Warum ein VPN für das IoT?
Ein vernetztes Gerät, das Daten übermittelt oder aus der Ferne gewartet werden muss, wirft eine unmittelbare Sicherheitsfrage auf: Wie kann man darauf zugreifen, ohne es zu gefährden? Die schlechteste Vorgehensweise – die immer noch viel zu verbreitet ist – besteht darin, einen Port (RDP, VNC, Webschnittstelle) direkt ins Internet zu öffnen. Genau darauf zielen Ransomware-Kampagnen ab, die auf die Industrie abzielen.
Das IoT-VPN löst dieses Problem, indem es einen verschlüsselten Tunnel zwischen dem Gerät und der Plattform herstellt. Dabei überschneiden sich zwei Anwendungsfälle:
- Sichere Datenübertragung von den Sensoren in die Cloud;
- Fernzugriff der Techniker auf Steuerungen, Bedienoberflächen und Anlagen.
Der Ausfahrtstunnel: Der Schlüssel zur Sicherheit
Der entscheidende Unterschied bei einem guten industriellen VPN ist die Richtung des Tunnels. Die Verbindung verläuft vom Gateway zur Cloud, niemals umgekehrt.
Ergebnis: Im Internet ist die Website unsichtbar. Es gibt nichts zu scannen, nichts zu erzwingen. Der Zugriff ist erst nach der Authentifizierung auf der Plattform mit bestimmten Berechtigungen möglich.
IoT-VPN vs. VPN für Privatanwender
| Kriterium | VPN für Privatanwender | VPN für IoT / Industrie |
|---|---|---|
| Ziel | Surfarksion verbergen | Geräte verbinden |
| Tunnelrichtung | Ausgehend vom Benutzer | Ausgehend vom Gerät |
| Offene Ports | Keine | Keine |
| Verwaltung | Individuell | Geräteflotte + Rollen |
| IT/OT-Segmentierung | Nein | Ja |
| Protokollierung / Audit | Gering | Umfassend |
Das Wort „VPN“ ist zwar dasselbe, die Verwendung ist jedoch völlig unterschiedlich. Für das industrielle IoT sollte man sich auf die industrielle VPN-Lösung konzentrieren.
Vom VPN zum Zero-Trust-Ansatz
Ein gut konzipiertes VPN gewährt keinen Zugriff auf das gesamte Netzwerk. Nach dem Prinzip der geringsten Berechtigung darf ein Techniker nur auf die Geräte zugreifen, die er für die Dauer seines Einsatzes benötigt, wobei der gesamte Vorgang lückenlos protokolliert wird. Dies ist der Übergang vom VPN-„Tunnel“ zum industriellen Zero-Trust-Ansatz.
- Identitätsprüfung bei jedem Zugriff (MFA);
- Nach Standort, Gerät und Benutzer begrenzte Zugriffsrechte;
- Zeitlich begrenzte und widerrufbare Sitzungen;
- Protokollierung mit Zeitstempel für Audit- und Compliance-Zwecke NIS2.
Um zwischen den beiden Ansätzen abzuwägen, lesen Sie den Vergleich VPN vs. industrielles Zero-Trust-Modell und den Leitfaden Sicherung des Fernzugriffs auf SPSen.
Der Eziwan-Ansatz
Bei Eziwan ist das VPN keine Option, die konfiguriert werden muss: Es ist in das Gateway integriert und standardmäßig aktiviert – nach dem Outbound- und Zero-Trust-Prinzip. Sie verwalten Zugriffe, Rollen und Protokolle über die Eziwan Cloud und können den Zugriff für Dienstleister innerhalb weniger Sekunden aktivieren oder deaktivieren. Lesen Sie weiter im Abschnitt IoT-Fernzugriff.