OT und IT nach Datenrichtung und Anlagenzustand verbinden

Ein Analysesystem soll Zustände aus der Produktion lesen. Monate später erhält es eine Optimierungsfunktion; nun sollen Sollwerte zurückgeschrieben werden. Aus der Datenabgabe ist damit ein möglicher Steuerweg geworden. Die ursprüngliche Bezeichnung „nur lesend“ schützt die Anlage nicht. Entscheidend ist, ob der IT-Empfänger eine Schreib- oder Steuerwirkung auslösen kann und in welchem Betriebszustand diese Wirkung zugelassen wäre. Normale Quittungen eines Leseprotokolls sind dabei nicht mit einer Steuerberechtigung gleichzusetzen.

NIST führt SP 800-82 Revision 3 weiterhin als veröffentlichte Endfassung seines Leitfadens zur OT-Sicherheit. Die Arbeit an Revision 4 begann mit einem Pre-Draft-Kommentierungsaufruf; eine fertige Revision 4 liegt damit noch nicht vor. Rev. 3 unterscheidet Operational Technology von gewöhnlicher Büro-IT durch die unmittelbare Wirkung auf physische Prozesse. Leistung, Zuverlässigkeit und Safety setzen Grenzen, die bei Auswahl und Betrieb einer Sicherheitsmaßnahme berücksichtigt werden müssen.

Richtung und Übergangszone

Für Qualitätssicherung, Analyse oder Auftragsfortschritt gelesene Zustände geben dem IT-System kein Steuerungsrecht. Schreib- und Steuerfunktionen erhalten gesonderte, minimal erforderliche Autorisierung; ob dafür ein physisch getrennter Pfad nötig ist, entscheidet die anlagenspezifische Architektur. Soll Kommunikation tatsächlich nur in eine Richtung möglich sein, kommen unidirektionale Gateways beziehungsweise Data Diodes in Betracht. Eine gewöhnliche Firewall begrenzt Verbindungen, schafft aber nicht dieselbe physische Eigenschaft. Das BSI beschreibt eine OT-DMZ als Übergangszone zwischen Office-IT und Produktion. Direkte Kommunikation wird vermieden; vorgesehene Systeme vermitteln die Informationen. Ein Historian kann beispielsweise Daten aus dem ICS in die Übergangszone übernehmen, auf die Office-Systeme anschließend zugreifen. Gateways setzen Protokolle um, Firewalls begrenzen Kommunikationsbeziehungen. Welche Bausteine geeignet sind, hängt von der Anlage ab. Das Etikett DMZ ersetzt weder Datenflussplan noch Regelprüfung.

Ausnahmen verdienen mehr Aufmerksamkeit als der Standardweg. Fernwartung, Rezeptverwaltung oder ein nachträglich eingebauter Optimierungsdienst dürfen eine vorhandene Leseschnittstelle nicht unbemerkt um Schreibrechte erweitern. Für eine prüfbare Architektur empfiehlt es sich, Quelle, Ziel, Protokoll, zulässige Wirkung und fachlichen Zweck jedes Übergangs zu dokumentieren. Eine Erweiterung um Steuerfunktionen wird damit als Änderung der Netz- und Betriebsarchitektur sichtbar und nicht nur als neue Anwendungsfunktion.

Ausfall und Wiederanlauf

Manche Messwerte lassen sich puffern, andere verlieren nach kurzer Zeit ihre fachliche Bedeutung. Vor der Inbetriebnahme steht daher fest, ob der physische Prozess ohne IT-Anbindung weiterläuft, was die Leitwarte bei veralteten Daten sieht und wie beide Seiten nach einer Wiederverbindung ihren Stand abgleichen. Der erfolgreiche Transport einer einzelnen Nachricht beantwortet keine dieser Fragen.

Bei erneuter Übertragung kann der Empfänger Regeln für Reihenfolge, Dubletten und veraltete Zustände benötigen. Ein Rückstau kann technisch vollständig ankommen und fachlich trotzdem falsch verarbeitet werden, wenn jüngere Werte bereits gelten. Bei der anlagenspezifischen Abnahme kann die Verbindung daher unter kontrollierten Bedingungen getrennt, das Verhalten beider Seiten beobachtet und anschließend die Plausibilität des Datenstands geprüft werden. Welche Tests vertretbar sind, richtet sich nach der Anlage und ihrer Safety-Betrachtung. Auch die Fehleranzeige muss beide Perspektiven auseinanderhalten. Ein IT-System kann eine fehlende Aktualisierung erkennen, ohne die Ursache im Prozess zu kennen. Die Leitwarte wiederum benötigt keine allgemeine Meldung über eine API, sondern eine belastbare Aussage darüber, ob angezeigte Werte aktuell sind und ob die Anlage weiter betrieben werden darf. Technische Verfügbarkeit und zulässiger Anlagenbetrieb sind verschiedene Feststellungen.

Monitoring im Anlagenkontext

Monitoring macht Teilnehmer und Kommunikationsbeziehungen sichtbar; Anomalieerkennung sucht nach Abweichungen von erwarteten Mustern. Wartungsfenster, Stillstand und Rezeptwechsel können den Netzwerkverkehr jedoch ebenso verändern wie ein unerwarteter Zugriff. Zeitpunkt, Anlagenzustand und genehmigte Änderung gehören deshalb zur Einordnung eines Signals. Eine Abweichung ist ein Anlass zur Prüfung, noch kein Beweis für einen Angriff.

Das BSI unterscheidet aktive und passive Erfassungsverfahren. Aktive Verfahren erzeugen eigenen Verkehr und können empfindliche, zeitkritische oder gewachsene Netze beeinflussen. Passive Sensoren senden keinen Verkehr in das überwachte Netz. Ihre Installation kann trotzdem einen Eingriff in den Netzwerkpfad erfordern. Vorher ist zu klären, welche Geräte oder Protokolle auf zusätzliche Last oder Unterbrechungen reagieren und ob ein Wartungsfenster nötig ist.

Häufigkeit allein bewertet eine Verbindung nicht. Ein täglich genutzter Fernzugang bleibt riskant, wenn Ziel und Rechte weiter reichen als benötigt. Umgekehrt kann ein einmalig sichtbarer neuer Teilnehmer zu einer genehmigten Wartung gehören. Inventar, Änderungsstand und aktuelle Freigabe liefern dem Netzwerkbefund seinen betrieblichen Sinn.

Fernzugang

Fernwartung über öffentliche Netze vergrößert die erreichbare Angriffsfläche. Die BSI-Empfehlung sieht Fernwartungskomponenten möglichst in einer vorgelagerten Zone und Zugriffe feingranular nach Ziel und Port vor. Personengebundene Konten und starke Authentisierung erleichtern die Zuordnung. In dem hier vorgeschlagenen Betriebsmodell werden zusätzlich Zielsystem, Zeitraum und benötigte Funktionen für den Auftrag festgehalten; Aktivierung, Sitzung und Deaktivierung bleiben nachvollziehbar.

Vor dem ersten Einsatz wird praktisch geprüft, wer den Zugang öffnet, wer ihn unabhängig sperren kann und wie eine unterbrochene Änderung in einen bekannten Anlagenzustand überführt wird. Nach Abschluss reicht es nicht, die Anwendung zu schließen. Der Zugang muss technisch beendet sein, und die ausgeführte Arbeit darf nicht ausschließlich in einem externen Wartungsprotokoll stehen. Erst dieser Nachweis verbindet die gezeichnete Netzgrenze mit der tatsächlich betriebenen Anlage.

Hinweis: Diese Einordnung ersetzt keine Prüfung des Einzelfalls.