Kaum ein Angriffsweg trifft industrielle Umgebungen so häufig wie der Fernzugriff auf Operational Technology (OT). Remote-Wartung, Hersteller-Support, verteilte Werke: Ohne Zugriff von außen funktioniert moderner Betrieb nicht mehr. Genau dort entsteht aber das Risiko. Nach dem SANS 2025 State of ICS Security Survey lässt sich rund die Hälfte aller ICS-Sicherheitsvorfälle auf den Fernzugriff zurückführen. VPN und Multi-Faktor-Authentifizierung (MFA) sind ein notwendiges Fundament, reichen für sich genommen aber nicht aus.
Der Befund: kein Angriffsweg wird häufiger genutzt
Die Datenlage aus dem SANS-Report ist eindeutig:
- 50 Prozent der ICS-Vorfälle nehmen ihren Ausgang beim Fernzugriff.
- 22 Prozent der Unternehmen verzeichneten innerhalb von zwölf Monaten einen ICS-/OT-Sicherheitsvorfall; bei 38 Prozent davon war Ransomware im Spiel.
- 31 Prozent pflegen kein formales Verzeichnis ihrer Fernzugriffspfade. Sie wissen also nicht, über welche Wege Externe hereinkommen.
- 83 Prozent setzen Cloud-Dienste in IT und OT ein, aber nur 13 Prozent beziehen diese Cloud-Aktivitäten in ihr Monitoring ein.
Erschwerend kommt hinzu: Selbst bei schneller Erkennung zieht sich die Wiederherstellung oft hin. Ein erheblicher Teil der Betriebe benötigt Tage bis Monate, bis wieder ein sicherer Zustand erreicht ist. In einer Produktionsumgebung ist das teuer und gefährlich zugleich.
Die Grenze von VPN und MFA
Zuverlässig beantworten VPN und MFA genau eine Frage: Ist die Person tatsächlich die, für die sie sich ausgibt? Beide Verfahren authentifizieren Identitäten und stellen einen verschlüsselten Kanal bereit. Alles Weitere bleibt offen: welche Aktionen jemand ausführen darf, mit welchen Geräten er interagiert und wie sich sein Handeln auf physische Prozesse auswirkt.
In der IT mag diese Lücke verschmerzbar sein. In der OT kann ein einziger falscher Befehl an einer Steuerung reale Konsequenzen haben: einen Produktionsstopp, beschädigte Anlagen oder eine Gefährdung von Menschen, ob mit Absicht oder aus Versehen. Hinzu kommt, dass die tatsächlichen Zugriffspfade längst über das klassische VPN hinausreichen. Hersteller-Portale, Cloud-Dienste und auf Systemen installierte Agenten öffnen zusätzliche Wege, die ein reines VPN gar nicht erfasst. Ein authentifizierter Tunnel sagt nichts darüber aus, was in ihm geschieht.
Anforderungen an ICS-spezifische Kontrollen
SANS rät deshalb dazu, den Fernzugriff auf OT als sicherheitskritische Funktion mit eigenen Anforderungen zu behandeln. Daraus ergibt sich ein Katalog von Kontrollen, den bislang nur eine Minderheit umsetzt:
- Least Privilege pro Aktion: Statt nur „Zugang ja oder nein“ zu entscheiden, festlegen, welche konkreten Handlungen an welchem Gerät zulässig sind.
- Geräte- und konfigurationsbewusste Zugriffe: Verbindungen nur von autorisierten, ordnungsgemäß gepflegten Engineering-Workstations zulassen.
- Session Recording und Replay: Sitzungen lückenlos aufzeichnen: für Vorfallanalyse, Compliance und die Klärung von Streitfällen mit Herstellern. Nur rund 13 Prozent setzen das um.
- Freigaben in Echtzeit: Kritische Zugriffe mit dem Personal vor Ort und den Wartungsfenstern abstimmen (rund 8 Prozent).
- Jump-Host oder Session Broker: ein erzwungener, kontrollierter Engpass für sämtlichen Fernzugriff, eingebettet in eine OT-DMZ nach dem Purdue-Modell (rund 23 Prozent).
- Protokoll-Vermittlung: Statt freiem Netzwerkzugriff nur definierte Anwendungen und Industrieprotokolle zulassen.
Wie sich diese Lücke technisch schließen lässt
Zwischen „authentifiziert“ und „kontrolliert“ klafft die eigentliche Lücke. Anbieter wie Xage Security schließen sie mit einem identitätsbasierten Zero-Trust-Zugriffsmodell, das für OT- und ICS-Umgebungen entworfen ist: Statt ein weiteres VPN zu ergänzen, ziehen solche Plattformen eine durchgehende Kontrollschicht über alle Zugriffswege ein. Die von SANS geforderten Kontrollen decken sie der Reihe nach ab:
- Zugriff gibt es granular pro Nutzer, Gerät und Aktion statt als pauschalen Tunnel ins Netz. Least Privilege lässt sich so bis auf Asset-Ebene durchsetzen.
- Starke Authentifizierung gilt auch für Altsysteme: Solche Plattformen legen MFA über OT-Anlagen, die von sich aus keine modernen Verfahren beherrschen, ohne die Geräte selbst anzutasten.
- Privilegierter Fernzugriff läuft über Session-Brokering mit Aufzeichnung und Replay; die kontrollierte Sitzung ersetzt den offenen Tunnel.
- Richtlinien gelten einheitlich über IT, OT, Cloud und Hersteller-Portale hinweg, einschließlich der Pfade, die ein klassisches VPN übersieht.
- Die Architektur ist verteilt und ausfallsicher: Zugriffsentscheidungen funktionieren standortübergreifend ohne zentralen Single Point of Failure und vertragen sich gut mit segmentierten OT-Netzen nach dem Purdue-Modell.
Der Unterschied zum reinen Tunnel: Ein VPN prüft, wer sich verbindet. Eine kontrollierende Zugriffsplattform erzwingt außerdem, was dabei zulässig ist, und dokumentiert vollständig, was tatsächlich geschah. Aus einem authentifizierten Zugang wird eine kontrollierte, nachvollziehbare Handlung.
Zugriffskontrolle und Segmentierung gehören zusammen
Mit der Technologie allein ist es nicht getan. Sie muss dauerhaft und sauber betrieben werden, von der Inventarisierung aller Zugriffspfade über die Einführung eines kontrollierten Zugriffsmodells bis zum laufenden Monitoring. Unternehmen ohne eigenes OT-Security-Team können diese Aufgaben an spezialisierte Betreiber übergeben.
Inhaltlich ist der Fernzugriff eng mit der Netzsegmentierung verzahnt: Erst wenn Zugriffe granular kontrolliert und Netze konsequent unterteilt sind, bleibt ein kompromittierter Zugang ein lokales Problem statt einer unternehmensweiten Gefahr. Wer diesen Baustein nicht selbst aufbauen will, findet Zero-Trust-Mikrosegmentierung als Managed Service, inklusive Sichtbarkeit der Datenflüsse und Least-Privilege-Regeln bis auf Workload-Ebene.
Drei Schritte für den Anfang
Die SANS-Empfehlungen laufen auf einen Kern zusammen: OT-Fernzugriff verdient die Behandlung als sicherheitskritische Funktion mit entsprechender technischer Sorgfalt. VPN und MFA bleiben die Basis, wirksam wird die Verteidigung aber erst durch ICS-bewusste Zugriffskontrolle. Der Einstieg erfordert keine Großtransformation: ein vollständiges Inventar der Zugriffspfade, ein kontrollierter Engpass über einen Jump-Host, ein identitätsbasiertes Zugriffsmodell. Mehr braucht der Anfang nicht.
Passende Managed Services
- Mikrosegmentierung – laterale Ausbreitung stoppen: Sichtbarkeit und Least-Privilege-Regeln bis auf Workload-Ebene.
- Secure Access Service Edge (SASE/SSE) – Zero-Trust-Zugriff (ZTNA), Secure Web Gateway und DLP als betreuter Dienst für die IT-Seite.