--- title: "Absicherung von Air-Gapped-Netzwerken: Data Protection in isolierten OT-Umgebungen" description: Erfahren Sie, wie Sie Air-Gapped-Netzwerke in OT-Umgebungen mit Offline-Schutz, sicheren Backups, USB-Kontrollen und schneller Recovery absichern. canonical_url: https://www.acronis.com/de/blog/posts/air-gap-ot-network-protection/ locale: de last_updated: 2026-10-11 --- [Acronis Blog](https://www.acronis.com/de/blog/) # Absicherung von Air-Gapped-Netzwerken: Data Protection in isolierten OT-Umgebungen Erfahren Sie, wie Sie Air-Gapped-Netzwerke in OT-Umgebungen mit Offline-Schutz, sicheren Backups, USB-Kontrollen und schneller Recovery absichern. [Jetzt ausprobieren](https://www.acronis.com/de/products/cyber-protect-ot/trial/) [![Image 2: Subramani Rao](https://staticfiles.acronis.com/images/content/2e59a1554a5410544453069333301fb1.png)](https://www.acronis.com/de/blog/authors/subramani-rao/ "Subramani Rao") [Subramani Rao](https://www.acronis.com/de/blog/authors/subramani-rao/) 6 Minuten Lesezeit Last updated 14. Aug. 2026 [English](https://www.acronis.com/en/blog/posts/air-gap-ot-network-protection/) [Español](https://www.acronis.com/es/blog/posts/air-gap-ot-network-protection/) [Français](https://www.acronis.com/fr/blog/posts/air-gap-ot-network-protection/) [Italiano](https://www.acronis.com/it/blog/posts/air-gap-ot-network-protection/) [日本語](https://www.acronis.com/ja/blog/posts/air-gap-ot-network-protection/) ## Die wichtigsten Erkenntnisse Ein air-gapped Netzwerk hat keine direkte Verbindung zum Internet oder zu anderen nicht vertrauenswürdigen Netzwerken. Diese Methode wird häufig eingesetzt, um industrielle Steuerungssysteme, SCADA-Netzwerke und sicherheitskritische Infrastrukturen zu schützen. **Die physische Trennung durch ein Air-Gapped-Netzwerk ist zwar real, aber nicht absolut.** Cyberkriminelle überwinden diese Barriere regelmäßig durch Schadsoftware auf USB-Geräten, Kompromittierungen der Lieferkette, Laptops von externen Dienstleister:innen sowie undokumentierte WLAN-Verbindungen. Aus dem „USB Threat Report 2024“ von Honeywell geht hervor, dass mittlerweile mehr als 50 % der über USB-Geräte eingeschleusten Schadsoftware speziell für die Verbreitung über Wechselmedien entwickelt wurden – im Vergleich zu nur 9 % im Jahr 2019. **Innerhalb von Air-Gapped-Netzwerken versagen traditionelle Security-Tools.** Cloud-gestützte Management-Konsolen, signaturbasierte Antiviren-Programme und Online-Backups setzen eine Konnektivität voraus, die in diesen Umgebungen schlicht nicht existiert. **Eine effektive Data Protection für Air-Gapped-Netzwerke erfordert vier Elemente**: einen offline-fähigen verhaltensbasierten Schutz, native Backup- und Wiederherstellungsfunktionen für isolierte Umgebungen, Kontrollmechanismen für Wechselmedien sowie eine eigenständige Wiederherstellung durch das Anlagenpersonal. **Acronis Cyber Protect für OT-Umgebungen wurde genau dafür entwickelt.** Active Protection wird komplett offline betrieben. Mit Acronis Cyber Protect Local können Sie die Plattform vollständig innerhalb des OT-Netzwerks verwalten. Universal Restore unterstützt Legacy-Hardware. Der Anbieter ist gemäß Sicherheitsnorm IEC 62443-4-1 zertifiziert. ## Was ist ein Air-Gapped-Netzwerk? Ein Air-Gapped-Netzwerk besitzt keine direkte physische oder drahtlose Verbindung zum öffentlichen Internet oder zu anderen nicht vertrauenswürdigen Netzwerken. Daten werden ausschließlich über kontrollierte Mechanismen übertragen: Wechselmedien, manuelle Dateitransfers oder unidirektionale Gateways (Datendioden). Diese Strategie wird häufig eingesetzt, um industrielle Steuerungssysteme und SCADA-Netzwerke in den Bereichen Fertigung, Energie, Wasserversorgung, Öl und Gas sowie Pharma zu schützen – ebenso wie geheime Regierungssysteme und sicherheitskritische Infrastrukturen. Im OT-Umfeld entspricht das Air-Gapping der Purdue-Referenzarchitektur (einem Standardmodell für die logische Segmentierung von industriellen Netzwerken). Die Ebenen (Levels) 0 bis 2 sind in der Regel vollständig isoliert. Ebene 3 ist häufig durch Firewalls und DMZs (demilitarisierte Zonen) teilisoliert. Die Ebenen 4 und 5 stellen schließlich die Verbindung zur Unternehmens-IT her. Ein echtes Air-Gapping ist in modernen Anlagen selten absolut. Diese bewegen sich stattdessen meist in einem Spektrum, das von einer vollständigen physischen Trennung über hybride Air-Gapped-Strukturen (mit geplantem Datenaustausch) bis hin zu einer rein logischen Segmentierung reicht. ## Warum Air-Gapped-Netzwerke nicht unüberwindbar sind Cyberkriminelle können Air-Gap-Netzwerke regelmäßig überwinden. USB-Geräte und andere Wechselmedien stellen den primären Angriffsvektor dar. Aus dem „USB Threat Report 2024“ von Honeywell geht hervor, dass mittlerweile mehr als 50 % der über USB-Geräte eingeschleusten Schadsoftware speziell für die Verbreitung über Wechselmedien entwickelt wurden. Diese Programme sind gezielt darauf ausgelegt, genau jene Air-Gapped-Netzwerke zu umgehen, auf die Industrieanlagen angewiesen sind. Dokumentierte Kampagnen belegen dieses Risiko: Dazu gehören die Analyse von ThreatLabz (Zscaler) über die nordkoreanische Gruppe APT37, die über USB eingeschleuste Implantate gegen Air-Gapped-Netzwerke einsetzte (Dezember 2025), die Dokumentation von ESET über Aktivitäten der Gruppe GoldenJackal gegen Regierungsziele in der EU (2022 bis 2024) sowie die Berichterstattung von Kaspersky über APT31-Implantate in osteuropäischen Industriesystemen. Stuxnet (der 2010 entdeckte, weltweit erste bekannte Computerwurm zur gezielten Sabotage von Industrieanlagen) gilt nach wie vor als das klassische Musterbeispiel für einen Angriff auf die Lieferkette über USB-Medien. Weitere Angriffsvektoren für die Überwindung der Netztrennung sind infizierte Laptops von OEM-Service-Fachkräften und externen Dienstleister:innen, ungeprüfte Software-Updates sowie undokumentierte Funkschnittstellen (wie Bluetooth, Mobilfunkmodems oder WLAN in Wartungstools). Diese brechen die vermeintliche Isolation auf, ohne dass die Inventarlisten der IT-Assets aktualisiert werden. ## Warum traditionelle Security-Tools innerhalb von Air-Gapped-Netzwerken versagen Die meisten Security-Tools für Unternehmen wurden für vernetzte Umgebungen entwickelt. Innerhalb eines Air-Gapped-Netzwerks erweisen sich mehrere gängige Grundannahmen als falsch. 1. Mit **Cloud-gestützten Management-Konsolen** können keine Endpunkte überwacht werden, die für diese nicht erreichbar sind. 2. **Signaturbasierte Antiviren-Programme** veralten schnell, wenn Updates nicht im gewohnten Rhythmus bereitgestellt werden. 3. **Cloud-zentrierte Backup-Lösungen** setzen voraus, dass die Zielorte für den Backup-Storage erreichbar sind. Backup-Lösungen für Air-Gapped-Netzwerke erfordern einen lokalen Storage als primäre Option. 4. Die meisten aktuellen Tools aus diesem Bereich bieten **keine Unterstützung für Legacy-Betriebssysteme**. In OT-Anlagen kommen häufig noch Windows XP, Server 2003 und ältere Linux-Kernel zum Einsatz, da die OEM-zertifizierten Applikationen exakt diese Versionen voraussetzen. 5. Es fehlen eigenständige Workflows zur Wiederherstellung, die direkt durch das **Anlagenpersonal durchgeführt werden können**. Generische Backup-Lösungen für Unternehmen setzen voraus, dass hochspezialisierte IT-Fachkräfte die Wiederherstellung manuell steuern. ## Sechs Kontrollmechanismen, die in isolierten OT-Umgebungen effektiv sind Diese Kontrollmechanismen lassen sich direkt den gängigen Sicherheitsstandards zuordnen. Sie decken die Anforderungen der Norm IEC 62443-3-3 ab – speziell die Sicherheitsanforderungen SR 7.3 zur Integrität von Daten-Backups sowie SR 7.4 zur Systemwiederherstellung. Zudem entsprechen sie den Richtlinien für Kompensationsmaßnahmen gemäß dem NIST-Leitfaden SP 800-82 (Revision 3). 1. **Verifizierte Asset-Inventarisierung** aller Geräte innerhalb von Air-Gapped-Netzwerken – wie etwa Speicherprogrammierbare Steuerungen (PLCs), Fernwirksysteme (RTUs), Bedien- und Beobachtungssysteme (HMIs), SCADA-Server, Engineering-Workstations sowie Prozessdatenarchive (Historians). Bei einer solchen Inventarisierung können häufig undokumentierte Funk- oder Mobilfunkverbindungen aufgedeckt werden. 2. **Kontrollmechanismen für Wechselmedien**: Nutzen Sie ausschließlich freigegebene USB-Geräte, richten Sie Schleusen (Sanitization Stations) an den Anlageneingängen ein, deaktivieren Sie ungenutzte USB-Ports und führen Sie Audit-Logs durch. 3. **Offline-fähiger verhaltensbasierter Schutz**: Mit dieser Funktion können Sie Ransomware-Aktivitäten, anomale Prozessabläufe und unbefugte Verschlüsselungen auch ohne Cloud-basierte Updates der Signatur-Datenbank erkennen. Acronis Active Protection ist standardmäßig für einen Offline-Betrieb ausgelegt. 4. **Native Backup & Recovery-Lösungen für Air-Gapped-Netzwerke**: Mit einem solchen Tool können Sie Image-basierte Backups von HMIs, SCADA-Systemen und Engineering-Workstations auf einem lokalem Storage sichern. Zudem profitieren Sie von einer hohen Benutzerfreundlichkeit (One-Click-Recovery-Funktion), der Wiederherstellbarkeit auf abweichender Hardware (Universal Restore-Funktion) sowie der Möglichkeit, Backups vor einer Wiederherstellung automatisch überprüfen zu lassen. 5. **Bereinigung aller eingehenden Dateien**: Mithilfe von verhaltensbasierten Scans, Content Disarm and Reconstruction (CDR-Funktion, zur Bereinigung aktiver Inhalte) sowie Hash-Verifikationen anhand der Prüfsummen der Hersteller. 6. **Lokales Management der Schutztools auf Werksebene**: Hierbei wird die Management-Konsole vollständig innerhalb des OT-Netzwerks betrieben. Acronis Cyber Protect Local bietet genau diese Funktionsspektrum. ## Wie Acronis Cyber Protect für OT-Umgebungen Air-Gapped-Umgebungen unterstützt Acronis Cyber Protect für OT-Umgebungen ist die einzige Plattform im Bereich OT-Backup und OT-Disaster-Recovery, die standardmäßig auf den Betrieb in Air-Gapped-Netzwerken ausgelegt ist. Die Lösung wird in Produktionsumgebungen bei Unternehmen wie ABB, Schneider Electric, Toyota, Tata Steel, Sasol und BDR Pharmaceuticals erfolgreich eingesetzt. Fähigkeit Was die Lösung für Air-Gapped-Umgebung bietet Active Protection Offline-fähiger, verhaltensbasierter Schutz vor Ransomware. Es sind keine Cloud-basierten Updates der Signatur-Datenbank erforderlich. Acronis Cyber Protect Local Lokale Management-Konsole auf Werksebene Wird vollständig innerhalb des OT-Netzwerks betrieben – ganz ohne Cloud-Abhängigkeiten. Breite Unterstützung von Legacy-Betriebssystemen Windows XP SP1 bis Windows 11. Windows Server 2003 bis 2022. Linux-Kernel 2.6.9 bis 5.19. One-Click Recovery + Universal Restore Eigenständige Wiederherstellung durch das Anlagenpersonal (kein extra IT-Support nötig). Wiederherstellung auf abweichender Hardware, falls der ursprüngliche PC nicht mehr verfügbar sein sollte. Backup-Scans (mit Bereinigung vor der Wiederherstellung) Backups können vor Wiederherstellungen auf Malware geprüft werden. Dies verhindert, dass Malware-freie Anlagen erneut infiziert werden. Zertifiziert gemäß Sicherheitsnorm IEC 62443-4-1 Zertifizierung auf Anbieterebene für einen sicheren Produktlebenszyklus (Secure Product Development Lifecycle) Prüfungsbereite Nachweise für die industrielle Beschaffung ## Compliance-Konformität Die Sicherheitsanforderungen SR 7.3 und SR 7.4 der Norm IEC 62443-3-3 decken die Integrität von Daten-Backups und Systemwiederherstellungen ab. Die Norm IEC 62443-4-1 regelt den sicheren Produktlebenszyklus (SSDLC) von Anbietern. Auch Acronis ist entsprechend zertifiziert. Zudem liefert der NIST-Leitfaden SP 800-82 (Revision 3) die entsprechenden Vorgaben für Kompensationsmaßnahmen bei Altsystemen. Der Artikel 21 der NIS-2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen zur Gewährleistung der Betriebskontinuität sowie zum Backup-Management und Disaster Recovery-Fähigkeiten. Die Standards NERC CIP-007 und CIP-009 decken das Sicherheitsmanagement von Systemen sowie Wiederherstellungspläne für das Verbundstromnetz ab. Die sogenannten GxP-Regulierungen decken die Datenintegrität in der Pharmaindustrie ab. Ein mit Air-Gapped-Netzwerken kompatibles Backup stellt dabei den zentralen technischen Kontrollmechanismus dar, der all diese regulatorischen Anforderungen unterstützt. ## Häufig gestellte Fragen ### Sind Air-Gapped-Netzwerke wirklich sicher? Eine physische Netztrennung ist zwar ein starker Kontrollmechanismus, aber kein absolut unüberwindbarer Schutz. Cyberkriminelle überwinden Air-Gapped-Netzwerke regelmäßig durch Schadsoftware auf USB-Geräten, Kompromittierungen der Lieferkette, Laptops von externen Dienstleister:innen sowie undokumentierte WLAN-Verbindungen. Betrachten Sie die Netztrennung daher als eine von mehreren Verteidigungsschichten. Kombinieren Sie diese mit einem offline-fähigen verhaltensbasierten Schutz, Kontrollmechanismen für Wechselmedien sowie einer zuverlässigen Backup & Recovery-Lösung. ### Unterstützt Acronis Cyber Protect für OT-Umgebungen eine vollständige Bereitstellung (mit allen Funktionen) in Air-Gapped-Netzwerken? Ja. Active Protection wird komplett offline betrieben. Zudem bietet Acronis Cyber Protect Local eine lokale Management-Konsole auf Werksebene, die komplett innerhalb des OT-Netzwerks ausgeführt werden kann. Als Storage-Ziele können Sie (je nach den Sicherheitsrichtlinien Ihrer OT-Anlage) lokale Festplatten, NAS, SAN, eine Private Cloud oder den Acronis Cloud-Storage konfigurieren. ### Wie unterscheidet sich eine Air-Gap-fähige Backup-Lösung von einer Lösung für unveränderliche Backups oder Offline-Backups? Ein Air-Gapped-Netzwerk beschreibt die Betriebsumgebung als solche. Ein unveränderliches Backup (Immutable Backup) ist eine spezielle Backup-Technologie, bei der die Backups vor nachträglichen Änderungen oder Löschungen geschützt werden. Ein Offline-Backup wiederum bezeichnet eine Backup-Strategie, bei der die physische Speicherung der erstellten Backups vollständig von den Produktionsumgebungen getrennt ist. Eine lückenlose Data Protection-Architektur im OT-Umfeld kombiniert in der Regel alle drei Ansätze miteinander. [Betriebstechnologie (OT)](https://www.acronis.com/de/blog/tags/operational-technology/) ## Written by ![Image 3: Subramani Rao](https://staticfiles.acronis.com/images/content/2e59a1554a5410544453069333301fb1.png) Subramani Rao [Vorheriger Artikel](https://www.acronis.com/de/blog/posts/how-agentic-ai-works-inside-your-tools-a-practical-example-with-ai-service-desk/) [So funktioniert agentische KI in Tools: Praxisbeispiel mit Acronis Service Desk](https://www.acronis.com/de/blog/posts/how-agentic-ai-works-inside-your-tools-a-practical-example-with-ai-service-desk/) Über Acronis Acronis ist ein Schweizer Unternehmen, das 2003 in Singapur gegründet wurde. Das Unternehmen verfügt über 15 Büros weltweit und beschäftigt Mitarbeiter:innen in mehr als 60 Ländern. Acronis Cyber Platform ist in 26 Sprachen sowie in über 150 Ländern verfügbar und wird bereits von über 21,000 Service Providern zum Schutz von mehr als 750,000 Unternehmen eingesetzt. [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis Blog](https://www.acronis.com/de/blog/) ![Image 4: So funktioniert agentische KI in Tools: Praxisbeispiel mit Acronis Service Desk](https://staticfiles.acronis.com/images/blog-card/0a9e44f5ba35cf7618557409d00c4f12.png) [So funktioniert agentische KI in Tools: Praxisbeispiel mit Acronis Service Desk](https://www.acronis.com/de/blog/posts/how-agentic-ai-works-inside-your-tools-a-practical-example-with-ai-service-desk/) Die eingebettete agentische KI in Acronis Service Desk kann das Ticket lesen, an dem gearbeitet wird, den Alarm verstehen, der es ausgelöst hat, sich den zugehörigen Service-Verlauf ansehen und den nächsten Schritt empfehlen oder vorbereiten, ohne dass jemand die Plattform verlassen muss. **05. Aug. 2026**6 Minuten Lesezeit ![Image 5: Den Verlust sensibler Daten durch Prompts und Uploads verhindern](https://staticfiles.acronis.com/images/blog-card/0c00509cc844e8cab5e56f31c35286a8.png) [Den Verlust sensibler Daten durch Prompts und Uploads verhindern](https://www.acronis.com/de/blog/posts/genai-data-loss-prevention-stopping-sensitive-data-loss-via-prompts-and-uploads/) Prompts und Uploads können Kundendaten, interne Vermerke, Preise, Verträge, Anmeldedaten, personenbezogene Daten, Quellcode oder andere vertrauliche Informationen enthalten, die nicht über einen unverwalteten KI-Workflow das Unternehmen verlassen sollten. **24. Juli 2026**6 Minuten Lesezeit ![Image 6: OT- und ICS-Cybersicherheit erklärt: von der Fabrikhalle bis zum Stromnetz](https://staticfiles.acronis.com/images/blog-card/11ba5dac63593ec1efe7d295e08dd4bd.png) [OT- und ICS-Cybersicherheit erklärt: von der Fabrikhalle bis zum Stromnetz](https://www.acronis.com/de/blog/posts/ot-and-ics-cybersecurity-explained/) Was ist OT-Sicherheit? Erfahren Sie den Unterschied zu IT, das Purdue-Modell und wie Sie industrielle Systeme vor Cyberangriffen schützen. **22. Juli 2026**10 Minuten Lesezeit