Angriffserkennung
Angriffserkennung
KRITIS Defender ist ein gesetzeskonformes System zur Angriffserkennung speziell für Leit- und Fernwirktechnik sowie klassische IT in Versorgungsunternehmen wie z.B. Stadtwerken.
Durch das Servicemodell ist bei Ihnen kein zusätzlicher Personalaufbau oder tiefgehendes Spezial-Know-how erforderlich.
Ihre Netzwerk- und Systemdaten werden rückwirkungsfrei protokolliert und lokal verarbeitet, wodurch auch vollständig getrennte (Air-Gapped) Infrastrukturen zuverlässig überwacht werden können. So behalten Sie jederzeit die volle physische Kontrolle über Ihre Daten bei maximaler Transparenz.
Automatisierte Detektionsverfahren werden mit der kontinuierlichen Auswertung durch spezialisierte Analysten kombiniert. im Ernstfall erhalten Sie qualifizierte Alarmierungen, verständliche Handlungsempfehlungen und direkte Unterstützung in deutscher Sprache von dedizierten Ansprechpartnern – für schnelle, fundierte Entscheidungen.
Welches Problem lösen wir?
Ein System zur Angriffserkennung ist für viele Versorgungsunternehmen seit IT-SiG 2.0 und NIS2 keine Option mehr, sondern für deren Kritische Anlagen gesetzliche Pflicht und zentraler Bestandteil eines wirksamen Risikomanagements.
Vorgaben wie EnWG §5c sowie BSIG §2 und §31 verpflichten Betreiber kritischer Infrastrukturen, Cyberangriffe nach definierten Standards frühzeitig zu erkennen und zu bewerten.
Gleichzeitig hat sich die Bedrohungslage in den letzten Jahren deutlich verschärft – der Einsatz entsprechender Systeme ist damit auch unabhängig von regulatorischen Anforderungen zwingend erforderlich. Gleichzeitig stellt die Umsetzung viele Unternehmen vor erhebliche Herausforderungen: Der Betrieb eines Angriffserkennungssystems – insbesondere im Umfeld von Leit- und Fernwirktechnik – erfordert spezialisierte Technologien, kontinuierliche Analyseprozesse und qualifiziertes Fachpersonal.
Die Folge: hoher operativer Aufwand, steigende Komplexität und begrenzte interne Ressourcen. Viele Versorgungsunternehmen können ihre Anforderungen daher nur mit erheblichem Aufwand oder nicht vollständig erfüllen.
Was bietet ausecus?
KRITIS Defender ist ein System zur Angriffserkennung (IDS, SIEM) als Managed Service (Security Operations Center) – speziell entwickelt für Leit- und Fernwirktechnik (OT) sowie Büro-IT in deutschen Versorgungsunternehmen (Energie, Wasser, Abwasser, Verkehr, Transport und Verkehr, Siedlungsabfallentsorgung, Stadtwerke).
Die Lösung erfüllt gezielt die Anforderungen aus EnWG und BSIG und lässt sich effizient in bestehende Infrastrukturen integrieren. Durch die konsequente Fokussierung auf diese Zielgruppe sind sowohl die technische Plattform als auch unsere deutschsprachigen Analysten optimal auf die Anforderungen von Versorgern abgestimmt. Für Sie bedeutet das: professionelle Angriffserkennung ohne zusätzlichen Personalaufbau oder spezialisiertes Cybersecurity-Know-how.
Als technologische Basis setzen wir auf bewährte Open-Source-Komponenten. Das ermöglicht eine leistungsfähige, transparente und zugleich wirtschaftlich attraktive Lösung. Ihre Daten werden rückwirkungsfrei protokolliert und ausschließlich lokal bei Ihnen verarbeitet und gespeichert. So behalten Sie jederzeit die volle Kontrolle – auch bei ausgelagerter Sicherheitsleistung.
Seit 2021 vertrauen über 100 Versorgungsunternehmen auf KRITIS Defender. Gerne stellen wir den Kontakt zu einem Referenzkunden aus Ihrer Branche und Region her.
- Effiziente Datenerfassung über Netzwerkprotokolle
Pro IDS Sensor können bis zu 25 Netzwerkdatenquellen (z. B. über Mirror-Ports) angebunden werden.
Dadurch lässt sich die Überwachung auch in komplexen Anlagen häufig mit minimalem Hardwareeinsatz realisieren. - Optimiert für typische OT- und IT-Umgebungen in Versorgungsunternehmen
Für viele gängige Systeme und Geräte bestehen bereits vorkonfigurierte Schnittstellen im Security Event Management System (SIEM) z. B. über syslog.
Das reduziert Integrationsaufwand und beschleunigt die Inbetriebnahme deutlich. - Individuelle Anbindung weiterer Systeme
Nicht vorhandene Schnittstellen werden bei Bedarf gezielt für Ihre Systeme entwickelt und integriert.
So stellen wir sicher, dass auch spezifische oder ältere Infrastrukturen vollständig in die Angriffserkennung einbezogen werden.
- Früherkennung durch moderne Analyseverfahren
Neben bekannten Angriffsmustern identifiziert die Plattform auch ungewöhnliches Verhalten in Ihren Systemen und kann so bislang unbekannte Bedrohungen erkennen. - Aktuelle Bedrohungsdaten durch enge Behördenanbindung
Durch die kontinuierliche Zusammenarbeit mit relevanten Stellen wie BSI, BLKA und BLfV (z. B. im Rahmen von UP KRITIS) werden neue Angriffsmuster frühzeitig integriert. - Individuelle Use Cases und Alarmierungen
Zusätzlich zu etablierten Erkennungsregeln entwickeln wir eigene Use Cases und passen die Detektion gezielt an Ihre Systeme und Anforderungen an.
Dadurch erhalten Sie präzise und für Ihre Umgebung relevante Alarmierungen.
- Persönlicher Ansprechpartner (Security Analyst)
Sie erhalten einen dedizierten Analysten, der Ihre Systeme, Ansprechpartner und Abläufe kennt und den Service kontinuierlich auf Ihre Anforderungen optimiert. - Kontinuierliche Betreuung und Auswertung
In regelmäßigen Analysemeetings werden alle sicherheitsrelevanten Ereignisse gemeinsam bewertet und verständlich erläutert.
So behalten Sie jederzeit den Überblick über Ihre Sicherheitslage. - Schnelle und flexible Reaktionszeiten
Die Alarmierung und Bearbeitung erfolgt wahlweise im 9/5- oder 24/7-Betrieb – abgestimmt auf Ihre Anforderungen. - Branchenspezialisiertes Analysten-Team
Unser deutschsprachiges Team betreut ausschließlich Versorgungsunternehmen.
Dadurch entsteht ein tiefes Verständnis für Leit- und Fernwirktechnik und eine entsprechend hohe Beratungsqualität. - Klare Handlungsempfehlungen im Ernstfall
Im Falle eines Cyberangriffs erhalten Sie konkrete, umsetzbare Empfehlungen zur schnellen und zielgerichteten Reaktion. - Maximale Transparenz
Sie haben jederzeit Zugriff auf die Systemoberfläche und das Ticketsystem und können alle Vorgänge vollständig nachvollziehen. - Direkte Integration in Ihre Infrastruktur
Alarmierungen können optional rückwirkungsfrei über potenzialfreie Kontakte direkt in Ihre Leitsysteme eingebunden werden.
- Abdeckung relevanter gesetzlicher Vorgaben
Die Lösung unterstützt die Anforderungen aus EnWG §5c sowie BSIG §2 und §31 und orientiert sich an etablierten Richtlinien wie der BSI-Orientierungshilfe „Systeme zur Angriffserkennung (SzA)“, dem BSI-Framework RUN und den Vorgaben der BNetzA (IT-Sicherheitskatalog). - Optimierte Nachweisführung und Auditunterstützung
Strukturierte Verfahren erleichtern die Erbringung gesetzlich geforderter Nachweise.
Unsere Analysten und Berater unterstützen Sie aktiv bei regelmäßigen Prüfungen, insbesondere im Rahmen von SzA-Audits. - Zertifizierte Prozesse und Betrieb
Entwicklung und Betrieb erfolgen nach ISO/IEC 27001-zertifizierten Prozessen – für höchste Standards in Informationssicherheit und Qualität. - Zukunftssicherheit durch regulatorische Weiterentwicklung
Auch aktuelle Anforderungen wie der Cyber Resilience Act (CRA) werden erfüllt.
- Kein spezialisiertes Know-how erforderlich
Für den Betrieb der Lösung ist kein tiefgehendes Cybersecurity-Fachwissen in Ihrem Haus notwendig.
Unser Team übernimmt die kontinuierliche Analyse und Betreuung. - Sehr geringer laufender Betriebsaufwand
In Zeiträumen ohne Sicherheitsvorfälle beschränkt sich Ihr interner Aufwand in der Regel auf etwa eine Stunde pro Monat. - Schnelle und unkomplizierte Inbetriebnahme
Die Einführung erfolgt effizient:
typischerweise ca. 2-4 Stunden für Inbetriebnahme und Einweisung. - Klare Servicezusagen (SLAs)
Verbindliche Service Level Agreements inklusive Hardware-Entstörung und Austausch vor Ort sorgen für hohe Betriebssicherheit. - Aktiver Austausch und Weiterentwicklung
In regelmäßigen Terminen stimmen wir die Weiterentwicklung des Systems mit Ihnen ab und tauschen uns zu Sicherheitslage, Maßnahmen und Compliance-Themen aus. - Zugang zu User-Community und Best Practices
Über eine Anwendergruppe profitieren Sie vom Erfahrungsaustausch mit anderen Versorgungsunternehmen. - Kostenfreie Schulungen
Regelmäßige Trainings vermitteln Ihnen praxisnah den Systemaufbau sowie die Nutzung der Oberfläche.
- Rückwirkungsfreie Datenerfassung ohne Eingriff in Systeme
Die Protokollierung erfolgt auf System- und Anwendungsebene ausschließlich über standardisierte Schnittstellen (syslog/udp).
Ein direkter Client-Zugriff auf Ihre Systeme ist nicht erforderlich.
Auf Netzwerkebene werden Mirror Ports von Netzwerkswitchen und, wenn erforderlich Netzwerk-Taps oder Netzwerk-Dioden für die Datenerfassung genutzt. - Volle physische Kontrolle über Ihre Daten
Alle sicherheitsrelevanten Daten verbleiben ausschließlich in Ihrer eigenen Infrastruktur.
Sie behalten jederzeit die vollständige Hoheit darüber, wer Zugriff hat. - Sicherer Fernzugriff
Der Zugriff erfolgt ausschließlich initiiert aus Ihrer Infrastruktur heraus („Outbound-Verbindungen“) und wird durch moderne Authentifizierungsverfahren wie Multi-Faktor-Authentifizierung abgesichert. - Keine Abhängigkeit von Cloud-Infrastrukturen
Der Systembetrieb erfolgt vollständig ohne externe Cloud-Services.
Dadurch werden Anforderungen an Datenschutz, Kritikalität und Betriebssicherheit konsequent erfüllt.
- Kosteneffizient durch Open-Source-Technologie
Die Nutzung bewährter Open-Source-Komponenten reduziert Lizenzkosten und ermöglicht eine leistungsfähige Lösung zu wirtschaftlich attraktiven Konditionen. - Geringe Implementierungskosten durch Automatisierung
Durch standardisierte und weitgehend automatisierte Inbetriebnahme- und Betriebsprozesse entstehen keine zusätzlichen Reisekosten – weder bei der Einführung noch im Betrieb.
Das reduziert die Einstiegshürde und senkt die laufenden Kosten.
Die Herausforderungen
FAQ
Gesetzliche Vorgaben wie EnWG, BSIG und europäische Richtlinien verpflichten Betreiber kritischer Infrastrukturen zur frühzeitigen Erkennung von Cyberangriffen. Gleichzeitig steigt die Bedrohungslage kontinuierlich. Ein geeignetes System ist daher nicht nur für die Compliance notwendig, sondern auch ein zentraler Bestandteil eines wirksamen Risikomanagements.
Eine geeignete Lösung sollte speziell auf die Anforderungen von Leit- und Fernwirktechnik bei deutschen Versorgern ausgerichtet sein. Dazu gehört die Unterstützung relevanter Protokolle (z. B. IEC 60870-5-104, Modbus) sowie die Integration regionaler Leitsystemanbieter. Standardlösungen aus der IT-Sicherheit und US-Produkte greifen hier oft zu kurz – entscheidend ist eine spezialisierte Leistung, die OT-Umgebungen technisch und organisatorisch versteht.
Viele Unternehmen stoßen beim Aufbau eigener Kompetenzen an Grenzen. Daher ist es sinnvoll, auf betreute Modelle zurückzugreifen, bei denen spezialisierte Analysten die kontinuierliche Überwachung, Auswertung und Alarmierung übernehmen. So wird Angriffserkennung mit minimalem internem Aufwand möglich.
Es ist wichtig, dass sicherheitsrelevante Daten lokal innerhalb der eigenen Infrastruktur verarbeitet und gespeichert werden. Eine Auslagerung an externe Dienstleister oder in Cloud-Systeme kann zusätzliche Risiken und regulatorische Herausforderungen mit sich bringen. Entscheidend ist, dass Unternehmen jederzeit die volle Kontrolle über ihre Daten behalten.
Eine wirtschaftlich sinnvolle Lösung vermeidet unnötige Kostenstrukturen und setzt auf effiziente Technologien. Ein wesentlicher Kostentreiber klassischer Systeme sind kommerzielle Softwarelizenzen (IDS, SIEM). Der Einsatz von Open-Source-Software kann hier deutliche Vorteile bieten, da Lizenzkosten entfallen und gleichzeitig eine hohe Flexibilität und Transparenz gewährleistet bleibt.
Das ist auch ein wichtiger Vorteil bei späteren Systemerweiterungen.