Sichere Maschinenanbindung: Was IEC 62443 mit „Zones & Conduits“ praktisch bedeutet

Maschinendaten ja – aber nicht mit offener Tür ins Maschinennetz. Warum die Richtung des Datenflusses über Sicherheit entscheidet, und wie Fernwartung trotzdem funktioniert.

Gerade reden alle über NIS2 und OT-Security. Dahinter steht eine Normenreihe, die kaum jemand vollständig liest, obwohl ihr Kernprinzip auf eine Serviette passt: die IEC 62443 mit dem Konzept „Zones & Conduits“. Die Norm ist übrigens älter als die meisten Industrie-4.0-Initiativen – ihre Wurzeln reichen bis in die frühen 2000er zurück. Neu ist nicht die Regel. Neu ist, dass NIS2 jetzt Druck macht, sie ernst zu nehmen.

Zones & Conduits – übersetzt ohne Beraterdeutsch

Zonen bedeutet: Das Netzwerk wird nach Schutzbedarf aufgeteilt. Maschinennetz, Leitebene und Office-IT sind getrennte Welten. Eine verseuchte Office-Mail darf unter keinen Umständen eine Spritzgussmaschine erreichen – und das darf nicht von Disziplin abhängen, sondern muss durch die Architektur unmöglich sein.

Conduits bedeutet: Jede Verbindung zwischen zwei Zonen ist ein bewusst definierter Übergang. Eine Firewall-Regel, ein Gateway, eine DMZ – aber niemals „mal eben ein Kabel rüber“, weil es gerade praktisch war. Wer nicht sagen kann, welche Übergänge zwischen seinen Zonen existieren, hat keine Zonen. Er hat nur VLANs.

Die goldene Regel für Maschinendaten

Daten fließen von innen nach außen. Immer.

Konkret heißt das: Ein Edge-Gateway steht im Maschinennetz, sammelt die Werte per OPC UA von den Steuerungen ein – die meisten modernen Maschinen bringen einen OPC-UA-Server ab Werk mit – und pusht sie verschlüsselt nach draußen, etwa per MQTT über TLS an einen Broker. Die Firewall des Maschinennetzes erlaubt genau diese eine ausgehende Verbindung. Eingehend ist nichts offen. Von außen betrachtet existiert das Maschinennetz schlicht nicht: Ein Portscan findet keinen einzigen offenen Port, während die Auswertung trotzdem live mit Daten versorgt wird.

Segmentiert ist gut. Sicher segmentiert ist besser.

Ich nehme mich hier nicht aus: Frühere Anbindungen habe ich selbst anders gebaut. Maschinen sauber im eigenen Netz, jede mit ihrem werksseitigen OPC-UA-Server, und von der IT-Seite fragte Node-RED die Werte zyklisch ab und speicherte sie in die Maschinendatenerfassung. Das fühlte sich richtig an – und war es auch zur Hälfte. Der Haken: Der Zugriff ging von außen ins Maschinennetz hinein. Pro Maschine ein erreichbarer OPC-UA-Port, offen für jeden, der im selben Netz wie die Auswertung stand.

Heute drehe ich die Richtung um. Das Gateway steht im Maschinennetz und pusht die Daten heraus. Gleiche Daten, gleicher Informationsgehalt – aber kein einziger Weg mehr von außen hinein. Genau in dieser Richtungsumkehr steckt der Unterschied zwischen „segmentiert“ und „sicher segmentiert“.

„Und wenn der Servicetechniker auf die Maschine muss?“

Der Einwand kommt in jedem Gespräch, und er ist berechtigt. Die Antwort der IEC 62443 lautet nicht „Fernwartung verbieten“, sondern: Fernwartung ist ein eigener Conduit mit eigenen Regeln.

Das heißt erstens: kein dauerhaft offener Zugang und keine Hersteller-Mobilfunkbox, die ungefragt „nach Hause telefoniert“ – solche Boxen sind unkontrollierte Übergänge an der gesamten Sicherheitsarchitektur vorbei. Stattdessen schaltet der Betreiber den Wartungszugang pro Einsatz frei, per Schlüsselschalter am Schaltschrank oder per Klick im System. Der Techniker verbindet sich mit einem Jump-Host; die Verbindung ins Maschinennetz baut das Wartungs-Gateway von innen heraus auf. Zweitens gilt: Der Techniker sieht genau die eine Maschine, für die er freigeschaltet wurde – nicht das Netz. Und drittens wird jede Session protokolliert: wer, wann, welche Maschine.

Damit lässt sich die entscheidende Frage jederzeit beantworten: Wer kommt gerade an unsere Maschinen heran? Die richtige Antwort lautet: niemand – außer wir haben es ausdrücklich erlaubt, und dann wissen wir, wer, wo und wie lange.

Was das für den Mittelstand bedeutet

Die gute Nachricht: 62443-konforme Maschinenanbindung erfordert keine teure Spezial-Appliance. Segmentierung, ein Edge-Gateway, eine saubere Push-Architektur und ein kontrollierter Wartungszugang – das ist solides Handwerk mit weitgehend frei verfügbaren Werkzeugen, kein Hexenwerk. Wer unter NIS2 fällt, hat mit dieser Architektur zugleich ein belastbares Stück Nachweis für das geforderte Risikomanagement in der Hand.

Und wer heute noch von außen in sein Maschinennetz pollt oder eine Fernwartungsbox betreibt, von der niemand mehr genau weiß, was sie darf: Der beste Zeitpunkt für die Richtungsumkehr ist nicht das nächste Audit – sondern davor.

Sie möchten wissen, wie Ihre Maschinenanbindung im Licht von IEC 62443 und NIS2 dasteht – oder die Richtungsumkehr konkret angehen? [Termin bequem online buchen] oder direkt anrufen: 0151 155 20 344.