Ressourcen › Fernwartung in der Produktion
Fernwartung in der Produktion: Wissen Sie, wer auf Ihren Anlagen war?
Maschinenbauer, Integratoren und Wartungsfirmen greifen aus der Ferne auf Produktionsanlagen zu — das ist normal und meist vertraglich vereinbart. Weniger normal ist, was viele Betriebe bei genauem Hinsehen feststellen: Es existieren mehr Zugänge, als irgendjemand im Haus vollständig kennt. Rund die Hälfte der Sicherheitsvorfälle in Industriesteuerungen geht auf externe Verbindungen und Fernzugriffe zurück. Dieser Artikel erklärt, warum diese Zugänge so schwer zu überblicken sind — und wie man die Frage „wer war auf unseren Anlagen?" beantwortbar macht, ohne in die Produktion einzugreifen.
Veröffentlicht: 25. Juli 2026 · Achim Kraus, AEGYS DATALYTICS · ca. 8 Min. Lesezeit
Das Wichtigste in Kürze
- Rund die Hälfte der Vorfälle in Industriesteuerungen (ICS) geht auf externe Verbindungen und Fernzugriffe zurück (SANS State of ICS/OT Security 2025). Fernwartung ist damit der häufigste einzelne Einfallsweg in die Produktion.
- Fernwartungszugänge entstehen typischerweise außerhalb der IT-Abteilung: Der Maschinenhersteller bringt seine eigene Lösung mit, der Zugang wird bei Inbetriebnahme eingerichtet — und danach selten wieder angeschaut.
- Vertrag und Netzplan beantworten die Frage nicht. Ob, wann und wie ein Zugang tatsächlich genutzt wird, zeigt nur der reale Netzwerkverkehr.
- IEC 62443 fordert kontrollierte, protokollierte und zeitlich begrenzte Fernzugänge — der erste Schritt dorthin ist, überhaupt zu wissen, welche Zugänge existieren und aktiv sind.
- AEGYS Pulse liest den Verkehr passiv mit und macht sichtbar, welche Fernwartungssitzungen tatsächlich laufen — ohne Agent auf der Maschine, ohne Eingriff in die Steuerung, mit Auswertung ausschließlich in Deutschland.
Warum niemand im Haus alle Zugänge kennt
Der einzelne Fernwartungszugang ist selten das Problem. Das Problem ist die Summe — und wie sie entsteht.
Jede Anlage bringt ihre eigene Wartungslogik mit. Der Hersteller der Fräsmaschine nutzt seine Fernwartungslösung, der Integrator der Förderanlage eine andere, der Dienstleister für die Gebäudetechnik eine dritte. Eingerichtet werden diese Zugänge meist bei der Inbetriebnahme — durch den Lieferanten, unter Zeitdruck, damit die Anlage läuft. Die IT-Abteilung ist dabei oft nicht beteiligt, manchmal nicht einmal informiert.
Danach passiert das, was in gewachsenen Netzen immer passiert: Der Zugang bleibt bestehen. Er funktioniert, niemand beschwert sich, also fasst ihn niemand an. Personal wechselt, beim Betrieb und beim Dienstleister. Die Dokumentation — wenn es sie gab — veraltet. Nach einigen Jahren existiert eine Landschaft aus Zugängen, von denen jeder einzelne einmal einen guten Grund hatte, deren Gesamtbild aber niemand mehr hat.
Für einen Angreifer ist genau das attraktiv. Ein Fernwartungszugang führt am gesamten Sicherheitsperimeter vorbei direkt in die Produktion — und er sieht dabei aus wie legitimer Verkehr, denn genau dafür wurde er eingerichtet. Kompromittiert ein Angreifer den Dienstleister oder dessen Zugangsdaten, betritt er das Produktionsnetz durch die Vordertür.
KURZ ERKLÄRT: FERNWARTUNGSZUGANG
Eine dauerhafte oder bei Bedarf aktivierbare Verbindung, über die ein externer Dienstleister — Maschinenhersteller, Integrator, Wartungsfirma — auf Anlagen oder Steuerungen zugreift. Technisch umgesetzt etwa über VPN, herstellerspezifische Cloud-Gateways oder Mobilfunk-Router direkt an der Maschine. Letztere sind besonders heikel: Sie umgehen das Firmennetz vollständig und sind von innen kaum sichtbar.
Wo der Maschinenbau heute steht
| Befund | Quelle |
|---|---|
| Rund die Hälfte der ICS-Vorfälle geht auf externe Verbindungen und Fernzugriffe zurück | SANS State of ICS/OT Security 2025 |
| Weniger als 15 % der Betreiber verfügen über robuste Kontrollen für Fernzugriffe | SANS State of ICS/OT Security 2025 |
| Bei 4 von 5 bewerteten OT-Umgebungen fehlt eine saubere IT/OT-Trennung | Dragos OT Cybersecurity Report 2026 |
| Fast 9 von 10 Industrieunternehmen managen OT-Sicherheit ausschließlich intern | VDMA Studie Industrial Security 2025 |
Die Zahlen ergeben zusammen ein klares Bild: Der häufigste Einfallsweg (Fernzugriff) ist zugleich der am schwächsten kontrollierte — und er trifft auf Umgebungen, in denen die zweite Verteidigungslinie (Segmentierung) meist nicht hält, gemanagt von Teams, die diese Lage neben dem Tagesgeschäft stemmen. Das ist kein Vorwurf an die Betriebe. Es ist die realistische Ausgangslage, von der aus man planen sollte.
„Das ist vertraglich geregelt" — und trotzdem offen
Viele Betriebe halten die Fernwartung für ein gelöstes Thema, weil sie vertraglich geregelt ist: Der Dienstleister darf nur nach Ankündigung zugreifen, nur auf bestimmte Anlagen, nur zu bestimmten Zeiten. Das ist richtig und wichtig. Es beantwortet aber eine andere Frage als die entscheidende.
Der Vertrag regelt, was passieren darf. Er zeigt nicht, was passiert. Ob sich der Dienstleister an die Vereinbarung hält, ob seine Zugangsdaten noch nur bei ihm liegen, ob der Zugang von der vereinbarten Gegenstelle genutzt wird oder plötzlich von woanders — all das steht in keinem Vertrag und in keinem Netzplan. Es steht nur im tatsächlichen Verkehr.
Dazu kommt: Verfügbarkeits-Monitoring, das viele Betriebe einsetzen, beobachtet die falsche Ebene. Es zeigt, ob die Anlage läuft — nicht, wer gerade mit ihr spricht. Eine aktive Fernwartungssitzung zu einem unerwarteten Zeitpunkt sieht für das Verfügbarkeits-Monitoring exakt so aus wie keine: alles grün, die Anlage läuft.
Die drei Fragen, die nur der Verkehr beantwortet
Welche Fernzugänge sind tatsächlich aktiv — auch solche, die in keiner Dokumentation stehen? Wann und von wo wird zugegriffen — und passt das zu dem, was vereinbart wurde? Und: Verhält sich eine Sitzung wie Wartung — oder bewegt sich dort jemand, der die Umgebung erkundet?
Was der Standard fordert — und was der erste Schritt ist
Die internationale Normenreihe IEC 62443 behandelt Fernzugänge als eigenes Risiko: Wartungs- und Lieferantenzugänge sollen über kontrollierte Übergänge laufen, stark authentifiziert, zeitlich begrenzt und protokolliert sein (IEC 62443-3-3). Wie sich OT-Sicherheit insgesamt entlang dieses Standards aufbauen lässt, zeigt der Leitfaden OT-Sicherheit im Maschinenbau.
In der Praxis scheitert die Umsetzung selten an der Technik für kontrollierte Zugänge — Gateways, Jump-Hosts und Zugangslösungen gibt es. Sie scheitert am Schritt davor: an der vollständigen Liste. Man kann nur absichern, was man kennt. Und gerade die Zugänge, die am dringendsten abgesichert gehören, sind die, die in keiner Liste stehen.
Deshalb beginnt die Absicherung der Fernwartung nicht mit einem neuen Werkzeug, sondern mit einer Bestandsaufnahme des tatsächlichen Verkehrs: Welche Verbindungen laufen von außen in Richtung Produktion, über welche Wege, zu welchen Zielen. Erst auf dieser Grundlage lässt sich entscheiden, welche Zugänge bleiben, welche über ein kontrolliertes Gateway laufen sollen und welche schlicht abgeschaltet gehören.
Wie die Sicht entsteht — ohne Agent, ohne Eingriff
AEGYS Pulse wird passiv an das Netzwerk angebunden, typischerweise über einen Spiegel-Port oder Netzwerk-TAP an der Grenze zwischen Büro- und Produktionsnetz. Die Appliance liest eine Kopie des Verkehrs mit — sie sitzt nicht im Datenpfad, verändert nichts an Routing oder Firewall und benötigt keinen Agenten auf Maschinen oder Steuerungen. Für Produktionsumgebungen, in denen kein Eingriff erlaubt ist, ist das der vorgesehene Weg.
Sichtbar wird damit, welche Systeme über die Grenze kommunizieren, in welche Richtung, zu welchen Zielen und zu welchen Zeiten — und welche Anwendungen und Protokolle in diesen Verbindungen laufen. Die Sicht entsteht bewusst an der Grenze, nicht auf der Steuerungsebene selbst: Genau dort, wo Fernwartungsverkehr zwangsläufig vorbeikommt, weil er von außen durch das Firmennetz in Richtung Anlage läuft. Eine Fernwartungssitzung ist darin als das erkennbar, was sie ist: eine Verbindung von außen zu einer Anlage, mit Beginn, Dauer und Gegenstelle. Zugänge, die niemandem bekannt waren, tauchen hier zum ersten Mal auf — nicht als Vermutung, sondern als beobachteter Verkehr. Voraussetzung ist, dass der Anschlusspunkt der Appliance so gewählt ist, dass der relevante Verkehr an ihm vorbeiläuft — die Wahl dieses Punktes ist Teil der Einrichtung.
Als Nebenprodukt der laufenden Sicht entsteht eine täglich aktualisierte Übersicht der im Netzwerk sichtbaren Geräte. Für viele Betriebe ist das die erste belastbare Bestandsaufnahme überhaupt — und zugleich der erste Schritt, den IEC 62443 fordert.
Für die tiefe Analyse industrieller Steuerungsprotokolle auf Anlagenebene lässt sich die Appliance um spezialisierte OT-Sensorik etablierter Hersteller erweitern. Der Einstieg dafür ist derselbe: erst die Sicht auf den Verkehr über die Grenze, dann die Vertiefung dort, wo sie gebraucht wird.
EHRLICHE ABGRENZUNG
AEGYS ist das Auge, nicht die Hand. Die Appliance zeigt, welche Fernzugänge aktiv sind und wie sie genutzt werden — sie stellt keine Fernwartungslösung bereit, ersetzt keine Zugangs- oder Gateway-Lösung und blockiert keinen Verkehr. Die Entscheidung, welche Zugänge bleiben und wie sie kontrolliert werden, bleibt beim Betrieb und seinen dafür vorgesehenen Systemen. AEGYS liefert die unabhängige Sicht darauf, was tatsächlich passiert. Mehr zu AEGYS Pulse.
Wissen Sie, welche Fernzugänge in Ihre Produktion führen?
Der Netzwerk-Check gibt Ihnen in rund zwei Minuten eine erste Einordnung — ohne Verpflichtung, ohne Installation, ohne Eingriff in die Produktion.
In zwei Minuten haben Sie eine erste Einordnung — kein Termin, kein Sales-Call nötig.
Lieber direkt sprechen? Mit dem Team sprechen — 15 Minuten zur Einordnung.
Häufige Fragen zur Fernwartung in der Produktion
Quellen
- SANS State of ICS/OT Security 2025
- Dragos OT Cybersecurity Report 2026
- VDMA Studie Industrial Security 2025 (mit Fraunhofer AISEC)
- IEC 62443-3-3 (Anforderungen an Fernzugänge: kontrolliert, protokolliert, zeitlich begrenzt)