OT-Sicherheit

Sicheres industrielles VPN: Zugriff auf die Betriebstechnik, ohne Ihr Netzwerk zu gefährden

Industrielles VPN: Outbound-Tunnel-Architektur, OpenVPN vs. IPSec, Unterschiede zu einem VPN für Privatanwender und Zero-Trust-Best-Practices für OT-Netzwerke.

Kurz gesagt
Ein Industrielles VPN ist ein verschlüsselter Tunnel, der einen Industriestandort (über ein Gateway) mit einer Cloud-Infrastruktur oder einem Ingenieurbüro verbindet, ohne dass dabei eingehende Ports im OT-Netzwerk geöffnet werden. Die Verbindung wird hergestellt vom Standort in die Cloud — niemals umgekehrt. Das unterscheidet sich grundlegend von einem VPN für Privatanwender (das Ihr Surfverhalten schützt) oder einem direkten RDP-Zugang (der einen offen zugänglichen Port freigibt). Es sichert den Fernzugriff auf Steuerungen, Bedienoberflächen und SCADA-Systeme und protokolliert dabei jede Sitzung.

Warum ein VPN speziell für industrielle Netzwerke?

Ein industrielles OT-Netzwerk ist kein Büronetzwerk. SPSen, Frequenzumrichter, SCADA-Systeme und HMIs kommunizieren über proprietäre Protokolle (Modbus, OPC UA, Profinet, DNP3), die über keinerlei native Sicherheitsmechanismen verfügen. Diese Geräte dem Internet auszusetzen – selbst hinter einer einfachen Firewall – ist eine gefährliche Praxis, die durch Dutzende von Vorfällen belegt ist (insbesondere die Angriffe auf Wasseraufbereitungsanlagen und Kraftwerke über Shodan).

Das industrielle VPN löst dieses Problem, indem es eine Isolationsschicht schafft:

  • Das OT-Netzwerk ist niemals direkt mit dem Internet verbunden.
  • Die gesamte Kommunikation erfolgt über einen verschlüsselten Tunnel.
  • Der Zugriff wird kontrolliert, authentifiziert und protokolliert.

Architektur des Abgangstunnels

Der Tunnel verläuft vom Gateway zur Cloud – nicht umgekehrt. Das ist der grundlegende Unterschied zu einem herkömmlichen VPN-Ansatz oder einem offen zugänglichen RDP. Auf der Standortseite lässt die Firewall nur ausgehenden Datenverkehr zur IP-Adresse des VPN-Servers zu. Alles andere wird blockiert.

Industrielles VPN im Vergleich zu anderen Zugangslösungen

SolutionOT-SicherheitTag der offenen TürIndustrieprotokolleJournalisationZentrale Verwaltung
Ausgehendes industrielles VPN★★★★★NonJa (Tunnel L3)OuiOui
Portweiterleitung für RDP/VNCOuiNonNonNon
TeamViewer / AnyDesk★★★NonNonPartiellePartielle
Site-to-Site-VPN mit IPSEC★★★★NonOuiPartielleComplexe
ZTNA / Zero Trust★★★★★NonOuiOuiOui
Direkter Zugriff auf Port 502 (Modbus)OuiOuiNonNon

Der direkte Zugriff über den Modbus-Port 502 wird leider immer noch praktiziert. Tausende von Industriegeräten sind auf Shodan gelistet, wobei ihre Modbus-Register ohne Authentifizierung direkt zugänglich sind.

OpenVPN vs. IPSec für das industrielle IoT

OpenVPN ist die gängigste Wahl für IoT-Gateways im 4G-Netz:

  • Läuft über UDP oder TCP – kann Port 443 nutzen, um Firewalls zu umgehen.
  • Robust gegenüber Unterbrechungen des Mobilfunknetzes (schnelle automatische Wiederverbindung).
  • X.509-Zertifikate zur Authentifizierung, AES-256-Verschlüsselung.
  • Einfache Verwaltung über eine interne PKI oder eine Cloud-Zertifizierungsstelle.

IPSec / IKEv2 ist vorzuziehen für:

  • Permanente Standort-zu-Standort-Verbindungen im Festnetz.
  • Geräte, die IPSec nativ unterstützen (industrielle Firewalls).
  • Die Leistung bei Breitbandverbindungen.

In der Praxis ist OpenVPN bei industriellen 4G-Standorten mit Dutzenden oder Hunderten von Standorten einfacher in großem Maßstab zu betreiben.

Verschlüsselung und Authentifizierung

Ein seriöses industrielles VPN muss Folgendes verwenden:

  • Verschlüsselung — AES-256-GCM oder ChaCha20-Poly1305.
  • Integrität — HMAC-SHA256 oder SHA384.
  • Schlüsselaustausch — ECDHE (elliptische Kurven) für persistente Vertraulichkeit (PFS).
  • Authentifizierung — X.509-Zertifikate pro Gerät + Benutzerkonto mit MFA.
  • Certificate Pinning — Das Gateway akzeptiert nur das Zertifikat des Eziwan-Cloud-Servers, kein beliebiges signiertes Zertifikat.

Der Eziwan-Ansatz

Das Eziwan Gateway verfügt standardmäßig über OpenVPN und IPSec. Das VPN ist standardmäßig bereits bei der Zero-Touch-Bereitstellung aktiviert – es ist keine manuelle Konfiguration vor Ort erforderlich. Über die Eziwan Cloud verwalten Sie Zertifikate, benutzerspezifische Berechtigungen und temporäre Zugriffe und können einen vollständigen Prüfpfad einsehen.

Weitere Informationen zur OT-Sicherheit: Industrielles Zero-Trust-Modell, Fernzugriff auf SPS und der Leitfaden Eziwan-IoT-Cybersicherheit.

Häufig gestellte Fragen

Das könnte Sie auch interessieren