Das Purdue-Modell ist die am weitesten verbreitete Referenz für das Verständnis industrieller Netzwerkarchitekturen. Es gliedert eine Anlage in Ebenen, vom physischen Prozess ganz unten bis hin zur Unternehmens-IT ganz oben, und gibt den Teams ein gemeinsames Vokabular dafür, wo Systeme angesiedelt sind und wie sie miteinander verbunden sein sollten.
Dieser Artikel erklärt die Ebenen in verständlichen Worten, konzentriert sich auf die IT/OT-Grenze, an der die meisten Sicherheitsentscheidungen fallen, und benennt ehrlich, wo das Modell unter modernen, cloud-vernetzten Betriebsabläufen an seine Grenzen stößt.
01Wichtigste Erkenntnisse
- 01
Das Purdue-Modell gliedert industrielle Systeme in Ebenen, vom physischen Prozess bis hinauf zur Unternehmens-IT.
- 02
Die IT/OT-Grenze, oft als DMZ auf Ebene 3.5 umgesetzt, ist der Ort, an dem die wichtigsten Sicherheitskontrollen angesiedelt sind.
- 03
Das Modell lässt sich naturgemäß auf die Zonen und Conduits der IEC 62443 abbilden und gibt der Segmentierung Struktur.
- 04
Moderne Vernetzung, Cloud-Analytik und Fernzugriff belasten die strikte Hierarchie und erfordern bewusste Grenzkontrollen.
- 05
Als Landkarte statt als Vorschrift verstanden, weist das Modell nach wie vor den Weg, wo Erreichbarkeit reduziert und Richtung durchgesetzt werden sollte.
02Was das Purdue-Modell ist
Das Purdue-Modell, abgeleitet von der Purdue Enterprise Reference Architecture, unterteilt eine industrielle Umgebung in funktionale Ebenen. Jede Ebene steht für eine Schicht des Betriebs, von den Sensoren und Aktoren, die den physischen Prozess berühren, bis hin zu den Geschäftssystemen, die das Unternehmen steuern.
Sein Wert liegt im gemeinsamen Verständnis. Wenn alle sich einig sind, welcher Ebene ein System angehört, werden Gespräche über Segmentierung, Datenflüsse und Risiken konkret statt abstrakt.
Das Purdue-Modell ist eine Landkarte der Anlage: Es sagt, wo Systeme hingehören und mit welchen Nachbarn sie sprechen sollten.
03Die Ebenen 0 bis 5
- Ebene 0 - Prozess
- Die physischen Anlagen: Sensoren, Aktoren und der Prozess selbst.
- Ebene 1 - Grundsteuerung
- Steuerungen wie SPS und RTU, die den Prozess direkt ansteuern.
- Ebene 2 - Bereichsüberwachung
- SCADA, HMIs und Leitsysteme, mit denen Bediener einen Bereich betreiben.
- Ebene 3 - Standortbetrieb
- Systeme zur Fertigungssteuerung, Historians und standortweites Produktionsmanagement.
- Ebene 3.5 - IT/OT-DMZ
- Die demilitarisierte Zone, die den Datenverkehr zwischen OT und IT vermittelt und in der Daten ausgetauscht werden, ohne direkte Verbindungen über die Grenze hinweg.
- Ebenen 4-5 - Unternehmen
- Geschäftslogistik und Unternehmens-IT, einschließlich ERP, E-Mail und das umfassendere Unternehmensnetzwerk.
04Die IT/OT-DMZ auf Ebene 3.5
Die wichtigste Sicherheitsidee des Modells ist, dass OT und IT nicht direkt verbunden sein sollten. Stattdessen treffen sie in einer DMZ auf Ebene 3.5 zusammen, wo zwischengeschaltete Systeme Daten vermitteln, sodass kein Host auf der einen Seite direkt zur anderen durchgreift.
Hier sind typischerweise Datendioden, unidirektionale Gateways und vermittelnde Dienste angesiedelt. Die DMZ ist die folgenreichste Grenze in einem industriellen Netzwerk, denn sie ist der Weg, den ein Angreifer auf der Unternehmensseite überwinden muss, um zum Betrieb zu gelangen.
05Wie es sich auf IEC-62443-Zonen abbilden lässt
Die Purdue-Ebenen lassen sich sauber in Zonen und Conduits der IEC 62443 übersetzen. Ebenen werden zu Zonen, die nach Vertrauensniveau und Auswirkung gruppiert sind, und die Verbindungen zwischen ihnen werden zu Conduits, die bewusst kontrolliert werden müssen.
Beide zusammen einzusetzen ist wirkungsvoll: Das Purdue-Modell sagt Ihnen, wo Systeme sitzen, und das Zonen-und-Conduit-Modell sagt Ihnen, wie Sie die Grenzen zwischen ihnen durchsetzen. Das eine liefert die Landkarte, das andere die Kontrolldisziplin.
06Wo das Modell an seine Grenzen stößt
Die strikte Hierarchie geht davon aus, dass Daten sich Ebene für Ebene bewegen. Moderne Betriebsabläufe durchbrechen diese Annahme: Cloud-Analytik will Daten direkt von Ebene 3, externe Dienstleister wollen Zugang tief in die Anlage, und IIoT-Geräte kommunizieren von niedrigen Ebenen aus mit dem Internet.
- Cloud-Anbindung, die den geordneten Aufstieg durch jede Ebene umgeht.
- Fern- und Dienstleisterzugriff, der für Support tief in die OT reicht.
- IIoT-Sensoren, die nach außen kommunizieren, ohne die Hierarchie zu beachten.
- Flache Netzwerke, in denen die Ebenen auf dem Papier bestehen, aber nicht in der Verkabelung.
Diese Belastungen machen das Modell nicht nutzlos; sie machen seine Grenzen wichtiger. Die Frage lautet nun, wie man die neuen Datenflüsse zulässt, ohne die Trennung aufzulösen, die das Modell schützen sollte.
07Kontrollen je Ebene anwenden
Das Modell ist am nützlichsten, wenn es Entscheidungen über Erreichbarkeit steuert. Jede Grenze zwischen Ebenen ist ein Ort, an dem zu fragen ist, was sie überschreiten muss, in welche Richtung und wie oft.
Für Grenzen, die einseitig oder nur zeitweise verbunden sein sollten, kann ein AIRGAPNET-Muster für kontrollierte Konnektivität die vom Modell beabsichtigte Trennung durchsetzen, indem es Daten nach oben fließen lässt und zugleich den Rückgriff nach unten verhindert. Das Modell benennt die Grenze; die Kontrolle macht sie real.
08Abschließender Gedanke
Das Purdue-Modell hat Bestand, weil es Industrieteams eine gemeinsame Landkarte gibt. Selbst wenn Cloud und Fernzugriff das Bild verkomplizieren, sagen die Ebenen Ihnen weiterhin, wo die folgenreichen Grenzen liegen und welche Trennung Sie zu bewahren versuchen.
Behandeln Sie es als Leitfaden, nicht als Käfig. Nutzen Sie die Ebenen, um Ihre Grenzen zu verorten, bilden Sie sie auf Zonen und Conduits ab und setzen Sie die wichtigsten durch, insbesondere die IT/OT-DMZ, mit Kontrollen, die zum Datenfluss passen.
FAQHäufig gestellte Fragen
Was ist das Purdue-Modell?
Das Purdue-Modell ist eine Referenzarchitektur, die eine industrielle Umgebung in funktionale Ebenen gliedert, vom physischen Prozess auf Ebene 0 bis hinauf zur Unternehmens-IT auf den Ebenen 4 und 5. Es gibt OT-Teams ein gemeinsames Vokabular dafür, wo Systeme angesiedelt sind und wie sie verbunden werden.
Was sind die Ebenen des Purdue-Modells?
Ebene 0 ist der physische Prozess, Ebene 1 die Grundsteuerung wie SPS, Ebene 2 die Bereichsüberwachung wie SCADA und HMIs, Ebene 3 der Standortbetrieb und Historians, Ebene 3.5 die IT/OT-DMZ, und die Ebenen 4 und 5 die Unternehmens- und Konzern-IT.
Was ist die IT/OT-DMZ auf Ebene 3.5?
Es ist eine demilitarisierte Zone, in der OT und IT Daten über zwischengeschaltete Systeme statt über direkte Verbindungen austauschen. Hier sind typischerweise Datendioden, unidirektionale Gateways und vermittelnde Dienste angesiedelt, und es ist die folgenreichste Grenze im Netzwerk.
In welchem Verhältnis steht das Purdue-Modell zur IEC 62443?
Die Purdue-Ebenen lassen sich sauber auf die Zonen und Conduits der IEC 62443 abbilden. Das Purdue-Modell sagt Ihnen, wo Systeme sitzen, und das Zonen-und-Conduit-Modell sagt Ihnen, wie Sie die Grenzen zwischen ihnen durchsetzen.
Ist das Purdue-Modell mit Cloud und IIoT noch relevant?
Ja, auch wenn moderne Vernetzung seine strikte Hierarchie belastet. Cloud-Analytik, Fernzugriff und IIoT umgehen den ebenenweisen Datenfluss, was die Grenzen des Modells nicht weniger, sondern wichtiger macht, um sie bewusst durchzusetzen.
SRCQuellen
Von der Landkarte zur durchgesetzten Grenze
Finden Sie Ihre Grenzen und machen Sie sie dann real.
Nutzen Sie die Purdue-Ebenen, um Ihre folgenreichsten Grenzen zu verorten, und setzen Sie dann die IT/OT-DMZ und einseitige Datenflüsse mit Kontrollen durch, die zu jedem Datenfluss passen.