Fremdzugänge auf Maschinen begrenzen VPN-Ablösung im Produktionsnetz

Externe Servicetechniker erreichen über statische VPN-Tunnel ganze Netzsegmente. Ein identitätsbasierter Zugang begrenzt den Zugriff auf einzelne Maschinen, Zeitfenster und Zielsysteme. Der Beitrag zeigt, wie der Umbau abläuft, woran er scheitert und welche Nachweise das BSI-Gesetz von Betreibern verlangt.

Markus Seme führt als CEO den OT-Sicherheitsspezialisten BrightFlare in Graz und war vorher Teil der Geschäftsführung von BearingPoint Austria. In Österreich zählt er zu den gefragtesten Sicherheitsexperten und tritt regelmäßig in den großen Nachrichtensendungen des Landes auf. Sein Team baut Fernwartungszugänge in Produktionsbetrieben um und findet dort nach eigener Erfahrung den größten ungelösten Problempunkt der Betreiber.

Statische VPN-Tunnel öffnen ganze Netzsegmente

Betreiber sichern den Übergang von IT zu OT, segmentieren das Netz und überwachen die Steuerungen. Danach bleibt eine Stelle offen, die Seme in fast jedem Projekt findet. "Es finden sich fast immer Zugriffe von außen oder Schattensysteme im Inneren, die sich vom Betreiber nicht sofort oder eindeutig zuordnen lassen", sagt er. Ein statischer VPN-Tunnel prüft die Anmeldung einmal am Übergang und gibt danach das dahinterliegende Netzsegment frei, unabhängig davon, an welcher Maschine der Techniker arbeiten soll und ob er überhaupt eine Wartung ausführt. Daneben findet Semes Team gelegentlich vergessene Webcams und alte Mobilfunkmodule mit Zugang von außen, den größten Anteil stellen jedoch die Tunnel.

Der Dezember 2021 zeigte, wie schnell daraus ein Betriebsproblem wird. Nach dem Bekanntwerden der Lücke im Java-Logging-Framework Log4j schalteten zahlreiche Kunden von Maschinen- und Anlagenbauern wenige Tage vor Weihnachten sämtliche VPN-Zugänge ab, denn eine Infektion beim Lieferanten erreichte über den offenen Tunnel auch das eigene Werk. Die Servicetechniker mussten zurückgeholt werden, Wartungstermine fielen aus. "In so einem Szenario ist ein VPN-Tunnel ein totaler Horror", sagt Seme. Seither steigen nach seiner Beobachtung mehr Betreiber auf identitätsbasierte Verfahren um.

Fred Streefland, EMEA CISO bei Check Point, ordnet OT-Umgebungen rund zehn Jahre hinter dem Sicherheitsniveau von Banken ein. Zwischen der Meldung eines CVE und den ersten Scans aus dem Internet vergehen nach Messungen von Unit 42 rund 15 Minuten. Ein dauerhaft offener Tunnel bleibt in dieser Zeitrechnung ein bekannter Zugang.

Ein Werk zählt Zugänge nach Maschinentyp und Hersteller

Beispiel: In einem laufenden Projekt stehen über vierzig Industriefräsmaschinen mit eingebetteten Steuerungen. Je Maschinentyp und Hersteller existiert ein eigener Fernwartungszugang, ältere davon ohne Protokollierung, neuere mit aktueller Technik des Herstellers. Eine vollständige Liste dieser Zugänge legt kaum ein Betreiber vor, und in der Regel fällt beim ersten Abgleich mit den Verträgen auf, dass einzelne Lieferanten längst nicht mehr im Werk arbeiten, ihre Zugänge aber weiter bestehen.

Der Umbau braucht je Lieferant fünf Angaben:

• 1. IP-Adresse: die Quelle, von der aus der Lieferant zugreift

• 2. Zielmaschine: die einzelne Anlage anstelle eines Netzsegments

• 3. Rechte: die Aktionen, die der Zugang erlaubt

• 4. Benutzer: die namentlich benannten Techniker des Lieferanten

• 5. Zeitfenster: der Zeitraum, in dem der Zugang offensteht

Liegen diese Angaben von allen Lieferanten vor, richtet BrightFlare die Zugänge innerhalb eines Arbeitstages ein. "Dieses Szenario haben wir noch nie gehabt", sagt Seme. Kleinere Zulieferer lassen sich zur Umstellung bewegen, große Maschinenbauer geben ihre eigene Fernwartungslösung vor und vereinheitlichen ihrerseits. Die Dauer der Umstellung hängt an dieser Diskussion mit den Lieferanten, die Einrichtung selbst ist an einem Arbeitstag erledigt.

Der Zugang endet an der einzelnen Maschine

BrightFlare löst statische Tunnel über Remote Privileged Access Management (rPAM) mit Cyolo PRO ab. Zuvor arbeitete das Team mit einer Fernwartungslösung von Claroty, die die Anforderungen der Maschinen- und Anlagenbauer an Flexibilität aber nicht erfüllte. Nach einem Vergleich mehrerer Anbieter, ist die Entscheidung dann auf ein noch relativ junges, aber sehr innovatives Unternehmen gefallen, dass in puncto Flexibilität und Sicherheit unter allen anderen Lösungen deutlich hervorstach.

Ein Identity Access Controller steht im selben Netz wie die Maschinen und stellt von dort die Verbindung zur jeweiligen Steuerung her, je nach hinterlegter Berechtigung des angemeldeten Technikers. Nach außen bleibt er unerreichbar, denn er baut selbst eine ausgehende Verbindung zu einem vorgelagerten Private Gateway auf. Die Verbindung ist verschlüsselt, zertifikatsgestützt und wird bei der Einrichtung einmal fest gekoppelt.

Von außen lässt sich kein Port ansprechen, ein Scan findet die Komponente nicht. Betreiber kritischer Infrastruktur führen beide Bausteine geclustert aus, damit der Ausfall einer Instanz den Fernzugriff nicht stoppt. Das Private Gateway läuft wahlweise beim Hersteller oder im eigenen Rechenzentrum.

Der Gewinn liegt in der Auflösung des Zugriffs. Ein Techniker erhält die Freigabe für eine benannte Maschine in einem definierten Zeitfenster, das Netzsegment daneben bleibt für ihn unsichtbar. Der laufende Zugriff lässt sich live mitverfolgen und im Zweifel abbrechen. Ein zweiter Lieferant, der zur selben Zeit an einer anderen Anlage arbeitet, sieht von dieser Sitzung nichts.

Die Lieferkette gehört seit Dezember 2025 zur Pflicht

Das novellierte BSI-Gesetz gilt seit dem 06.12.2025 ohne Übergangsfrist. Es verlangt von den erfassten Einrichtungen Risikomanagementmaßnahmen, darunter die Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Das BSI empfiehlt, Zulieferer vertraglich zu Risikomanagement, Vorfallbewältigung und Patchmanagement zu verpflichten und sich die Einhaltung nachweisen zu lassen. Ausdrücklich hält die Behörde fest, dass eine Zusammenarbeit mit beliebigen Anbietern Pflichtverstöße nach sich ziehen kann.

Für den Fernzugang verschiebt sich damit die Beweislast. Betreiber müssen belegen können, welcher Lieferant wann auf welche Anlage zugreifen durfte, und diese Angaben aus einem Protokoll heraus vorlegen. Die Verantwortung endet nicht in der IT-Abteilung, denn die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und sich zu Cyberrisiken schulen lassen.

Bei Kunden mit Werken in Deutschland und Österreich sieht Seme dieselbe technische Anforderung. Unterschiede findet er in der Auslegung der Verhältnismäßigkeit, denn in Deutschland wird genauer geprüft, ob eine Maßnahme vollständig umgesetzt ist.

Der Cyber Resilience Act nimmt die Hersteller in die Pflicht

Ab dem 11.09.2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle binnen 24 Stunden an ENISA und das zuständige CSIRT melden, weitere Angaben folgen idealerweise binnen 72 Stunden. Ab dem 11.12.2027 gelten die übrigen Anforderungen, darunter die Behandlung von Schwachstellen über den gesamten Supportzeitraum von in der Regel fünf Jahren. Betroffen sind auch die Fernwartungskomponenten, die ein Maschinenbauer mitliefert.

Seme bearbeitet dazu viele Anfragen von Maschinenherstellern und beschreibt sie als hochkomplex. Der naheliegende Versuch, die Pflichten an die Kunden weiterzureichen, greift nach seiner Einschätzung nicht, denn Cyber-Risiken lassen sich vertraglich nicht abtreten. Spielraum bietet allein die vorgesehene Verwendung eines Produkts, die ein Hersteller über Nutzungsbedingungen beschreiben kann. Die Gegenklausel begrenzt diesen Spielraum wieder, da eine vernünftigerweise vorhersehbare Fehlanwendung den Hersteller nicht entlastet. Für die Fernwartung ergibt sich daraus eine eindeutige Zuordnung. Der Hersteller verantwortet die Sicherheit seines Produkts und der mitgelieferten Zugangssoftware, der Betreiber verantwortet den Weg in sein eigenes Netz.

Die Aufzeichnung liefert den Nachweis

Session Recording zeichnet den Bildschirm der ferngewarteten Maschine auf. Der Arbeitsplatz des Technikers bleibt außen vor, sichtbar wird das auf der Anlage angemeldete Konto. Nachvollziehbar ist damit jeder Klick auf der Steuerung, ohne dass eine Überwachung des externen Personals stattfindet. Aus dieser Aufzeichnung stammt der Nachweis, den ein Betreiber gegenüber der Aufsicht oder gegenüber einem Versicherer vorlegt. Sie ergänzt das Zugriffsprotokoll um den Inhalt der Sitzung und beantwortet damit die Frage, ob ein gemeldeter Vorfall auf eine Fernwartung zurückgeht.

Ganz ohne Personenbezug geht es dennoch nicht, denn ein Kontoname aus Vor- und Nachnamen lässt sich einer Person zuordnen. Bei einem größeren deutschen Kunden pseudonymisiert BrightFlare die Benutzernamen deshalb zu Kennungen wie "User 123", die Auflösung in den Klarnamen liegt beim Hersteller. Der Betriebsrat stimmte der Aufzeichnung unter dieser Bedingung zu.

Fazit

Die Umstellung von statischen Tunneln auf identitätsbasierte Zugänge ist technisch in einem Arbeitstag erledigt, scheitert aber oft an den Spezifikationen der Lieferanten. Der Aufwand liegt in der Erhebung je Maschine und Lieferant, also in Quellen, Zielen, Rechten, Benutzern und Zeitfenstern. Die Segmentierung nach IEC 62443 führt auf der Feldebene ohnehin zu hunderten Einzelsegmenten, deren Zugänge dieselben Angaben brauchen. Seme hält die verbreitete Annahme für überholt, OT lasse sich vollständig abschotten, denn kein Werk kommt heute ohne externe Zugriffe aus.

(ID:50925506)