Zwei deutsche Hersteller bündeln ihre Produkte für Betreiber kritischer Anlagen.

Dezentrale Industrieanlagen werden für Betreiber kritischer Infrastrukturen zunehmend zum Sicherheitsproblem: Sie müssen überwacht, segmentiert und geschützt werden, ohne an jedem Standort eine eigene Security-Infrastruktur aufzubauen. consistec und ADS-TEC Industrial IT wollen diese Lücke jetzt mit einer integrierten Kombination aus Angriffserkennung, Firewalling und sicherem Fernzugriff schließen. Die caplon NDR-/IDS-Technologie läuft dazu direkt als Container auf der Industrial Router Firewall von ADS-TEC – und bringt damit Monitoring näher an die industrielle Edge.

IDS, Firewall und Standortanbindung auf einer Plattform

Die consistec Engineering & Consulting GmbH und die ADS-TEC Industrial IT GmbH haben eine strategische Partnerschaft zur Absicherung von OT-Umgebungen vereinbart. Im Fokus stehen Betreiber von Industrieanlagen, Energie- und Versorgungsnetzen, Wasserwirtschaft sowie Telekommunikations- und Netzinfrastrukturen.

Technische Grundlage ist die Kombination des caplon-Systems zur Angriffserkennung mit der Industrial Router Firewall der IRF-Serie von ADS-TEC. caplon wird dabei als Docker-Container direkt auf der Appliance betrieben.

Die Firewall kann den jeweiligen Standort über ein integriertes LTE-Modul und eine VPN-Verbindung an eine zentrale caplon-Instanz anbinden. Gleichzeitig filtert sie den Netzwerkverkehr auf Layer 3 und ermöglicht eine Segmentierung des Netzes in bis zu acht Bereiche. Damit lässt sich Angriffserkennung unmittelbar auf der vorhandenen Netzwerkinfrastruktur realisieren. Ein zusätzliches dediziertes Monitoring-System am jeweiligen Außenstandort kann dadurch entfallen.

Dezentrale OT-Standorte werden zum Security-Faktor

Gerade bei räumlich verteilten Infrastrukturen ist dieser Ansatz relevant. Trafostationen, Batteriespeicher oder kleinere Außenstandorte sind häufig Bestandteil einer kritischen Gesamtinfrastruktur, verfügen aber nicht zwangsläufig über dieselben IT- und Security-Ressourcen wie zentrale Anlagen.

Mit zunehmender Vernetzung wächst jedoch auch ihre Bedeutung für die Gesamtresilienz. Ein kompromittierter Außenstandort kann zum Einstiegspunkt in komplexere OT-Netze werden. Entsprechend reicht es nicht mehr aus, Security ausschließlich auf zentrale Rechenzentren oder Leitstellen zu konzentrieren.

caplon soll automatisiert Hinweise auf laufende Angriffe, Anomalien und technische Störungen erkennen. Nach Angaben von consistec erfüllt das System die Anforderungen des BSI an Systeme zur Angriffserkennung.

„Unsere Software caplon entsteht ausschließlich am Standort Saarbrücken, entwickelt von festangestellten und hochqualifizierten Mitarbeitern“, erklärt Dr.-Ing. Thomas Sinnwell, CEO und Mitgründer von consistec . Mit ADS-TEC komme ein Hardwarepartner hinzu, der Baugruppen und BIOS selbst entwickle und damit eine hohe Nachvollziehbarkeit der eingesetzten Komponenten ermögliche.

Die technische Entwicklung trifft auf steigende regulatorische Anforderungen. Betreiber kritischer Anlagen müssen Systeme und Prozesse zunehmend so auslegen, dass Angriffe frühzeitig erkannt, Netzwerkbereiche voneinander getrennt und Sicherheitsvorfälle nachvollziehbar behandelt werden können.

Für viele Unternehmen bedeutet dies, dass klassische Perimeter-Sicherheit allein nicht mehr genügt. Gefordert ist vielmehr ein Zusammenspiel aus Risikoanalyse, Netzwerksegmentierung, kontinuierlicher Überwachung, Angriffserkennung und kontrollierten Zugriffsmöglichkeiten.

„Ein Gerät allein macht niemanden konform, weder nach NIS2 noch nach dem Cyber Resilience Act“, betont Steffen Greiner, CFO der ADS-TEC Industrial IT GmbH . Entscheidend sei eine Risikoanalyse, aus der sich ein Bündel technischer und organisatorischer Maßnahmen ableite.

Damit ordnet ADS-TEC die gemeinsame Lösung bewusst nicht als Compliance-Automatismus ein. Firewalling, Segmentierung und Angriffserkennung bilden vielmehr technische Bausteine innerhalb einer umfassenderen Sicherheitsarchitektur.

Fernwartung bleibt eine kritische Angriffsfläche

Ein weiterer Schwerpunkt der Zusammenarbeit liegt auf dem sicheren Fernzugriff. Über die Fernwartungsplattform Big-LinX von ADS-TEC können Servicezugriffe auf industrielle Systeme kontrolliert und voneinander isoliert werden.

Wartungsarbeiten sollen dadurch nicht mehr unmittelbar vom Notebook eines Technikers in das Produktions- oder Anlagennetz erfolgen. Stattdessen werden virtuelle Serviceumgebungen mit granularer Rechtevergabe genutzt. Betreiber können Werkzeuge, Zugriffsrechte und Zeitfenster kontrollieren und Freigaben bei Bedarf zusätzlich lokal über einen Schlüsselschalter absichern.

Das adressiert ein häufig unterschätztes OT-Risiko: externe Servicegeräte, die nacheinander mit unterschiedlichen Kunden- und Produktionsnetzen verbunden werden. Werden solche Systeme kompromittiert, können sie Schadsoftware zwischen ansonsten voneinander getrennten Umgebungen transportieren.

Konsolidierung wird auch in der OT-Security wichtiger

Die Kooperation zeigt einen übergeordneten Trend in der industriellen Cybersicherheit. Betreiber benötigen zunehmend mehr Security-Funktionen, gleichzeitig soll die Zahl zusätzlicher Appliances und Integrationsprojekte möglichst gering bleiben.

Angriffserkennung direkt mit Firewalling, Segmentierung, Mobilfunkanbindung und Fernwartung zu kombinieren, kann deshalb vor allem bei dezentralen Standorten Vorteile bringen. Security-Funktionen wandern damit stärker an die industrielle Edge und werden Bestandteil der vorhandenen Kommunikationsinfrastruktur.

consistec und ADS-TEC richten die gemeinsame Lösung neben Anlagenbetreibern auch an Systemhäuser und Sicherheitsberater. Die Aufgaben bleiben dabei getrennt: consistec konzentriert sich auf Angriffserkennung und Netzwerkanalyse, ADS-TEC auf Firewalling, Segmentierung und sicheren Remote Access.

Für Betreiber könnte gerade diese Verzahnung entscheidend werden. Denn mit wachsender Regulierung und zunehmender Vernetzung wird OT-Sicherheit weniger durch einzelne Produkte bestimmt als durch die Frage, wie gut Erkennung, Segmentierung und Zugriffskontrolle zusammenspielen.