Zero-Trust-Architekturen und Mikrosegmentierung in KRITIS-Netzwerken

1. Die Grenzen des klassischen Perimeter-Schutzes

Klassische Sicherheitsarchitekturen in Industrieanlagen basieren primär auf der Absicherung des Netzwerkperimeters durch Firewalls¹. Sobald ein Angreifer diesen Perimeter überwindet (z. B. via Phishing, Wartungszugänge oder kompromittierte USB-Medien), bewegt er sich im internen Netzwerk lateral und ungehindert fort¹.

2. Zero-Trust-Prinzipien im OT-Umfeld

Das Zero-Trust-Paradigma bricht mit der impliziten Vertrauenswürdigkeit interner Netzsegmente¹. Die Kernmaxime lautet: „Never trust, always verify“¹.

• Identitätsbasierte Verifikation: Jede Kommunikation zwischen Geräten, Diensten und Benutzern erfordert eine kryptografisch abgesicherte Authentisierung.
• Least-Privilege-Zugriff: Zugriffsberechtigungen werden auf das minimal notwendige Maß beschränkt.
• Kontinuierliche Integritätsprüfung: Laufende Überwachung des Systemzustands und der Netzwerkaktivität.

3. Mikrosegmentierung und Level-7-Proxies

Zur technischen Umsetzung von Zero Trust in KRITIS-Umgebungen dienen granulare Segmentierungsstrategien¹:

• Netzwerk-Mikrosegmentierung: Aufteilung des OT-Netzes in isolierte Enklaven (Micro-Perimeter), um laterale Bewegungen (Lateral Movement) technisch zu unterbinden¹.
• Level-7-Proxies (Applikations-Proxies): Nutzung von Protokoll-Gateways auf Anwendungsebene, um industrielle Protokolle (z. B. Modbus TCP, OPC UA, S7comm) zu analysieren, zu filtern und unzulässige Befehle abzuweisen¹.