Industrielles VPN vs. TeamViewer: Warum Tools für Endverbraucher in OT-Umgebungen nicht ausreichen
Bei Projekten im Bereich der industriellen Fernzugriffslösungen taucht diese Frage immer wieder auf: „Warum nutzen wir nicht einfach TeamViewer? Das machen wir doch schon für den IT-Support.“
Die kurze Antwort: OT-Netzwerke sind keine IT-Netzwerke. Die darin laufenden Steuerungen steuern physische Maschinen – ein Fehler bei der Steuerung oder ein unbefugter Zugriff kann industrielle oder sogar menschliche Folgen haben. Die für den allgemeinen Gebrauch bestimmten Tools wurden für einen völlig anderen Kontext entwickelt.
Dieser Artikel geht über eine kurze Antwort hinaus. Er erläutert das tatsächliche Bedrohungsmodell, beschreibt detailliert die Anforderungen der Norm IEC 62443 und stellt die technischen Kriterien zur Bewertung einer industriellen Fernzugriffslösung vor.
1. Das Purdue-Modell und die OT-Vertrauensstufen
Um zu verstehen, warum sich Fernzugriffe im OT-Bereich unterscheiden, muss man das Purdue-Modell (Purdue Enterprise Reference Architecture) kennen, das als internationaler Maßstab für die Segmentierung industrieller Netzwerke gilt.
Niveau 5 : Réseau d'entreprise (ERP, email, bureautique)
─────────────────────────────────────────────
Niveau 4 : Réseau IT de site (serveurs, SGBD, Active Directory)
─────────────────────────────────────────────
Niveau 3 : Réseau supervision (SCADA, MES, historiens)
─────────────────────────────────────────────
Niveau 2 : Réseau contrôle (IHM, ingénierie)
─────────────────────────────────────────────
Niveau 1 : Réseau terrain (automates, variateurs, capteurs)
─────────────────────────────────────────────
Niveau 0 : Process physique (capteurs, actionneurs, moteurs)
Der industrielle Fernzugriff betrifft in der Regel die Ebenen 1 und 2 – die Steuerungen und die Engineering-Tools. Diese Ebenen dürfen niemals ohne Kontrolle direkt von den übergeordneten Ebenen aus zugänglich sein, geschweige denn über das Internet.
Die Segmentierung zwischen den Ebenen ist die erste Verteidigungslinie. Der Fernzugriff durchquert per Definition diese Segmentierung – daher die erhöhten Sicherheitsanforderungen.
2. Die tatsächlichen Risiken eines unkontrollierten Zugriffs auf das OT-Netzwerk
Was in einem industriellen OT-Netzwerk offengelegt wird
Ein typisches OT-Netzwerk umfasst:
- SPSen (S7, M340, CompactLogix), die die Maschinen steuern
- Frequenzumrichter, die die Motoren regeln
- industrielle Bediengeräte zur Überwachung und Parametrierung
- SCADA-Systeme, die den gesamten Prozess überwachen
- Messgeräte (Druck-, Temperatur- und Durchflusssensoren)
Diese Geräte wurden für den zuverlässigen Betrieb in isolierten Umgebungen entwickelt, nicht aber, um Netzwerkangriffen standzuhalten. Das Modbus-Protokoll sieht keine Authentifizierung vor. S7Comm (Siemens) verfügte in der Vergangenheit über keinerlei Verschlüsselung. Profinet, EtherNet/IP – die meisten industriellen Protokolle setzen ein vertrauenswürdiges Netzwerk voraus.
Aufbau eines Angriffs auf einen unsicher konfigurierten OT-Fernzugriff
So verläuft typischerweise ein Angriff auf einen ungesicherten industriellen Fernzugang:
Phase 1 – Erkundung (automatisch, passiv): Ein automatischer Scanner (Shodan, Censys oder ein benutzerdefiniertes Skript) identifiziert die öffentliche IP-Adresse der Anlage und entdeckt einen offenen Port (klassisches VPN auf UDP 1194, Modbus-Port 502, S7Comm-Port 102). Diese Phase erzeugt keine verdächtigen Protokolleinträge und dauert nur wenige Sekunden.
Phase 2 – Ausnutzung des Zugriffs: Wenn das VPN nur durch ein schwaches Passwort geschützt ist (oder wenn die Anmeldedaten durch Phishing gestohlen wurden), verschafft sich der Angreifer Zugang. Handelt es sich um einen direkt exponierten Modbus-Port, kann er ohne jegliche Authentifizierung Daten lesen und schreiben.
Phase 3 – Interne Erkundung: Nachdem sich der Angreifer Zugang verschafft hat, erstellt er eine Übersicht über das OT-Netzwerk: Welche Steuerungen sind zugänglich, welche Variablen können ausgelesen werden, welche Prozessbereiche werden gesteuert?
Phase 4 – Böswillige Handlung: Die Handlungen können unmittelbar erfolgen (Produktionsstillstand, Änderung von Parametern) oder verdeckt (schrittweise Änderung von Sollwerten, um die Produktqualität zu verschlechtern, ohne einen Alarm auszulösen).
Die gefährlichsten Angriffe sind nicht unbedingt die spektakulärsten. Eine Abweichung von ±5 % vom Dosier-Sollwert in einer chemischen oder pharmazeutischen Anlage kann tagelang unentdeckt bleiben – mit potenziell katastrophalen Folgen für die Qualität des Endprodukts.
Dokumentierte Vorfälle
Die ANSSI und die CISA (Cybersecurity and Infrastructure Security Agency, USA) dokumentieren regelmäßig Vorfälle im Zusammenhang mit unzureichend gesicherten industriellen Fernzugriffen:
- TeamViewer auf einem Überwachungsrechner einer Wasseraufbereitungsanlage (Florida, 2021): Ein Angreifer hat über TeamViewer, das auf dem SCADA-System einer Trinkwasseraufbereitungsanlage installiert war, die Dosierwerte für die chemische Aufbereitung verändert. Der Angriff wurde vom Bediener in Echtzeit entdeckt, hätte jedoch unbemerkt bleiben können.
- VPN ohne MFA im Energiesektor: Es gibt mehrere dokumentierte Vorfälle, bei denen gestohlene VPN-Zugangsdaten den Zugriff auf regionale Stromnetze in Europa ermöglichten.
- Modbus-Portweiterleitung: Sicherheitsforscher haben wiederholt gezeigt, dass sie in der Lage sind, Parameter von industriellen Steuerungen zu ändern, auf die direkt über das Internet zugegriffen werden kann.
3. Offene Ports vs. ausgehender Tunnel: Der grundlegende Unterschied
Architektur mit „offenem Eingangsport“
[Internet] ──→ [Pare-feu usine : port ouvert] ──→ [Réseau OT] ──→ [Automate]
Dieses Modell stellt einen Zugangspunkt zum Internet bereit. Unabhängig davon, ob es sich um einen VPN-Port (UDP 1194 für OpenVPN, UDP 500/4500 für IPsec) oder einen Anwendungsport (502, 102, 443) handelt, wird dieser Port ständig überwacht.
Lebenszyklus eines exponierten Ports:
- Öffnung des Ports → Erfassung durch Shodan innerhalb von 24–48 Stunden
- Erste Scan-Versuche → einige Tage nach der Offenlegung
- Automatisierte Ausnutzungsversuche → sobald eine bekannte Signatur identifiziert wird
- Gezielte Ausnutzung → wenn die Installation als kritisch oder interessant eingestuft wird
Architektur „nur ausgehender Tunnel“
[Réseau OT] ──→ [Gateway : connexion sortante] ──→ [Cloud] ←── [Opérateur]
Was sich grundlegend ändert:
- Die Verbindung wird von innen initiiert – genau wie bei einem Webbrowser
- Aus Sicht der Werks-Firewall: ausgehender HTTPS-Datenverkehr zu einer bekannten IP-Adresse
- Es müssen keine eingehenden Ports geöffnet und keine Firewall-Regeln geändert werden
- Keine exponierten Ports = keine Angriffsfläche für Netzwerkangriffe auf Seiten der Fabrik
Sollte die Eziwan-Cloud-Infrastruktur kompromittiert werden (hypothetisches Szenario), könnte ein Angreifer nicht weiter ins Werksnetzwerk vordringen – die Verbindung ist hinsichtlich der Initiierung unidirektional.
Warum TeamViewer nicht „so sicher“ ist wie OpenVPN
TeamViewer nutzt zwar einen Cloud-Relay (keine direkte Verbindung des Angreifers zur Fabrik), doch die strukturellen Probleme sind andere:
| Problem | Erklärung |
|---|---|
| Infrastruktur von Drittanbietern | Die Sitzungen laufen über TeamViewer-Server. Wenn TeamViewer kompromittiert wird (wie im Jahr 2016), sind auch Ihre Sitzungen gefährdet. |
| Nachverfolgbarkeit abhängig vom Abonnement | Vollständige Protokolle sind nur bei Premium-Abonnements verfügbar. In der kostenlosen Version gibt es keine exportierbaren Protokolle. |
| Ungeeignetes Authentifizierungsmodell | Ein per E-Mail übermittelter 9-stelliger Code stellt keine starke Authentifizierung dar. |
| Keine OT-Isolierung | TeamViewer gewährt Zugriff auf den Windows-Rechner, auf dem es ausgeführt wird – und von diesem Rechner aus potenziell auf das gesamte OT-Netzwerk. |
4. Was die Norm IEC 62443 und die ANSSI dazu sagen
IEC 62443 – die Referenznorm
Die Norm IEC 62443 legt die Anforderungen an die Cybersicherheit für industrielle Systeme fest. Für den Fernzugriff schreibt die Sicherheitsstufe 2 (SL2) – die für die meisten Industrieanlagen empfohlene Stufe – Folgendes vor:
SR 1.1 – Identifizierung und Authentifizierung von Personen: Jeder Benutzer, der auf das System zugreift, muss individuell identifiziert und authentifiziert werden. Gemeinsame Konten (ein einziges „Wartungs“-Konto für das gesamte Team) sind ausdrücklich ausgeschlossen.
SR 1.7 – Erhöhte Authentifizierung (Enhancement SL2): Für den Fernzugriff auf SL2-Ebene ist eine Zwei-Faktor-Authentifizierung (MFA) erforderlich. Ein Passwort allein reicht nicht aus.
SR 2.6 – Zugriff über unzuverlässige Netzwerke: Jeder Zugriff vom Internet auf das OT-Netzwerk muss verschlüsselt, authentifiziert und protokolliert werden. Diese Anforderung entspricht normativ der Kombination aus ausgehendem Tunnel + MFA + Audit-Protokollen.
SR 6.2 – Kontinuierliche Überwachung: Fernzugriffe müssen kontinuierlich protokolliert werden – wer sich wann, von welcher Adresse aus und für wie lange angemeldet hat.
Empfehlungen der ANSSI
Die ANSSI veröffentlicht spezifische Leitfäden für industrielle Systeme. Ihre fünf Grundsätze für den industriellen Fernzugriff lauten:
- Trennung: Fernzugriffe dürfen nicht direkt über das OT-Netzwerk erfolgen – sie müssen über eine industrielle DMZ geleitet werden
- Starke Authentifizierung: MFA ist für jeden Fernzugriff auf Geräte der Ebene 1 oder 2 obligatorisch
- Verschlüsselung: Die gesamte Fernkommunikation muss mit aktuellen Verschlüsselungsalgorithmen verschlüsselt werden
- Protokollierung: Vollständige, exportierbare und mit Zeitstempel versehene Protokolle, die mindestens 3 Monate lang aufbewahrt werden
- Prinzip der geringsten Berechtigungen: Jeder Techniker hat nur Zugriff auf die Geräte in seinem Zuständigkeitsbereich
Die ANSSI veröffentlicht diese Empfehlungen in ihrem Leitfaden „Bewältigung digitaler Risiken im Zusammenhang mit industriellen Systemen“, der kostenlos unter ssi.gouv.fr heruntergeladen werden kann. Die Lektüre dieses Leitfadens wird allen Verantwortlichen für die industrielle Instandhaltung empfohlen.
5. OpenVPN vs. IPSec vs. L2TP im industriellen Umfeld
Nicht alle VPNs sind gleich gut geeignet für auf ARM-CPUs integrierte Gateways mit Einschränkungen hinsichtlich der Wiederverbindungsfähigkeit und des Speichers.
Detaillierte Vergleichsanalyse
| Kriterium | OpenVPN | IPSec (IKEv2) | L2TP / PPTP |
|---|---|---|---|
| Transport | UDP oder TCP 443 | UDP 500/4500 (ESP/IKE) | UDP 1701 / TCP 1723 |
| Firewall-/NAT-Durchquerung | Hervorragend (TCP 443 kommt überall durch) | Durchschnittlich (NAT-T erforderlich) | Variabel |
| Wiederverbindung nach 4G-Unterbrechung | Schnell (persist-tun, ~2–5 s) | Hervorragend (MOBIKE, nahezu transparent) | Langsam (15–60 s) |
| Kryptografische Primitive | TLS, AES-256-GCM | AES-256, SHA-2 (IKEv2) | Schwach (PPTP/MS-CHAPv2 nicht empfohlen) |
| Authentifizierung | X.509-Zertifikat pro Client | PSK oder X.509-Zertifikate | Benutzername / Passwort |
| CPU-Auslastung (ARM Cortex-A) | Mäßig | Gering (Hardwarebeschleunigung möglich) | Gering |
| Reife / Zertifizierungen | Umfassend geprüft, weit verbreitet | FIPS 140-2-zertifiziert | Veraltet (PPTP sollte vermieden werden) |
OpenVPN: Eziwans Standardwahl für integrierte Gateways
Der entscheidende Punkt für den Industriekunden: die Durchquerung von Firewalls und die Wiederherstellung der Verbindung nach einem 4G-Ausfall. OpenVPN kapseln den Tunnel in TLS auf dem TCP-Port 443 – dem gleichen wie bei HTTPS –, wodurch er dort durchgelassen wird, wo andere Protokolle blockiert werden (Firewall des Netzbetreibers, Unternehmensproxy). In Kombination mit persist-tun wird der Tunnel nach einem Dual-SIM-Wechsel innerhalb weniger Sekunden wiederhergestellt, ohne dass eine vollständige Neuverhandlung erforderlich ist.
Jeder Techniker verfügt über ein eigenes X.509-Zertifikat, das über das Cloud-Dashboard individuell widerrufen werden kann – eine wichtige Anforderung für die Rückverfolgbarkeit gemäß NIS2.
IPSec (IKEv2) für Umgebungen, in denen dies erforderlich ist
IPSec ist nach wie vor der Standard in Unternehmen und in regulierten industriellen Umgebungen, in denen FIPS 140-2-zertifizierte Protokolle vorgeschrieben sind. Sein MOBIKE-Mechanismus verwaltet den Wechsel der IP-Adresse nahezu transparent – besonders geeignet für Dual-SIM-Failover. Die Konfiguration ist zwar komplexer (PKI, X.509-Zertifikate, SA-Richtlinien), bietet jedoch maximale Interoperabilität mit bestehenden Netzwerkgeräten. Das Eziwan Gateway unterstützt zudem L2TP, PPTP und GRE für Fälle von Interoperabilität mit älteren Systemen.
6. Wie Eziwan das „Zero-Port-Exposed“-Konzept umsetzt
Die Eziwan-Architektur wendet die oben genannten Prinzipien systematisch an:
Verbindungsarchitektur
- Das Gateway im Werk initiiert die OpenVPN-Verbindung zur Eziwan-Cloud-Infrastruktur über UDP 1194
- Die Verbindung wird durch X.509-Zertifikate authentifiziert, die bei der Bereitstellung generiert wurden
- Im Werksnetzwerk ist kein eingehender Port geöffnet
- Der Betreiberzugang erfolgt über die Eziwan-Cloud mit integrierter MFA (TOTP oder Push-Benachrichtigung)
- Jede Sitzung wird protokolliert: Benutzer, Zeitstempel, Dauer, durchgeführte Aktionen
Migrationsprozess von TeamViewer
Wenn Sie TeamViewer derzeit auf industriellen Überwachungsrechnern einsetzen, finden Sie hier einen schrittweisen Migrationsprozess:
Phase 1 – Parallele Einführung (Wochen 1–4):
- Installation der Eziwan-Gateways an 5 bis 10 Pilotstandorten
- TeamViewer während der Validierungsphase parallel aktiv lassen
- Schulung der Teams in der Nutzung des Eziwan-VPN-Clients und des Dashboards
Phase 2 – Schrittweise Umstellung (Wochen 5–8):
- TeamViewer an den Pilotstandorten nach der Validierung deaktivieren
- An den verbleibenden Standorten in Wellen von jeweils 10–20 Standorten einführen
- Sicherstellen, dass die Eziwan-Auditprotokolle den Anforderungen der Teams entsprechen
Phase 3 – Deinstallation und Bereinigung (ab Woche 9):
- TeamViewer von allen Überwachungsrechnern deinstallieren
- TeamViewer-Lizenzen widerrufen
- Alte TeamViewer-Protokolle bei Bedarf aus Compliance-Gründen archivieren
Checkliste für die Validierung nach der Bereitstellung
Überprüfen Sie nach der Bereitstellung von Eziwan die folgenden Punkte:
- Keine offenen eingehenden TCP/UDP-Ports in der Werks-Firewall (Scan aus dem Internet)
- MFA für alle Fernzugriffskonten aktiviert
- Für jeden Techniker wurden eigene Konten angelegt (keine gemeinsam genutzten Konten)
- Zugriffsrechte nach Zuständigkeitsbereich überprüft (Techniker X sieht nur seine Standorte)
- Test einer SMS-/E-Mail-Benachrichtigung zur Überprüfung des Benachrichtigungskanals
- Export der getesteten Audit-Protokolle (für zukünftige Audits)
- Verfahren zur Zugriffsentziehung dokumentiert und getestet
Abschließende Vergleichstabelle
| Kriterium | TeamViewer / AnyDesk | Klassisches VPN (Site-to-Site) | Eziwan |
|---|---|---|---|
| Offene eingehende Ports | Nein (Cloud-Relay eines Drittanbieters) | Ja | Nein |
| Nachverfolgbarkeit der Sitzungen | Teilweise (Abonnement) | Hängt von der Hardware ab | Vollständig + Export |
| Konformität mit IEC 62443 SL2 | ✗ | Teilweise | ✓ |
| Konformität mit ANSSI-Empfehlungen | ✗ | Teilweise | ✓ |
| Integrierte MFA-Authentifizierung | Optional | Optional | Integriert |
| Netzwerkintervention vor Ort | Nein | Ja | Nein |
| Vollständige OT-Isolierung | ✗ | Teilweise | ✓ |
| Exportierbare Audit-Protokolle | Premium-Abonnement | Je nach Gerät | Standard |
| Wiederverbindung nach 4G-Unterbrechung | 30–60 s | 5–30 s | < 2 s (OpenVPN) |
| Bereitstellung ohne Netzwerkkenntnisse | Ja | Nein | Ja (ZTP) |
Informationen zur konkreten Umsetzung auf einer Siemens S7-Steuerung finden Sie unter So stellen Sie eine Fernverbindung zu einer S7 her, ohne einen Port zu öffnen. Ausführliche Informationen zu den Anforderungen der IEC 62443 finden Sie unter IEC 62443 und industrieller Fernzugriff.
FAQ – Industrielles VPN vs. TeamViewer
Reicht TeamViewer nicht aus, wenn man nur auf einen Überwachungsrechner zugreift und nicht direkt auf die SPS?
Nicht unbedingt. Die Überwachungsstation hat in der Regel über die SCADA-Software Zugriff auf das Level-1-Netzwerk (SPSen). Eine Kompromittierung der Station – sei es über TeamViewer oder eine andere Sicherheitslücke – ermöglicht indirekt den Zugriff auf die SPSen. Die OT-Isolierung muss auf Netzwerkebene und nicht auf Anwendungsebene konzipiert werden.
Ist WireGuard eine brauchbare Alternative zu OpenVPN für industrielle Gateways?
WireGuard bietet eine höhere Leistung und eine kleinere (besser geprüfte) Codebasis, hat jedoch eine Einschränkung: Es läuft ausschließlich über UDP, ohne TCP-Option. In Netzwerken, in denen UDP gefiltert wird (bei einigen Mobilfunkanbietern, Unternehmens-Proxys), kann WireGuard versagen, während OpenVPN über TCP 443 funktionieren würde. Für industrielle 4G-Gateways mit potenziell unzuverlässigen Verbindungen bleibt OpenVPN die universellste Wahl.
Kann man statt Eziwan eine bereits im Unternehmen vorhandene IPsec-VPN-Lösung nutzen?
Ja, sofern die bestehende Lösung die Kriterien der IEC 62443 SL2 erfüllt (namensgebundene Konten, MFA, exportierbare Protokolle, Prinzip der geringsten Berechtigung). Das immer wiederkehrende Problem bei Site-to-Site-VPNs von Unternehmen, die im OT eingesetzt werden, ist die fehlende Granularität: Das VPN gewährt Zugriff auf ein ganzes Netzwerksegment statt auf ein bestimmtes Gerät. Eziwan kann eine Unternehmens-VPN-Lösung ergänzen, indem es Granularität und Audit-Protokolle hinzufügt.
Führt die ANSSI eine Liste mit für den öffentlichen Dienst zugelassenen Fernzugriffslösungen?
Die ANSSI veröffentlicht keine Liste „zugelassener“ Lösungen, sondern Bewertungskriterien. Für OIV und OSE können qualifizierte PRIS-Anbieter (Anbieter von Reaktionsdiensten bei Sicherheitsvorfällen) eine formelle Bewertung durchführen. Die ANSSI-Kriterien stehen im Einklang mit den in diesem Artikel beschriebenen Anforderungen der Norm IEC 62443 SL2.
Wie lange dauert die Umstellung von TeamViewer auf eine industrielle VPN-Lösung?
Bei weniger als 20 Standorten kann die Migration innerhalb von 2 bis 4 Wochen erfolgen: parallele Bereitstellung, Schulung der Teams, schrittweise Umstellung. Der kritische Punkt ist die Schulung der Techniker im Umgang mit dem VPN-Client – planen Sie 1 bis 2 Stunden pro Person ein. Der Ablauf wird in Abschnitt 6 dieses Artikels detailliert beschrieben.
👉 Nächster Schritt
Nutzt Ihr Unternehmen derzeit TeamViewer oder einen herkömmlichen VPN-Zugang in einem OT-Netzwerk?
Whitepaper zur OT-Cybersicherheit herunterladen →
Das Dokument beschreibt die empfohlene Zielarchitektur, das Vorgehen bei der Migration von einer bestehenden Lösung sowie die Bewertungskriterien für eine Lösung gemäß IEC 62443.
