Lange Zeit war das Fabriknetz eine eigene kleine Welt. Maschinen sprachen mit ihren Steuerungen, und die Verbindung zum Büro war ein einziges, sorgfältig bewachtes Gateway. Diese Welt gibt es nicht mehr: Maschinendaten fliessen in Dashboards, ERP-Systeme und die Cloud, Lieferanten warten Anlagen aus der Ferne, und jeden Monat kommen neue Sensoren hinzu.
Jede neue Verbindung ist nützlich — und ein möglicher Angriffsweg. Dieser Beitrag erklärt, warum Verschlüsselung allein eine Fabrik nicht sicher macht, was Zertifikate damit zu tun haben und warum ihre regelmässige Rotation eine der wirksamsten und zugleich am stärksten vernachlässigten Massnahmen ist.
Warum OT-Sicherheit anders ist als IT-Sicherheit
Im Büro werden Systeme jeden Monat aktualisiert und über Nacht neu gestartet. In der Produktion ist das oft nicht möglich:
- Lange Lebensdauer: Maschinen und Steuerungen laufen fünfzehn oder zwanzig Jahre — weit länger, als irgendein Betriebssystem unterstützt wird.
- Keine Stillstandszeit: Updates und Neustarts bedeuten Produktionsstillstand. Sie werden Monate im Voraus geplant, wenn überhaupt.
- Alte Protokolle: Viele Geräte kommunizieren unverschlüsselt und können nicht prüfen, mit wem sie sprechen.
- Flache Netze: Wer einmal drin ist, erreicht oft jedes Gerät, weil das Netz nie in Zonen unterteilt wurde.
Deshalb kann sich OT-Sicherheit nicht darauf verlassen, dass jedes Gerät sich selbst schützt. Der Schutz muss aus dem Netz rund um die Geräte kommen.
Verschlüsselung braucht Identität
Verschlüsselung stellt sicher, dass niemand Daten unterwegs mitlesen oder verändern kann. Sie hilft aber nur, wenn Sie auch wissen, wer auf der anderen Seite ist. Sonst baut ein Angreifer einfach eine eigene verschlüsselte Verbindung auf.
Genau dafür gibt es Zertifikate. Ein Zertifikat ist ein digitaler Ausweis: Es belegt, dass ein Gerät oder Dienst wirklich der ist, für den er sich ausgibt. Bei Mutual TLS (mTLS) weisen beide Seiten ihr Zertifikat vor, und nur bekannte, freigegebene Geräte werden durchgelassen. OPC UA nutzt dasselbe Prinzip mit eigenen Applikationszertifikaten.
Kurz gesagt: Verschlüsselung schützt den Inhalt, Zertifikate schützen vor dem falschen Gegenüber. Ein sicheres Fabriknetz braucht beides.
Das unterschätzte Problem: Zertifikate, die sich nie ändern
In vielen Werken werden Zertifikate einmal ausgestellt und dann vergessen. Das führt zu Problemen:
- Gestohlene Identitäten bleiben gültig: Werden ein Zertifikat und sein Schlüssel kopiert, kann der Angreifer sie nutzen, solange das Zertifikat gültig ist — oft jahrelang.
- Geteilte Zertifikate vergrössern den Schaden: Nutzen mehrere Geräte oder Standorte dasselbe Zertifikat, öffnet ein einziges kompromittiertes Gerät die Tür für alle.
- Ablaufende Zertifikate verursachen Ausfälle: Läuft ein Zertifikat ab, das niemand im Blick hat, brechen Verbindungen plötzlich ab — und mit ihnen die Produktion.
Deshalb verlangen Sicherheitsstandards wie IEC 62443 und in der EU die NIS2-Richtlinie, dass Zertifikate und Schlüssel verwaltet und regelmässig erneuert werden. Das für Hunderte von Verbindungen von Hand zu erledigen, ist kaum realistisch — deshalb passiert es in der Praxis oft gar nicht.
Wie ein praxistauglicher Ansatz aussieht
Statt jede Maschine nachzurüsten, schützen Sie den Datenverkehr dort, wo er in die Fabrik oder zwischen Bereichen übertritt:
- Ein verschlüsselnder Proxy an der Grenze: Ein Proxy in der Fabrik ver- und entschlüsselt den gesamten Datenverkehr, der durch ihn hindurchläuft. Bestehende Geräte arbeiten unverändert weiter.
- Eigene Zertifikate pro Verbindungsart: Maschinendaten, Fernwartung und ERP-Anbindung erhalten jeweils eigene Zertifikate, damit ein Problem in einem Bereich die anderen nicht betrifft.
- Whitelisting: Nur ausdrücklich freigegebene Geräte kommen durch. Alles andere wird abgewiesen.
- Automatische Rotation: Zertifikate werden in einem festgelegten Intervall automatisch erneuert — ohne dass jemand daran denken muss.
- Keine geteilten Zertifikate: Jeder Proxy und jeder Standort hat eigene Zertifikate, damit eine Kompromittierung isoliert bleibt.
Wie RALUS CertProxy das in die Praxis umsetzt
Genau für diesen Ansatz haben wir RALUS CertProxy entwickelt. Er läuft auf einem Server in Ihrer Fabrik oder in Ihrem Rechenzentrum und ver- und entschlüsselt den gesamten Datenverkehr, der durch ihn hindurchläuft. Jede Art von Kommunikation nutzt eigene Zertifikate aus einem verwalteten Pool, und nur freigegebene Geräte kommen durch.
CertProxy unterstützt alle gängigen Zertifikatstypen, darunter Zertifikate von öffentlichen und privaten CAs, selbstsignierte Zertifikate, OPC-UA-Zertifikate, mTLS-Client-Zertifikate und Gerätezertifikate nach IEEE 802.1AR. Zertifikate rotieren automatisch im Intervall, das Sie festlegen. So erfüllt die IT ihre Rotationsvorgaben ohne manuellen Aufwand.
Mehrere CertProxies arbeiten zusammen: Sie rotieren Zertifikate zufällig, ohne Wiederholungen und ohne dass sich zwei Proxies ein Zertifikat teilen. Ob das IT-Netz oder eine Fabrik kompromittiert wird: CertProxy isoliert die Fabrik.
Wo Sie anfangen
- 1Verbindungen erfassen: Welche Systeme kommunizieren mit dem Fabriknetz, und welche Protokolle nutzen sie? Für den Anfang genügt eine einfache Liste.
- 2Nach Risiko priorisieren: Fernwartung und Cloud-Anbindungen kommen meist zuerst, danach die Verbindungen zwischen Standorten.
- 3Zuerst eine Verbindung schützen: Beginnen Sie mit der kritischsten Verbindung, prüfen Sie, ob sie zuverlässig läuft, und gehen Sie dann Schritt für Schritt weiter.
- 4Rotationsintervall festlegen: Vereinbaren Sie mit der IT, wie oft Zertifikate erneuert werden müssen, und lassen Sie es automatisch geschehen.
- 5Überwachen: Behalten Sie Verbindungen und Zertifikate im Blick, damit nichts unbemerkt abläuft oder sich ändert.
Fazit
Eine vernetzte Fabrik braucht mehr als eine Firewall am Rand. Verschlüsselung, klare Identitäten und regelmässig erneuerte Zertifikate machen den Unterschied zwischen einem Netz, das bloss verschlüsselt ist, und einem, das wirklich geschützt ist — und nichts davon muss mehr manuellen Aufwand bedeuten.
Möchten Sie wissen, welche Ihrer Verbindungen Sie zuerst schützen sollten? Fordern Sie eine CertProxy-Demo an.