Praxisorientierte Einordnung zu IT und OT sicher verbinden: Netzwerksegmentierung ohne Produktionsstillstand: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für OT-Security aufbauen.
Die Verbindung von IT und Produktion ist heute unverzichtbar: Auftragsdaten fließen an Anlagen, Qualitätswerte zurück in Analysesysteme, Hersteller warten Maschinen aus der Ferne und zentrale Dienste stellen Identitäten, Zeit oder Updates bereit. Genau diese Verbindungen schaffen jedoch Wege, über die ein Angriff aus der Office-IT bis in industrielle Steuerungen gelangen kann. Netzwerksegmentierung soll diese Wege kontrollieren – ohne die Produktion durch einen überstürzten Umbau zu gefährden.
Das gelingt nicht mit einer einzelnen Firewall und auch nicht durch das pauschale Trennen aller Netze. Gute OT-Segmentierung beginnt bei den notwendigen Datenflüssen und entwickelt daraus Zonen, kontrollierte Übergänge und einen umsetzbaren Migrationsplan. Der folgende Praxisbeitrag zeigt, wie Unternehmen eine gewachsene Umgebung schrittweise strukturieren, technische Risiken begrenzen und jeden Umbau mit dem Betrieb absichern.
Segmentierung ist ein Betriebsprojekt, kein reines Firewall-Projekt
In vielen Produktionsnetzen wurden Verbindungen über Jahre nach Bedarf ergänzt. Eine neue Anlage benötigte Zugriff auf ein Dateiverzeichnis, ein Dienstleister erhielt einen Fernwartungsrouter, ein Historian sendete Daten in die Cloud. Einzelne Freigaben waren jeweils nachvollziehbar; in ihrer Summe entstand jedoch eine Architektur, deren Kommunikationswege niemand mehr vollständig überblickt.
Wer diese Situation nur technisch betrachtet, unterschätzt die betrieblichen Abhängigkeiten. Manche Protokolle nutzen dynamische Ports, ältere Geräte reagieren empfindlich auf Verzögerungen und redundante Systeme erwarten sehr genaue Kommunikationsmuster. Zudem liegen Verantwortlichkeiten oft verteilt: Die IT betreibt zentrale Firewalls, Automatisierung verantwortet die Steuerung, Instandhaltung koordiniert Hersteller und Produktion entscheidet über Wartungsfenster.
Deshalb muss Segmentierung als kontrollierte Veränderung der Produktionsarchitektur geführt werden. Jedes Regelwerk benötigt einen fachlichen Zweck, einen Eigentümer, eine Testmöglichkeit und einen Rückfallplan. Das Sicherheitsziel lautet nicht „möglichst viele Regeln“, sondern: Ein kompromittiertes System soll sich nicht unkontrolliert seitwärts bewegen können, während notwendige Prozesskommunikation zuverlässig erhalten bleibt.
Das Zielbild: Zonen, Übergänge und explizit erlaubte Kommunikation
Die IEC-62443-Reihe verwendet das Konzept von Zonen und Conduits. Assets mit vergleichbaren Sicherheitsanforderungen werden zu Zonen zusammengefasst; die Kommunikation zwischen ihnen erfolgt über kontrollierte Übergänge. CISA empfiehlt ebenfalls, OT-Assets nach Kritikalität, Auswirkung und betrieblicher Notwendigkeit logisch zu gruppieren und Verbindungen zwischen IT und OT über kontrollierte Zwischenstufen zu führen.
Ein typisches Zielbild kann mehrere Ebenen enthalten: Unternehmens-IT, industrielle DMZ, standortweite Produktionsdienste, Linien- oder Anlagenzonen, Maschinenzellen und besonders schutzbedürftige Safety- oder Engineering-Bereiche. Das Purdue-Modell kann bei der Orientierung helfen, ist aber kein fertiges Regelwerk. Moderne Architekturen mit Cloud-Diensten, Edge-Komponenten und direkten Herstellerverbindungen passen nicht immer sauber in Ebenen. Entscheidend bleibt der tatsächliche Kommunikationsbedarf.
Zwischen Zonen gilt ein einfaches Prinzip: Verbindungen sind zunächst nicht erlaubt. Jede Freigabe benötigt Quelle, Ziel, Dienst, Richtung und fachliche Begründung. „Produktionsnetz muss auf Server zugreifen“ ist zu grob. Belastbar wäre beispielsweise: „Historian H1 sendet Prozesswerte über TCP-Port X an Replikationsserver R1 in der industriellen DMZ; keine eingehende Sitzung aus der Unternehmens-IT.“ Je präziser die Soll-Kommunikation, desto sicherer lässt sie sich umsetzen und überwachen.
Vor der Technik: Kritische Datenflüsse sichtbar machen
Der wichtigste vorbereitende Schritt ist eine Kommunikationsmatrix. Passive Netzbeobachtung liefert reale Verbindungen, muss jedoch durch Prozesswissen ergänzt werden. Eine beobachtete Verbindung ist nicht automatisch notwendig; eine während des Messzeitraums nicht sichtbare Verbindung kann bei Rezeptwechsel, Monatsabschluss oder Störung dennoch kritisch sein.
Für jeden Datenfluss sollten Zweck, Häufigkeit, Betriebszeit, Fehlerfolge und Verantwortlicher dokumentiert werden. Besonders relevant sind Dienste, die viele Zonen verbinden: Active Directory, DNS, NTP, Backup, Virenschutz, Patchverteilung, Dateitransfer, Historian, Engineering und Remote Support. Solche Querschnittsdienste können bei falscher Architektur zu Brücken zwischen ansonsten getrennten Bereichen werden.
Ergänzend braucht es eine Liste temporärer und externer Zugänge. Wartungsnotebooks, mobile Router, Herstellerportale oder kurzfristige Firewall-Ausnahmen sind häufig nicht in Netzplänen enthalten. Sie müssen denselben Freigabe- und Überwachungsregeln folgen wie dauerhafte Verbindungen. Andernfalls entsteht neben der sorgfältig segmentierten Architektur ein unkontrollierter Nebenweg.
Die industrielle DMZ richtig nutzen
Eine industrielle DMZ trennt Unternehmens-IT und Produktionsnetze durch einen Bereich, in dem vermittelnde Dienste bereitstehen. Sie soll direkte Sitzungen vermeiden und die Richtung von Datenflüssen kontrollieren. Typische Komponenten sind Jump Hosts, Replikationsserver, Transfer-Gateways, Update-Repositories, Proxys und zentrale Protokollierung.
Der häufigste Konstruktionsfehler ist eine DMZ, durch die Verbindungen nur hindurchgereicht werden. Wenn ein Client aus der Office-IT direkt auf eine SPS zugreifen kann, entsteht durch zwei Firewalls noch keine wirksame Vermittlung. Besser ist ein gestufter Ablauf: Der Nutzer authentisiert sich an einem gehärteten Zugangssystem, die Sitzung wird protokolliert und nur von dort besteht eine zeitlich begrenzte Verbindung zum freigegebenen Ziel.
Auch Datenübertragung sollte möglichst entkoppelt werden. Produktionsdaten werden an einen Dienst in der DMZ repliziert; Systeme der Unternehmens-IT lesen von dort, statt direkt in das OT-Netz zuzugreifen. Dateien für die Produktion durchlaufen eine definierte Übergabestrecke mit Malware-Prüfung, Freigabe und Protokollierung. Bei besonders einseitigen Anforderungen können Datendioden oder technisch erzwungene Einwegmechanismen sinnvoll sein.
Segmentierung innerhalb der OT: Warum die Perimeter-Firewall nicht reicht
Selbst eine sauber getrennte IT/OT-Grenze verhindert keine Ausbreitung innerhalb der Produktion. Ein kompromittierter Engineering-Rechner oder Wartungszugang kann mehrere Linien erreichen, wenn das interne Netz flach bleibt. Deshalb benötigen besonders kritische Anlagen eigene Zonen.
Die Zonengrenzen sollten sich an Auswirkungen und Betriebsverantwortung orientieren. Zwei identische Steuerungen gehören nicht zwingend in dieselbe Zone, wenn sie unterschiedliche Produktionsbereiche mit verschiedenen Stillstandsfolgen bedienen. Umgekehrt kann eine Anlage mehrere Gerätetypen enthalten, die aufgrund enger Echtzeitabhängigkeiten sinnvoll zusammenbleiben.
Mikrosegmentierung bis auf jedes Einzelgerät ist nicht automatisch besser. Sie erhöht Regelmenge, Fehlerrisiko und Betriebsaufwand. Der geeignete Grad entsteht aus einer Risikoabwägung: Wie wahrscheinlich ist laterale Bewegung, welche Folgen hätte sie, welche technischen Grenzen bestehen und wie zuverlässig kann das Regelwerk betrieben werden? Häufig ist eine klare Trennung von Standorten, Linien, Engineering, Safety und Fernwartung der wirksamere erste Schritt.
Migration ohne Produktionsstillstand: ein sechsstufiges Vorgehen
1. Pilot mit repräsentativer, beherrschbarer Anlage
Wählen Sie keinen unkritischen Sonderfall, aber auch nicht die komplexeste Kernanlage. Der Pilot soll typische Protokolle, zentrale Dienste und Herstellerzugänge enthalten. Definieren Sie vorab Erfolgskriterien: bekannte Kommunikationsbeziehungen, getestete Regeln, dokumentierter Rückfall und keine ungeplante Produktionsbeeinträchtigung.
2. Beobachten, ohne zu blockieren
Neue Firewalls oder virtuelle Segmentierungsfunktionen werden zunächst transparent beziehungsweise im reinen Monitoring betrieben. Über einen ausreichend langen Zeitraum werden Normalbetrieb, Produktwechsel, Wartung, Backup und Wiederanlauf beobachtet. Abweichungen werden fachlich bewertet; automatische Regelvorschläge dürfen nicht ungeprüft übernommen werden.
3. Regelwerk in Betriebsfälle übersetzen
Gruppieren Sie Regeln nach verständlichen Funktionen wie Prozesssteuerung, Visualisierung, Engineering, Zeitdienst, Datenausleitung oder Herstellerwartung. Jede Gruppe erhält Eigentümer und Testfall. Dadurch kann der Betrieb beurteilen, welche Funktion bei einer Änderung betroffen wäre.
4. Technisch und organisatorisch testen
Testen Sie nicht nur den Normalbetrieb. Dazu gehören Neustart einer Steuerung, Wiederanlauf nach Stromunterbrechung, Umschaltung redundanter Komponenten, Rezeptwechsel, Herstellerdiagnose und Restore. Prüfen Sie zugleich den Freigabeprozess: Kann eine notwendige Ausnahme außerhalb der Bürozeit kontrolliert eingerichtet und anschließend wieder entfernt werden?
5. Schrittweise auf Blockieren umstellen
Beginnen Sie mit eindeutig unerwünschten Verbindungen und anschließend mit gut verstandenen Zonenübergängen. Für jede Aktivierung werden Wartungsfenster, Ansprechpartner, Live-Monitoring, Abbruchkriterium und vorher getestete Rückfallkonfiguration festgelegt. Kleine, nachvollziehbare Änderungen reduzieren das Risiko gegenüber einem großen Umschalttag.
6. Regeln dauerhaft pflegen
Nach der Migration beginnt der eigentliche Betrieb. Regeln erhalten Ablauf- oder Prüfdaten, Änderungen werden mit Anlagenänderungen verknüpft und ungenutzte Freigaben regelmäßig entfernt. Kennzahlen sollten nicht nur die Zahl blockierter Pakete zeigen, sondern beispielsweise den Anteil begründeter Regeln, unkontrollierter Fernzugänge und überfälliger Rezertifizierungen.
Fernwartung als eigener Sicherheitsprozess
Fernwartung ist oft der schwierigste Übergang, weil schnelle Herstellerunterstützung geschäftskritisch sein kann. Ein vollständiges Verbot führt in der Praxis häufig zu Schattenlösungen. Sicherer ist ein standardisierter Zugangspfad mit starker Authentisierung, personengebundener Identität, zeitlicher Freigabe, begrenztem Ziel und nachvollziehbarer Sitzung.
Der Dienstleister sollte nicht selbst entscheiden können, wann sein Zugang aktiv ist. Ein interner Verantwortlicher genehmigt Anlass und Dauer; nach Abschluss wird die Verbindung automatisch geschlossen. Gemeinsame Herstellerkonten erschweren die Nachvollziehbarkeit und sollten abgelöst oder durch vorgelagerte Identitäts- und Sitzungssteuerung kompensiert werden.
Für Notfälle braucht es einen dokumentierten Break-glass-Prozess. Er darf Sicherheitskontrollen nicht einfach umgehen, sondern beschreibt, wer die Ausnahme freigibt, wie sie protokolliert wird und wann eine nachträgliche Prüfung erfolgt. Ein solcher Weg verhindert, dass unter Zeitdruck improvisierte Dauerfreigaben entstehen.
Technische Stolpersteine in industriellen Netzen
- Dynamische oder herstellerspezifische Protokolle: Klären Sie mit Hersteller und Integrator, welche Sitzungen tatsächlich benötigt werden. Paketmitschnitte helfen bei der Validierung, ersetzen aber keine Freigabe.
- Broadcast und Multicast: Manche Discovery- oder Redundanzverfahren funktionieren nicht über Zonengrenzen. Die Architektur muss solche Abhängigkeiten bewusst berücksichtigen.
- Zeitkritische Kommunikation: Zusätzliche Sicherheitskomponenten können Latenz und Jitter verändern. Messen Sie vor und nach der Umstellung unter Last.
- Redundanz: Firewalls, Stromversorgung und Netzpfade dürfen keinen neuen Single Point of Failure bilden. Auch die Konfigurationssicherung gehört in den Wiederanlaufplan.
- Verschlüsselte Verbindungen: Verschlüsselung schützt Inhalte, kann aber Überwachung erschweren. Endpunkte, Zertifikate und Metadaten müssen trotzdem kontrolliert werden.
- Legacy-Systeme: Wenn ein Gerät keine moderne Authentisierung unterstützt, können Zonenbegrenzung, Jump Host, Protokoll-Gateway und enges Monitoring kompensieren.
Wie sich Wirksamkeit messen lässt
Ein Projekt ist nicht erfolgreich, weil eine neue Firewall installiert wurde. Aussagekräftige Prüfungen orientieren sich an Angriffspfaden und Betriebsfällen. Kann ein kompromittierter Office-Client eine Produktionskomponente direkt erreichen? Ist ein Engineering-Zugang nur aus der vorgesehenen Zone möglich? Wird eine neue Kommunikationsbeziehung erkannt? Können Regeln einem fachlichen Eigentümer und einer gültigen Begründung zugeordnet werden?
Regelmäßige Architekturtests, kontrollierte Pfadprüfungen und Tabletop-Szenarien verbinden Technik und Organisation. Dabei sollte auch der Ausfall einer Segmentierungskomponente simuliert werden. Entscheidend ist, ob die Produktion einen sicheren Zustand halten oder kontrolliert wiederanlaufen kann.
Eine gute Segmentierung reduziert nicht nur Angriffsflächen. Sie verbessert Störungsdiagnose, macht Abhängigkeiten sichtbar und schafft klare Verantwortungsgrenzen. Dieser betriebliche Nutzen erhöht die Akzeptanz und sorgt dafür, dass das Zielbild nach Projektende nicht wieder durch Ausnahmen aufgeweicht wird.
Fazit: sicher trennen, was betrieblich verstanden ist
OT-Netzwerksegmentierung ohne Produktionsstillstand ist möglich, wenn Unternehmen den Umbau von den Prozessen her planen. Kommunikationsmatrix, Zonenmodell, industrielle DMZ, kontrollierte Fernwartung und eine schrittweise Migration bilden zusammen ein belastbares Vorgehen. Die zentrale Regel lautet: Erst beobachten und fachlich verstehen, dann testen und begrenzt blockieren. So wird aus einer gewachsenen Netzstruktur eine kontrollierbare Architektur, ohne Verfügbarkeit gegen Sicherheit auszuspielen.
BlackMount entwickelt mit Anlagenbetreibern realistische Zonenmodelle, überprüft Datenflüsse und begleitet die Migration bis in den stabilen Betrieb. Weitere Informationen finden Sie unter OT-Security Beratung.
