Ausführlicher Leitfaden zu industriellen Firewalls und der Netzwerksegmentierung in OT-Netzwerken

Für viele Automatisierungs- und Anlagensteuerungsingenieure kann die Navigation durch die komplexe Welt der industriellen Netzwerke und Cybersicherheit eine große Herausforderung darstellen. Während traditionelle IT-Abteilungen auf etablierten Rahmenwerken arbeiten, die für kommerzielle Bürodaten ausgelegt sind, erfordert die Betriebstechnologie- (OT-)Umgebung einen völlig anderen Ansatz. In der Anlagenumgebung bedeutet ein einfaches Netzwerkproblem nicht nur den Ausfall einer E-Mail; es kann zu einem katastrophalen Produktionsstillstand, Schäden an Anlagen oder erheblichen Sicherheitsrisiken führen.

Um einen sicheren und zuverlässigen Betrieb zu gewährleisten, müssen sich Steuerungssysteme von flachen, nicht segmentierten Netzwerkarchitekturen lösen. Moderne Industrieanlagen sind in hohem Maße auf industrielle Firewalls angewiesen, um strenge Grenzkontrollen durchzusetzen, ältere Verarbeitungseinheiten zu schützen und eine hohe Verfügbarkeit über kritische Produktionslinien hinweg aufrechtzuerhalten.

Die grundlegende Rolle von Firewalls in der industriellen Automatisierung

Im Kern ist eine industrielle Firewall eine speziell entwickelte Hardware- oder Softwarekomponente, die den ein- und ausgehenden Netzwerkverkehr auf Grundlage vordefinierter Sicherheitsregeln überwacht, filtert und steuert. Im Gegensatz zu standardmäßigen Unternehmensumgebungen, in denen die Vertraulichkeit der Daten oberste Priorität hat, legen industrielle Firewalls den Schwerpunkt auf Betriebssicherheit, deterministische Leistung und maximale Verfügbarkeit.

Ein offenes, nicht segmentiertes Netzwerk ermöglicht es jedem Gerät in einer Anlage, uneingeschränkt mit jedem anderen Gerät zu kommunizieren. Das erleichtert zwar die anfängliche Fehlersuche vor Ort, birgt jedoch erhebliche betriebliche Risiken. Ein einzelner kompromittierter Laptop oder ein fehlerhaftes Feldgerät kann das Netzwerk überlasten und kritische speicherprogrammierbare Steuerungen (SPS) oder Knoten eines verteilten Leitsystems (DCS) außer Betrieb setzen. Industrielle Firewalls fungieren als lokale Verkehrspolizisten und stellen sicher, dass nur verifizierte und erforderliche Steuerungsnachrichten zwischen kritischen Prozessbereichen übertragen werden.

Bewertung der Unterschiede: Industrielle Firewalls im Vergleich zu IT-Firewalls

Ein Netzwerkpaket, das die TCP/IP-Protokollfamilie nutzt, weist dieselbe strukturelle Form auf, unabhängig davon, ob es sich durch ein Unternehmensrechenzentrum oder über eine robuste Fabrikumgebung bewegt. Die Umgebungsbedingungen, Protokollanforderungen und betrieblichen Prioritäten unterscheiden sich zwischen diesen Bereichen jedoch grundlegend.

In einem gewöhnlichen Heimnetzwerk folgt die integrierte Firewall eines Glasfaser- oder DSL-Routers einfachen, automatisierten Regeln: Interne Geräte dürfen externe Verbindungen zum öffentlichen Internet aufbauen, während nicht initiierte eingehende Verbindungsversuche von externen IP-Adressen blockiert werden. In einer gewerblichen Büroumgebung verwalten Unternehmensfirewalls den Benutzerzugriff auf lokale Dateiablagen, Druckerwarteschlangen und Webserver, protokollieren verdächtigen Datenverkehr und blockieren nicht autorisierte externe Domains, während sie den Durchsatz für geschäftliche Softwareanwendungen optimieren.

Im Gegensatz dazu benötigt ein industrielles OT-Netzwerk eine völlig eigene Klasse von Sicherheitsinfrastrukturen. Industrielle Firewalls müssen proprietäre Echtzeit-Automatisierungsprotokolle wie Modbus TCP, EtherNet/IP, PROFINET und OPC UA verarbeiten. Außerdem müssen sie in rauen Umgebungen zuverlässig arbeiten, die extremen Temperaturen, hoher elektromagnetischer Interferenz (EMI) und starken mechanischen Vibrationen ausgesetzt sind. Während eine IT-Firewall möglicherweise häufig aktualisiert oder außerhalb der Spitzenzeiten neu gestartet wird, muss eine OT-Firewall monatelang oder jahrelang kontinuierlich betrieben werden, um unerwartete Prozessunterbrechungen zu verhindern.

Tiefgehende Paketprüfung und zustandsbasierte Filtermechanismen

Industrielle Firewalls nutzen mehrere fortschrittliche Ebenen der Paketfilterung, um betriebliche Anlagen vor schädlichen Befehlen und Netzwerkanomalien zu schützen:

• Traditionelle Paketfilterung: Dieser grundlegende Mechanismus prüft einzelne Pakete isoliert. Die Firewall kontrolliert die Quell- und Ziel-IP-Adressen sowie die jeweiligen TCP- oder UDP-Portnummern und vergleicht sie mit einer Zugriffskontrollliste (ACL), um zu bestimmen, ob das Paket verworfen oder weitergeleitet wird.
• Zustandsbasierte Inspection-Firewalls: Anstatt Pakete als isolierte Ereignisse zu betrachten, verfolgen zustandsbasierte Firewalls den Status aktiver Netzwerkkommunikationen. Durch die Überwachung des vollständigen Lebenszyklus einer Verbindung stellt die Firewall sicher, dass eingehende Pakete Teil einer erwarteten, zuvor eingerichteten Sitzung sind, und verhindert so gängige Spoofing-Angriffe.
• Tiefgehende Paketprüfung (DPI): Hochentwickelte industrielle Firewalls lesen über die Netzwerk-Header hinaus direkt die Daten der Anwendungsschicht. Bei der Prüfung von Modbus-TCP-Datenverkehr kann eine DPI-Firewall beispielsweise zwischen einem harmlosen Befehl „Read Holding Registers“ und einem potenziell gefährlichen Befehl „Write Multiple Registers“ unterscheiden und nicht autorisierte Konfigurationsänderungen blockieren, selbst wenn sie von einer freigegebenen IP-Adresse stammen.
• Web Application Firewalls (WAF): Eine WAF arbeitet ausschließlich auf der Anwendungsschicht und überwacht HTTP- und HTTPS-Datenverkehr, um webbasierte Steuerungsschnittstellen zu schützen. Dazu gehören beispielsweise moderne Mensch-Maschine-Schnittstellen (HMIs) und Edge-Gateways, die vor Web-Exploits, SQL-Injection-Angriffen und Schwachstellen durch Cross-Site-Scripting geschützt werden.

Als Ergänzung zu diesen Filterebenen setzen viele moderne OT-Architekturen Intrusion-Detection-Systeme (IDS) und Intrusion-Prevention-Systeme (IPS) ein. Während herkömmliche Firewalls starre, regelbasierte Blockaden durchsetzen, nutzt eine IDS-/IPS-Plattform fortschrittliche Heuristiken und die Analyse von Basismustern, um ungewöhnliches Verhalten zu erkennen. Wenn ein Controller plötzlich beginnt, das Netzwerk nach nicht zugewiesenen IP-Adressen zu durchsuchen, meldet ein IDS die Anomalie an das Anlagensicherheitsteam, während ein IPS aktiv eingreifen und die nicht autorisierte Sitzung beenden kann, bevor sich das Virus über das Steuerungsnetzwerk ausbreitet.

Bidirektionales Verkehrsmanagement und Egress-Filterung

Industrielle Sicherheitsstrategien konzentrieren sich häufig hauptsächlich auf die Ingress-Filterung – also darauf, externe Bedrohungen am Eindringen in das lokale Steuerungsnetzwerk zu hindern. Für einen umfassenden Schutz ist jedoch auch eine strenge Egress-Filterung, die den aus der Steuerungszone herausgehenden Datenverkehr kontrolliert, gleichermaßen wichtig.

Industrielle Steuerungsnetzwerke weisen im Vergleich zu typischen IT-Umgebungen äußerst vorhersehbare und starre Datenflüsse auf. Ein Feldcontroller muss nur selten eine Kommunikation außerhalb seines zugewiesenen Subnetzes initiieren. Durch die Anwendung granularer Egress-Regeln kann ein Ingenieur sicherstellen, dass selbst eine kompromittierte spezialisierte Automatisierungskomponente – etwa durch einen in einem Software-Patch eingebetteten Supply-Chain-Exploit – keine Verbindung zu einem entfernten Command-and-Control-Server aufnehmen kann. Diese Eindämmung neutralisiert die Bedrohung effektiv, hält sie lokal begrenzt und verhindert eine laterale Ausbreitung über die umfassendere Anlagenarchitektur.

Architektonische Platzierung in industriellen Netzwerken

Industrielle Firewalls werden an strategischen Punkten innerhalb der Automatisierungshierarchie eingesetzt, um klare Grenzen zwischen verschiedenen Betriebszonen zu schaffen:

Während primäre Feldcontroller Verarbeitungsgeschwindigkeit und deterministische Sicherheit höher priorisieren als eine integrierte kryptografische Filterung, muss die Sicherheit von dedizierten Infrastrukturkomponenten übernommen werden. In segmentierten Architekturen übernehmen verwaltete Netzwerk-Switches die grundlegende Sicherheit auf Portebene mithilfe von ACLs. Echte Netzwerkgrenzen werden jedoch durch dedizierte industrielle Gateways, Router und robuste Firewalls aufrechterhalten, die an den Übergängen zwischen verschiedenen Betriebszonen positioniert sind.

Für Ingenieure, die ältere Verarbeitungslinien warten, bleibt der Einsatz dedizierter Komponenten für Kommunikation und Netzwerke ein wesentlicher Bestandteil moderner Strategien zur Netzwerksegmentierung. Diese Hardwareschichten schützen kritische Verarbeitungsanlagen vor unnötigem Netzwerkverkehr, sodass sich ihre internen Prozessoren vollständig auf Hochgeschwindigkeitsausführungsaufgaben konzentrieren können.

Abstimmung der Netzwerkzonen auf die Norm IEC 62443

Das moderne Design industrieller Netzwerke stützt sich stark auf die internationale Norm IEC 62443, die einen umfassenden Rahmen für die Absicherung industrieller Automatisierungs- und Steuerungssysteme (IACS) bietet. Das Kernprinzip dieser Norm ist das Modell „Zonen und Leitungen“. Eine Zone ist eine logische oder physische Gruppierung von Anlagen mit ähnlichen Sicherheitsanforderungen, während eine Leitung den Kommunikationspfad zwischen diesen Zonen darstellt.

Industrielle Firewalls fungieren als wichtigste physische Kontrollinstanzen für diese Leitungen. Durch die Platzierung einer Firewall an jedem Übergang zwischen Leitungen stellen Anlageningenieure sicher, dass Anlagen mit unterschiedlichen Risikoprofilen nicht unkontrolliert miteinander kommunizieren können. Beispielsweise kann eine Anlage ihre kritische Prozessausrüstung von ihren Überwachungssystemen trennen, indem sie eigenständige Funktionszonen einrichtet:

• SPS-Netzwerkzone: Enthält schnelle Echtzeitverarbeitungs-Controller, die präzise physische Bewegungen und verriegelte Sicherheitsmechanismen steuern.
• DCS-Netzwerkzone: Beherbergt kontinuierliche Prozessabläufe, Regler für die Prozessführung und verteilte E/A-Baugruppen über mehrere Prozesseinheiten hinweg.
• SCADA-Netzwerkzone: Umfasst übergeordnete Rechner, regionale Prozessdatenarchive und HMI-Server in der zentralen Leitwarte.
• Netzwerkzone zur Turbinenüberwachung: Ist dem Hochgeschwindigkeits-Maschinenschutz gewidmet und erfasst kontinuierliche Schwingungsdaten, Wellenverschiebungen und kritische thermodynamische Kennzahlen.

Unternehmensweite Implementierungen verschiedener Anbieter und Anwendungsprofile

Die Umsetzung einer robusten Sicherheitsstrategie erfordert den Einsatz spezialisierter Hardware, die auf bestimmte Steuerungsebenen und Anbieterökosysteme zugeschnitten ist. Anlagen mit schnellen diskreten Produktionslinien implementieren beispielsweise häufig dedizierte Firewalls direkt vor ihren Hauptprozessorracks. In einer Allen-Bradley-ControlLogix-Plattform positionieren Ingenieure industrielle Sicherheitsgeräte häufig unmittelbar vor den Kommunikationsmodulen 1756-EN2T oder 1756-EN3TR. Diese Architektur schützt den EtherNet/IP-Datenverkehr vor unerwarteten Broadcast-Stürmen und blockiert nicht autorisierte CIP-Befehle zur Firmwareänderung aus nicht freigegebenen Subnetzen.

Ebenso erfordert der Schutz kontinuierlicher Prozessnetzwerke eine tiefgreifende Integration auf Systemebene. In einer Anlage, die auf einem Siemens-Simatic-S7-Netzwerk basiert, werden robuste Sicherheitsmodule wie die Scalance-S-Serie regelmäßig eingesetzt, um sichere Leitungen einzurichten. Diese Geräte führen eine tiefgehende Paketprüfung der S7-Kommunikationsprotokolle durch und stellen sicher, dass nur zertifizierte Engineering-Stationen eine S7-1500- oder S7-300-CPU in den Zustand STOP versetzen oder die lokale Blocklogik überschreiben können.

Diese strikte Zonenisolierung ist auch für groß angelegte verteilte Architekturen von entscheidender Bedeutung. In einem umfassenden ABB-800xA-AC-800M-Ökosystem werden Firewalls eingesetzt, um das schnelle Control Network vom übergeordneten Anlagennetzwerk zu isolieren. Dadurch wird sichergestellt, dass kritische MMS- und RNRP-Steuerungskommunikationen vollständig vom geschäftlichen Bürodatenverkehr abgeschirmt sind. Ebenso verwendet ein Unternehmen, das ein Honeywell Experion PKS C300 Series C-System einsetzt, typischerweise dedizierte Firewall-Systeme zum Schutz der Fault-Tolerant-Ethernet-(FTE-)Infrastruktur. Diese blockieren externe Netzwerklaufzeitschwankungen, die die deterministischen Ausführungszyklen der C300-Controller beeinträchtigen könnten.

Kontrolle durch den Endbenutzer, langfristige Regelwartung und Konfigurationsprüfungen

Industrielle Firewalls bieten je nach ihrer spezifischen Auslegung unterschiedliche Ebenen der Benutzerkontrolle. Viele moderne Systeme verfügen über vereinfachte grafische Benutzeroberflächen für das Anlagenpersonal, während fortschrittliche Sicherheitsgeräte Ingenieuren ermöglichen, granulare Regelsätze bis hin zu bestimmten Hexadezimalcodes und Befehlsstrukturen innerhalb der Nutzdaten eines industriellen Pakets zu erstellen.

In stabilen Anlagenumgebungen, in denen sich die physische Netzwerktopologie und die Feldausrüstung selten ändern, können Firewall-Konfigurationen über lange Zeiträume unverändert bleiben. Wenn jedoch neue, auf Skids montierte Hardware integriert, ein SPS-Programm geändert oder einem externen Servicetechniker vorübergehend ein Fernzugriff über ein sicheres VPN ermöglicht wird, müssen die Firewall-Regeln entsprechend angepasst werden.

Um ein Abdriften der Sicherheitskonfiguration und versehentliche Öffnungen zu verhindern, werden regelmäßige Konfigurationsprüfungen dringend empfohlen. Das Sicherheitspersonal sollte die aktiven Regelsätze systematisch überprüfen, um sicherzustellen, dass vorübergehende Regeln, die während Wartungsstillständen verwendet wurden, widerrufen worden sind. So bleibt der industrielle Perimeter vollständig gegen neu auftretende Cybersicherheitsbedrohungen geschützt.