Warum der Netzwerkbereich nicht mehr ausreicht
Das klassische Sicherheitsmodell für OT-Netzwerke basiert auf dem Perimeter-Ansatz: „Was sich hinter der Firewall befindet, ist sicher.“ Dieses Modell wird durch mehrere aktuelle Gegebenheiten widerlegt:
- Techniker greifen von außen auf die OT-Netzwerke zu (Fernwartung, VPN-Zugang).
- Dienstleister und Integratoren greifen über gemeinsam genutzte Konten auf die Steuerungen zu.
- Vernetzte IoT-Geräte schaffen Angriffsvektoren von innen.
- Interne Bedrohungen (Sabotage, Fahrlässigkeit) werden durch eine externe Perimeterabwehr nicht abgewehrt.
Zero Trust ersetzt das Prinzip „Vertrauen und dann überprüfen“ durch „Niemals vertrauen, immer überprüfen“ – bei jedem Zugriff, jedem Benutzer, jedem Gerät und zu jedem Zeitpunkt.
Die 5 Säulen des Zero-Trust-Ansatzes in der OT
1. Starke Identität Jeder menschliche Benutzer authentifiziert sich mittels MFA (Passwort + TOTP oder Zertifikat). Jedes IoT-Gerät authentifiziert sich mit einem eindeutigen X.509-Zertifikat. Keine gemeinsam genutzten Identitäten, keine generischen Passwörter.
2. Eingeschränkte Zugriffsrechte Ein Wartungstechniker der Linie A hat nur Zugriff auf die Steuerungen der Linie A, nicht jedoch auf das gesamte OT-Netz. Ein externer Dienstleister hat während des festgelegten Zeitraums ausschließlich Zugriff auf die Anlagen, die er warten soll.
3. Kontinuierliche Überprüfung Der Zugriff ist nicht binär (angemeldet/abgemeldet). Der Sicherheitsstatus wird kontinuierlich überprüft: Einem PC, auf dem seit 30 Tagen kein Sicherheitsupdate installiert wurde, werden die Zugriffsrechte eingeschränkt. Eine Sitzung, die seit 15 Minuten inaktiv ist, wird beendet.
4. Mikrosegmentierung Das OT-Netzwerk ist in Zonen unterteilt: Jede Produktionslinie und jedes Teilsystem (Pumpen, Energieversorgung, Belüftung) befindet sich in einer eigenen Zone. Eine Kompromittierung einer Zone breitet sich nicht auf die anderen aus.
5. Umfassende Protokollierung Jede Verbindung, jeder an eine SPS gesendete Befehl und jeder Registerauslesevorgang wird mit folgenden Angaben protokolliert: Wer, von wo, wann, Dauer, Aktionen. Dieses Audit-Protokoll ist manipulationssicher und kann für NIS2-Audits exportiert werden.
Zero Trust vs. herkömmliches VPN: Ein Vergleich
| Kriterium | Klassisches VPN | Zero Trust (ZTNA) |
|---|---|---|
| Zugriffsgranularität | Vollständiger Netzwerkzugriff | Zugriff auf bestimmte Ressourcen |
| Authentifizierung | Einmalig bei der Verbindung | Kontinuierlich (regelmäßige Neubewertung) |
| Prinzip der geringsten Berechtigung | Nicht nativ | Ja (über Richtlinien) |
| Zugang für Dienstleister | Oft gemeinsames Konto | Temporäres individuelles Konto |
| Transparenz der Zugriffe | Teilweise (VPN-Protokolle) | Vollständig (alle Aktionen) |
| Zugriffssperrung | VPN-Verbindung unterbrechen | Sofortige, detaillierte Sperrung |
| Geeignet für ältere OT-Netzwerke | ★★★★ | ★★★ (anfängliche Komplexität) |
Schrittweise Umsetzung: Die einzelnen Schritte
Ein umfassendes Zero-Trust-Modell ist ein Ziel, das schrittweise angestrebt werden sollte. Hier sind die empfohlenen Schritte für industrielle OT-Netzwerke:
Schritt 1 – Solide Grundlage (3 Monate)
- Ausgehendes VPN auf allen Gateways.
- MFA für alle Fernzugriffe.
- Protokollierung der Sitzungen.
- Abschaffung direkter Zugriffe (offene Ports).
Schritt 2 – Eingeschränkte Berechtigungen (6 Monate)
- Zugriffsrechte pro Benutzer und Gerät.
- Befristete Zugriffsrechte für Dienstleister.
- Sofortiger Entzug.
Schritt 3 – Mikrosegmentierung (12 Monate)
- VLANs nach OT-Zone.
- Regeln für die Firewall zwischen den Zonen.
- Verhaltensbasierte Überwachung.
Der Eziwan-Ansatz
Das Eziwan Gateway und die Eziwan Cloud implementieren die Schritte 1 und 2 nativ: ausgehendes VPN, MFA, vollständige Protokollierung der Sitzungen, benutzerspezifische Berechtigungen, temporäre Zugriffe für Dienstleister. Die Mikrosegmentierung (Schritt 3) wird über die am Gateway konfigurierbaren VLANs unterstützt.
Weitere Informationen: Sicheres industrielles VPN, Fernzugriff auf industrielle Steuerungen und IoT-Cybersicherheit.