Zero Trust für OT-Netze. Läuft vor Ort. Nichts auf Maschinen zu installieren.
Die meisten OT-Geräte können keine Security-Agenten ausführen. Zero Trust für OT setzt identitätsbasierten Zugriff deshalb an der Netzwerkgrenze durch, vor Ort. Diese Seite bündelt die Architekturleitfäden, Vergleiche und an CISA ausgerichteten Playbooks von Trout für eine Einführung ohne Produktionsunterbrechung.
Zuletzt aktualisiert:
Was ist Zero Trust für OT?
Zero Trust für OT bedeutet, dass keiner Verbindung zu einem OT-Asset standardmäßig vertraut wird. Jeder Nutzer, jedes Gerät und jede Sitzung muss authentifiziert und autorisiert sein, bevor sie SPS, HMIs, SCADA-Systeme oder andere OT-Ressourcen erreicht. Anders als Zero Trust in der IT muss Zero Trust in der OT ohne Endpunkt-Agenten, ohne Produktionsunterbrechung und oft ohne Internetverbindung funktionieren.
Warum Zero Trust in der OT anders ist.
Vier Eigenschaften unterscheiden Zero Trust in der OT von Zero Trust in der IT. Jede hat Folgen für die Architektur. Jede wird in der CISA-Leitlinie vom April 2026 bestätigt.
Nichts auf dem Asset zu installieren.
SPS, HMIs mit Windows XP, SCADA-Server und zehn Jahre alte Engineering-Workstations können keinen Agenten hosten. Die CISA-Leitlinie vom April 2026 bestätigt den agentenlosen Einsatz für Legacy-OT. Sie empfiehlt, ihn mit aktiver Durchsetzung an der Netzwerkgrenze zu kombinieren, nicht nur mit passivem Monitoring.
Steuern, wer worauf zugreift, ohne Umbau.
Klassische Mikrosegmentierung verlangt einen VLAN-Umbau und neue IP-Adressen, was die meisten Werke nicht hinnehmen können. Overlay-basierte Mikrosegmentierung setzt Richtlinien pro Asset, Protokoll und Sitzung über dem bestehenden physischen Netz durch. Die Layer-2-Topologie ändert sich nicht.
Ausgleichsmaßnahmen für die ICAM-Lücke.
Der Großteil der installierten OT ist älter als Active Directory, SAML oder OIDC. CISA bestätigt Ausgleichsmaßnahmen oberhalb der Geräteebene, darunter Segmentierung. Die Identität wird an der Netzwerkgrenze durchgesetzt, stellvertretend für Assets, die sie selbst nicht vorweisen können.
Laterale Bewegung von der IT in die OT stoppen.
Volt Typhoon und ähnliche Akteure kompromittieren die IT und wechseln dann über jeden vorhandenen Zugangsweg in die OT. Ein Air Gap allein ist keine Kontrolle: CISA warnt ausdrücklich vor falscher Sicherheit durch vermeintliche Isolation. Jede Sitzung von der IT in die OT muss authentifiziert, autorisiert und protokolliert werden, nicht nur inventarisiert.
Zero-Trust-Lösungen für OT von Trout Software.
Zero-Trust-Zugriffskontrolle
Identitätsbasierte Zugriffskontrolle mit MFA, RBAC und Durchsetzung auf Protokollebene für Umgebungen vor Ort.
Read moreIndustrial DMZ
Proxybasierte Segmentierung, die OT-Assets ohne Netzwerkumbau isoliert.
Read moreFernzugriff
Zero-Trust-Fernzugriff für Dienstleister, Auftragnehmer und OEM-Techniker. Auf die Sitzung begrenzt, mit MFA, vollständig nachvollziehbar.
Read moreNetzwerksichtbarkeit
Passive Asset-Erkennung über IT, OT und IoT. Ein dynamisches Inventar ohne aktives Scannen.
Read moreAir-Gap-Einsatz
Vollständige Zero-Trust-Durchsetzung in getrennten Umgebungen, ohne Cloud-Abhängigkeit.
Read moreArchitekturleitfäden und Whitepaper.
Leitfaden zur DoD-Zero-Trust-Ausrichtung für OT
Punktgenaue Zuordnung der Anforderungen aus DTM 25-003 zu den Funktionen von Access Gate über alle 7 Säulen von DoD OT-ZT.
ViewBeyond Purdue: Micro-DMZs für moderne OT
Warum das Purdue-Modell bei Fernzugriff, IIoT und Cloud-Analytik scheitert. Wie Micro-DMZs Zero-Trust-Grenzen pro Asset schaffen.
ViewEntwurfsmuster für die Industrial DMZ
Vier Architekturmuster für proxybasierte Segmentierung in OT-Netzen.
ViewWas ist ein Overlay-Netz?
Wie Access Gate eine sichere virtuelle Schicht über Ihrem bestehenden Industrienetz aufbaut.
ViewModbus in Industrieumgebungen absichern
Architektur und Sicherheitskontrollen für ein Protokoll, das nie für vernetzte Umgebungen gedacht war.
ViewZero Trust in Betriebsumgebungen (Webinar)
Aufzeichnung: warum sich Netzwerksegmentierung und Authentifizierung in den letzten 20 Jahren hätten weiterentwickeln müssen.
ViewAccess Gate im Vergleich mit Alternativen.
Access Gate vs. Claroty
Durchsetzung vor Ort statt cloudbasiertem OT-Monitoring.
CompareAccess Gate vs. Nozomi
Sichtbarkeit plus Durchsetzung statt reinem Monitoring.
CompareAccess Gate vs. Forescout
Zero-Trust-Sitzungskontrolle statt Network Admission Control.
CompareAccess Gate vs. Zscaler
Zero Trust vor Ort statt über die Cloud geroutetem Zero Trust.
CompareAccess Gate vs. Firewalls
Identitätsbasierte Durchsetzung statt Filterung nach Port- und IP-Regeln.
CompareOverlay-Netze vs. VLANs
Softwaredefinierte Segmentierung statt VLAN-Umkonfiguration auf Switch-Ebene.
CompareArtikel zu Zero Trust in der OT.
Guides by industry and regulation.
NY water cybersecurity compliance
How Access Gate maps to the EFC 12-step checklist, DEC/DOH regulations, and NIST CSF 2.0. 2027 DOH and DEC deadlines.
Read more Electric UtilitiesNERC CIP compliance guide
How Access Gate covers CIP-002 through CIP-015 for bulk electric system operators. CIP-003-9 deadline guidance.
Read more Federal / DoDCISA Zero Trust OT guidance (April 2026)
What the joint CISA/DoW/DOE/FBI guidance means for on-premise deployments. Volt Typhoon defense and the agentless endorsement.
Read moreFragen zu Zero Trust für OT.
Access Gate setzt Zero Trust auf Netzwerkebene für OT durch. Nichts auf Endpunkten zu installieren. Keine Produktionsunterbrechung.
Zero Trust in der IT nutzt meist Endpunkt-Agenten, Cloud-Identitätsanbieter und softwaredefinierte Perimeter. OT-Anlagen können oft keine Agenten ausführen, haben teils kein modernes Betriebssystem und laufen in Umgebungen, in denen Verfügbarkeit entscheidend ist. Zero Trust in der OT muss auf Netzwerkebene funktionieren, ohne Endpunkte anzufassen.
Nein. Access Gate setzt Zero Trust über Overlay-Netze und proxybasierte Zugriffskontrolle auf Netzwerkebene durch. SPS, HMIs, SCADA-Systeme und Altanlagen werden geschützt, ohne dass Software darauf installiert wird.
Ja. Access Gate ist eine Appliance, die neben Ihrem bestehenden Netzwerk angebunden wird. Sie baut ein Overlay-Netz über der vorhandenen Infrastruktur auf. Keine IP-Änderungen, keine VLAN-Umkonfiguration, keine Neuverkabelung.
Access Gate läuft vollständig vor Ort, ohne Cloud-Abhängigkeit. Durchsetzung, Protokollierung und Identitätsprüfung finden lokal statt. Es unterstützt vollständig getrennte, hybride und eingestufte Umgebungen.
Access Gate works at the network layer and supports any IP-based protocol. Specific protocol awareness includes Modbus TCP, OPC UA, and common industrial protocols. The proxy layer can enforce access control per-protocol and per-session.
Firewalls filtern Verkehr nach IP- und Port-Regeln. VLANs segmentieren auf Switch-Ebene. Keines von beiden prüft die Identität. Access Gate ergänzt bestehende Firewalls und VLANs um identitätsbasierte Zugriffskontrolle. Es ersetzt sie nicht. Es fügt die Identitätsschicht hinzu, für die sie nie gebaut wurden.
Zero Trust in Ihrem OT-Netz einführen.
Sprechen Sie mit dem Trout-Team über Ihre Umgebung, Einsatzoptionen und Compliance-Anforderungen.
Vertrieb kontaktieren