Manufacturing-Realität. OT-IT-Konvergenz. NIS2-essential.

Was wir vorfinden

Das BSI führt in seiner Liste der zehn wichtigsten Bedrohungen für industrielle Steuerungssysteme den „Einbruch über Fernwartungszugänge“ und „Internet-verbundene Steuerungskomponenten“ auf, ergänzt um Schwachstellen in der Lieferkette. Das ist die Außenansicht. Von innen sieht es so aus:

Ansätze, die seit zwanzig Jahren stehen. In Fertigungsbetrieben, oft familiengeführt und über Generationen gewachsen, finden wir Konstruktionen, die man vor zwei Jahrzehnten in Herstellerschulungen gelernt hat — unverändert in Betrieb. Zuletzt beim Fernzugriff: ein Modell, das damals Stand der Technik war und heute keiner Prüfung mehr standhält.

MAB als Zugangskontrolle. MAC Authentication Bypass wird als Zugangskontrolle verkauft und verstanden, mitunter sogar als Dot1x bezeichnet. In der eigenen Dokumentation des Herstellers steht dazu, dass MAB kein starkes Authentifizierungsverfahren ist und durch Spoofing einer gültigen MAC-Adresse ausgehebelt werden kann. Wer eine Kamera oder einen Drucker im Werk erreicht, hat damit einen gültigen Port.

Ein Hersteller für alle Schichten. VPN, Firewall, Proxy, Zugangskontrolle, Rechenzentrums-Netz — dieselbe Marke, unabhängig davon, ob das Produkt für diese Schicht das stärkste ist. Parallel dazu ein statisch geroutetes Bestandsnetz, während gleichzeitig moderne Fabric-Architekturen aufgebaut werden, weil Hersteller und Integrator es empfohlen haben.

Und dann die neue Welt, ohne Netzwerk. Kubernetes, Terraform, zwei Hyperscaler und ein CDN gleichzeitig, eingeführt von Teams, die dafür weder ausgebildet noch personell ausgestattet sind. Das Ergebnis sind Umgebungen, die im Betrieb niemand mehr vollständig überblickt — und die trotzdem an das Werksnetz angebunden werden.

Beraten wird man von dem, der die Hardware verkauft

Das ist der Kern des Problems, und es ist keine Frage von Kompetenz auf Kundenseite. Wer eine Architektur empfiehlt, verkauft in aller Regel auch die Komponenten, aus denen sie besteht. Das ist eine legitime Geschäftsmotivation, aber sie erzeugt systematisch dieselben Ergebnisse: mehr Kästen, mehr Lizenzen, ein Hersteller über alle Schichten, und eine Empfehlung, die nie lautet „dafür brauchen Sie nichts zu kaufen“. Dass 2026 immer noch MPLS-Angebote als Modernisierung auf Tischen liegen, folgt derselben Logik.

In vielen Häusern liegt die Verantwortung außerdem seit Jahrzehnten bei denselben Personen, gewachsen aus dem Betrieb heraus. Das ist keine Schwäche — diese Leute kennen ihre Anlage besser als jeder Externe. Das Problem ist die Fortbildung, die daneben nie stattgefunden hat, und die Beratung, die ausgerechnet vom Anbieter kam. Wer zwanzig Jahre dieselbe Architektur betreut, hatte nie Anlass, die Prinzipien dahinter in Frage zu stellen. Genau dafür holt man jemanden von außen — nicht, um die Leute zu ersetzen.

Unsere Position dazu ist unbequem und einfach: Ein Konzept wird finalisiert, damit es danach hinterfragt werden kann. Wir tun das mit unseren eigenen alle sechs Monate. Was in einer Fertigung seit zwanzig Jahren unverändert steht, hat diese Prüfung nie erlebt.

Wie man da herauskommt

Zuerst die Zonen, dann die Produkte. IEC 62443 gibt dafür den Rahmen: Zonen und Conduits, Security Level je Zone nach Schadenspotenzial. Das ist Architekturarbeit und kostet keine Lizenz. Erst danach stellt sich die Frage, welches Produkt eine Zone durchsetzt — und die Antwort ist pro Schicht eine andere.

Übergänge terminieren. Zwischen Büro-IT, MES-Ebene und Feldebene steht ein System, das das Protokoll beendet, prüft und nur Zulässiges weitergibt. Modbus, Profinet, S7 und OPC UA haben einen beschreibbaren Normalzustand; ein Übergang, der das versteht, ist mehr wert als eine Regel, die ein Netzwerk weiterreicht.

Zugriff bekommt ein Ende. Herstellerfernwartung läuft über eine PAM-Strecke: Freigabe je Einsatz, festes Zeitfenster, Sitzungsaufzeichnung, keine dauerhaft hinterlegten Anmeldedaten. Das adressiert die Bedrohung, die das BSI in seiner Top-10-Liste führt, ohne die Wartung unmöglich zu machen.

Eine Quelle der Wahrheit. Identitäten, Regeln und Zustände liegen an einer Stelle und versioniert. Von dort werden Netzwerk, Server, Endpoints und Anwendungen versorgt. Ohne das bleibt jede Zonenarchitektur eine Zeichnung.

Auf Geräteebene ohne Agenten. Auf SPS und Stationsebene läuft nichts von uns. Die Kontrolle sitzt am Übergang: terminieren, prüfen, weitergeben oder ablehnen — und auf dem Prozessverkehr ein gelerntes Normalbild, das Abweichungen an einen Menschen meldet.

Was sich als erstes lohnt

Eine Bestandsaufnahme der Übergänge und der Fernzugänge, bevor irgendetwas beschafft wird. In der Reihenfolge: Wer kommt heute von außen herein und über welchen Weg; welche Zone spricht mit welcher und worüber; wo hängt Zugangskontrolle an einer MAC-Adresse; und welche der laufenden Projekte lösen ein Problem, das Sie tatsächlich haben.

Quelle: BSI-CS 005, „Industrial Control System Security — Top 10 Bedrohungen und Gegenmaßnahmen“, Version 1.50 vom 03.05.2022. Zur Einordnung von MAB: Cisco, MAC Authentication Bypass Deployment Guide.