Fernzugriff sicher, Dienstleister außer Kontrolle Drittanbieter-Zugriffe auf OT-Systeme bleiben schwach kontrolliert

Fernzugriff auf Produktionsanlagen ist abgesichert, die Steuerung externer Dienstleister aber nicht: Eine Anbieterstudie mit nordamerikanischen Daten zeigt eine Lücke zwischen operativer Geschwindigkeit und Governance. In Deutschland verschärft NIS2 den Druck, genau diese Lücke zu schließen.

Maschinenbauer, Systemintegratoren und Wartungsdienstleister brauchen Fernzugriff, um Produktionsbetriebe am Laufen zu halten. Mit wachsenden Anbieter-Ökosystemen und strengeren Nachweispflichten rückt jedoch eine Frage in den Vordergrund, die über die reine Verbindung hinausgeht: Wer greift wann, wie lange und mit welcher Berechtigung auf OT-Umgebungen (Operational Technology) zu? Der dänische Anbieter Secomea legt dazu die Studie State of Industrial Remote Access 2026 [registrierungspflichtig] vor.

Kontrolle hinkt der Nutzung hinterher

Nach Angaben von Secomea verwalten in Nordamerika 57 Prozent der Unternehmen sechs oder mehr externe Anbieter mit Fernzugriff auf OT-Umgebungen. Nur 46 Prozent geben an, dass sich die Sitzungen dieser Anbieter vollständig nachverfolgen lassen. Lediglich 23 Prozent überprüfen die Zugangsdaten ihrer Anbieter monatlich oder häufiger. Damit fehlt vielen Unternehmen der Überblick darüber, wer aktuell Zugriff hat und ob dieser noch angemessen ist.

Die Erhebung deutet zudem darauf hin, dass geteilte Verantwortung wirkt: Unternehmen, in denen IT und OT gemeinsam für den Fernzugriff zuständig sind, weisen der Studie zufolge geringere Vorfallraten auf als Unternehmen, in denen die Zuständigkeit nur bei einem der beiden Bereiche liegt.

Angriffe zielen auf legitime Zugänge

Der Befund fügt sich in ein verändertes Bedrohungsbild: Angreifer nutzen zunehmend vertrauenswürdige Identitäten und legitime Fernzugänge, statt allein auf Schwachstellen am Netzwerkperimeter zu setzen. Wie stark externe Zugriffe ins Gewicht fallen, zeigt die Studie zum Stand der ICS/OT-Sicherheit 2025 des SANS Institute, wonach rund die Hälfte der Cybervorfälle auf unbefugten externen Zugriff zurückgeht. Klassische Schutzmechanismen wie VPN und Multi-Faktor-Authentifizierung reichen dafür oft nicht aus, weil OT-spezifische Kontrollen wie Sitzungsaufzeichnung oder zeitlich begrenzte Zugänge fehlen.

Mit Interconnection-Strategien gegen IT-Lieferkettenrisiken

Wie NIS2 die Sicherheit in IT-Lieferketten erzwingt

Relevanz für deutsche Betreiber

Für Betreiber in Deutschland ist das Thema seit dem 6. Dezember 2025 verbindlich. An diesem Tag trat das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ohne Übergangsfrist in Kraft. Es verpflichtet wesentliche und wichtige Einrichtungen ausdrücklich zu Lieferketten-Risikomanagement und zur Kontrolle externer Zugriffe; bei Verstößen drohen Bußgelder und die persönliche Haftung der Geschäftsleitung. Was früher ein einkalkuliertes Betriebsrisiko war, ist damit ein dokumentationspflichtiges Compliance-Thema.

Weg von fragmentierten Werkzeugen

Nach Darstellung von Secomea reicht sichere Konnektivität allein nicht aus. Wirksame Governance kombiniere Identitätsprüfung, Zugriff nach dem Prinzip der geringsten Berechtigung, Just-in-Time-Zugänge, zentrale Genehmigungsabläufe, durchgängige Prüfpfade und den schnellen Entzug von Zugriffen nach getaner Arbeit. Mehr als drei Viertel der befragten nordamerikanischen Unternehmen setzen dem Anbieter zufolge bereits auf eine standardisierte Plattform für die Verwaltung des Lieferantenzugriffs oder würden eine solche bevorzugen. Secomea liest dies als Abkehr von fragmentierten VPNs und herstellerspezifischen Werkzeugen hin zu zentralisierten Modellen.

(ID:50905399)