50 Prozent der ICS-Vorfälle durch Fernzugriff verursacht VPN und MFA reichen für OT-Fernzugriff nicht aus

VPN und Multi-Faktor-Authentifizierung (MFA) sind Standard für Fernzugriff in Industrieunternehmen. Doch 50 Prozent der ICS-Vorfälle entstehen über externe Verbindungen. VPN und MFA prüfen nur die Identität, nicht welche Aktionen erlaubt sind oder wie sie sich auf sicherheitskritische OT-Prozesse auswirken.

Bei vielen Industrieunternehmen folgt die Absicherung des Fernzugriffs in der Regel einem bekannten Schema: Einsatz eines Virtual Private Network (VPN), Multi-Faktor-Au­then­ti­fi­zie­rung (MFA) und die Annahme, dass das Risiko damit weitgehend abgedeckt ist. Diese Kontrollen sind unerlässlich und bilden das Rückgrat einer sicheren Konnektivität sowohl in IT- als auch in OT-Umgebungen. Betriebstechnologiesysteme umfassen jedoch sicherheitskritische Prozesse, einzigartige technische Arbeitsabläufe und spezialisierte Geräte, die eine tiefere Vali­die­rungs­ebene erfordern, als sie herkömmliche Fernzugriffstools bieten. VPN und MFA bestätigen, wer auf die Umgebung zugreift, aber sie geben keinen Aufschluss darüber, welche Aktionen ein Benutzer ausführen darf, mit welchen Geräten er interagiert oder wie sich seine Aktivitäten auf den physischen Betrieb auswirken könnten. Da industrielle Netzwerke zunehmend miteinander verbunden sind und auf Fernzugriffsfunktionen angewiesen sind, reicht die Identitätsprüfung allein nicht mehr aus.

Jenseits der Firewall

Sicherer Remote Access für moderne OT-Umgebungen

Der SANS 2025 State of ICS Security Survey macht diese Lücke besonders deutlich. Wie Abbildung 1 zeigt, haben 22 Prozent der Unternehmen in den letzten 12 Monaten einen ICS/OT-Cybersicherheitsvorfall erlebt, wobei die Hälfte dieser Vorfälle auf externe Verbindungen oder Fernzugriffspfade zurückzuführen ist. Weitere 38 Prozent betrafen Ransomware, die häufig über Fernzugriffsmechanismen, die IT- und OT-Umgebungen verbinden, Fuß fasst. Keine dieser Erkenntnisse deutet darauf hin, dass Identitätskontrollen unwirksam sind. Vielmehr unterstreichen sie die Bedeutung der Hinzufügung ICS-spezifischer Ebenen, die über das Identitätsmanagement hinausgehen. Selbst wenn die Identität eines Benutzers ordnungs­gemäß überprüft wurde, müssen OT-Betriebe zusätzliche Fragen beantworten, z. B. zu welchen Systemen dieser Benutzer Zugang erhalten soll, welche Aktivitäten angemessen sind und ob seine Handlungen für den Prozess sicher sind. Wer genehmigt und überwacht ihre Arbeit? Dies sind kontextbezogene Entscheidungen, die VPNs und MFA allein nicht treffen können, die jedoch in Umgebungen, in denen Systemänderungen Auswirkungen auf physische Geräte und die Sicherheit von Menschen haben können, von entscheidender Bedeutung sind.

Proaktive Resilienz in dynamischen Bedrohungsszenarien

Patch-Management in kritischen Produktionsumgebungen

Schnelle Erkennung, langsame Behebung: Die OT-spezifische Herausforderung

Die Umfrage zeigt auch einen interessanten Kontrast auf: Unternehmen verbessern zwar ihre Fähigkeit, Vorfälle zu erkennen, haben jedoch nach wie vor Schwierigkeiten mit der Geschwindigkeit und Komplexität der Behebung. Fast die Hälfte der Befragten erkennt ICS/OT-Vorfälle innerhalb von 24 Stunden, und mehr als 65 Prozent ergreifen innerhalb des folgenden Tages Maßnahmen zur Eindämmung. Diese Verbesserungen spiegeln eine stärkere Überwachung, eine bessere Abstimmung zwischen SOC und eine verstärkte Zusammenarbeit zwischen IT- und OT-Teams wider. Die Beseitigung und vollständige Wiederherstellung dauert jedoch viel länger. Die Umfrage zeigt, dass 22 Prozent der Unternehmen zwei bis sieben Tage benötigen, um einen Vorfall vollständig zu beheben, acht Prozent benötigen ein bis drei Monate und drei Prozent benötigen über ein Jahr, um zu einem normalen, validierten Betriebszustand zurückzukehren. Diese langen Zeiträume für die Behebung sind kein Versagen der Identitätskontrollen für den Fernzugriff, sondern verdeutlichen die Komplexität und den Zeitaufwand, die für die sichere Wiederherstellung industrieller Systeme erforderlich sind. Im Gegensatz zu IT-Assets können ICS-Geräte nicht einfach neu installiert oder ersetzt werden, ohne dass Wieder­her­stel­lungs­maß­nahmen durchgeführt werden. Wie Abbildung 2 zeigt und im OT Disaster Recovery Quick Start Guide beschrieben ist, müssen möglicherweise Alarmgrenzen, Basis-Controller-Modi, erweiterte Steuerungsmodi, Prozessabläufe und sogar die Controller-Logik überprüft und angepasst werden, um sie an die aktuellen Prozessbedingungen anzupassen. Die detaillierten Überlegungen zur Behebung unterstreichen, warum Unternehmen nicht nur Einblick darin benötigen, wer Remote-Aktionen durchgeführt hat, sondern auch, welche Aktionen das waren.

Cyber-Resilienz für industrielle Steuerungssysteme

Wie Industrieanlagen nach einem Cyberangriff sicher wieder starten

Die Einführung der Cloud fügt dieser Herausforderung eine weitere Dimension hinzu. Nur 17 Prozent der Unternehmen geben an, dass sie in ihrem gesamten IT/OT-Bereich keine Cloud nutzen, was bedeutet, dass 83 Prozent in gewissem Umfang auf Cloud-Konnektivität angewiesen sind. Ob über OEM-Support-Portale, voraus­schauende Wartungssysteme, Analyse­platt­formen oder Unternehmens­historien – Cloud-Konnektivität wird zunehmend in industrielle Abläufe integriert. Dennoch haben nur 13 Prozent der Unternehmen Cloud-Aktivitäten vollständig in ihre Überwachungs- und Erkennungsworkflows integriert. Diese Diskrepanz spiegelt keine Schwäche von VPN oder MFA wider, sondern vielmehr die Tatsache, dass moderne industrielle Architekturen mehrere Fernzugriffspfade beinhalten, die möglicherweise nicht durch diese Kontrollen laufen. Cloud-Dienste stützen sich häufig auf ihre eigenen Authentifizierungs-, Geräteinteraktionsmodelle und Supportkanäle. Infolgedessen kann ein Unternehmen eine starke MFA für sein primäres VPN durchsetzen und gleichzeitig über zusätzliche Anbieterportale, eingebettete Agenten oder Automatisierungstools verfügen, die möglicherweise unbekannte Fernzugriffspfade bieten. Diese zunehmende Komplexität unterstreicht die Notwendigkeit für Unternehmen, ein umfassendes Inventar aller Fernzugriffspfade von Benutzer zu System und von System zu System zu führen, nicht nur ihrer primären Fernzugriffsverbindungen.

Sicherheit in vernetzten Produktionsanlagen

So verhintert OT-Security Ransomware-Angriffe und Betriebsunterbrechungen

Cloud-Konnektivität und fehlende Fernzugriffs-Inventare als Risiko

Leider führen 31 Prozent der befragten Unternehmen kein formelles Inventar ihrer Fern­zu­griffs­punkte. Dies ist einer der wichtigsten Risikofaktoren in modernen Industrieumgebungen. Ohne ein umfassendes Inventar können Sicherheitsteams keine einheitlichen Richtlinien durchsetzen oder gar sicherstellen, dass alle Zugangswege überwacht werden. Und der Fernzugriff in OT ist weitaus umfangreicher, als viele zunächst annehmen. Er umfasst Portale von Anbietern und OEMs, cloudbasierte Wartungs-Dashboards, Ferndiagnosetools, tragbare Engineering-Laptops, temporäre Auftragnehmer Sessions, Mobilfunkmodems für den Außendienst und vieles mehr. Viele dieser Zugangswege wurden aus triftigen betrieblichen Gründen eingerichtet, unterliegen jedoch keiner zentralen Kontrolle. Die Umfrage zeigt deutlich, dass Unternehmen mit vollständigen Fernzugriffsinventaren besser vorbereitet sind, eine verbesserte Erkennung haben und eine besser abgestimmte IT/OT-Koordination aufweisen. Transparenz ist für die Sicherheit von grundlegender Bedeutung, insbesondere in der OT, wo Fernaktionen direkte Auswirkungen auf die physische Welt haben.

Die Umfrage von 2025 macht zunehmend deutlich, dass die eigentliche Lücke im OT-Fernzugriff nicht die Identitätsvalidierung ist, sondern das Fehlen von ICS-spezifischen Kontrollen, die den für einen sicheren Betrieb erforderlichen technischen Kontext bieten. Abbildung 3 zeigt die kritisch niedrigen Akzeptanzraten mehrerer wesentlicher Mechanismen: Nur 13 Prozent implementieren vollständig die Aufzeichnung und Wiedergabe von Sitzungen, elf Prozent setzen ICS-spezifische Geräte- oder Protokollkenntnisse durch, acht Prozent verlangen Echtzeit-Sitzungsgenehmigungen und 23 Prozent implementieren obligatorisches Jump-Host-basiertes Session Brokering. Diese Zahlen deuten darauf hin, dass die meisten Unternehmen über robuste Identitätskontrollen verfügen, aber oft keine tieferen Ebenen haben, die regeln, was während Remote-Sitzungen geschieht.

Zscaler ThreatLabZ-Report

Zero Trust begrenzt die Angriffsfläche von Mobil, IoT und OT

ICS-spezifische Kontrollen: Niedrige Akzeptanz trotz hoher Relevanz

Die Aufzeichnung und Wiedergabe von Sitzungen ermöglicht beispielsweise die Rekonstruktion von Auto­mati­sierungs­kon­fi­gu­ra­ti­onen und Programmieraktivitäten, die Analyse von Vorfällen, die Einhaltung gesetzlicher Vorschriften und die Beilegung von Streitigkeiten mit Anbietern. Dieses Maß an Transparenz ist bei industriellen Prozessen unerlässlich, da eine einzige Konfigurationsänderung Auswirkungen auf die Sicherheit haben kann. Echtzeit-Zugriffsgenehmigungen stellen sicher, dass Remote-Aktionen mit dem Personal vor Ort, Wartungsfenstern und betrieblichen Anforderungen abgestimmt sind. Dadurch werden unerwartete oder unsichere Aktivitäten verhindert, selbst wenn die Identität der Person überprüft wurde. Geräte- und konfigurationsbewusste Kontrollen fügen eine weitere Ebene hinzu, indem sie sicherstellen, dass nur autorisierte und ordnungsgemäß gewartete Engineering-Workstations mit kritischen Assets interagieren. In ähnlicher Weise ermöglicht die ICS-spezifische Protokollvermittlung Unternehmen, einzuschränken, welche Anwendungen oder industriellen Protokolle während der Sitzung zulässig sind. Schließlich bietet die Sitzungsvermittlung durch erzwungene Jump-Hosts, die auf die OT-DMZ-Struktur des Purdue-Modells abgestimmt sind, Unternehmen einen überwachten, kontrollierten Engpass für den gesamten Fernzugriff. Trotz ihrer Bedeutung implementieren nur 23 Prozent der Unternehmen diese Architektur.

privacyIDEA Workshop – Teil 2

VPN an privacyIDEA anbinden

Fazit

Die Erkennung von Missbrauch des Fernzugriffs bleibt ebenfalls eine wesentliche Fähigkeit. Nur 13 Prozent der Unternehmen geben an, dass sie über die gesamte ICS Cyber Kill Chain hinweg vollständige Transparenz haben, wobei die größten Lücken bei der Erkennung in entfernten oder unbemannten Einrichtungen auftreten. Diese Standorte sind aufgrund ihrer geo­gra­fischen Verteilung stark auf Fernzugriff angewiesen, verfügen jedoch oft nicht über eine ausreichende Überwachung. Häufige Anzeichen für Missbrauch sind unerwartete Sitzungen außerhalb der Arbeitszeiten, ungewöhnliche Zugriffe aus der Cloud, plötzliche Konfigurations­änderungen an HMIs oder SPSen, nicht autorisierte Firmware-Aktivitäten, direkter Zugriff auf Level-1-Geräte, Anomalien im Historian oder unregelmäßige Authentifizierungsversuche auf Engineering-Workstations. Diese Signale erfordern Tools, die das Verhalten von ICS verstehen und zwischen normalen Engineering-Aktivitäten und potenziellen Bedrohungen unterscheiden können. Identitätskontrollen allein können diese Einblicke nicht liefern.

Über den Autor: Mike Hoffman ist Certified Instructor beim SANS Institute.

Mit OpenVPN-Client

VPN-Server mit dem Synology-NAS aufbauen

(ID:50806315)