LF 7 · Cyber-physische Systeme · 23/42 · 65 Min. angesetzt – Langform, jedes Wort zählt
Segment, Remote-Wartung, Safety
Segmentierung in der OT ist keine Interior-Dekoration. Die Anlage gehört nicht ins Gäste-WLAN, nicht ins Drucker-VLAN und nicht in dasselbe Broadcast-Reich wie die Notebooks der Praktikanten. Remote-Wartung ist ein Tor: nützlich, zeitlich begrenzt, protokolliert – oder dauerhaft offen und später ein Gutachten. Safety ist der Schutz von Mensch und Anlage vor der Physik, Security der Schutz vor absichtlicher und unabsichtlicher Manipulation. Wer die Wörter tauscht, plant den Not-Aus als Firewallregel.
Warum man trennt: ein verseuchtes Büro-Notebook soll die SPS nicht erreichen. Ein Fernwartungszugang des Herstellers soll nicht das gesamte Office sehen. Ein kompromittiertes Leitsystem soll nicht jedes Ventil einzeln im Internet bewegen. Jede dieser Aussagen ist ein Segment plus eine Policy plus oft eine Safety-Betrachtung. Wer nur „VLAN 100 Produktion“ in eine Tabelle schreibt und den Jump-Host vergisst, hat ein Netz erzeugt und den Weg hinein nicht entschieden.
Segment vor Bequemlichkeit
Segmentierung
OT-Zellen, Leittechnik, Wartung, Office getrennt. Kopplung über definierte Punkte: Firewall, Anwendungs-Proxy, Datensammler, manchmal unidirektional. Flat Network in der Halle ist historisch häufig und heute der Befund, nicht das Ziel.
Wartungszone / Jump-Host
Einziger geplanter Weg zur Anlage. Admin arbeitet von dort, nicht vom privaten Laptop im WLAN. Protokoll, Zeitbegrenzung, eigenes Konto. Umgehung per direkt eingestecktem Notebook am SPS-Port ist ein Loch, auch wenn „nur fünf Minuten“.
Remote-Wartung des Herstellers: VPN oder vergleichbarer Tunnel, MFA am Konto, das den Tunnel aufmacht, zeitlich begrenzte Freischaltung, Sitzungsaufzeichnung wo der Vertrag das trägt, getrennte Berechtigung nur auf die betroffene Zelle. Dauerhaft offenes Port-Forwarding auf die SPS ist DNAT mit Produktionsrisiko. LF 6 gilt hart: das ist ein Change, kein Gefallen am Freitag. Wenn die Gegenstelle tot oder kompromittiert ist, darf die Anlage weiterfahren – sonst hast du Verfügbarkeit an eine fremde Firma gekoppelt, ohne das zu beschließen.
Remote-Wartung
Zugang von außen auf OT. Tor, nicht Einrichtungsgegenstand. Freischalten, arbeiten, schließen, schreiben. Ein dauerhafter Tunnel „weil der Hersteller das so schickt“ ist ein offenes Fenster mit Dienstleisterbriefkopf.
Safety ist nicht Security
Safety: die Anlage darf Menschen nicht verletzen und soll in einen sicheren Zustand, wenn Sensor, Aktor oder Steuerung ausfällt. Not-Aus, Schutztür, Lichtgitter, sichere Abschaltung, SIL-Stufen in Prüfungstiefe als Begriff. Security: Unberechtigte und Fehlbedienung sollen die Anlage nicht in einen gefährlichen oder falschen Zustand bringen. Beide können denselben Schrank betreffen und widersprechen sich trotzdem. Ein Not-Aus, den die IT „aus Sicherheitsgründen“ per Netz erreichbar macht, ist oft ein Safety-Verstoß. Eine SPS, die niemand patchen darf „wegen Safety“, ohne kompensierende Segmentierung, ist oft ein Security-Loch. Die Auflösung steht in der Dokumentation der Anlage, nicht in einem Office-Ticket ohne Betriebsleiter.
Safety
Schutz vor physischem Schaden durch die bestimmungsgemäße und fehlende Funktion der Maschine. Normen und Lastenheft, nicht das Gefühl der IT. Wer den Not-Aus überbrückt, damit der Remote-Test weiterläuft, hat den Menschen gegen die Bequemlichkeit getauscht.
Security in der OT
Wer darf schalten, wer darf Programme laden, wer erreicht das Segment, was wird protokolliert. Accounts auf der SPS sind Konten. Default-Passwörter aus dem Handbuch sind keine Konten, sie sind eine Einladung.
- Zelle zeichnen: was darf physisch was erreichen.
- Kopplung zur IT auf einen Punkt legen, mit Policy.
- Remote nur über Wartungszone, mit Uhr zum Widerruf.
- Safety-Funktionen nicht über denselben Weg wie Office-Remote legen.
- Änderung als Change (LF 6): Ziel, Risiko, Fenster, Rollback – an der Anlage oft mit Betriebsleiter, nicht nur mit der IT.
# Remote zu ist der Default # Freischalten: Ticket, Fenster, MFA, Zelle, Protokoll # Danach: Zugang zu, Config-Diff, Anlage im vereinbarten Zustand
Prüfung