So sichern Sie ein industrielles OT-Netzwerk im Jahr 2025: Segmentierung, VPN und NIS2-Konformität

· 9 Minuten Lesezeit
9 min read
Lucas Moreau
Lucas Moreau
OT/IT-Netzwerkingenieur

OT-Netzwerke (Operational Technology) galten lange Zeit als „durch Isolation gesichert“. Dieses Modell gehört der Vergangenheit an. Durch LTE-Konnektivität, Fernwartung und Cloud-Überwachung sind Ihre Steuerungen und SCADA-Systeme nun von außen zugänglich – ob gewollt oder ungewollt.

Die NIS2-Richtlinie (Inkrafttreten im Oktober 2024) schreibt Cybersicherheitsanforderungen für Betreiber kritischer Infrastrukturen und Anbieter wesentlicher Dienste vor. Wenn Sie kritische Infrastrukturen betreiben, sind Sie davon betroffen.

Die 5 häufigsten OT-Risiken​

1. Port 502 (Modbus TCP) ist im Internet erreichbar​

Ein Shodan-Scan reicht aus, um Zehntausende von Modbus-TCP-Geräten zu finden, auf die direkt über das Internet zugegriffen werden kann. Ohne Authentifizierung kann jeder Ihre Register einsehen – und manchmal auch darin schreiben.

2. Direkter RDP-/SSH-Zugriff auf Feldgeräte​

Das Öffnen eines RDP- oder SSH-Ports zu einer Benutzeroberfläche oder einer SPS, um die Fernwartung zu ermöglichen, setzt die Anlage Brute-Force-Angriffen aus. Ransomware, die auf industrielle Systeme abzielt, dringt häufig über diesen Einfallstor ein.

3. Nicht segmentiertes OT/IT-Netzwerk​

Ein Netzwerk, in dem SPSen, Überwachungs-PCs und Büro-PCs dasselbe VLAN nutzen, ermöglicht die seitliche Ausbreitung von Ransomware von einem Büro-PC auf die Produktions-SPSen.

4. Standardpasswörter​

SPSen, Router und Kameras, die mit den werkseitig voreingestellten Passwörtern („admin/admin“, „1234“) ausgeliefert werden und deren Passwörter selten geändert werden, stellen einen einfachen Angriffsvektor dar.

5. Fehlende Überwachung der Verbindungen​

Ohne Protokollierung der Fernzugriffe kann ein unbefugter Zugriff wochenlang unbemerkt bleiben.

Empfohlene Sicherheitsarchitektur​

OT/IT-Segmentierung – oberste Priorität​

Der OT-Bereich darf niemals direkt über das Internet oder aus dem IT-Bereich zugänglich sein. Nur die DMZ darf nach einer Authentifizierung Verbindungen zum OT-Bereich herstellen.

OpenVPN/IPSec-VPN: Sicherer Fernzugriff​

OpenVPN ist das für industrielle Umgebungen im Jahr 2025 empfohlene VPN-Protokoll. Seine Vorteile:

  • Kontrollierter Angriffsbereich: bewährter TLS-Stack und gegenseitige Authentifizierung mittels X.509-Zertifikat
  • Moderne Kryptografie: AES-256-GCM, ECDHE, SHA-256
  • Ausschließlich Authentifizierung über öffentlichen Schlüssel – nicht durch Brute-Force-Angriffe zu knacken
  • Ausfallsicherheit: Der Tunnel wird nach einer Netzwerkunterbrechung automatisch wiederhergestellt
Goldene Regel für industrielle VPNs

Das VPN muss im Split-Tunnel-Modus betrieben werden: Nur der Datenverkehr zu den OT-Netzwerken darf durch den Tunnel geleitet werden. Der Internetdatenverkehr des Technikers darf nicht über Ihre Infrastruktur laufen.

Eziwan-Konfiguration – keine eingehenden Ports​

Eziwan setzt ein Sicherheitsmodell um, das ausschließlich ausgehende Verbindungen zulässt: Der Feldrouter baut eine verschlüsselte Verbindung zu den Eziwan-Cloud-Servern auf. Im lokalen Netzwerk wird kein Port für eingehende Verbindungen geöffnet.

# Überprüfung über ein Feldgerät:
$ netstat -an | grep LISTEN
# → Erwartetes Ergebnis: keine Zeile mit 0.0.0.0:* oder :::*
# Der Router hört auf keinem Port für eingehenden Datenverkehr aus dem Internet

Diese Architektur verhindert Angriffe wie Port-Scans, die Ausnutzung offener Dienste und Netzwerkaufklärung.

NIS2-Konformitäts-Checkliste​

Die NIS2-Richtlinie schreibt insbesondere Folgendes vor:

  • Zugriffsverwaltung: Multi-Faktor-Authentifizierung bei allen Fernzugriffen
  • Protokollierung: Aufbewahrung der Zugriffsprotokolle für mindestens 12 Monate
  • Segmentierung: Isolierung der OT-Netzwerke von den IT-Netzwerken und dem Internet
  • Verschlüsselung: Verschlüsselung der Kommunikation während der Übertragung
  • Störungsmanagement: Meldung wesentlicher Störungen innerhalb von 24 Stunden
  • Drittanbieter-Management: Prüfung der Lieferkette (Lieferanten, Systemintegratoren)
  • Backup: Plan für Datensicherung und Notfallwiederherstellung

Was Eziwan abdeckt​

NIS2-AnforderungEziwan-Abdeckung
Verschlüsselung während der ÜbertragungOpenVPN AES-256-GCM ✓
ZugriffsprotokollierungVPN-Protokolle mit Zeitstempel, 12 Monate ✓
Starke AuthentifizierungÖffentliche Schlüssel + Zertifikate ✓
OT-IsolierungKeine eingehenden Ports, separates VLAN ✓
Souveräner Hosting-StandortOVHcloud Frankreich, ISO 27001 ✓
KonfigurationsprüfungVerlauf der Konfigurationsänderungen ✓

Sicherheitsaudit: 3 Sofortmaßnahmen​

1. Scannen Sie Ihre ausgestellten Geräte​

# Von Ihrem lokalen Netzwerk aus – offene Ports identifizieren
nmap -sV -p 502,4840,102,20000 192.168.1.0/24

# Gängige industrielle Ports, die überprüft werden sollten:
# 502  → Modbus TCP
# 4840 → OPC-UA
# 102  → S7 (Siemens)
# 44818 → EtherNet/IP

2. Standardpasswörter überprüfen​

Schlagen Sie in der Datenbank default-password.info die Modellnummern Ihrer Geräte nach. Ändern Sie die werkseitig voreingestellten Passwörter stets.

3. Verbindungsbenachrichtigungen aktivieren​

Konfigurieren Sie Eziwan so, dass Sie sofort benachrichtigt werden, wenn eine VPN-Verbindung außerhalb der üblichen Zeiten oder von einer unbekannten IP-Adresse aus hergestellt wird.

Industrielles VPN vs. Behelfslösungen​

Viele Websites „sichern“ ihren Fernzugriff mit Tools, die nie für die OT konzipiert wurden. Die folgende Tabelle vergleicht die Ansätze, die bei Audits am häufigsten anzutreffen sind:

AnsatzInternet-ExpositionRückverfolgbarkeitOT-SegmentierungFazit
RDP/VNC exponiert + PortweiterleitungÖffentlicher Port wird ständig gescanntKeineKeineSofort zu unterbinden
TeamViewer/AnyDesk auf Überwachungs-PCIndirekt (Pivot-PC)Teilweise, außerhalb der KontrolleKeineBei punktueller Fehlerbehebung toleriert, niemals dauerhaft
Eingehendes VPN über Router/Firewall des StandortsÖffentlicher VPN-PortJe nach KonfigurationSeltenBesser, aber Angriffsfläche bleibt bestehen
Ausgehendes industrielles VPN (Eziwan)Keine eingehenden PortsVollständiges Protokoll pro SitzungZugriff pro GerätEmpfohlene Architektur, NIS2-konform

Der grundlegende Unterschied liegt in der Richtung der Verbindung: Bei der Outbound-Architektur initiiert das Gateway des Standorts den verschlüsselten Tunnel zur Cloud. Aus Sicht des Internets existiert die Anlage nicht.

Beispiel für eine Eziwan-Architektur ohne eingehende Ports​

Steuerungen und OT-Geräte (segmentiertes Netzwerk) → Eziwan-Gateway → ausschließlich ausgehende 4G-/Ethernet-Verbindung → verschlüsselter VPN-Tunnel (X.509-Zertifikate) → Eziwan-Cloud → authentifizierte Techniker (MFA), gerätebasierter Zugriff, protokollierte Sitzungen.

Jeder Baustein erfüllt eine Audit-Anforderung: Die Segmentierung trennt die OT von der IT, der ausgehende Tunnel beseitigt die Angriffsfläche, die MFA eliminiert das Risiko gemeinsamer Passwörter und die Protokollierung liefert den von NIS2 geforderten Nachweis.

Die häufigsten Fehler, die bei Audits festgestellt werden​

  1. Der „vorübergehende“ Zugriff, der dauerhaft geworden ist: Eine für die Fehlerbehebung durch den Hersteller eingerichtete Portweiterleitung, die nie geschlossen wurde.
  2. Das gemeinsame Konto: Ein einziger Benutzername, der vom gesamten Team und den Dienstleistern genutzt wird – keine Nachvollziehbarkeit, kein Widerruf möglich.
  3. Der Überwachungs-PC mit doppelter Anbindung: Er ist sowohl mit dem OT-Netzwerk als auch mit dem Internet verbunden und umgeht damit die gesamte Netzwerksegmentierung.
  4. Unveränderte Hersteller-Passwörter: Steuerungen, Bedienoberflächen und Router werden mit „admin/admin“ ausgeliefert und sind in öffentlichen Datenbanken verzeichnet.
  5. Getestete Unmöglichkeit des Widerrufs: Zertifikate und Konten ehemaliger Dienstleister bleiben auch Jahre nach Vertragsende gültig.

FAQ – Sicherheit im OT-Netzwerk und im industriellen VPN​

Welche genaue Rolle spielt ein VPN in einem industriellen Netzwerk?

Es erfüllt drei Funktionen: die Verschlüsselung des Datenverkehrs zwischen der Anlage und der Außenwelt (Vertraulichkeit und Integrität der industriellen Protokolle, die von Haus aus unverschlüsselt übertragen werden), die Authentifizierung beider Seiten mittels Zertifikaten sowie die Übertragung der Fernwartungsdaten, ohne die Geräte im Internet zu exponieren. Das VPN bildet die Grundlage; die gerätebasierte Zugriffskontrolle und die Protokollierung vervollständigen das System.

Ist eine dedizierte Firewall zwingend erforderlich, um OT und IT voneinander zu trennen?

Eine dedizierte Firewall ist die empfohlene Lösung für eine robuste Segmentierung (Fortinet FortiGate Rugged, Cisco IR, Stormshield). Für kleine und mittlere Unternehmen ohne spezialisierte IT-Abteilung stellt jedoch bereits eine Segmentierung über VLANs auf einem verwaltbaren Switch (mit strengen Inter-VLAN-Regeln) einen erheblichen Fortschritt gegenüber einer fehlenden Segmentierung dar. Entscheidend ist, dass der Datenverkehr zwischen OT und IT gefiltert und nicht frei weitergeleitet wird.

Reicht ein Port-Audit über das Internet aus, um zu überprüfen, ob keine Ports offen sind?

Das ist der erste Schritt. Verwenden Sie nmap -sV --open <IP_publique> oder ein Online-Tool (Shodan, Censys) von außen. Ein offener Port 502 (Modbus), 102 (S7Comm), 44818 (EtherNet/IP) oder 3389 (RDP), der auf Ihrer öffentlichen IP-Adresse offen ist, ist ein sofortiger Alarm. Das Audit muss nach jeder Änderung der Netzwerkkonfiguration wiederholt werden.

Schreibt NIS2 ein bestimmtes VPN oder eine bestimmte Verschlüsselungsmethode vor?

NIS2 schreibt keine bestimmte Technologie vor, verlangt jedoch „geeignete Maßnahmen“, die dem Risiko angemessen sind. In der Praxis werden die funktionalen Anforderungen (starke Authentifizierung, Verschlüsselung während der Übertragung, Audit-Protokolle) von OpenVPN mit AES-256-GCM + X.509-Zertifikaten + MFA erfüllt. Veraltete Algorithmen (DES, RC4, MD5) müssen deaktiviert werden.

Was ist zu tun, wenn eine OT-Steuerung mit einem ERP-Server (IT) kommunizieren soll?

Aufbau eines unidirektionalen Datenflusses von OT zu IT über eine DMZ: Die OT-Daten werden an einen Zwischenserver in der DMZ weitergeleitet, mit dem sich das IT-ERP-System verbindet. Das OT-Netzwerk erhält niemals eine eingehende Verbindung aus dem IT-Bereich. Eine Daten-Diode (Data Diode) verstärkt diese Einrichtungsrichtung bei besonders kritischen Anlagen.

Muss die Produktion für die Umsetzung der OT/IT-Segmentierung unterbrochen werden?

Wenn das Netzwerk derzeit „flach“ ist (OT und IT auf demselben Switch), erfordert die Umstellung auf eine segmentierte Architektur ein Wartungsfenster. Dies lässt sich schrittweise vorbereiten: Festlegung der Zieltopologie, Konfiguration der VLANs auf einem Test-Switch, Planung der Umstellung während eines geplanten Ausfalls. Bei 24/7-Betrieb kann eine vorübergehende Verdopplung der Infrastruktur eine Migration ohne Betriebsunterbrechung ermöglichen.

Cybersicherheit im Bereich der Betriebstechnik ist kein Luxus mehr. NIS2 schreibt sie vor, und Ransomware-Angriffe auf die Industrie bestätigen dies. Eziwan wurde entwickelt, damit Sie diese Anforderungen erfüllen können, ohne dabei Abstriche bei der Verfügbarkeit machen zu müssen.

Haben Sie Fragen zur NIS2-Konformität? Sprechen Sie mit unserem Team darüber.

Weitere Ressourcen​