Segmentierung ist das kritischste und zugleich am häufigsten vernachlässigte Thema der OT-Sicherheit. In vielen Anlagen wird das OT-Netz über die Jahre immer flacher, damit es „einfach zu verwalten“ ist: dasselbe VLAN, dieselbe Broadcast-Domäne, jedes Gerät kommuniziert mit jedem anderen. Für Angreifer ist diese Struktur ein Traum. Denn nach dem ersten Eindringen haben sie großen Bewegungsspielraum und stoßen beim Wechsel von einem Gerät zum nächsten auf keine Barrieren.
Ein beängstigendes Szenario: Ein Wartungslaptop wird auf der IT-Seite durch Phishing infiziert. Zur Wartung wird er in die Anlage gebracht und an einen Switch angeschlossen. Da das interne Netz flach aufgebaut ist, kann der Laptop problemlos auf HMIs, die Engineering-Station und den Historian zugreifen. Die Schadsoftware beginnt, sich wie ein Wurm zu verbreiten: Sie durchsucht alle Geräte mit unzureichend abgesicherten SMB-Freigaben. Das Ergebnis: HMI-Bildschirme sind gesperrt, SCADA-Dienste ausgefallen, die Produktion steht still. Die gemeinsame Ursache dieses Vorfalls ist das flache Netzwerk.
Das Ziel der Segmentierung ist einfach: Wird ein Bereich kompromittiert, dürfen nicht alle anderen mit betroffen sein. In der OT bietet der Zonen- und Conduit-Ansatz der IEC 62443 dafür eine praxisnahe Grundlage:
-
Zone (Bereich): Gruppe von Betriebsmitteln mit ähnlicher Kritikalität und ähnlichem Sicherheitsbedarf
-
Conduit (Kommunikationskanal): Kontrollierte Kommunikationsverbindung zwischen Zonen (Firewall/ACL/IPS)
Beispiel für eine gute Segmentierung:
-
Unternehmens-IT-Netz
-
DMZ (Pufferzone zwischen OT und IT)
-
OT-Managementnetz (Jump-Server, Update-Repository, NTP)
-
Steuerungsnetz (PLC/RTU)
-
Visualisierung (HMI/SCADA)
-
Sicherheitsüberwachung (NDR/SIEM-Kollektor)
-
Zugriffszone für Lieferanten (protokolliert, zeitlich begrenzt)
Wichtige Punkte bei der Umsetzung:
-
„Default Deny“-Ansatz: Nicht pauschal alles erlauben. Nur die benötigten Kommunikationsflüsse definieren und freigeben.
-
Protokolleigenschaften berücksichtigen: OT-Protokolle verwenden teilweise Broadcast- und Keepalive-Mechanismen. Die Regeln müssen entsprechend mit Bedacht ausgelegt werden.
-
Laterale Bewegung begrenzen: Muss ein HMI auf alle PLCs zugreifen können? Oder nur auf die PLCs der zugehörigen Linie?
-
Management-Datenverkehr trennen: Die Engineering-Workstation und der Datenverkehr der Produktionssteuerung sollten sich nicht im selben Segment befinden.
-
Beobachtbarkeit: Datenflüsse zwischen den Segmenten müssen protokolliert und Regeländerungen dokumentiert werden.
Ein überzeugendes Kostenargument: Die Investition in die Segmentierung erscheint wie eine „zusätzliche Firewall“. Doch ein vollständiger Stillstand der Fabrik durch einen einzigen Vorfall ist um ein Vielfaches teurer als die Segmentierung. Segmentierung bremst Angreifer aus. Je mehr Zeit ein Angreifer verliert, desto höher ist die Wahrscheinlichkeit, dass er entdeckt wird. Genau das müssen Sie in der OT gewinnen: Zeit.
