OT-Sicherheit verkauft sich nicht wie IT-Sicherheit

Ich habe ein OT-Vertriebsgeschäft von null aufgebaut. Kein Bestand, keine Referenz, kein Playbook, kein Markt, der sich selbst schon als Markt verstanden hätte. Damals noch selbst am Kunden, nicht als Führungskraft.

Das war die Zeit, in der ich gelernt habe, dass man Sicherheit in der Produktion nicht so verkauft wie Sicherheit in der IT. Und zwar nicht ein bisschen anders, sondern grundsätzlich.

Der Kunde ist ein anderer, auch wenn die Firma dieselbe ist

Im klassischen IT-Security-Geschäft sprichst du mit Menschen, deren Beruf Sicherheit ist. Der CISO, der IT-Leiter, der Security-Verantwortliche. Sie kennen die Sprache, sie kennen die Bedrohungslage, sie haben ein Budget, das genau dafür da ist. Deren Zielkonflikt lautet Sicherheit gegen Benutzerfreundlichkeit.

In der Produktion sprichst du mit Menschen, deren Beruf Verfügbarkeit ist. Der Produktionsleiter, der Instandhalter, der Werksleiter. Deren Zielkonflikt lautet Sicherheit gegen Stillstand. Und in diesem Konflikt gewinnt Stillstandsvermeidung fast immer, weil sie messbar ist und in Euro pro Stunde ausgedrückt werden kann.

Wer mit einem Argument ankommt, das im Kern lautet, hier könnte etwas passieren, verliert gegen ein Argument, das lautet, hier passiert etwas, sobald du meine Anlage anfasst.

Der Satz, der jedes Gespräch beendet

Es gibt einen Satz, den ich in den ersten Monaten immer wieder gehört habe. Er lautet ungefähr so: Die Anlage läuft seit zwölf Jahren, sie ist nicht am Netz, und wenn sie steht, kostet das mehr als jeder Vorfall, den Sie mir hier ausmalen.

Der Satz ist meistens nur zu zwei Dritteln richtig. Die Anlage läuft tatsächlich seit zwölf Jahren. Sie steht tatsächlich teuer. Aber sie ist fast nie so isoliert, wie der Gesprächspartner glaubt, weil irgendwann ein Fernwartungszugang eingerichtet wurde, ein Laptop des Maschinenbauers regelmäßig angesteckt wird oder ein Windows-Rechner in der Fertigungslinie steht, den die IT gar nicht auf dem Zettel hat.

Nur bringt es nichts, das zu behaupten. Man muss es zeigen.

Warum Inventarisierung der Türöffner ist

Deshalb war der erste Schritt in fast jedem erfolgreichen Gespräch nicht Schutz, sondern Sichtbarkeit.

Die erste OT-Referenz im regulierten Industrieumfeld, die ich erschlossen habe, war genau so aufgebaut. Zwei Dinge: das Windows-Endpoint-Management in der Produktion sauber in den Griff bekommen, und die Siemens-S7-Steuerungen inventarisieren und auf Schwachstellen bewerten. Der Kunde war ein Hersteller von Medizinglas, also ein Umfeld, in dem Regulierung und Stillstandskosten gleichzeitig hoch sind.

Der Wert dieses Projekts lag nicht darin, dass danach alles sicher war. Er lag darin, dass zum ersten Mal jemand eine belastbare Liste hatte, was in dieser Produktion überhaupt steht, in welchem Stand und mit welchen bekannten Schwachstellen.

Diese Liste verändert jedes Folgegespräch. Vorher diskutiert man über Wahrscheinlichkeiten. Danach diskutiert man über eine konkrete Steuerung mit einem konkreten Firmwarestand.

Die Grenze, die man nicht überschreiten darf

Es gibt eine Sache, die man beim OT-Verkauf sofort lernt oder sehr teuer bezahlt: Die Produktion darf nicht das Gefühl bekommen, dass die IT jetzt in ihr Revier kommt.

Das ist keine Empfindlichkeit, das hat Gründe. Der Instandhalter haftet für die Verfügbarkeit einer Anlage, deren Hersteller ihm die Gewährleistung streicht, sobald etwas Fremdes darauf installiert wird. Ein Patch, der in der Bürowelt Routine ist, ist in der Produktion ein Vorgang, der Freigaben, ein Wartungsfenster und im Zweifel den Maschinenbauer braucht.

Wer als Anbieter in dieses Umfeld geht und mit IT-Selbstverständlichkeiten argumentiert, verliert nicht den Deal, sondern den Gesprächspartner. Und ohne den Instandhalter gibt es kein OT-Projekt, egal wie überzeugt der CISO ist.

Was NIS2 verändert hat, und was nicht

Regulierung hat dieses Geschäft leichter gemacht. Sie hat es nicht einfach gemacht.

Leichter, weil ein Termindruck entstanden ist, der von außen kommt. Wer betroffen ist, muss handeln, und die Frage ist nicht mehr ob, sondern womit. Das erzeugt genau das Momentum, das im Vertrieb den Unterschied zwischen einem kalten Anruf und einem willkommenen Gespräch ausmacht.

Nicht einfach, weil Angstverkauf in diesem Umfeld schlecht altert. Wer Regulierung als Druckmittel einsetzt, bekommt vielleicht einen Termin und danach eine Beschaffung, die rein auf Nachweisführung optimiert ist. Das führt zu Projekten, die niemand liebt und die im Folgejahr nicht erweitert werden.

Besser funktioniert der umgekehrte Weg: Die Regulierung ist der Anlass, das eigentliche Gespräch dreht sich um Transparenz, Verfügbarkeit und darum, dass der Instandhalter endlich weiß, was in seiner Halle steht. Dann trägt das Projekt auch nach der Frist.

Was ich daraus für den Aufbau von Segmenten mitgenommen habe

Der Aufbau hat gedauert, und er war die längste Zeit ohne Erfolgserlebnisse. Jedes Nachfassen, jede weitere Kontaktaufnahme endete ohne Ergebnis oder mit einem klaren Nein. Das war nicht schön, aber es war ein Datenpunkt.

Ein neues Segment fühlt sich in den ersten Monaten an wie schlechte Leistung. Es ist aber meistens nur ein Markt, der sich noch nicht als Markt versteht. Der Unterschied zwischen diesen beiden Fällen ist die wichtigste Unterscheidung, die eine Vertriebsführung in so einer Phase treffen muss, und sie entscheidet darüber, ob man ein Segment zu früh beerdigt.

Was hilft, ist eine ehrliche Trennung: Der Kunde ist nicht bereit. Das Timing war falsch. Oder ich war es. Diese drei Fälle sehen von außen identisch aus und verlangen völlig unterschiedliche Konsequenzen.