OpenVPN für die Industrie: Das VPN, das den Fernzugriff auf OT vereinfacht

· 10 Minuten Lesezeit
10 min read
Eziwan-Team
Eziwan-Team
IoT-Infrastruktur

Industrietechniker verbringen im Durchschnitt 2,3 Stunden auf dem Weg zu jedem Einsatz an einer entfernt gelegenen Anlage. Ein zuverlässiges VPN verändert diese Situation grundlegend. Doch nicht alle VPNs sind gleich – und OpenVPN bleibt der robuste und universelle Maßstab für OT-Umgebungen.

Die Kriterien für ein industrielles VPN​

Ob in einer Fabrik oder an einem abgelegenen Standort – ein VPN muss Anforderungen erfüllen, die in der Büroumgebung nicht auftreten:

  • Durchquerung von Firewalls und NATs der Netzbetreiber: Bei einer 4G-Verbindung handelt es sich um eine private Adresse, die sich hinter dem NAT des Netzbetreibers befindet. Das VPN muss in der Lage sein, die Verbindung ausschließlich in ausgehender Richtung herzustellen, ohne eingehende Ports.
  • Wiederverbindung nach Netzwerkunterbrechung: Die SCADA-Überwachung läuft kontinuierlich; der Tunnel muss sich nach einem SIM-Wechsel schnell wiederherstellen.
  • Geprüfte und widerrufbare Sicherheit: Starke Verschlüsselung, gegenseitige Authentifizierung, individueller Widerruf von Zugriffsrechten zur Einhaltung der Normen NIS2 / IEC 62443.
  • Einfache Bereitstellung: Keine manuelle Netzwerkkonfiguration an jedem Standort erforderlich.

OpenVPN: der bewährte Standard​

OpenVPN ist ein Open-Source-Protokoll, das sich seit über 20 Jahren bewährt hat und sich zu einem De-facto-Standard für den sicheren Fernzugriff entwickelt hat. Es basiert auf dem TLS/SSL-Stack und erfüllt alle branchenüblichen Anforderungen.

Die Kryptografie von OpenVPN​

  • Verschlüsselung: AES-256-GCM (AEAD – authentifizierte Verschlüsselung)
  • Authentifizierung: X.509-Zertifikate, gegenseitiges TLS (jede Seite weist ihre Identität nach)
  • Integrität: SHA-256
  • Transport: UDP 1194 oder TCP 443 (konfigurierbar)

Der entscheidende Vorteil: die Überwindung von Firewalls​

Genau hier macht OpenVPN in der Praxis den Unterschied: Es kann den Tunnel in TLS auf TCP-Port 443 kapseln – denselben Port wie HTTPS. Dadurch kommt es dort durch, wo andere Protokolle blockiert werden: Provider-Firewalls, Unternehmens-Proxys, Paketanalyse (DPI). Auf der Website-Seite sind weder eine öffentliche IP-Adresse noch ein eingehender Port erforderlich: Das Gateway initiiert die Verbindung ausgehend.

Leistung auf Industriehardware​

Hier ist ein Benchmark-Ergebnis, das auf dem Eziwan Gateway (ARM Cortex-A7-Prozessor, 1 GHz) gemessen wurde:

ProtokollVerschlüsselte DatenrateWiederverbindungFirewall-Durchgang
OpenVPN (AES-256-GCM)~45 Mbit/sSchnell (persist-tun)Hervorragend — TCP 443
IPSec IKEv2 (AES-256)~90 Mbit/sNahezu transparent (MOBIKE)Durchschnittlich (NAT-T)
L2TP / PPTPVariabelLangsamVariabel

In der Praxis reicht eine Übertragungsrate von einigen Mbit/s für die Modbus-Datenerfassung, die MQTT-Telemetrie und den Fernzugriff auf eine SPS völlig aus. Das entscheidende Kriterium ist nicht die Bruttobandbreite, sondern die Zuverlässigkeit des Tunnelaufbaus – und genau darin liegt die Stärke von OpenVPN.

Bereitstellung in einer industriellen Hub-and-Spoke-Topologie​

Bei einer Flotte von Industriestandorten ist die Hub-and-Spoke-Topologie am weitesten verbreitet:

Jeder Standort verfügt über ein eigenes Eziwan-Gateway mit einem eindeutigen X.509-Zertifikat. Der Hub (der bei Eziwan oder in Ihrer Infrastruktur gehostet wird) verwaltet die Verbindungen aller Standorte.

Konfiguration am Eziwan-Gateway​

Über die Eziwan-Cloud-Oberfläche beschränkt sich die Konfiguration auf Folgendes:

  1. Benennen Sie den Tunnel (vpn-paris-usine-01)
  2. Wählen Sie den Konzentrator aus (vpn.eziwan.com oder Ihren eigenen Endpunkt)
  3. Legen Sie das anzukündigende lokale Netzwerk fest (192.168.1.0/24)
  4. Aktivieren Sie den Tunnel

Eziwan generiert das Client-Zertifikat automatisch und konfiguriert den Konzentrator. Es muss keine PKI manuell verwaltet werden, und es müssen keine Zertifikate manuell erneuert werden.

Manuelle Konfiguration (für Puristen)​

Wenn Sie lieber alles selbst steuern möchten, finden Sie hier das OpenVPN-Profil für die Remote-Site:

client
dev tun
proto udp
remote vpn.votre-infra.com 1194
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
keepalive 10 60          # Ping 10 s, Neustart nach 60 s
persist-tun
# Vom Server übermittelte Subnetzmasken: 10.10.0.0/16, 192.168.0.0/16
<ca>...</ca>
<cert>...</cert>
<key>...</key>

Der keepalive 10 60 ist bei 4G wichtig: Die NATs der Netzbetreiber schließen inaktive UDP-Verbindungen nach 30–60 Sekunden. Dieser regelmäßige Ping verhindert eine erneute Verbindungsherstellung.

Erhöhte Sicherheit für OT-Umgebungen​

OT/IT-Netzwerksegmentierung​

OpenVPN mit Eziwan ermöglicht eine strikte Segmentierung:

  • Der Tunnel gibt nur die explizit gerouteten Subnetze frei (Richtlinien route)
  • OT-Datenverkehr (Modbus, DNP3) gelangt niemals ins Internet – er wird ausschließlich über den verschlüsselten Tunnel geleitet
  • Die Steuerungen können keine Verbindungen ins Internet herstellen
  • Jeder Techniker verfügt über ein eigenes Zertifikat mit individuellen Berechtigungen

Authentifizierung mittels X.509-Zertifikat​

Im Gegensatz zu VPNs, die lediglich auf einem Passwort basieren, nutzt OpenVPN X.509-Zertifikate im Rahmen von gegenseitigem TLS. Das Ergebnis:

  • Keine Brute-Force-Angriffe auf Passwörter
  • Kein Phishing von Anmeldedaten
  • Sofortiger Entzug des Zugriffs: Aufnahme des Zertifikats in die CRL auf der Concentrator-Seite

Zero Trust und Protokollprüfung​

Eziwan protokolliert jede VPN-Verbindung mit folgenden Angaben:

  • Zeitpunkt der Verbindungsherstellung/Trennung
  • Quell-IP-Adresse
  • ID des Gateways und des Technikers
  • Übertragene Datenmenge

Diese Protokolle können über die Cloud-Plattform eingesehen und für Ihre Sicherheitsaudits exportiert werden.

Anwendungsfall: Fernzugriff auf eine Siemens S7-SPS​

Ein typisches Szenario: Ihre S7-1200-Steuerung befindet sich im Netzwerk 192.168.1.0/24 am Standort Lyon. Sie sind in Ihrem Büro in Paris.

Ohne Eziwan: Vor-Ort-Einsatz oder Einrichtung einer riskanten Portweiterleitung auf dem Router des Standorts (HTTPS 443 → Port 102 S7 – direkte Exposition im Internet).

Mit Eziwan:

  1. Ständig aktives OpenVPN-VPN zwischen dem Standort Lyon und Ihrem Büro
  2. Geben Sie im TIA Portal „192.168.1.10“ ein (lokale IP-Adresse der SPS)
  3. Die Verbindung läuft über den verschlüsselten Tunnel – die SPS antwortet so, als wären Sie vor Ort
  4. Keine offenen Ports im Internet, keine Sicherheitsrisiken

Einrichtungszeit: 15 Minuten. Kosten für eine vermiedene Fahrt: 450 €.

Abschließender Vergleich: Welches VPN soll man wählen?​

KriteriumOpenVPNIPSec (IKEv2)L2TP / PPTP
Firewall-Durchgang⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Schnelle Wiederverbindung⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Sicherheit / Verschlüsselung⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Einfache Konfiguration⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Zertifizierungen (FIPS)⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Abwärtskompatibilität⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐

Für die meisten industriellen Einsatzszenarien ist OpenVPN die Standardwahl: universell einsetzbar, überprüfbar und in der Lage, alle Firewalls zu passieren. IPSec (IKEv2) kommt in regulierten Umgebungen (FIPS 140-2) zum Einsatz oder wenn eine vollständig transparente Wiederverbindung bei einem Dual-SIM-Failover erforderlich ist. Eziwan unterstützt beide.

Fazit​

OpenVPN ist zwar nicht das neueste Protokoll, aber das robusteste und universellste: AES-256-GCM-Verschlüsselung, gegenseitige Zertifikatsauthentifizierung und vor allem eine unübertroffene Firewall-Durchdringung dank TCP-Transport über Port 443. Für die Industrie bleibt sein wertvollster Vorteil die Fähigkeit, einen Tunnel von jedem 4G-Netz aus aufzubauen, ohne dass dabei Ports offen liegen.

Das Eziwan-Gateway aktiviert OpenVPN standardmäßig bei allen neuen Installationen. Innerhalb von 15 Minuten ist Ihr Industriestandort sicher per Fernzugriff erreichbar, ohne dass Ports im Internet offen sind.

Warum ein VPN für Privatanwender für die Industrie nicht geeignet ist​

Die Beliebtheit von VPNs für Privatanwender (NordVPN, Proton VPN und ähnliche Dienste) sorgt bei Entscheidungsträgern häufig für Verwirrung: „Wir haben doch schon ein VPN.“ Diese Dienste erfüllen jedoch einen völlig anderen Zweck – nämlich das Surfen einer einzelnen Person anonym zu gestalten – und es fehlt ihnen an allem, was ein industrielles VPN ausmacht:

  • Keine Standort-zu-Standort-Verbindung: Sie verbinden einen Nutzer mit dem Internet, nicht ein Netzwerk von Geräten mit einer Überwachungsplattform.
  • Keine Gerätezertifikate: Die Authentifizierung ist an ein persönliches Konto gebunden, das sich nicht auf einem Router in einem Schaltschrank bereitstellen lässt.
  • Keine kontrollierte CGNAT-Durchquerung: Bei einer industriellen 4G-Verbindung befindet sich das Gerät hinter dem NAT des Netzbetreibers; nur ein vom Gerät ausgehender Tunnel (OpenVPN über UDP 1194 oder TCP 443) funktioniert zuverlässig.
  • Keine Audit-Protokollierung: Es liegen keine verwertbaren Spuren für ein NIS2- oder IEC 62443-Audit vor.
  • Keine Segmentierung: Es ist nicht möglich, einen Dienstanbieter auf eine einzige SPS zu beschränken.

Die Aufgabe eines industriellen VPN ist klar definiert: den Datenverkehr zwischen den Standorten und der Cloud zu verschlüsseln, jede Seite mittels eines X.509-Zertifikats zu authentifizieren und Modbus, S7 oder OPC-UA zu übertragen, ohne diese Protokolle jemals im Internet offenzulegen. Es handelt sich um einen Baustein der Infrastruktur, nicht um einen Anonymisierungsdienst.

Checkliste für die Bereitstellung eines industriellen OpenVPN-VPNs​

  1. Verbindungsrichtung: Der Tunnel wird vom Gateway des Standorts initiiert; auf der Firewall ist kein eingehender Port geöffnet.
  2. Transport: Standardmäßig UDP 1194, bei besonders restriktiven Netzwerken Ausweichlösung über TCP 443.
  3. Verschlüsselung: AES-256-GCM, mindestens TLS 1.2, veraltete Algorithmen deaktiviert (DES, RC4, MD5).
  4. Authentifizierung: Einzigartiges X.509-Zertifikat pro Gerät – niemals gemeinsam genutzte Schlüssel zwischen Standorten.
  5. Benutzerkonten: MFA obligatorisch, ein auf den Namen lautendes Konto pro Techniker, keine gemeinsam genutzten Konten.
  6. Prinzip der geringsten Berechtigungen: Zugriff pro Gerät und Zeitfenster, kein permanenter Zugriff auf das „gesamte Netzwerk“.
  7. Widerruf: Geprüftes Verfahren (Ausscheiden eines Dienstleisters, Verlust eines Geräts) und geplante Rotation der Zertifikate.
  8. Protokollierung: Jede Sitzung wird protokolliert (wer, wann, welches Gerät, Dauer) und die Protokolle können für Audits exportiert werden.

FAQ​

Ist WireGuard für den industriellen Einsatz sicherer als OpenVPN? WireGuard hat eine deutlich geringere Angriffsfläche (~4.000 Codezeilen gegenüber ~100.000 bei OpenVPN), was das Risiko ausnutzbarer Sicherheitslücken verringert. Allerdings verfügt OpenVPN über eine wesentlich längere Geschichte an Sicherheitsaudits und lässt sich von Zertifizierungsstellen leichter prüfen. Für Umgebungen, die eine FIPS-140-2-Zertifizierung erfordern, bleibt IPSec/IKEv2 der Maßstab. Für die meisten industriellen Einsatzszenarien sind sowohl OpenVPN als auch WireGuard solide Optionen.

Sind L2TP/PPTP in einer industriellen Umgebung noch einsetzbar? Nein. PPTP ist seit 2012 kryptografisch geknackt – bitte nicht verwenden. Auch L2TP allein ist unsicher (keine native Verschlüsselung); L2TP/IPSec ist akzeptabel, aber komplexer als OpenVPN/IKEv2. Wenn Ihre bestehenden Geräte nur L2TP/PPTP unterstützen, planen Sie deren Austausch ein – dies ist keine sichere Konfiguration für industrielle OT-Netzwerke.

Wie geht das VPN mit zeitweiligen 4G-Unterbrechungen um? OpenVPN mit keepalive 10 60 und persist-tun versucht, sich automatisch wieder zu verbinden, sobald die Verbindung wiederhergestellt ist. Mit IPSec/IKEv2 + MOBIKE bleibt der Tunnel sogar bei einer Änderung der öffentlichen IP-Adresse (bei einem Dual-SIM-Failover) bestehen. In beiden Fällen beträgt die Zeit bis zur Wiederherstellung der Verbindung 5 bis 30 Sekunden – akzeptabel für die Überwachung, unzureichend für die Echtzeitregelung.

Weiterführende Informationen​

Setzen Sie Fernzugriffslösungen an Industriestandorten ein? Kontaktieren Sie unser Team für eine technische Demo.

Weitere Ressourcen​