Schritt 4: Fernzugang absichern
Wissen Sie, wer alles von außen auf Ihre Anlage zugreifen kann?
Hersteller, Techniker und Dienstleister greifen oft aus der Ferne auf Anlagen zu. Jeder dieser Zugänge ist auch eine Tür für Angreifer. Sicher wird es mit drei Regeln: zweiter Faktor, Freigabe im Einzelfall, Protokoll.
In einer Minute erklärt
Warum das wichtig ist
Gestohlene Zugangsdaten und offene Fernwartungszugänge gehören zu den häufigsten Wegen in Anlagen. In der SANS-Umfrage 2025 ging die Hälfte aller gemeldeten OT-Vorfälle auf unbefugten Zugriff von außen zurück. Viele Betriebe kennen nicht einmal alle ihre Zugänge. SANS nennt deshalb als Erstes: alle Fernzugänge auflisten.
Selbstcheck in zwei Minuten
Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an.
Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste.
Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr.
Was Sie tun können, je nach Betrieb
Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt.
- Im Router alle Portfreigaben für Kühlung oder Heizung löschen.
- Für den Techniker die VPN-Funktion des Routers nutzen (die Fritzbox kann das) und nur bei Bedarf einschalten.
- Standardpasswörter von Regler, Router und Fernwartung ändern, das Router-Passwort nicht weitergeben.
- Liste aller Fernwartungen mit Hersteller, Gerät und Ansprechpartner.
- Fernwartung nur auf Anruf freischalten, danach wieder aus.
- Zweiten Faktor für alle Zugänge einschalten, wo das Gerät es kann.
- Zentraler Fernzugang für alle Maschinenhersteller statt vieler eigener Boxen.
- Freigabe im Einzelfall durch die Instandhaltung, Sitzungen werden aufgezeichnet.
- Verträge mit Herstellern um Regeln für Fernwartung ergänzen.
- Fernzugänge für Bereitschaft und Dienstleister über einen gehärteten Zugang mit zweitem Faktor.
- Mobilfunkrouter der Außenstationen ohne Zugang aus dem Internet.
- Zugänge jährlich überprüfen und unnötige schließen.
- Privilegierter Zugang mit Aufzeichnung, Freigabe und zeitlicher Begrenzung.
- Getrennte Zugänge für Leitstelle, Stationen und Dienstleister.
- Angriffe auf VPN- und Edge-Geräte aus der Lage täglich verfolgen und schnell reagieren.
- Einheitliche Plattform für Fernzugriff in allen Werken, mit zentraler Steuerung.
- Kein direkter Zugriff von Lieferanten auf Sicherheitssysteme.
- Regelmäßige Prüfung durch Angriffstests von außen.
Hands-on: Alle Türen finden in 45 Minuten
- Im Router oder in der Firewall alle Portfreigaben und VPN-Konten auflisten.
- Bei Technik, Herstellern und Dienstleistern nachfragen: Wie kommen Sie auf unsere Anlage?
- Nach eigenen Boxen für Fernwartung und Mobilfunkroutern in Schaltschränken suchen.
- Jeden Zugang in die Liste eintragen: wer, wie, mit zweitem Faktor, dauerhaft offen oder nur bei Bedarf.
- Jeden Zugang ohne zweiten Faktor oder dauerhaft offen als Erstes ändern lassen.
In der Simulation ausprobieren
Starten Sie in einer Simulation im Reiter „Purple Team“ das Szenario über Fernzugang oder Sprungserver, zuerst ohne, dann mit Härtung (Reiter „Härtung“). Sie sehen, welche Maßnahme den Weg schließt.
Zum Ausdrucken
Liste aller Fernzugänge, Formular Freigabe im Einzelfall, Checkliste Fernzugang. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Fernzugangsliste und Freigabe für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann.
PDF mit Vorlage und Beispiel herunterladen
Was verlangen Gesetz und Norm?
NIS2 nennt Zugriffskontrolle und Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung ausdrücklich (in Deutschland § 30 Abs. 2 Nr. 9 und 10 BSIG). IEC 62443-3-3 fordert Identifizierung und Anmeldung von Personen sowie den Schutz der Zonengrenzen (Grundanforderungen 1 und 5). Für Fernzugänge nennt das BSI VPN, möglichst mit zweitem Faktor, als Mindeststandard (BSI-CS 154).
Quellen
- SANS Institute: The Five ICS Cybersecurity Critical Controls (Lee, Conway, Oktober 2022)
- § 30 BSIG (Mindestmaßnahmen, gültig seit 6.12.2025)
- BSI-CS 154: Gefährdung durch internet-verbundene OT-Systeme (Oktober 2026)
- BSI-CS 005: ICS-Security, Top 10 Bedrohungen und Gegenmaßnahmen 2022
Aktuell dazu
Automatisch zugeordnet aus der täglichen Lage und dem Blog.
- Sicherer Fernzugang für Netzbetreiber und Stadtwerke (04.11.2026)
- Shodan-Lage DACH: offene Gebäude-, Energie- und Wassertechnik (02.11.2026)
- 1.500 offene GLT-Dienste: Lage Bayern und DACH (02.11.2026)
- Erfolgreiche OT-Angriffe 2026: Wege und Prioritäten (02.11.2026)
- OT-Learnings KW 44: Cisco-VPN, Altsysteme & Veeam-Backup (30.10.2026)
- SANS Five Critical Controls mit KI: OT-Security ohne SOC (28.10.2026)
Was gilt bei Ihnen?
Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet. Persönlich in der Region: OT-Security in Bayern · OT-Security in Salzburg · OT-Security in Tirol
Häufige Fragen
Ist ein VPN sicher genug?
Nur mit zweitem Faktor, aktuellen Updates und wenn es nicht direkt auf Steuerungen führt.
Mein Techniker will einen dauerhaften Zugang. Was tun?
Fragen Sie nach einer Lösung, die Sie im Einzelfall freischalten. Die meisten Hersteller bieten das an.
Was ist ein zweiter Faktor?
Neben dem Passwort ein zweiter Nachweis, etwa ein Code aus einer App auf dem Handy.
← Schritt 3: Sehen, was im Netz passiertAlle fünf SchritteSchritt 5: Schwachstellen im Griff →
Zuletzt aktualisiert: 05.11.2026
Fragen? Wir helfen auch. Notfall? 24/7 anrufen: +49 8031 8603164