Die stille Bedrohung: OT-Risiken durch Lieferantenzugänge

Cybersecurity

by josheph bell

September 16, 2025

Industrieunternehmen haben große Fortschritte in der OT-Security gemacht: Sie setzen Firewalls ein, segmentieren Netzwerke, überwachen den Datenverkehr und investieren in Intrusion Detection Systeme. Diese Maßnahmen sind entscheidend doch eine Bedrohung umgeht sie alle immer wieder: unkontrollierte Lieferantenzugänge.

Es ist das bekannte Risiko, das ständig übersehen wird. Externe Anbieter und Dienstleister erhalten häufig direkten Zugriff auf kritische OT-Systeme für Wartung, Fehlerbehebung oder Upgrades. Dabei umgehen sie oft genau die Sicherheitsmechanismen, die über Jahre hinweg aufgebaut wurden. Diese blinde Stelle untergräbt die Sicherheit von innen, und ist weiter verbreitet, als viele zugeben möchten.

Die Illusion von Sicherheit: Wenn der Perimeter Schutz nicht ausreicht

Unternehmen fühlen sich oft sicher in ihrer OT-Security-Architektur. Sie haben Netzwerke segmentiert, kritische Systeme isoliert (air-gapped) und fortschrittliche Passive Monitoring-Tools implementiert. Doch all diese Maßnahmen lassen sich umgehen, wenn ein Lieferant beispielsweise über TeamViewer, VPN oder sogar per USB-Stick dringende Wartungsarbeiten durchführt, häufig ohne Genehmigung oder Überwachung.

Beispiele aus der Praxis:

  • Ein Lieferant kommt vor Ort und steckt einen LTE-Router ein, um eine dauerhafte, vom Unternehmensnetz getrennte Verbindung aufzubauen.
  • Ein Ingenieur greift per TeamViewer ohne Logging, Monitoring oder Freigabe auf das System zu.
  • Der Zugriff bleibt noch lange nach dem Wartungszeitfenster aktiv.

Das sind keine hypothetischen Fälle. Reale Beispiele umfassen:

  • LTE-Router mit Standard-Zugangsdaten, die dauerhaft online sind und die Netzwerksegmentierung umgehen.
  • VPN-Tunnel, die das externe Netzwerk eines Lieferanten direkt in das OT-Netz verlängern und interne Systeme angreifbar machen.
  • Schatten IT-Tools wie AnyDesk oder TeamViewer, die im Hintergrund aktiv bleiben und durch herkömmliches Monitoring nicht erkannt werden.
  • Kompromittierte Laptops von Dienstleistern, die Malware direkt in produktive Systeme einschleusen.

Diese Zugriffspfade sind vielleicht nicht mit böser Absicht eingerichtet, aber sie sind durch ihr Design inhärent riskant. Da sie außerhalb der Sichtbarkeit des Security-Teams liegen, bleiben sie offen, unüberwacht und angreifbar.

‍

Warum diese Bedrohung weiterhin besteht

Wenn das Problem so gravierend ist, warum bleibt es bestehen?

Weil in OT-Umgebungen die Verfügbarkeit oberste Priorität hat. Ausfallzeiten sind teuer. Wenn eine Produktionslinie stillsteht, zählt nur, sie so schnell wie möglich wieder in Betrieb zu nehmen. Diese Dringlichkeit führt häufig dazu, dass Richtlinien zugunsten von Geschwindigkeit ignoriert werden. Kombiniert mit unklaren Zuständigkeiten zwischen IT, OT, Engineering und Einkauf ergibt sich ein Rezept für unkontrollierten Zugriff.

Zentrale Faktoren:

  • Operativer druck: Produktion geht vor Sicherheit. Die Kosten von Stillständen rechtfertigen Sofortzugriffe.
  • Unklare Zuständigkeiten: IT, OT, Einkauf und Engineering haben alle mit Lieferantenzugängen zu tun, aber niemand hat die volle Verantwortung.
  • Fehlende Transparenz: Viele Unternehmen haben keinen vollständigen Überblick darüber, wer wann und wie einen Fernzugriff erhält.
  • Schwache Verträge: Lieferantenverträge enthalten oft keine Security-Klauseln, SLAs oder Audit-Rechte.

‍

Was Sie jetzt tun sollten

Die Lösung für unkontrollierten Lieferantenzugänge beginnt nicht mit einem Tool, sondern mit einem strategischen Rahmen, der Betrieb, Sicherheit und Compliance miteinander verknüpft. Ziel ist es nicht, Zugriff zu blockieren, sondern ihn intelligent zu steuern zugunsten von Verfügbarkeit und minimalem Risiko.

Führende Organisationen starten mit folgenden Schritten:

  1. Zentralisierung der Fernzugriffe:

Alle Drittanbieterzugriffe über ein sicheres, überwachtes Gateway leiten, typischerweise in einer DMZ platziert. So entsteht ein einheitlicher, auditierbarer Einstiegspunkt, der direkte, unkontrollierte Verbindungen umgeht.

  1. Just-in-Time- und Aufgaben-basierte Zugriffsrechte:

Fernzugriffe sollte zeitlich begrenzt, rollenbasiert und zweckgebunden erfolgen. Das entspricht u. a. den Anforderungen von ISO/IEC 27001 (A.5.20, A.5.17) und IEC 62443 (z. B. SR 1.3 für temporäre Konten).

  1. Multi-Factor Authentication (MFA) durchsetzen:

Geteilte Passwörter oder einfache Zugangsdaten sind nicht mehr akzeptabel. MFA ist Pflicht gemäß NIS2 Directive, ISO/IEC 27001 und IEC 62443 (SR 1.1 RE2). Ob per Hardware-Token oder sichere App – Authentifizierung muss mehrstufig und verifizierbar sein.

  1. Logging und Aufzeichnung aller Aktivitäten:

Transparenz ist entscheidend. Jede Sitzung von Lieferanten sollte geloggt und wenn möglich aufgezeichnet werden. Das schafft nicht nur einen audit trail, sondern erfüllt auch Anforderungen wie ISO/IEC 27001 A.8.28 - remote access logging.

  1. Cross-funktionale Governance etablieren:

Lieferantenzugänge sind kein reines OT- oder IT-Thema – sie sind gemeinsame Verantwortung. Führende Unternehmen definieren klare Zuständigkeiten, Workflows zur Freigabe und Sperrung sowie vertragliche Regelungen mit Security-Klauseln, Audit-Rechten und SLAs für Fernzugriffe.

Richtig umgesetzt schafft dieser Ansatz nicht nur Abhilfe, sondern auch eine Grundlage für Resilienz, Risikoreduktion und Compliance mit Standards wie NIS2, ISO/IEC 27001 und IEC 62443.

Allerdings erfordert die Umsetzung in produktiven OT-Umgebungen ein Gleichgewicht aus technischer Expertise, betrieblichem Verständnis und Governance-Kompetenz. Das ist keine Aufgabe für ein Tool allein es braucht Planung und die richtige Beratung.

‍

Die versteckte Tür schließen

Fernzugriffe für Lieferanten zählen zu den meistunterschätzten Schwachstellen in OT-Umgebungen. Trotz starker Perimeter und Netzwerk-Segmentierung kann eine einzige schlecht verwaltete externe Verbindung Angreifern direkten Zugang zu kritischen Systemen geben. Unternehmen müssen diese Lücke schließen durch Standards, technische und organisatorische Kontrollen sowie Integration des Zugangs in ihre Security Governance.

Zahlreiche Anbieter bieten mittlerweile sichere Fernzugriffslösungen speziell für OT-Umgebungen. Diese Tools unterstützen access brokering, session recording und Policy-Integration. Darüber hinaus helfen sie, strukturierte Governance-Prozesse umzusetzen, von Zugriffsfreigaben über zeitlich begrenzte Sitzungen bis zu detaillierten Aktivitätsprotokollen.

BxC unterstützt Organisationen bei der Auswahl, Implementierung und Betrieb geeigneter Fernzugriffslösungen, abgestimmt auf deren Betrieb, Sicherheitsniveau und Compliance-Anforderungen. Darüber hinaus entwickeln wir gemeinsam mit unseren Kunden umfassende Governance-Frameworks, die Zuständigkeiten, Prozesse und Rollen abdecken, um die Lieferantenzugriffe dauerhaft sicher, nachvollziehbar und regelkonform zu gestalten.