Alte Rechner schützen, ohne die Produktion zu gefährden: Ein Virenscan läuft, die Bedienung stockt: Auf alten Industrie-PCs kann Schutzsoftware selbst zur Störquelle werden. Entscheidend ist, was sie im Betrieb auslöst. Drei Fragen und ein Testbeispiel helfen bei der Auswahl.
Die Maschine läuft, doch auf dem Bildschirm bleiben die Werte stehen. Ein Klick reagiert erst Sekunden später. Für einen Büroanwender wäre das ärgerlich. Wer hier einen industriellen Prozess überwacht, fragt sich: Stimmt die Anzeige noch? Und kommt mein nächster Befehl rechtzeitig an?
Hinter einem solchen Szenario muss kein Angriff stecken. Ein Virenscan kann einen knapp dimensionierten Industrie-PC so beanspruchen, dass die Bedienung leidet. Das betrifft Fertigung, Energieversorgung und Pharma, wo alte Rechner mit der Anlage weiterlaufen. Ihr Schutz hat zwei Aufgaben: Schadsoftware abwehren und den Anlagenbetrieb nicht beeinträchtigen.
Alt heißt nicht einfach austauschbar
Der nächste Supporttermin macht die Frage konkret: Am 12. Januar 2027 endet der Support für Windows 10 Enterprise LTSC 2021. Für Windows 10 IoT Enterprise LTSC 2021 läuft er dagegen bis Januar 2032. Die genaue Edition entscheidet. Virenschutz ersetzt dabei keine fehlenden Betriebssystemupdates.
Ein neuer Rechner ist schnell bestellt. Ob die Maschinenanwendung mit ihren Treibern und Schnittstellen darauf läuft, ist eine andere Frage. Bis das geklärt ist, bleibt das alte System im Einsatz. Eine zusätzliche Schutzlösung konkurriert dort mit der Anwendung um Rechenzeit, Speicher und Datenträgerzugriffe. Auch „KI-gestützt“ ist kein Nachweis dafür, dass sich ein Produkt mit der Anlage verträgt.
Zwei Sekunden können eine lange Zeit sein
Ein Rechenbeispiel zeigt, warum der CPU-Wert allein wenig hilft: Angenommen, die Bedienoberfläche bestätigt einen Rezeptwechsel normalerweise nach 200 Millisekunden, während eines Scans erst nach zwei Sekunden. Die Wartezeit hat sich verzehnfacht. Ob das lediglich stört oder den Ablauf gefährdet, entscheidet der konkrete Prozess. Die Zahlen sind zur Illustration gewählt.
Im Test wird daraus eine überprüfbare Frage: Reagiert die Anwendung mit eingeschaltetem Schutz noch rechtzeitig? Beim gleichzeitigen Sichern von Produktionsdaten kann ein Rezeptwechsel anders ausfallen als im Leerlauf. Deshalb lohnt der Vergleich derselben Abläufe mit und ohne Scan in einer freigegebenen Testumgebung. Neben der Bedienzeit zeigen Lastspitzen, Datenträgerzugriffe und Kommunikationsfehler, wo es eng wird.
Vor der Auswahl helfen drei Fragen:
- Welche Aufgabe erfüllt der Rechner, und wie lange darf eine Reaktion dauern?
- Welche Versionen und Einstellungen unterstützt der Anlagenhersteller?
- Was passiert bei einem Fund: nur ein Alarm, eine Quarantäne oder eine automatische Isolation?
Der NIST-Leitfaden SP 800-82 Rev. 3 empfiehlt solche Verträglichkeits- und Leistungstests für Operational Technology (OT) ausdrücklich, auch bei neuen Signaturen und Softwareversionen. Auf unterstützten Windows-Systemen hilft etwa der Defender Performance Analyzer, besonders aufwendige Scans einzelnen Dateien oder Prozessen zuzuordnen. Ein ganzes Produktionsverzeichnis auszunehmen, wäre allerdings ein teurer Erfolg: Die Last sinkt, weil der Scanner dort nicht mehr hinsieht.
Der Fund kann zum zweiten Problem werden
Die Prüfung endet nicht beim Ressourcenverbrauch. Wird beispielsweise eine von der Maschinenanwendung benötigte Datei irrtümlich als schädlich erkannt und in Quarantäne verschoben, kann die Anwendung beim nächsten Aufruf scheitern. Der Scan ist abgeschlossen, aber die Produktion hat ein neues Problem.
Bei Endpoint Detection and Response (EDR), das verdächtige Aktivitäten untersucht und Reaktionen ermöglicht, reicht der Eingriff bis zur Netzisolation. Bei kritischen Anlagenfunktionen gehört diese Reaktion in den Test. Nur zu alarmieren ist eine mögliche Einstellung, wenn ein erreichbarer Verantwortlicher die Meldung bewertet und die nächsten Schritte mit dem Betrieb abstimmt.
Der USB-Stick nimmt die Last nicht mit
Wenn kein dauerhaft installierter Agent verträglich läuft, wirken portable Scanner verlockend. Auf geeigneten Windows- oder Linux-Systemen prüfen sie Dateien ohne dauerhafte Installation. Doch „ohne Installation“ bedeutet nicht „ohne Belastung“: Die Prüfung nutzt weiterhin Ressourcen des Zielrechners. Der Stick bringt die Software mit, keinen zusätzlichen Prozessor für die Maschinenanwendung.
Ein solcher Scan passt in ein getestetes Wartungsfenster. Er liefert eine Momentaufnahme, keine kontinuierliche Überwachung. Ein separat gestartetes Rettungssystem unterbricht zudem den normalen Rechnerbetrieb. Proprietäre Steuerungen lassen sich damit nicht automatisch mitprüfen.
Die Kontrolle rückt vor den Rechner
Wo der Schutz auf dem Industrie-PC begrenzt bleibt, gewinnt die Kontrolle eingehender Dateien an Gewicht. Damit führt die Performancefrage direkt zum nächsten Wartungseinsatz.
Der Servicetechniker steht vor der Maschine, das Zeitfenster läuft, die Update-Datei liegt auf seinem USB-Stick. Jetzt erst nach einem zugelassenen Datenträger zu suchen, macht jede Sicherheitsregel zum Hindernis. Besser funktioniert der Ablauf, wenn der Techniker schon mit dem Auftrag erfährt, wie er seine Dateien anliefert. Die Instandhaltung lässt sie an einer vorgesehenen Prüfstation scannen und überträgt sie mit einem freigegebenen Medium. Ein Ansprechpartner klärt Rückfragen vor dem Wartungstermin.
Der Scan ersetzt weder die Prüfung der Herkunft noch die Freigabe des passenden Updates. Er senkt ein Risiko, ohne Unbedenklichkeit zu garantieren. Passive Netzüberwachung ergänzt diesen Schutz, erkennt aber keine Schadsoftware, die unbemerkt auf einer Festplatte liegt und nicht kommuniziert. Datei- und Netzwerkprüfung beantworten unterschiedliche Fragen.
Für den Anfang genügt ein kritischer Industrie-PC: IT-Sicherheit, Instandhaltung und Anlagenverantwortliche prüfen gemeinsam Schutz, Bedienverhalten und Reaktion auf einen Fund. Wo Lücken bleiben, vereinbaren sie begrenzte Zugänge, eine erprobte Wiederherstellung und einen Termin zur Neubewertung. Das Ergebnis ist eine belastbare Betriebsentscheidung statt eines Häkchens bei „Virenschutz installiert“. Der Bildschirm darf nicht deshalb stehen bleiben, weil gerade jemand für Sicherheit sorgt.
