Fernwartung: einfach erklärt

Dieser Begriff gehört zur Vertiefung „OT-Security und Regulierung“ und ist nicht in der App enthalten.

Kurzdefinition

Fernwartung bedeutet in der OT, dass Hersteller, Integratoren oder eigene Fachleute von außen auf Steuerungen, Bediengeräte oder Server zugreifen, um Störungen zu beheben, Programme anzupassen oder Daten auszulesen. Sicher ist sie nur, wenn der Zugang begrenzt, abgesichert und nachvollziehbar ist.

Schematische Grafik: sichere Fernwartung vom externen Dienstleister über einen VPN-Tunnel und eine Firewall zum Jump-Host in der DMZ mit MFA, Protokollierung und zeitlicher Freigabe, weiter über eine zweite Firewall zur Zielanlage.
Grafik: DMNK Digital, KI-erstellt

Erklärung

Fernwartung spart Anfahrten und verkürzt Stillstände. Gleichzeitig ist sie einer der häufigsten Wege, über die Angreifer in Produktionsnetze gelangen: ein vergessenes Modem, ein dauerhaft offener VPN-Zugang oder ein Fernwartungsrouter, den der Maschinenlieferant „mal eben“ in den Schaltschrank gesetzt hat.

Das BSI fasst in seiner Empfehlung „Fernwartung im industriellen Umfeld“ (BSI-CS 108) und im IT-Grundschutz-Baustein IND.3.2 die wichtigsten Grundsätze zusammen. In eigenen Worten:

  • Eine einheitliche Lösung statt vieler Herstellerboxen; das verringert Wildwuchs.
  • Zugang über eine vorgelagerte Zone (DMZ), nicht direkt ins Produktionsnetz, und keine Umgehung bestehender Firewalls.
  • Feingranular freigeben: pro Ziel-IP und Port statt pauschal ganze Netze.
  • Verbindungsaufbau möglichst von innen oder nur zeitweise aktivierte Zugänge; keine offenen Ports von außen.
  • Sichere, aktuelle Protokolle wie IPsec, SSH oder TLS sowie starke Authentisierung, idealerweise mit zweitem Faktor.
  • Protokollieren und dokumentieren: wer, wann, worauf, warum.

Alte Lösungen mit analogen oder ISDN-Modems und SPSen, die direkt aus dem Internet erreichbar sind, gelten laut BSI nicht als Stand der Technik.

Organisatorisch gehört dazu, dass jeder Zugang einen Verantwortlichen hat, dass externe Personen persönliche Konten statt Sammelkonten bekommen und dass Zugänge nach Projektende wieder geschlossen werden. Im Sinne von IEC 62443 ist der Fernwartungszugang ein eigener Conduit mit klaren Regeln; die Anforderungen an Dienstleister behandelt IEC 62443-2-4.

Praxisbeispiel

Ein Maschinenbauer soll eine Abfüllanlage fernwarten. Statt eines eigenen Routers im Schaltschrank bekommt er Zugang über das zentrale Fernwartungs-Gateway in der OT-DMZ. Der Instandhalter vor Ort schaltet den Zugang per Schlüsselschalter für ein Zeitfenster frei. Der Techniker meldet sich mit persönlichem Konto und zweitem Faktor an und erreicht nur die SPS und das HMI dieser Anlage über die benötigten Ports. Die Sitzung wird protokolliert. Nach getaner Arbeit ist der Zugang wieder geschlossen.

Typische Fehler

  • Dauerhaft offene Zugänge. Der VPN-Zugang ist rund um die Uhr aktiv, obwohl er einmal im Quartal gebraucht wird.
  • Lieferanten-Router im Schaltschrank. Er verbindet das Maschinennetz direkt mit dem Internet und umgeht die Firewall.
  • Sammelkonten. „service/service“ für alle Techniker; niemand weiß, wer wann zugegriffen hat.
  • Zu große Reichweite. Der Zugang erreicht das gesamte Produktionsnetz statt einer Anlage.
  • Keine Inventur der Zugänge. Niemand kennt alle Modems, Router und Remote-Tools im Werk.

Verwandte Begriffe

  • OT-DMZ: richtiger Ort für das Fernwartungs-Gateway
  • VPN: verschlüsselter Tunnel für den Zugriff
  • Firewall: begrenzt, was erreicht werden kann
  • Zonen & Conduits: Fernwartung als eigener Conduit
  • Patchmanagement OT: auch Fernwartungskomponenten brauchen Updates
  • NAT: häufig an Maschinenrouten beteiligt

Praxisnotiz von Dominik

Ich kläre die Fernwartung am liebsten schon bei der Bestellung einer Maschine und nicht erst bei der Inbetriebnahme. Wenn im Lastenheft steht, dass der Zugang über die zentrale Lösung des Werks läuft, gibt es später keine Diskussion über eine eigene Box im Schaltschrank. Das ist für beide Seiten entspannter, weil die Erwartungen von Anfang an klar sind.

Weiterlesen im Blog

Quellen

Stand: 10/2026 · Normen werden nur referenziert, nicht zitiert.