OT und IT verbinden: Integrationsmuster ohne Produktionsrisiko

Ein Schichtleiter will Maschinendaten im Büro-Netzwerk sehen. Der IT-Sicherheitsbeauftragte will keine Produktionssteuerung an das Internet anbinden. Beide haben recht, und genau daraus entsteht die eigentliche Aufgabe bei der OT-IT-Integration.

Der Rahmen: Purdue-Modell und Zonentrennung

Als Rahmen für die Trennung hat sich das Purdue-Referenzmodell durchgesetzt, das Produktionsnetze in Ebenen von der Feldebene bis zur Unternehmens-IT unterteilt und bis heute einer der am weitesten verbreiteten Ansätze zur Netzsegmentierung ist (Acronis, 2025). Das Modell ist älter als viele heutige IIoT-Architekturen, bleibt aber als gedankliche Grundlage nützlich, wenn es darum geht, wer mit wem sprechen darf und wer nicht.

Warum OT-IT-Integration in Bestandsanlagen schwerer ist als geplant

In gewachsenen Betrieben trifft die Integration selten auf eine einheitliche Landschaft (allaboutautomation, 08/2026). Jede Steuerung spricht ihre eigene Sprache, entwickelt zu einer Zeit, in der niemand an eine spätere Anbindung an übergeordnete Systeme gedacht hat.

Edge-Gateways übernehmen in dieser Situation eine Übersetzerrolle. Sie normalisieren die unterschiedlichen Legacy-Protokolle in gängige Standards und übernehmen gleichzeitig die Segmentierung zwischen Produktionsnetz und übergeordneter IT. Für die Maschine selbst ändert sich dabei wenig, sie sendet ihre Daten weiter wie gewohnt. Erst am Gateway entsteht die Brücke zu einem Format, das moderne Auswertungen verstehen.

Sicherheit der OT-IT-Integration von Anfang an mitdenken

Ein Nachrüstprojekt, das erst nach dem Rollout über Sicherheit nachdenkt, korrigiert später mit deutlich höherem Aufwand, was von Beginn an hätte mitgeplant werden können. Die Norm IEC 62443 für die Sicherheit industrieller Automatisierungssysteme sollte deshalb von Anfang an Teil der Projektplanung sein, nicht ein nachträglicher Prüfschritt (allaboutautomation, 08/2026). Das betrifft Fragen wie Zonentrennung, Zugriffsrechte auf Gateways und die Frage, welche Daten überhaupt das Produktionsnetz verlassen dürfen.

Ein praktischer Vorteil moderner Retrofit-Sensorik liegt darin, dass sie sich häufig komplett außerhalb der bestehenden Steuerung montieren lässt. Externe Funk-Sensorik greift nicht in die SPS ein und lässt sich im laufenden Betrieb anbringen (allaboutautomation, 08/2026). Diese Sensoren senden ihre Daten über ein eigenes Netz direkt an ein Gateway, vorbei an der eigentlichen Steuerungsebene. Das reduziert das Risiko für die Produktionssicherheit erheblich, weil im schlimmsten Fall nur die Sensorik betroffen wäre, nicht die Maschine selbst. Wie ein solcher Aufbau konkret aussieht, steht im Beitrag zu Retrofit bei Bestandsanlagen.

Ein stufenweiser Weg statt eines großen Wurfs

Eine OT-IT-Integration, die gleich das ganze Werk anbindet, ist selten der schnellste Weg zum Ziel. Sinnvoller ist ein Einstieg über eine einzelne Linie oder einen einzelnen Maschinentyp, an dem sich Gateway, Netzwerksegmentierung und Sicherheitskonzept in der Praxis bewähren müssen. Fehler in der Konfiguration eines Gateways zeigen sich hier schnell und lassen sich korrigieren, ohne dass gleich die gesamte Produktion betroffen ist.

In diesem ersten Schritt zeigt sich auch, wie belastbar die vorhandene Netzwerkinfrastruktur tatsächlich ist. Manche Hallen verfügen über ein stabiles Industrial-Ethernet, andere haben seit Jahren kein Netzwerk-Upgrade erlebt. Diese Unterschiede lassen sich am besten an einem überschaubaren Pilotbereich klären, bevor größere Investitionen in Verkabelung oder Funkinfrastruktur anstehen.

Nach dem Piloten lohnt sich eine kurze Bewertung, bevor der nächste Bereich angebunden wird. Wie viele Fehlalarme gab es, wie stabil lief das Gateway, und wie gut haben OT und IT tatsächlich zusammengearbeitet? Diese Erfahrungen fließen direkt in den nächsten Rollout-Schritt ein.

Die organisatorische Seite wird oft unterschätzt

Die technische Lösung ist selten das größte Hindernis. Schwieriger ist häufig die Organisation. OT und IT müssen die Verantwortung für ein solches Projekt gemeinsam übernehmen, mit klaren Zuständigkeiten für Netzwerk, Sicherheit und Datenauswertung (allaboutautomation, 08/2026). In vielen Betrieben berichten beide Abteilungen an unterschiedliche Vorgesetzte, mit unterschiedlichen Prioritäten und Budgets. Ein Gateway-Projekt, das nur von der IT getrieben wird, übersieht leicht die betrieblichen Realitäten der Produktion. Ein Projekt, das nur aus der Produktion kommt, unterschätzt oft die Sicherheitsanforderungen der IT.

Häufige Fragen

Muss die Produktion für die Anbindung an OT und IT stillstehen?

In den meisten Fällen nicht. Externe Funk-Sensorik und Edge-Gateways lassen sich häufig im laufenden Betrieb montieren, ohne in die bestehende Steuerung einzugreifen. Ein geplanter Wartungsstillstand kann die Installation zusätzlich erleichtern, ist aber selten zwingend.

Was passiert mit alten Windows-Rechnern an Maschinen?

Ältere, nicht mehr gepflegte Rechner an Maschinensteuerungen sind ein bekanntes Sicherheitsrisiko und sollten in der Netzsegmentierung besonders behandelt werden. Häufig bleiben sie in einer eigenen, streng abgeschotteten Zone, während die eigentliche Datenauswertung über ein separates Gateway läuft, das keinen direkten Zugriff auf diese Systeme braucht.

Wer verantwortet am Ende die Sicherheit der Integration?

Idealerweise eine gemeinsame Zuständigkeit von OT und IT, mit klar dokumentierten Grenzen für den Betrieb des Gateways, die Netzwerksegmentierung und die Zugriffsrechte. Ohne diese Klärung bleiben Sicherheitslücken oft unentdeckt, weil sich beide Seiten auf die jeweils andere verlassen.

Der nächste Schritt

torck begleitet OT-IT-Integrationsprojekte in gewachsenen Anlagen aus eigener Erfahrung, von der Auswahl der Edge-Gateways bis zur Anbindung an unser eigenes Anlagenmonitoring. Unsere Teams in Maxhütte-Haidhof, Wien und Rabat entwickeln die Software für Industrie und Handel selbst und kennen die Fragen zu Netzsegmentierung und Zuständigkeiten aus eigenen Projekten. Über unsere Seite zum Anlagenmonitoring lässt sich ein Termin finden.