Begriffe für IT-/OT-Betrieb und Security

ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme.

Der Standard fordert ein strukturiertes Management von Risiken, Verantwortlichkeiten, Kontrollen und Nachweisen; Asset-Inventare sind dafür eine zentrale Grundlage.

IT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen.

In Unternehmen betrifft IT typischerweise Server, Clients, Identitäten, Anwendungen, Cloud-Dienste, Netzwerke und Datenprozesse.

Ein IT-Sicherheitsvorfall ist ein Ereignis, bei dem Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität von IT- oder OT-Systemen beeinträchtigt sein kann.

Für regulierte Unternehmen zählen klare Meldewege, Kontaktstellen, Lagebildinformationen und nachvollziehbare Asset- und Abhängigkeitsdaten, damit die Reaktion nicht bei der Bestandsaufnahme hängenbleibt.

ITAM steht für IT Asset Management und beschreibt die strukturierte Erfassung und Pflege von IT-Assets über ihren betrieblichen Lebenszyklus.

Für Security und Betrieb verbindet ITAM Asset-Identität, technischen Zustand, Verantwortlichkeiten, Datenquellen und Abhängigkeiten. Auf dieser Website liegt der Fokus auf operativer Transparenz und einem belastbaren IT-Betriebsbild.

ITSM steht für IT Service Management und beschreibt die Steuerung von IT-Services über Prozesse, Rollen, Tools und kontinuierliche Verbesserung.

Typische ITSM-Prozesse betreffen Incidents, Service Requests, Changes, Probleme und Service Level. Eine aktuelle Asset- und Abhängigkeitsbasis macht diese Arbeit schneller und belastbarer.

KRITIS ist die in Deutschland gebräuchliche Abkürzung für Kritische Infrastrukturen, also Einrichtungen und Dienste mit besonderer Bedeutung für das Gemeinwesen.

Für Betreiber ist KRITIS nicht nur ein Compliance-Begriff. Im Betrieb geht es darum, kritische Dienste, Anlagen, IT-/OT-Abhängigkeiten, Dienstleister, Risiken und Nachweise so zu verbinden, dass Versorgung und Reaktion belastbar bleiben.

LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste; Active Directory Domain Services ist Microsofts Verzeichnisdienst für Netzwerkobjekte, Benutzer, Computer und Ressourcen.

Für Asset- und Zugriffskontext sind Verzeichnisdienste wichtig, weil sie Konten, Gruppen, Geräte, Berechtigungen und Authentifizierungspfade in vielen Unternehmensnetzen prägen.

Die Maschinenverordnung (EU) 2023/1230 regelt die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen für Maschinen im EU-Binnenmarkt und gilt ab dem 20. Januar 2027.

Sie löst die Maschinenrichtlinie ab und nimmt Cyber-Safety in die grundlegenden Anforderungen auf: Relevante Eingriffe in Hardware, Software oder Konfiguration müssen nachvollziehbar werden.

MDM steht für Mobile Device Management und bezeichnet die zentrale Verwaltung von mobilen Geräten und Endpunkten über Enrollment, Richtlinien und Gerätekonfiguration.

Im Betrieb hilft MDM, Geräte sicher einzubinden und Apps, Updates, Compliance-Status und Zugriffsvoraussetzungen zu steuern. Belastbar wird es, wenn MDM-Daten mit Inventar, Identitäten, EDR und ITSM zusammengeführt werden.

MSP steht für Managed Service Provider und bezeichnet einen Dienstleister, der IT-, Security- oder Betriebsleistungen dauerhaft für Kunden übernimmt.

Im Betrieb arbeitet ein MSP über mehrere Kunden, Verträge und Tool-Stacks hinweg. Wichtig sind deshalb Mandantentrennung, klare Verantwortlichkeiten, aktuelle Asset-Daten, nachvollziehbare Service-Evidenz und sichere Zugriffswege.

NIS bezeichnet den europäischen Rechtsrahmen für ein höheres Cybersicherheitsniveau in Netzwerk- und Informationssystemen.

Die NIS2-Richtlinie erweitert den Anwendungsbereich und verschärft Governance-, Risiko- und Meldeanforderungen für viele Organisationen.

NIST ist eine US-amerikanische Bundesbehörde für Standards, Messwesen und technische Leitlinien.

Im Cybersecurity-Kontext sind NIST-Leitfäden wie das Cybersecurity Framework oder NIST SP 800-82 für OT-Sicherheit breit referenziert.

OAuth ist ein Autorisierungsstandard, mit dem eine Anwendung Zugriff auf Ressourcen erhalten kann, ohne Benutzerkennwörter an die Anwendung weiterzugeben.

OAuth arbeitet mit Zugriffstokens und wird häufig zusammen mit OpenID Connect genutzt; OAuth autorisiert Zugriffe, während OIDC die Identitätsschicht für Authentifizierung ergänzt.

OIDC (OpenID Connect) ist ein Standard, mit dem sich Benutzer über einen externen Identitätsanbieter anmelden, statt für jede Anwendung ein eigenes Passwort zu verwalten.

OIDC baut auf OAuth 2.0 auf. Eine Anwendung leitet die Anmeldung an den Identitätsanbieter weiter, der die Identität bestätigt und ein Token zurückgibt. So bleibt die Benutzerverwaltung zentral, etwa in Microsoft Entra ID.

OT umfasst Hardware und Software, die physische Geräte, Anlagen, Prozesse oder Infrastrukturen überwacht und steuert.

In OT-Umgebungen haben Verfügbarkeit, Prozesssicherheit, Echtzeitverhalten und kontrollierte Änderungen oft höheres Gewicht als in klassischer IT.

OTAM steht für OT Asset Management und beschreibt die strukturierte Erfassung und Pflege von Assets, die physische Prozesse überwachen oder steuern.

OTAM berücksichtigt neben Identität und technischem Zustand auch Firmware, Topologie, Produktionsrolle, lange Lebenszyklen, Wartungsfenster und die besonderen Anforderungen an Verfügbarkeit und Prozesssicherheit.

OWASP ist eine gemeinnützige Organisation, die frei nutzbare Materialien und Projekte zur Verbesserung von Software- und Anwendungssicherheit bereitstellt.

Das OWASP-Projekt Operational Technology Top 10 überträgt die Betrachtung von Sicherheitsrisiken auf industrielle und OT-nahe Umgebungen.

RBAC steuert Berechtigungen über Rollen: Benutzer erhalten Rollen, und Rollen bündeln die erlaubten Aktionen oder Zugriffe.

Das Modell reduziert Verwaltungsaufwand in größeren Umgebungen, weil Berechtigungen entlang von Aufgaben, Verantwortlichkeiten und Organisationseinheiten vergeben werden können.