Warum ein VPN speziell für industrielle Netzwerke?
Ein industrielles OT-Netzwerk ist kein Büronetzwerk. SPSen, Frequenzumrichter, SCADA-Systeme und HMIs kommunizieren über proprietäre Protokolle (Modbus, OPC UA, Profinet, DNP3), die über keinerlei native Sicherheitsmechanismen verfügen. Diese Geräte dem Internet auszusetzen – selbst hinter einer einfachen Firewall – ist eine gefährliche Praxis, die durch Dutzende von Vorfällen belegt ist (insbesondere die Angriffe auf Wasseraufbereitungsanlagen und Kraftwerke über Shodan).
Das industrielle VPN löst dieses Problem, indem es eine Isolationsschicht schafft:
- Das OT-Netzwerk ist niemals direkt mit dem Internet verbunden.
- Die gesamte Kommunikation erfolgt über einen verschlüsselten Tunnel.
- Der Zugriff wird kontrolliert, authentifiziert und protokolliert.
Architektur des Abgangstunnels
Der Tunnel verläuft vom Gateway zur Cloud – nicht umgekehrt. Das ist der grundlegende Unterschied zu einem herkömmlichen VPN-Ansatz oder einem offen zugänglichen RDP. Auf der Standortseite lässt die Firewall nur ausgehenden Datenverkehr zur IP-Adresse des VPN-Servers zu. Alles andere wird blockiert.
Industrielles VPN im Vergleich zu anderen Zugangslösungen
| Solution | OT-Sicherheit | Tag der offenen Tür | Industrieprotokolle | Journalisation | Zentrale Verwaltung |
|---|---|---|---|---|---|
| Ausgehendes industrielles VPN | ★★★★★ | Non | Ja (Tunnel L3) | Oui | Oui |
| Portweiterleitung für RDP/VNC | ★ | Oui | Non | Non | Non |
| TeamViewer / AnyDesk | ★★★ | Non | Non | Partielle | Partielle |
| Site-to-Site-VPN mit IPSEC | ★★★★ | Non | Oui | Partielle | Complexe |
| ZTNA / Zero Trust | ★★★★★ | Non | Oui | Oui | Oui |
| Direkter Zugriff auf Port 502 (Modbus) | ✗ | Oui | Oui | Non | Non |
Der direkte Zugriff über den Modbus-Port 502 wird leider immer noch praktiziert. Tausende von Industriegeräten sind auf Shodan gelistet, wobei ihre Modbus-Register ohne Authentifizierung direkt zugänglich sind.
OpenVPN vs. IPSec für das industrielle IoT
OpenVPN ist die gängigste Wahl für IoT-Gateways im 4G-Netz:
- Läuft über UDP oder TCP – kann Port 443 nutzen, um Firewalls zu umgehen.
- Robust gegenüber Unterbrechungen des Mobilfunknetzes (schnelle automatische Wiederverbindung).
- X.509-Zertifikate zur Authentifizierung, AES-256-Verschlüsselung.
- Einfache Verwaltung über eine interne PKI oder eine Cloud-Zertifizierungsstelle.
IPSec / IKEv2 ist vorzuziehen für:
- Permanente Standort-zu-Standort-Verbindungen im Festnetz.
- Geräte, die IPSec nativ unterstützen (industrielle Firewalls).
- Die Leistung bei Breitbandverbindungen.
In der Praxis ist OpenVPN bei industriellen 4G-Standorten mit Dutzenden oder Hunderten von Standorten einfacher in großem Maßstab zu betreiben.
Verschlüsselung und Authentifizierung
Ein seriöses industrielles VPN muss Folgendes verwenden:
- Verschlüsselung — AES-256-GCM oder ChaCha20-Poly1305.
- Integrität — HMAC-SHA256 oder SHA384.
- Schlüsselaustausch — ECDHE (elliptische Kurven) für persistente Vertraulichkeit (PFS).
- Authentifizierung — X.509-Zertifikate pro Gerät + Benutzerkonto mit MFA.
- Certificate Pinning — Das Gateway akzeptiert nur das Zertifikat des Eziwan-Cloud-Servers, kein beliebiges signiertes Zertifikat.
Der Eziwan-Ansatz
Das Eziwan Gateway verfügt standardmäßig über OpenVPN und IPSec. Das VPN ist standardmäßig bereits bei der Zero-Touch-Bereitstellung aktiviert – es ist keine manuelle Konfiguration vor Ort erforderlich. Über die Eziwan Cloud verwalten Sie Zertifikate, benutzerspezifische Berechtigungen und temporäre Zugriffe und können einen vollständigen Prüfpfad einsehen.
Weitere Informationen zur OT-Sicherheit: Industrielles Zero-Trust-Modell, Fernzugriff auf SPS und der Leitfaden Eziwan-IoT-Cybersicherheit.