Jenseits der Firewall Sicherer Remote Access für moderne OT-Umgebungen

Remote-Zugriffe sind für industrielle Steuerungs- und Produktionsnetze längst betriebliche Normalität – vom OEM-Support über Software-Updates bis zur globalen Leitstands­überwachung. Derselbe digitale Korridor öffnet aber auch Angreifern die Tür zum Herzen der Anlage

Ein kompromittiertes Wartungs-Notebook genügt, um Parameter zu verändern, Chargen zu ruinieren oder den gesamten Betrieb lahmzulegen. Klassische „VPN-Tunnel hinter einer Perimeter-Firewall“ galten einst als sicher, ignorieren jedoch die heutigen Realitäten: ziel­gerichtete Ransomware-Kampagnen, Supply-Chain-Manipulation und eine Prozesswelt, die 24×7 verfügbar sein muss.

Bedrohungsbild 2025

OT-Systeme stehen gezielt im Visier professioneller Gruppen, die Remote-Kanäle systematisch ausnutzen. Phishing beschafft Zugangsdaten, Schwachstellen-Scanner finden ungepatchte VPN-Gateways, und manipulierte Update-Pakete schleusen Schadcode in Engineering-Tools – ein typischer Supply-Chain-Angriff. Einmal im Netz, hebeln Angreifer veraltete SMB-Freigaben oder hart codierte Kennwörter in HMI-Applikationen aus, bewegen sich von Ebene 3 bis zu SPS und Safety-Controllern und kompromittieren schließlich Sicherheitsfunktionen. Bekannte Vorfälle wie Colonial Pipeline (2021) oder die Sabotage eines deutschen Stahlwerks (2015) zeigen, dass ein einziger Fernwartungszugang als „Patient Zero“ reicht, um Produktionsketten global zu stoppen. 2024 legte eine Lock Bit-Variante drei Papierfabriken in Skandinavien lahm, weil Dienstleister-Credentials aus einer Phishing-Kampagne wiederverwendet wurden. Wie kann man das stoppen?

CISA-Empfehlungen zur OT-Absicherung

Fünf Angriffsmethoden auf OT- und ICS-Systeme

Architekturgrundlage: Zero Trust für OT

Zero Trust kehrt das alte Netzwerkvertrauen radikal um: Das Böse kommt nicht mehr nur von außerhalb – sondern jede Identität – Mensch, Gerät, Dienst – muss sich für jede Aktion neu, kontext- und risikobasiert authentisieren.

• Verifizierung statt Vertrauen: Multi-Faktor-Authentifizierung (MFA), Gerätestatus-Checks via EDR-Agenten und kryptografisch signierte Software-Pakete.

• Mikrosegmentierung: Identity-Aware Proxys oder SDP-Gateways bilden isolierte Zonen; seitliche Bewegungen werden stark eingeschränkt.

• Just-in-Time-Privilegien: Session-basierte Freigaben mit automatischer Entziehung sämtlicher Rechte nach Auftragsende. Wo alte Feldbus-Protokolle keine starke Verschlüsselung unterstützen, kompensieren Protokoll-Gateways mit Packet-Whitelisting oder Datendioden für reine Einweg-Flüsse.

Ausfallsicherheit ist Prio eins

Warum Unternehmen dedizierte OT-Sicherheitslösungen brauchen

Purdue-Modell plus IDMZ

Das Purdue-Referenzmodell bleibt relevant, solange industrielle Steuerungen in klaren Ebenen organisiert sind. Remote-Access-Gateways gehören in die Industrial DMZ (Ebene 3.5). Dort terminieren VPN-Konzentratoren oder SDP-Knoten die Erstverbindung; ein gehärteter Bastion-Host prüft MFA-Token, zeichnet Sitzungen auf und leitet nur genehmigte Protokolle weiter. Eine konsequente „Deny-by-Default“-Regel lässt ausschließlich freigegebene Quell-IP, Port und Protokoll passieren. Selbst wenn Angreifer Zugangsdaten erbeuten, erreichen sie maximal die IDMZ, nicht jedoch SPS-Netze oder Safety-Controller.

Mehrstufige Landing-Zone

Ein erprobtes Drei-Tier-Design schützt kritische Assets zusätzlich:

Jede Stufe trennt externe Geräte von Echtzeit-Steuerungen durch mindestens eine Firewall plus IDS. Gleichzeitig können Dienstleister klar begrenzte Wartungsfenster erhalten, ohne dass interner Support ausgesperrt wird.

IT/OT-Konvergenz

Ist das Purdue-Modell noch zeitgemäß?

Privilege Access Management & sichere Protokolle

PAM-Plattformen lagern Passwörter in einem Vault, rotieren sie automatisch, erzwingen Vier-Augen-Freigaben und blockieren Copy-Paste in RDP-Sessions. Zulässig sind nur verschlüsselte Protokolle (SSH v2, TLS 1.3, SFTP); Telnet, VNC oder SMB v1 bleiben gesperrt. Für Legacy-SPS-Tools, die Klartext sprechen, wird ein temporärer, streng segmentierter „Bubble-Tunnel“ eingerichtet, der genau während des Wartungsfensters geöffnet und danach automatisch wieder geschlossen wird.

Betrieb, Monitoring und Resilienz

Technik allein schützt nicht. Ein durchgängiges OT-Security-Monitoring korreliert Netzwerkflüsse, Prozessdaten und Benutzeraktivitäten nahezu in Echtzeit. Detektierte Anomalien stoßen Runbooks an: Sitzungsbeendigung, Segment-Isolation und forensische Snapshot-Erstellung. Vierteljährliche Purple-Team-Exercice testen Meldeketten und Wiederanlauf¬verfahren (Optimierung von Detektion-Rules, Playbooks (was und warum), Security-Architektur). Regelmäßige Audits von Firewall-Regeln, Bastion-Images und Asset-Inventar verhindern Konfigurationsdrift und sichern Compliance (NIS2, IEC 62443, CRA).

Zur Erinnerung: Ein Runbook ist eine präzise, betriebsnahe Anleitung, die Schritt für Schritt beschreibt, wie eine definierte technische Aufgabe oder ein Incident abzuarbeiten ist – inklusive aller Entscheidungen, Eingaben und Kontrollpunkte.

OT stellt wachsende Anforderungen an die Cyber-Security

IT-Sicherheit bei der Vernetzung von Produktionsanlagen

Zero-Trust Implementierung in Brownfield-Anlagen

Viele Betreiber scheuen den „Big-Bang“. Ein modularer Rollout reduziert Risiko:

• 1. Phase 1: MFA, PAM, zentraler Identity-Provider; strukturierte On-/Off-boarding-Prozesse.

• 2. Phase 2: Landing-Zone etablieren, Altsystem-Proxys bereitstellen, Netzwerk-Flows auf „Need to Operate“ einschränken.

• 3. Phase 3: Mikrosegmentierung verfeinern, Zero-Trust-Policies automatisieren, Compliance-Dashboards integrieren.

Begleitend entsteht eine Skill-Matrix für OT-Security-Rollen, flankiert von Lieferanten-Trainings. So sinkt die Abhängigkeit von Externen, während internes Know-how wächst.

Fazit

Sichere OT-Fernzugriffe basieren auf Architektur, Prozessen und Menschen. Zero-Trust-Prinzipien, mehrstufige Landing-Zonen sowie konsequentes Monitoring verwandeln den früheren „VPN-Wildwuchs“ in einen streng kontrollierten Servicekanal. Unternehmen, die jetzt investieren, erfüllen nicht nur NIS2-, CRA- und IEC 62443-Vorgaben, sondern bauen echte Resilienz gegen Erpressungstrojaner, APTs und Supply-Chain-Risiken auf – und sichern damit Produktion, Umwelt sowie letztlich den Geschäftserfolg.

OT / IT Konvergenz

Konvergenz vs. Sicherheit bei der Industrie 4.0

(ID:50438266)