OT RemoteAccess.
OT Remote Access steuert, wer wann und über welchen kontrollierten Pfad auf Anlagen, Engineering-Stationen oder Wartungssysteme zugreift. Ziel ist nachvollziehbare, möglichst kurzlebige Berechtigung ohne unsichere Direktverbindung in die Produktion.
Marktbild: Die Klasse überlappt PAM, ZTNA und Remote Support. OT-spezifisch sind Jump Hosts, Sitzungsaufzeichnung, Lieferantenzugriff, Segmentgrenzen und die Abstimmung mit Betriebsfenstern.
Den Betrieb
vorbereiten.
Für interne Admins, externe Wartung und Herstellerzugriffe auf sensible Produktions- oder Infrastrukturumgebungen.
Remote Access ist kein Ersatz für Netzsegmentierung oder ein Wartungsfreigabeverfahren. Eine korrekt authentisierte Sitzung kann betrieblich trotzdem unzulässig sein.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| WALLIX · WALLIX PAM | OT Bastion und Session Recording | Industrie und kritische Infrastruktur | OT-Protokolle, Betriebsmodell und lokaler Support |
| Claroty · xDome Secure Access | OT Remote Access | Hersteller- und Wartungszugriffe | Isolation und Genehmigungsworkflow |
| BeyondTrust · Privileged Remote Access | Vendor Remote Access | Externe Dienstleister und Support | Segmentierung und Aufzeichnung |
| CyberArk · Secure Vendor Access | Privileged Access | Externe und privilegierte Zugriffe | PAM-Integration und Sitzungsregeln |
| Delinea · Delinea Platform | PAM und Remote Sessions | Hybrid IT/OT Admin Access | OT-Architektur und Connectoren |
| SonicWall · SonicWall SMA | Secure Remote Access | Mittelstand und verteilte Standorte | PAM- und Recording-Ergänzung |
| Tosibox · Tosibox Platform | Industrial Remote Access | OEM und Industrieanlagen | Identity, Logging und Servicezugang |
| Secomea · GateManager | Industrial Remote Maintenance | Maschinenbau und OT | Lieferantenrollen und Aufzeichnung |
| TeamViewer · Tensor | Remote Connectivity | Remote Support mit Enterprise Controls | Nicht als alleinige OT-Sicherheitsarchitektur nutzen |
| Forescout · Forescout Platform | Device Visibility und Enforcement | Ergänzung zu kontrolliertem OT Access | Nicht selbst als PAM einordnen |
Ein Pfad,
ein Auftrag, ein Ende.
- Bestehende Fernzugänge erheben, auch Mobilfunkrouter und Herstellerverbindungen der Maschinenbauer. Jeden nicht kontrollierten Pfad abschalten oder in den gemeinsamen Zugangspunkt überführen.
- Den Zugangspunkt in einer Übergangszone zwischen IT und OT betreiben. Verbindungen in Steuerungsnetze nur von dort, nur zu freigegebenen Zielen.
- Jeden Zugriff an einen Auftrag mit Asset, Zeitfenster und Freigabe durch den Anlagenverantwortlichen binden. Nach Ablauf wird der Zugang automatisch geschlossen.
- Lieferantenzugriffe mit Sitzungsaufzeichnung und Vier-Augen-Freigabe für Eingriffe an Steuerungen versehen. Die Aufzeichnung wird stichprobenweise gesichtet.
- Anzahl Fernzugangspfade ausserhalb des kontrollierten Zugangspunkts
- Anteil der Sitzungen mit Auftrag, Freigabe und Aufzeichnung
- Anzahl Zugänge, die nach Ablauf des Zeitfensters noch offen waren
Der Anlagenverantwortliche gibt Eingriffe frei und kennt die Betriebsfenster; die OT-Security betreibt den Zugangspunkt. Einkauf und Vertragsmanagement verankern die Regeln in den Wartungsverträgen.
IEC 62443-3-3 enthält mit SR 1.13 eine Anforderung an den Zugriff über nicht vertrauenswürdige Netze; IEC 62443-2-4 beschreibt Anforderungen an Dienstleister der Automatisierung.
ISO/IEC 27001:2022 Annex A 6.7 (Remote-Arbeit), 5.19 bis 5.22 (Lieferantenbeziehungen) und 8.15 (Protokollierung) stützen die Kontrollen; NIS2 Art. 21 Abs. 2 lit. d nennt die Sicherheit der Lieferkette.
Ein Fernzugang mit starker Anmeldung ist noch nicht sicher. Entscheidend ist, wohin die Sitzung führt und ob der Eingriff zu diesem Zeitpunkt zulässig ist; das kann nur der Anlagenverantwortliche beurteilen.
Nachweis statt
Versprechen.
- Jede Verbindung an Antrag, Asset, Zeitfenster, verantwortliche Person und Zweck binden.
- Keine geteilten Admin-Konten oder direkte VPN-Pfade in Steuerungsnetze akzeptieren.
- Sitzungen aufzeichnen, Ausnahmen befristen und den Zugriff nach Ende entziehen.
PAM · ZTNA und VPN · Microsegmentation
Produktfunktionen sind Herstellerangaben. Ob die Plattform in der eigenen Umgebung wirkt, zeigt erst ein kontrollierter Test mit den relevanten Services, Daten, Rollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 13
Im Gebiet OT, IoT und Cyber-Physical Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet OT, IoT und Cyber-Physical Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.