Technischer Leitfaden

Sicherer Fernzugriff auf SPS-Steuerungen — Siemens S7, Schneider, Allen-Bradley

Sichern Sie den Fernzugriff auf Siemens S7-, Schneider- und Allen-Bradley-Steuerungen mit industriellem VPN, MFA, IT/OT-Segmentierung und Audit-Protokollen.

Der Fernzugriff auf eine SPS von Siemens S7, Schneider Electric Modicon oder Rockwell Allen-Bradley ist mittlerweile unverzichtbar geworden, um eine Störung zu diagnostizieren, ein Programm anzupassen, einen Kunden zu unterstützen oder eine Produktionslinie zu warten. Ein schlecht konzipierter Fernzugriff kann jedoch auch zu einem direkten Einfallstor in das OT-Netzwerk werden. Das Ziel besteht daher nicht nur darin, „eine Verbindung zur SPS herzustellen“, sondern einen temporären, authentifizierten, segmentierten, protokollierten und vom Industriestandort aus kontrollierbaren Zugriff bereitzustellen.

Das Problem des Fernzugriffs auf SPS-Steuerungen​

In vielen industriellen Umgebungen wurde der Fernzugriff auf SPSen im Laufe der Zeit nach und nach, Maschine für Maschine, eingerichtet – oft als Reaktion auf einen dringenden Wartungsfall. Das Ergebnis ist selten einheitlich: ein herstellerspezifisches 4G-Modem, ein lokaler VPN-Router, eine ungeschützte RDP-Sitzung, ein gemeinsam genutztes Konto, ein Überwachungsrechner, der als Zwischenstation dient, oder ein permanenter Zugriff, der „für alle Fälle“ aktiv gelassen wird.

Diese Praktiken bergen mehrere erhebliche Risiken.

  • RDP-, VNC- oder VPN-Konfigurationen, die über das Internet zugänglich sind, sind vorrangige Ziele für Ransomware-Kampagnen, die auf Industrieanlagen abzielen.

  • Maschinenhersteller unterhalten manchmal ihre eigenen 3G-, 4G- oder 5G-Zugänge pro Gerät, was mit wiederkehrenden Kosten und einer eingeschränkten Überwachung durch den Betreiber verbunden ist.

  • Die Zugriffsrechte werden selten von einem Techniker verwaltet: Ein gemeinsames Passwort wird zwischen Automatikern, Systemintegratoren, Subunternehmern und internen Teams weitergegeben.

  • Die Rückverfolgbarkeit ist unzureichend: Im Falle eines Vorfalls lässt sich nur schwer nachweisen, wer sich wann, auf welchem Rechner und für wie lange angemeldet hat.

  • Die Trennung zwischen IT und OT wird geschwächt, wenn über den Fernzugriff mehr Ressourcen als nötig erreichbar sind.

  • Den Produktionsteams fehlt es oft an einem Echtzeit-Überblick über die aktiven Verbindungen.

Ein sicherer industrieller Fernzugriff muss diese Probleme lösen, ohne die bereits verwendeten Fachanwendungen zu beeinträchtigen: TIA Portal, STEP 7, EcoStruxure Control Expert, Unity Pro, Studio 5000 Logix Designer, FactoryTalk, OPC-UA-Clients, Netzwerkdiagnosetools oder integrierte Webschnittstellen.

Warum ein herkömmliches VPN nicht immer ausreicht​

Ein herkömmliches Unternehmens-VPN dient häufig dazu, einen Benutzer mit dem Informationssystem zu verbinden. Im OT-Kontext stellt sich eine andere Herausforderung: Es muss für einen begrenzten Zeitraum Zugriff auf einen bestimmten Bereich gewährt werden, wobei strenge Regeln hinsichtlich der zulässigen Geräte, Protokolle und Benutzer gelten.

Ein zu weit gefasstes VPN kann Zugriff auf ganze Subnetze gewähren, obwohl der Techniker lediglich eine SPS, eine Benutzeroberfläche und einen Überwachungsserver benötigt. Dieses Modell vergrößert die Angriffsfläche und erschwert die Untersuchungen nach einem Vorfall.

AnsatzVorteilEinschränkung in der OT-Umgebung
RDP zu einem lokalen RechnerEinfach einzurichtenHohes Risiko bei offener Verbindung, Abhängigkeit vom Rechner, geringe Nachverfolgbarkeit
4G-Modem pro GerätUnabhängig vom KundennetzwerkVerteilte Zugänge, hohe Kosten, schwierige Überwachung
Allgemeines Unternehmens-VPNZentralisierte IT-VerwaltungZugriff oft zu weitreichend für die OT
Spezielles industrielles GatewayFeine Segmentierung, Protokolle, lokale KontrolleErfordert von Anfang an eine eigene Architektur

Der richtige Ansatz besteht darin, eine kontrollierte Schnittstelle zwischen dem Remote-Benutzer und dem industriellen Netzwerk einzurichten und anschließend das Prinzip der geringsten Berechtigungen anzuwenden.

Empfohlene Architektur für einen sicheren PLC-Zugriff​

Eine robuste Architektur basiert auf drei klar voneinander getrennten Bereichen: dem Remote-Benutzer, dem gesicherten Zugangsbereich und dem OT-Netzwerk. Das Gateway darf kein einfacher transparenter Tunnel sein; es muss Zugriffsregeln anwenden, Protokolle erstellen und es dem Standort ermöglichen, die Kontrolle über die Verbindungen zu behalten.

Diese Trennung ermöglicht es, Fernwartung und die Anforderungen der industriellen Cybersicherheit in Einklang zu bringen. Der Techniker arbeitet mit seinen gewohnten Werkzeugen, sieht jedoch nur die ausdrücklich zugelassenen Ressourcen.

Typische Anwendungsfälle​

Der Fernzugriff auf SPSen betrifft verschiedene Betriebsszenarien, von denen jedes seine eigenen Einschränkungen mit sich bringt.

Wartung einer Siemens S7-Steuerung​

Für die Siemens-Modelle S7-1200 und S7-1500 verwenden Automatisierungstechniker in der Regel das TIA Portal. Der Zugriff kann zum Herunterladen eines Programms, zum Anzeigen von Bausteinen, zur Diagnose einer CPU, zur Analyse eines E/A-Moduls oder zur Überwachung einer PROFINET-Kommunikation dienen.

Der Datenverkehr sollte auf die betroffenen Steuerungen und die unbedingt erforderlichen Arbeitsplätze beschränkt werden. Es wird empfohlen, nicht das gesamte industrielle VLAN zu öffnen, wenn nur eine CPU erreicht werden soll.

Beispiele für Ressourcen, die je nach Bedarf freigegeben werden können:

  • Siemens S7-1200- oder S7-1500-Steuerung.

  • Benutzeroberfläche „Siemens Comfort Panel“ oder „Unified Panel“.

  • Lokaler Engineering-Server, nur wenn das Projekt nicht vom Remote-Arbeitsplatz aus geöffnet werden kann.

  • IP-Adresse für die Netzwerkdiagnose, falls eine PROFINET-Analyse erforderlich ist.

Reparatur am Schneider M340 oder M580​

Die Schneider-Modicon-Steuerungen M340 und M580 werden in älteren Anlagen häufig mit EcoStruxure Control Expert oder Unity Pro gewartet. Der Fernzugriff kann dazu dienen, den Status einer Steuerung abzurufen, die Redundanz zu überprüfen, die Modbus/TCP-Kommunikation zu kontrollieren oder die Prozesslogik anzupassen.

Wichtig ist, zwischen dem Zugriff auf die SPS und dem Zugriff auf den Rest des industriellen Netzwerks zu unterscheiden. Ein Dienstleister, der an einer Anlage arbeitet, darf ohne ausdrückliche Genehmigung nicht auf die Geräte einer anderen Anlage zugreifen.

Fehlerdiagnose bei Allen-Bradley ControlLogix oder CompactLogix​

Im Rockwell Automation-Ökosystem erfolgen Eingriffe häufig über Studio 5000 Logix Designer, RSLinx Classic, FactoryTalk oder EtherNet/IP-Diagnosetools. Die Architekturen können ControlLogix-, CompactLogix- und PanelView-Steuerungen, PowerFlex-Frequenzumrichter sowie dezentrale E/A-Module umfassen.

Beim Fernzugriff muss die von bestimmten Tools genutzte Netzwerkerkennung berücksichtigt werden. Wenn möglich, sollten explizite Pfade zu den Geräten konfiguriert werden, anstatt eine zu weitreichende Erkennung zuzulassen.

Unser Ansatz​

Der Eziwan-Ansatz besteht darin, die verstreuten Zugänge durch ein einziges, verwaltetes und überwachtes Gateway zu ersetzen. Dieses Gateway deckt je nach gewählter Segmentierung das OT-Netzwerk des Standorts oder eines bestimmten Industriegebiets ab.

  • Ersatz proprietärer 4G-Modems durch ein einziges Gerät: Ein einziges Eziwan-Gateway kann mehrere Steuerungen, Bediengeräte und Industrieanlagen abdecken.

  • Sichere Verbindungen: Der Zugriff erfolgt über einen verschlüsselten VPN-Tunnel mit starker Authentifizierung und benutzerspezifischen Zugriffsrechten.

  • rollenbasierte Zugriffskontrolle: Ein Siemens-Automatiker, ein Schneider-Systemintegrator und ein Rockwell-Dienstleister können unterschiedliche Zugriffsbereiche haben.

  • Nachweise im Streitfall: Die Sitzungen werden in Protokollen mit Zeitstempel aufgezeichnet, die für Audits, die Analyse von Vorfällen und die Einhaltung interner Vorschriften nützlich sind.

  • Anmeldebenachrichtigungen: Der Standortleiter kann benachrichtigt werden, wenn sich ein Techniker oder ein Dienstleister an eine SPS anmeldet.

  • Verringerung der Angriffsfläche: Es muss kein RDP- oder SPS-Dienst direkt im Internet verfügbar sein.

Dieser Ansatz fügt sich nahtlos in eine Strategie der industriellen Konnektivität ein und kann auf einer zentralisierten Überwachung in der Eziwan-Cloud basieren, ohne das OT-Netzwerk in eine offene Erweiterung des Informationssystems umzuwandeln.

Das Prinzip der geringsten Privilegien in der OT​

Das Prinzip der geringsten Berechtigung lässt sich einfach formulieren: Ein Benutzer darf nur auf die erforderlichen Ressourcen zugreifen, und zwar zum erforderlichen Zeitpunkt und mit dem erforderlichen Berechtigungsgrad. In der OT muss dieses Prinzip in konkrete Regeln umgesetzt werden.

Zu prüfender PunktBewährte VorgehensweiseBeispiel
BenutzerNamensgebundenes Kontoprenom.nom@entreprise.fr
DauerZeitlich begrenzte SitzungZugriff während eines geplanten Einsatzes erlaubt
NetzwerkbereichEingeschränkte IP oder SubnetzZugriff ausschließlich auf 192.168.10.20
ProtokollStreng notwendige PortsSPS-Engineering, HTTPS-HMI, OPC UA falls erforderlich
FreigabeLokale Genehmigung oder internes VerfahrenFreigabe des Zugriffs durch den Wartungsverantwortlichen
ProtokollierungZentralisierte ProtokolleUhrzeit, Benutzer, Ziel, Dauer

Diese Granularität vermeidet die Falle des „universellen VPN“, das zwar technisch funktioniert, das industrielle Netzwerk jedoch zu stark exponiert.

Beispiel für eine Zugangsrichtlinie​

Eine Zugriffsrichtlinie lässt sich vor ihrer Implementierung im Gateway einfach beschreiben. Wichtig ist, dass jede Berechtigung einem konkreten Anwendungsfall zugeordnet wird.

profils:
  automaticien_siemens:
    utilisateurs:
      - technicien.siemens@example.com
    ressources:
      - nom: CPU_S7_1500_Ligne_1
        ip: 192.168.10.20
        protocoles:
          - tia_portal
      - nom: IHM_Ligne_1
        ip: 192.168.10.30
        protocoles:
          - https
    duree_session: 4h
    journalisation: obligatoire

  prestataire_schneider:
    utilisateurs:
      - support.machine@example.com
    ressources:
      - nom: M580_Process
        ip: 192.168.20.15
        protocoles:
          - control_expert
          - modbus_tcp
    validation_site: obligatoire
    journalisation: obligatoire

Dieses Modell macht den Zugriff für IT-, OT- und Wartungsteams nachvollziehbar. Es vermeidet implizite Regeln, die schwer zu überprüfen sind.

Ablauf einer Fernwartungssitzung​

Eine sichere Sitzung muss einem klaren Ablauf folgen: Anfrage, Authentifizierung, Anmeldung, Bearbeitung, Protokollierung, Beendigung. Dieser Ablauf ist ebenso wichtig wie die Verschlüsselung des Tunnels.

Diese Vorgehensweise verschafft der Einrichtung einen Überblick über den Betriebsablauf: Wer ist an welcher Aufgabe beteiligt, und wie lange dauert diese?

IT/OT-Segmentierung: Der kritische Kontrollpunkt​

Die IT/OT-Segmentierung ist eine der Säulen der industriellen Cybersicherheit. Sie begrenzt die Ausbreitung eines Vorfalls zwischen dem Informationssystem und der Produktionsumgebung.

Ein sicherer Fernzugriff auf die SPS muss diese Segmentierung einhalten.

  • Der VPN-Tunnel darf keine allgemeine Route zum gesamten OT-Netzwerk erstellen.

  • Die Datenströme müssen nach Ziel, Protokoll und Benutzer gefiltert werden.

  • Die Zugänge für Dienstleister müssen von den internen Zugängen getrennt sein.

  • Verbindungen müssen schnell widerrufbar sein.

  • Die Protokolle müssen an einem Ort gespeichert werden, auf den der Remote-Benutzer keinen Zugriff hat.

Dieser Ansatz steht im Einklang mit den bewährten Verfahren der mehrschichtigen Verteidigung, die in den Leitfäden zur industriellen Cybersicherheit empfohlen werden, insbesondere in den Leitfäden der ANSSI und den Grundsätzen der Norm IEC 62443. Ohne den Anspruch zu erheben, eine umfassende Risikoanalyse zu ersetzen, bietet sie eine konkrete Grundlage zur Verringerung des Risikos.

Industriestandards und zu beachtende Punkte​

Die SPS-Entwicklungswerkzeuge basieren je nach Hersteller und Gerätegeneration auf unterschiedlichen Protokollen. Daher sollten zu allgemeine Regeln vermieden werden.

ÖkosystemHäufig verwendete ToolsZu beachtende Punkte
Siemens S7TIA Portal, STEP 7Routing zur CPU, HMI, PROFINET-Diagnose
Schneider ElectricControl Expert, Unity ProZugriff auf Modicon M340/M580, Modbus/TCP, Redundanz
Rockwell AutomationStudio 5000, RSLinx, FactoryTalkEtherNet/IP-Pfade, Netzwerkerkennung, PanelView
ÜberwachungSCADA, OPC UA, WebschnittstellenAnwendungsports, Zertifikate, Anwendungskonten
NetzwerkPing, SNMP, gezielter ScanNur die erforderlichen Diagnosen zulassen

Automatische Erkennungsflüsse können zwar praktisch sein, aber sie können auch den Zugriff unnötig erweitern. Verwenden Sie nach Möglichkeit feste IP-Adressen, explizite Pfade und dokumentierte Regeln.

Audit-Protokolle: Was protokolliert werden muss​

Die Protokollierung ist für den Betrieb, die Sicherheit und als Nachweis im Streitfall von entscheidender Bedeutung. Ein aussagekräftiges Protokoll beschränkt sich nicht nur auf den Eintrag „Verbindung hergestellt“.

Ein gutes Zugriffsprotokoll muss mindestens folgende Angaben enthalten:

  • Die namentliche Identität des Nutzers.

  • Das Unternehmen oder die damit verbundene Funktion.

  • Die Start- und Endzeit der Sitzung.

  • Die Quell-IP-Adresse und die aufgerufene OT-Ressource.

  • Die geltenden Zugangsregeln.

  • Die an die Website gesendeten Benachrichtigungen.

  • Verbindungsfehler oder abgelehnte Verbindungsversuche.

  • Die Ticket- oder Serviceanfrage-ID, sofern die Organisation diese verwendet.

Das Ziel besteht nicht darin, den fachlichen Inhalt jeder SPS-Aktion zu überwachen, sondern einen zuverlässigen Nachweis über den Verbindungskontext zu erhalten.

Häufige Fehler, die es zu vermeiden gilt​

Bestimmte Fehler treten in OT-Fernzugriffsprojekten häufig auf.

Einen Windows-Rechner über RDP freigeben​

Ein Windows-Rechner, der als Zwischenstation genutzt wird, mag praktisch erscheinen. Ist er jedoch direkt zugänglich oder unzureichend geschützt, wird er zu einem offensichtlichen Ziel. Selbst wenn er durch ein VPN geschützt ist, müssen Updates, lokale Konten, Administratorrechte, Protokolle und die Risiken einer Weiterleitung in andere Bereiche verwaltet werden.

Ein VPN-Konto unter mehreren Technikern teilen​

Ein gemeinsames Konto macht die Rückverfolgbarkeit zunichte. Es lässt sich nicht mehr feststellen, wer einen Eingriff vorgenommen hat. Im Falle eines Fehlers in der SPS-Programmierung, einer unbefugten Änderung oder eines Vertragsstreits stellt das Fehlen einer namentlichen Zuordnung ein echtes Problem dar.

Die Zugänge stets offen lassen​

Ein dauerhafter Zugriff erhöht das Risiko von Missbrauch oder Sicherheitsverletzungen. Zugriffsrechte sollten nur für die Dauer eines Eingriffs gewährt und anschließend wieder gesperrt werden. Ist ein dauerhafter Zugriff gerechtfertigt, muss dies durch strengere Regeln, eine verstärkte Überwachung und regelmäßige Überprüfungen ausgeglichen werden.

Das gesamte OT-Subnetz zulassen​

Die Freigabe von 192.168.0.0/16 oder eines gesamten VLANs ist für einen gezielten Eingriff selten erforderlich. Die Regel muss sich am Bedarf orientieren: welche Steuerung, welche HMI, welcher Server, welches Protokoll, welche Dauer.

Bewährte Verfahren für die Bereitstellung​

Gemeinsam mit den Teams aus den Bereichen Wartung, Automatisierung, IT und Cybersicherheit wird derzeit ein Projekt für einen sicheren PLC-Fernzugriff vorbereitet. Die Technologie allein reicht nicht aus, wenn das Betriebsmodell unklar bleibt.

  • Die betroffenen Steuerungen, Bedienoberflächen, Frequenzumrichter, SCADA-Server und Netzwerkgeräte erfassen.

  • Zugriffsrechte nach Profil klassifizieren: interner Automatisierungstechniker, Maschinenbauer, Systemintegrator, Support des Softwareherstellers, standortübergreifende Wartung.

  • Die Regeln sollten pro Ressource und nicht für das gesamte Netzwerk festgelegt werden.

  • Die Multi-Faktor-Authentifizierung für Remote-Konten einrichten.

  • Ein dokumentiertes Notfallverfahren vorsehen, das zeitlich begrenzt ist und bei Bedarf nachträglich genehmigt wird.

  • Testen der tatsächlichen Fachanwendungen: TIA Portal, Control Expert, Studio 5000, Web-Clients, Überwachung.

  • Sicherstellen, dass die Protokolle für die betroffenen Teams verwertbar sind.

  • Die Konten der Dienstleister regelmäßig überprüfen und diejenigen löschen, die nicht mehr benötigt werden.

Beispiel für eine Checkliste vor der Inbetriebnahme​

Bevor der Fernzugriff auf die Steuerungen freigeschaltet wird, lassen sich durch eine einfache Überprüfung blinde Flecken vermeiden.

PrüfungZu überprüfende FrageErwarteter Status
IdentitätVerfügt jeder Techniker über ein auf seinen Namen lautendes Konto?Obligatorisch
MFAIst die starke Authentifizierung aktiviert?Obligatorisch
GeltungsbereichSind die zugelassenen IP-Adressen dokumentiert?Obligatorisch
DauerSind die Sitzungen zeitlich begrenzt?Empfohlen
ProtokolleSind die Verbindungen mit einem Zeitstempel versehen?Obligatorisch
BenachrichtigungWird die Website über Anmeldungen informiert?Empfohlen
SperrungKann der Zugriff schnell gesperrt werden?Obligatorisch
FunktionstestFunktionieren die Automatisierungstools tatsächlich?Obligatorisch

Diese Checkliste muss an den Kritikalitätsgrad des Standorts angepasst werden, bietet jedoch eine praktische Grundlage für den Einstieg.

Integration in eine industrielle Zero-Trust-Strategie​

Zero Trust im OT-Bereich bedeutet nicht, dass jegliche Fernwartung blockiert wird. Es bedeutet vielmehr, dass jeder Zugriff überprüft, eingeschränkt und nachverfolgbar sein muss. Das Netzwerk gilt nicht mehr automatisch als vertrauenswürdig, nur weil ein Benutzer eine VPN-Verbindung hergestellt hat.

Im Rahmen eines industriellen Zero-Trust-Ansatzes:

  • Die Identität des Benutzers wird vor jedem Zugriff überprüft.

  • Der Verbindungskontext wird berücksichtigt.

  • Die Rechte werden so knapp wie möglich gewährt.

  • Die Sitzungen werden protokolliert.

  • Die Zugangsrechte werden regelmäßig überprüft.

  • Die Ausnahmen sind dokumentiert.

Dieser Ansatz eignet sich besonders für Umgebungen mit mehreren Dienstleistern, Spezialmaschinen, abgelegene Standorte und Organisationen, die nachweisen müssen, dass sie den Zugang zum OT-Bereich unter Kontrolle haben.

Wann sollte man ein Gateway pro Standort oder pro Zone verwenden?​

Ein einziges Gateway kann mehrere Geräte abdecken, doch sollte man Vereinfachung nicht mit übermäßiger Zentralisierung verwechseln. Die richtige Aufteilung hängt von der industriellen Architektur ab.

Ein Gateway pro Standort ist sinnvoll, wenn die Linien zum selben OT-Bereich gehören und die Zugriffsregeln einfach zu verwalten sind. Ein Gateway pro Bereich ist vorzuziehen, wenn unterschiedliche Kritikalitätsstufen vorliegen, beispielsweise zwischen einer Verpackungslinie, einem kritischen Prozessbereich und einer isolierten Roboterzelle.

Das Auswahlkriterium ist die operative Beherrschbarkeit: Die Architektur muss für die Teams, die sie nutzen, verständlich bleiben.

Fazit​

Der Fernzugriff auf SPS-Steuerungen ist längst kein Komfort mehr, der nur Maschinenbauern vorbehalten ist: Er ist eine betriebliche Notwendigkeit, um Reaktionszeiten zu verkürzen, Produktionslinien zu sichern und über mehrere Standorte verteilte Industrieanlagen zu warten. Er muss jedoch als sensibler OT-Zugang konzipiert werden und nicht als einfaches, generisches VPN.

Eine Architektur, die auf einem industriellen Gateway, namentlich zugeordneten Konten, einer starken Authentifizierung, einer detaillierten Segmentierung und Audit-Protokollen basiert, ermöglicht es Automatisierungstechnikern, eine Verbindung zu Siemens S7-, Schneider M340/M580- oder Allen-Bradley-Steuerungen herzustellen, ohne das industrielle Netzwerk unnötig zu gefährden. Wenn Sie mehr erfahren möchten, können Sie die Eziwan-Lösungen für Industrie-Gateways, die sichere Cloud und die OT-Konnektivität erkunden.

Weiterführende Informationen​

Häufig gestellte Fragen

Das könnte Sie auch interessieren