Ein kompromittierter Engineering-Workstation-PC darf nicht zur Unterbrechung einer gesamten Fertigungslinie führen. Genau an diesem Punkt entscheidet sich, ob Netzwerksegmentierung Industrie als wirksames Betriebsmodell geplant wurde oder nur als Firewall-Regelwerk auf einer Architekturzeichnung existiert. In Produktionsumgebungen geht es nicht allein um Cybersecurity. Es geht um Anlagenverfügbarkeit, sichere Wartungsfenster, nachweisbare Verantwortlichkeiten und die Fähigkeit, Störungen einzugrenzen, bevor sie den Output, Liefertermine oder die Qualität beeinträchtigen.
Für Head of Factory IT, OT/IT-Manager und Programmleiter ist Segmentierung deshalb ein Transformationsprojekt an der Schnittstelle von Infrastruktur, Automatisierung und Governance. Die technische Lösung ist nur ein Teil der Aufgabe. Schwieriger ist es, Produktionsanforderungen, historisch gewachsene Netze, externe Dienstleister und Sicherheitsvorgaben in ein kontrollierbares Zielbild zu überführen.
Warum flache Produktionsnetze zum Geschäftsrisiko werden
In vielen Werken sind IT- und OT-Strukturen über Jahre pragmatisch gewachsen. Neue Maschinen wurden angeschlossen, Fernwartungszugänge für Lieferanten eingerichtet und Datenschnittstellen für MES, ERP oder Qualitätsmanagement ergänzt. Was kurzfristig die Inbetriebnahme beschleunigt, erzeugt langfristig Abhängigkeiten, die niemand vollständig dokumentiert hat.
Ein flaches Netz macht diese Abhängigkeiten besonders teuer. Ein Vorfall, eine Fehlkonfiguration oder ein infiziertes Endgerät kann sich über Bereiche hinweg ausbreiten. Gleichzeitig fehlt dem Betriebsteam häufig die Sicht darauf, welche Kommunikation tatsächlich erforderlich ist. Die Folge sind zwei ungünstige Extreme: Entweder Regeln bleiben zu offen, oder zu restriktive Änderungen gefährden im laufenden Betrieb Steuerungen, SCADA-Komponenten oder Datenerfassung.
Die wirtschaftliche Wirkung ist konkret. Stillstandskosten entstehen nicht erst beim vollständigen Produktionsausfall. Auch verzögerte Materialbuchungen, fehlende Traceability-Daten, eingeschränkte Fernwartung oder nicht verfügbare Qualitätsprüfungen können Lieferketten und Kundenverpflichtungen belasten. In regulierten Branchen verschärfen Audit-Anforderungen und Nachweispflichten den Druck zusätzlich.
Netzwerksegmentierung in der Industrie: Was sie leisten muss
Eine sinnvolle Segmentierung trennt nicht einfach IP-Adressbereiche. Sie definiert Sicherheitszonen nach Funktion, Kritikalität und Kommunikationsbedarf. Ein Office-Netz, eine DMZ, ein MES-Bereich, Produktionszellen, Engineering-Arbeitsplätze und Sicherheitssteuerungen haben unterschiedliche Schutzanforderungen. Kommunikation zwischen diesen Bereichen wird bewusst erlaubt, überwacht und dokumentiert.
Als Architekturprinzip bieten Zonen und kontrollierte Übergänge – oft als Conduits bezeichnet – eine belastbare Grundlage. Standards wie IEC 62443 geben dafür eine fachliche Orientierung. In der Umsetzung muss das Zielbild jedoch zur realen Werkslandschaft passen. Ein Halbleiterwerk mit hochautomatisierten Anlagen, ein Automotive-Standort mit vielen Lieferantensystemen und ein Maschinenbauwerk mit kleineren Fertigungsinseln benötigen unterschiedliche Segmentierungsgrade.
Entscheidend ist die Frage: Welche Systeme müssen miteinander sprechen, zu welchem Zweck und unter welchen Bedingungen? Ein MES darf beispielsweise Produktionsaufträge an definierte Systeme übertragen. Das bedeutet nicht, dass jedes Endgerät im Unternehmensnetz direkten Zugriff auf Steuerungsnetze benötigt. Ein externer Maschinenlieferant kann zeitlich begrenzten Zugriff auf eine klar abgegrenzte Wartungszone erhalten. Ein permanenter, breit berechtigter VPN-Zugang ist dafür keine angemessene Standardlösung.
Das Zielbild vor der Technik festlegen
Viele Projekte beginnen mit der Auswahl von Firewalls, NAC-Lösungen oder Industrial Switches. Das ist verständlich, führt aber häufig zu kostspieligen Schleifen. Ohne abgestimmtes Zielbild lassen sich technische Komponenten zwar beschaffen, aber Regeln, Betriebsprozesse und Verantwortlichkeiten bleiben offen.
Ein tragfähiges Zielbild beantwortet zuerst vier Fragen: Welche Zonen sind für die Produktion notwendig? Welche Datenflüsse sind geschäftskritisch? Wer darf Änderungen beantragen und freigeben? Wie wird bei Störungen entschieden, wenn Sicherheitsregeln und Produktionsdruck kollidieren?
Dabei sollte die Segmentierung nicht als einmaliger Cutover behandelt werden. In laufenden Werken ist ein schrittweises Vorgehen meist sinnvoller. Zuerst werden Transparenz und dokumentierte Datenflüsse geschaffen. Danach folgen klar abgrenzbare Pilotbereiche, etwa eine Produktionslinie, ein Labor oder eine neue Fertigungszelle. Die Erkenntnisse aus dem Pilot fließen in Standards für weitere Werke und Rollout-Wellen ein.
Diese Reihenfolge reduziert Projektrisiken. Sie verhindert auch, dass ein globales Architekturkonzept lokale Einschränkungen ignoriert, etwa alte PLCs, nicht patchbare Betriebssysteme, proprietäre Maschinenprotokolle oder vertragliche Fernwartungsanforderungen.
Asset- und Kommunikationsanalyse als Startpunkt
Eine belastbare Bestandsaufnahme umfasst mehr als eine CMDB oder einen Switch-Port-Plan. Benötigt wird ein gemeinsames Bild aus IT, OT, Produktion und Engineering: Welche Assets existieren? Welche Abhängigkeiten bestehen zwischen Maschine, HMI, SCADA, Historian, MES und ERP? Welche Kommunikationspfade sind dauerhaft erforderlich und welche nur für Wartung, Updates oder Störungsbehebung?
Passives Monitoring kann helfen, Kommunikationsmuster sichtbar zu machen, ohne Produktionsanlagen aktiv zu scannen. Doch auch diese Daten ersetzen keine fachliche Validierung. Nur Prozessverantwortliche und Automatisierungsteams können zuverlässig bewerten, ob ein erkannter Datenfluss betrieblich notwendig ist oder aus einer überholten Konfiguration stammt.
Regeln nach dem Prinzip der minimalen Berechtigung
Aus der Analyse entstehen Freigaberegeln, die so präzise wie möglich und so betrieblich praktikabel wie nötig sind. Das Prinzip der minimalen Berechtigung ist richtig, darf aber nicht schematisch umgesetzt werden. Eine Produktionslinie mit hoher Verfügbarkeit benötigt gegebenenfalls redundante Pfade oder definierte Ausnahmen. Diese Ausnahmen müssen nachvollziehbar, befristet und regelmäßig überprüft werden.
Besonders kritisch sind Übergänge zwischen Enterprise IT und OT sowie externe Zugänge. Hier gehören starke Authentifizierung, Jump Hosts, zeitlich gesteuerte Berechtigungen und Protokollierung zum Mindeststandard. Zugänge dürfen nicht an einzelnen Personen oder informellen Absprachen hängen. Sie müssen in einen geregelten Betriebsprozess eingebettet sein.
Projektsteuerung entscheidet über den Nutzen
Technisch gute Segmentierungsprojekte können scheitern, wenn die Steuerung nicht zur Komplexität passt. Typische Konflikte entstehen zwischen zentraler Cybersecurity, lokaler Factory IT, Produktionsleitung, Anlagenlieferanten und Netzwerkbetrieb. Jede Gruppe bewertet Risiken anders: Security fokussiert Angriffsflächen, die Produktion Verfügbarkeit, Lieferanten die Servicefähigkeit und das Infrastrukturteam Standardisierung.
Hier braucht das Projekt klare Entscheidungswege. Ein Steering Committee sollte nicht jede Firewall-Regel diskutieren. Es sollte Prioritäten, Risikofreigaben, Budget und Eskalationen steuern. Operative Arbeitsgruppen benötigen dagegen eindeutige Verantwortlichkeiten für Datenflussanalyse, Architektur, Test, Change-Freigabe und Übergabe in den Betrieb.
Ein wirksames Reporting zeigt nicht nur den Fortschritt bei installierten Komponenten. Es macht sichtbar, wie viele kritische Datenflüsse validiert wurden, welche Zonen produktiv sind, welche Ausnahmen offen bleiben und welche Risiken vor dem Go-live akzeptiert wurden. Damit wird Segmentierung von einem Infrastrukturthema zu einem steuerbaren Programm mit belastbaren Entscheidungen.
Typische Fehler und wie Unternehmen sie vermeiden
Vier Muster treten in Industrieprojekten besonders häufig auf:
- Segmentierung ohne Produktionskontext: Netzwerkregeln werden erstellt, ohne dass OT-Experten die Auswirkungen auf Anlagen und Prozesse validieren.
- Zu großer Big-Bang: Mehrere Werke oder Linien werden gleichzeitig umgestellt, obwohl Testverfahren und Rollback-Szenarien noch nicht erprobt sind.
- Unklare Ownership nach dem Go-live: Niemand ist eindeutig für Regelpflege, Ausnahmegenehmigungen und die Aktualisierung der Dokumentation verantwortlich.
- Fernwartung als Sonderfall: Externe Zugänge werden außerhalb der Zielarchitektur behandelt und bleiben damit ein dauerhafter Risikofaktor.
Die Gegenmaßnahme ist keine zusätzliche Dokumentationsschicht um ihrer selbst willen. Unternehmen brauchen eine schlanke, verbindliche Governance: einen Asset Owner je Zone, einen nachvollziehbaren Prozess für Kommunikationsfreigaben, abgestimmte Wartungsfenster und messbare Abnahmekriterien. Dazu gehören technische Tests ebenso wie Produktions- und Rollback-Tests.
Ein realistischer Fahrplan für den Rollout
Ein erster Projektabschnitt sollte innerhalb weniger Wochen Transparenz über Scope, kritische Abhängigkeiten, vorhandene Sicherheitslücken und priorisierte Pilotbereiche schaffen. Darauf folgt die Designphase mit Zonenmodell, Kommunikationsmatrix, Betriebsmodell und Migrationsplanung. Erst wenn diese Grundlagen abgestimmt sind, beginnt die technische Umsetzung im Pilot.
Nach erfolgreicher Pilotierung wird aus Einzelfallwissen ein wiederholbarer Standard. Templates für Datenflussfreigaben, Testprotokolle, Risikoentscheidungen und Übergaben beschleunigen nachfolgende Rollouts. Bei internationalen Programmen braucht dieser Standard bewusst Raum für lokale Abweichungen, etwa aufgrund unterschiedlicher Anlagenhersteller, regulatorischer Anforderungen oder Betriebsmodelle.
Externe Projektleitung und PMO-Unterstützung schaffen hier vor allem Struktur zwischen den beteiligten Teams. Sie koordinieren Abhängigkeiten, sichern Entscheidungen ab, bereiten Management-Reports vor und sorgen dafür, dass Architektur, Lieferantenleistungen und Werksplanung auf einen gemeinsamen Terminplan einzahlen. ITNB unterstützt solche Vorhaben mit dem Blick auf technische Umsetzbarkeit und belastbare Projektgovernance.
Der entscheidende nächste Schritt ist nicht, möglichst schnell neue Firewalls zu bestellen. Er besteht darin, für einen klar abgegrenzten Produktionsbereich Transparenz zu schaffen, Verantwortlichkeiten festzulegen und einen Pilot mit messbaren Abnahmekriterien aufzusetzen. So wird aus Netzwerksegmentierung ein kontrollierter Schutz für Produktion und Geschäftsbetrieb.