Das Burg-und-Graben-Modell: Wie klassische OT-Cybersicherheit denkt (und versagt)

Wer schon einmal mit einem Cybersicherheits-Ingenieur über den Schutz einer Industrieanlage gesprochen hat, kennt wahrscheinlich den Begriff „Burg-und-Graben-Modell" (castle-and-moat). Es ist eine der ältesten — und nützlichsten — Analogien der Branche, um ohne Fachjargon zu erklären, wie industrielle Netzwerke (OT) traditionell geschützt wurden. Und es ist zugleich die perfekte Analogie, um zu erklären, warum dieser Schutz allein nicht mehr genügt.

Die ursprüngliche Idee: eine große Mauer

Eine mittelalterliche Burg verteidigte sich nach einer einfachen Logik: eine hohe Umfassungsmauer, ein Graben ringsherum, ein einziges bewachtes Tor. Alles innerhalb galt als „vertrauenswürdig", alles außerhalb als feindlich. Hielt die Mauer, war das Innere sicher.

Jahrzehntelang wurden OT-Netzwerke (die Systeme, die SPS, SCADA, Roboter und Produktionslinien steuern) genau nach diesem Prinzip konzipiert:

• Die Mauer ist die Perimeter-Firewall zwischen dem Anlagennetz (OT) und dem Unternehmensnetz (IT).
• Der Graben ist die physische oder logische Trennung, die den direkten Zugriff von außen erschwert.
• Das bewachte Tor ist der einzige Fernzugriffspunkt, meist ein VPN oder ein Jump Server.
• Das Innere der Burg ist das gesamte Anlagennetz: SPS, HMIs, Historians — alles wird, sobald man drin ist, als „vertrauenswürdige Zone" behandelt.

Diese Logik funktionierte einigermaßen gut, solange OT-Netzwerke physisch isoliert waren („air-gapped") und niemand von außen Zugriff brauchte. Das Problem: Diese Annahme stimmt seit über einem Jahrzehnt nicht mehr.

Warum die Ein-Mauer-Burg nicht mehr schützt

Das Ein-Perimeter-Modell hat einen strukturellen Fehler: Wer die Mauer einmal überwunden hat, hat Zugriff auf alles. Und heute gibt es weit mehr Wege, diese Mauer zu überwinden, als zur Zeit ihrer Konzeption:

• Ein externer Dienstleister verbindet sich mit seinem eigenen Laptop, um eine Maschine zu warten — und dieser Laptop ist bereits infiziert.
• Ein Mitarbeiter steckt einen USB-Stick mit einem Firmware-Update ein, das unwissentlich Malware mitbringt.
• Ein VPN für die Fernwartung wurde vor Jahren eingerichtet, und niemand hat es seither überprüft.
• Die IT/OT-Konvergenz (getrieben durch Industrie 4.0, vorausschauende Wartung, Cloud-Dashboards) vervielfacht die Verbindungspunkte zwischen Unternehmensnetz und Anlage.

In all diesen Fällen überwindet der Angreifer die Mauer nicht von außen — er ist bereits im Graben, und das Burg-und-Graben-Modell hat darauf keine Antwort. Aus genau diesem Grund bewegt sich die IT seit Jahren in Richtung „Zero Trust" — nur lässt sich Zero Trust in OT nicht auf dieselbe Weise umsetzen: Eine SPS aus dem Jahr 2008 kann sich nicht mit modernen Zertifikaten authentifizieren, und ein ungeplanter Stillstand durch einen Sicherheitsvorfall kann weit teurer sein als auf einem Büroserver.

Die eigentliche Übersetzung: Zonen und Übergänge (IEC 62443)

Genau hier hört die Analogie auf, eine hübsche Metapher zu sein, und wird zu angewandter Technik. Die Norm IEC 62443 — der Referenzstandard für Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen — schlägt nicht „eine größere Mauer" vor. Sie schlägt viele kleinere Mauern vor, organisiert nach Kritikalität.

In Burg-Begriffen: Statt eines einzigen äußeren Rings gibt es einen Vorhof, eine innere Mauer, einen Bergfried — und jeder Ring hat sein eigenes Tor und sein eigenes Überwachungsniveau. In IEC-62443-Begriffen heißt das Segmentierung in Zonen und Übergänge (Conduits):

• Zonen: Anlagen werden nach Funktion und Kritikalität gruppiert — das Netz einer sicherheitskritischen SPS ist nicht dasselbe wie das eines Etikettendruckers. Jede Zone erhält ihr eigenes Ziel-Sicherheitsniveau (Security Level, SL 1 bis 4).
• Übergänge (Conduits): Jede Kommunikation zwischen Zonen läuft über einen kontrollierten, geprüften Punkt — kein freier Verkehr nur, „weil wir schon in der Burg sind".
• Tiefengestaffelte Verteidigung: Kompromittiert ein Angreifer eine Zone, begrenzt die Segmentierung die seitliche Bewegung in kritischere Zonen — der Vorhof kann fallen, ohne dass der Bergfried mitfällt.

Das beseitigt den Perimeter nicht (die äußere Mauer bleibt notwendig), aber er hört auf, die einzige Verteidigungslinie zu sein. Die Frage lautet nicht mehr „Hält die Mauer?", sondern „Wenn die Mauer fällt — was kann der Angreifer dann wirklich erreichen?"

Was das für ein echtes Audit bedeutet

Wenn wir eine Anlage prüfen, ist die wirklich entscheidende Frage nicht, ob eine Firewall vorhanden ist (das hat fast jeder), sondern:

1. Ist das Anlagennetz nach echten Kritikalitätszonen segmentiert, oder ist es ein einziges flaches Netz mit einer Firewall am Eingang?
2. Gibt es Sichtbarkeit darüber, was zwischen den Zonen kommuniziert, oder wird einfach angenommen, dass „alles Interne vertrauenswürdig ist"?
3. Laufen Fernzugriffe (Dienstleister, Wartung) über einen geprüften Übergang, oder handelt es sich um ein offenes VPN, das seit 2015 läuft?
4. Befinden sich die kritischsten Anlagen — die, die die Produktion stoppen oder Menschen gefährden — in der Zone mit dem höchsten Sicherheitsniveau, oder sind sie mit allem anderen vermischt?

Eine Ein-Mauer-Burg ist günstiger zu bauen. Aber wenn sie fällt, fällt sie vollständig. Eine in Zonen und Übergänge segmentierte Anlage kostet mehr im Design — aber wenn etwas ausfällt, fällt eine Zone aus, nicht die ganze Anlage.

Wer wissen will, wo die eigene Anlage auf diesem Spektrum steht: Genau das bewerten wir in einem IEC-62443-Audit — nicht ob eine Mauer vorhanden ist, sondern wie viele Mauern es gibt und wo sie stehen.