Zum Inhalt springen
ADVISORI

Fachbeitrag

Internetverbundene OT-Systeme absichern: Priorisierte Maßnahmen für Betreiber

Wie sichert man aus dem Internet erreichbare OT-Systeme ab?

Zuerst exponierte Systeme identifizieren, dann direkte Internet-Erreichbarkeit von Steuerungen und HMIs beenden, Fernzugriffe über ein zentrales, stark authentisiertes Gateway führen, Standardpasswörter ersetzen und verbleibende Übergänge überwachen. Ziel ist, dass kein OT-Gerät ohne kontrollierten Übergang von außen erreichbar ist.

OT-Security-Erstgespräch vereinbaren(öffnet Terminbuchung bei Calendly in neuem Tab)

Fachlicher Stand:

Priorisierte Maßnahmen

  1. Exponierte Systeme ermitteln: eigene öffentliche IP-Bereiche, Mobilfunk-Router, Fernwartungsboxen und Cloud-Anbindungen erfassen.
  2. Direkte Erreichbarkeit beenden: Portfreigaben für Steuerungsprotokolle (z. B. Modbus/TCP, S7, EtherNet/IP) und HMI-Weboberflächen schließen.
  3. Fernzugriff zentralisieren: ein dokumentierter Zugangsweg über eine industrielle DMZ mit Multi-Faktor-Authentisierung, Freigabe pro Sitzung und Protokollierung.
  4. Zugangsdaten härten: Standard- und Gruppenpasswörter ersetzen, personalisierte Konten einführen.
  5. Übergänge überwachen: Verbindungen zwischen IT, DMZ und OT protokollieren und Auffälligkeiten auswerten.
  6. Schwachstellen bewerten: Herstellerhinweise prüfen und Updates oder kompensierende Maßnahmen im Wartungsfenster planen.

Warum Patchen allein nicht reicht

Viele Steuerungen lassen sich nicht kurzfristig aktualisieren, weil Updates Requalifizierung, Stillstand oder Herstellerfreigabe erfordern. Deshalb hat die Reduktion der Angriffsfläche Vorrang: Was nicht erreichbar ist, kann nicht direkt aus dem Internet angegriffen werden.

Quellen

Dieser Beitrag dient der fachlichen Orientierung und ersetzt keine Rechtsberatung.

Häufige Fragen

Ist ein VPN für die Fernwartung ausreichend?

Ein VPN verschlüsselt die Verbindung, kontrolliert aber nicht, worauf ein Nutzer danach zugreift. Erforderlich sind zusätzlich Zugriffsbeschränkung auf die benötigten Systeme, Freigabe pro Sitzung, Multi-Faktor-Authentisierung und Protokollierung.

Wie finde ich heraus, ob meine Anlagen aus dem Internet erreichbar sind?

Durch eine Außenansicht der eigenen IP-Bereiche, die Inventur aller Router und Fernwartungsboxen sowie Gespräche mit Anlagenherstellern über deren Servicezugänge. Scans sollten abgestimmt erfolgen, um den Betrieb nicht zu stören.