Ob Anlagenbauer, Systemhaus oder Backup-Dienstleister: Ohne externe Zugriffe läuft in den meisten Unternehmen nichts mehr. Der Hersteller schaltet sich zur Störungsbehebung auf seine Maschine auf, der Integrator verteilt Updates, der Dienstleister kontrolliert nachts die Sicherungsläufe. Betrieblich sind diese Zugänge unverzichtbar. Sicherheitstechnisch zählen sie zu den größten Schwachstellen: Während die interne Infrastruktur meist engmaschig überwacht wird, öffnet ein Wartungsfenster oft eine Tür, deren tatsächliche Nutzung niemand im Detail verfolgt.
Mit NIS2 kommt die regulatorische Dimension hinzu: Die Richtlinie fordert, dass auch Zugriffe Dritter kontrolliert, dokumentiert und auf das erforderliche Minimum begrenzt werden. Wer nicht belegen kann, welcher Dienstleister wann auf welches System zugegriffen hat, gerät spätestens im Audit in Erklärungsnot.
Was die Zahlen zeigen
Wie weit Anspruch und Realität auseinanderliegen, dokumentiert der aktuelle SANS-Report zur ICS-Sicherheit: Etwa die Hälfte der erfassten Sicherheitsvorfälle geht auf unbefugte externe Zugriffe zurück. Fortgeschrittene Kontrollen wie Sitzungsaufzeichnung oder zeitlich befristete Zugänge setzen dagegen nur rund 13 Prozent der Unternehmen ein. 31 Prozent führen nicht einmal ein zentrales Verzeichnis ihrer Fernzugriffspunkte. Ausgerechnet der häufigste Angriffsweg wird also am schwächsten kontrolliert.
Die Schwachstellen klassischer Fernwartung
Das Kernproblem herkömmlicher Fernwartung: Der externe Techniker erhält einen VPN-Zugang und findet sich in einem Netz wieder, das ihm deutlich mehr erlaubt, als sein Auftrag verlangt. Die möglichen Folgen reichen von ärgerlich bis existenzbedrohend:
- Laterale Bewegung: Vom Wartungszugang aus sind weitere Systeme erreichbar. Ein kompromittiertes Dienstleister-Konto öffnet dann weit mehr als nur das Wartungsziel.
- Betriebsunterbrechung: Eine fehlerhafte Konfiguration am falschen System legt kritische Prozesse lahm, absichtlich herbeigeführt oder schlicht versehentlich.
- Datenabfluss: Vertrauliche Produktions- und Kundendaten verlassen unbemerkt das Unternehmen.
- Fehlende Nachweisbarkeit: Ohne Aufzeichnung bleibt im Streitfall offen, wer welche Änderung vorgenommen hat. Das wird zum Problem für Forensik, Gewährleistungsfragen und die NIS2-Dokumentation.
Das Prinzip: Zero Trust auch für Externe
Die konzeptionelle Antwort ist schlicht: Sitzungen von außen gelten grundsätzlich als nicht vertrauenswürdig. Zugriff gibt es ausschließlich auf das konkrete Zielsystem, nur für die benötigte Dauer und mit den geringstmöglichen Rechten. Jede Sitzung wird überwacht und protokolliert. Damit das im Alltag trägt, braucht es zwei ineinandergreifende Bausteine: eine Segmentierung, die den Bewegungsradius eingrenzt, und eine Zugriffsschicht, die die Tür selbst kontrolliert.
Baustein 1: Bewegungsradius begrenzen mit Mikrosegmentierung
Mikrosegmentierung setzt dort an, wo der größte Schaden entsteht: bei der lateralen Ausbreitung. Zunächst machen Plattformen wie Illumio sämtliche Datenflüsse zwischen Systemen sichtbar. Wer kommuniziert mit wem, und ist diese Verbindung überhaupt nötig? Auf dieser Basis entstehen Least-Privilege-Regeln bis hinunter auf Workload-Ebene, vollständig softwarebasiert und ohne Umbau der Netzwerkarchitektur.
Für den Wartungsfall heißt das: Selbst ein kompromittierter Dienstleister-Zugang endet an der Segmentgrenze. Das Wartungsziel bleibt erreichbar, die Nachbarsysteme nicht. Aus einem potenziellen Generalschlüssel wird ein Schlüssel für genau eine Tür. Wer Aufbau und Betrieb einer solchen Segmentierung nicht mit eigenem Personal stemmen kann, findet Zero-Trust-Mikrosegmentierung auch als Managed Service.
Baustein 2: Die Tür kontrollieren mit identitätsbasiertem Zugriff
Anbieter wie Xage Security kontrollieren den Zugang selbst, gerade auch in OT- und Industrieumgebungen, in denen klassische Remote-Access-Werkzeuge nicht weit kommen. An die Stelle des pauschalen VPN-Tunnels tritt ein identitätsbasiertes Modell: Zugriff wird pro Person, pro Asset und pro Aktion vergeben, auf Wunsch begrenzt auf ein Zeitfenster, das zum Wartungsauftrag passt.
Dazu kommen Fähigkeiten, die im Wartungskontext häufig fehlen: Multi-Faktor-Authentifizierung auch für Altsysteme, die selbst keine MFA beherrschen, Session-Brokering über einen kontrollierten Zugangspunkt sowie die lückenlose Aufzeichnung jeder Sitzung. Damit lässt sich im Nachhinein belegen, wer wann was getan hat. Genau diese Nachvollziehbarkeit verlangt NIS2, und im Gewährleistungsfall kann sie den Ausschlag geben.
Von der Architektur in den Betrieb
Mit der Auswahl der Werkzeuge ist es nicht getan; in der Praxis entscheidet die Umsetzung. Drei Aufgaben stehen im Mittelpunkt:
- Bestandsaufnahme: Alle Fernzugriffspfade gehören inventarisiert, einschließlich vergessener Hersteller-Portale und installierter Agenten, die am VPN vorbei kommunizieren.
- Architektur und Einführung: Segmentierungs- und Zugriffsmodell müssen zur Umgebung passen und schrittweise eingeführt werden, ohne den laufenden Betrieb zu gefährden.
- Dauerhafter Betrieb: Zugriffe und Regelwerke brauchen kontinuierliche Überwachung, damit Abweichungen auffallen und die Dokumentation revisionsfest bleibt.
Fehlt dafür internes Personal, lässt sich die Zugriffsschicht über Managed-SASE/SSE-Dienste mit Zero Trust Network Access abdecken, die Zugriffe identitätsbasiert prüfen und dauerhaft überwachen.
Vor dem nächsten Wartungsfenster
Abschaffen lassen sich externe Wartungszugriffe nicht. Beherrschen schon. Wer den Bewegungsradius per Segmentierung eingrenzt und Zugriffe identitätsbasiert, zeitlich befristet und aufgezeichnet vergibt, macht aus dem größten Einfallstor einen kontrollierten, dokumentierten Prozess. Der richtige Zeitpunkt dafür liegt vor dem nächsten Wartungsfenster, nicht nach dem ersten Vorfall.
Passende Managed Services
- Mikrosegmentierung – Zero-Trust-Segmentierung mit Plattformen wie Illumio: laterale Ausbreitung stoppen, Datenflüsse sichtbar machen, Least-Privilege-Regeln bis auf Workload-Ebene.
- Secure Access Service Edge (SASE/SSE) – identitätsbasierter Zugriff (ZTNA), Secure Web Gateway, CASB und DLP als betreuter Cloud-Dienst.