Keine eingehenden Ports: die einzige akzeptable OT-Netzwerkarchitektur im Jahr 2025

· 10 Minuten Lesezeit
10 min read
Lucas Moreau
Lucas Moreau
OT/IT-Netzwerkingenieur

Im Jahr 2025 gilt ein offener eingehender Port auf einem mit dem Internet verbundenen OT-Gerät als Sicherheitsverstoß – und nicht als Konfiguration, die „verbessert“ werden muss. Die Angriffe auf industrielle Infrastrukturen haben sich seit 2020 vervierfacht. Die Sicherheitsrichtlinie ist eindeutig: keine eingehenden Ports, niemals.

Die Realität von Cyberangriffen auf OT-Netzwerke​

Zahlen 2024–2025​

Die Sicherheitsberichte zu industriellen Steuerungssystemen (ICS) sind alarmierend:

  • +400 % Anstieg der OT-Sicherheitsvorfälle seit 2020 (Dragos-Bericht 2024)
  • 67 % der Vorfälle in der Industrie nutzen eine unzureichend gesicherte Fernverbindung aus
  • Durchschnittliche Dauer bis zur Erkennung eines OT-Einbruchs: 12 Tage
  • Durchschnittliche Kosten eines OT-Vorfalls: 2,8 Mio. € (Produktionsausfall + Behebung)

Die Angreifer haben es nicht mehr nur auf die Großindustrie abgesehen. Auch industrielle KMU, Kommunen sowie Wasser- und Energieversorger stehen nun im Visier.

Die häufigsten Angriffsvektoren​

TOP 5 vecteurs d'attaque OT (2024) :

1. Unsicherer Fernzugriff (veraltetes VPN, ungeschütztes RDP): 41 %
2. Kompromittierte Zugangsdaten (Phishing, Wiederverwendung von Passwörtern): 28 %
3. Nicht behobene Firmware-Sicherheitslücke: 19 %
4. Querschnittliche Mobilität von der IT zur OT: 8 %
5. Supply chain compromise : 4%

Ergebnis: Die ersten beiden Faktoren machen 69 % der Vorfälle aus. Und beide lassen sich durch eine einzige Maßnahme beheben: die Architektur ohne eingehende Ports in Verbindung mit einem modernen VPN.

Was ein eingehender Port ist (und was nicht)​

Die grundlegende Unterscheidung​

AUSGEHENDE VERBINDUNG (outbound) – gesichert:
  OT-Ausrüstung → [NAT des Betreibers] → Internet → Cloud-Server
  Das Gerät baut die Verbindung auf. Auf der Feldseite ist kein Port geöffnet.

EINGEHENDE VERBINDUNG (Inbound) – zu vermeiden:
  Externer Betreiber → Internet → [offener Port] → OT-Gerät
  Eine externe Person kann eine Verbindung zu Ihrem Gerät herstellen.

Nahezu alle Angriffe auf Industrieanlagen nutzen eingehende Verbindungen aus – offene Ports, auf die über das Internet zugegriffen werden kann.

Risikoverhalten ist nach wie vor zu weit verbreitet​

PraxisRisiko
Portweiterleitung für RDP (3389) auf SPSDirekter Zugriff auf die SPS über das Internet
PPTP- oder L2TP-VPN ohne starke AuthentifizierungSicherheitslücken in den Protokollen, Offline-Angriff möglich
Offener HMI-Webserver (Port 80/443)Öffentlich zugängliche Steuerungsschnittstelle
Offenes SSH auf öffentlicher IP-AdresseBrute-Force-Angriffe, Ausnutzung von CVE-Schwachstellen in der Firmware
TeamViewer / AnyDesk ohne KontrollePermanenter Zugriff, kein Audit-Trail

Solche Konfigurationen gibt es noch immer an Tausenden von Industriestandorten in Frankreich – manchmal wurden sie vor 5 oder 10 Jahren von Systemintegratoren installiert und seitdem nie mehr überprüft.

Die „Zero Inbound Port“-Architektur: Funktionsweise​

Das OpenVPN-Prinzip „outbound-only“​

OpenVPN löst das Problem des Provider-NAT (LTE-SIM-Karten vergeben keine direkt erreichbare öffentliche IP-Adresse) auf elegante Weise und macht gleichzeitig eingehende Ports überflüssig:

Was passiert: Das Gateway baut eine ausgehende UDP-Verbindung zum Cloud-Hub auf. Sobald der Tunnel eingerichtet ist, können beide Seiten miteinander kommunizieren – von außen kann jedoch niemand eine Verbindung zum Gateway herstellen (es gibt keine offenen Ports).

WireGuard, OpenVPN oder IPSec?​

KriteriumWireGuardOpenVPNIPSec/IKEv2
Angriffsfläche (Zeilen Code)~4.000~100.000Komplexer Standard
Leistung (verschlüsselte Datenrate ARM)Hervorragend (~48 Mbit/s)Gut (~38 Mbit/s)Gut (~40 Mbit/s)
Zusätzliche LatenzSehr gering (+2–4 ms)Mäßig (+5–12 ms)Gering (+4–8 ms)
Wiederverbindung nach LTE-Unterbrechung< 3 s10–20 s3–8 s (MOBIKE < 2 s)
Durchquerung der Unternehmens-Firewall❌ Nur UDP✅ TCP 443❌ Nur UDP
KonfigurationEinfachAngemessenKomplex
FIPS 140-2-Zertifizierung❌Teilweise✅

Für Standard-Bereitstellungen: OpenVPN (Universell einsetzbar, ZTP Eziwan). Für FIPS-konforme Umgebungen oder transparentes Dual-SIM-Failover: IPSec + MOBIKE. Für maximale Leistung auf ARM: WireGuard. Siehe unseren umfassenden Vergleich industrieller VPN-Lösungen.

NIS2-Konformität und OT-Sicherheit​

Was NIS2 von Betreibern von kritischer Bedeutung verlangt​

Die NIS2-Richtlinie (die 2024 in französisches Recht umgesetzt wurde) schreibt den Betreibern kritischer Infrastrukturen Mindest-Sicherheitsmaßnahmen vor:

  • Starke Authentifizierung bei allen Fernzugriffen
  • Verschlüsselung der Kommunikation bei Fernsteuerung und Überwachung
  • Prüfprotokoll der Zugriffe (wer, wann, von wo)
  • Schwachstellenmanagement – Aktualisierung der Geräte
  • Trennung von IT und OT – Netzwerkisolierung

Die Architektur ohne eingehende Ports mit OpenVPN erfüllt all diese Anforderungen.

Automatisches Auditprotokoll​

Eziwan protokolliert automatisch jede VPN-Sitzung:

AUDIT LOG — Export NIS2/ISO27001

2025-08-26 09:14:22  CONNECT   Lucas Moreau     Site: Pompage-Lyon-07  IP: 10.24.5.12
2025-08-26 09:17:45  ACCESS    Lucas Moreau     192.168.7.10 (PLC)   TCP:102
2025-08-26 09:43:12  ACCESS    Lucas Moreau     192.168.7.11 (IHM)   TCP:80
2025-08-26 09:58:01  DISCONNECT Lucas Moreau    Standort: Pompage-Lyon-07  Dauer: 43 Min.
2025-08-26 11:32:09  CONNECT   Sophie Renard    Standort: Reservoir-Est-3  IP: 10.24.5.19
2025-08-26 12:05:44  DISCONNECT Sophie Renard   Drehort: Reservoir-Est-3  Laufzeit: 33 Min.

CSV-Export für Ihre Konformitätsprüfungen verfügbar – direkt in Ihren NIS2-Berichten wiederverwendbar.

Migration von einer Architektur mit offenen Ports​

Diagnose: Offene Ports identifizieren​

Bevor Sie die Migration durchführen, sollten Sie Ihre aktuelle Risikosituation prüfen:

# Scannen Sie Ihre öffentlichen IP-Bereiche von einem externen Netzwerk aus
# (mit ausdrücklicher Genehmigung Ihres IT-Leiters)

nmap -sV -p 1-65535 <IP_publique_site>

# Typische Ergebnisse, die sofort korrigiert werden müssen:
# 22/tcp offen  ssh    OpenSSH 7.2 (veraltet)
# 3389/tcp open  rdp    Windows RDP
# 502/tcp open  modbus Modbus TCP (JAMAIS exposer directement)
# 80/tcp open   http   IHM web

Jeder offene Port ist eine Angriffsfläche. Oberste Priorität: Schließen Sie Port 502 (Modbus TCP) und Port 3389 (RDP), falls diese offen sind.

Migrationsplan in drei Schritten​

Schritt 1 – VPN einrichten (1 Tag)

  • Installation des Eziwan-Gateways
  • Konfiguration von OpenVPN (nur ausgehender Datenverkehr)
  • Überprüfung des Fernzugriffs über VPN

Schritt 2 – Zugriffsrechte migrieren (1 Woche)

  • Die Techniker im Umgang mit dem VPN-Client schulen
  • Alle Fernzugriffe über das VPN umleiten
  • Überprüfen, ob alles funktioniert

Schritt 3 – Ports schließen (1 Tag)

  • Die Port-Forwarding-Regeln auf dem Router löschen
  • Von außen überprüfen, ob die Ports geschlossen sind
  • Für das NIS2-Audit dokumentieren

OT-Sicherheitsleitfaden herunterladen → · Ein Audit Ihrer Architektur planen →

Fazit​

Die „Zero-Incoming-Ports“-Architektur ist nicht nur eine Sicherheitsmaßnahme unter vielen – sie ist die Grundvoraussetzung für jede OT-Implementierung im Jahr 2025. Die Angriffe sind automatisiert, finden ununterbrochen statt und zielen gezielt auf offene Ports industrieller Geräte ab.

OpenVPN „outbound-only“ in Kombination mit einer starken Zertifikatsauthentifizierung und einem umfassenden Audit-Protokoll erfüllt die NIS2-Anforderungen und lässt sich gleichzeitig einfach bereitstellen – selbst bei mehreren hundert Standorten.

Das Risiko eines offenen Hafens ist maximal. Die Kosten für dessen Schließung sind minimal. Es gibt keinen Grund zu warten.

So testen Sie Ihre Exposition in 10 Minuten​

Bevor Sie mit den Arbeiten beginnen, sollten Sie Ihre tatsächliche Situation einschätzen – das geht schnell und ist oft aufschlussreich:

  1. Ermitteln Sie Ihre öffentlichen IP-Adressen: die Ihrer Router, Modems und 4G-Verbindungen mit fester IP-Adresse (Ihr Netzbetreiber oder curl ifconfig.me von jedem Standort aus).
  2. Scannen Sie diese von außen: nmap -sV --open <IP_publique> von einem fremden Netzwerk aus, wobei Sie vorrangig die Ports 502 (Modbus), 102 (S7), 44818 (EtherNet/IP), 4840 (OPC-UA), 3389 (RDP), 5900 (VNC) und 1194/500 (eingehende VPN-Verbindungen).
  3. Vergleichen Sie die Ergebnisse mit Shodan: Suchen Sie Ihre IP-Adressen auf shodan.io – wenn Ihre Geräte dort aufgeführt sind, wurden sie bereits von Angreifern indexiert.
  4. Erfassen Sie „vergessene“ Zugänge: Hersteller-Modems, von einem Dienstleister installierte 4G-Router, historische Portweiterleitungen auf dem Router des Standorts.

Jeder über das Internet sichtbare Industrie-Port ist ein potenzieller Vorfall: Die Abhilfe (Umstellung auf einen ausgehenden Tunnel) wird Standort für Standort geplant, wobei mit den am stärksten gefährdeten Standorten begonnen wird.

Die Rolle der SIM-Karte in der Zero-Inbound-Port-Architektur​

Ein oft übersehenes Detail: Bei einer 4G-Verbindung bestimmt der SIM-Kartentyp die Sichtbarkeit. Eine SIM-Karte mit fester öffentlicher IP-Adresse macht den Router direkt über das Internet erreichbar – und damit auch für Scans zugänglich –, wodurch genau das Problem wieder entsteht, das man eigentlich beseitigen möchte. Umgekehrt macht eine M2M-SIM-Karte hinter dem CGNAT des Netzbetreibers oder – besser noch – über einen privaten APN den Standort von Natur aus von außen unerreichbar: Es besteht lediglich die vom Gateway initiierte ausgehende Verbindung. Eine feste öffentliche IP-Adresse sollte nur für die wenigen Legacy-Architekturen gewählt werden, die dies erfordern, und immer hinter einer strengen Firewall.

FAQ – Architektur ohne eingehende Ports​

Reicht eine Unternehmens-Firewall mit strengen Regeln nicht aus, um einen offenen Port zu schützen?

Nein, nicht ganz. Ein offener Port mit Filterregeln verringert die Angriffsfläche, beseitigt sie jedoch nicht vollständig. Der Dienst, der auf diesem Port lauscht, bleibt weiterhin Angriffen ausgesetzt (0-Day-Schwachstellen, Brute-Force-Angriffe, Denial-of-Service-Angriffe). Bei einer Architektur ohne eingehende Ports gibt es an der Außengrenze nichts, was ausgenutzt werden könnte – die Verbindung wird immer von innen initiiert.

Wie greifen die Techniker auf die Steuerungen zu, wenn kein Port geöffnet ist?

Über den ausgehenden Tunnel. Das Gateway baut eine OpenVPN-Verbindung zur Eziwan-Cloud auf (ausgehende Verbindung, ähnlich wie bei einer HTTPS-Webseite). Der Bediener meldet sich mit MFA bei der Eziwan-Cloud an und greift über diesen bereits bestehenden Tunnel auf die SPS zu – ohne jemals einen eingehenden Port im Werksnetzwerk zu öffnen. Der Datenfluss ist opérateur → cloud Eziwan → tunnel gateway → automate.

Was passiert, wenn die Eziwan-Cloud-Infrastruktur kompromittiert wird?

Der OpenVPN-Tunnel wird auf der Gateway-Seite per Zertifikat authentifiziert – ein Angreifer, der den Cloud-Server kompromittieren würde, könnte keinen Datenverkehr an die Steuerungen senden, ohne auch über die Client-Zertifikate zu verfügen. Zudem sind die Gateway- und Client-Zertifikate voneinander getrennt und können unabhängig voneinander widerrufen werden.

Wird der ausgehende OpenVPN-Datenverkehr von bestimmten Unternehmensnetzwerken blockiert?

OpenVPN läuft standardmäßig über UDP 1194. Wenn dieser Port blockiert ist (z. B. in einigen Unternehmensnetzwerken oder bei restriktiven Mobilfunkanbietern), kann Eziwan auf TCP 443 (HTTPS-Port) umschalten – dieser ist vom normalen Webverkehr nicht zu unterscheiden und lässt sich nicht blockieren, ohne die Internetverbindung zu unterbrechen. Diese Flexibilität gewährleistet eine Verbindung in praktisch jedem Netzwerkumfeld.

Wie lange dauert es, alle eingehenden Ports einer bestehenden Website zu schließen?

Wird nur ein herkömmliches VPN (eingehender Port) verwendet und durch Eziwan ersetzt, beträgt die Dauer in der Regel 30 bis 60 Minuten: Gateway installieren, verbinden, den ausgehenden Tunnel überprüfen, den eingehenden Port in der Firewall schließen. Wenn mehrere ältere Fernzugriffslösungen nebeneinander bestehen (TeamViewer, RDP, IPsec-VPN), sollten 1 bis 2 Tage für die Überprüfung, Migration und Validierung jedes einzelnen Zugangs eingeplant werden.

Weiterführende Informationen​

Sichern Sie Ihr OT-Netzwerk mit Eziwan → · Prüfen Sie Ihre NIS2-Konformität →

Weitere Ressourcen​