Defense in Depth ist das Prinzip, dass Sicherheit aus mehreren unabhängigen Schichten entstehen sollte, damit der Ausfall einer einzelnen Schutzmaßnahme nicht zur Kompromittierung führt. Es ist eine alte Idee, und in der OT ist sie nicht optional, denn die Systeme im Zentrum können sich oft überhaupt nicht selbst verteidigen.
Steuerungen ohne Authentifizierung, Geräte, die sich nicht patchen lassen, und Protokolle ohne Verschlüsselung legen nahezu die gesamte Sicherheitslast auf die Schichten ringsum. Dieser Artikel betrachtet, was diese Schichten sind, wie sie zusammenwirken und wo die Reduzierung der Erreichbarkeit unter ihnen einzuordnen ist.
01Wichtigste Erkenntnisse
- 01
Defense in Depth staffelt unabhängige Schutzmaßnahmen, sodass kein einzelner Ausfall zur Kompromittierung führt.
- 02
In der OT ist sie unverzichtbar, weil die Kernsysteme sich häufig nicht selbst schützen können.
- 03
Die Schichten umfassen physische Sicherheit, Netzwerksegmentierung, Zugriffskontrolle, Überwachung und Wiederherstellung.
- 04
Einwegübertragung und Trennung sind mächtige Schichten, weil sie die Erreichbarkeit beseitigen, statt sie nur zu überwachen.
- 05
Wirksame Defense in Depth bedeutet Schichten, die einander tatsächlich absichern, nicht viele Schutzmaßnahmen am selben Punkt.
02Was Defense in Depth in der OT bedeutet
Defense in Depth geht davon aus, dass jede einzelne Schutzmaßnahme ausfallen oder umgangen werden kann, und ordnet mehrere Schichten so an, dass ein Angreifer mehrere davon überwinden muss, um erfolgreich zu sein. Die Stärke entsteht aus der Unabhängigkeit: Jede Schicht sollte abfangen, was die anderen übersehen.
In der OT ist dies weniger eine bewährte Praxis als vielmehr eine Notwendigkeit. Leitfäden wie die empfohlenen Praktiken der CISA und die IEC 62443 sind gerade deshalb um Schichtung herum aufgebaut, weil die Endpunkte, die Steuerungen und Geräte, sich häufig nicht direkt absichern lassen.
Wenn sich das System im Zentrum nicht selbst verteidigen kann, sind die Schichten ringsum die Verteidigung.
03Warum einzelne Schutzmaßnahmen versagen
Sich auf eine einzige Schutzmaßnahme zu verlassen, ist fragil, denn jede Maßnahme hat Fehlermodi. Eine Firewall-Regel driftet, ein Zugangsdatensatz wird gestohlen, ein Sensor verpasst ein Ereignis, ein Patch verzögert sich. Hängt alles von dieser einen Maßnahme ab, ist ihr Ausfall ein Einbruch.
Schichtung verändert die Rechnung. Um eine Steuerung zu erreichen, muss ein Angreifer die Netzwerkgrenze überwinden, und die Segmentierung, und die Zugriffskontrollen, und der Entdeckung entgehen, und so weiter. Jede unabhängige Schicht, die überwunden werden muss, senkt die Wahrscheinlichkeit eines erfolgreichen, unentdeckten Angriffs.
04Die Schichten
- Physisch
- Kontrolle darüber, wer physisch an Geräte, Ports und Datenträger gelangen kann, da physischer Zugriff oft jede Netzwerkmaßnahme umgeht.
- Netzwerksegmentierung
- Aufteilung der Umgebung in Zonen mit kontrollierten Übergängen, damit sich ein Vorfall nicht ungehindert ausbreiten kann.
- Zugriffskontrolle
- Einschränkung, wer und was sich verbinden darf, mit starker Identität und geringstmöglichen Rechten, auch für Lieferanten.
- Überwachung
- Einblick in die Umgebung, um Anomalien zu erkennen, idealerweise ohne neue eingehende Pfade zu schaffen.
- Wiederherstellung
- Geschützte, getestete Backups und Wiederaufbauverfahren, damit der Betrieb wiederhergestellt werden kann, falls eine Schicht durchbrochen wird.
05Wo Einwegübertragung und Trennung einzuordnen sind
Die meisten Schutzmaßnahmen in einem Defense-in-Depth-Aufbau steuern oder überwachen die Konnektivität. Einwegübertragung und zeitbasierte Trennung sind anders und mächtig, weil sie die Konnektivität beseitigen und damit ganze Angriffskategorien eliminieren, statt nach ihnen zu suchen.
Eine Einweggrenze bedeutet, dass ein Angreifer nichts durch sie zurücksenden kann, egal was sonst versagt. Ein standardmäßig getrenntes Segment ist außerhalb seiner Zeitfenster überhaupt nicht erreichbar. Ein AIRGAPNET-Muster für kontrollierte Konnektivität fügt eine solche Schicht hinzu: eine hardwaregestützte Reduzierung der Erreichbarkeit, die auch dann Bestand hat, wenn die umgebenden Software-Kontrollen es nicht tun.
Diese Schichten sind gerade deshalb wertvoll, weil sie im Fehlerfall geschlossen bleiben (fail closed). Wo eine Firewall-Regel versehentlich offen konfiguriert werden kann, bleibt ein entfernter Pfad entfernt.
06Defense in Breadth vermeiden
Ein häufiger Fehler besteht darin, viele Schutzmaßnahmen mit Defense in Depth zu verwechseln. Mehrere Werkzeuge am selben Punkt zu stapeln, die alle dieselbe Grenze auf dieselbe Weise überwachen, ist Breite, nicht Tiefe. Teilen sie eine Schwäche, versagen sie gemeinsam.
Echte Tiefe entsteht aus Schichten, die unabhängig sind und verschiedene Phasen eines Angriffs abdecken. Der Test ist einfach: Wenn diese Schicht versagt, steht dann wirklich eine andere zwischen dem Angreifer und dem Ziel? Vielfalt der Kontrolltypen, physisch, Netzwerk, Zugriff, Überwachung, Wiederherstellung, ist es, was die Tiefe echt macht.
07Abschließender Gedanke
Defense in Depth ist die ehrliche Antwort auf eine harte Wahrheit: In der OT sind die Systeme, die man am dringendsten schützen muss, oft am wenigsten in der Lage, sich selbst zu schützen. Die Lösung ist nicht eine einzelne perfekte Schutzmaßnahme, sondern eine Reihe unabhängiger Schichten, die jeweils davon ausgehen, dass die anderen versagen könnten.
Bauen Sie die Schichten bewusst auf, machen Sie sie unabhängig und binden Sie Maßnahmen ein, die die Erreichbarkeit gänzlich beseitigen, statt sie nur zu überwachen. Die Fragilität des Kerns wird beherrschbar, wenn die Schichten ringsum stark, vielfältig und darauf ausgelegt sind, im Fehlerfall geschlossen zu bleiben.
FAQHäufig gestellte Fragen
Was ist Defense in Depth in der OT?
Defense in Depth ist das Prinzip, mehrere unabhängige Sicherheitsschichten einzusetzen, sodass der Ausfall einer einzelnen Schutzmaßnahme nicht zur Kompromittierung führt. In der OT ist es unverzichtbar, weil die Kernsteuerungen und -geräte sich oft nicht direkt selbst verteidigen können.
Welche Schichten hat Defense in Depth für OT?
Sie umfassen physische Sicherheit, Netzwerksegmentierung, Zugriffskontrolle, Überwachung und Wiederherstellung. Jede Schicht sollte unabhängig sein und eine andere Phase eines Angriffs abdecken, sodass die anderen abfangen, was eine einzelne übersieht.
Warum reicht eine einzelne Sicherheitsmaßnahme für OT nicht aus?
Jede Schutzmaßnahme hat Fehlermodi: Regeln driften, Zugangsdaten werden gestohlen, die Erkennung verpasst Ereignisse, Patches verzögern sich. Hängt alles von einer Maßnahme ab, ist ihr Ausfall ein Einbruch. Schichtung zwingt einen Angreifer, mehrere unabhängige Maßnahmen zu überwinden.
Wo passen Einwegübertragung und Trennung in Defense in Depth?
Sie sind mächtige Schichten, weil sie die Konnektivität beseitigen, statt sie zu überwachen, und damit ganze Angriffskategorien eliminieren. Eine Einweggrenze kann keinen Verkehr zurücktragen, und ein standardmäßig getrenntes Segment ist außerhalb seiner Zeitfenster nicht erreichbar, sodass sie im Fehlerfall geschlossen bleiben.
Was ist der Unterschied zwischen Defense in Depth und Defense in Breadth?
Defense in Breadth stapelt viele Schutzmaßnahmen am selben Punkt, die dieselbe Grenze auf dieselbe Weise überwachen, sodass sie gemeinsam versagen können. Defense in Depth nutzt unabhängige Schichten, die verschiedene Angriffsphasen abdecken, sodass beim Ausfall einer Schicht eine andere weiterhin im Weg steht.
SRCQuellen
Schichten, die im Fehlerfall geschlossen bleiben
Fügen Sie eine Schicht hinzu, die die Erreichbarkeit beseitigt, statt sie zu überwachen.
Ergänzen Sie Segmentierung, Zugriffskontrolle und Überwachung um hardwaregestützte Einweg- oder standardmäßig getrennte Grenzen, die auch dann Bestand haben, wenn Software-Kontrollen versagen.