Wie sich OT-Netze im Ernstfall kappen lassen
Wenn Angreifer erst in der Leitstelle sitzen, ist es für sauberes Trennen oft zu spät. Ein neuer Leitfaden der australischen ASD und internationaler Partnerbehörden – darunter CISA, NCSC-UK und das kanadische Cyber Centre – zeigt Betreibern kritischer Infrastruktur, wie sie ihre Operational-Technology-Systeme im Krisenfall gezielt vom Rest des Netzes trennen, ohne den Betrieb komplett zum Erliegen zu bringen.
Der unter dem Namen "CI Fortify" veröffentlichte Leitfaden richtet sich an Betreiber kritischer Infrastruktur wie Energieversorger, Wasserwerke oder Verkehrsbetriebe und beschreibt einen sechsstufigen Weg zur Isolationsfähigkeit. Zunächst gilt es, die für den kritischen Dienst tatsächlich notwendigen Systeme zu identifizieren und deren Abhängigkeiten von Kunden und Partnern zu kartieren.
Anschließend bewerten Betreiber Kritikalität und Vertrauensniveau einzelner Netzsegmente, um sie sinnvoll zu zonieren. Ein zentraler Schritt ist die lückenlose Dokumentation aller Verbindungspunkte zwischen OT-Netz und Außenwelt – von Fernwartungszugängen über Cloudanbindungen bis zu Verbindungen zu anderen Versorgern.
VLANs und MPLS nicht sicher genug
Auf dieser Basis bauen Organisationen dann echte Trennpunkte auf: Der Leitfaden warnt ausdrücklich davor, sich bei sicherheitskritischen Netzgrenzen auf administrative Kontrollen wie VLANs oder MPLS zu verlassen, da diese standardmäßig keine belastbare Sicherheitsgrenze zwischen Domänen bieten. Physische Trennung bleibt der Goldstandard, wo sie sich nicht realisieren lässt, empfiehlt der Leitfaden starke Verschlüsselung über nicht vertrauenswürdige Carrier-Strecken, etwa via MACsec auf Layer 2 oder IPsec-Tunnel auf Layer 3.
Besonders praxisnah wird der Leitfaden bei der Frage, wie ein abgestuftes Isolationskonzept aussehen kann: Statt im Ernstfall sofort alles zu kappen, empfiehlt CI Fortify eine gestaffelte Vorgehensweise, die zunächst Fernzugriffe deaktiviert, dann Verbindungen zwischen IT und OT trennt und erst zuletzt das OT-Netz vollständig isoliert. Wichtig ist den Autoren dabei, dass Isolationspläne regelmäßig getestet werden, denn ein isoliertes Teilsystem offenbart nicht zwangsläufig alle versteckten Abhängigkeiten.
Gefahren durch andere Lücken entstehen
Nach der Isolation empfiehlt der Leitfaden eine kontinuierliche Überwachung, etwa durch Kontrolle von Routing-Tabellen und Netzwerk-Flow-Monitoring, um ungewollte Outbound-Verbindungen frühzeitig zu erkennen.
Der Leitfaden benennt auch die Kehrseite: Isolierte Systeme fallen schnell aus dem Patch-Rhythmus, verlieren externe Sichtbarkeit und erhöhen das Risiko durch infizierte Wechseldatenträger, die während der Isolation für den Datenaustausch nötig werden. Für Fälle, in denen ein Datenaustausch zwischen kritischen und unkritischen Netzen unvermeidbar bleibt, verweist der Leitfaden auf Data Diodes und Cross Domain Solutions als Alternative zu klassischen Netzwerk-Gateways.
Den vollständigen Leitfaden inklusive Diagrammen zum abgestuften Isolationsmodell stellt die ASD als PDF zum Download bereit.