Bausteine der Architektur
- Zentrales Fernwartungs-Gateway in einer DMZ zwischen Unternehmensnetz und OT
- Personalisierte Konten und Multi-Faktor-Authentisierung für externe Techniker
- Zugriff nur auf die für den Auftrag benötigten Zonen und Systeme
- Sitzungsfreigabe und -beendigung durch den Betreiber
- Protokollierung und – wo vertretbar – Sitzungsaufzeichnung
- Dateiübertragung über kontrollierte Schleuse mit Prüfung
Externe Dienstleister und Herstellerzugänge
Die meisten Fernzugriffe in der Produktion kommen von Maschinenbauern, Integratoren und Servicepartnern. Für diese Zugänge sollte der Betreiber – abgestimmt auf Verfügbarkeit, Safety und Herstellerrestriktionen der jeweiligen Anlage – folgende Punkte regeln:
- Personalisierte Konten statt Sammel- oder Firmenkonten, mit minimalen Berechtigungen für den konkreten Auftrag
- Multi-Faktor-Authentisierung und ein zentraler Zugangsweg; Ausnahmen begründet dokumentieren
- Freigabe jeder Sitzung durch den Betreiber und zeitliche Begrenzung des Zugriffs
- Nachvollziehbare Sitzungsprotokollierung, soweit technisch und vertraglich möglich
- Eindeutige Zuordnung jedes Zugangs zu konkreten Anlagen und Systemen
- Regelmäßige Überprüfung der Berechtigungen und Entzug nicht mehr benötigter Zugänge, z. B. nach Personalwechsel beim Dienstleister
- Klare Zuständigkeiten zwischen Betreiber, Maschinenbauer und Dienstleister – wer betreibt, wer freigibt, wer meldet
- Vertragliche Sicherheitsanforderungen und dokumentierte Nachweise, etwa Berechtigungslisten und Sitzungsprotokolle
Zuständigkeiten klären
Legen Sie schriftlich fest, wer den Zugangsweg betreibt, wer Konten anlegt und entzieht, wer Sitzungen freigibt und wie Herstellerpersonal Sicherheitsvorfälle meldet. Diese Regelungen gehören in Wartungsverträge und Lieferantenanforderungen.
Wo eine Anlage herstellerseitig nur bestimmte Zugangswege unterstützt oder Änderungen die Gewährleistung berühren, sind kompensierende Maßnahmen gemeinsam mit dem Hersteller festzulegen – pauschale technische Vorgaben sind nicht für jede Anlage umsetzbar.
Nachweise
Dokumentieren Sie die Architektur, die Liste berechtigter Personen, Freigabe- und Sitzungsprotokolle sowie regelmäßige Überprüfungen der Berechtigungen. Diese Unterlagen unterstützen Audits nach IEC 62443, ISO 27001 und den Nachweis von Risikomanagementmaßnahmen nach BSIG.
Quellen
Dieser Beitrag dient der fachlichen Orientierung und ersetzt keine Rechtsberatung.