Warum ist der Fernzugriff auf SPSen mittlerweile unverzichtbar geworden?
Um 23 Uhr fällt eine industrielle Steuerung aus. Ohne Fernzugriff erfordert die Wartung einen Einsatz vor Ort – oft über Hunderte von Kilometern hinweg, was Kosten in Höhe von mehreren Tausend Euro für nur wenige Stunden Arbeit verursacht. Mit einem sicheren Fernzugriff verbindet sich der Techniker innerhalb von 2 Minuten von zu Hause aus, führt eine Diagnose durch und nimmt die Maschine wieder in Betrieb.
Über die korrektive Wartung hinaus dient der Fernzugriff folgenden Zwecken:
- Programmeinstellungen ändern, ohne vor Ort sein zu müssen.
- Software-Updates herunterladen (SPS-Firmware, Produktionsrezepte).
- In Echtzeit überwachen, ohne vor Ort zu sein.
- Bediener schulen – aus der Ferne per Bildschirmfreigabe.
- Sitzungen von externen Dienstleistern überprüfen.
Sichere Architektur für den Fernzugriff auf SPSen
Das Grundprinzip: Das Gateway initiiert die Verbindung zur Cloud – niemals umgekehrt. Das Ergebnis: Im OT-Netzwerk ist kein eingehender Port geöffnet. Ein Angreifer kann den Industriestandort nicht vom Internet aus scannen.
Vergleich der Zugriffsmethoden
| Methode | OT-Sicherheit | Industrielle Protokolle | Rückverfolgbarkeit | Komplexität |
|---|---|---|---|---|
| Site-to-Cloud-VPN (empfohlen) | ★★★★★ | Ja | Ja | Mittel |
| Direkter Zugriff über Port-Forwarding | ★ | Ja | Nein | Gering |
| AnyDesk / TeamViewer | ★★★ | Nein (nur PC) | Teilweise | Gering |
| Zero Trust ZTNA | ★★★★★ | Ja | Ja | Hoch |
| Site-to-Site-VPN-Zugang | ★★★★ | Ja | Teilweise | Hoch |
Die Öffnung eines direkten Ports ist unbedingt zu vermeiden: Sie macht das OT-Netzwerk im Internet angreifbar und wird regelmäßig von automatischen Scans ins Visier genommen (siehe die Shodan-Vorfälle bei exponierten industriellen Steuerungssystemen).
Bewährte Verfahren für die OT-Sicherheit beim Fernzugriff
1. Öffnen Sie niemals einen eingehenden Port Die gesamte Verbindung muss vom Standort zur Cloud verlaufen (ausgehender Tunnel). Dies ist das Gegenteil von klassischem RDP oder VNC.
2. Multi-Faktor-Authentifizierung (MFA) Jede Sitzung muss durch einen zweiten Faktor bestätigt werden. Benutzername und Passwort allein reichen nicht aus.
3. Prinzip der geringsten Berechtigungen Ein Wartungstechniker benötigt keinen Zugriff auf alle Steuerungen. Beschränken Sie jedes Konto auf die Geräte, die für die jeweilige Aufgabe erforderlich sind.
4. Umfassende Protokollierung Jede Verbindung und jeder an die SPS gesendete Befehl muss mit Zeitstempel, Identität und IP-Adresse protokolliert werden. Dies ist für die Einhaltung der NIS2-Vorschriften zwingend erforderlich.
5. Vorübergehende, widerrufbare Zugriffsrechte Erstellen Sie für Dienstleister zeitlich begrenzte Zugriffsrechte, die automatisch ablaufen. Gewähren Sie Dritten niemals dauerhafte Zugriffsrechte.
6. IT/OT-Segmentierung Das OT-Netzwerk (Steuerungen, Sensoren) muss vom IT-Netzwerk (Büro-IT, WLAN) getrennt sein. Das Gateway bildet diese Grenze und kontrolliert, was von einem Netzwerk zum anderen gelangt.
Kompatibilität mit SPS-Software
Ein Fernzugriff über VPN der Stufe 3 ist für Programmiertools transparent. Sie nutzen Ihre gewohnte Software direkt von Ihrem Arbeitsplatz aus:
- Siemens — TIA Portal, S7-PLCSIM Advanced, WinCC
- Schneider Electric — EcoStruxure Machine Expert (SoMachine), Unity Pro
- Rockwell Automation — Studio 5000, FactoryTalk
- Beckhoff — TwinCAT 3
- Phoenix Contact, Wago, Pilz… Die Kompatibilität ist umfassend, da der VPN-Tunnel auf Netzwerkebene transparent ist.
Der Eziwan-Ansatz
Das Eziwan Gateway unterstützt von Haus aus ausgehendes VPN (OpenVPN oder IPSec), Sitzungsprotokollierung und „Zero Open Ports“. Über die Eziwan Cloud verwalten Sie die Zugriffsrechte jedes Technikers, erstellen temporäre Zugänge für Dienstleister und können ein vollständiges Audit-Protokoll aller Sitzungen einsehen.
Weitere Informationen: Sicheres industrielles VPN, Fernzugriff ohne Portöffnung und Zero Trust im industriellen Bereich.