Fernzugriff für Dienstleister und Lieferanten in der OT: pro Sitzung genau eine Maschine.
Behalten Sie Ihr VPN oder Ihre 4G-Verbindung. Access Gate ergänzt Authentifizierung, Zugriff auf genau ein Asset, ein automatisches Sitzungsende und eine Aufzeichnung jeder Sitzung.
Zuletzt aktualisiert:
Um einem Lieferanten sicheren Fernzugriff auf genau eine Maschine zu geben, behalten Sie das VPN oder die 4G-Verbindung, die er bereits nutzt, und lassen Sie sie an einem Gateway vor dieser Maschine enden. Der Lieferant meldet sich am Gateway mit eigener Identität und MFA an, über ein Verzeichnis, das von Ihrem getrennt ist. Danach erreicht er für eine festgelegte Zeit nur diese Maschine, und nur über das Protokoll, das der Einsatz erfordert. Die gesamte Sitzung wird aufgezeichnet.
Fernzugriff für Lieferanten und allgemein Fernzugriff durch Dritte umfassen jede Verbindung von außen in Ihr OT-Netz durch Personen, die nicht bei Ihnen angestellt sind: Gerätehersteller, Maschinenbauer, Integratoren und Wartungsdienstleister. Die meisten Standorte öffnen ihnen für die Fernwartung einen VPN-Tunnel oder installieren einen 4G-Router an der Maschine. Für sich allein ist das ein Risiko: Ein verbundener Nutzer erreicht das gesamte Netz, niemand überwacht, was er tut, und nichts wird protokolliert.
Trout Access Gate lässt die VPN- oder 4G-Verbindung bestehen und ergänzt die fehlende Kontrolle:
- Mikrosegmentierung des LAN, sodass jedes Asset nur über das Gate erreichbar ist
- einen Bastion-Host, an dem sich jeder Nutzer authentifiziert, mit Mitarbeitern und Lieferanten in getrennten Verzeichnissen
- ein Asset pro Sitzung, die nach einer festgelegten Zeit endet und an Ihrem Standort protokolliert wird
Mehr zu Produkt, Preisen und Einführung: Sicherer Fernzugriff für OT mit Access Gate.
Im Produktivbetrieb: Thales nimmt jede abgeschottete Umgebung in 4 Stunden in Betrieb, vollständig on-premises, und ein großer Hersteller in North Carolina verwaltet 1.300 Assets und 660 Nutzer mit Access Gate.
Reicht ein VPN für den Fernzugriff für Lieferanten?
Nein. Ein VPN verschlüsselt die Verbindung und prüft, wer sie öffnet. Es entscheidet aber nicht, welche Maschine der Nutzer danach erreicht, und zeichnet nicht auf, was er dort tut. Sowohl CISA als auch NIST verlangen mehr als einen Tunnel.
NIST SP 800-82 Rev. 3, Abschnitt 6.2.10, verlangt, den Fernzugriff auf den betrieblichen Bedarf zu begrenzen. Zugänge sollen entzogen werden, sobald sie nicht mehr nötig sind, zum Beispiel mit automatischen Timern, und Fernzugriffe sollen überwacht werden. Außerdem empfiehlt NIST, für den Fernzugriff auf OT MFA vorzusehen. Rev. 3 erschien im September 2023 und ersetzte Rev. 2 von 2015.
Der CISA-Leitfaden zum Fernzugriff auf industrielle Steuerungssysteme rät nachdrücklich dazu, direkte Verbindungen zu Steuerungssystemen zu beseitigen. Er empfiehlt außerdem einen eigenen Authentifizierungsserver für Lieferanten und Integratoren, damit deren Zugriff gesperrt und im Einzelfall wieder freigegeben werden kann. Die CISA-Warnung von 2026 zu Angriffen auf SPS ergänzt: Ein Gateway oder VPN vor der SPS kann MFA durchsetzen, auch wenn die SPS selbst kein MFA unterstützt. Das Risiko ist real: Im November 2023 übernahmen Angreifer Unitronics-SPSen bei US-Wasserversorgern, darunter die Municipal Water Authority of Aliquippa in Pennsylvania, und die CISA-Warnung AA23-335A verweist auf Geräte, die aus dem Internet mit Standardpasswort erreichbar waren. Später zählte die CISA mindestens 75 kompromittierte Geräte in dieser Kampagne. Ihre Warnung vom 7. April 2026 betrifft SPS von Rockwell (CompactLogix, Micro850), Schneider (Modicon M340) und Siemens (S7-1200). Die Angreifer erreichten sie über die Ports 44818, 2222, 102 und 502.
Was jeder gängige Ansatz regelt und was er aufzeichnet:
| Ansatz | Was er regelt | Was er aufzeichnet |
|---|---|---|
| Nur VPN | Wer den Tunnel öffnet. Danach erreicht der Nutzer das gesamte Netz. | Bestenfalls Verbindungslogs. Nicht, was der Nutzer getan hat. |
| 4G-Router im Schaltschrank | Nur, wer das Router-Passwort kennt. | Nichts auf Ihrer Seite. |
| Jump-Server | Wer sich am Jump-Server anmeldet. Von dort jede Maschine, die vom Server aus erreichbar ist. | Anmeldungen am Jump-Server. Sitzungen nur, wenn Sie eine Aufzeichnung ergänzen. |
| Cloud-Access-Broker | Wer welches System erreicht, über die Cloud des Brokers. | Sitzungen, oft nur teilweise, gespeichert in der Cloud des Brokers. |
| VPN + Trout Access Gate | Wer welche Maschine wie lange erreicht und welche Befehle erlaubt sind. | Jede Sitzung vollständig, manipulationssicher, an Ihrem Standort. |
Mitarbeiter und Lieferanten in getrennten Verzeichnissen verwalten.
Viele der Personen, die Fernzugriff brauchen, stehen nicht in Ihrem Verzeichnis. Integratoren, Maschinenbauer und Wartungsdienstleister haben meist kein Konto bei Ihnen, und Sie wollen ihnen vielleicht auch keines in Ihrem Unternehmensverzeichnis anlegen. Access Gate bindet mehrere Verzeichnisse gleichzeitig an. Ihre Mitarbeiter melden sich über Ihr Unternehmensverzeichnis an, zum Beispiel Active Directory oder Microsoft Entra ID. Lieferanten melden sich über ein separates Verzeichnis an: ein zweites Active Directory, das Sie für Dritte führen, oder das in Access Gate integrierte Verzeichnis. Das Gateway erzwingt MFA für beide Gruppen. Danach gelten für beide dieselben Regeln: ein Asset pro Aufgabe, ein Zeitlimit und eine aufgezeichnete Sitzung. Wenn Sie einen Lieferanten anlegen oder entfernen, bleibt Ihr Unternehmensverzeichnis unberührt.
Der Nutzer arbeitet wie gewohnt, und jede Sitzung wird aufgezeichnet.
Ein VPN oder eine 4G-Verbindung baut einen Tunnel auf und vertraut dann jedem, der ihn nutzt. Access Gate sitzt am Ende dieses Tunnels, vor dem Asset. Die Sitzung endet am Gateway, und das Gateway öffnet eine eigene Verbindung zum Asset. Der Nutzer behält vollen interaktiven Zugriff und kann seine Arbeit erledigen. Gleichzeitig wird jeder Befehl anhand Ihrer Richtlinie geprüft, und die gesamte Sitzung wird aufgezeichnet. Diese Aufzeichnung ist der Nachweis, den Sie einem Prüfer vorlegen.
Das Gateway versteht OT-Protokolle. Es kann einem Lieferanten erlauben, einen Sensor auszulesen, ohne ihm Befehle an die zugehörige Steuerung zu gestatten. Diese Regel setzt das Gateway durch, nicht der Laptop des Lieferanten. Deshalb gilt sie auch dann, wenn der Laptop kompromittiert ist.
Gateway und Logs bleiben an Ihrem Standort.
Das Gateway und seine Logs laufen in Ihrer eigenen Umgebung. Weder Sitzungsverkehr noch Audit-Daten werden über die Cloud eines externen Anbieters geleitet, und kein Dritter verarbeitet Ihre Zugriffsdaten. Der Fernzugriff hängt auch nicht davon ab, dass ein Cloud-Dienst erreichbar ist. Lokaler Betrieb und Logs funktionieren auch bei einem Internetausfall weiter. Ein in der Cloud gehosteter Access-Broker kann das nicht bieten. Thales betreibt Access Gate so in geschützten Umgebungen, die eine nationale Zulassung durchlaufen müssen. Jede Umgebung ist in 4 Stunden eingerichtet, ohne Cloud.
Wie erhält ein Lieferant Zugriff auf genau eine SPS?
Der Lieferant ist der Nutzer, den Sie am wenigsten steuern können. Er hat kein Konto bei Ihnen, verbindet sich unter Umständen aus einem anderen Land, und die Steuerung, die er braucht, lässt sich oft nicht patchen. Seine VPN- oder 4G-Verbindung endet am Gateway, nicht im Anlagen-LAN. Er authentifiziert sich am Gateway mit MFA über das Lieferantenverzeichnis. Danach erhält er Zugriff auf eine Maschine für eine Aufgabe. Die Sitzung wird nach Ablauf der Zeit geschlossen und von Anfang bis Ende aufgezeichnet.
Wird ein Lieferantenpasswort bekannt, kommt damit allein niemand hinter das Gateway. Zugriff entziehen heißt, eine Freigabe zurückzunehmen, nicht ein globales Konto zu sperren. Der Techniker des Lieferanten hat weiterhin vollen interaktiven Zugriff für seine Arbeit.
Fernzugriff auf eine SPS einrichten.
Die meisten Anfragen nach Fernzugriff oder Fernwartung in der OT enden an einer Steuerung. Ein Integrator muss die Logik ändern, ein Maschinenbauer muss eine Störung auslesen, ein Ingenieur muss einen Wert prüfen. Die SPS kann sich nicht selbst schützen: Sie kann keinen zweiten Faktor abfragen, und eine ältere Steuerung kann weder einen Nutzer authentifizieren noch eine Sitzung aufzeichnen. Die Zugriffskontrolle muss der SPS vorgelagert sein. Laut Dragos enthielten 26 % der ICS-Advisories von 2025 weder Patch noch Abhilfe des Herstellers (Dragos, 2026).
Das Gateway übernimmt, was die Steuerung nicht kann. Es authentifiziert die Person, öffnet eine Sitzung zu genau dieser SPS über das Protokoll, das die Aufgabe braucht, und zeichnet sie auf. Weil das Gateway das Protokoll versteht, können Lesen und Schreiben eines Werts getrennte Berechtigungen sein. Ein Lieferant, der nur diagnostizieren muss, kann dann nichts ändern. Auf der SPS wird nichts installiert, und ihre Konfiguration bleibt unverändert.
Vier Schritte von der Transparenz zur Kontrolle.
- 01
Erfassen, wer sich von außen mit der OT verbindet
Listen Sie Ihr Personal und Ihre Lieferanten auf und wie sich jeder verbindet: VPN, Jump-Server, die Fernwartungs-Software des Lieferanten, ein 4G-Modem im Schaltschrank. Die meisten Standorte finden eine Verbindung, für die niemand zuständig ist.
- 02
Jeden entfernten Nutzer auf das benötigte Asset beschränken
Heute erreicht ein VPN- oder 4G-Nutzer meist jede SPS im Netz, nicht nur die, für die er gekommen ist. Mikrosegmentieren Sie das Netz, sodass jedes Asset nur über das Gateway erreichbar ist.
- 03
Die kritischsten Assets zuerst hinter das Gateway stellen
Beginnen Sie mit den Steuerungen, die Sie nicht patchen können, dem SCADA-Server und dem sicherheitstechnischen System (SIS). Jede Sitzung zu ihnen ist dann einer Person zugeordnet, auf ein Asset beschränkt und aufgezeichnet.
- 04
Den gesamten Lieferantenzugriff über das Gateway führen
Lieferanten nutzen das Gateway, weil es für sie der einfachste Zugang ist: ein Link, ein Login, eine Sitzung. Jede Lieferantensitzung wird dann protokolliert, und Sie können zeigen, wer was getan hat. Bei einem großen Hersteller in North Carolina verwaltet Access Gate den Zugriff auf 1.300 Assets und 660 Nutzer.
Was NIS2 beim Zugriff durch Dritte verlangt.
NIS2 zählt die Sicherheit der Lieferkette zu den zehn verpflichtenden Risikomanagementmaßnahmen. Art. 21 Abs. 2 lit. d betrifft die Sicherheit in Ihren Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Für einen OT-Betreiber sind das die Integratoren, Maschinenbauer und Support-Techniker, die sich mit Ihren Anlagen verbinden. Sie müssen zeigen können, was jeder von ihnen erreicht und was er getan hat.
Dauerhafte Konten liefern dem Prüfer keine Antwort
Ein dauerhaftes VPN-Konto für einen Lieferanten zeigt weder, welche Assets es erreicht, noch, was der Lieferant im letzten Quartal getan hat. Ein pro Einsatz erteilter Zugriff, begrenzt auf benannte Assets und Protokolle und mit automatischem Ablauf, zeigt beides.
Den Techniker identifizieren, nicht nur die Firma
Mit einem gemeinsam genutzten Lieferantenkonto können Sie nach einem Vorfall nicht feststellen, wer was getan hat. Eine Identität pro Techniker, am Gateway authentifiziert, ordnet jede Aktion einer Person zu.
Der Nachweis entsteht im laufenden Betrieb
Sitzungsaufzeichnungen, die Liste der Berechtigungen pro Zone und eine manipulationssichere Änderungshistorie entstehen beim Betrieb der Maßnahme selbst. Art. 21 Abs. 2 lit. f verlangt, dass Sie die Wirksamkeit Ihrer Maßnahmen bewerten. Dafür nutzen Sie dieselben Daten.
Das gilt auch für Anlagen, die Sie nicht ändern können
Die Pflicht gilt auch dann, wenn das Asset keinen Agenten tragen und kein MFA unterstützen kann. Die Durchsetzung vor dem Gerät ermöglicht es einer SPS mit Baujahr 2009, eine Richtlinie einzuhalten, die sie selbst nie umsetzen könnte.
Ihre Verträge mit Lieferanten müssen sich nicht ändern. Ändern muss sich der Zugriffsweg, und der muss Ihnen gehören. Eine Anfrage der Aufsichtsbehörde beantworten Sie dann mit einem Export statt mit einer Untersuchung.
Sechs Anforderungen an ein System für den Lieferantenzugriff.
Nutzen Sie diese Liste, um Produkte zu vergleichen, auch unseres. Ein VPN oder ein 4G-Router allein erfüllt keine davon. Ein Cloud-Broker erfüllt einige, aber über seine eigene Cloud.
Getrennte Verzeichnisse für Mitarbeiter und Lieferanten
Mitarbeiter authentifizieren sich an Ihrem Unternehmensverzeichnis, zum Beispiel Active Directory oder Entra ID. Lieferanten authentifizieren sich an einem separaten Verzeichnis: einem zweiten Active Directory oder dem im Gateway integrierten Verzeichnis, mit MFA am Gateway. Für beide gilt dieselbe Richtlinie.
Protokollbasiert statt portbasiert
Das Gateway liest OT-Protokolle wie Modbus und DNP3 und setzt Regeln pro Befehl und pro Register durch, nicht nur pro Port. Ein Nutzer kann einen Wert lesen dürfen, ohne ihn schreiben zu dürfen.
Agentenlos am Asset
Auf der SPS, dem HMI oder dem SCADA-Server wird nichts installiert, und ihre Konfiguration bleibt unverändert. Ältere Steuerungen, die weder Nutzer authentifizieren noch Sitzungen aufzeichnen können, erhalten beides vom Gateway.
Least Privilege pro Sitzung
Der Zugriff wird für ein System, eine Aufgabe und eine begrenzte Zeit gewährt und danach entzogen. Zwischen zwei Einsätzen bleibt keine Verbindung zum Steuerungsnetz offen.
Auf Verfügbarkeit ausgelegt
Das Gateway sitzt im Fernzugriffsweg, nicht im laufenden Regelkreis. Es verfügt über Failover und einen Notfallzugang. Fällt das Gateway aus, läuft der Betrieb vor Ort weiter. Den laufenden Prozess verzögert es nicht.
Manipulationssichere Aufzeichnung
Jede Sitzung wird vollständig aufgezeichnet: wer sich verbunden hat, welche Befehle gesendet wurden, wie lange die Sitzung dauerte und was sich geändert hat. Nutzer können die Aufzeichnungen nicht verändern, und Sie können sie an ein SIEM senden oder für eine Untersuchung nutzen.
VPN, Cloud-Broker und Access Gate im Vergleich.
| Kriterium | Nur VPN oder 4G | Cloud-Access-Broker | VPN + Trout Access Gate |
|---|---|---|---|
| Identität für externe Lieferanten | Oft ein geteiltes Konto | Ja, in der Cloud des Brokers | Ja, in einem separaten Lieferantenverzeichnis, On-Premise |
| Sitzungsaufzeichnung für Audits | Nein | Teilweise, in der Cloud | Vollständig, manipulationssicher, On-Premise |
| Protokollbasiert (Modbus, DNP3) | Nein | Selten | Ja, pro Befehl und Register |
| Agentenlos auf SPS / HMI | Nicht zutreffend | Braucht meist einen Konnektor | Ja, nichts auf dem Asset |
| Abhängig von einer Anbieter-Cloud | Nein | Ja, die Cloud ist der Broker | Nein, läuft an Ihrem Standort |
| Speicherort der Audit-Daten | Nicht aufgezeichnet | Anbieter-Cloud | Ihre Umgebung |
| Least Privilege pro Aufgabe | Nein, Zugriff auf das ganze Netz | Ja | Ja, ein System, zeitlich begrenzt |
Häufige Fragen zum Fernzugriff für Lieferanten und Dritte.
NIST SP 800-82 Rev. 3 (September 2023, Abschnitt 6.2.10) verlangt, den Fernzugriff auf den betrieblichen Bedarf zu begrenzen, ihn zu entziehen, wenn er nicht mehr nötig ist, ihn zu überwachen und ihn nach Möglichkeit mit MFA zu schützen. Die CISA empfiehlt, direkte Verbindungen zu Steuerungssystemen zu beseitigen und Lieferanten und Integratoren einen eigenen Authentifizierungsserver zu geben. 2026 riet die CISA zudem, ein Gateway, eine Firewall oder ein VPN vor die SPS zu setzen. Eine solche Komponente kann MFA durchsetzen, wo die SPS es nicht kann. Ein Gateway vor jeder Maschine, etwa Trout Access Gate, leistet all das, ohne die Anlage zu verändern.
Behalten Sie das VPN oder die 4G-Verbindung, die der Lieferant bereits nutzt, und stellen Sie ein Gateway vor die SPS. Die Verbindung endet dann am Gateway statt im Anlagennetz. Der Lieferant authentifiziert sich mit MFA am Gateway und erhält für eine festgelegte Zeit eine Sitzung zu genau dieser Steuerung. Alles, was er tut, wird aufgezeichnet, und auf der SPS wird nichts installiert. Ist die Zeit abgelaufen, wird die Sitzung geschlossen. Mit dem Passwort des Lieferanten allein kommt niemand mehr ins Netz.
Fernzugriff für Lieferanten ist der Weg, auf dem sich ein Gerätehersteller, Maschinenbauer oder Integrator von außerhalb des Standorts mit Ihren industriellen Systemen (SPS, HMI, SCADA) verbindet, um sie zu warten. Ist er sicher umgesetzt, stellt das VPN oder die 4G-Verbindung nur die Verbindung her. Jeder Techniker des Lieferanten hat eine namentliche Identität. Ein Gateway vor dem Asset steuert jede Sitzung und zeichnet sie auf. Der Zugriff ist auf ein Asset pro Aufgabe begrenzt und endet automatisch. Nichts hängt von einer externen Cloud ab.
Ein VPN baut einen verschlüsselten Tunnel auf und vertraut dann jedem, der sich darin befindet. In einem flachen Netz kann ein verbundener Nutzer (oder jeder, der sein Passwort gestohlen hat) weit mehr erreichen als das eine System, das er warten soll. Das VPN zeichnet nichts davon auf. In der OT kann ein einziges wiederverwendetes Lieferantenpasswort die Steuerungen erreichen, die den Prozess führen. Behalten Sie das VPN für die Verbindung und ergänzen Sie ein Gateway, das den Nutzer authentifiziert, Zugriff auf ein System gewährt, die Sitzung pünktlich beendet und sie aufzeichnet.
Fernzugriff durch Dritte ist jede Verbindung in Ihre Umgebung durch jemanden, der nicht bei Ihnen angestellt ist: einen Anlagenlieferanten, einen Maschinenbauer, einen Systemintegrator oder einen Wartungsdienstleister. In der OT birgt er das größte Risiko. Das Konto des Nutzers verwaltet ein anderes Unternehmen, seinen Laptop verwalten nicht Sie, und das Asset, das er erreicht, lässt sich meist nicht patchen. Zur Absicherung erhält er eine Identität außerhalb Ihres Unternehmensverzeichnisses (ein zweites Active Directory oder das im Gateway integrierte Verzeichnis) mit MFA am Gateway. Jede Sitzung wird auf ein System für eine Aufgabe begrenzt, aufgezeichnet und läuft ab, wenn die Arbeit erledigt ist.
Ja, und für OT sollte er das. Das Gateway und seine Logs laufen in Ihrer eigenen Umgebung. Weder Sitzungsverkehr noch Audit-Daten werden über die Cloud eines externen Anbieters geleitet, und kein Dritter verarbeitet diese Daten. Der Fernzugriff hängt auch nicht davon ab, dass ein Cloud-Dienst erreichbar ist: Lokaler Betrieb und Logs funktionieren auch bei einem Internetausfall weiter.
Diese Regelwerke verlangen, den Zugriff auf kritische Systeme zu steuern und aufzuzeichnen, auch den Zugriff durch Dritte und durch automatisierte Systeme. Ein Gateway, das jede Sitzung einer namentlich bekannten Person zuordnet, nur den nötigen Zugriff gewährt und jede Sitzung manipulationssicher aufzeichnet, liefert die Nachweise, die ein Prüfer verlangt. Das gilt für Mitarbeiter wie für Lieferanten, und an den Anlagen ändert sich nichts. CMMC Level 2 umfasst die 110 Sicherheitsanforderungen aus NIST SP 800-171 Rev. 2. NERC CIP-003-9 gilt seit dem 1. April 2026 und ergänzt Kontrollen für Lieferanten-Fernzugriff auf Assets mit geringer Auswirkung.
Weitere Seiten zum OT-Fernzugriff
Das Gate ist der erste Dienst, den Sie betreiben, nicht der letzte.
Sichern Sie Ihre Werke heute. Steuern Sie Ihre Digitalisierung morgen.
Access Gate bringt Rechenleistung direkt ins Netz, neben Ihre Anlagen. Sobald das Gate steht, hostet dieselbe Box die Dienste, die OT sicher anbinden: Remote-Zugriff, Protokoll-Gateways, DNS und Zeit, Historian, Update-Server. Beschleunigen Sie Ihre Digitalisierung, unter Kontrolle.