EN
Die Einsätze sind auf der Produktionsfläche anders
Industrielle IT-Umgebungen weisen einige Ähnlichkeiten mit herkömmlichen Unternehmensnetzwerken auf, doch die Unterschiede sind entscheidender. Ein kompromittierter E-Mail-Server verursacht Probleme. Ein kompromittierter SPS-Controller kann eine Produktionslinie stilllegen, Geräte beschädigen oder Sicherheitsrisiken erzeugen. Die Folgen fallen in unterschiedlichem Ausmaß ins Gewicht. Diese grundlegende Unterscheidung macht Sicherheitsansätze erforderlich, die die besonderen Merkmale der Operational Technology berücksichtigen.
Hardware-Firewall-Geräte bieten ein Isolationsniveau, das softwarebasierte Alternativen nur schwer erreichen können. Sie sind zwischen dem Unternehmensnetzwerk und dem industriellen Steuernetzwerk positioniert und erzwingen strenge Regeln darüber, welcher Datenverkehr zwischen beiden Netzen zugelassen wird. Diese Trennung dient nicht nur dem Schutz vor schädlichen Akteuren – sie verhindert zudem, dass Probleme auf der Geschäftsebene die Produktion beeinträchtigen. Ein falsch konfigurierter DHCP-Server oder ein Broadcast-Sturm im IT-Netzwerk sollte eine Fertigungslinie nicht lahmlegen. Hardware-Firewalls tragen dazu bei, diese Grenze aufrechtzuerhalten.
Warum industrielle Protokolle eine spezialisierte Behandlung erfordern
Standard-Firewalls verstehen TCP/IP. Sie verarbeiten HTTP, SMTP und die üblichen Unternehmensprotokolle problemlos. Industrielle Netzwerke sprechen jedoch eine andere Sprache. Modbus, Profinet, EtherNet/IP, DNP3 und ein Dutzend weiterer Protokolle übertragen Befehle, die physikalische Prozesse direkt steuern. Ein generisches Firewall-Gerät erkennt diese Protokolle möglicherweise überhaupt nicht und behandelt sie als unbekannten Datenverkehr – entweder durch Blockierung oder durch ungeprüfte Weiterleitung.
Firewall-Geräte für den industriellen Einsatz verfügen über hardwarebasierte, protokollbewusste Deep-Packet-Inspection. Sie verstehen die Struktur von Nachrichten industrieller Protokolle und können Anomalien erkennen – fehlerhafte Anfragen, Befehle in falscher Reihenfolge oder Verkehrsmuster, die vom Normalbetrieb abweichen. Diese Fähigkeit ist entscheidend, weil Angriffe auf industrielle Systeme häufig Schwachstellen der Protokolle ausnutzen statt Sicherheitslücken auf Netzwerkebene. Eine Firewall, die die Anwendungsschicht nicht sieht, kann vor solchen Bedrohungen nicht schützen.
Die Leistungsformel: Latenz ist entscheidend
Unternehmensnetzwerke tolerieren Latenzzeiten im Bereich von Hunderten von Millisekunden, ohne dass dies spürbare Auswirkungen hat. Industrielle Steuernetzwerke arbeiten hingegen oft nach deutlich strengeren Zeitvorgaben. Eine Regelungsschleife für Bewegungssteuerung erfordert möglicherweise Aktualisierungen alle paar Millisekunden. Ein Sicherheitsverriegelungssystem erwartet Antworten innerhalb eines festgelegten Zeitfensters. Fügt man an irgendeiner Stelle des Datenpfads zu viel Latenz hinzu, versagt das System.
Hardware-Firewalls, die speziell für den industriellen Einsatz konzipiert sind, begegnen diesem Problem durch mehrere Mechanismen. Sie entlasten die allgemeine CPU, indem sie die Paketverarbeitung auf dedizierte Hardware verlagern. Sie speichern Status-Tabellen im schnellen Arbeitsspeicher statt auf Festplatten. Sie wenden Prüfregeln so effizient an, dass keine messbare Verzögerung entsteht. Das Ergebnis ist Sicherheit ohne Leistungseinbußen. Software-Firewalls, die auf gemeinsam genutzter Hardware laufen, können diese Garantie nicht immer gewährleisten – insbesondere unter Last.
Segmentierung als Sicherheitsstrategie
Der IEC-62443-Standard formalisiert, was viele Fachleute für industrielle Sicherheit bereits wussten: Netzwerke sollten in Zonen unterteilt werden, und der Datenverkehr zwischen diesen Zonen muss kontrolliert werden. Hardware-Firewall-Geräte fungieren als Durchsetzungspunkte für diese Zonengrenzen. Sie implementieren die Anforderung nach "eingeschränktem Datenfluss", die im Kern des Sicherheitsmodells des Standards steht.
Praktische Segmentierung sieht in jeder Anlage anders aus. Einige Organisationen trennen IT vollständig von OT, wobei die Hardware-Firewall der einzige Verbindungspunkt ist. Andere schaffen zusätzliche Zonen innerhalb des OT-Netzwerks – etwa durch Trennung von Sicherheitssystemen von Steuerungssystemen oder durch Isolierung veralteter Geräte, die nicht aktualisiert werden können. Die Hardware-Firewall-Geräte an jeder Grenze setzen die Regeln durch, protokollieren den Datenverkehr und blockieren Verstöße. Dieser mehrschichtige Ansatz begrenzt den Schaden, den ein einzelner Sicherheitsvorfall verursachen kann. Ein Angreifer, der das IT-Netzwerk kompromittiert, stößt weiterhin auf zusätzliche Barrieren, bevor er kritische Produktionssysteme erreicht.
| Einsatzszenario | Hauptfunktion | Wichtige Überlegung |
|---|---|---|
| IT-OT-Grenze | Alle Verbindungen zwischen Unternehmens- und Produktionsnetzwerken steuern | Die Regelsammlung muss Sicherheit und betriebliche Anforderungen ausgewogen berücksichtigen |
| Interne OT-Zonen | Sicherheitssysteme, Altgeräte und kritische Assets isolieren | Protokollbewusste Inspektion ist unerlässlich |
| Fernzugriffspunkt | Sichere externe Verbindungen für Wartung und Überwachung | Erfordert starke Authentifizierung und Verschlüsselung |
| DMZ-Segment | Host-Dienste, die sowohl vom IT- als auch vom OT-Bereich aus zugänglich sind | Firewall-Regeln müssen präzise und gut dokumentiert sein |
Was passiert, wenn Firewalls fehlen
Ein chemisches Verarbeitungswerk in der Golfküstenregion lernte diese Lektion auf die harte Tour. Die Anlage war über Jahrzehnte gewachsen und hatte vernetzte Steuerungssysteme hinzugefügt, ohne gleichzeitig in die Netzwerksicherheit zu investieren. Die IT- und die OT-Netzwerke bildeten faktisch ein einziges flaches Netzwerk. Als ein routinemäßiges Software-Update auf einem IT-Server unerwarteten Netzwerkverkehr auslöste, kam es bei dem Steuerungssystem zu intermittierenden Kommunikationsausfällen. Nichts Böswilliges – lediglich ein Broadcast-Sturm durch eine fehlerhafte Anwendung. Doch die Auswirkungen auf die Produktion waren sofort spürbar und kostspielig.
Das Werk verbrachte mehrere Tage damit, den Fehler zu lokalisieren, während die Produktion mit reduzierter Kapazität weiterlief. Die endgültige Lösung bestand darin, Hardware-Firewall-Geräte zwischen den IT- und den OT-Netzwerken zu installieren sowie geeignete Segmentierungsregeln einzurichten. Die Erfahrung unterstrich einen oft übersehenen Aspekt: Sicherheit bedeutet nicht nur, sich gegen Angreifer zu verteidigen. Sie bedeutet auch, die betriebliche Stabilität trotz alltäglicher IT-Aktivitäten aufrechtzuerhalten, die industrielle Systeme unbeabsichtigt stören können.
Der praktische Vorteil dedizierter Hardware
Hardware-Firewall-Geräte bieten Vorteile jenseits der Sicherheit. Sie schaffen klare administrative Grenzen. Netzwerkteams wissen genau, wo das IT-Netzwerk endet und das OT-Netzwerk beginnt. Die Reaktion auf Vorfälle wird übersichtlicher – Firewall-Logs zeigen exakt, welcher Datenverkehr die Grenze passiert hat und zu welchem Zeitpunkt. Auch Compliance-Audits profitieren von dieser Klarheit.
Die Geräte selbst sind für einen Dauerbetrieb konzipiert. Sie verfügen über keine beweglichen Teile, nutzen eine passive Kühlung und bieten in vielen Konfigurationen redundante Stromversorgungsoptionen. Diese Konstruktionsentscheidungen spiegeln die Einsatzumgebung wider – industrielle Umgebungen sind keine klimatisierten Serverräume. Temperaturschwankungen, Vibrationen und Staub gehören zum Alltag. Hardware, die speziell für diese Bedingungen ausgelegt ist, weist eine längere Lebensdauer auf und fällt seltener aus als allgemein verwendete Geräte, die für Sicherheitsaufgaben eingesetzt werden.