Die Gefahr der Portöffnung in OT-Netzwerken
Das Öffnen von Eingangsports in einem industriellen Netzwerk ist die Vorgehensweise, die die meisten OT-Cybersicherheitsvorfälle verursacht:
- Port 502 (Modbus) – auf Tausenden von Industriegeräten ohne Authentifizierung offen.
- Port 3389 (RDP) – Ziel von Brute-Force-Angriffen und Ransomware.
- Port 5900 (VNC) – oft ohne Passwort oder mit schwachen Passwörtern.
- Port 4840 (OPC UA) – manchmal ohne aktivierte Sicherheitsrichtlinien offen.
Der automatische Internet-Scan (über Shodan, Censys, ZoomEye) indexiert all diese Dienste kontinuierlich. Ein exponiertes Gerät wird innerhalb weniger Stunden identifiziert und ins Visier genommen. Der Zugriff ohne Portöffnung beseitigt diese Angriffsfläche vollständig.
„Outbound-only“-Architektur: So funktioniert sie
Die Firewall der Website lässt ausschließlich ausgehenden Datenverkehr zur IP-Adresse des Eziwan-Cloud-Servers zu. Alle eingehenden Verbindungen werden blockiert. Der Techniker verbindet sich niemals direkt mit der Website – er nutzt stets den Cloud-Server, der die Verbindung über den bereits eingerichteten Tunnel weiterleitet.
Vergleich der Fernzugriffsmethoden
| Methode | Offener Port auf der Website? | Sicherheit | Netzwerkkomplexität |
|---|---|---|---|
| Ausgehendes VPN (Outbound) | Nein | ★★★★★ | Gering |
| Portweiterleitung für RDP/VNC | Ja (3389/5900) | ★ | Gering |
| Portweiterleitung für Modbus | Ja (502) | ✗ (keine Sicherheit) | Gering |
| Site-to-Site-VPN (IPSEC) | Nein | ★★★★ | Hoch |
| ZTNA (Zero Trust NA) | Nein | ★★★★★ | Mittel |
| TeamViewer / AnyDesk | Nein | ★★★ | Gering (aber nicht OT-nativ) |
Konfiguration der standortseitigen Firewall
Für einen Router/Gateway mit ausgehendem VPN ist die einzige erforderliche Firewall-Regel auf der Standortseite:
ZULASSEN: Ausgehender TCP/UDP-Verkehr von [Gateway-IP] zu [VPN-Server-IP] auf Port 443 (oder 1194)
BLOQUER : Tout autre trafic entrant
Diese Mindestanforderung steht im Einklang mit den strengsten Sicherheitsrichtlinien der IT-Abteilungen in der Industrie.
Der Eziwan-Ansatz
Das Eziwan Gateway basiert auf dem „Outbound-Only“-Prinzip: Sobald es eingeschaltet wird, baut es eine ausgehende Verbindung zur Eziwan Cloud auf und hält diesen Tunnel ständig aktiv. Es sind keine Port-Forwarding-Regeln erforderlich – es reicht aus, den ausgehenden HTTPS-Datenverkehr zuzulassen, was in allen Netzwerkumgebungen standardmäßig der Fall ist.
Weitere Informationen: Sicheres industrielles VPN, Industrielles Zero-Trust-Modell und Fernzugriff auf industrielle Steuerungen.