MES-Anforderungen IT-Leitung: Integration, Sicherheit und Deployment im Überblick

MES-Anforderungen IT-Leitung: Integration, Sicherheit und Deployment im Überblick

Ein MES berührt SAP-Landschaft, OT-Netzwerk, Datenschutz und IT-Sicherheit gleichzeitig. Für IT-Leitungen in DACH-Fertigungsunternehmen ist das MES 2026 oft das technisch anspruchsvollste Integrationsprojekt im Portfolio: Es verbindet drei Systemwelten und muss dabei Sicherheitsnormen wie IEC 62443 und Datenschutzpflichten nach DSGVO erfüllen. Diese Seite gibt Ihnen den strukturierten Überblick für die technische Absicherung der Auswahlentscheidung.

MES finden in 6 Minuten So funktioniert das Matching
3
Integrationsschichten zwischen ERP, MES und Shopfloor (ISA-95-Ebenen 2, 3, 4)
4
Security Level nach IEC 62443 für industrielle Steuerungssysteme
258–646 T€
Typische 5-Jahres-TCO Cloud-MES für 50–100 Maschinen (Sectorlens-Erfahrungswert seit 2022)
20–150 PT
Aufwandsspanne für SAP-MES-Integration je nach Szenario und Connector-Typ
SAP-Integration OPC UA IEC 62443 Cloud vs. On-Premise DSGVO Vendor Lock-in ISA-95
Systemarchitektur

Das MES als Middleware zwischen ERP und Shopfloor

IT-Leiter begegnen dem MES meist als neuem Element in einer bereits bestehenden Systemlandschaft. Wer das MES strukturiert einordnet, vermeidet Doppelzuständigkeiten, Datenkonflikte und Integrationsprojekte, die nachträglich teuer nachgearbeitet werden müssen.

Die Norm ISA-95 (international als IEC 62264 ratifiziert) beschreibt fünf Automatisierungsebenen und macht die Zuständigkeiten sauber handhabbar. Level 0 bis 2 umfassen Sensoren, Aktoren, SPS-Steuerungen und SCADA-Systeme: das klassische OT-Terrain. Level 4 ist die Unternehmensplanung, also ERP-Systeme wie SAP. Das MES arbeitet auf Level 3, der Produktionsausführungsebene, und bildet damit die Middleware zwischen dem kaufmännischen Planungshorizont des ERP und den Echtzeitsignalen der Maschinen.

Diese ISA-95-konforme Einordnung hat konkrete Konsequenzen für die IT-Architektur: Das MES empfängt Fertigungsaufträge, Materialstämme und Stücklisten aus dem ERP, gibt Rückmeldungen (Mengen, Zeiten, Qualitätsergebnisse) zurück und übersetzt dabei die auftragsgetriebene Logik des ERP in maschinenlesbare Schritt-für-Schritt-Anweisungen. In die andere Richtung sammelt es Maschinensignale, BDE-Buchungen und Messwerte und verdichtet sie zu Kennzahlen wie OEE (Overall Equipment Effectiveness nach ISO 22400:2014) und Ausschussquoten.

Die IT-Leitung verantwortet in diesem Gefüge die Netzwerkgrenzen: Die Level-2/3-Grenze zwischen SCADA und MES sowie die Level-3/4-Grenze zwischen MES und ERP müssen durch klare Schnittstellendefinitionen, Firewalls und Zugriffskonzepte abgesichert werden. Ein MES, das direkt auf die SAP-Produktionsdatenbank schreibt oder ungefiltert auf SPS-Adressen zugreift, ist keine moderne Architektur. Suchen Sie deshalb im Auswahlprozess gezielt nach MES-Systemen, die ISA-95-konforme Schnittstellen mitbringen und die Entkopplung der Ebenen technisch durchsetzen.

Mehr zur grundsätzlichen Einordnung lesen Sie in unserem Überblick Was ist ein MES sowie in der detaillierten Abgrenzung MES vs. ERP. Die Zusammenhänge zwischen MES, ERP und SCADA aus Systemarchitektur-Sicht beschreibt die Seite MES, ERP und SCADA im Überblick.

Integration

SAP-Anbindung, OPC UA und REST: die drei Integrationsschichten im MES

Ein MES steht nicht für sich allein. Technisch betrachtet schließt es drei verschiedene Integrationsbeziehungen gleichzeitig: nach oben zum ERP, nach unten zur Maschinenebene und seitlich zu weiteren Systemen wie CAQ, PLM oder Instandhaltungssoftware. Für die IT-Leitung sind Schnittstellen nicht nur ein Projektvorteil, sondern ein handfestes Betriebsrisiko: Proprietäre Konnektoren erzeugen Abhängigkeiten, die bei Updates teuer werden.

SAP-Integration: IDoc, RFC und REST/OData

Die SAP-MES-Integration ist für die meisten DACH-Fertigungsbetriebe das kritischste Integrationsthema. Relevante SAP-Module sind PP (Produktionsplanung), QM (Qualitätsmanagement) und PM (Instandhaltung). Die technischen Integrationswege unterscheiden sich nach Synchronizität und Datenvolumen:

  • ›IDoc (Intermediate Document): Das asynchrone Standardformat für Massen- und Stammdaten. Typische IDocs zwischen SAP PP und MES sind MATMAS (Materialstamm), LOIROU04 (Arbeitspläne) und PPCC2REQCONF (Produktionsauftragsrückmeldungen). IDoc-basierte Integration ist stabil und gut dokumentiert, aber nicht echtzeitfähig.
  • ›RFC/BAPI: Synchrone Schnittstellen für transaktionale Daten, die eine unmittelbare Antwort erfordern, etwa beim Sperren eines Fertigungsauftrags oder beim Abrufen einer aktuellen Bestandsauskunft.
  • ›REST/OData via SAP Cloud Integration: Der moderne Weg für Cloud-Szenarien und S/4HANA-Umgebungen. Laut Sectorlens-Erfahrungswert seit 2022 liegt der Aufwand bei SAP-zertifizierten Standardkonnektoren bei 20 bis 45 Personentagen, bei Projektentwicklung ohne zertifizierten Connector bei 60 bis 150 Personentagen.
  • ›Middleware (SAP PI/PO): Sinnvoll, wenn das MES keine eigene SAP-Kopplung mitbringt oder wenn mehrere Systeme entkoppelt werden sollen.

Fragen Sie MES-Anbieter konkret: Ist der SAP-Connector SAP-zertifiziert? Welche IDoc-Typen werden unterstützt? Wie werden Mapping-Konflikte bei SAP-Releases behandelt? Details zur SAP-MES-Kopplung finden Sie auf der Seite MES-SAP-Integration.

OPC UA: der Standard für die Maschinenebene

OPC UA (Unified Architecture, normiert als IEC 62541) ist seit 2008 der Industriestandard für die herstellerneutrale Maschinenkommunikation. Ein MES, das OPC UA beherrscht, kann Signale aus SPS-Steuerungen (Siemens S7, Beckhoff, Rockwell), Werkzeugmaschinen, Robotern und Prüfanlagen lesen, ohne für jede Maschinenmarke einen Sonderkonnektor zu entwickeln.

Für die IT-Leitung relevant: OPC UA verwendet asymmetrische Kryptographie (X.509-Zertifikate) zur Authentifizierung und Transportverschlüsselung. Das bedeutet, dass ein vollständiges Zertifikatsmanagement aufgebaut werden muss. Wer dies unterschätzt, findet im Betrieb abgelaufene Zertifikate, die still und leise die Verbindung unterbrechen. Klären Sie vor der Beschaffung: Bringt der MES-Anbieter ein integriertes Zertifikats-Management mit, oder ist das Ihre Aufgabe? Lesen Sie dazu auch unsere Seite OPC UA im MES.

REST-API und weitere Schnittstellen

Moderne MES bieten eine dokumentierte REST-API (idealerweise OpenAPI 3.0 spezifiziert) für den Zugriff durch Drittsysteme: CAQ-Anbindung, Business-Intelligence-Tools, Dashboards oder übergeordnete Konzernreportsysteme. Achten Sie auf Versionierung der API (semantische Versionierung mit Break-Change-Policy), auf OAuth-2.0-basierte Authentifizierung und auf Dokumentationsqualität. Eine undokumentierte interne API gilt als proprietäres System und erhöht Ihre Abhängigkeit vom Anbieter erheblich.

Architekturentscheidung

Direktkonnektor oder Middleware: Welche Integrationsarchitektur passt zu Ihrer IT-Landschaft?

Eine Frage, die viele IT-Leiter erst nach dem ersten Anbieter-Gespräch stellen, ist: Wie wird das MES technisch angebunden, und welche IT-Infrastruktur brauchen wir dafür? Die Antwort hängt davon ab, welche Systeme integriert werden müssen, ob ein SAP-zertifizierter Direktkonnektor verfügbar ist und welche Integrationsplattformen im Unternehmen bereits existieren. Wer diese Frage vor der Anbieterauswahl klärt, vermeidet teure Architekturänderungen in der Implementierungsphase.

Option 1

Direktkonnektor (Vendor-eigene Schnittstelle)

Der MES-Anbieter liefert einen fertigen SAP-Konnektor und OPC-UA-Stack mit. Das ist der Standardfall bei spezialisierten MES-Anbietern mit DACH-Marktpräsenz.

  • SAP-zertifizierter Konnektor: 20–45 PT Integrationsaufwand
  • Ein Ansprechpartner für alle Schnittstellenprobleme
  • Hohe Abhängigkeit vom Anbieter bei Versionswechseln
Option 2

SAP Integration Suite (ehemals SAP PI/PO)

Wenn das Unternehmen bereits SAP PI/PO oder die SAP Integration Suite betreibt, kann das MES über diese Plattform angebunden werden.

  • Wiederverwendung bestehender Infrastruktur
  • Zentrale Überwachung aller Integrations-Flows
  • Erfordert SAP-Basis-Know-how, 40–80 PT SAP-Seite
Option 3

Third-Party-Middleware (iPaaS)

Für heterogene Systemlandschaften (MES, CAQ, PLM, WMS, ERP) kann eine Plattform wie MuleSoft, Azure Logic Apps oder Talend die zentrale Drehscheibe bilden.

  • Systemunabhängige Integrationsarchitektur
  • Erleichtert zukünftige Systemwechsel
  • Zusätzliche Lizenz- und Betriebskosten; 60–150 PT Gesamtaufwand

Typischer Integrationsaufwand nach Architektur (Sectorlens-Erfahrungswert seit 2022)

Architektur-Option SAP-Integration (PT) OT-Integration (PT) Gesamt-Initialaufwand (PT)
Direktkonnektor (SAP-zertifiziert)20–4515–3035–75
SAP PI/PO oder Integration Suite40–8015–3055–110
Third-Party-Middleware (iPaaS)60–12015–5075–170
Eigenentwicklung ohne Middleware80–15030–80110–230

Diese Personentage umfassen den Integrationsaufwand, nicht die Konfiguration des MES selbst. Den vollständigen Rollout-Ablauf beschreibt die Seite MES einführen: Phasen, Rollen und Erfolgsfaktoren.

Cybersicherheit

IEC 62443: Sicherheitsanforderungen für das MES im OT-Umfeld

Das MES ist das Bindeglied zwischen dem klassischen IT-Netz (ERP, Office, Internet) und dem OT-Netz (SPS, SCADA, Maschinen). Genau dort entstehen Angriffspfade, die Produktionsunterbrechungen oder Anlagenschäden verursachen können. Die Normenreihe IEC 62443 (identisch mit ISA/IEC 62443) ist der internationale Standard für Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen (IACS).

SL 1

Schutz gegen unbeabsichtigte Fehler

Basisschutz ohne gezielten Angreifer. Kein ausreichendes Niveau für MES in der Serienproduktion.

SL 2 — Mindestlevel MES

Schutz gegen einfache, gezielte Angriffe

Verlangt Benutzerauthentifizierung, Zugriffsprotokollierung, Netzwerksegmentierung und strukturiertes Patch-Management. Mindeststandard für MES in der Serienproduktion.

SL 3 — KRITIS-Empfehlung

Schutz gegen Angreifer mit erheblichen Ressourcen

Für Lieferanten kritischer Infrastruktur und sicherheitsrelevanter Güter empfohlen. Erfordert erweitertes Zonenkonzept und strukturiertes Schwachstellenmanagement.

Zones und Conduits: Netzwerksegmentierung nach IEC 62443

IEC 62443 arbeitet mit dem Konzept von Zonen (Gruppen von Geräten mit gleichem Schutzbedarf) und Conduits (kontrollierten Kommunikationskanälen zwischen Zonen). Das MES liegt typischerweise in einer eigenen Zone zwischen IT-Zone (ERP, Office-Netz) und OT-Zone (SPS, SCADA). Jede Kommunikationsbeziehung über Zonengrenzen muss durch einen Conduit mit definierten Protokollen, Firewallregeln und Authentifizierung abgesichert sein.

Praktisch bedeutet das für die IT-Leitung: Das MES-System darf nicht im gleichen Netz-Segment wie die Büro-PCs liegen und nicht ungefiltert mit den SPS kommunizieren. Eine DMZ-ähnliche Architektur mit gerichteten Firewallregeln ist der Mindeststandard.

Zugriffskonzept und Patch-Management

Ein MES speichert Passwörter, Buchungsbelege und Maschinenkonfigurationen. Anforderungen an das Zugriffskonzept: Rollenbasierte Zugriffskontrolle (RBAC) mit minimalen Rechten je Rolle, Active-Directory- oder LDAP-Anbindung für zentrales Benutzermanagement (Single Sign-On), Mehrstufige Authentifizierung (MFA) für administrative Zugänge, Protokollierung aller Zugriffsaktionen (Audit Trail) gemäß IEC 62443-3-3.

Seit dem EU Cyber Resilience Act (CRA, in Kraft seit Dezember 2024) sind Hersteller von vernetzten Produkten in der EU verpflichtet, Sicherheitsupdates für den gesamten Lebenszyklus bereitzustellen und bekannte Schwachstellen innerhalb von 24 Stunden an ENISA zu melden. Dieser Rahmen gilt auch für MES-Hersteller, die ihr System als vernetztes Produkt in der EU vertreiben.

Anbietersicherheit

ISO 27001, IEC 62443-2-4 und BSI C5: Welche Zertifizierungen ein MES-Anbieter nachweisen muss

Technische Sicherheitsfunktionen im MES-Produkt sind notwendig, aber nicht hinreichend. IT-Leitungen, die ein MES beschaffen, kaufen auch eine dauerhafte Beziehung zum Anbieter, dessen Entwicklungs- und Betriebsprozesse die Sicherheit des Systems über den gesamten Lebenszyklus hinweg bestimmen.

Pflicht

ISO/IEC 27001: Informationssicherheits-Managementsystem

ISO/IEC 27001 belegt, dass der MES-Anbieter Risiken für Vertraulichkeit, Integrität und Verfügbarkeit von Daten systematisch identifiziert, bewertet und behandelt. Für Cloud-MES-Anbieter ist ISO 27001 ein Mindestanspruch.

  • Ausstellung durch akkreditierte Stellen (TÜV, BSI, Bureau Veritas)
  • Dreijährige Laufzeit mit jährlichen Überwachungsaudits
  • Scope-Beschreibung im Zertifikat prüfen: umfasst es Entwicklung und Support?
OT-Fokus

IEC 62443-2-4: Sicherheitsanforderungen für IACS-Dienstleister

Beschreibt die Sicherheitsanforderungen an Service-Provider und Systemintegratoren industrieller Automatisierungssysteme. Im DACH-Markt haben erst wenige MES-Anbieter eine formelle Zertifizierung (Sectorlens-Erfahrungswert seit 2022).

  • Prüft sichere Fernzugriffsverfahren und Konfigurationsmanagement
  • Dokumentierte Selbstauskunft als Zwischenstufe akzeptabel
  • Muss extern auditierbar sein
Cloud-MES

SOC 2 Type II und BSI C5 für Cloud-Anbieter

SOC 2 Type II prüft technische und organisatorische Schutzmaßnahmen über mindestens sechs Monate durch unabhängige Wirtschaftsprüfer. BSI C5 ist das deutsche Pendant und im DACH-Behörden- und Rüstungsumfeld oft vertraglich gefordert.

  • Klären: Auf welchem Rechenzentrum läuft die Instanz?
  • Besitzt das RZ ein BSI-C5-Testat oder ISO-27001-Zertifizierung?
  • Drittlandtransfer vermeiden oder durch Standardvertragsklauseln absichern

Fordern Sie im RFI folgende Dokumente ein: ISO-27001-Zertifikat mit Scope-Beschreibung, IEC-62443-2-4-Selbstauskunft oder Zertifizierung, SOC-2-Type-II-Bericht oder BSI-C5-Testat (Cloud), Security-Konzept-Dokument gemäß IEC 62443-2-1, CVE-Disclosure-Policy. Für den Gesamtprozess der MES-Auswahl lesen Sie MES auswählen: Vorgehen, Kriterien und typische Fehler und den MES-Anbietervergleich DACH.

Technische Due Diligence

16 Prüfpunkte für IT-Leiter: Checkliste für den RFI und das Anbieter-Gespräch

Die folgende Checkliste kann direkt in einem Request for Information (RFI) oder als Fragebogen im MES-Auswahlprozess eingesetzt werden. Nutzen Sie sie parallel zur Erstellung des MES-Lastenhefts und zum Vorgehen auf der Seite MES auswählen.

01

Datenbankformat und Exportierbarkeit

Welches Datenbankprodukt wird eingesetzt (SQL Server, PostgreSQL, Oracle)? Ist ein vollständiger Export der historischen Daten als SQL-Dump oder CSV ohne Sonderbeauftragung möglich? Ist das Datenbankschema dokumentiert?

02

SAP-Zertifizierung und Connector-Dokumentation

Ist der SAP-Connector SAP-zertifiziert? Welche IDoc-Typen (LOIROU04, MATMAS, PPCC2REQCONF) werden nativ unterstützt? Wie werden Mapping-Änderungen bei SAP-Release-Wechseln behandelt?

03

OPC-UA-Zertifikatsmanagement

Bringt das MES ein integriertes X.509-Zertifikatsmanagement mit? Wie werden abgelaufene Zertifikate überwacht und erneuert? Welche OPC-UA-Sicherheitsprofile (Basic256Sha256 oder höher) werden unterstützt?

04

Netzwerkarchitektur und Zonenkonzept

In welchem Netzwerksegment läuft das MES-Leitrechner-Backend? Gibt es ein dokumentiertes Zonenkonzept gemäß IEC 62443? Welche Ports und Protokolle müssen in der Firewall freigegeben werden?

05

Security Level nach IEC 62443

Auf welches Security Level (SL 1 bis SL 4) ist das System ausgelegt? Gibt es ein Sicherheitskonzeptdokument gemäß IEC 62443-2-1? Wie wird mit Sicherheitslücken (CVEs) umgegangen und wie schnell erscheinen Patches?

06

Active Directory / LDAP-Anbindung und SSO

Unterstützt das MES Active Directory / LDAP für zentrales Benutzermanagement? Ist Single Sign-On (SSO, z.B. über SAML 2.0 oder OpenID Connect) möglich? Können Benutzerrollen aus AD-Gruppen abgeleitet werden?

07

DSGVO-Konformität und Auftragsverarbeitung

Welche personenbezogenen Daten werden verarbeitet (Benutzer-IDs, Leistungsdaten)? Wird ein AVV nach Art. 28 DSGVO angeboten? Wo werden Daten gespeichert? Werden Subunternehmer eingesetzt und sind diese im AVV benannt?

08

Patch- und Update-Strategie

Wie häufig erscheinen Sicherheits-Patches? Werden sie separat von Feature-Releases bereitgestellt? Gibt es einen CVE-Notification-Service? Was kostet Extended Support für ältere Versionen?

09

Lizenzmodell und Skalierungspfad

Werden Named-User-, Concurrent-User- oder Machine-Lizenzen angeboten? Was kostet eine Lizenz für einen weiteren Produktionsstandort? Sind Datenbanklizenzen im Wartungsvertrag enthalten?

10

Container-Readiness und Skalierbarkeit

Läuft das MES in Docker-Containern? Unterstützt es Kubernetes-Orchestrierung? Ist ein Multi-Site-Betrieb aus einer zentralen Instanz heraus möglich?

11

Exit-Klausel und Datenverfügbarkeit

Wie lange werden Daten nach Vertragsende noch abrufbar gehalten? In welchem Format und Umfang kann die vollständige Datenbasis exportiert werden? Ist dies vertraglich fixiert?

12

High Availability und Disaster Recovery

Welche Verfügbarkeits-SLAs bietet der Anbieter (99,5 %, 99,9 %)? Gibt es ein dokumentiertes Disaster-Recovery-Konzept? Was ist die maximal tolerierbare Ausfallzeit (RTO) und der Datenverlust (RPO) laut Vertrag?

13

Middleware-Entscheidung und Integrationsarchitektur

Bringt der MES-Anbieter einen SAP-zertifizierten Direktkonnektor für die eingesetzte SAP-Version (ECC oder S/4HANA) mit? Welche weiteren Systeme (CAQ, PLM, WMS) müssen angebunden werden? Ist eine Middleware-Schicht einzuplanen und wer trägt deren Betriebskosten?

14

Sicherheitszertifizierungen des Anbieters

Weist der Anbieter eine gültige ISO-27001-Zertifizierung nach? Gibt es eine Zertifizierung oder dokumentierte Selbstauskunft gemäß IEC 62443-2-4? Für Cloud-Angebote: Liegt ein SOC-2-Type-II-Bericht oder ein BSI-C5-Testat des Rechenzentrums vor?

15

Rollout-Phasenplan und Produktionsstillstandskonzept

Welchen phasenweisen Rollout-Plan sieht der Anbieter vor (Pilotwerk, Pilotlinie, Gesamtrollout)? Wie werden SAP-Transportaufträge und MES-Updates koordiniert, um Produktionsstopps zu minimieren? Details bietet die Seite MES einführen.

16

Referenzprojekte mit vergleichbarer Systemlandschaft

Hat der Anbieter dokumentierte Referenzprojekte mit vergleichbarer SAP-Version, vergleichbarer OT-Infrastruktur (Siemens, Beckhoff, Rockwell) und vergleichbarer Betriebsgröße? Nutzen Sie für den strukturierten Vergleich auch das MES-Selection-Portal von Sectorlens.

Häufige Fragen

MES und IT-Leitung: 18 Fragen, die wir am häufigsten hören

Aus über 50 MES-Auswahlprojekten seit 2022 im DACH-Raum haben wir die häufigsten Fragen von IT-Leitungen zusammengestellt und beantwortet (Sectorlens-Erfahrungswert seit 2022).

Was ist der Unterschied zwischen IT und OT in einem MES-Kontext, und warum ist er für IT-Leiter relevant?
IT (Information Technology) bezeichnet klassische Unternehmenssysteme wie ERP, E-Mail und Büronetzwerke. OT (Operational Technology) umfasst Steuerungssysteme wie SPS, SCADA und Maschinensteuerungen, die physische Prozesse steuern. Ein MES arbeitet an der Grenze zwischen beiden Welten: Es bezieht Aufträge aus der IT-Welt (SAP) und kommuniziert mit der OT-Welt (Maschinen per OPC UA). Diese Grenzposition bedeutet, dass IT-Sicherheitsmaßnahmen, die im Büronetz selbstverständlich sind (häufige Updates, Internet-Zugang, zentrale Virenschutzlösungen), in der OT-Umgebung oft nicht anwendbar sind, weil Maschinen 24/7 laufen und Updates Produktionsstopps erfordern. Die IT-Leitung muss diese unterschiedlichen Anforderungen kennen und das Netzwerkkonzept entsprechend gestalten.
Welche SAP-Module sind bei der MES-Integration typischerweise relevant?
Die wichtigsten SAP-Module für die MES-Integration sind PP (Produktionsplanung), QM (Qualitätsmanagement) und PM (Instandhaltung/Plant Maintenance). Das PP-Modul liefert Fertigungsaufträge, Arbeitspläne und Stücklisten ans MES und empfängt Mengen- und Zeitrückmeldungen zurück. Das QM-Modul ist relevant, wenn Prüfergebnisse aus dem MES direkt SAP-Prüflose rückmelden oder Sperrentscheidungen im SAP-Bestand auslösen sollen. Das PM-Modul wird angebunden, wenn das MES Maschinenstörungen automatisch als SAP-Instandhaltungsaufträge anlegen soll. Je nach Szenario kann auch das WM/EWM-Modul (Lagerverwaltung) relevant sein, wenn das MES Bestandsbewegungen ausbucht.
Was bedeutet OPC UA (IEC 62541) und warum ist es für die MES-Anbindung von Maschinen wichtig?
OPC UA (Unified Architecture, normiert als IEC 62541) ist ein offener, herstellerneutraler Kommunikationsstandard für die Maschinenebene. Im Gegensatz zu älteren proprietären Protokollen (wie Siemens S7Comm oder Modbus) definiert OPC UA nicht nur das Transportprotokoll, sondern auch semantische Informationsmodelle: Eine Maschine beschreibt ihre Datenpunkte maschinenlesbar, sodass das MES die Bedeutung eines Wertes (z.B. "aktueller Werkzeugverschleiß in Prozent") versteht, ohne maschinen-individuelle Treiber zu schreiben. OPC UA verwendet X.509-Zertifikate für Authentifizierung und Transportverschlüsselung, was es deutlich sicherer macht als ältere Protokolle. Für die IT-Leitung bedeutet das: OPC UA erfordert ein funktionierendes Zertifikatsmanagement, bietet aber im Gegenzug eine dokumentierte, sichere und herstellerunabhängige Schnittstelle.
Was sind die vier Security Level der IEC 62443 und welches Level ist für ein MES relevant?
IEC 62443 (identisch mit ISA/IEC 62443) definiert vier Security Level für industrielle Steuerungssysteme: SL 1 schützt gegen unbeabsichtigte Fehler ohne gezielten Angreifer. SL 2 schützt gegen einfache, gezielte Angriffe mit überschaubaren Ressourcen. SL 3 schützt gegen Angreifer mit erheblicher Expertise und Ressourcen. SL 4 richtet sich gegen staatliche oder hochorganisierte Angreifer. Für MES in der Serienproduktion ist SL 2 das Mindestlevel: Es verlangt unter anderem Benutzerauthentifizierung, Zugriffsprotokollierung, Netzwerksegmentierung und ein strukturiertes Patch-Management. Betriebe, die kritische Infrastruktur betreiben oder an Verteidigung und Sicherheit liefern, sollten SL 3 anstreben.
On-Premise oder Cloud-MES: Was empfiehlt sich für mittelständische Fertigungsbetriebe?
Die Entscheidung hängt von drei Faktoren ab: internen IT-Ressourcen, Latenzanforderungen und Datenschutzvorgaben. Betriebe ohne dedizierten MES-Administrator profitieren oft von einem Cloud- oder gehosteten Modell, das Updates und Infrastruktur auslagert. Betriebe mit strikten Offline-Anforderungen (z.B. geheimhaltungspflichtige Rüstrezepte, kein Cloudzugang laut Betriebsvereinbarung) bevorzugen On-Premise. Moderne Cloud-MES-Architekturen lösen Latenzkonflikte durch lokale Edge-Komponenten, die Echtzeit-Aufgaben lokal abwickeln. Ein 5-Jahres-TCO-Vergleich zeigt in der Praxis oft, dass Cloud-MES trotz laufender Abokosten günstiger ist, weil der interne Administrationsaufwand für On-Premise-Betrieb entfällt.
Welche Mitarbeiterdaten verarbeitet ein MES und was bedeutet das für den Datenschutz?
Ein MES erfasst im Rahmen der Betriebsdatenerfassung (BDE) personenbezogene Daten: Werkeridentifikation (wer hat wann welchen Auftrag bearbeitet), individuelle Bearbeitungs- und Rüstzeiten, Ausschuss- und Nacharbeitsquoten je Mitarbeiter sowie Qualitäts-Buchungen mit Benutzerbezug. Diese Daten erlauben eine Leistungsbeurteilung einzelner Personen und unterliegen damit dem Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. In der Praxis ist eine Betriebsvereinbarung vor dem Produktivbetrieb Pflicht. Für Cloud-MES-Systeme ist zusätzlich ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen, der den Speicherort der Daten und alle Subunternehmer des Anbieters benennt.
Was ist die ISA-95-Grenze und warum ist sie für die IT-Architektur eines MES relevant?
ISA-95 (international: IEC 62264) ist der Industriestandard für die Integration von Unternehmens- und Fertigungssystemen. Er beschreibt fünf Automatisierungsebenen (Level 0 bis 4) und definiert standardisierte Schnittstellen zwischen ihnen. Das MES arbeitet auf Level 3 (Manufacturing Operations Management), zwischen Level 2 (Prozesssteuerung, SCADA) und Level 4 (Unternehmensplanung, ERP). Die Grenze Level 2/3 trennt OT von MES, die Grenze Level 3/4 trennt MES von ERP. Diese Grenzen sollten in der IT-Architektur durch Firewalls, Protokollgateways und definierte Schnittstellen physisch abgebildet werden, um Sicherheitszonen einzuhalten. Ein MES, das diese Grenzen nicht einhält (z.B. durch direkten Datenbankzugriff auf SAP oder direkte SPS-Programmierung), ist eine architektonische Schwäche.
Wie verhindert man Vendor Lock-in bei der MES-Auswahl?
Vendor Lock-in im MES entsteht vor allem durch proprietäre Datenbankformate, undokumentierte interne APIs und fehlende Exportmechanismen für historische Daten. Schutzmaßnahmen: Fordern Sie im Auswahlprozess schriftlich zu, dass ein vollständiger Datenbankexport (SQL-Dump oder CSV) jederzeit ohne Sonderbeauftragung möglich ist und das Datenbankschema dokumentiert vorliegt. Bestehen Sie auf einer dokumentierten REST-API mit semantischer Versionierung. Vereinbaren Sie vertraglich eine Exit-Klausel, die Datenverfügbarkeit für mindestens sechs Monate nach Vertragsende sichert. Anbieter, die offene Standards (OPC UA, ISA-95-konforme Schnittstellen, OpenAPI) konsequent einsetzen, bieten strukturell bessere Portierbarkeit als Anbieter mit proprietären Sonderlösungen.
Wie funktioniert die Netzwerksegmentierung zwischen OT und IT beim MES-Betrieb?
Die IEC 62443 empfiehlt das Zones-and-Conduits-Konzept: OT-Geräte (SPS, SCADA) bilden eine eigene Sicherheitszone, das MES eine eigene Zone, das IT-Netz (ERP, Office) eine eigene Zone. Kommunikation zwischen Zonen läuft nur über definierte Conduits (Firewall-Regeln, Protokollgateways). In der Praxis bedeutet das mindestens: Das MES-Backend-System läuft in einem separaten VLAN, eingehende OPC-UA-Verbindungen von Maschinen werden über einen OPC-UA-Proxy geführt, der die Verbindungen terminiert und neu aufbaut. Verbindungen vom MES zum SAP-System laufen über einen definierten Firewall-Ruleset, der nur benötigte RFC- oder REST-Ports freigibt. Direkte Verbindungen zwischen SPS und ERP-System sind in dieser Architektur nicht möglich.
Was ist der Unterschied zwischen Named-User- und Concurrent-Lizenzen beim MES?
Named-User-Lizenzen sind an namentlich benannte Personen gebunden. Jeder Benutzer, der das System jemals nutzt, benötigt eine eigene Lizenz, unabhängig davon, ob er das System täglich oder selten verwendet. Concurrent-User-Lizenzen (auch: Simultaneous-User oder Floating-Lizenzen) zählen die gleichzeitig angemeldeten Nutzer. Das ist für Fertigungsbetriebe mit Schichtbetrieb oft günstiger: Wenn 150 Werker in drei Schichten arbeiten, aber nie mehr als 60 gleichzeitig im System sind, genügen 60 Concurrent-Lizenzen. Bei der Kalkulation sollten Sie prüfen, ob Maschinenverbindungen (automatische OPC-UA-Sessions) ebenfalls als User-Lizenzen zählen oder separat lizenziert werden.
Welche Rolle spielt der Betriebsrat bei der MES-Einführung und wann muss die IT-Leitung ihn einbeziehen?
Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen. Da ein MES typischerweise beide Funktionen erfüllt (Leistungserfassung je Mitarbeiter, Verhaltensprotokollierung über Buchungen), ist das Mitbestimmungsrecht regelmäßig einschlägig. Der richtige Zeitpunkt für die Einbindung ist vor der Pilotphase, nicht erst vor dem Go-live. Eine Betriebsvereinbarung sollte mindestens regeln: welche Daten zu welchem Zweck erfasst werden, wer Zugriff auf Einzelauswertungen hat und wie lange Daten gespeichert werden. Die IT-Leitung ist in der Regel der Ansprechpartner des Betriebsrats für technische Fragen.
Was versteht man unter Patch-Management im OT-Umfeld und wie unterscheidet es sich von IT-Patch-Management?
Im klassischen IT-Umfeld werden Sicherheits-Patches zeitnah eingespielt, oft automatisiert und mit kurzen Wartungsfenstern. Im OT-Umfeld gilt das nicht: SPS-Betriebssysteme und Maschinensteuerungen sind eng mit zugelassenen Softwareständen zertifiziert, und jedes Update erfordert einen Maschinentest, der häufig durch den Maschinenhersteller freigegeben werden muss. Für das MES als Level-3-System ist Patch-Management einfacher als für Level-2-Systeme, aber Produktionsstopps zur Einspielung müssen mit dem Fertigungsplaner koordiniert werden. Fragen Sie MES-Anbieter daher: Werden Sicherheits-Patches separat von Feature-Updates bereitgestellt, um den Freigabeaufwand zu minimieren? Gibt es einen CVE-Notification-Dienst?
Wie groß sind MES-Datenbanken typischerweise und welche Speicheranforderungen entstehen?
Die Datenbankgröße eines MES hängt stark von der Aufzeichnungstiefe ab. Bei vollständiger Traceability-Erfassung (jede Materialbewegung, jedes Prüfergebnis, jede OPC-UA-Maschinenmessung wird gespeichert) ist für einen Standort mit 50 bis 150 Maschinen nach drei Jahren Betrieb mit 200 GB bis 2 TB Datenbankgröße zu rechnen (Sectorlens-Erfahrungswert seit 2022). Wenn zusätzlich Bild- oder Videodaten (z.B. Kamerabilder aus der Qualitätsprüfung) gespeichert werden, kann das Volumen deutlich höher sein. Klären Sie vorab, ob Datenbanklizenzen (SQL Server, Oracle) im MES-Wartungsvertrag enthalten sind oder separat beschafft werden müssen. Eine Archivierungsstrategie für ältere Daten reduziert die laufenden Datenbankkosten.
Welche IT-Ressourcen werden intern für ein MES-Projekt benötigt und wer führt das Projekt technisch?
Ein MES-Projekt erfordert typischerweise folgende IT-Beiträge: Netzwerkteam für VLAN-Konfiguration, Firewall-Regeln und OT/IT-Segmentierung, Serverteam für Bereitstellung und Härtung der MES-Backend-Server, Active-Directory-Administration für Benutzerkonten und Gruppenrichtlinien, SAP-Basis für RFC-Verbindungen, IDoc-Konfiguration und Transportaufträge sowie einen internen Projektverantwortlichen IT, der als Ansprechpartner für den MES-Anbieter fungiert. In mittelständischen Betrieben wird diese Rolle oft durch den IT-Leiter selbst oder einen Senior-Systemadministrator übernommen. Für die Schnittstellen-Entwicklung (SAP-Connector, OPC-UA-Anbindung) sind in der Regel Ressourcen beim MES-Anbieter einzuplanen. Sectorlens empfiehlt, die IT-Leitung bereits in der Auswahlphase aktiv einzubeziehen, nicht erst in der Implementierungsphase.
Was ist die typische Aussage "SAP macht das schon" und warum stimmt sie im MES-Kontext nicht?
SAP bietet mit SAP Digital Manufacturing (ehemals SAP MES / ME) eine eigene MES-Lösung an, die auf der SAP Business Technology Platform (BTP) läuft. Diese Lösung ist tatsächlich eine vollwertige MES-Option für Unternehmen mit starker SAP-Kompetenz. Allerdings gibt es Konstellationen, in denen SAP Digital Manufacturing nicht die beste Wahl ist: bei sehr maschinenintensiven Produktionsumgebungen mit vielen OPC-UA-Anbindungen, bei komplexen Rüstmatrix-Anforderungen oder bei Betrieben, die bereits ein gut funktionierendes Fertigungssteuerungssystem haben und nur eine Shopfloor-Datenerfassung benötigen. Für einen neutralen Vergleich lesen Sie die Seite MES vs. ERP und den MES-Anbietervergleich DACH.
Welche Fragen sollte die IT-Leitung im MES-Piloten konkret klären?
Im Piloten sollten IT-seitig mindestens folgende Aspekte validiert werden: Verbindet sich das MES zuverlässig mit den vorhandenen SAP-IDocs ohne Mapping-Fehler? Laufen alle OPC-UA-Verbindungen stabil und werden Zertifikate korrekt verwaltet? Greift das Active-Directory-Benutzermanagement wie dokumentiert? Werden Audit-Logs vollständig geschrieben? Wie verhält sich das System bei simuliertem Netzwerkausfall zwischen MES und Maschine oder MES und SAP? Wie schnell werden Support-Anfragen im Piloten beantwortet und wie qualifiziert sind die Antworten? Diese Fragen klären nicht nur technische Eignung, sondern auch die Servicequalität des Anbieters unter realen Bedingungen.
Welche Sicherheitszertifizierungen sollte ein MES-Anbieter nachweisen?
Die wichtigsten Zertifizierungen, die ein MES-Anbieter vorweisen sollte, sind ISO/IEC 27001 (Informationssicherheits-Managementsystem), IEC 62443-2-4 (Sicherheitsanforderungen an Systemintegratoren und Lieferanten von OT-Komponenten) sowie für Cloud-Angebote SOC 2 Type II oder das BSI-C5-Testat (Cloud Computing Compliance Criteria Catalogue). ISO 27001 belegt, dass der Anbieter sein eigenes Informationssicherheitsmanagement systematisch betreibt. IEC 62443-2-4 geht weiter: Sie bescheinigt dem Anbieter, dass seine Liefer- und Entwicklungsprozesse den Anforderungen für sichere IACS-Lieferanten entsprechen. SOC 2 Type II und BSI C5 sind besonders für Cloud-MES-Instanzen relevant, weil sie die technischen und organisatorischen Schutzmaßnahmen der Cloud-Infrastruktur unabhängig prüfen. Fragen Sie MES-Anbieter im RFI konkret: Welche Zertifikate besitzen Sie, seit wann und durch welche akkreditierte Stelle?
In welchen Situationen sollte die IT-Leitung ein MES-Projekt aus Risikogründen verschieben?
Ein MES-Projekt sollte aus IT-Sicht verschoben werden, wenn mindestens eine der folgenden Bedingungen zutrifft: Die SAP-Landschaft befindet sich in einer laufenden S/4HANA-Migration, weil sich Schnittstellen und Datenmodelle dabei fundamental ändern. Das OT-Netzwerk ist noch nicht grundgesichert (kein dokumentiertes Zonenkonzept, keine VLANs), weil ein MES-Rollout auf unsichere OT-Basis die Angriffsfläche vergrößert statt sie zu kontrollieren. Es gibt keinen dedizierten IT-Projektverantwortlichen mit ausreichend Zeitbudget, weil MES-Projekte ohne konstanten IT-Ansprechpartner in der Integrationsphase regelmäßig scheitern (Sectorlens-Erfahrungswert seit 2022). Die Datenschutz-Grundlagen fehlen: kein AVV-Prozess für Softwareanbieter, keine Betriebsvereinbarung für überwachungsgeeignete Systeme abgeschlossen. In allen diesen Fällen ist es sinnvoller, die Voraussetzungen zunächst zu schaffen, als ein MES-Projekt mit vorhersehbaren Blockaden zu starten.
Was wir konkret für Sie tun

Sie verantworten die technische Seite der MES-Entscheidung.
Unsicher, welches System zu Ihrer SAP-Landschaft und Ihrem OT-Netz passt?

Die technischen Anforderungen an Integration, Sicherheit und Deployment unterscheiden sich je nach Fertigungsumfeld stark. Sectorlens hilft Ihnen, MES-Systeme gezielt auf technische Eignung zu prüfen und die richtige Architekturentscheidung zu treffen.

Kostenlos · 6 Minuten

Erste Vorauswahl technisch passender MES-Systeme

URL eingeben, KI analysiert die Fertigung anhand öffentlicher Daten und gleicht sie gegen 64 Kriterien mit dem Anbietermarkt ab. Kein Verkaufsgespräch, kein Anbieter-Bias: neutrales Matching auf Basis Ihrer Anforderungen.

  • Fragen zu SAP-Version, OT-Infrastruktur und Sicherheitsanforderungen
  • Shortlist mit Match-Score, gefiltert auf technische Eignung
  • Kein Formular, keine Registrierung, provisionsfrei
Einstieg vor dem ersten Anbieter-Gespräch
Begleitet · 4–12 Wochen

MES Selection Portal mit IT-seitigem Fokus

Strukturiertes Lastenheft mit technischen Anforderungen (SAP-Schnittstellen, OPC-UA-Umfang, Security-Level), Marktscreening und Anbietervergleich mit IT-seitigem Fokus.

  • Anforderungs-Workshop mit IT- und OT-Sicht
  • Lastenheft aus 150+ Anforderungen, moderierter Anbieter-Dialog
  • Begleitung der Pilotphase und technische Abnahmeunterstützung
Für IT-Leitungen, die das Lastenheft strukturiert aufbauen
Persönlich · Erstgespräch gratis

Sparringspartner für die technische MES-Absicherung

Direkte Einschätzung zu Ihrem konkreten Integrationskonzept (SAP, OPC UA, Cloud vs. On-Premise). 50+ Projekte seit 2022, herstellerneutral, keine Provision.

  • Bewertung Ihres Integrationsarchitektur-Entwurfs
  • Zugang zur Sectorlens-Projektdatenbank: reale Aufwände und Risiken
  • 30 Minuten Erstgespräch kostenlos und unverbindlich
Für IT-Leitungen in der Entscheidungsphase
MES finden in 6 Minuten Alle Leistungen ansehen Anbieterunabhängig · Provisionsfrei · DACH-Fokus

Technische MES-Eignung prüfen:
Jetzt passende Systeme identifizieren

Das Matching-Tool von Sectorlens führt Sie in sechs Minuten durch die technisch relevanten Anforderungen und zeigt Ihnen, welche MES-Systeme zu Ihrer IT-Landschaft passen. Starten Sie jetzt kostenlos.

Sonderpreis Brandenburger Innovationspreis 2025 für das Find-Your-Software Netzwerk
Sie geben nur Ihre Unternehmens-URL ein. Analysiert werden ausschließlich öffentlich zugängliche Informationen, daraus leitet die Engine über 80 Merkmale zu Fertigungsart, Maschinenpark und Systemlandschaft ab. Keine internen Systeme, keine Logins, keine Uploads.
Sonderpreis Brandenburger Innovationspreis 2025Keine RegistrierungProvisionsfrei
MES finden in 6 Minuten So funktioniert das Matching
MES-SAP-Integration OPC UA im MES Cloud-MES MES-Kosten MES-Lastenheft erstellen Betriebsrat und MES MES-Anbietervergleich DACH MES einführen MES auswählen
Unabhängige MES-Auswahl Brandenburger Innovationspreis·Über 500 Auswahlprojekte gestartet
Wir analysieren Ihre Website und zeigen passende Anbieter. Ohne Anmeldung. Bitte eine gültige URL eingeben, zum Beispiel ihre-firma.de Demo-URL ausprobieren