Industrielles VPN – OpenVPN / IPSec für die Industrie

Definition des VPN​

Ein VPN (Virtual Private Network – Virtuelles Privates Netzwerk) ist eine Technologie, die einen verschlüsselten Kommunikationstunnel zwischen zwei entfernten Punkten in einem öffentlichen Netzwerk (Internet, 4G/5G-Netz) herstellt und so die Vertraulichkeit und Integrität der ausgetauschten Daten gewährleistet.

Im industriellen Umfeld ist das VPN der grundlegende Sicherheitsbaustein, der einen sicheren Fernzugriff auf SPSen, RTUs und OT-Geräte an entfernten Standorten ermöglicht, ohne dass diese Geräte jemals direkt dem Internet ausgesetzt werden. Ohne VPN ist eine über das Internet zugängliche SPS ein Ziel, das jeglichen Scan-, Einbruchs- oder Ransomware-Versuchen ausgesetzt ist.

Das VPN erfüllt zudem die Anforderungen der Normen für industrielle Cybersicherheit: IEC 62443, NERC CIP sowie die Empfehlungen der ANSSI zum Schutz industrieller Informationssysteme (SII).

OpenVPN – das Standard-VPN von Eziwan​

OpenVPN ist ein seit über 20 Jahren bewährtes Open-Source-VPN-Protokoll, das sich als De-facto-Standard für den sicheren Fernzugriff etabliert hat. Es basiert auf dem TLS/SSL-Stack und einer AES-256-GCM-Verschlüsselung mit gegenseitiger Authentifizierung über X.509-Zertifikate.

Warum OpenVPN für die Industrie?​

  • Hervorragende Firewall-Durchlässigkeit: OpenVPN kann den Tunnel in TLS auf TCP-Port 443 – dem gleichen wie bei HTTPS – kapseln, wodurch es dort durchkommt, wo andere Protokolle blockiert werden (Anbieter-Firewall, Unternehmensproxy, DPI).
  • Robuste und authentifizierte Verschlüsselung: AES-256-GCM (AEAD) mit gegenseitiger Authentifizierung über X.509-Zertifikate – jeder Techniker verfügt über ein eigenes, individuell widerrufbares Zertifikat.
  • Schnelle Wiederverbindung nach einem 4G-Ausfall dank der Option persist-tun, ohne vollständige Neuverhandlung des Tunnels.
  • Ausgereiftheit und Kompatibilität: umfassend geprüfter Code, breite Akzeptanz, Clients verfügbar unter Linux, Windows, macOS, iOS und Android.
  • Nachvollziehbarkeit: Der Widerruf per Zertifikat erfüllt die Audit-Anforderungen von NIS2 und IEC 62443.

IPSec (IKEv2) – die Alternative für Unternehmen​

IPSec ist nach wie vor der Standard in regulierten Umgebungen, in denen zertifizierte FIPS 140-2-Protokolle vorgeschrieben sind. Sein MOBIKE-Mechanismus verwaltet den Wechsel der IP-Adresse nahezu transparent – besonders geeignet für Dual-SIM-Failover. Die Konfiguration ist zwar komplexer (PKI, X.509-Zertifikate, SA-Richtlinien), bietet jedoch maximale Interoperabilität mit bestehenden Netzwerkgeräten.

WireGuard – das Protokoll der nächsten Generation​

WireGuard ist ein modernes VPN-Protokoll, das mit dem Ziel entwickelt wurde, radikale Einfachheit zu erreichen: ~4.000 Zeilen Code (im Vergleich zu ~100.000 bei OpenVPN) und seit 2020 direkt in den Linux-Kernel integriert. Seine wichtigsten Merkmale:

  • Moderne Kryptografie: Curve25519 (Schlüsselaustausch), ChaCha20-Poly1305 (symmetrische Verschlüsselung), BLAKE2s (Hash). Diese Algorithmen sind auf ARM-Prozessoren ohne integriertes AES-NI schneller als AES – dazu gehören viele eingebettete IoT-Gateways.
  • Extrem geringe Latenz: kein komplexer Handshake (TLS-Handshake mit mehreren Hin- und Rückläufen). Der Tunnel wird in einem einzigen Austausch aufgebaut, die Latenz beim ersten Verbindungsaufbau beträgt <100 ms.
  • Transparente Wiederverbindung: WireGuard ist ein zustandsloses Protokoll auf Serverseite. Wenn der Client die IP-Adresse wechselt (Failover SIM1→SIM2), findet keine Neuverhandlung statt – der Tunnel wird bereits mit dem ersten gültigen Paket wiederhergestellt.
  • Weniger Code = minimale Angriffsfläche: 4.000 geprüfte Codezeilen gegenüber 100.000 bei OpenVPN. Ergebnis: Das Risiko von Sicherheitslücken ist strukturell geringer.

Einschränkungen für den industriellen Einsatz:

  • WireGuard läuft ausschließlich über UDP – im Gegensatz zu OpenVPN, das auch über TCP 443 laufen kann. In einigen Unternehmensnetzwerken, die nicht standardmäßigen UDP-Verkehr filtern, kann WireGuard blockiert werden.
  • Das Ökosystem der Clients (Linux, Windows, iOS, Android) ist ausgereift, jedoch nicht so flächendeckend verfügbar wie die OpenVPN-Clients.
  • Keine FIPS-140-2-Zertifizierung – ein Ausschlusskriterium für bestimmte regulierte Märkte (Verteidigung, Kernkraft).

Das Eziwan Gateway unterstützt außerdem L2TP, PPTP und GRE für Fälle von Interoperabilität mit älteren Systemen.

Zero-Inbound-Port-Architektur​

Die industrielle VPN-Architektur von Eziwan basiert auf dem Prinzip des Zero-Inbound-Port: Auf der Remote-Seite ist kein eingehender Port geöffnet.

In diesem Modell:

  • Das Eziwan-Gateway initiiert die ausgehende Verbindung zum Eziwan-VPN-Server.
  • Der Remote-Standort hat keine offenen TCP/UDP-Ports nach außen.
  • Ein Angreifer kann die Remote-Geräte nicht durch einen Netzwerkscan aufspüren (sie sind vom Internet aus nicht direkt erreichbar).
  • Der Betreiber greift über den vom Gateway eingerichteten VPN-Tunnel auf die Remote-Geräte zu, wobei die Eziwan-Authentifizierung die Kontrolle übernimmt.

Diese Architektur entspricht den Empfehlungen der Norm IEC 62443 (Cybersicherheit industrieller Steuerungs- und Automatisierungssysteme) sowie den Leitfäden der ANSSI.

Vergleich: OpenVPN vs. IPSec vs. L2TP​

KriteriumOpenVPNIPSec (IKEv2)L2TP / PPTP
VerschlüsselungTLS, AES-256-GCM (AEAD)AES-256, SHA-2Schwach (PPTP/MS-CHAPv2 nicht empfohlen)
AuthentifizierungX.509-Zertifikat pro ClientPSK oder X.509-ZertifikateBenutzername / Passwort
Firewall-/NAT-DurchquerungHervorragend (TCP 443 durchdringt alle)Mittelmäßig (NAT-T erforderlich)Variabel
Wiederherstellung nach 4G-AusfallSchnell (persist-tun)Hervorragend (MOBIKE)Langsam
KonfigurationsaufwandMäßig (OVPN-Datei)Hoch (PKI, IKE, SA)Einfach
ZertifizierungenUmfassend geprüftFIPS 140-2Veraltet (PPTP sollte vermieden werden)
OT-/IoT-KompatibilitätEmpfohlenReguliert / InteroperabilitätLegacy
CPU-Auslastung (Gateway)MäßigGering (Beschleunigung möglich)Gering

OpenVPN ist die standardmäßig empfohlene VPN-Technologie für industrielle IoT-Implementierungen: Die Firewall-Durchquerung über TCP 443, die AES-256-GCM-Verschlüsselung und die Zertifikatswiderrufung machen es zu einer robusten und überprüfbaren Wahl. IPSec (IKEv2) wird bevorzugt für regulierte Umgebungen eingesetzt, die FIPS 140-2 oder eine transparente Wiederverbindung bei Dual-SIM-Failover erfordern.

Automatische ZTP-Konfiguration in Eziwan​

Das ZTP (Zero Touch Provisioning) von Eziwan richtet das OpenVPN-VPN auf einem neuen Gateway automatisch ein und konfiguriert es, ohne dass vor Ort manuelle Eingriffe am Netzwerk erforderlich sind:

  1. Der Installateur verbindet das Eziwan-Gateway mit dem Netzwerk (Ethernet-Kabel oder vorinstallierte 4G-SIM-Karte).
  2. Das Gateway stellt über seine vorab registrierte Seriennummer automatisch eine Verbindung zu den Eziwan-Servern her.
  3. Der Eziwan-Server übermittelt die VPN-Konfiguration (X.509-Zertifikat, IP-Adresse des Tunnels, Routen) an das Gateway.
  4. Der OpenVPN-Tunnel wird innerhalb weniger Sekunden aufgebaut.
  5. Der Administrator erhält im Dashboard eine Benachrichtigung, die bestätigt, dass der Standort online ist.

Dieser Prozess verhindert Fehler bei der manuellen Konfiguration und ermöglicht die Fernkonfiguration von Hunderten von Standorten, ohne dass an jeden Standort ein Netzwerktechniker entsandt werden muss.

Weiterführende Ressourcen​

Häufig gestellte Fragen​

Welche Rolle spielt ein industrielles VPN?​

Den Datenaustausch zwischen den Standorten, der Cloud und den Technikern verschlüsseln, jede Seite mittels Zertifikat authentifizieren und industrielle Protokolle (Modbus, S7, OPC-UA) übertragen, ohne die Geräte dabei jemals im Internet zu exponieren.

OpenVPN oder IPsec: Was soll man wählen?​

OpenVPN durchläuft nativ das NAT von 4G-Netzwerken (CGNAT) und unterstützt X.509-Zertifikate auf einfache Weise – es ist die Standardwahl für Mobilfunkstandorte. IPsec IKEv2 eignet sich für feststehende Verbindungen mit durchgängiger End-to-End-Verschlüsselung.

Warum sollte man kein VPN für Privatanwender nutzen?​

VPNs für Privatanwender anonymisieren das Surfverhalten einer Person; sie bieten weder Gerätzertifikate noch Site-to-Site-Verbindungen hinter NAT 4G, noch Segmentierung nach Geräten, noch Audit-Protokollierung – also all das, was ein seriöser OT-Zugang erfordert.

Reicht ein VPN aus, um den OT-Fernzugriff zu sichern?​

Das ist die Grundlage, aber nicht alles: Hinzu kommen noch geringfügige Berechtigungen (Zugriff über Geräte), MFA-Authentifizierung, temporäre Sitzungen und Protokollierung – die Zero-Trust-Prinzipien, die von NIS2 und IEC 62443 gefordert werden.

Weiterführende Ressourcen​