Am 29. April 2026 veröffentlichten CISA gemeinsam mit dem Department of War, DOE, FBI und dem Department of State das Dokument Adapting Zero Trust Principles to Operational Technology. Für On-Premise-OT-Deployments sind drei Erkenntnisse besonders relevant. Agentenloses Enforcement auf Netzwerkebene wird für Legacy-Assets empfohlen, die keine Software-Clients ausführen können. Mikrosegmentierung ist die empfohlene Zero Trust-Maßnahme zur Trennung von Steuerungssystemen und Sicherheitssystemen. Und das Dokument warnt ausdrücklich davor, Sicherheit allein durch Air-Gapping oder segmentierte Architekturen vorauszusetzen, und benennt das trügerische Isolationsgefühl, das diese Modelle erzeugen.
Dieser Artikel erläutert, was jede dieser Erkenntnisse für ein On-Premise-Deployment in der Praxis bedeutet, wo die Access Gate-Architektur mit den Empfehlungen übereinstimmt und was Sie in Ihrer eigenen Umgebung in den nächsten 30 Tagen überprüfen sollten.
Die Agentenfrage: Was CISA tatsächlich sagt
CISA befürwortet agentenloses Deployment für Legacy-OT und empfiehlt, es mit Enforcement auf Netzwerkebene zu kombinieren. Die Empfehlung ist klar im Hinblick auf den Kompromiss: Agenten erfordern umfangreiche Kompatibilitätstests und können Systemgarantien beeinträchtigen, während passives Monitoring allein Missbrauch in Remote-Access-Sitzungen erst erkennt, wenn tatsächlich schädliche Befehle gesendet werden. Die empfohlene Haltung ist agentenlos, wo Agenten nicht praktikabel sind, kombiniert mit aktivem Enforcement an der Netzwerkgrenze.
Das ist für OT relevant, weil die meisten installierten Assets überhaupt keinen Agenten hosten können. PLCs, RTUs, HMIs auf Windows XP oder QNX, zehn Jahre alte Engineering-Workstations und viele SCADA-Server können entweder keine Endpoint-Software installieren oder tun dies auf Kosten des Herstellersupports. Agentenbasierte Zero Trust-Strategien, die für IT-Laptops funktionieren, lassen sich nicht auf den Shopfloor übertragen.
Access Gate basiert auf dieser Prämisse. Es handelt sich um ein On-Premise-Appliance oder eine VM, die neben dem OT-Netzwerk betrieben wird, nicht inline. Es setzt identitätsbasierte Zugriffskontrolle an der Netzwerkgrenze über ein Software-Defined-Networking-Overlay durch, sodass das Asset selbst keine Software installieren, moderne Authentifizierung unterstützen oder auch nur von der Zugriffskontrolle wissen muss. Jede Verbindung zu einem geschützten Asset wird am Appliance terminiert, wo Authentifizierung, Autorisierung und vollständige Sitzungsaufzeichnung stattfinden, bevor der Datenverkehr das Gerät erreicht.
Die CISA-Empfehlung stellt klar, dass agentenloses Monitoring allein für Remote Access nicht ausreicht. Access Gate schließt diese Lücke, indem es als Enforcement-Punkt für die Sitzung fungiert und nicht nur als Beobachtungspunkt. Eine markierte Sitzung wird am Appliance blockiert und nicht nur nachgelagert protokolliert.
Mikrosegmentierung ohne Netzwerk-Redesign
CISA empfiehlt Mikrosegmentierung als Zero Trust-Maßnahme speziell zur Trennung von Steuerungssystemen und Sicherheitssystemen sowie zur Umsetzung gezielter Zugriffsrichtlinien. Die Empfehlung betont, dass Segmentierung ohne Betriebsunterbrechungen durchgesetzt werden muss.
Konventionelle Mikrosegmentierung in OT erfordert VLAN-Redesign, Switch-Rekonfiguration und Re-IP'ing von Assets. Die meisten Anlagen können die damit verbundenen Ausfallzeiten nicht akzeptieren. Der Access Gate-Ansatz ist anders. Er baut ein logisches Overlay auf dem bestehenden physischen Netzwerk auf. Jedes geschützte Asset erhält eine separate logische Adresse, die das Appliance als Proxy bereitstellt. Richtlinien werden pro Asset, pro Benutzer, pro Protokoll und pro Sitzung an der Proxy-Grenze durchgesetzt. Die zugrunde liegenden VLANs und Switch-Konfigurationen bleiben unverändert. Der Produktionsdatenverkehr fließt weiterhin unverändert über das bestehende Netzwerk.
Dies ist die architektonische Eigenschaft, die Mikrosegmentierung für Legacy-OT betrieblich umsetzbar macht. Die CISA-Empfehlung passt direkt dazu. Access Gate setzt Richtlinien an einer Layer-3/4-Grenze durch, die zuvor nicht existierte, ohne dass der Betreiber die zugrunde liegende Layer-2-Topologie neu aufbauen muss.
Für den in der Empfehlung genannten konkreten Fall – die Trennung von Steuerungssystemen und Sicherheitssystemen – bedeutet das: Ein Sicherheits-PLC und ein Steuerungs-PLC können am selben physischen Switch und im selben VLAN betrieben werden, während Access Gate durchsetzt, dass die Engineering-Workstation den Steuerungs-PLC erreichen kann, nicht aber den Sicherheits-PLC. Jeder Zugriffsversuch wird protokolliert, jede Sitzung ist einem namentlich bekannten Benutzer zugeordnet.
Legacy-OT und die ICAM-Lücke
CISA befürwortet ausdrücklich kompensierende Maßnahmen oberhalb der Geräteebene für OT-Systeme, die vor modernem Identity, Credential, and Access Management entstanden sind. Die Empfehlung bewertet Segmentierung selbst als gültige kompensierende Maßnahme, wenn Identität auf Geräteebene nicht möglich ist.
Das ist die zentrale operative Realität von OT. Die meisten installierten PLCs unterstützen weder Active Directory, SAML, OIDC noch ein anderes modernes Identitätsprotokoll. Viele unterstützen überhaupt keine benutzerspezifische Authentifizierung. Die vom Hersteller dokumentierte Authentifizierung ist häufig ein einziges gemeinsam genutztes Passwort, das vor einem Jahrzehnt bei der Inbetriebnahme konfiguriert wurde. Herstellerseitige Patches, die moderne Authentifizierung nachrüsten würden, sind meist nicht verfügbar, würden die Garantie erlöschen lassen oder erfordern einen Prozessstopp zur Installation.
Access Gate setzt ICAM im Namen des Assets an der Netzwerkgrenze durch. Der Benutzer authentifiziert sich mit MFA gegenüber Ihrem Identity Provider. Das Appliance terminiert die Sitzung, wendet die Richtlinie an und öffnet dann eine neue Verbindung zum Asset unter Verwendung des Protokolls und der Anmeldedaten, die das Asset unterstützt. Das Asset empfängt eine Verbindung von einer bekannten Underlay-Adresse. Der Benutzer erhält identitätsgebundenen Zugriff mit Audit-Protokollierung. Die kompensierende Maßnahme sitzt zwischen beiden.
Die CISA-Empfehlung adressiert auch Verschlüsselungsnuancen. Bei OT sind Integrität und Authentifizierung wichtiger als Vertraulichkeit. Wo das zugrunde liegende Protokoll TLS nicht nativ unterstützt, wird empfohlen, es in ein TLS-fähiges Gateway einzubetten. Access Gate tut dies für Modbus, DNP3, OPC UA, EtherNet/IP und andere industrielle Protokolle: Es terminiert FIPS-validiertes TLS an der Proxy-Grenze und leitet das Protokoll nativ an das Asset weiter.
Volt Typhoon und laterale Bewegung
Die Empfehlung nennt Volt Typhoon ausdrücklich als Bedrohungsakteur, der Living-off-the-Land-Techniken in IT-Umgebungen einsetzt und sich dann lateral in OT bewegt. Das ist das Bedrohungsmodell, für das Zero Trust-Mikrosegmentierung konzipiert ist.
Das Angriffsmuster ist gut dokumentiert. Der Angreifer kompromittiert einen IT-Endpunkt, bewegt sich mit legitimen Administrationswerkzeugen durch das Netzwerk, findet die IT/OT-Grenze und wechselt über vorhandene Zugangspfade in OT. Häufig ist der Pfad ein flaches oder schwach segmentiertes Netzwerk, in dem jeder kompromittierte IT-Host OT-Assets direkt erreichen kann. Manchmal ist es ein Remote-Access-Tool eines Herstellers mit gemeinsam genutzten Anmeldedaten. Manchmal ist es eine vergessene Engineering-Workstation mit Dual-Homed-Netzwerkschnittstellen. Manchmal ist es ein Historian-Replikationspfad, den niemand dokumentiert hat.
Eine Netzwerkarchitektur ohne identitätsgebundenen Zugriff an der IT/OT-Grenze lässt diesen Angriffspfad offen. Die CISA-Empfehlung lautet: Gehen Sie davon aus, dass die IT-Seite kompromittiert wird, und gestalten Sie die OT-Grenze so, als ob der Angriff bereits stattfände. Das erfordert authentifizierten, autorisierten und protokollierten Zugriff für jede Sitzung, die die Grenze überquert – nicht nur eine Bestandsaufnahme vorhandener Pfade.
Access Gate ist für dieses Bedrohungsmodell konzipiert. Jede IT-zu-OT-Sitzung wird am Appliance terminiert. Der verbindende Benutzer muss sich mit MFA authentifizieren. Die Sitzung ist an eine spezifische Benutzeridentität gebunden, nicht an ein Service-Konto oder gemeinsam genutzte Anmeldedaten. Die Sitzung wird bei entsprechender Konfiguration mit vollständigem Payload aufgezeichnet und ist für forensische Überprüfungen wiedergebbar. Der Pfad ist standardmäßig gesperrt, sofern keine explizite Richtlinie ihn erlaubt.
Für Angreifer der Klasse Volt Typhoon, die auf unentdeckte laterale Bewegung angewiesen sind, schließt dieses Muster – jede Sitzung zugeordnet und aufgezeichnet – den Pfad. Für die laufende Verfolgung von Volt Typhoon und anderen bekannten OT-Bedrohungsgruppen betreibt Trout ein öffentliches Bedrohungsintelligenz-Portal mit akteursspezifischen Profilen und Indikatoren.
Was das für Ihr Deployment bedeutet
Wenn Sie eine On-Premise-OT-Umgebung betreiben, sind die praktischen Maßnahmen für die nächsten 30 Tage konkret.
- Prüfen Sie, welche OT-Assets derzeit agentenbasiertes Monitoring verwenden. Dokumentieren Sie für jedes Asset, ob der Agent vom OT-Hersteller unterstützt wird und ob er bei jedem Patch-Zyklus auf Kompatibilität geprüft wird. Laut CISA erzeugen nicht unterstützte Agenten auf Legacy-Assets ein Risiko, das das von ihnen geminderte Risiko übersteigt.
- Kartieren Sie die IT/OT-Grenze. Identifizieren Sie jeden Netzwerkpfad, der sie überquert: Remote Access von Herstellern, Jump Hosts, Dual-Homed-Workstations, Dateiübertragungsserver, Historian-Replikation. Laut CISA ist jeder dieser Pfade ein Volt Typhoon-Einstiegspunkt, wenn er nicht authentifiziert ist.
- Dokumentieren Sie für jeden IT/OT-Grenzpfad den aktuellen Stand von Authentifizierung, Autorisierung und Sitzungsprotokollierung. Alles, was keine benutzerspezifische Identität, keine sitzungsspezifische Autorisierung und keine vollständige Sitzungsprotokollierung durchsetzt, ist eine Lücke.
- Bewerten Sie, wo agentenloses Enforcement auf Netzwerkebene agentenbasierte Maßnahmen ersetzen könnte. Die CISA-Empfehlung ist eindeutig: Für Legacy-OT ist agentenloses Netzwerk-Enforcement die empfohlene Haltung.
- Testen Sie die Air-Gap-Annahme. Laut CISA ist ein Air Gap für sich allein keine Sicherheitsmaßnahme. Wenn ein Air Gap vorhanden ist, ermitteln Sie, was passieren würde, wenn ein USB-Gerät, ein Hersteller-Laptop oder ein Wartungs-Jump-Host ihn überbrückt.
Die Access Gate-Architektur passt zu jeder dieser Maßnahmen. Sie wird ohne Agenten auf den geschützten Assets bereitgestellt, setzt an der Netzwerkgrenze durch, segmentiert ohne VLAN-Änderungen und erzeugt standardmäßig Sitzungsnachweise. Die Bereitstellung dauert typischerweise Stunden pro Standort, nicht Wochen.
Bereit, Ihre Umgebung an die neue CISA-Empfehlung anzupassen? Beginnen Sie mit dem praktischen Leitfaden Zero Trust für OT für einen schrittweisen Ansatz zur Anwendung dieser Prinzipien auf Legacy-Industrienetzwerke, ohne das Bestehende zu ersetzen.
