Maschinennetzwerke absichern: Segmentierung, VPN und Zugriffsrechte

Symbolbild, KI-generiert (gpt-image-1)

Der Anlass ist fast immer derselbe: Eine neue Anlage soll fernwartbar sein, der Maschinenhersteller möchte Zugriff, und die IT möchte wissen, was da eigentlich in ihr Netz kommt. Ein Maschinennetzwerk abzusichern ist dabei weniger eine Frage der eingesetzten Technik als eine der Reihenfolge — wer zuerst den Zugang baut und danach über Trennung nachdenkt, kommt selten sauber zurück.

Die Ausgangslage: Ein Netz, in dem jeder jeden erreicht

Gewachsene Anlagennetze sind flach. Steuerungen, Bedienpanels, Kameras, ein Drucker und der Rechner des Instandhalters hängen im selben Adressbereich, weil es so am schnellsten funktioniert hat. Solange nichts nach außen geht, fällt das nicht auf.

Der Punkt ist: Es geht immer etwas nach außen. Ein Servicelaptop, der morgens beim Kunden und mittags in der eigenen Halle steckt, ein USB-Stick mit einem Firmware-Update, ein Bedienpanel mit Windows und einem Wartungsvertrag von 2019. Die Vorstellung, das Maschinennetz sei getrennt, weil es keinen Internetanschluss hat, hält keiner Betriebsrealität stand.

Was zuerst versucht wird — und warum es nicht trägt

Die Portweiterleitung. Der schnellste Weg zur Fernwartung ist eine Weiterleitung im Werksrouter auf die Steuerung. Das funktioniert sofort und ist der teuerste Fehler in dieser Liste. Ein offener Port im Internet wird nicht irgendwann gefunden, sondern zuverlässig innerhalb von Stunden: Den gesamten IPv4-Adressraum auf einen einzelnen Port abzusuchen, ist mit heutiger Anbindung eine Sache von Minuten. Was dort antwortet, wird protokolliert, ob es jemanden interessiert oder nicht.

Die Maschine ins Werksnetz hängen. Der zweite Umweg vermeidet den offenen Port und handelt sich dafür das umgekehrte Problem ein: Jetzt erreicht jeder Büroarbeitsplatz die Steuerung. Eine Anlage, die auf ein verirrtes Netzwerk-Scan-Paket mit einem Reset reagiert — es gibt sie —, steht dann wegen der Inventarisierungssoftware der IT.

Fernwartungssoftware auf dem Bedienpanel. Funktioniert, verlagert das Vertrauen aber vollständig zu einem Dritten und hinterlässt keine Spur, die man im Nachhinein auswerten kann. Für den Notfall am Samstag ist das eine Lösung, als Dauerzustand nicht.

Der tragfähige Aufbau: erst trennen, dann verbinden

Die Reihenfolge ist das Eigentliche. Zuerst bekommt die Anlage ein eigenes Netz hinter einem Industrierouter, der die Grenze zieht — Maschinenseite innen, Werksnetz außen, dazwischen ausschließlich das, was ausdrücklich erlaubt ist. Erst danach wird der Zugang gebaut.

Der Zugang selbst wird ausgehend aufgebaut: Der Router in der Anlage baut den Tunnel nach außen auf, nicht umgekehrt. Damit gibt es von außen nichts zu finden — kein offener Port, keine erreichbare Adresse, keine Angriffsfläche, die man pflegen müsste. Wie ein solcher Tunnel eingerichtet wird, steht in der Anleitung zum VPN-Tunnel mit Teltonika RMS; was das Managementsystem dahinter leistet, erklärt Was ist RMS?.

Für die Anmeldung am Tunnel gilt: Zertifikate statt gemeinsamer Passwörter. Der Unterschied zeigt sich nicht im Betrieb, sondern beim Ausscheiden eines Servicetechnikers. Ein Zertifikat wird zurückgezogen, ein geteiltes Passwort müsste auf allen Anlagen geändert werden — und wird es deshalb nicht.

Warum Segmentierung mehr bringt als jede zusätzliche Regel

Dazu eine Rechnung, die die Sache entscheidet. In einem flachen Netz mit 40 Geräten kann jedes jedes erreichen: 40 × 39, also 1.560 mögliche Verbindungswege. Zerlegt man dieselbe Anlage in vier Zellen zu je zehn Geräten, bleiben innerhalb der Zellen 4 × 90 = 360 Wege, dazu eine Handvoll ausdrücklich eingerichteter Übergänge. Der Aufwand ist derselbe Schaltschrank, das Ergebnis rund ein Viertel der Angriffsfläche.

Daraus die Faustregel: Die Zahl der Wege wächst quadratisch mit der Zahl der Geräte im selben Segment. Eine Firewallregel entfernt einen Weg, eine Zellgrenze entfernt Hunderte. Wer Aufwand priorisieren muss, schneidet zuerst das Netz und schreibt danach Regeln.

Praktisch heißt das: eine Zelle je Anlage oder Fertigungsinsel, Übergänge nur dort, wo ein Prozess sie braucht, und der Instandhaltungszugang als eigene Zone. Die Trennung im Schaltschrank übernimmt der Switch, die Grenze nach außen der Router — Industrial-Ethernet-Switches und Industrie-Router sind hier zwei verschiedene Bauteile mit zwei verschiedenen Aufgaben.

Zugriff nach Minimalprinzip — und was er im Betrieb kostet

Der Maschinenhersteller braucht seine Steuerung, nicht die Nachbarzelle und nicht den Dateiserver. Das lässt sich einrichten, und es ist der Teil, der im Alltag erodiert: Nach dem dritten Störungsfall um 22 Uhr steht die Regel offener als vorgesehen, und niemand dreht sie zurück.

Zwei Betriebsaufgaben gehören deshalb von Anfang an in den Plan, sonst passieren sie nicht. Erstens die Firmware: Ein Router an der Netzgrenze ist nur so gut wie sein letzter Sicherheitsstand, und das Firmware-Update bei Teltonika-Routern ist in zehn Minuten erledigt — aber eben nicht von allein. Zweitens die Protokollierung: Wer wann welchen Tunnel aufgebaut hat, ist die einzige Information, die im Ernstfall zählt. Ohne sie beginnt jede Untersuchung mit einer Schätzung.

Situation und Empfehlung

Wer eine bestehende Anlage nachrüstet, fängt bei der Grenze an und nicht beim Feintuning: Ein sauber gesetzter Übergang mit drei Regeln wirkt mehr als dreißig Regeln in einem flachen Netz.

Passende Hardware: Industrie-Router für die Netzgrenze, Industrial-Ethernet-Switches für die Trennung im Schaltschrank sowie das Programm von Teltonika Networks.

Zurück zum Wiki-Inhaltsverzeichnis.