OT und IT über belastbare Schnittstellen verbinden

Eine zusätzliche Datenleitung zwischen Produktion und Unternehmens-IT wirkt zunächst wie ein Integrationsprojekt. Tatsächlich verändert sie die Vertrauensgrenze einer Anlage. Informationen verlassen ihren bisherigen Kontext, neue Systeme erhalten Einblick in den Prozess und aus einer lesenden Verbindung kann später ein Rückkanal werden.

In der Operational Technology, kurz OT, hat das andere Folgen als in einer gewöhnlichen Büroanwendung. Steuerungen und Leitsysteme wirken auf physische Abläufe. Verfügbarkeit, zeitlich vorhersehbares Verhalten und Safety begrenzen deshalb, welche Sicherheitsmaßnahmen im laufenden Betrieb vertretbar sind.

Die Folgen bestimmen die Architektur

Bevor Protokolle, Broker oder Cloud-Dienste ausgewählt werden, muss der Betreiber den Prozess verstehen. Welche Komponenten sind beteiligt? Welche Daten werden für welchen Zweck benötigt? Wie alt dürfen Messwerte sein? Was geschieht bei einer Unterbrechung? Eine Bestandsaufnahme sollte auch Wartungszugänge, Engineering-Stationen und bislang wenig beachtete Übergänge zu Fremdsystemen erfassen. Gerade diese Verbindungen prägen die reale Angriffsfläche.

NIST SP 800-82 Rev. 3 stellt die besonderen Anforderungen von OT an Leistung, Zuverlässigkeit und Sicherheit des physischen Betriebs in den Mittelpunkt. Das BSI verfolgt im aktualisierten ICS-Security-Kompendium ebenfalls einen risikoorientierten Ansatz aus Sicht von Betreibern, Integratoren und Herstellern. Klassische IT-Muster lassen sich daher nicht ungeprüft in eine Produktionsumgebung übertragen.

Lesen und Schreiben getrennt behandeln

Eine tragfähige Architektur trennt zunächst lesende und schreibende Datenwege. Werden Zustände nur für Analyse, Qualitätssicherung oder Auftragsfortschritt benötigt, gibt es keinen Grund, dem empfangenden System Steuerrechte einzuräumen. Schreibende Funktionen brauchen einen eigenen, eng begrenzten Kanal mit definierten Befehlen, zulässigen Zuständen und einer Prüfung direkt an der Übergabestelle.

Netzsegmentierung und Übergangszonen reduzieren direkte Abhängigkeiten. Ein Gateway kann Protokolle übersetzen, Nachrichten auf erwartete Strukturen prüfen und unerlaubte Inhalte abweisen. Puffer helfen bei kurzen Ausfällen, dürfen jedoch keine unkontrollierten Wiederholungen auslösen. Dafür benötigen Nachrichten eindeutige Kennungen; Zeitstempel, Quelle und Verarbeitungsstatus müssen bis zum zugehörigen Vorgang erhalten bleiben.

Entkopplung bedeutet nicht, jede Übertragung beliebig zu verzögern. Manche Informationen dürfen gesammelt und später übertragen werden, andere sind nur in einem engen Zeitfenster brauchbar. Solche Unterschiede gehören in den Datenvertrag. Ohne diese Festlegung entscheidet im Fehlerfall die jeweilige Implementierung.

Prüfpunkte vor der Inbetriebnahme

Die technische Abnahme darf sich nicht auf einen erfolgreichen Nachrichtentransport beschränken. Für jede produktive Verbindung sollten mindestens folgende Punkte nachvollziehbar feststehen:

• Zweck, Eigentümer, Richtung und zulässiger Inhalt jedes Datenflusses,
• Identitäten und Rechte für Systeme, Dienste, Wartungspersonal und nachgelagerte Anwendungen,
• Verhalten bei Zeitüberschreitung, Verbindungsabbruch, doppelten oder verspäteten Nachrichten,
• Freigabe und Wiederanlauf einschließlich der Verantwortung im Störungsfall,
• Protokollierung, Aufbewahrung und Auswertung sicherheitsrelevanter Änderungen.

Diese Angaben sind Teil der Schnittstelle. Fehlen sie, lässt sich zwar der Normalbetrieb testen, aber weder ein Fehler zuverlässig einordnen noch eine Änderung geordnet freigeben.

Monitoring braucht Anlagenkontext

Das BSI beschreibt Monitoring und Anomalieerkennung als Mittel, Abweichungen von normalen Zuständen in Produktionsnetzen sichtbar zu machen. Dafür muss zuerst bekannt sein, was normal bedeutet. Ein Anlagenstillstand, ein Rezepturwechsel oder ein Wartungsfenster kann ein anderes Kommunikationsmuster erzeugen als die laufende Produktion. Ein Alarmsystem ohne diesen Kontext meldet entweder zu viel oder übersieht relevante Veränderungen.

Wo es möglich ist, sollte die Beobachtung passiv erfolgen. Diagnosekomponenten dürfen keine neue unkontrollierte Verbindung schaffen und den Prozess nicht durch zusätzliche Last beeinflussen. Neben Netzwerkereignissen zählen betriebliche Signale: unerwartete Wertefolgen, fehlende Aktualisierungen, geänderte Gerätekonfigurationen oder ein Befehl außerhalb des vorgesehenen Anlagenzustands.

Fernwartung ist ein eigener Betriebszustand

Fernzugänge verdienen eine gesonderte Behandlung, weil sie zeitweise weitreichende Rechte über öffentliche oder fremd betriebene Netze verfügbar machen. Ein Wartungszugang sollte personengebunden freigegeben, zeitlich begrenzt, stark authentisiert und protokolliert werden. Nach Abschluss ist er wieder zu schließen.

Bei der Abnahme muss deshalb auch der Störungsbetrieb praktisch geprüft werden: Was sieht die Leitwarte, wenn Daten fehlen? Wer darf einen Kanal sperren? Wie wird nach einem Ausfall festgestellt, ob Zustand und Datenbestand noch zusammenpassen? Der verbleibende technische Zugang ist erst beherrscht, wenn diese Antworten im Betrieb funktionieren und nicht allein im Architekturdiagramm stehen.