Die Möglichkeit zur Fernwartung von Operational Technology (OT) ist ein immer beliebteres Einfallstor für Angreifer. Deshalb fordert die Technische Richtlinie (TRBS) 1115 Teil 1 spezifische OT-Security-Maßnahmen. Diese lassen sich am besten anhand der internationalen Norm für Cybersicherheit in der Industrieautomatisierung – IEC 62443 – umsetzen. Wir erklären, wie Sie dabei vorgehen sollten.
In aller Kürze
- Der Fernzugriff auf industrielle Steuerungsanlagen ist zwecks Wartung nötig, stellt aber zugleich ein Risiko für die OT Security dar.
- Die TRBS 1115 Teil 1 adressiert diese Risiken explizit.
- Die Norm IEC 62443 bietet ein etabliertes Framwork, um Fernwartung so zu gestalten, dass Cybersicherheitsrisiken weitgehend reduziert werden.
- Dafür ist eine Kombination aus technischen und organisatorischenMaßnahmen nötig.
Warum stellt Fernwartung in der OT ein besonderes Risiko dar?
Industrielle Steuerungsanlagen – Speicherprogrammierbare Steuerungen (SPS), Safety-Steuerungen, Engineering-Stationen – sind das Herzstück moderner Produktions- und Versorgungsinfrastruktur. Gleichzeitig sind sie auf regelmäßige Wartung durch externe Spezialisten angewiesen: Maschinenhersteller, Systemintegratoren und Servicetechniker benötigen Fernzugriff, um Diagnosen durchzuführen, Updates einzuspielen oder Störungen zu beheben.
Genau dieser Fernzugriff ist einer der häufigsten Einfallswege für Cyberangriffe auf OT-Umgebungen. Ein unkontrollierter, dauerhafter oder schlecht abgesicherter Zugang kann im schlimmsten Fall zu Produktionsausfällen, Sicherheitsvorfällen oder sogar zu physischen Schäden führen.
Was fordert die TRBS 1115 Teil 1 zur Fernwartung
Um diesen Risiken zu begegnen, behandelt die TRBS 1115 Teil 1 Fernwartung an vier Stellen konkret:
Fernzugriff gilt als Hochrisiko-Schnittstelle
Der direkte VPN Zugriff auf die IT/OT-Umgebung und sicherheitsrelevante MSR-Einrichtungen aus dem Internet (und umgekehrt) ist technisch zu unterbinden oder durch besondere Maßnahmen abzusichern
Ersatzmaßnahmen für die Dauer der Fernwartung
Während Fernwartungssitzungen sind reguläre Cybersicherheitsmaßnahmen oft ausgeschaltet oder eingeschränkt verfügbar. Die TRBS schlägt für diesen Zeitraum explizit Ersatzmaßnahmen vor – etwa die zwingende Nutzung von MFA, einem PAM System und einem Jumphost..
Qualifikationsanforderungen an externe Dienstleister
Tätigkeiten zur Aufrechterhaltung der Cybersicherheit dürfen nur von fachkundigen, beauftragten und unterwiesenen Beschäftigten oder von vergleichbar qualifizierten Auftragnehmern durchgeführt werden (Abschnitt 8.2 Abs. 3). Der externe Dienstleister muss also nachweislich über entsprechende Kompetenz verfügen.
Was bedeutet die IEC 62443 für die Fernwartung?
Um Fernwartung von OT unter sicheren Bedingungen durchführen (und damit die Vorgaben der TRBS 1115 Teil 1 erfüllen) zu können, liefert die internationale Normenreihe IEC 62443 einen klaren Rahmen: Sie definiert, wie Betreiber und Dienstleister den Fernzugriff sicher, kontrolliert und nachvollziehbar gestalten müssen.
Die IEC 62443 adressiert Fernwartung auf mehreren Ebenen:
- IEC 62443-2-1 legt organisatorische Anforderungen an das Sicherheitsmanagementsystem des Betreibers fest – darunter die Pflicht, Richtlinien für den Fernzugriff zu definieren und umzusetzen.
- IEC 62443-2-4 regelt die Anforderungen an Dienstleister (Service Provider), die OT-Systeme warten. Sie schreibt vor, welche Sicherheitsmaßnahmen ein externer Dienstleister nachweislich erfüllen muss, bevor er Zugang erhält.
- IEC 62443-3-2 beschreibt, wie eine OT-Umgebung in Sicherheitszonen und Conduits (Kommunikationspfade) aufzuteilen ist – eine Grundvoraussetzung für kontrollierten Fernzugriff.
- IEC 62443-3-3 definiert konkrete technische Systemanforderungen, darunter Authentifizierung, Zugriffssteuerung, Sitzungsüberwachung und Audit-Logging.
Das Zusammenspiel dieser Normen ergibt ein konsistentes Bild: Fernwartung ist kein unkontrollierter Vorgang, sondern ein klar geregelter, zeitlich begrenzter und vollständig protokollierter Prozess.
Welche technischen Pflichten bei der Fernwartung stellt die IEC 62443 an Betreiber?
Eine normenkonforme Fernwartung folgt einem strukturierten Zugriffspfad. Jede Stufe dieses Pfades hat eine klare Schutzfunktion.
1. Externer Dienstleister – Identität und Verpflichtung
Bevor ein externer Techniker überhaupt eine Verbindung aufbauen darf, muss der Betreiber sicherstellen:
- Der Dienstleister ist vertraglich zur Einhaltung der OT-Sicherheitsanforderungen verpflichtet (gemäß IEC 62443-2-4).
- Jeder Techniker verfügt über ein individuelles, persönliches Konto – keine gemeinsam genutzten Zugangsdaten.
- Der Zugriff wird nur auf vorherigen, genehmigten Antrag hin freigeschaltet.
2. Internet – kein direkter Zugang zur OT
Der Weg führt zwingend über das öffentliche Internet – aber die OT-Umgebung ist niemals direkt aus dem Internet erreichbar. Zwischen Dienstleister und Anlage liegen mehrere Sicherheitsstufen.
3. VPN-Gateway mit Multi-Faktor-Authentifizierung (MFA)
Der erste technische Kontrollpunkt ist ein VPN-Gateway, das ausschließlich verschlüsselte Verbindungen akzeptiert. Kombiniert mit Multi-Faktor-Authentifizierung (MFA) wird sichergestellt, dass auch ein kompromittiertes Passwort allein keinen Zugang ermöglicht.
IEC 62443-3-3 fordert explizit die Verwendung starker Authentifizierungsmechanismen für den Fernzugriff (Anforderung SR 1.1 und SR 1.3). MFA ist dabei der Mindeststandard für kritische OT-Umgebungen.
4. PAM-System mit Credential Injection
Das Privileged Access Management (PAM)-System ist das zentrale Steuerungselement. Es übernimmt folgende Aufgaben:
- Credential Injection: Der Techniker kann niemals das tatsächliche Passwort für das Zielsystem sehen. Das PAM-System injiziert die Zugangsdaten automatisch – das Passwort bleibt verborgen.
- Zeitlich begrenzte Freigaben: Jeder Zugriff wird nur für ein definiertes Zeitfenster genehmigt. Nach Ablauf wird die Verbindung automatisch getrennt.
- Rollenbasierte Zugriffskontrolle: Der Techniker erhält nur Zugang zu den Systemen, die für seinen konkreten Auftrag erforderlich sind.
Dieses Vorgehen entspricht dem Prinzip des minimalen Privilegs (Least Privilege), das IEC 62443-3-3 in SR 2.1 ausdrücklich fordert.
5. Jump-Server mit Session Recording
Der Jump-Server (auch Bastion Host genannt) ist der einzige Punkt, von dem aus auf die eigentliche OT-Umgebung zugegriffen werden kann. Er erfüllt zwei Kernfunktionen:
- Netzwerksegmentierung: Der Techniker gelangt nie direkt in das OT-Netz. Der Jump-Server vermittelt die Verbindung und bleibt der einzige Übergangspunkt.
- Sitzungsaufzeichnung (Session Recording): Jede Fernwartungssitzung wird vollständig aufgezeichnet – Tastatureingaben, Bildschirminhalt, Zeitstempel. Diese Aufzeichnungen dienen als Audit-Log und ermöglichen die lückenlose Nachvollziehbarkeit.
IEC 62443-3-3 fordert in SR 2.8 und SR 3.9 die Protokollierung sicherheitsrelevanter Ereignisse und die Möglichkeit zur Auditierung. Session Recording erfüllt diese Anforderung direkt.
6. Industrial DMZ – die Schutzzone zwischen IT und OT
VPN-Gateway, PAM-System und Jump-Server befinden sich in einer Industrial Demilitarized Zone (IDMZ). Diese Netzwerkzone ist nach IEC 62443-3-2 als eigene Sicherheitszone zu behandeln und von beiden Seiten – IT und OT – durch Firewalls abgeschirmt.
Die IDMZ verhindert, dass eine kompromittierte IT-Komponente direkten Zugriff auf die OT-Umgebung erhält. Kein Datenverkehr fließt direkt zwischen IT-Netz und OT-Netz – alles wird über die IDMZ gebrochen.
7. Engineering-Station und SPS – das eigentliche Ziel
Erst nach Durchlaufen aller vorgelagerten Kontrollpunkte gelangt der Techniker zur Engineering-Station (z. B. mit TIA Portal) und von dort – ausschließlich über definierte, überwachte Wege – zur SPS oder Safety-SPS.
Die SPS ist niemals direkt aus dem Internet oder dem IT-Netz erreichbar. Jeder Zugriff auf sie ist protokolliert, zeitlich begrenzt und auf den jeweils notwendigen Umfang beschränkt.
Was sind die fünf zentralen Kontrollen der IEC 62443?
| Kontrolle | Anforderung nach IEC 62443 | Zweck |
|---|---|---|
| Zeitlich begrenzte Freigabe | SR 1.3, 62443-2-4 | Kein dauerhafter Zugang für Externe |
| MFA und individuelle Konten | SR 1.1, SR 1.3 | Identitätssicherheit, keine geteilten Passwörter |
| Passwort bleibt verborgen (PAM) | SR 2.1 (Least Privilege) | Schutz vor Credential-Diebstahl |
| Sitzungsaufzeichnung und Audit-Logging | SR 2.8, SR 3.9 | Nachvollziehbarkeit und Forensik |
| Kein direkter Internetzugriff auf SPS | IEC 62443-3-2 (Zonierung) | Schutz der kritischen OT-Assets |
Welche organisatorische Pflichten bei der Fernwartung stellt die IEC 62443 an Betreiber?
Technik allein reicht nicht. IEC 62443-2-1 verpflichtet den Betreiber, folgende organisatorische Maßnahmen zu etablieren:
- Eine Fernwartungsrichtlinie, die regelt, wer unter welchen Bedingungen Zugang erhält
- Ein Genehmigungsverfahren für jeden einzelnen Fernwartungsvorgang
- Die vertragliche Einbindung externer Dienstleister mit nachweisbaren Sicherheitsanforderungen (IEC 62443-2-4)
- Regelmäßige Überprüfung und Auditierung der Zugriffsrechte und Protokolle
- Ein Schulungskonzept für interne Mitarbeiter, die Fernwartungszugriffe genehmigen und überwachen
Wie kann activeMind Betreiber bei der OT-Fernwartung gemäß TRBS 1115 Teil 1 und nach IEC 62443 unterstützen?
Wenn wir bei Betreibern zur Erfüllung der TRBS 1115 Teil 1 ein Managementsystem nach IEC 62443 2-1 errichten, stellt die Fernwartung durch Dienstleister stellt oft den ersten Ansatzpunkt für die Cyberrisikoanalyse dar:
- Bei der GAP-Analyse bewerten wir unter anderen diese Anbindung und vergleichen diese mit den Normforderungen.
- Im Rahmen der Zonenaufteilung und der Definition der Conduits werden die Anforderungen definiert und für die Risikoanalyse aufbereitet.
- Auf Basis der Ergebnisse der Risikoanalyse und der aktuellen Umsetzung entwerfen wir mit den Mandanten gemeinsam das Sicherheitskonzept.
Ihre Vorteile:
- Als langjährig aktive Auditoren im Bereich IT und OT können wir Umsetzungsdefizite schnell erkennen und im Rahmen der Risikoanalyse bewerten.
- Im Ergebnis erhalten Sie tragfähige Sicherheitskonzepte, die auf das Wesentliche fokussieren. So sparen Sie Zeit und Ressourcen.
Lassen Sie sich jetzt unterstützen und vereinbaren ein kostenfreies Erstgespräch!
Fazit: Fernwartung ist kein notwendiges Übel – sondern ein beherrschbares Risiko
Eine normenkonforme Fernwartung nach IEC 62443 ist eine bewährte Methode, um externe Zugriffe sicher und kontrolliert zu ermöglichen – und deckt die Anforderungen der TRBS 1115 Teil 1 (weitestegehend) ab. Die Kombination aus VPN, MFA, PAM, Jump-Server, Session Recording und konsequenter Netzwerksegmentierung schafft eine Architektur, in der jeder Zugriff nachvollziehbar, zeitlich begrenzt und auf das Notwendige beschränkt ist.
Betreiber, die diese Architektur für die Fernwartung umsetzen, schützen nicht nur ihre Anlagen – sie erfüllen auch ihre rechtlichen und normativen Pflichten gegenüber Behörden, Versicherern und Geschäftspartnern.