Ungepatchte Schwachstellen sind das größte Einfallstor in Industrieumgebungen — doch klassisches Patchen ist dort oft schlicht unmöglich. Virtual Patching schließt diese Lücke.
Eine kritische Schwachstelle in einer Siemens-SPS wird veröffentlicht. Das BSI stuft sie als CVSS 9.8 ein. Der zuständige IT-Sicherheitsverantwortliche öffnet das Patch-Ticket — und stößt sofort auf ein Problem: Das betroffene Gerät läuft seit 14 Jahren ohne Unterbrechung, der Hersteller hat keinen Patch, und ein Wartungsfenster gibt es frühestens in acht Monaten. Was jetzt?
Das Patching-Dilemma der Operational Technology
In der IT ist Patch-Management eine Routineaufgabe. In der OT ist es ein strukturelles Problem. Industrielle Steuerungssysteme wurden für Jahrzehnte Kontinuität gebaut, nicht für monatliche Update-Zyklen. Die Gründe, warum klassisches Patchen in OT-Umgebungen scheitert, sind vielfältig und oft unüberwindbar:
Warum Patchen in OT scheitert
Kein Patch vom Hersteller verfügbar
Patch bricht Herstellerzertifizierung
Lange Wartungsfenster (Monate/Jahre)
Proprietäre OS ohne Patch-Mechanismus
Re-Qualifikation nach jedem Update nötig
24/7-Betrieb ohne Downtime-Toleranz
Was Virtual Patching leistet
Schutz ohne Eingriff am Endgerät
Sofortige Wirkung nach Deployment
Kein Reboot, keine Downtime
Herstellerzertifizierung bleibt erhalten
Überbrückt Lücken bis zum echten Patch
Schützt auch Legacy-Systeme (EOL)
Was ist Virtual Patching genau?
Virtual Patching — auch als 'Kompensierendes Kontrollsystem' bekannt — ist eine Sicherheitsmaßnahme, die eine bekannte Schwachstelle nicht direkt im betroffenen System behebt, sondern den Exploit-Pfad davor blockiert. Technisch realisiert wird dies durch vorgelagerte Sicherheitskomponenten: Intrusion-Prevention-Systeme (IPS), Next-Generation Firewalls (NGFW) oder dedizierte OT-Security-Appliances, die den Netzwerkverkehr auf bekannte Angriffsmuster untersuchen und schadhaften Traffic herausfiltern bevor er das verwundbare Gerät erreicht.
Das Prinzip ist analog zu einer Schutzscheibe vor einem zerbrochenen Fenster: Das Fenster bleibt defekt, aber niemand kann hindurchgreifen. Der Vorteil ist entscheidend, das verwundbare System selbst wird nie berührt.
"Virtual Patching ist kein Ersatz für echtes Patching — aber es ist das einzige Werkzeug, das in OT-Umgebungen sofortigen Schutz bietet, ohne den laufenden Betrieb zu gefährden." Rainer Bäder, Senior Business Development Manager, Orange Cyberdefense Germany
Wie Virtual Patching technisch funktioniert
Der Kern des Ansatzes liegt in der Signatur- und Verhaltensanalyse des Netzwerkverkehrs. Sobald eine Schwachstelle publiziert wird (CVE), analysieren Sicherheitsforscher den Exploit-Mechanismus und erstellen eine Regel, die genau dieses Angriffsmuster erkennt. Diese Regel wird auf das vorgelagerte Sicherheitssystem ausgerollt. In der OT idealerweise auf eine Inline-Appliance zwischen Netzwerksegmenten oder an der IT/OT-Grenze.
In der Praxis kommen mehrere Technologien zum Einsatz: IPS-Signaturen erkennen und blockieren exploit-spezifische Pakete. Protocol-Aware Firewalls verstehen OT-Protokolle wie Modbus oder PROFINET und können unzulässige Funktionscodes blockieren. Micro-Segmentierung begrenzt die Reichweite eines Angriffs. Application Whitelisting auf Netzwerkebene erlaubt nur legitime Kommunikationsbeziehungen zwischen OT-Komponenten.
Typischer Virtual-Patching-Workflow in der OT
CVE wird veröffentlicht: Betroffene Assets im eigenen Inventar identifizieren (Asset Discovery).
Risikobewertung: Ausnutzbarkeit im eigenen Netzwerkkontext prüfen: Ist das Gerät von außen erreichbar? Welche Protokolle nutzt es?
Signatur/Regel beschaffen: IPS-Anbieter oder OT-Security-Plattform stellt Virtual-Patch-Signatur bereit (oft innerhalb von Stunden nach CVE-Veröffentlichung).
Deployment & Test: Regel zunächst im Detection-Only-Modus ausrollen, Fehlalarme prüfen, dann auf Blocking schalten.
Monitoring: Dauerhaft überwachen, ob Exploitversuche stattfinden und ob der Virtual Patch greift.
Übergabe an echtes Patch: Sobald ein Hersteller-Patch verfügbar und getestet ist, wird der Virtual Patch abgelöst.
Grenzen und Risiken des Ansatzes
Virtual Patching ist kein Allheilmittel. Die Wirksamkeit ist direkt abhängig von der Qualität der Signaturen und der Abdeckung aller möglichen Angriffsvektoren. Angriffe, die nicht über das Netzwerk erfolgen — etwa über physischen Zugang, USB-Schnittstellen oder kompromittierte Engineering-Workstations im selben Segment — werden nicht abgefangen.
Ein weiteres Risiko: Virtual Patches können Betriebsprozesse stören, wenn Regeln zu restriktiv konfiguriert sind und legitimen OT-Traffic blockieren. Ein sorgfältiger Test im Detection-Mode ist daher keine Option, sondern Pflicht. Und schließlich: Virtual Patching verleitet dazu, das eigentliche Patching aufzuschieben. Aus einer temporären Brücke wird eine dauerhafte Krücke.
Virtual Patching: Chancen und Grenzen im Überblick
Sofortschutz: Signatur-Deployment innerhalb von Stunden nach CVE-Publikation möglich.
Kein Eingriff am Endgerät: Steuerungssysteme, Zertifizierungen und Betrieb bleiben unangetastet.
Legacy-Schutz: Schützt Geräte, für die es nie einen Patch geben wird (End-of-Life).
Begrenzte Abdeckung: Nur netzwerkbasierte Angriffsvektoren werden adressiert.
Abhängigkeit von Signaturqualität: Zero-Day-Exploits oder unbekannte Varianten können durchschlüpfen.
Kein dauerhafter Ersatz: Echtes Patching bleibt das Ziel — Virtual Patching überbrückt nur die Lücke.
Integration in das OT-Vulnerability-Management
Virtual Patching entfaltet seinen vollen Nutzen nur eingebettet in einen strukturierten Vulnerability-Management-Prozess. Der erste Schritt ist immer Sichtbarkeit: Ohne vollständiges Asset-Inventar — mit Gerätetyp, Firmware-Version, Betriebssystem und Kommunikationsbeziehungen — lässt sich nicht bestimmen, welche CVEs überhaupt relevant sind.
Moderne Plattformen der führenden Hersteller kombinieren heute Asset Discovery, CVE-Mapping und Virtual-Patch-Integration in einem Workflow. Die Frage 'Bin ich von CVE-XXXX-YYYY betroffen, und was tue ich?' wird damit von einem tagelangen Rechercheprozess zu einer Aufgabe von Minuten.
"Kein Asset-Inventar, kein Virtual Patching. Man kann keine Lücke schließen, die man nicht sieht." – Rainer Bäder, Senior Business Development Manager, Orange Cyberdefense Germany
Sie möchten Virtual Patching oder Schwachstellenmanagement professionell umsetzen? Informieren Sie sich über unsere Services>
Regulatorische Einordnung
NIS2 und IEC 62443 verlangen von Betreibern kritischer Infrastrukturen explizit ein systematisches Schwachstellenmanagement und erkennen kompensierende Maßnahmen als valide Sicherheitskontrollen an, sofern sie dokumentiert und überwacht werden. Virtual Patching ist damit nicht nur eine technische, sondern auch eine compliance-relevante Maßnahme.
Auch im Cyber Resilience Act (CRA) der EU wird anerkannt, dass es in komplexen Systemen manchmal nicht möglich ist, Schwachstellen direkt durch klassische Sicherheitsmaßnahmen oder Patches zu beheben. Das kann zum Beispiel an technischen Einschränkungen, Interoperabilitätsanforderungen oder dem Verwendungszweck des Systems liegen.
Wichtig: Die Entscheidung für einen Virtual Patch muss dokumentiert werden. Es muss festgehalten werden, warum ein echtes Patch nicht möglich ist, welche kompensierende Kontrolle eingesetzt wird, und wann eine erneute Bewertung stattfindet. Diese Dokumentation ist im Fall einer Prüfung durch Behörden oder Auditoren unerlässlich.
Dementsprechend sind Hersteller verpflichtet, Cybersicherheitsrisiken auf der Grundlage der in Artikel 13 Absatz 2 genannten Cybersicherheitsrisikobewertung zu behandeln. Wie auch in Erwägungsgrund 55 erläutert, finden in einigen Fällen bestimmte grundlegende Cybersicherheitsanforderungen keine Anwendung oder können nicht durch die Umsetzung von Sicherheitsmaßnahmen nach dem Stand der Technik erfüllt werden, beispielsweise aufgrund des Verwendungszwecks des Systems, der erfordert, dass das Produkt mit bestehenden Abhängigkeiten interagiert oder bestimmte Interoperabilitätsanforderungen erfüllt. In solchen Fällen sollten die Hersteller diese spezifischen Einschränkungen ermitteln und dokumentieren, die damit verbundenen Risiken bewerten und geeignete alternative oder kompensatorische Maßnahmen zur Risikominderung umsetzen, um die Sicherheit des Produkts nicht zu beeinträchtigen.
Fazit: Virtual Patching als unverzichtbare Brücke zur echten OT-Sicherheit
Virtual Patching ist die pragmatische Antwort auf ein strukturelles Problem der OT-Sicherheit. Es schließt keine Schwachstellen, aber es macht sie für Angreifer unerreichbar, solange der echte Patch wartet. In einer Welt, in der 20 Jahre alte SPS-Firmware kritische Infrastruktur steuert, ist das kein Kompromiss, sondern eine Notwendigkeit. Wer Virtual Patching konsequent und strukturiert einsetzt, gewinnt Zeit — und Zeit ist in der OT-Sicherheit das wertvollste Gut.
Häufig gestellte Fragen (FAQ) zu Ransomware-Angriffen
Was ist Virtual Patching?
Virtual Patching ist eine Sicherheitsmaßnahme, bei der Schwachstellen nicht direkt am Gerät, sondern durch vorgelagerte Schutzsysteme wie Firewalls oder IPS abgesichert werden.
Wie funktioniert Virtual Patching in der OT?
In OT-Umgebungen werden spezielle Regeln oder Signaturen auf Sicherheits-Appliances ausgerollt, die Angriffsversuche erkennen und blockieren, ohne das eigentliche System zu verändern.
Welche Vorteile bietet Virtual Patching für Industrieanlagen?
Virtual Patching ermöglicht Sofortschutz vor Exploits, ohne Downtime oder Eingriffe am Endgerät – ideal für Systeme mit langen Wartungsintervallen oder fehlenden Hersteller-Patches.
Wo liegen die Grenzen von Virtual Patching?
Virtual Patching schützt nur vor netzwerkbasierten Angriffen und ist abhängig von der Qualität der Signaturen; physische Angriffe oder Zero-Day-Exploits werden nicht abgedeckt.
Ist Virtual Patching ein Ersatz für echtes Patchen?
Nein, Virtual Patching ist eine temporäre Lösung, die Schutz bietet, bis ein echter Patch verfügbar und installiert werden kann.
Rainer Bäder
Senior Buisness Development Manager
Orange Cyberdefense
Über den Autor
Rainer Bäder ist CISO und Senior Business Development Manager bei Orange Cyberdefense Germany und verfügt über langjährige Erfahrung in der Cyber- und OT-Security. Sein Schwerpunkt liegt auf der Absicherung industrieller Anlagen und kritischer Infrastrukturen, insbesondere nach Standards wie ISA/IEC 62443. Durch seine tiefgehende Expertise in Vulnerability- und Risk-Management, ISMS (ISO 27001), SIEM, SOC-Architekturen sowie Network- und Cloud-Security unterstützt er Unternehmen dabei, robuste Sicherheitsstrategien für Operational Technology zu entwickeln und umzusetzen. In seiner Rolle verbindet er technisches Know-how mit strategischem Business Development und gilt als anerkannter Experte für OT-Security und ganzheitliche Sicherheitsarchitekturen.