscan + Gespräch Produktionsleitung

Ergebnis: 0 erfüllt · 1 teilweise · 6 nicht erfüllt · 1 nicht anwendbar

Ergebnisse im Detail

Produktion / OT

Status	Prüfpunkt	Ist-Zustand	Soll
nicht erfüllt	Produktionsnetz vom Büronetz getrennt	Maschinensteuerungen (Laser L1/L2, Kantbank K1, Schweißroboter R1) und Büro-PCs im selben VLAN 1 (10.20.1.0/24); kein Firewall-Übergang	eigenes Produktions-VLAN mit Firewall-Regeln zum Büronetz
nicht erfüllt	Alt-Systeme in der Produktion isoliert	4 Steuerungs-PCs mit Windows 7 Embedded (L1, L2, K1, Säge S1) und 1 Windows XP (Messmaschine) ohne Isolation im Client-Netz erreichbar (SMB 445, RDP 3389 offen)	abgekündigte Steuerungen in isoliertem Segment, nur definierte Verbindungen
nicht erfüllt	Herstellerzugriff auf Produktionsanlagen kontrolliert	TeamViewer-Host dauerhaft auf 3 Steuerungs-PCs (unbeaufsichtigter Zugriff für Laserhersteller und Roboterhersteller); keine Freigabe durch die Produktion, kein Protokoll	Freischaltung je Einsatz, personalisiert, protokolliert
nicht erfüllt	Fernwartung der Produktion mit zweitem Faktor	TeamViewer-Zugänge mit festem Passwort, kein zweiter Faktor; zusätzlich SSL-VPN-Konto 'wartung-laser' ohne MFA-Gruppe	Fernwartung nur über kontrollierten Zugang mit MFA
nicht erfüllt	Steuerungen (SPS) abgesichert	6 Siemens-S7-Steuerungen im Netz erreichbar (Port 102); Webserver aktiv; Schreibschutz (Zugriffsschutz-Stufe) nicht konfiguriert laut Produktionsleitung	Zugriffsschutz aktiv, Webserver aus, nur Engineering-Station darf schreiben
teilweise	Bedienoberflächen (HMI) mit Anmeldung	HMI-Panels an Laser und Kantbank ohne Benutzeranmeldung (Bedienerebene offen); Admin-Ebene mit Herstellerstandard-PIN	Anmeldung je Bediener, Admin-Ebene mit eigenem Passwort
nicht anwendbar	Leitsystem protokolliert (SCADA)	Kein Leitsystem im Einsatz; Maschinenmeldungen laufen in MetaBDE (Betriebsdatenerfassung)	sicherheitsrelevante Ereignisse der Produktion protokolliert
nicht erfüllt	Produktionssysteme gesichert	Steuerungsprogramme liegen nur auf den Steuerungs-PCs und einem USB-Stick des Schichtführers; keine Sicherung im Veeam-Umfang, kein dokumentierter Wiederanlauf	Steuerungsprogramme und Konfigurationen versioniert gesichert, Wiederanlauf getestet

---

Technische Evidenz — Holisec Security Check.