OT/IT-Segmentierung: Anlagen trennen, ohne sie zu stoppen

OT/IT-Segmentierung gelingt, sobald man aufhört, die Anlage wie ein Büronetz zu behandeln. Die entscheidende Maßnahme ist eine gestufte Grenze: eine gehärtete IT-OT-DMZ zwischen Unternehmens-IT und Produktionsnetz, Verkehr nur über benannte Conduits mit ausdrücklicher Protokoll-Freigabeliste, und Einweg-Datendioden überall dort, wo Telemetrie hinaus muss, aber niemals etwas zurück darf. Verfügbarkeit hat Vorrang, nicht Vertraulichkeit, und diese eine Umkehrung schreibt jede Regel neu, die Sie aus der IT mitgebracht haben.

Die Grenze zwischen Unternehmensnetzen und den Systemen, die tatsächlich etwas bewegen, KRITIS-regulierte Betreiber, Industrie-4.0-Linien und die Firewalls dazwischen, ist ein Feld mit eigenen Regeln. Die Fehler dort sind selten eine fehlende Funktion. Es ist ein IT-Segmentierungskonzept, unverändert übertragen auf ein Netz, in dem ein verworfenes Paket einen Ofen zum Stillstand bringen kann. Dieser Leitfaden beschreibt die Architektur, die hält, und die Änderungsdisziplin, die sie aufrecht erhält.

Warum IT-Segmentierung in der Anlage scheitert

Das IT-Konzept setzt voraus, dass man dienstags patcht, um Mitternacht neu startet, jederzeit scannt und alle vier Jahre die Hardware tauscht. Nichts davon gilt in der OT. Eine speicherprogrammierbare Steuerung läuft womöglich fünfzehn Jahre unberührt. Aktives Scannen kann ein Altgerät zum Absturz bringen, das nie ein fehlerhaftes Paket gesehen hat. Ein Wartungsfenster öffnet sich vielleicht zweimal im Jahr, und nur im Beisein der Werkleitung. Auch die Prioritäten kehren sich um: In der IT lautet die Reihenfolge Vertraulichkeit, Integrität, Verfügbarkeit; in der OT zuerst Verfügbarkeit und Sicherheit, Vertraulichkeit oft zuletzt.

Diese Umkehrung ist der Kern. Ein Segmentierungsentwurf, der einen unbekannten Datenfluss stillschweigend verwirft, ist in der IT richtig und in der OT gefährlich, denn der unbekannte Fluss kann das Lebenszeichen sein, das ein Sicherheitssystem scharf hält. Die folgende Architektur ist darauf ausgelegt, laut und sicher zu scheitern, nicht leise.

Die Referenzarchitektur: Purdue plus eine IT-OT-DMZ

Das tragfähige Referenzmodell ist die Purdue-Enterprise-Reference-Architecture, auf der sowohl IEC 62443 als auch NIST SP 800-82 aufbauen. Sie teilt die Umgebung in Ebenen, von Unternehmenssystemen oben bis zum physischen Prozess unten, und setzt eine eigene demilitarisierte Zone zwischen Unternehmens- und Produktionsnetz. Nichts aus der Unternehmens-IT auf Ebene 4 spricht direkt mit Steuerungen auf Ebene 2. Alles läuft über die DMZ, wo ein Broker, ein Historian-Replikat oder ein Sprungserver die Sitzung beendet und eine neue, strenger geregelte nach innen aufgebaut wird.

Die IT-OT-DMZ ist das tragende Element. Sagt ein Betreiber, seine Anlage sei segmentiert, weil zwischen Büro und Fertigung eine Firewall steht, steckt dahinter meist ein einzelnes Gerät mit großzügigem Regelwerk und ohne vermittelnde Schicht. Das ist eine Bremsschwelle, keine Grenze. Die Zonen-und-Conduit-Disziplin aus der Mikrosegmentierung gilt auch hier, doch die Entwurfseinheit ist die Zelle, nicht die einzelne Last.

Conduits, nicht nur Zonen

IEC 62443 beschreibt den Entwurf als Zonen und Conduits. Eine Zone ist eine Gruppe von Anlagen mit gemeinsamem Schutzniveau. Ein Conduit ist der einzige zugelassene Pfad zwischen zwei Zonen und führt eine benannte, freigegebene Menge an Protokollen. Hier zeigt OT-Segmentierung ihren Wert. Eine Unternehmens-Firewall erlaubt TCP 502 und hält die Sache für erledigt. Ein OT-bewusster Conduit erlaubt Modbus über TCP 502 und prüft die Funktionscodes, sodass ein Read-Holding-Register passiert, ein Write-Multiple-Registers aus unerwarteter Quelle aber nicht.

Diese Freigabe auf Funktionsebene ist der Unterschied zwischen Segmentierung, die im Diagramm gut aussieht, und Segmentierung, die einen kompromittierten Engineering-Laptop übersteht. Industrieprotokolle wie Modbus, OPC UA, PROFINET, EtherNet/IP und DNP3 wurden für vertrauenswürdige Netze entworfen und tragen kaum Authentisierung. Der Conduit ist der Ort, an dem Sie die Kontrolle nachrüsten, die das Protokoll nie hatte. Dieselbe Egress-Logik, die in der IT Exfiltration begrenzt und im Egress-Filterungs-Leitfaden beschrieben ist, gilt hier nach innen: Eine Steuerung hat im Internet nichts zu suchen, und der Conduit ist der Ort, an dem Sie das beweisen.

Wo Firewalls enden und Datendioden beginnen

Eine Firewall ist konstruktiv bidirektional, also lässt sie sich so fehlkonfigurieren, dass ein Rückkanal entsteht. Für die folgenreichsten Grenzen, etwa den Produktions-Historian, der ein Unternehmens-Dashboard speist, oder ein Sicherheitssystem, das seinen Status meldet, ist die richtige Maßnahme eine Datendiode: Hardware, die Daten physisch nur in eine Richtung lässt und den Rückweg elektrisch unmöglich macht. Kein Regelwerk, kein Firmware-Fehler und keine Insider-Änderung kann sie umdrehen.

Dioden sind keine Universallösung. Sie unterbrechen jedes Protokoll, das eine Quittung braucht, und passen daher zu Telemetrie, Syslog und Historian-Replikation, nicht zu interaktiven Sitzungen. Das praktische Muster ist hybrid: Datendioden für die Einweg-Flüsse, die sich nie umkehren dürfen, und vermittelte Firewall-Conduits in der DMZ für alles, was wirklich Anfrage und Antwort braucht. Welcher Fluss welcher ist, ist eine Architekturentscheidung, keine Beschaffungsfrage, und sie gehört in das Design-Review, bevor Hardware bestellt wird.

Die gefährliche Änderung ist die, die Sie nicht vornehmen können

Diesen Punkt unterschätzen IT-geprägte Teams. Im Büronetz ist das Risiko die Änderung, die Sie schlecht durchführen. In der OT ist das größere Risiko oft die Änderung, die Sie gar nicht durchführen können. Die verwundbare Steuerung, die erst beim nächsten geplanten Stillstand in elf Monaten gepatcht werden kann, ist eine reale Exposition, die keine Segmentierung allein beseitigt. Segmentierung verschafft Ihnen die Zeit, indem sie den Schadensradius und die erreichbare Angriffsfläche verkleinert, bis sich das Fenster öffnet.

Deshalb dreht sich der OT-Änderungsprozess um kompensierende Maßnahmen statt um schnelle Behebung. Wenn Sie nicht patchen können, verengen Sie den Conduit, ergänzen Sie Überwachung an der Zellgrenze und dokumentieren Sie das akzeptierte Risiko mit Verantwortlichem und Prüfdatum. Jede dieser kompensierenden Maßnahmen ist eine Firewall-Änderung, und eine ungesteuerte driftet. Die Disziplin, die ein Unternehmens-Regelwerk ehrlich hält und im Leitfaden zum Firewall-Änderungsmanagement beschrieben ist, zählt in der OT mehr, nicht weniger, weil das Fenster zur Korrektur so eng ist. Unentdeckte Policy-Drift an einem OT-Conduit kann bis zum Jahresaudit unbemerkt bleiben, und dann erinnert sich niemand mehr, warum die Regel existiert.

Compliance-Zuordnung

OT-Segmentierung ist in jedem Rahmenwerk benannt, direkt oder per Verweis, das kritische Infrastruktur und Industriesicherheit berührt. Der erwartete Nachweis ist konsistent: ein aktuelles Zonen-und-Conduit-Diagramm, eine Begründung je Conduit und der Beleg, dass die Grenze geprüft wird.

Für Betreiber im deutschen und EU-weiten KRITIS-Regime ist der Segmentierungsnachweis eine der Kernlieferungen im KRITIS-Firewall-Compliance-Leitfaden und überschneidet sich mit der Dokumentation im NIS2-Artikel-21-Nachweismapping. Wo mehrere Anlagenhersteller und Firewall-Plattformen nebeneinander bestehen, ist eine konsistente Policy-Sicht über alle hinweg ein eigenes Problem, behandelt im Leitfaden zur Multi-Vendor-Firewall-Verwaltung.

Wiederkehrende Fehlermuster

Vier Muster tauchen in OT-Segmentierungs-Reviews immer wieder auf, und alle vier lassen sich beim Entwurf vermeiden.

Die flache Zelle. Die DMZ ist korrekt gebaut, dann sitzt alles unterhalb von Ebene 3 auf einem offenen VLAN. Laterale Bewegung im Produktionsnetz ist ungebremst, ein einziges kompromittiertes HMI erreicht jede Steuerung der Linie. Zellzonen sind die Abhilfe, und genau dieser Teil wird aus Kostengründen am häufigsten verschoben.

Der zu weite Conduit. Ein Conduit wird für eine Inbetriebnahme angelegt, weit geöffnet, damit die Linie läuft, und nie wieder verengt. Monate später ist er der breiteste Pfad der Umgebung. Conduits brauchen einen Verantwortlichen und ein Ablaufdatum, denselben Rezertifizierungsrhythmus wie ein gesundes IT-Regelwerk.

Der vergessene Fernzugang. Ein Hersteller-VPN oder ein Mobilfunk-Modem an einer Steuerung umgeht die gesamte Architektur. Es ist auf dem Netzdiagramm unsichtbar, weil niemand aus dem OT-Team es installiert hat. Anlagenerkennung, nicht Annahme, ist der einzige Weg, das zu finden.

Die umkehrbare Diode. Ein als Datendiode verkauftes Gerät, das in Wahrheit eine Firewall im Einwegmodus ist und sich von jedem mit Passwort wieder auf bidirektional stellen lässt. Wird die Einweg-Eigenschaft in Software erzwungen, ist es keine Diode. Prüfen Sie die Hardware.

Häufige Fragen

Ist ein Air-Gap besser als Segmentierung für OT?

Echte Air-Gaps sind selten und erodieren, sobald jemand Daten von der Linie braucht oder ein Hersteller Fernwartung benötigt. Eine gut gebaute IT-OT-DMZ mit Dioden für Einweg-Flüsse liefert den größten Teil des Isolationsvorteils und bleibt betreibbar. Ehrlich gesagt ist der Air-Gap, den Sie zu haben glauben, meist eine Segmentierungsgrenze, die Sie nicht dokumentiert haben.

Darf ich aktives Schwachstellen-Scanning im OT-Netz fahren?

Vorsichtig und selten mit denselben Werkzeugen wie in der IT. Viele Altgeräte versagen unter aktiver Prüfung. Passive Überwachung, die Verkehr liest, ohne ihn einzuspeisen, ist die sicherere Voreinstellung für Ebene 2 und darunter. Aktive Prüfungen bleiben Wartungsfenstern an nachweislich tolerantem Equipment vorbehalten.

Wo genau sitzt die IT-OT-DMZ im Purdue-Modell?

Auf Ebene 3.5, zwischen dem Betrieb auf Ebene 3 und der Unternehmens-IT auf den Ebenen 4 und 5. Sie hält das Historian-Replikat, den Patch-Verteilserver und den Sprungserver. Kein Unternehmenssystem greift nach Ebene 3 oder darunter, ohne zuerst in der DMZ zu terminieren.

Ersetzen Datendioden Firewalls in der OT?

Nein. Sie ergänzen einander. Dioden sichern die Einweg-Flüsse, bei denen ein Rückweg physisch unmöglich sein muss. Vermittelte Firewall-Conduits tragen den Anfrage-Antwort-Verkehr, den Dioden nicht führen können. Die meisten Anlagen brauchen beides.

Wie oft sollten OT-Conduits rezertifiziert werden?

Mindestens jährlich für änderungsarme Zellen, quartalsweise dort, wo Inbetriebnahmen oder Herstellerarbeiten häufig sind. Wichtiger als der Kalender ist jede Änderung an den verbundenen Systemen. Ein Conduit, dessen Zweck niemand erklären kann, ist ein Befund, keine Fußnote.

Weiterführende Quellen

Maßgebliche externe Quellen:

• NIST SP 800-82 Rev 3, Guide to Operational Technology Security
• ISA/IEC 62443, Security für industrielle Automatisierung
• BSI, Industrielle Steuerungssysteme (ICS-Security)