Herkömmliches VPN vs. sicherer industrieller Fernzugriff | Eziwan

Das Problem herkömmlicher VPNs in industriellen Umgebungen

Herkömmliche VPNs (IPSec Site-to-Site, OpenVPN-Server) wurden für die Vernetzung von Unternehmensnetzwerken entwickelt, nicht für die Wartung von OT-Anlagen durch Außendiensttechniker. Im industriellen Kontext führen sie zu gut dokumentierten betrieblichen Komplexitäten und Sicherheitsrisiken.

Wartungsteams wissen es: Um einen VPN-Zugang für die Fernwartung einer SPS einzurichten, sind oft ein Ticket bei der IT-Abteilung, die Konfiguration von Firewall-Regeln, die Installation eines Clients auf dem Rechner des Technikers und manchmal sogar die Zuweisung einer festen öffentlichen IP-Adresse für den Standort erforderlich – und das alles, bevor man sich überhaupt verbinden kann.

Der moderne industrielle Fernzugriff wird diesen Anforderungen mit einer grundlegend anderen Architektur gerecht.

Vergleich: Herkömmliches VPN vs. industrieller Fernzugriff von Eziwan

Kriterium	Klassisches VPN (IPSec/OpenVPN)	Industrieller Fernzugriff mit Eziwan
Konfiguration	Komplex (VPN-Konzentrator, NAT/PAT-Regeln)	Zero-Config auf Feldseite (ZTP)
Eingehende Ports	Ja (UDP 500/4500 oder TCP/UDP 1194)	Keine (ausgehender Reverse-Tunnel)
Authentifizierung	Vorab vereinbarter Schlüssel oder Zertifikat	MFA (TOTP, SMS) + TLS-Zertifikat
Mehrere Standorte	Konzentrator pro Standort oder Hub-and-Spoke-VPN	Ein einziges Portal für die gesamte Flotte
Zugriffskontrolle	Zugriff auf das gesamte VPN-Subnetz	Zugriff nach Gerät, nach Benutzer
Audit und Nachverfolgbarkeit	Einfache Protokolle auf dem Konzentrator	Vollständiges Protokoll: wer, wann, wie oft
Techniker-Client	Zu installierende VPN-Software	Ausschließlich Webbrowser
Update	Manuell (Konzentrator-Firmware)	Automatisches OTA-Update über die Cloud
Öffentliche IP-Adresse erforderlich	Oft (vor Ort)	Nein (nur ausgehende Verbindung)

Reverse-Tunnel-Architektur: Warum kein eingehender Port erforderlich ist

Der grundlegende architektonische Unterschied zwischen einem herkömmlichen VPN und dem Eziwan-Fernzugriff besteht in der Richtung der Erstverbindung.

Klassisches VPN: Der VPN-Konzentrator hört auf den UDP-Ports 500 (IKE) und 4500 (NAT-T) für IPSec oder auf TCP/UDP 1194 für OpenVPN. Der Ferntechniker initiiert die Verbindung zum Industriestandort. Diese Ports müssen geöffnet und im Internet erreichbar sein.

Eziwan-Fernzugriff: Der Router vor Ort initiiert selbst eine ausgehende Verbindung zur Eziwan-Plattform über den HTTPS-Port 443 – der in der Regel in allen industriellen Firewalls zugelassen ist. Dieser persistente Tunnel wird permanent aufrechterhalten. Wenn sich ein Techniker über das Portal anmeldet, wird die Verbindung über diesen bestehenden Tunnel geleitet. Auf der Feldseite wird niemals ein eingehender Port geöffnet.

Terrain (routeur Eziwan)  →  connexion HTTPS sortante  →  Cloud Eziwan
Technicien (navigateur)   →  portail web Eziwan         →  Cloud Eziwan
                              (proxy via tunnel)

Sicherheit: Das Prinzip der geringsten Berechtigungen in der OT

Bei einem klassischen Site-to-Site-VPN erhält ein authentifizierter Techniker Zugriff auf das gesamte Subnetz des OT-Standorts – in der Regel ein /24-Subnetz mit Dutzenden von Geräten. Wird das Konto des Technikers kompromittiert (Phishing, Credential Stuffing), erhält der Angreifer Zugriff auf das gesamte OT-Netzwerk.

Der Eziwan-Fernzugriff wendet das Prinzip der geringsten Berechtigung auf Geräteebene an:

• Nach Standort: Ein Techniker ist nur für die Standorte berechtigt, die er wartet
• Nach Gerät: Zugriff auf eine bestimmte Siemens-Benutzeroberfläche, nicht auf das gesamte OT-Netzwerk
• Nach Zeitfenster: Zugriff nur während der Wartungsfenster erlaubt
• Pro Sitzung: Jede Verbindung erzeugt ein zeitgestempeltes Protokoll mit der Identität des Technikers, dem aufgerufenen Gerät und der Dauer

Diese Rückverfolgbarkeit ist für Sicherheitsaudits und die Einhaltung der NIS2-Vorschriften von entscheidender Bedeutung.

Zero-Trust: Die vier Säulen der Eziwan-Architektur

1. Kein implizites Vertrauen – selbst innerhalb des Netzwerks wird jede Zugriffsanfrage authentifiziert. Der Techniker muss sich bei jeder Sitzung per MFA authentifizieren.

2. Zugriff mit minimalen Berechtigungen – Jeder Zugriff ist auf die für die jeweilige Aufgabe erforderlichen Ressourcen beschränkt. Kein umfassender Netzwerkzugriff.

3. Mikrosegmentierung – Das OT-Netzwerk bleibt segmentiert; der Fernzugriff öffnet nur die notwendigen Datenströme zum Zielgerät.

4. Kontinuierliche Überwachung und Protokollierung – Alle Sitzungen werden protokolliert (wer, wann, welche Quell-IP-Adresse, welches Ziel-OT-Gerät, wie lange), um die Rückverfolgbarkeit zu gewährleisten und Anomalien zu erkennen.

Anwendungsfall: Fernwartung ohne herkömmliches VPN

Dringende Korrekturwartung — Eine Steuerung löst um 2 Uhr morgens einen Alarm aus. Der Bereitschaftstechniker meldet sich über sein Smartphone mit der mobilen Eziwan-App an, greift in weniger als 30 Sekunden auf die Benutzeroberfläche der Steuerung zu, führt eine Diagnose durch und startet den Prozess neu. Kein VPN-Client, kein Anruf beim IT-Support, um den Zugriff freizuschalten.

Wartungsdienstleister — Ein externer Dienstleister muss Arbeiten an einem Frequenzumrichter durchführen. Sie richten für ihn einen temporären Zugang im Eziwan-Portal ein: Er ist ausschließlich für diesen Frequenzumrichter und während der vier Stunden der geplanten Wartungsarbeiten berechtigt. Der Zugang läuft automatisch ab. Sie geben ihm keine VPN-Zugangsdaten für Ihr IT-System.

Sicherheitsaudit — Der RSSI fordert die Liste der Fernzugriffe auf die OT-Standorte des letzten Monats an. Das Eziwan-Portal erstellt einen umfassenden Bericht: jede Sitzung, jeder Techniker, jedes aufgerufene Gerät, jede Dauer – mit nur wenigen Klicks.

Wie migriert man von einem herkömmlichen VPN?

Die Umstellung auf den Eziwan-Fernzugriff kann schrittweise erfolgen, ohne den bestehenden Zugriff zu unterbrechen:

1. Phase 1 – Koexistenz: Der Eziwan-Router hält den bestehenden IPSec-VPN-Tunnel zu Ihrem IT-System aufrecht und baut gleichzeitig den Eziwan-Reverse-Tunnel auf. Beide Zugänge bestehen nebeneinander.

2. Phase 2 – Pilotphase: An 3 bis 5 Standorten nutzen die Techniker den Eziwan-Fernzugriff parallel zum VPN. Überprüfung der Zugangsqualität und der Abdeckung der Anwendungsfälle.

3. Phase 3 – Umstellung: Schrittweise Umstellung der Techniker auf das Eziwan-Portal. Das herkömmliche VPN bleibt während der Übergangsphase als Ausweichlösung bestehen.

4. Phase 4 – Vereinfachung: Entfernung des VPN-Konzentrators und der zugehörigen Firewall-Regeln nach Abschluss der Umstellung.

Siehe auch: Privates APN vs. industrielles VPN · 4G-Router vs. industrieller 5G-Router · Teltonika-Alternative