Herkömmliche VPN-Lösungen wurden für IT-Netzwerke in Büroumgebungen entwickelt. Die industrielle OT-Umgebung stellt völlig andere Anforderungen.
Herkömmliche VPNs (OpenVPN UDP, IPSec IKE) erfordern die Freigabe von eingehenden Ports in der Firewall. Jeder geöffnete Port stellt eine potenzielle Angriffsfläche dar, was durch die Lebensdauer der OT-Geräte (10 bis 20 Jahre ohne Updates) noch verschärft wird.
Die manuelle Konfiguration von IPSec-Tunneln mit PSK-Schlüsseln, X.509-Zertifikaten und IKE-Richtlinien birgt ein hohes Fehlerrisiko. Eine fehlerhafte Konfiguration kann zu ungesicherten Zugängen führen oder den Betrieb einer Produktionsstätte für Stunden lahmlegen.
Eine Unterbrechung der 4G- oder Glasfaserverbindung unterbricht den VPN-Tunnel. Ohne einen im Industrierouter integrierten Failover-Mechanismus ist der Standort nicht mehr erreichbar – und der Techniker muss sich vor Ort begeben, um die Verbindung wiederherzustellen.
Im OT-Netzwerk ist kein eingehender Port geöffnet. Die Verbindung wird vom Industriestandort zur Eziwan-Cloud hergestellt – niemals umgekehrt.
Das Eziwan-Gateway stellt beim Start eine ausgehende Verbindung zur Eziwan-Cloud her. Der Techniker verbindet sich über seinen OpenVPN-Client – die Sitzung wird über den bestehenden Tunnel weitergeleitet. Die SPS ist vom Internet aus zu keinem Zeitpunkt direkt erreichbar.
Warum OpenVPN die optimale Wahl für groß angelegte industrielle Implementierungen ist.
Die OpenVPN-Zertifikate werden beim Zero-Touch-Provisioning automatisch generiert. Es ist keine manuelle Bearbeitung der Schlüssel vor Ort erforderlich. Die automatische Schlüsselrotation lässt sich über das Cloud-Dashboard konfigurieren.
Fällt die primäre 4G-Verbindung aus, wird der VPN-Tunnel durch das Failover auf die sekundäre SIM-Karte automatisch und ohne manuelles Eingreifen wiederhergestellt. Der Techniker bleibt per Fernzugriff verbunden – die Wiederherstellung erfolgt in weniger als 8 Sekunden.
Jeder Techniker verfügt über einen eigenen VPN-Schlüssel. Die Zugriffsrechte können einzeln über das Dashboard widerrufen werden, ohne dass die Konfiguration des Gateways vor Ort geändert werden muss.
Alle VPN-Sitzungen werden protokolliert: Identität des Technikers, Zeitstempel, Quell-IP-Adresse, Dauer. Die Protokolle können für NIS2-Audits und zur Nachverfolgung von Wartungsmaßnahmen exportiert werden.
Legen Sie fest, auf welche OT-Subnetze die einzelnen Techniker Zugriff haben. Der Wartungstechniker hat nur Zugriff auf seine jeweilige SPS, nicht auf das gesamte industrielle Netzwerk.
Der VPN-Tunnel wird beim ersten Start des Gateways automatisch konfiguriert. Liefern Sie die Hardware vor Ort, schließen Sie sie an – das VPN ist ohne jeglichen Fernzugriff durch die IT-Abteilung betriebsbereit.
Das industrielle VPN von Eziwan wurde entwickelt, um die regulatorischen Anforderungen an kritische Infrastrukturen und Betreiber von systemrelevanten Einrichtungen (OIV) zu erfüllen.
Die NIS2-Richtlinie schreibt für kritische und wichtige Einrichtungen die Kontrolle des Fernzugriffs, die Protokollierung und das Vorfallmanagement vor. Die Zero-Port-Architektur von Eziwan erfüllt diese Anforderungen direkt mit exportierbaren Audit-Protokollen.
Die Norm IEC 62443 definiert Sicherheitsstufen für industrielle Steuerungssysteme (ICS/SCADA). Die Eziwan-Architektur ist mit den Sicherheitsstufen SL1 und SL2 kompatibel und deckt dabei die Zugriffskontrolle und die Datenintegrität ab.
VPN-Verbindungsprotokolle, die personenbezogene Daten enthalten (Techniker-ID, IP-Adresse), werden auf einer europäischen Infrastruktur gespeichert, wobei die Aufbewahrungsdauer konfigurierbar ist. Der Export und die Löschung sind über das Dashboard möglich.
Die CRA-Verordnung der EU schreibt Sicherheitsanforderungen bereits in der Entwicklungsphase für vernetzte Produkte vor. Eziwan greift diesen Anforderungen mit signierter Firmware, sicheren Updates (SUIT-Manifest) und einer Richtlinie zur Offenlegung von Sicherheitslücken vor.
Fernwartung, SCADA-Überwachung, Zugriff für Subunternehmer – das industrielle VPN deckt alle OT-Zugriffsszenarien ab.
Fernzugriff auf Siemens S7-, Schneider M340- und Rockwell ControlLogix-Steuerungen, ohne dass ein Techniker vor Ort sein muss. Der Ingenieur verbindet sich von jedem beliebigen Ort aus über seinen OpenVPN-Client – so, als wäre er physisch am Schaltschrank.
Zusammenführung von 5 bis 500 Industriestandorten in einem zentralen Dashboard. Jeder Standort übermittelt seine SCADA-Daten über einen gesicherten Tunnel. Vollständige Transparenz, ohne auch nur einen einzigen Port im Internet freizugeben.
Sicherer Zugang zu Kläranlagen, Pumpwerken und Hochspannungs-Umspannwerken der Sicherheitsstufe NIS2. Umfassendes Auditprotokoll der Maßnahmen zum Nachweis der Konformität gegenüber den Aufsichtsbehörden.
Gewähren Sie jedem Dienstleister einen VPN-Zugang, der auf seine spezifischen Geräte beschränkt ist, mit konfigurierbaren Zeitfenstern. Sofortiger Entzug des Zugangs bei Vertragsende. Keine Weitergabe von Netzwerkpasswörtern.
Erfahren Sie, wie das industrielle OpenVPN von Eziwan Ihre OT-Fernzugriffe sichern kann, ohne dass Sie Ihre bestehende Infrastruktur ändern müssen.