Fernwartung ist aus der Operational Technology (OT) nicht wegzudenken. Maschinenhersteller, Systemintegratoren und externe Servicetechniker brauchen dafür Zugriff auf Engineering-Stationen, SCADA-Systeme, SPS oder Datenbanken. Gleichzeitig gehört genau dieser Fernzugriff zu den kritischsten Schnittstellen einer OT-Umgebung.
Ein Privileged-Access-Management-System (PAM) kann den Fernzugriff kontrollierbar machen – wenn es die richtigen Funktionen mitbringt und sauber in Architektur und Prozesse eingebettet ist.
In aller Kürze
- PAM in der OT-Fernwartung verwaltet privilegierte Zugänge, schirmt Zugangsdaten ab, begrenzt Sitzungen und zeichnet Aktivitäten nachvollziehbar auf.
- Die beiden wichtigsten Mindestanforderungen sind Credential Injection und Session Recording. Ein System, das eine davon nicht zuverlässig erfüllt, ist für eine streng kontrollierte OT-Fernwartung ungeeignet.
- Ein PAM-System allein macht eine Anlage weder sicher noch konform. Es muss in eine OT-Architektur nach IEC 62443 und in die Anforderungen der TRBS 1115 Teil 1 eingebettet werden.
- Session Recording berührt Datenschutz und Mitbestimmung. Zweck, Aufbewahrung und Zugriffsrechte müssen vor dem produktiven Start geregelt sein.
- Vor einer Entscheidung sind ein Proof of Concept an realen Zielsystemen und ein klarer Blick auf die eigene Anlage notwendig.
Was ist PAM und welche Rolle spielt es in der OT-Fernwartung?
Privileged Access Management (PAM) bezeichnet Systeme, die privilegierte Zugänge zentral verwalten und kontrollieren. In der OT-Fernwartung sitzt das PAM-System zwischen dem externen Techniker und dem Zielsystem: Es prüft die Berechtigung, übergibt Zugangsdaten verdeckt, begrenzt die Sitzung zeitlich und zeichnet sie auf. Damit schließt PAM die Lücke, die etwa VPN (Virtual Private Network) in der Fernwartung offen lässt.
Tipp: Wie sich PAM in die gesamte Fernwartungskette einfügt – vom VPN-Gateway über die Industrial DMZ bis zur SPS –, beschreiben wir im Beitrag OT-Fernwartung nach TRBS 1115 Teil 1 und IEC 62443.
Welche Funktionen muss ein PAM-System in der OT-Fernwartung erfüllen?
Sieben Funktionen sind für eine kontrollierte OT-Fernwartung entscheidend. Die ersten beiden – Credential Injection und Session Recording – sind K.o.-Kriterien.
1. Bleiben die Zugangsdaten verborgen?
Der externe Techniker sollte das Passwort des Zielsystems weder sehen noch kopieren können. Denn kennt ein Dienstleister das Passwort, kann er es außerhalb des vereinbarten Prozesses weiterverwenden.
Das PAM-System holt die Zugangsdaten aus einem geschützten Tresor und übergibt sie im Hintergrund an die Sitzung – die sogenannte Credential Injection.
2. Werden Sitzungen vollständig aufgezeichnet?
Ein belastbares Session Recording erfasst mindestens Bildschirmverlauf, Zeitstempel, Benutzer und Zielsystem. Je nach System kommen Tastatur- und Befehlsaufzeichnungen, Suchfunktionen oder eine Live-Überwachung hinzu.
Die Aufzeichnung beantwortet später: Wer hatte wann Zugriff auf welches System, was wurde geändert – und wurde der vereinbarte Wartungszweck eingehalten?
3. Sind Zugriffe zeitlich begrenzt?
Ein Fernwartungszugang darf nicht dauerhaft offen bleiben. Er wird für einen konkreten Auftrag und ein definiertes Zeitfenster genehmigt und danach automatisch entzogen.
Noch weiter geht das Prinzip Just-in-Time Access beziehungsweise Zero Standing Privilege: Privilegierte Rechte bestehen gar nicht dauerhaft, sondern werden erst bei Bedarf und nach Freigabe vergeben.
4. Sind die Aufzeichnungen vor Manipulation geschützt?
Ein Recording ist nur dann ein belastbarer Nachweis, wenn es nicht verändert werden kann. Betreiber sollten prüfen, ob Aufzeichnungen verschlüsselt, signiert, unveränderbar gespeichert und nur für Berechtigte abspielbar sind.
In sensiblen Umgebungen ist ein Vier-Augen-Verfahren sinnvoll: Niemand darf eine Aufzeichnung allein abrufen oder löschen.
5. Werden Passwörter nach der Sitzung geändert?
Bleibt ein privilegiertes Passwort nach der Wartung unverändert, bleibt auch ein möglicherweise kompromittierter Zugang bestehen. Eine automatische Rotation nach dem Check-in reduziert dieses Risiko.
Für den Notfall braucht es zusätzlich ein dokumentiertes Break-Glass-Verfahren: Wer darf es auslösen, wie wird es protokolliert, wann werden die Zugangsdaten danach geändert?
6. Passt die Lösung zu den Protokollen der Anlage?
OT-Umgebungen bestehen nicht nur aus Windows-Servern und RDP. Je nach Anlage müssen auch SSH, Webkonsolen, Datenbanken, Engineering-Anwendungen, Fat Clients und herstellerspezifische Werkzeuge unterstützt werden. Die Schlüsselfrage lautet: Funktioniert die Credential Injection auch bei den konkreten Anwendungen der eigenen Anlage – oder nur bei Standard-RDP und SSH?
7. Bleibt das PAM-System verfügbar?
Ein PAM-System darf nicht selbst zum Single Point of Failure werden. Betreiber brauchen ein Konzept für Hochverfügbarkeit, Backups, Wartungsfenster und Notfallzugriff. Gerade bei produktionskritischen Anlagen muss klar sein, wie bei einem Ausfall ein sicherer, kontrollierter Wiederanlauf gelingt.
Warum ersetzt ein PAM-System keine OT-Architektur?
PAM ist nur ein Baustein. Für eine sichere Fernwartung müssen mehrere Ebenen zusammenspielen:
- Externer Dienstleister: individuelle Konten, Qualifikation, Beauftragung und vertragliche Sicherheitsanforderungen
- Identität: MFA, starke Authentisierung und nachvollziehbare Genehmigung
- PAM: Credential Injection, Berechtigungssteuerung, Session Recording und Rotation
- Industrial DMZ: kontrollierter Übergang zwischen externen Netzen, IT und OT
- Zonen und Conduits: klare Trennung von Leitsystemen, Engineering-Stationen und Steuerungen
- OT-Zielsystem: sichere Konfiguration, minimale Berechtigungen und definierte Wartungswege
- Nachweisführung: Protokolle, Aufbewahrung, Auswertung und regelmäßige Überprüfung
Das entspricht dem Grundgedanken der IEC 62443.
- Teil 2-1 regelt die organisatorische Einbettung in Rollen und Prozesse,
- Teil 2-4 die Bewertung und vertragliche Einbindung von Dienstleistern.
- Teil 3-2 liefert die Methode für Risikoanalyse, Zonen und Conduits,
- Teil 3-3 die technischen Anforderungen an Authentisierung, Zugriffskontrolle, Protokollierung und Verfügbarkeit.
Die TRBS 1115 Teil 1 schreibt kein bestimmtes PAM-Produkt vor. Entscheidend ist, dass der Betreiber Cyberbedrohungen für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen bewertet, geeignete Maßnahmen festlegt und deren Wirksamkeit dokumentiert. Im Audit zählt also nicht, ob Produkt X installiert ist, sondern ob der Fernzugriff angemessen geschützt, kontrolliert, nachvollziehbar und dauerhaft wirksam organisiert ist.
Was müssen Betreiber bei Datenschutz und Mitbestimmung beachten?
Session Recording kann personenbezogene Daten enthalten: Namen, Benutzerkonten, Bildschirminhalte, Tastatureingaben oder Arbeitsabläufe von Beschäftigten und externen Dienstleistern. Die technische Möglichkeit zur Aufzeichnung ist keine rechtliche Erlaubnis zur beliebigen Auswertung.
Vor dem produktiven Start sollten Betreiber deshalb klären:
- Welchem Zweck dient die Aufzeichnung, und welche Sitzungen werden aufgezeichnet?
- Wie lange werden Aufzeichnungen aufbewahrt, und wer darf sie ansehen oder exportieren?
- Wie wird verhindert, dass die Aufzeichnung zur allgemeinen Leistungskontrolle genutzt wird?
- Welche Regelungen sind mit Betriebsrat und Datenschutzbeauftragtem abzustimmen?
- Welche Daten verarbeitet eine Cloud-Lösung, und wo befindet sich das Hosting?
Wie sollte ein Proof of Concept für PAM in der OT aussehen?
Präsentationen und Datenblätter reichen für eine Auswahl nicht aus. Ein PAM-System muss zeigen, dass es an den konkreten Zielsystemen der Anlage funktioniert. Ein sinnvoller Proof of Concept umfasst mindestens diese Tests:
- Zugang beantragen: Ein externer Techniker beantragt Zugriff für einen Auftrag. Der Betreiber genehmigt ihn für ein begrenztes Zeitfenster und nur für die nötigen Zielsysteme.
- MFA und individuelle Identität: Anmeldung mit persönlichem Konto und zweitem Faktor – gemeinsame Konten und Passwörter sind ausgeschlossen.
- Passwort bleibt verborgen: Die Sitzung startet, ohne dass der Techniker das Passwort sieht, kopiert oder lokal speichert.
- Reale OT-Anwendung: Neben RDP und SSH wird mindestens eine Engineering-Anwendung, Webkonsole oder ein Datenbankzugriff getestet – stabil und uneingeschränkt nutzbar.
- Vollständige Aufzeichnung: Bildschirm, Befehle, Benutzer, Ziel, Start- und Endzeit sind nachvollziehbar.
- Zugriff auf Aufzeichnungen: Rollenmodell, Vier-Augen-Freigabe und Manipulationsschutz werden geprüft.
- Rotation und Notfallzugriff: Das Zielpasswort ändert sich nach Sitzungsende automatisch; das Break-Glass-Verfahren wird vollständig protokolliert.
- Betrieb und Ausfall: Hochverfügbarkeit, Backup, Wiederherstellung und das Verhalten bei einem Ausfall werden demonstriert.
- Integration: MFA, Active Directory oder Entra ID, SIEM und Ticketsystem werden angebunden, sodass jede Sitzung einem Auftrag zugeordnet werden kann.
- Drei-Jahres-Kosten: Neben der Lizenz fließen Einführung, Wartung, Support, Speicher, Zusatzmodule, Schulung und Hochverfügbarkeit in die Betrachtung ein.
Welche Fehler sollten Betreiber bei der PAM-Auswahl vermeiden?
- Session Recording als Checkbox behandeln: Entscheidend ist, was aufgezeichnet wird, wie manipulationssicher und durchsuchbar die Aufzeichnung ist und wer sie abspielen darf.
- RDP und SSH mit OT-Kompatibilität verwechseln: Viele Lösungen funktionieren bei Standardprotokollen gut, scheitern aber an herstellerspezifischen Werkzeugen oder Weboberflächen.
- Cloud-Betrieb ungeprüft übernehmen: Ein SaaS-Angebot muss zu Zonenarchitektur, Datenklassifizierung, Aufbewahrung, Verfügbarkeit und Datensouveränität passen. Eine Cloud-Lösung darf nicht zu einer direkten Cloud-zu-SPS-Verbindung führen.
- Lizenzkosten mit Gesamtkosten verwechseln: Implementierung, Betrieb, Speicher, Zusatzmodule und Support können die Lizenz deutlich übersteigen.
- Datenschutz erst nach dem Rollout klären: Wer Betriebsrat und Datenschutz zu spät einbindet, muss Prozesse nachträglich umbauen.
Wie kann activeMind Betreiber bei PAM in der OT-Fernwartung unterstützen?
Viele Betreiber wissen, dass ihr Fernzugriff ein Risiko ist, aber nicht, welche Anforderungen ein PAM-System für ihre Anlage konkret erfüllen muss.
- Wir erfassen Anlagen, Zielsysteme, Dienstleister und Fernwartungswege und leiten daraus die Anforderungen entlang von TRBS 1115 Teil 1 und IEC 62443 ab – einschließlich Zonen, Conduits und Industrial DMZ.
- Wir erstellen einen Kriterienkatalog, bilden eine nachvollziehbare Shortlist und begleiten den Proof of Concept bis zur Überführung in ein Sicherheits- und Maßnahmenkonzept – inklusive Datenschutz, Betriebsrat und Dienstleisterverträgen.
Ihre Vorteile:
- Als langjährige Berater und Auditoren in IT und OT erkennen wir schnell, wo Credential Injection, Session Recording oder Notfallzugriff in der Praxis Lücken haben.
- Sie treffen die Produktentscheidung auf Basis Ihrer tatsächlichen Anforderungen und vermeiden teure Funktionen, die Ihre Anlage nicht braucht.
Vereinbaren Sie jetzt ein kostenfreies Erstgespräch, in welchem wir klären, welche OT bei Ihnen zum Einsatz kommt und wie Fernwartung bei Ihnen zum Risiko werden kann. Anschließend wissen Sie ganz konkret, wie wir Sie unterstützen können, bestehende Lücken zu schließen.
Fazit: Erst die Prozesse, dann das PAM-System
Ein gutes PAM-System macht Fernwartung nicht unsichtbar, sondern kontrollierbar. Es verhindert, dass externe Techniker dauerhaft privilegierte Zugangsdaten besitzen, begrenzt Zugriffe auf konkrete Aufträge und schafft einen belastbaren Nachweis über die ausgeführten Tätigkeiten.
Die wichtigste Erkenntnis lautet: Die Produktentscheidung kommt erst nach der Prozess- und Anforderungsentscheidung. Wer zuerst festlegt, welche Dienstleister zugreifen dürfen, welche Systeme erreichbar sein müssen, welche Nachweise benötigt werden und wie der Notfall funktioniert, kann gezielt auswählen. Wer nur nach der längsten Feature-Liste entscheidet, kauft leicht Funktionen, die in der eigenen Anlage niemand braucht – und übersieht genau die Lücke, die für die OT-Fernwartung kritisch ist.