Zwei Ansätze zur Sicherung der industriellen Mobilfunkverbindung
Wenn sich eine Steuerung, ein Sensor oder ein IoT-Gateway über eine 4G-SIM-Karte verbindet, durchlaufen die Daten die Mobilfunkinfrastruktur des Netzbetreibers. In diesem Zusammenhang stellt sich die Frage nach der Sicherheit: Über welchen Weg werden diese Daten übertragen, und sind sie vor dem Abfangen geschützt?
Zwei Technologien bieten hierfür komplementäre Lösungen: das private APN und das industrielle VPN.
Das private APN verstehen
Der APN (Access Point Name) ist die Kennung des Datennetzes, auf das eine SIM-Karte für ihren IP-Verkehr verweist. Standardmäßig verwenden SIM-Karten für Privatkunden und sogar die meisten M2M-SIM-Karten einen öffentlichen APN: Ihre Daten verlassen das Mobilfunknetz des Betreibers und gelangen ins öffentliche Internet.
Ein privater APN ändert dieses Verhalten: Der Netzbetreiber richtet einen speziell für Ihre Organisation bestimmten APN ein, und der Datenverkehr aller zugehörigen SIM-Karten wird direkt in Ihr Unternehmensnetzwerk weitergeleitet (über MPLS oder Glasfaser des Netzbetreibers) – ohne jemals das Internet zu durchlaufen.
Vorteile des privaten APN:
- Vollständige Isolierung des Datenverkehrs auf Betreiberebene
- Feste private IP-Adresse für jede SIM-Karte (erleichtert die Einrichtung von Firewall-Regeln)
- Einhaltung von Sicherheitsrichtlinien, die den Zugang zum öffentlichen Internet verbieten
- Keine Abhängigkeit von der Qualität des öffentlichen Internets
Einschränkungen des privaten APN:
- Hohe Kosten (spezieller Vertrag mit einem Netzbetreiber, MPLS-Verbindung)
- Funktioniert nicht im internationalen Roaming
- Verschlüsselt die Daten nicht (Netzwerkisolierung ≠ Verschlüsselung)
- Weniger flexibel für kleine Fahrzeugflotten
Industrielle VPNs verstehen (OpenVPN / IPSec)
Ein industrielles VPN (Virtual Private Network) baut einen verschlüsselten Tunnel zwischen dem Feldrouter und einem VPN-Konzentrator (vor Ort oder in der Cloud) auf. Die Daten werden über das öffentliche Internet übertragen, sind jedoch in einem mit AES-256 verschlüsselten Tunnel gekapselt – und somit selbst bei einer Abfangung unlesbar.
Vorteile des industriellen VPN:
- End-to-End-Verschlüsselung (AES-256, TLS 1.3)
- Funktioniert überall: öffentliches Internet, internationales Roaming, Glasfaser
- Deutlich geringere Kosten als bei einem privaten Mobilfunkanschluss
- Kompatibel mit allen SIM-Karten (M2M, klassische Tarife)
- Starke Authentifizierung möglich (Zertifikate, MFA)
Einschränkungen des industriellen VPN:
- Geringe zusätzliche Bandbreitenbelastung (Tunnel-Header)
- Abhängig von der Qualität und Verfügbarkeit des öffentlichen Internets
- Erfordert einen VPN-Konzentrator (Schlüssel- und Zertifikatsverwaltung)
Vergleich: Privates APN vs. industrielles VPN
| Kriterium | Privates APN | OpenVPN/IPSec-VPN |
|---|---|---|
| Netzwerksicherheit | Isolierung vom Netzbetreiber (kein Internet) | Verschlüsselter Tunnel über das Internet |
| Datenverschlüsselung | Nein (nur Netzwerkisolierung) | Ja (AES-256, TLS 1.3) |
| Kosten | Hoch (Anbietervertrag + MPLS) | Gering (im Router integriert) |
| Bereitstellung | Komplex (Vertrag, Betreiberkonfiguration) | Einfach (Routerkonfiguration) |
| Internationale Portabilität | Geht beim Roaming verloren | Funktioniert überall |
| IT-Integration | Erfordert eine dedizierte Verbindung zum IT-System | Tunnel zu jedem beliebigen Server |
| Feste IP-Adressierung | Ja (nativ) | Möglich (mit Konzentrator) |
| ISO 27001-Konformität | Erleichtert | Erleichtert bei starker Verschlüsselung |
Der Eziwan-Ansatz: Privates APN + VPN für doppelte Sicherheit
Für sensible industrielle Anwendungen empfiehlt und unterstützt Eziwan einen kombinierten Ansatz:
Schicht 1 – Privates APN: Der Datenverkehr Ihrer M2M-SIM-Karten gelangt niemals ins öffentliche Internet. Er wird über einen dedizierten Betreiber-Tunnel direkt in Ihr Unternehmensnetzwerk geleitet.
Schicht 2 – OpenVPN/IPSec-VPN: Zusätzlich zur Netzwerkisolierung werden alle Daten in einem AES-256-Tunnel durchgehend verschlüsselt. Selbst wenn jemand Zugriff auf das Netz des Netzbetreibers erlangen würde, wären die Daten unlesbar.
Ebene 3 – Zero-Trust: Der Fernzugriff über die Eziwan-Plattform erfolgt nach den Zero-Trust-Prinzipien – MFA-Authentifizierung, detaillierte Zugriffskontrolle nach Gerät, lückenlose Protokollierung der Sitzungen.
Diese dreischichtige Architektur wird für kritische Anwendungen empfohlen: OT-Infrastrukturen in den Bereichen Energie, Wasser und Verkehr sowie alle Anlagen, die der NIS2-Richtlinie unterliegen.
Für Kunden, deren Budget die Anschaffung eines betreibereigenen APN nicht rechtfertigt, bietet das VPN allein (Schicht 2 + Schicht 3) für die überwiegende Mehrheit der industriellen Anwendungen ein sehr hohes Maß an Sicherheit.
Anwendungsfälle: Welche Lösung soll man wählen?
Nutzen Sie das private APN, wenn: Ihre RSSI-Richtlinie jeglichen Internet-Transit verbietet, Sie über mehr als 50 M2M-SIM-Karten verfügen, Sie kritische Infrastrukturen (Energie, Wasser, Verkehr) verwalten, die der NIS2-Richtlinie unterliegen, oder Sie bereits über eine MPLS-Infrastruktur eines Netzbetreibers verfügen.
Verwenden Sie das VPN allein, wenn: Sie eine Flotte von 5 bis 50 Standorten verwalten, Ihre Geräte international im Einsatz sind, Ihr Budget keinen privaten APN rechtfertigt oder Sie ein Projekt starten und eine schnell einsetzbare Lösung wünschen.
Verwenden Sie beide, wenn: Sie kritische OT-Infrastrukturen mit sensiblen Daten verwalten, den Anforderungen von NIS2 oder branchenspezifischen Vorschriften unterliegen oder Ihre Sicherheitsrichtlinie eine mehrschichtige Verteidigung vorschreibt.
Siehe auch: Herkömmliches VPN vs. industrieller Fernzugriff · Industrieller 4G-Router vs. 5G-Router · Industrieller Fernzugriff