Luftdicht isolierte OT-Netzwerke sind nicht mit dem Internet verbunden. Sie sind jedoch mit Menschen verbunden. Techniker schließen Laptops an. Lieferanten bringen USB-Sticks mit. Bediener authentifizieren sich an HMI-Terminals – oder auch nicht. Jeder dieser Punkte ist ein Angriffsvektor, den Netzwerkisolierung nicht abdeckt. Zero Trust greift hier. Die meisten Zero-Trust-Tools setzen jedoch Cloud-Konnektivität voraus, die luftdicht isolierte Netzwerke nicht haben.
Was in luftdicht isolierten Umgebungen nicht funktioniert
Cloud-Identitätsanbieter. Azure AD, Okta und Google Workspace erfordern für die Authentifizierung eine Internetverbindung. Liegt der Identitätsanbieter in der Cloud, fehlt dem luftdicht isolierten Netzwerk jede Identitätsschicht.
Cloud-verwaltete Firewalls. Palo Alto Prisma, Zscaler und ähnliche Plattformen leiten Datenverkehr über Cloud-Inspektionspunkte. In einer luftdicht isolierten Umgebung gibt es keinen Weg in die Cloud.
SaaS-SIEM-Plattformen. Splunk Cloud, Microsoft Sentinel und andere Cloud-SIEMs können keine Protokolle aus einem getrennten Netzwerk empfangen. Der Prüfpfad verbleibt lokal oder existiert gar nicht.
Agentenbasierter Endpunktschutz. Selbst wenn OT-Geräte Agenten ausführen könnten – was die meisten nicht können –, benötigen diese Agenten typischerweise Cloud-Konnektivität für Signaturaktualisierungen, Richtlinienverteilung und Telemetrieerfassung.
Was funktioniert
Identitätsdurchsetzung vor Ort
Setzen Sie ein Identitäts-Gateway innerhalb des luftdicht isolierten Netzwerks ein. Die gesamte Benutzerauthentifizierung erfolgt lokal. MFA-Token (TOTP) funktionieren offline. Die Richtlinien-Engine läuft vor Ort ohne externe Abhängigkeiten.
Access Gate läuft vollständig on-premise. Das Identitäts-Gateway, die Richtlinien-Engine, der Sitzungs-Proxy und die Protokollspeicherung betreiben alle innerhalb des lokalen Netzwerks. Keine Daten verlassen den Perimeter.
Zugangskontrolle auf Netzwerkebene
Statt auf Endpunkt-Agenten zu setzen, wird die Zugangskontrolle auf Netzwerkebene durchgesetzt. Ein Overlay-Netzwerk mit Proxy-Durchsetzung verifiziert die Identität und autorisiert jede Sitzung, bevor sie das OT-Asset erreicht. Das Gerät muss nicht an der Authentifizierung teilnehmen.
Lokale Sitzungsprotokollierung
Sitzungsprotokolle werden vor Ort erfasst. Sie werden auf dem Gerät gespeichert oder über Syslog an ein lokales SIEM weitergeleitet. Jede Verbindung wird mit Benutzeridentität, Zeitstempel, Quelle, Ziel, Protokoll und Nutzdaten protokolliert.
Software-definierte Segmentierung
Erstellen Sie Mikrosegmente ohne Switch-Neukonfiguration. Ein Overlay-Netzwerk baut logische Grenzen auf dem vorhandenen physischen Netzwerk auf. Jedes Asset oder jede Asset-Gruppe erhält ein eigenes Segment mit einer eigenen Zugriffsrichtlinie. Keine VLAN-Änderungen, kein Umverkabeln, keine Switch-Firmware-Updates.
Das Paradox der Luftisolierung
Das Paradox luftdicht isolierter Sicherheit: Die Lücke schützt vor Fernangriffen, erzeugt aber blinde Flecken für lokale Bedrohungen. Ohne eine Identitätsschicht wissen Sie nicht, wer innerhalb der Lücke auf was zugreift. Ohne Protokollierung können Sie einen Vorfall nicht rekonstruieren. Ohne Segmentierung kann ein kompromittiertes Gerät alles im flachen Netzwerk erreichen.
Zero Trust innerhalb der Lücke adressiert alle drei Punkte: Identitätsverifizierung für jede Sitzung, Prüfprotokollierung für jede Verbindung und Mikrosegmentierung zur Begrenzung lateraler Bewegung.
Überlegungen zur Bereitstellung
Kein Internet für Updates. Software-Updates müssen manuell über sichere Datenträger eingespielt werden. Access Gate unterstützt Offline-Updatepakete.
Keine Cloud für die Verwaltung. Die Verwaltung mehrerer Standorte erfordert eine lokale Management-Ebene. Access Gate unterstützt standortübergreifende Verwaltung über verschlüsselte Tunnel zwischen luftdicht isolierten Standorten.
Eingestufte Umgebungen. Luftdicht isolierte Netzwerke in SCIF- oder eingestuften Umgebungen unterliegen zusätzlichen Handhabungsanforderungen. Access Gate hat keine Cloud-Abhängigkeit und speichert alle Daten lokal.
Weitere Zero-Trust-OT-Ressourcen, Architekturleitfäden und Vergleiche finden Sie im Zero Trust für OT-Netzwerke Hub.
