OT-Cyber.de
Notfall 24/7 · +49 8031 8603164Kontakt

Schritt 2 von 5 · nach SANS CC2 „Defensible Architecture“

Schritt 2: Netz in Zonen trennen

Kann ein Angreifer aus dem Büro bis an die Steuerung durchlaufen?

In vielen Anlagen hängen Büro, Leitstand und Steuerungen im selben Netz. Dann reicht ein einziger infizierter Rechner. Zonen mit kontrollierten Übergängen halten einen Angreifer dort, wo er hereingekommen ist. Dazu gehört auch: wissen, welche Geräte es gibt, und Stellen schaffen, an denen man den Verkehr mitlesen kann.

Ihr erster Schritt diese Woche: Zeichnen Sie Ihr Netz auf ein Blatt: Büro, Technik, Steuerungen, Fernzugänge. Die Vorlage finden Sie unten.

In einer Minute erklärt

InternetBüro-ITDMZLeitstandSteuerungPumpe
1/4 Ein flaches Netz: Büro, Leitstand und Steuerung können alle miteinander sprechen.

InternetBüro-ITDMZLeitstandSteuerungPumpe
2/4 Ein Angreifer kommt über eine Mail ins Büro und läuft direkt bis zur Steuerung durch.

InternetBüro-ITDMZLeitstandSteuerungPumpe
3/4 Jetzt mit Zonen: Zwischen Büro und Anlage liegt eine DMZ. Nur wenige, bekannte Verbindungen sind erlaubt.

InternetBüro-ITDMZLeitstandSteuerungPumpe
4/4 Derselbe Angriff endet an der DMZ. Das Büro ist betroffen, die Anlage läuft weiter.

Warum das wichtig ist

Die meisten Angriffe auf Anlagen beginnen in der Büro-IT. Ob daraus ein Stillstand wird, entscheidet meist die Frage, ob es einen Weg von dort bis an die Steuerungen gibt.

Selbstcheck in zwei Minuten

Rot: Hier fehlen die Grundlagen. Fangen Sie mit „Ihr erster Schritt diese Woche“ und der Übung an.

Gelb: Die Basis steht. Schließen Sie die offenen Punkte mit der Checkliste.

Grün: Gut aufgestellt. Üben Sie regelmäßig und prüfen Sie die Punkte einmal im Jahr.

Tippen Sie an, was bei Ihnen zutrifft. Die Auswertung passiert nur in Ihrem Browser, nichts wird gesendet oder gespeichert.

Was Sie tun können, je nach Betrieb

Vom Supermarkt mit Kühlanlage bis zur Raffinerie: Wählen Sie, was am besten zu Ihnen passt.

Supermarkt-Filiale, Metzgerei, Bäckerei, Heizungsbauer, Gastronomie. 2 bis 10 Leute, keine eigene IT. Technik: Kühlanlage, Heizung, Lüftung, Kasse, ein Router wie die Fritzbox.

  • Kühlung oder Heizung vom Kassen- und Büronetz trennen, bei der Fritzbox zum Beispiel über den Gastzugang am LAN-Anschluss 4. Achtung: Gast-WLAN und LAN-Gastzugang bilden dort ein gemeinsames Gastnetz. Nutzen Kunden das Gast-WLAN, für die Technik lieber einen eigenen kleinen Router vom Techniker einrichten lassen.
  • Kassen-PC und Technik nicht im selben WLAN wie Gäste oder private Handys.
  • Im Router alle Portfreigaben ansehen und unbekannte löschen.

Zum 30-Minuten-Check für Kühlung und Heizung →

Handel mit Filialen, Handwerksbetrieb mit Maschinen, kleine Brauerei oder Käserei, Hotel. 10 bis 50 Leute, ein externer IT-Dienstleister, einige Steuerungen und Fernwartung durch Hersteller.

  • Eine kleine Firewall zwischen Büro und Maschinen setzen, auch günstige Geräte können das.
  • Maschinen in ein eigenes Netz (VLAN), Büro-PCs dürfen nicht hinein.
  • Liste der nötigen Verbindungen mit dem IT-Dienstleister durchgehen.

Maschinenbau, Lebensmittelhersteller, Brauereigruppe, Kunststoffverarbeitung. 50 bis 500 Leute, eigene IT, Instandhaltung, mehrere Linien, Fernwartung durch viele Maschinenhersteller.

  • Zonen je Linie oder Halle, Übergänge nur über die DMZ.
  • Kommunikationsmatrix: welche Verbindung, welches Protokoll, wofür.
  • Firewall-Regeln jährlich mit Instandhaltung und IT prüfen.

Kleine Stadtwerke, Wasser- und Abwasserverband, Fernwärme, Bauhof mit Pumpwerken. Wenige Fachleute, Bereitschaftsdienst, Leitsystem für verteilte Anlagen. NIS2 gilt hier oft schon.

  • Leitsystem, Außenstationen und Büro in getrennte Zonen, Fernwirkverbindungen nur zur Leitstelle.
  • Zonen und Übergänge nach IEC 62443-3-2 bewerten.
  • Mobilfunkrouter der Außenstationen ohne offene Dienste ins Internet.

Netzbetreiber, große Stadtwerke, Trinkwasserversorger, Kraftwerk. Kritische Infrastruktur, Leitstelle rund um die Uhr, viele Standorte, strenge Meldepflichten.

  • Zonenmodell nach IEC 62443 für Leitstelle, Stationen und Unternehmens-IT.
  • Übergänge mit Protokollprüfung, Fernwirkverbindungen verschlüsselt.
  • Segmentierung regelmäßig mit Angriffstests prüfen lassen.

Raffinerie, Chemie, Pharma, Konzern mit vielen Werken. Tausende Beschäftigte, Sicherheitssysteme (SIS), weltweite Standards, eigene Security-Teams.

  • Konzernweites Zonenmodell mit Standards je Werk, Sicherheitssysteme (SIS) in eigener Zone.
  • Zentrale Verwaltung der Firewall-Regeln mit Freigabeprozess.
  • Prüfung der Segmentierung bei jeder größeren Änderung an der Anlage.

Hands-on: Netzskizze in 60 Minuten

  1. Vorlage ausdrucken. Vier Kästen: Büro, DMZ, Leitstand oder Technik, Steuerungen und Maschinen.
  2. Jedes Gerät, das Ihnen einfällt, in einen Kasten schreiben. Auch Router, WLAN und Fernwartungszugänge.
  3. Linien ziehen: Wer spricht mit wem? Fragen Sie die Technik oder den Dienstleister, wenn Sie es nicht wissen.
  4. Jede Linie, die direkt vom Büro oder Internet in die Steuerungen geht, rot markieren.
  5. Für jede rote Linie klären: Wird sie gebraucht? Wenn ja, über welchen Zwischenrechner? Wenn nein, abschalten lassen.

In der Simulation ausprobieren

Öffnen Sie eine Simulation, Reiter „Segmentierung“. Sperren Sie im Flusstester eine Verbindung und starten Sie im Reiter „Purple Team“ ein Szenario: Sie sehen, an welcher Stelle der Angriff jetzt endet.

Zu den Simulationen

Zum Ausdrucken

Vorlage Netzskizze mit Zonen, Liste der nötigen Verbindungen, Checkliste Zonen. Zum Abhaken, mit Feldern für „Wer“ und „Bis wann“. Dazu ein ausgefülltes Beispiel: Muster-Zonenplan und Verbindungsliste für einen erfundenen Betrieb, damit Sie sehen, wie es aussehen kann.

PDF mit Vorlage und Beispiel herunterladen

Was verlangen Gesetz und Norm?

IEC 62443-3-2 beschreibt Risikobewertung und Einteilung in Zonen und Übergänge (Conduits), IEC 62443-3-3 den Schutz der Zonengrenzen (Grundanforderung 5, eingeschränkter Datenfluss). NIS2 verlangt Sicherheit von Netz- und Informationssystemen nach dem Stand der Technik. Das BSI rät, Steuerungen nie direkt aus dem Internet erreichbar zu machen (BSI-CS 154).

Quellen

Aktuell dazu

Automatisch zugeordnet aus der täglichen Lage und dem Blog.

Zur aktuellen Lage →

Was gilt bei Ihnen?

Meldestellen und Pflichten für Bayern, Salzburg, Tirol und die Schweiz finden Sie unter Schritt 1: Für den Notfall vorbereitet. Persönlich in der Region: OT-Security in Bayern · OT-Security in Salzburg · OT-Security in Tirol

Häufige Fragen

Was ist eine DMZ?

Eine eigene Zone zwischen Büro und Anlage. Daten werden dort übergeben, ein direkter Weg vom Büro in die Steuerungen existiert nicht.

Reicht ein VLAN?

Ein VLAN trennt nur logisch. Erst eine Firewall mit Regeln zwischen den Netzen ist eine Kontrollstelle, an der unerlaubte Verbindungen enden.

Was kostet das für einen kleinen Betrieb?

Oft nichts: Viele Router können ein getrenntes Netz für Technik einrichten. Wichtig ist, dass Kühlung, Heizung und Kasse nicht im Gäste-WLAN hängen.

← Schritt 1: Für den Notfall vorbereitetAlle fünf SchritteSchritt 3: Sehen, was im Netz passiert →

Zuletzt aktualisiert: 05.11.2026

Fragen? Wir helfen auch. Notfall? 24/7 anrufen: +49 8031 8603164

Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail