IT & OT gemeinsam verwalten und sauber segmentieren
Produktionsmaschinen laufen oft 20 Jahre, ältere Industrieprotokolle bieten nur begrenzte Sicherheitsfunktionen: Warum Produktionsnetzwerke andere Regeln brauchen als die Büro-IT, und was das für die Netzwerksegmentierung bedeutet.
Fünf Regeln für Produktionsnetzwerke
Büro-IT und Produktion sind heute enger miteinander verbunden als je zuvor. Maschinen liefern Daten an ERP-Systeme, Techniker warten Anlagen per Fernzugriff, und Sensoren hängen im selben Netz wie die Buchhaltung. Diese Verbindung schafft Effizienz, sie bringt aber auch eigene Regeln mit sich, die sich von klassischer Büro-IT deutlich unterscheiden.
In der Büro-IT steht meist der Schutz von Daten im Vordergrund. In der Produktion haben Verfügbarkeit, Integrität und vor allem die sichere Beherrschung des physischen Prozesses eine besondere Bedeutung: Ein Stillstand oder eine Fehlfunktion kann teurer und gefährlicher sein als ein Datenabfluss. Dazu kommt: Eine Produktionsmaschine lässt sich nicht wie ein Laptop einfach aktualisieren oder ersetzen, und die technische 'Sprache', in der Maschinen miteinander sprechen, wurde häufig nicht mit heutigen Sicherheitsanforderungen entwickelt. Genau diese Besonderheiten bestimmen, wie ein Produktionsnetzwerk sinnvoll aufgebaut sein muss.
Die folgenden fünf Regeln greifen diese Besonderheiten auf und zeigen, worauf es bei der Netzwerkstruktur in der Produktion wirklich ankommt.
1. Verfügbarkeit, Integrität und Betriebssicherheit richtig gewichten
Wenn in der Büro-IT ein System ausfällt, ist das ärgerlich. Wenn eine Produktionsanlage ausfällt oder unkontrolliert reagiert, steht im schlechtesten Fall die Fertigung, oder es entsteht eine Gefahr für Mitarbeitende. Deshalb haben in OT-Umgebungen Verfügbarkeit, Integrität und vor allem die sichere Beherrschung des physischen Prozesses eine besondere Bedeutung. Eine Maßnahme, die in der Büro-IT sinnvoll ist, etwa ein System bei einer Auffälligkeit sofort vom Netz zu trennen, kann in der Produktion das falsche Mittel sein, wenn dadurch eine laufende Anlage abrupt stoppt.
2. Alte Maschinen mitdenken, nicht wegdiskutieren
Eine Produktionsmaschine läuft oft 15 bis 25 Jahre. Bei einem Laptop installiert man ein Sicherheitsupdate, sobald eine Lücke bekannt wird. Bei einer älteren Maschine geht das häufig nicht: Entweder gibt es vom Hersteller kein Update mehr, oder ein Neustart für die Installation würde die Produktion für Stunden stoppen. Bleibt eine Schwachstelle ungepatcht, müssen deshalb andere Schutzmaßnahmen das daraus entstehende Risiko reduzieren.
Was das für das Netzwerk bedeutet: Wenn sich die Maschine selbst nicht ausreichend absichern lässt, muss die Umgebung einen Teil dieser Schutzaufgabe übernehmen. Der Zugriff auf die Maschine wird auf die tatsächlich erforderlichen Systeme und Kommunikationswege beschränkt. So lässt sich das Risiko auch dann deutlich reduzieren, wenn Schwachstellen auf dem Gerät selbst nicht behoben werden können.
3. Industrielle Protokolle kennen ihre eigenen Regeln
Maschinen in der Produktion sprechen häufig nicht dieselbe technische Sprache wie ein Laptop im Büro. Sie nutzen spezielle, teils Jahrzehnte alte Industrieprotokolle wie Modbus oder PROFINET. Viele dieser Protokolle wurden ursprünglich für abgeschottete und verlässliche Produktionsnetze entwickelt. Bei älteren Implementierungen fehlen deshalb häufig Sicherheitsmechanismen wie starke Authentisierung, Verschlüsselung oder eine fein abgestufte Zugriffskontrolle. Moderne Protokollversionen und Geräte können solche Funktionen zunehmend unterstützen, in bestehenden Produktionsumgebungen sind sie jedoch längst nicht überall verfügbar.
Wo Geräte oder Protokolle selbst keine ausreichenden Sicherheitsmechanismen bieten, wird die Netzwerkarchitektur umso wichtiger. Segmentierung, Firewalls und gezielte Zugriffsbeschränkungen sorgen dafür, dass nur notwendige Kommunikationsbeziehungen zugelassen werden. VLANs können dabei logische Netzbereiche trennen; die eigentliche Sicherheitswirkung entsteht durch kontrollierte Übergänge, zum Beispiel über Firewalls, ACLs oder eine OT-DMZ. Dieses Prinzip entspricht dem Zonen-und-Conduits-Ansatz der IEC 62443.
4. Fernwartung kontrollieren
Wartungszugänge für Hersteller und Dienstleister sind in der Produktion häufig notwendig, aber sie sollten nicht dauerhaft offenstehen. Fernzugriffe sollten mindestens durch Multi-Faktor-Authentifizierung geschützt, auf die tatsächlich benötigten Systeme und Rechte begrenzt, zeitlich auf das Wartungsfenster beschränkt und nachvollziehbar protokolliert werden. In anspruchsvolleren Umgebungen kann zusätzlich ein zentraler Jump Host beziehungsweise Bastion Host sinnvoll sein. Ein Zugang, der 'nur für den Notfall' seit Monaten aktiv ist, ist in der Praxis kein Notfallzugang mehr, sondern ein unnötiges dauerhaftes Risiko.
5. Änderungen gemeinsam planen
IT, Produktion und die Anforderungen der Anlagenhersteller müssen bei jeder Änderung zusammenpassen. Ein Patch oder eine Netzwerkumstellung, die aus IT-Sicht überfällig ist, kann für eine Anlage, die laut Regel 2 nicht einfach neu gestartet werden kann, zum Betriebsrisiko werden. Ohne abgestimmte Prozesse zwischen den Abteilungen entsteht entweder Stillstand aus übertriebener Vorsicht oder eine Sicherheitslücke aus fehlender Abstimmung.
Fazit: Was das für Ihr Unternehmen bedeutet
Produktionsnetzwerke folgen anderen Regeln als klassische Büro-IT, weil sich Maschinen, Steuerungssysteme und ihre Kommunikationswege nicht immer nachträglich auf das Sicherheitsniveau moderner IT-Systeme bringen lassen. Die Konsequenz ist in fast allen Fällen dieselbe: konsequente Netzwerksegmentierung als eine zentrale Schutzmaßnahme innerhalb eines mehrschichtigen Sicherheitskonzepts. Omada kann bei zentraler Verwaltung, VLAN-Strukturen und Zugriffsbeschränkungen ein sinnvoller Baustein sein, insbesondere wenn mehrere Standorte einheitlich verwaltet werden sollen. Für kritische Produktionsumgebungen mit hohen Anforderungen an Verfügbarkeit und Ausfallsicherheit können zusätzliche, spezialisierte Sicherheitskomponenten notwendig sein, etwa für die Überwachung von Industrieprotokollen und Kommunikationsbeziehungen, die klassische IT-Security-Tools nicht immer ausreichend abbilden.
Der entscheidende Gedanke bleibt in jedem Fall derselbe: IT und OT gemeinsam zu planen, aber nicht unkontrolliert im selben Netz zu betreiben. Wie klar sind die Kommunikationswege zwischen Ihrer Büro-IT und der Produktion heute tatsächlich definiert?
Sie möchten wissen, wie sauber Ihr Produktionsnetzwerk segmentiert ist? Lassen Sie uns das gemeinsam prüfen.
