Sieben Jahre alte Technik sei wertlos, sagt Palo Alto. In der Fabrik sind sieben Jahre kein Alter.

Nikesh Arora hat am 1. September 2026 bei CNBC einen Satz gesagt, der in Vorstandsrunden hängen bleiben wird: Nichts, was vor sieben oder zehn Jahren eingesetzt wurde, sei darauf vorbereitet, Angriffe im Tempo einer Maschine abzuwehren.

Im Earnings Call hat er die Lücke beziffert. Rund eine Billion Dollar an Sicherheitsschulden weltweit, die modernisiert werden müssten. Daneben stellt er die fünf Billionen Dollar, die in den kommenden fünf Jahren in Rechenzentren und KI-Fähigkeit fließen sollen. Wer so viel investiere, so sein Argument, müsse davon ausgehen, dass KI im Unternehmen erheblichen Wert schafft.

Ich halte die Zahl für plausibel. Ich halte die Schlussfolgerung für gefährlich, wenn man sie ungefiltert in ein produzierendes Unternehmen trägt.

Wo Arora recht hat

Der Kern seines Arguments stimmt. Angreifer nutzen dieselben Modelle wie Verteidiger. Was früher Tage brauchte, Schwachstellen finden, Exploits schreiben, Systeme durchsuchen, läuft inzwischen in Minuten. Eine Sicherheitsarchitektur, die auf menschliche Reaktionszeit ausgelegt ist, kommt dagegen zu spät.

Bemerkenswert ist die Wendung dahinter. Vor nicht einmal einem Jahr galt die Sicherheitsbranche an der Börse als Verlierer der KI-Welle, weil leistungsfähige Modelle klassische Sicherheitssoftware angeblich überflüssig machen würden. Jetzt gilt das Gegenteil. KI ist der Grund, warum alle nachrüsten müssen.

Wer wie Arora auf den gesamten Weltmarkt schaut, sieht Rechenzentren, Cloud-Infrastruktur, Unternehmensnetze. Dort wird Infrastruktur alle drei bis fünf Jahre erneuert. Dort sind sieben Jahre tatsächlich alt, und dort ist seine Aussage vermutlich richtig.

In der Produktion sind sieben Jahre jung.

Legacy ist kein Fehler, sondern der Normalzustand

Ich beschäftige mich seit bald sieben Jahren mit Sicherheit in der Betriebstechnik, zuerst im Vertrieb von Endpoint- und OT-Security, seither in der Verantwortung für Lösungen, die auch in der Produktion laufen müssen. Was ich dabei gelernt habe, widerspricht dem Reflex aus der IT grundlegend.

Eine Anlage wird auf fünfzehn, zwanzig, manchmal dreißig Jahre kalkuliert. Die Steuerung darin gehört zur Maschine, nicht zur IT. Sie wurde vom Maschinenbauer geliefert, vom Maschinenbauer freigegeben, und jede Änderung an ihr, auch ein Betriebssystem-Update, kann diese Freigabe kosten. Dazu kommen der 24/7-Betrieb, in dem es kein Wartungsfenster gibt, Garantiebedingungen, die Änderungen ausschließen, und Safety-Abnahmen, nach denen am System nichts mehr angefasst werden darf.

Das Ergebnis ist eine Landschaft, in der Steuerungen aus den Neunzigern neben Systemen von letztem Jahr laufen. Visualisierungen auf Windows 7. Etikettiermaschinen mit einem proprietären Betriebssystem von 2005, dessen Hersteller es nicht mehr gibt. Lagerverwaltungen als Eigenentwicklung von vor zwanzig Jahren, nur über Terminal erreichbar.

Das ist keine Nachlässigkeit. Im Lauf der Zeit wird jedes neue System zum Altsystem. Wer das als Fehler behandelt, hat die Produktion nicht verstanden.

Kontrolliertes Altern statt Austausch

Die Alternative zu „alles muss raus“ hat in der OT-Security einen Namen: kontrolliertes Altern. Die Idee dahinter ist einfach und in der Umsetzung anspruchsvoll.

Jedes System durchläuft Lebensphasen. Aktiv, solange der Hersteller es unterstützt. Auslaufend, wenn ein Nachfolger da ist und ein Enddatum feststeht. Abgekündigt, wenn Support und Verkauf enden. Und irgendwann eingestellt, wenn auch Ersatzteile nicht mehr zu bekommen sind. In jeder Phase gibt es andere sinnvolle Maßnahmen, und in keiner davon lautet die Antwort automatisch Austausch.

Damit das funktioniert, braucht es zuerst Wissen. Welche Systeme gibt es überhaupt, in welcher Phase stecken sie, welchen Softwarestand haben sie, und vor allem: wie kritisch sind sie für den Prozess. Eine Steuerung, die eine Nebenanlage fährt, ist etwas anderes als die, an der die ganze Linie hängt.

Erst mit diesem Wissen lässt sich pro System entscheiden. Ersetzen, wo es wirtschaftlich ist und die Kritikalität es verlangt. Migrieren, wo ein Nachfolger existiert. Oder anders absichern, wo beides nicht geht, mit einem mehrstufigen Konzept, das die Maschine selbst nicht anfasst.

Und weil sich Anlagen über Jahrzehnte verändern, braucht es einen Prozess, der jede Änderung erfasst. Nicht als Bürokratie, sondern als Gedächtnis. Wer nicht weiß, was vor drei Jahren an einer Steuerung geändert wurde, kann nicht beurteilen, ob sie heute noch sicher ist.

Nichts davon braucht eine Billion. Es braucht jemanden, der die Anlagen kennt und die Zeit bekommt, sie zu erfassen.

Die eigentliche Hürde ist nicht technisch

Hier kommt der Teil, den ich aus dem Vertrieb kenne und der in keiner Sicherheitsdebatte vorkommt.

Der Erfolg von OT-Security ist unsichtbar. Die Anlage läuft. Das tat sie vorher auch. Wer ein Jahr lang Legacy-Systeme erfasst, bewertet und abgesichert hat, hat am Ende genau das, was er am Anfang hatte: eine laufende Produktion. Für die Geschäftsführung sieht das aus wie Geld, das nichts verändert hat.

Deshalb scheitern OT-Security-Projekte selten an der Technik. Sie scheitern daran, dass niemand erklären kann, wofür das Budget eigentlich war. Und sie scheitern daran, dass Verfügbarkeit als Normalzustand gilt und nicht als Leistung.

Ich habe über Jahre erlebt, wie IT-Leiter und Produktionsverantwortliche mit einem guten Konzept in die Geschäftsführung gegangen sind und mit einem halben Budget zurückkamen. Nicht weil das Konzept schlecht war. Sondern weil es in der Sprache der Technik vorgetragen wurde, nicht in der Sprache des Risikos.

Was funktioniert, ist das Gegenteil von Aroras Zahl. Nicht die Billion, die alle bezahlen müssen. Sondern die konkrete Anlage, die konkrete Linie, der konkrete Ausfalltag und was er kostet. Wer sagen kann, dass ein Stillstand an dieser Linie zweihunderttausend Euro am Tag bedeutet und dass die Absicherung der Steuerung einen Bruchteil davon kostet, bekommt Budget. Wer von Angriffen im Maschinentempo spricht, bekommt einen Termin in drei Monaten.

Was NIS2 daraus macht

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland, ohne Übergangsfrist, und viele produzierende Mittelständler fallen darunter, ohne es zu wissen. Es verlangt keinen Komplettaustausch. Es verlangt ein Risikomanagement, das den Stand der Technik berücksichtigt und Maßnahmen angemessen zum Risiko wählt.

Das ist genau die Logik des kontrollierten Alterns. Wer seine Anlagen kennt, ihre Lebensphase und ihre Kritikalität dokumentiert hat und pro System begründen kann, warum welche Maßnahme gewählt wurde, erfüllt den Geist der Regulierung deutlich besser als jemand, der neue Technik kauft und die alte Steuerung weiter undokumentiert laufen lässt.

Was das für den Vertrieb heißt

Wer produzierenden Unternehmen Security verkaufen will, hat es mit einer Konstellation zu tun, die es in der klassischen IT so nicht gibt. Vier Dinge habe ich dabei gelernt.

Erstens sitzt der Käufer nicht dort, wo man ihn vermutet. Der CIO hat das Budget für die Bürowelt. Über die Produktion entscheidet der Produktionsleiter, und der misst in Stillstandsstunden, nicht in Schwachstellen. Wer nur mit der IT spricht, verkauft an jemanden, der für die Linie nichts entscheiden darf.

Zweitens ist „alles muss raus“ das Ende des Gesprächs. Der Produktionsleiter weiß, dass seine Anlage noch zwölf Jahre läuft. Er weiß, was ein Austausch kostet, und er weiß, dass ihn niemand bezahlen wird. Wer damit anfängt, wird höflich verabschiedet. Wer stattdessen fragt, wie die Anlage diese zwölf Jahre sicher übersteht, bekommt den zweiten Termin.

Drittens braucht man eine Rechnung, keine Bedrohung. Angriffe im Maschinentempo beeindrucken niemanden, der seit zwanzig Jahren dafür sorgt, dass eine Linie läuft. Was beeindruckt, ist eine Zahl: Ein Stillstandstag an dieser Linie kostet so viel, die Absicherung der drei kritischsten Systeme kostet einen Bruchteil davon. Das ist ein Satz, den ein Produktionsleiter seiner Geschäftsführung weitersagen kann. Und genau das ist das Ziel, denn er verkauft es intern, nicht der Vertriebler.

Viertens verkauft man kein Produkt, sondern einen Zustand. Kontrolliertes Altern ist kein Kauf, es ist ein Prozess, den jemand im Haus dauerhaft betreiben muss. Wer das im Verkauf verschweigt, hat nach einem Jahr einen enttäuschten Kunden. Wer es offen sagt, verkauft weniger schnell und dafür länger.

Nimm die Zahl ernst und die Schlussfolgerung nicht. Die Antwort auf schnellere Angriffe ist in der Produktion nicht Austausch, sondern Kenntnis. Und im Vertrieb ist sie nicht Angst, sondern Rechnung.

Wie erklärt ihr Budget für etwas, dessen Erfolg man nicht sieht?