Cybersicherheit für Zero-Trust-Steuerungen: Schutz industrieller OT-Netzwerke

Das Zero-Trust-Modell in industriellen OT-Netzwerken besteht darin, standardmäßig keinem Zugriff zu vertrauen – selbst wenn dieser von einem Techniker, einem Dienstleister, einem internen Endgerät oder einem bereits mit dem Standort verbundenen Netzwerk stammt. Jede Verbindung zu einer SPS, einem SCADA-System, einer HMI oder einem industriellen Gateway muss authentifiziert, autorisiert, eingeschränkt, protokolliert und widerrufbar sein. In Umgebungen von Siemens, Schneider, Rockwell oder mit Geräten verschiedener Hersteller verringert dieser Ansatz die Sicherheitsrisiken für SPSen, ohne die Anforderungen an Wartung und Überwachung zu beeinträchtigen.

Das Problem

Das traditionelle Sicherheitsmodell basiert häufig auf einem Perimeter: Eine Firewall schützt den Eingang, und die Geräte innerhalb des Netzwerks gelten als relativ vertrauenswürdig. In industriellen OT-Netzwerken ist diese Logik jedoch anfällig. Steuerungen lassen sich nicht immer schnell aktualisieren, bestimmte industrielle Protokolle verfügen nicht über eine native starke Authentifizierung, die Engineering-Arbeitsplätze sind kritisch, und die traditionelle „Air Gap“-Lösung ist durch Fernüberwachung, Fernwartung, das IIoT und den Datenaustausch mit der Cloud oft weggefallen.

Die häufigsten Risiken sind den Teams vor Ort bekannt.

• Ein gemeinsam genutztes generisches VPN kann das OT-Netzwerk zu stark gefährden, wenn ein Konto, ein Endgerät oder eine Konfigurationsdatei kompromittiert wird.

• Industrielle Protokolle wie Modbus/TCP, EtherNet/IP oder bestimmte PROFINET-Anwendungen können je nach Konfiguration Befehle oder Daten ohne ausreichende Anwendungsverschlüsselung übertragen.

• Die Zugänge für Dienstleister bleiben manchmal dauerhaft offen, ohne Wartungsfenster, ohne konkrete Einschränkungen und ohne regelmäßige Überprüfung.

• Flache OT-Netzwerke ermöglichen es weniger kritischen Geräten, mit sensiblen Produktionssteuerungen oder SCADA-Servern zu kommunizieren.

• Ältere Steuerungen und Bedienoberflächen sind unter Umständen an feste Softwareversionen gebunden, was einen Ausgleich durch Netzwerk, Segmentierung und Überwachung erforderlich macht.

• Die Zugriffsprotokolle sind unvollständig: Es ist schwer nachzuvollziehen, welcher Benutzer sich wann, von wo aus und auf welchem Gerät angemeldet hat.

• Standardpasswörter oder gemeinsam genutzte Passwörter kommen bei bestimmten Industrieanlagen nach wie vor vor, insbesondere wenn die Bestandsaufnahme und die Verfahren zur Passwortänderung nicht unter Kontrolle sind.

• Produktionsdaten, Rezepturen, Prozessparameter und Maschinenstatus können ohne ausreichende Kontrolle zwischen den Bereichen weitergegeben werden.

• Die NIS2-Anforderungen und die Grundsätze der Norm IEC 62443 unterstreichen die Notwendigkeit, den Zugriff auf industrielle Systeme zu dokumentieren, einzuschränken, nachzuverfolgen und zu prüfen.

Beim Zero-Trust-Ansatz geht es nicht darum, die OT zu blockieren. Vielmehr geht es darum, implizite Zugriffsrechte aufzuheben und durch explizite, kontextbezogene und überprüfbare Rechte zu ersetzen.

Warum sich Zero Trust für OT-Netzwerke eignet

In der IT wird „Zero Trust“ häufig mit der Benutzeridentität, dem Arbeitsplatz und SaaS-Anwendungen in Verbindung gebracht. In der OT muss das Konzept an die industriellen Anforderungen angepasst werden: Verfügbarkeit, Sicherheit, lange Zyklen, veraltete Protokolle, Geräte, die sich nur schwer patchen lassen, sowie Einsätze von Dienstleistern.

Der Kerngedanke bleibt derselbe: Man sollte niemals davon ausgehen, dass ein Benutzer oder ein Gerät allein deshalb vertrauenswürdig ist, weil es sich „im richtigen Netzwerk“ befindet.

Zero-Trust-Prinzip	Konkrete OT-Anwendung	Beispiel
Explizit überprüfen	Jeden Fernzugriff authentifizieren	Namensgebundenes Konto und MFA für einen Techniker
Prinzip der geringsten Berechtigung	Auf die erforderlichen Geräte beschränken	Zugriff auf eine Siemens-CPU, nicht auf das gesamte VLAN
Segmentierung	Bereiche und Leitungen isolieren	Leitung 1 von Leitung 2 getrennt
Kontinuierliche Überwachung	Protokollieren und Alarmieren	Verbindung des Dienstleisters außerhalb der zulässigen Zeiten
Schnelle Sperrung	Ein Recht sofort entziehen	Deaktivierung eines kompromittierten Zertifikats
Ausfallsicherheit	Lokalen Betrieb aufrechterhalten	Die SPS bleibt vor Ort steuerbar

Dieser Ansatz ist besonders nützlich, wenn mehrere Akteure an denselben Systemen arbeiten: interne Wartungsteams, Automatisierungstechniker, Maschinenbauer, Systemintegratoren, SCADA-Anbieter, Telekommunikationsbetreiber und Subunternehmer.

Zero-Trust-Architektur für Steuerungen und SCADA-Systeme

Eine Zero-Trust-OT-Architektur basiert auf Zonen, Kanälen und einem Kontrollpunkt zwischen Remote-Benutzern und industriellen Geräten. Das Gateway darf kein einfacher transparenter Tunnel sein: Es muss Zugriffsregeln anwenden, Sitzungen protokollieren und eine schnelle Sperrung ermöglichen.

Das OT-Netzwerk behält seine lokalen Funktionen bei. Die Steuerungen, HMI-Systeme und SCADA-Systeme laufen weiterhin vor Ort, doch externe Zugriffe werden gefiltert, protokolliert und auf den konkreten Bedarf beschränkt.

Unser Ansatz

Eziwan setzt einen Zero-Trust-Ansatz für OT-Netzwerke um, indem es Identitätsmanagement, sichere Tunnel, gerätespezifische Regeln, Segmentierung, Zeitfenster, Überwachung und Audit-Protokolle kombiniert. Ziel ist es, permanente und gemeinsam genutzte Zugriffsrechte durch benannte, begrenzte, überwachbare und widerrufbare Zugriffsrechte zu ersetzen.

• Identifizierung bei jedem Zugriff: Jeder Techniker oder Dienstleister verfügt über eigene Zugangsdaten, Zertifikate oder Zugriffsrechte, ohne dass ein gemeinsames VPN-Konto genutzt wird.

• Prinzip der geringsten Berechtigungen: Jeder Benutzer hat nur Zugriff auf die Geräte, die er zur Erfüllung seiner Aufgaben benötigt.

• Zeitfenster: Die Zugangsrechte für Dienstleister können nach Ablauf des genehmigten Wartungszeitraums automatisch erlöschen.

• Netzwerk-Mikrosegmentierung: Standorte, Leitungen oder OT-Zonen sind standardmäßig voneinander isoliert, wobei explizite Regeln für den Datenverkehr zwischen den Bereichen gelten.

• Echtzeit-Auditprotokolle: Anmeldungen, abgelehnte Zugriffe, Sitzungsdauern, aufgerufene Ressourcen und Sicherheitsereignisse werden protokolliert.

• Erkennung von Anomalien: Warnmeldungen bei Verbindungen außerhalb der zulässigen Zeiten, unbefugten Zugriffsversuchen oder ungewöhnlichem Verhalten.

• Schnelle Isolierung: Ein Benutzer, eine Regel oder ein Gerät kann isoliert werden, ohne dass ein Einsatz vor Ort erforderlich ist, sofern die Architektur dies zulässt.

• Verwaltung von OT-Passwörtern: Bestandsaufnahme sensibler Geräte, Ermittlung von Schwachstellen beim Zugriff und Workflow für eine kontrollierte Aktualisierung.

• Verschlüsselung von Fernverbindungen: Unverschlüsselte OT-Protokolle können in einen sicheren Tunnel zwischen dem autorisierten Benutzer und dem industriellen Zugangspunkt eingekapselt werden.

• Verfahren zur Reaktion auf Vorfälle: Vorlagen für Eindämmungsmaßnahmen, Widerruf, Protokollierung und Wiederherstellung, um Improvisation in Krisensituationen zu vermeiden.

Dieser Ansatz lässt sich mit einem Eziwan-Gateway, der Überwachung über die Eziwan-Cloud und Architekturen für die industrielle Konnektivität kombinieren.

Wichtigste Funktionen

Benutzerindividuelles VPN

Jeder Techniker und Dienstleister muss über einen eigenen Zugang verfügen. Anhand eines Zertifikats, einer Konfiguration oder eines namentlich zugeordneten Kontos lässt sich feststellen, wer sich anmeldet, und ein Benutzer kann gesperrt werden, ohne dass dies Auswirkungen auf die anderen hat.

Der Vorteil liegt auf der Hand: Wenn ein Zugriff kompromittiert ist, kann er individuell deaktiviert werden. Die anderen Techniker behalten ihre Zugriffsrechte, und bei der Untersuchung kann auf eine eindeutige Identität zurückgegriffen werden.

Rollenbasierte Zugriffskontrolle für die OT

RBAC, also die rollenbasierte Zugriffskontrolle, muss an die Gegebenheiten in der Industrie angepasst werden. Ein Bediener, ein interner Automatiker, ein Siemens-Integrator, ein Schneider-Dienstleister oder ein Rockwell-Supportmitarbeiter benötigen nicht denselben Zugriffsumfang.

Beispiele für mögliche Rollen:

• Betreiber: Abruf von Berichten oder Zugriff auf eine eingeschränkte Benutzeroberfläche.

• Wartungstechniker: Fehlerdiagnose und Überwachung eines Bereichs.

• Automatiker: Zugriff auf die zugelassenen Steuerungen und Engineering-Tools.

• Bauunternehmer: vorübergehender Zugang zu den Maschinen, für die er verantwortlich ist.

• OT-Administrator: Verwaltung von Regeln, Benutzern und Audits.

Die Rolle darf nicht aus Bequemlichkeit ein ganzes Netzwerk freischalten. Sie muss einen tatsächlichen Bedarf beschreiben: Standort, Bereich, Ausrüstung, Protokoll, Dauer und Umfang der Maßnahme.

Vorübergehende Wartungsfenster

Dauerhafte Zugriffe sind eine der Schwachstellen von OT-Netzwerken. Mithilfe eines Zeitfensters kann einem Dienstleister der Zugriff für vier Stunden, einen Tag oder einen geplanten Zeitraum gewährt und anschließend automatisch gesperrt werden.

Dieser Mechanismus verringert das Risiko, dass eine Aufhebung versehentlich vergessen wird. Außerdem liefert er einen eindeutigen Nachweis: Die Verbindung war in einem bestimmten Zeitfenster für einen bestimmten Vorgang autorisiert.

Mikrosegmentierung des OT-Netzwerks

Bei der Mikrosegmentierung wird das Netzwerk in kleinere, besser kontrollierbare Bereiche unterteilt. Dadurch wird die Ausbreitung eines Vorfalls begrenzt und unnötige Zugangswege zu kritischen Geräten reduziert.

Der Techniker am Standort A darf keinen Zugriff auf Standort B haben, nur weil er mit demselben VPN-Konzentrator verbunden ist. Die Segmentierung muss im Netzwerk erfolgen, nicht nur in einer Anwendung.

Audit-Protokolle zur Einhaltung der NIS2- und IEC 62443-Vorschriften

Protokolle sind unverzichtbar, um die Kontrolle über den Zugriff nachzuweisen. Sie dienen dem Betrieb, der Prüfung, der Analyse von Vorfällen und der internen Compliance.

Ein aussagekräftiges Protokoll muss mindestens folgende Angaben enthalten:

• Identität des Nutzers.

• Organisation oder damit verbundene Rolle.

• Beginn und Ende der Sitzung.

• Quell- und Ziel-IP-Adresse des OT.

• Betroffene Ausrüstung oder Bereich.

• Zugangsregel angewendet.

• Abgelehnte Versuche.

• Änderung von Rechten oder Widerruf.

• Ungewöhnliche Verbindungsereignisse.

Man muss sich über den Umfang im Klaren sein: Ein Netzwerk-Gateway kann Verbindungen, Datenströme und angewendete Regeln protokollieren. Die detaillierte Nachverfolgbarkeit interner Änderungen an einer SPS hängt zudem von den Engineering-Tools, den Geräteprotokollen und den Änderungsverfahren ab.

Echtzeit-Warnmeldungen bei Unregelmäßigkeiten

Zero Trust ist nicht nur eine Zugangskontrolle. Es muss Warnsignale auslösen, wenn etwas vom erwarteten Verhalten abweicht.

Beispiele für relevante Warnmeldungen:

• Anmeldung außerhalb der Öffnungszeiten.

• Versuch, auf einen nicht autorisierten Automaten zuzugreifen.

• Wiederholter Fehlversuch bei der Authentifizierung.

• Verbindung von einem ungewöhnlichen Standort aus.

• Ungewöhnliches Verkehrsaufkommen in einem OT-Bereich.

• Nutzung eines Dienstleisterkontos außerhalb eines geplanten Einsatzes.

• Wesentliche Regeländerung.

Diese Warnmeldungen können je nach Organisation per E-Mail, Webhook, Überwachungssystem, SIEM oder Ticket-System übermittelt werden.

Notfallisolierung

Wenn verdächtiges Verhalten festgestellt wird, muss das Team schnell handeln können. Die Notfallisolierung kann darin bestehen, ein Konto zu deaktivieren, ein Zertifikat zu widerrufen, eine Zugriffsregel zu deaktivieren, ein Gateway zu isolieren oder den Datenfluss in einen bestimmten Bereich zu blockieren.

Das Ziel besteht nicht darin, den Betrieb beim ersten Anzeichen von Bedenken sofort einzustellen. Vielmehr geht es darum, abgestufte, dokumentierte und reversible Maßnahmen zu ergreifen.

SIEM- und SOAR-Integration

Eziwan-Ereignisse können in ein SIEM-System oder eine Sicherheitsüberwachung eingespeist werden, um mit anderen Signalen korreliert zu werden: Verzeichnis, EDR, Firewall, Windows-Protokolle, SCADA-Ereignisse, Netzwerkwarnungen oder Support-Tickets.

Diese Integration hilft dem SOC dabei, einen normalen Vorgang von verdächtigem Verhalten zu unterscheiden. Außerdem ermöglicht sie die Auslösung von SOAR-Playbooks, sofern das Unternehmen diese einsetzt: Anreicherung von Warnmeldungen, Benachrichtigung, Eröffnung eines Tickets, Entzug von Zugriffsrechten oder Anforderung einer Bestätigung.

Beispiel für eine Zero-Trust-Zugriffsrichtlinie für OT

Eine Zero-Trust-Richtlinie muss für die OT- und IT-Teams verständlich sein. Sie sollte implizite Regeln vermeiden und die Berechtigungen klar beschreiben.

profils:
  automaticien_interne:
    authentification:
      mfa: obligatoire
      compte: nominatif
    ressources:
      - site: usine_nord
        zone: ligne_1
        equipements:
          - automate_s7_1500
          - ihm_ligne_1
        protocoles:
          - tia_portal
          - https
    horaires:
      autorise: heures_ouvrées
    journalisation: obligatoire

  prestataire_machine:
    authentification:
      mfa: obligatoire
      certificat: individuel
    ressources:
      - site: usine_nord
        zone: cellule_robotisee
        equipements:
          - plc_compactlogix
          - ihm_panelview
    fenetre_maintenance:
      debut: "2026-06-25T08:00:00+02:00"
      fin: "2026-06-25T12:00:00+02:00"
    journalisation: obligatoire
    expiration: automatique

Diese Formalisierung verhindert zu weitreichende Zugriffsrechte. Außerdem erleichtert sie die Prüfung, da jedes Recht mit einer betrieblichen Begründung verknüpft ist.

Industrielle Protokolle: Grenzen und Ausgleichsmaßnahmen

Ein Zero-Trust-OT-Ansatz muss die tatsächlich verwendeten Protokolle berücksichtigen. Einige industrielle Protokolle wurden für geschlossene Netzwerke konzipiert und verfügen über wenige oder gar keine nativen Authentifizierungs- und Verschlüsselungsmechanismen. Andere bieten sicherere Varianten oder Konfigurationen, die jedoch auf bestehenden Geräten nicht immer verfügbar sind.

Protokoll oder Vorgehensweise	Häufiges Risiko	Gegenmaßnahme
Modbus/TCP	Befehle möglich, wenn Netzwerkzugriff erlaubt	IP-Filterung, verschlüsselter Tunnel, Segmentierung
EtherNet/IP	Umfassende Erkennung und Zugriff je nach Topologie	Explizite Pfade, gerätebezogene Regeln
PROFINET	Abhängig von Topologie und lokalen Datenströmen	Zonenisolierung, kontrollierter Engineering-Zugriff
OPC UA	Sicherheit hängt von Zertifikaten und Richtlinien ab	Zertifikate, Verschlüsselung, Kontenverwaltung
HMI-Webschnittstellen	Schwache oder veraltete Passwörter	Vorab-MFA, Filterung, kontrollierte Änderung
RDP oder VNC	Häufiges Angriffsziel, wenn exponiert	Keine Internet-Exposition, Zugriff über Gateway

Wenn ein Automat nicht direkt gehärtet werden kann, müssen die Sicherheitsmaßnahmen in seinem Umfeld verstärkt werden: Segmentierung, Filterung, Identitätsprüfung, Überwachung, Bestandsaufnahme und Änderungsverfahren.

Zero Trust, NIS2 und IEC 62443

NIS2 und IEC 62443 sind keine Synonyme für „Zero Trust“, doch ihre Anforderungen stimmen in mehreren Punkten überein: Risikomanagement, Zugriffskontrolle, Segmentierung, Protokollierung, Vorfallmanagement, Geschäftskontinuität und Governance.

Eine Zero-Trust-OT-Architektur kann zur Erreichung dieser Ziele beitragen.

Anforderung	Einführung eines Zero-Trust-Ansatzes für die OT
Zugriffsmanagement	Namensgebundene Konten, MFA, Widerruf
Prinzip des geringsten Privilegs	Rechte je nach Gerät und Dauer begrenzt
Segmentierung	Isolierte OT-Zonen, kontrollierte Kanäle
Nachverfolgbarkeit	Protokolle zu Anmeldungen, Zugriffsverweigerungen und Änderungen
Lieferantenmanagement	Temporärer und überprüfbarer Zugang für Dienstleister
Reaktion auf Vorfälle	Schnelle Isolierung, Nachweise und Verfahren
Kontinuität	Kontrollierter Zugang ohne direkte Gefährdung

Die Konformität lässt sich nicht allein durch ein Tool nachweisen. Sie hängt von der gesamten Architektur, den Verfahren, den Betriebsnachweisen und der Governance ab. Eziwan liefert nützliche technische Bausteine, um diese Anforderungen konkret umzusetzen.

Lebenszyklus einer Zero-Trust-Verbindung

Eine Zero-Trust-Verbindung zu einem OT-Gerät folgt einer festgelegten Abfolge: Anfrage, Authentifizierung, Kontextprüfung, Autorisierung, Protokollierung, eingeschränkter Zugriff, Überwachung und Beendigung.

Diese Vorgehensweise macht den Zugriff nachvollziehbar und überprüfbar. Sie vermeidet das Modell, bei dem ein offenes VPN ohne Kontext Zugriff auf ein gesamtes Netzwerk gewährt.

Verwaltung von OT-Passwörtern

Standardpasswörter, gemeinsam genutzte Passwörter oder Passwörter, die nie geändert werden, sind in industriellen Umgebungen nach wie vor ein häufiges Problem. Die Änderung muss jedoch sorgfältig geplant werden: Einige Geräte sind veraltet, manche Konten werden von Anwendungen genutzt, und eine ungeprüfte Änderung kann zu einer Unterbrechung führen.

Ein realistischer Ansatz umfasst:

• Bestandsaufnahme der Geräte mit lokaler Authentifizierung.

• Identifizierung von Standard- oder gemeinsam genutzten Konten.

• Einstufung nach Kritikalität.

• Test der Änderung an einem nicht kritischen Gerät oder während eines Wartungsfensters.

• Dokumentation der Anwendungsabhängigkeiten.

• Sichere Speicherung von Geheimnissen.

• Löschen nicht mehr benötigter Konten.

• Regelmäßige Überprüfung der Zugangsrechte für Dienstleister.

Zero Trust verringert die Abhängigkeit von lokalen Passwörtern, indem es bereits im Vorfeld strenge Kontrollen durchführt, ersetzt jedoch nicht die Notwendigkeit, schwache Konten auf den Geräten selbst zu behandeln.

Reaktion auf einen OT-Vorfall

Bei Verdacht auf eine Sicherheitsverletzung müssen die Teams bereits vor dem Eintreten einer Krise wissen, wie sie vorgehen sollen. Der Plan zur Reaktion auf IT-Vorfälle muss einfach, umsetzbar und an die Produktionsanforderungen angepasst sein.

Die ersten Maßnahmen müssen die Sicherheit der Personen und die lokale Kontinuität gewährleisten. Im OT bedeutet die Isolierung einer Anlage nicht immer deren Abschaltung. Es muss unterschieden werden zwischen der Unterbrechung eines Fernzugriffs, der Netzwerkisolierung, der Umstellung auf den lokalen Modus und der Produktionsunterbrechung.

Bewährte Verfahren für die Bereitstellung

Ein Zero-Trust-OT-Projekt sollte schrittweise umgesetzt werden. Es empfiehlt sich, mit den am stärksten gefährdeten Zugriffspunkten zu beginnen und anschließend die Segmentierung und die Regeln auszuweiten.

• Bestandsaufnahme der vorhandenen Standorte, Bereiche, Steuerungen, Benutzeroberflächen, SCADA-Systeme, Leitwarte und Zugänge.

• Die Dienstleister und Hersteller ermitteln, die über einen Fernzugriff verfügen.

• Gemeinsame Konten so bald wie möglich löschen.

• Einrichtung von benannten Konten und einer starken Authentifizierung.

• Die OT-Zonen und die zulässigen Leitungen festlegen.

• Die Regeln nach Ausrüstung, Protokoll und Dauer einschränken.

• Zugriffe und Ablehnungen protokollieren.

• Testen der tatsächlichen Fachanwendungen: TIA Portal, Control Expert, Studio 5000, OPC UA, Webschnittstellen.

• Einrichten von umsetzbaren Warnmeldungen.

• Die Verfahren für den Widerruf und für Notfälle dokumentieren.

• Die Rechte regelmäßig überprüfen.

Dieser Ansatz ermöglicht eine schnelle Verbesserung der Sicherheit, ohne dass eine radikale Umgestaltung des industriellen Netzwerks erforderlich ist.

Häufige Fehler, die es zu vermeiden gilt

VPN und Zero Trust verwechseln

Ein VPN verschlüsselt zwar einen Tunnel, garantiert jedoch keinerlei Zugriffsrechte. Selbst wenn das VPN Zugriff auf das gesamte OT-Netzwerk gewährt, löst es das zugrunde liegende Problem nicht. Das Zero-Trust-Modell schreibt präzise Regeln für jeden Benutzer, jedes Gerät, jedes Protokoll und jeden Kontext vor.

Nur auf dem Papier segmentieren

Ein Netzwerkdiagramm reicht nicht aus. Die Segmentierung muss anhand technischer Regeln umgesetzt, getestet, dokumentiert und überwacht werden. Es muss sichergestellt werden, dass ein unbefugter Benutzer keinen Zugriff auf einen gesperrten Bereich erhalten kann.

Die Dienstleister außer Acht lassen

Dienstleister verfügen oft über Zugriffsrechte auf sensible Daten, die manchmal über Jahre hinweg bestehen bleiben. Sie müssen nach dem gleichen Modell wie die internen Teams integriert werden: benennspezifisches Konto, MFA, zeitliches Fenster, begrenzter Zugriffsbereich und Protokolle.

Vor dem Handeln nach Perfektion streben

Die vollständige Umsetzung von Zero Trust kann einige Zeit in Anspruch nehmen. Es ist besser, zunächst gemeinsame Zugriffsrechte zu entfernen, unnötige permanente Zugriffsrechte zu sperren und kritische Verbindungen zu protokollieren, als Maßnahmen aufzuschieben, während man auf eine ideale Architektur wartet.

Die Geschäftstests vernachlässigen

Eine zu strenge Regel kann ein Engineering-Tool oder ein Überwachungssystem blockieren. Jede Regel muss mit den tatsächlichen Anwendungen in einem kontrollierten Umfeld und unter Einbeziehung der betroffenen Teams getestet werden.

Checkliste zur Zero-Trust-OT-Reife

Bereich	Frage	Priorität
Bestandsaufnahme	Sind SPSen, HMIs, SCADA-Systeme und Fernzugriffe erfasst?	Hoch
Identität	Verfügt jeder Benutzer über ein namentlich zugeordnetes Konto?	Hoch
MFA	Ist die starke Authentifizierung für den Fernzugriff aktiviert?	Hoch
Prinzip der geringsten Berechtigungen	Sind die Berechtigungen auf die erforderlichen Geräte beschränkt?	Hoch
Dienstleister	Verfallen externe Zugriffe automatisch?	Hoch
Segmentierung	Sind OT-Bereiche standardmäßig isoliert?	Hoch
Protokolle	Werden Verbindungen und Zugriffsverweigerungen protokolliert?	Hoch
Warnmeldungen	Führen Anomalien zu verwertbaren Benachrichtigungen?	Mittel
Widerruf	Kann ein Zugriff schnell gesperrt werden?	Hoch
Vorfall	Gibt es ein Verfahren zur Eindämmung von OT-Vorfällen?	Hoch
Audit	Sind die Nachweise zur Überprüfung exportierbar?	Mittel

Diese Checkliste bietet einen praktischen Ansatzpunkt, um die Situation eines Standorts zu bewerten und Maßnahmen nach Priorität zu ordnen.

Wie Eziwan zum Schutz industrieller Steuerungen beiträgt

Eziwan fungiert als Kontrollinstanz zwischen Remote-Benutzern und OT-Netzwerken. Die Lösung trägt dazu bei, implizite Zugriffsrechte durch explizite, gesteuerte und nachverfolgbare Zugriffsrechte zu ersetzen.

OT-Anfrage	Antwort von Eziwan	Nutzen
Sicherer Fernzugriff	Verschlüsselte Tunnel und namentlich zugeordnete Konten	Weniger gemeinsam genutzte Zugriffe
Geringste Berechtigungen	Regeln pro Gerät oder Zone	Verringerung der Angriffsfläche
Dienstleister	Zeitfenster und Widerruf	Keine vergessenen permanenten Zugriffe mehr
Segmentierung	Gateway zwischen Zonen und Kanälen	Isolierung kritischer Bereiche
Audit	Sitzungsprotokolle und Ereignisse	Nachweise für Untersuchungen und Compliance
Vorfall	Schnelle Deaktivierung von Zugriffen	Einfachere Eindämmung
Überwachung	Warnmeldungen und SIEM-Integration	Schnellere Erkennung
Kontinuität	Kontrollierte Architektur	Fernwartung ohne direkte Gefährdung

Dieser Ansatz ermöglicht es Industrieunternehmen, die Sicherheit von Steuerungen, SCADA-Systemen und OT-Anlagen zu erhöhen, ohne auf die Fernwartung verzichten zu müssen.

Fazit

Zero-Trust-Cybersicherheit für industrielle Steuerungsgeräte ist kein Schlagwort, sondern ein konkreter Ansatz, um Zugriffe einzuschränken, Berechtigungen zu reduzieren, Netzwerke zu segmentieren, Verbindungen nachzuverfolgen und im Falle eines Vorfalls schneller zu reagieren. In OT-Netzwerken, in denen Geräte nicht immer schnell gepatcht werden können und die Verfügbarkeit oberste Priorität hat, bietet dieser Ansatz einen realistischen und schrittweisen Schutz.

Eziwan unterstützt die Umsetzung dieses Modells durch benennungsgebundene Zugriffe, sichere Tunnel, gerätebezogene Regeln, Wartungsfenster, Audit-Protokolle, Warnmeldungen und eine schnelle Isolierung. Für Industrieunternehmen, die den Anforderungen von NIS2, IEC 62443 oder internen Cybersicherheitsvorschriften unterliegen, ist dies ein pragmatischer Weg, um die Zero-Trust-Prinzipien in operative Kontrollen vor Ort umzusetzen.

Weiterführende Informationen

• Industrielle Cybersicherheit – Grundlagen der OT-Sicherheit und bewährte Praktiken aus der Praxis
• Herkömmliches VPN vs. industrieller Fernzugriff – Warum Zero Trust das herkömmliche VPN in OT-Umgebungen übertrifft
• Industrieller Fernzugriff – Implementieren Sie einen Fernzugriff ohne Offenlegung öffentlicher Ports
• NIS2 für die Industrie – Passen Sie Ihre Zero-Trust-Strategie an die NIS2-Vorgaben an
• Cybersicherheit beim OT-Fernzugriff – Sichern Sie speziell den Fernzugriff auf Ihre OT-Netzwerke ab