Fernwartung in der OT ist unverzichtbar – und zugleich das am häufigsten unterschätzte Einfallstor. Der BSI-Baustein IND.3.2 „Fernwartung im industriellen Umfeld“ beschreibt, wie sie abzusichern ist: zentral gesteuert, stark authentifiziert, beaufsichtigt und lückenlos protokolliert. Für Betreiber von Anlagen, Steuerungen und Leitsystemen ist die Frage selten das Ob, sondern das Wie – und mit welcher Lösung sich der Großteil der Anforderungen ohne Umbau der Anlagentechnik erfüllen lässt.

Dieser Artikel fasst zusammen, was IND.3.2 in vier Clustern verlangt, und zeigt, welche Anforderungen eine Remote-PAM-Plattform wie VISULOX technisch direkt abdeckt – und welche organisatorisch beim Betreiber bleiben.

Warum Fernwartung das kritischste Einfallstor in der OT istt

Die OT eines Betreibers ist typischerweise dezentral: Anlagen an verschiedenen Standorten, Komponenten zahlreicher Hersteller, viele davon nicht patchbar oder mit langen Lebenszyklen. Daraus folgt eine Vielzahl an Fernwartungszugängen – oft herstellerseitig vorinstalliert, dauerhaft offen und dem Betreiber nicht einmal vollständig bekannt. Das BSI bezeichnet die Verwaltung dieser Zugänge im industriellen Umfeld ausdrücklich als unübersichtlich und fehleranfällig.

Ein klassischer VPN- oder Hersteller-Tunnel authentifiziert eine Verbindung, kein Handeln. Wer drin ist, erreicht häufig ein ganzes Netzsegment statt genau einer Maschine; Zugänge bleiben jahrelang bestehen; und Protokolle zeigen, dass sich jemand verbunden hat – nicht, was er an der Steuerung getan hat. In der OT geht es dabei nicht nur um Daten, sondern um Verfügbarkeit und physische Sicherheit. Wie sich Fernzugriffe stattdessen auf identitäts- und sitzungsbasierte Freigaben umstellen lassen, zeigt unser Leitfaden „VPN raus, Kontrolle rein“.

Was IND.3.2 verlangt – der Standard in vier Clustern

IND.3.2 beginnt mit einer organisatorischen Pflicht (Anforderung A1: ein einheitliches, zentrales Fernwartungskonzept für die gesamte OT) und konkretisiert sie über technische und organisatorische Anforderungen. Diese lassen sich in vier Cluster bündeln.

1. Architektur

Eine einheitliche, zentral administrierte Lösung. Kritische Komponenten gehören in eine DMZ oder hinter eine Jump-Station, ohne direkte Verbindung ins OT-Netz. Freigegeben werden nur einzelne Zielsysteme (IP und Port) statt ganzer Subnetze; der Verbindungsaufbau erfolgt kontrolliert und wird intern manuell freigegeben.

2. Sichere Kommunikation

Ausschließlich etablierte Protokolle – IPsec, SSH, TLS – mit hinreichend starken kryptografischen Verfahren nach BSI TR-02102. Die Stärke der Verschlüsselungsparameter soll anpassbar sein.

3. Authentisierung

Ein eigener Account je Person statt Gruppen-Accounts, starke Authentisierung (2FA/MFA), sichere Passwörter sowie Mechanismen zur Angriffserkennung und gegen wiederholtes Durchprobieren.

4. Organisation & Nachweis

Risikoanalyse, Minimalitätsprinzip, geregelte Prozesse zum Anlegen, Freigeben und Sperren, Inventarisierung aller Zugänge, Zeitfenster, ausführliche Protokollierung mit Zeitstempel und Alerting – sowie die Möglichkeit, dass das Anlagenpersonal eine Sitzung beaufsichtigt und bei Bedarf abbricht. Über alle drei Schutzbedarfsstufen hinweg gilt: Jede Sitzung muss begrenzt, kontrolliert und belegbar sein, bei erhöhtem Schutzbedarf bis zur inhaltlichen Aufzeichnung.

Vom Standard zur Praxis: was eine Plattform direkt abdeckt

IND.3.2 mischt Technik und Organisation. Genau hier setzt eine Remote-PAM-Kontrollschicht an: Sie legt sich als zentraler Zugangspunkt über die bestehende Infrastruktur und führt jeden Fernzugriff – intern wie durch Hersteller – als persönlich freigegebene, aufgezeichnete Sitzung.

Auf den technischen Kern von IND.3.2 zahlt das direkt ein: Zugriff auf genau ein freigegebenes Zielsystem statt auf ein Netzsegment, MFA und Anbindung an zentrale Identitäten per SAML/OAuth, Just-in-Time-Freigaben mit automatischem Ablauf, Vier-Augen-Prinzip mit Live-Mitschau und sofortigem Sitzungsabbruch, ein Credential-Vault, der Anlagen-Zugangsdaten nie offenlegt, sowie eine revisionssichere Sitzungsaufzeichnung, die per OCR- und Eingabe-Suche bis auf Bildschirminhalte durchsuchbar ist. Damit wird der Nachweis zum Nebenprodukt jeder Sitzung. Wie der kontrollierte externe Zugriff konkret abläuft, zeigt die Produktübersicht.

Welche IND.3.2-Anforderung VISULOX direkt abdeckt, welche es unterstützt und welche beim Betreiber bleibt, listet unser Whitepaper mit der vollständigen Abdeckungsmatrix Zeile für Zeile auf.

Wo der Standard beim Betreiber bleibt

Ehrlichkeit schafft Glaubwürdigkeit: Ein Werkzeug erfüllt keine Norm – es liefert Kontrollen und Nachweise. Das Fernwartungskonzept (A1), die Risikoanalyse, das Aufspüren versteckter herstellerseitiger Zugänge, die Netzsegmentierung sowie vertragliche Vorgaben für Dienstleister bleiben Aufgabe des Betreibers. Eine Plattform liefert dafür die technische Grundlage und die Belege – und genau diese Arbeitsteilung erwartet auch ein Prüfer.

Ausblick: Grundschutz++ ab 2026

Der IT-Grundschutz wird derzeit grundlegend reformiert. Mit Grundschutz++ stellt das BSI das Kompendium auf ein digitales, maschinenlesbares und verschlanktes Regelwerk um; es ist seit Ende September 2025 öffentlich zugänglich und wird ab 2026 wirksam. Die bisherige Edition inklusive IND.3.2 bleibt in einer mehrjährigen Übergangsphase gültig. Die Form der Anforderungen ändert sich, die Schutzziele bleiben – Zugriffe begrenzen, Identität sichern, Tätigkeiten überwachen, Dienstleister einbeziehen, Nachweise vorhalten. Eine kontroll- und nachweisorientierte Plattform trägt damit über den Standardwechsel hinweg – und bedient zugleich NIS-2, DORA und KRITIS mit derselben Logik.

IND.3.2 verlangt für die Fernwartung in der OT mehr als eine verschlüsselte Verbindung: zentrale Steuerung, starke Authentisierung, Beaufsichtigung und lückenlosen Nachweis. Eine Remote-PAM-Plattform wie VISULOX deckt diesen technischen Kern direkt ab und erzeugt die Belege als Nebenprodukt jeder Sitzung – Konzept, Risikoanalyse und Verträge bleiben Betreiberpflicht. Wer das sauber trennt, erfüllt den Standard nachweisbar und ist auch für Grundschutz++ gerüstet. Die komplette Abdeckungsmatrix finden Sie in unserem Whitepaper. (Dieser Beitrag ersetzt keine Rechts- oder Zertifizierungsberatung.)