Pflicht: VPN einsetzen

In der Praxis wird häufig auf ein virtuelles, privates Netz zurückgegriffen (VPN). Virtuell deshalb, weil es sich häufig nicht um eine direkte Kabelverbindung handelt. Vielmehr wird eine bestehende Infrastruktur (z.B. das OT-Netzwerk der Produktion) als Transportmedium genutzt. Fernwartung ohne VPN ist heute praktisch nicht mehr denkbar. Der von außerhalb des Unternehmens arbeitende Service-Mitarbeiter des Maschinenherstellers hat über VPN den gleichen Zugriff, als säße er mit seinem Laptop, über ein Netzwerkkabel angesteckt, direkt neben der Maschine. Bereitgestellt wird diese Möglichkeit über ein VPN-Gateway (was früher eher ein Hardware-Gerät war, ist heute vornehmlich eine Softwareapplikation). Das Geniale an VPN ist, dass es weitgehend unabhängig von der physischen Topologie und den verwendeten Netzwerkprotokollen funktioniert. Selbst dann, wenn das zugeordnete Netz von einer vollkommen anderen Art ist. Der Nutzen einer VPN-Verbindung sollte durch eine Verschlüsselung der übertragenen Daten ergänzt werden, auch bei vermeintlich sicheren internen Verbindungen. So entsteht eine abhör- und manipulationssichere Kommunikation zwischen den VPN-Partnern, zumal sich ein verschlüsseltes (virtuelles) Netzwerk auch über ein unverschlüsseltes Netzwerk herstellen lässt.

Die Kür: SSL

Noch sicherer als VPN ist der Secure Sockets Layer (SSL). Mittels SSL kann ebenfalls ein verschlüsselter Fernzugriff auf definierte Ressourcen realisiert werden, aber ohne Bindung an Unternehmensnetzwerke. Sinnbildlich wird also kein Netzwerkkabel eingesteckt (wie bei VPN). SSL ermöglicht lediglich einen gesicherten Zugriff auf bestimmte Dienste des anderen Netzes. Ein klassisches Beispiel dafür ist die IMAP-Abfrage der persönlichen eMails beim Posteingangsserver des Providers.

Intrusion-Detection Systems

Die grundsätzliche Crux mit digitalen Räumen ist, egal wie gut diese geschützt sein mögen: Wie kann ich mir sicher sein, dass nur die Teilnehmer im Raum sind, die dort hingehören? Diese Lücke schließen Einbruch-Meldeanlagen (Intrusion-Detection Systems, IDS). Sie erkennen, üblicherweise KI-gestützt, sofort, wenn ein bisher unbekannter Teilnehmer im Raum ist und schlagen Alarm. Gute IDS, wie etwa die alphaWatch von TG alpha erkennen, wenn zwei an sich bekannte Netzwerkteilnehmer plötzlich anfangen, miteinander kommunizieren oder ungewöhnliche Kommunikationskanäle benutzt werden. Etwa weil der gehackte PC des Service-Mitarbeiters beginnt, Daten aus dem ERP abzugreifen und per 5G-Netzwerk zu verschicken.

Seiten: 1 2 3