Schritt 4 von 5 · nach SANS CC4 „Secure Remote Access“ # Schritt 4: Fernzugang absichern Wissen Sie, wer alles von außen auf Ihre Anlage zugreifen kann? Hersteller, Techniker und Dienstleister greifen oft aus der Ferne auf Anlagen zu. Jeder dieser Zugänge ist auch eine Tür für Angreifer. Sicher wird es mit drei Regeln: zweiter Faktor, Freigabe im Einzelfall, Protokoll. Ihr erster Schritt diese Woche: Listen Sie alle Wege auf, über die jemand von außen auf Ihre Anlage kommt. Fragen Sie auch Ihre Techniker. ## In einer Minute erklärt - - - - - - InternetDienstleisterDMZLeitstandSteuerungPumpe1/4 Der Techniker greift direkt aus dem Internet auf die Steuerung zu. Praktisch, aber offen für alle.Weiter - - - - - InternetDienstleisterDMZLeitstandSteuerungPumpe2/4 Ein Angreifer findet denselben Zugang, zum Beispiel mit gestohlenem Passwort.ZurückWeiter - - - - InternetDienstleisterDMZLeitstandSteuerungPumpe3/4 Sicherer Weg: Zugang nur über einen Sprungserver in der DMZ, mit zweitem Faktor und Ihrer Freigabe.ZurückWeiter - - - - - - - InternetDienstleisterDMZLeitstandSteuerungPumpe4/4 Ohne zweiten Faktor und ohne Freigabe bleibt der Angreifer draußen. Jeder Zugriff steht im Protokoll.ZurückVon vorn ## Warum das wichtig ist Gestohlene Zugangsdaten und offene Fernwartungszugänge gehören zu den häufigsten Wegen in Anlagen. In der SANS-Umfrage 2025 ging die Hälfte aller gemeldeten OT-Vorfälle auf unbefugten Zugriff von außen zurück. Viele Betriebe kennen nicht einmal alle ihre Zugänge. SANS nennt deshalb als Erstes: alle Fernzugänge auflisten. ## Selbstcheck in zwei Minuten - Es gibt eine vollständige Liste aller Fernzugänge, auch die der Hersteller. - Kein Fernzugang ist dauerhaft offen, er wird nur bei Bedarf freigeschaltet. - Jeder Fernzugang braucht einen zweiten Faktor, zum Beispiel einen Code auf dem Handy. - Jeder Techniker hat ein eigenes Konto, keine geteilten Passwörter. - Fernzugänge führen über einen Zwischenrechner, nicht direkt auf Steuerungen. - Jeder Zugriff wird protokolliert und die Protokolle werden aufbewahrt. - Konten ehemaliger Mitarbeitender und Dienstleister sind gelöscht. - Router und VPN-Geräte bekommen ihre Updates zeitnah.Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an. Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste. Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr. Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert. ## Was Sie tun können, je nach Betrieb Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt. KleinstbetriebKleiner Betrieb mit TechnikMittelständische ProduktionKleiner Versorger oder KommuneGroßer Versorger oder NetzbetreiberGroßindustrie und ProzessindustrieSupermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox. - Im Router alle Portfreigaben für Kühlung oder Heizung löschen. - Für den Techniker die VPN-Funktion des Routers nutzen (die Fritzbox kann das) und nur bei Bedarf einschalten. - Standardpasswörter von Regler, Router und Fernwartung ändern, das Router-Passwort nicht weitergeben.Zum 30-Minuten-Check für Kühlung und Heizung → (/schritte/kleinbetrieb/) Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller. - Liste aller Fernwartungen mit Hersteller, Gerät und Ansprechpartner. - Fernwartung nur auf Anruf freischalten, danach wieder aus. - Zweiten Faktor für alle Zugänge einschalten, wo das Gerät es kann.Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller. - Zentraler Fernzugang für alle Maschinenhersteller statt vieler eigener Boxen. - Freigabe im Einzelfall durch die Instandhaltung, Sitzungen werden aufgezeichnet. - Verträge mit Herstellern um Regeln für Fernwartung ergänzen.Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon. - Fernzugänge für Bereitschaft und Dienstleister über einen gehärteten Zugang mit zweitem Faktor. - Mobilfunkrouter der Außenstationen ohne Zugang aus dem Internet. - Zugänge jährlich überprüfen und unnötige schließen.Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten. - Privilegierter Zugang mit Aufzeichnung, Freigabe und zeitlicher Begrenzung. - Getrennte Zugänge für Leitstelle, Stationen und Dienstleister. - Angriffe auf VPN- und Edge-Geräte aus der Lage täglich verfolgen und schnell reagieren.Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams. - Einheitliche Plattform für Fernzugriff in allen Werken, mit zentraler Steuerung. - Kein direkter Zugriff von Lieferanten auf Sicherheitssysteme. - Regelmäßige Prüfung durch Angriffstests von außen. ## Hands-on: Alle Türen finden in 45 Minuten - Im Router oder in der Firewall alle Portfreigaben und VPN-Konten auflisten. - Bei Technik, Herstellern und Dienstleistern nachfragen: Wie kommen Sie auf unsere Anlage? - Nach eigenen Boxen für Fernwartung und Mobilfunkroutern in Schaltschränken suchen. - Jeden Zugang in die Liste eintragen: wer, wie, mit zweitem Faktor, dauerhaft offen oder nur bei Bedarf. - Jeden Zugang ohne zweiten Faktor oder dauerhaft offen als Erstes ändern lassen. ## In der Simulation ausprobieren Starten Sie in einer Simulation im Reiter „Purple Team“ das Szenario über Fernzugang oder Sprungserver, zuerst ohne, dann mit Härtung (Reiter „Härtung“). Sie sehen, welche Maßnahme den Weg schließt. Zu den Simulationen (/simulationen/) ## Zum Ausdrucken Liste aller Fernzugänge, Formular Freigabe im Einzelfall, Checkliste Fernzugang. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Fernzugangsliste und Freigabe für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann. PDF mit Vorlage und Beispiel herunterladen (/schritte/fernzugang/checkliste-schritt-4-fernzugang.pdf) ## Was verlangen Gesetz und Norm? NIS2 nennt Zugriffskontrolle und Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung ausdrücklich (in Deutschland § 30 Abs. 2 Nr. 9 und 10 BSIG). IEC 62443-3-3 fordert Identifizierung und Anmeldung von Personen sowie den Schutz der Zonengrenzen (Grundanforderungen 1 und 5). Für Fernzugänge nennt das BSI VPN, möglichst mit zweitem Faktor, als Mindeststandard (BSI-CS 154). ## Quellen - SANS Institute: The Five ICS Cybersecurity Critical Controls (Lee, Conway, Oktober 2022) (https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls) - § 30 BSIG (Mindestmaßnahmen, gültig seit 6.12.2025) (https://openlex.de/bsig/30) - BSI-CS 154: Gefährdung durch internet-verbundene OT-Systeme (Oktober 2026) (https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_154.pdf?__blob=publicationFile&v=4) - BSI-CS 005: ICS-Security, Top 10 Bedrohungen und Gegenmaßnahmen 2022 (https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_005.pdf?__blob=publicationFile&v=6) ## Aktuell dazu Automatisch zugeordnet aus der täglichen Lage und dem Blog. - Sicherer Fernzugang für Netzbetreiber und Stadtwerke (/blog/sicherer-fernzugang-fuer-netzbetreiber-und-stadtwerke.html) (04.11.2026) - Shodan-Lage DACH: offene Gebäude-, Energie- und Wassertechnik (/blog/shodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html) (02.11.2026) - 1.500 offene GLT-Dienste: Lage Bayern und DACH (/blog/1-500-offene-gebaeudesteuerungen-lage-bayern-und-dach.html) (02.11.2026) - Erfolgreiche OT-Angriffe 2026: Wege und Prioritäten (/blog/erfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html) (02.11.2026) - OT-Learnings KW 44: Cisco-VPN, Altsysteme & Veeam-Backup (/blog/ot-learnings-kw-44-cisco-vpn-iconics-veeam-backup.html) (30.10.2026) - SANS Five Critical Controls mit KI: OT-Security ohne SOC (/blog/sans-five-critical-controls-mit-ki-ot-security-ohne-soc.html) (28.10.2026)Zur aktuellen Lage → (/ot-lage/) ## Was gilt bei Ihnen? Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet (/schritte/notfall/#region). Persönlich in der Region: OT-Security in Bayern (/leistungen/ot-security-bayern/) · OT-Security in Salzburg (/leistungen/ot-security-salzburg/) · OT-Security in Tirol (/leistungen/ot-security-tirol/) ## Häufige Fragen **Ist ein VPN sicher genug?** Nur mit zweitem Faktor, aktuellen Updates und wenn es nicht direkt auf Steuerungen führt. **Mein Techniker will einen dauerhaften Zugang. Was tun?** Fragen Sie nach einer Lösung, die Sie im Einzelfall freischalten. Die meisten Hersteller bieten das an. **Was ist ein zweiter Faktor?** Neben dem Passwort ein zweiter Nachweis, etwa ein Code aus einer App auf dem Handy. ← Schritt 3: Sehen, was im Netz passiert (/schritte/sehen/)Alle fünf Schritte (/schritte/)Schritt 5: Schwachstellen im Griff → (/schritte/schwachstellen/) Zuletzt aktualisiert: 05.11.2026 Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164) Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Ffernzugang%2F)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Ffernzugang%2F)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fschritte%2Ffernzugang%2F)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fschritte%2Ffernzugang%2F&text=Schritt%204%3A%20Fernzugang%20absichern%20%7C%20OT-Sicherheit%20einfach)WhatsApp (https://wa.me/?text=Schritt%204%3A%20Fernzugang%20absichern%20%7C%20OT-Sicherheit%20einfach%20https%3A%2F%2Fot-cyber.de%2Fschritte%2Ffernzugang%2F)E-Mail (mailto:?subject=Schritt%204%3A%20Fernzugang%20absichern%20%7C%20OT-Sicherheit%20einfach&body=https%3A%2F%2Fot-cyber.de%2Fschritte%2Ffernzugang%2F)