Der typische Ransomware-Angriff auf ein Fertigungsunternehmen beginnt nicht im OT-Netz. Er beginnt mit einer Phishing-E-Mail im Büro-Netz, kompromittiert einen Büro-PC, und bewegt sich dann über gemeinsam genutzte Netzwerklaufwerke, schlecht konfigurierte Domänen-Trusts oder direkte Netzwerkverbindungen seitlich in das Produktionsnetz. Ohne Segmentierung ist der Weg ungehindert.
Das Drei-Zonen-Modell
Das bewährteste Grundmodell für die IT/OT-Trennung ist ein Drei-Zonen-Konzept nach IEC 62443:
Zone 1 – Enterprise (IT): Büro-PCs, ERP-Server, E-Mail, Internet-Gateway. Standard-IT-Sicherheitsmaßnahmen (Antivirus, MDM, E-Mail-Filterung). Kommunikation nach außen erlaubt.
Zone 2 – Demilitarisierte Zone (DMZ): Die Pufferzone zwischen IT und OT. Enthält Historian-Server (Datenpuffer), Fernwartungs-Jump-Server, MES-Datenbankserver (soweit IT-seitig). Kein direkter Netzwerkpfad zwischen Zone 1 und Zone 3 – alle Daten fließen über die DMZ.
Zone 3 – OT/Control Network: SCADA-Server, HMI-Workstations, SPS-Netzwerksegmente, Engineering-Workstations. Kein Internet-Zugang, keine Domain-Mitgliedschaft (oder separate OT-Domain), strikt eingeschränkte Kommunikationsbeziehungen.
Firewall-Konzept für die OT-Grenze
Die Firewall zwischen DMZ und OT-Zone sollte als Whitelist-Firewall konfiguriert sein: Nur explizit erlaubte Kommunikationsbeziehungen (Quell-IP, Ziel-IP, Port, Protokoll) sind durchgelassen, alles andere wird blockiert und geloggt. Typische erlaubte Verbindungen:
- Historian-Server (DMZ) → SCADA-OPC-UA-Server (OT): TCP 4840 (OPC UA)
- MES-Server (DMZ) → SPS-Segment (OT): TCP 102 (S7-Kommunikation) für spezifische SPS-IPs
- Engineering-PC (OT) → Internet (via IT-Proxy): nur bei explizitem Ticket-Freigabeprozess
OT-spezifische Firewalls (z. B. Fortinet FortiGate OT-Edition, Cisco Cyber Vision) verstehen industrielle Protokolle (Modbus, S7, PROFINET) und können Deep Packet Inspection auf Protokollebene durchführen – ein normaler IT-Firewall kann Modbus-Anfragen inhaltlich nicht prüfen.
Sichere Fernwartung: das kritische Gateway
Fernwartungszugänge für externe Maschinenbauer sind der am häufigsten missbrauchte Angriffsvektor in OT-Umgebungen. Best-Practice-Konzept:
- Dedizierter Fernwartungs-Jump-Server in der DMZ: Externer Techniker verbindet sich mit VPN auf Jump-Server, von dort auf Maschine – keine direkte Verbindung vom Internet ins OT-Netz.
- Multi-Faktor-Authentifizierung (MFA) für alle Fernzugänge: Passwort allein reicht nicht.
- Sitzungsaufzeichnung: Alle Remote-Sessions werden aufgezeichnet und 90 Tage archiviert (Forensik und Compliance).
- Time-limited Access: Fernwartungszugang wird für definiertes Zeitfenster freigeschaltet und danach automatisch deaktiviert.
- Vendor-spezifische VLANs: Jeder Lieferant erhält nur Zugang zu seinen Maschinen, nicht zum gesamten OT-Netz.
VLAN-Segmentierung im OT-Netz
Innerhalb des OT-Netzes empfiehlt IEC 62443 weitere Mikrosegmentierung per VLAN: SPS-Linie-A ist in einem anderen VLAN als SPS-Linie-B. Engineering-Workstations haben keinen direkten Zugriff auf HMI-Stationen. Damit wird der Bewegungsradius eines Angreifers auch innerhalb des OT-Netzes eingeschränkt.