Dieser Begriff gehört zur Vertiefung „OT-Security und Regulierung“ und ist nicht in der App enthalten.
Kurzdefinition
Das Purdue-Modell ist ein Ebenenmodell, das eine Industrieanlage von den Feldgeräten (Ebene 0) bis zur Unternehmens-IT (Ebene 4/5) gliedert. In der OT-Security dient es als gemeinsame Sprache, um Netze zu trennen und Übergänge zu planen.
Erklärung
Der Name geht auf die Purdue Enterprise Reference Architecture zurück, die Anfang der 1990er-Jahre an der Purdue University entstand. Ursprünglich ging es um die Integration von Produktion und Unternehmensprozessen, nicht um Security. Heute wird das Modell vor allem genutzt, um Systeme einzuordnen und zu entscheiden, welche Ebenen miteinander sprechen dürfen.
Die übliche Einteilung sieht so aus:
- Ebene 0 – Prozess: Sensoren, Aktoren, Antriebe, also die physische Welt.
- Ebene 1 – Steuerung: SPS, Sicherheitssteuerungen, Regler.
- Ebene 2 – Überwachung: HMI, lokale SCADA-Bedienplätze, Engineering-Stationen.
- Ebene 3 – Betriebsführung: Leitsysteme, Historian, MES-Funktionen auf Standortebene.
- Ebene 3.5 – OT-DMZ: Pufferzone zwischen OT und IT (eine spätere Ergänzung).
- Ebene 4/5 – Unternehmen: ERP, Büro-IT, E-Mail, Internetzugang.
Die Grundregel lautet: Kommunikation läuft möglichst nur zwischen benachbarten Ebenen, und der Übergang zwischen OT und IT geht über die DMZ statt direkt.
Das Modell ist eine Orientierung, kein Bauplan. Moderne Anlagen haben Edge-Gateways, Cloud-Anbindungen oder Fernwartung, die nicht sauber in eine Ebene passen. Die US-Behörde NIST nutzt das Modell in ihrem OT-Security-Leitfaden SP 800-82 trotzdem als Referenz für die Netzarchitektur. Für die eigentliche Sicherheitsplanung bietet IEC 62443 mit Zonen und Conduits das flexiblere Werkzeug; das Purdue-Modell hilft dabei, die ersten Zonen zu finden.
Praxisbeispiel
Ein Werk ordnet seine Systeme ein: Ventile und Sensoren (Ebene 0) hängen an der Linien-SPS (Ebene 1), das Bedienpanel und die Engineering-Station liegen auf Ebene 2, der SCADA-Server und der Historian auf Ebene 3. Der Report-Server für die Auswertungen steht in der DMZ (3.5). Büro-PCs auf Ebene 4 greifen nur auf den Report-Server zu, nie direkt auf den Historian oder die SPS. Beim Einordnen fällt auf, dass ein Büro-Laptop eine direkte Verbindung zu einer SPS hatte. Sie wird entfernt.
Typische Fehler
- Modell als Pflicht-Norm verstehen. Es ist ein Referenzmodell, keine Anforderungsliste.
- Ebenen nur auf dem Papier. Die Zeichnung zeigt Ebenen, das Netz ist aber flach.
- Direkte Verbindungen IT zu Ebene 1. Ebenen werden übersprungen, etwa für Datenabfragen aus dem Büro.
- Neue Systeme nicht einordnen. Edge-Gateways und Cloud-Anbindungen laufen „neben“ dem Modell.
- Ebene gleich Zone. Eine Ebene kann mehrere Zonen enthalten, zum Beispiel pro Linie.
Verwandte Begriffe
- OT-DMZ: die Ebene 3.5
- Netzwerksegmentierung: technische Trennung der Ebenen
- Zonen & Conduits: das flexiblere Modell aus IEC 62443
- SPS und SCADA: typische Systeme auf Ebene 1 bis 3
- Historian: Ebene 3 bzw. Spiegel in der DMZ
Praxisnotiz von Dominik
In Abstimmungen zwischen IT und OT nutze ich das Purdue-Modell gern als Skizze auf dem Whiteboard, weil beide Seiten es schnell verstehen. Lange Diskussionen darüber, auf welche Ebene ein System genau gehört, lohnen sich aus meiner Sicht selten. Wichtiger ist die Frage, welche Verbindungen zwischen den Ebenen tatsächlich gebraucht werden.
Weiterlesen im Blog
Quellen
- NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security (Abschnitt zur Netzarchitektur): https://csrc.nist.gov/pubs/sp/800/82/r3/final
- IEC 62443-3-2 – nur referenziert
Stand: 10/2026 · Normen werden nur referenziert, nicht zitiert.