Was ist passiert?
In einem Gastbeitrag für das Protector Magazin beschreibt Uwe Greunke, Business Segment Leiter KRITIS bei Rohde & Schwarz Networks and Cybersecurity, fünf Regeln für die sichere Einbindung von Sicherheitstechnik in IT-Netzwerke. Der Beitrag richtet sich insbesondere an Betreiber Kritischer Infrastrukturen (KRITIS), bei denen sicherheitstechnische Systeme wie Überwachungskameras, Zugangskontrollen, Schließmechanismen oder Alarm- und Benachrichtigungstechnik zunehmend Teil der IT-Netzwerkarchitektur werden.
Kernaussage: Werden Sicherheitsgewerke in IT-Netzwerke eingebunden, müssen sie effizient zusammenarbeiten – ohne dass dabei das eigentliche Schutzniveau gemindert oder aufgehoben wird.
Die Details
Sicherheitstechnische Systeme in KRITIS- und OT-Bereichen unterliegen laut dem Beitrag den Regelungen des KRITIS-Dachgesetzes, des BSI-Gesetzes sowie weiteren relevanten Standards wie dem BSI IT-Grundschutz und der IEC 62443 Norm. Daraus leitet Greunke die Notwendigkeit ab, die Vernetzung dieser Systeme nach einem klar definierten und verbindlichen Sicherheits- und Zonenkonzept zu gestalten. Besondere Aufmerksamkeit gilt dabei den Kommunikationswegen zwischen sicherheitstechnischen Anlagen, Leitstellen, Managementsystemen und benachbarten IT-Netzwerken – diese müssen streng reglementiert werden.
Der Beitrag nennt fünf konkrete Regeln:
- Eindeutige Zonen schaffen: Kamerasysteme, Sensoren und Zutrittskomponenten sollten in logisch oder physisch getrennten Bereichen betrieben werden. Kamerasysteme etwa sollten nur mit zugehörigen Systemen wie NVR (Network Video Recorder) oder VMS (Video Management System) interagieren. Firewalls oder Segment-Gateways überwachen und sichern die Übergänge zwischen den Zonen.
- Office-IT und externe Netze trennen: Sicherheitssysteme sollten grundsätzlich außerhalb der klassischen Unternehmens-IT laufen. Übergänge erfolgen über festgelegte Punkte wie DMZ- oder NAT-Zonen, die eine kontrollierte Nutzung von Diensten wie Active Directory, DNS oder PKI erlauben, ohne die Sicherheitssegmente zu gefährden.
- Resilienten und autarken Betrieb sicherstellen: Ein OT-Sicherheitsnetzwerk muss auch bei Störungen der umgebenden IT, WAN-Ausfällen oder externen Bedrohungen autark funktionsfähig bleiben. Mechanismen wie Netzwerk-Probes, Kamera-Watchdogs oder PoE-basierte Neustarts können typische Störungen automatisiert beheben.
- Kommunikationspfade verschlüsseln und überwachen: Video-, Alarm- und Steuerdaten müssen verschlüsselt übertragen werden. Genannt werden VPNs (Client-to-Site oder Site-to-Site) für Wartungszugriffe und Standortanbindungen sowie Reverse Proxys mit durchgehender TLS-Verschlüsselung gegen Man-in-the-Middle-Angriffe.
- Modularität und Erweiterbarkeit gewährleisten: Neue IP-Kameras oder Zutrittspunkte sollen sich ohne wesentliche Anpassungen der bestehenden Architektur integrieren lassen. Zonenbasierte Architekturen erlauben die Einbindung neuer Standorte als separate Segmente, ohne bestehende Bereiche zu verändern.
Einordnung
Der Beitrag macht deutlich, dass Sicherheitstechnik in KRITIS-Umgebungen nicht mehr isoliert betrachtet werden kann, sondern als integraler Bestandteil der IT-Netzwerkstruktur gilt. Das bedeutet: Verantwortliche in Sicherheitstechnik und IT müssen enger zusammenarbeiten als bisher. Historisch gewachsene oder unkontrollierte Verbindungen zwischen Sicherheitssystemen und anderen Netzwerken stehen laut Greunke im Konflikt mit den regulatorischen Vorgaben und sind zudem in Bezug auf Nachvollziehbarkeit und Auditierbarkeit problematisch.
Für Betreiber kritischer Infrastrukturen – etwa im Bereich Zutrittskontrolle, Videoüberwachung oder Alarmtechnik – ergibt sich daraus ein klarer regulatorischer Handlungsdruck: Wer Kameras, Zutrittssysteme oder Alarmierungstechnik in bestehende IT-Landschaften integriert, muss dies nach einem dokumentierten Zonen- und Sicherheitskonzept tun, das den genannten Normen und Gesetzen entspricht.
Praxis-Tipps
- Sicherheitstechnische Systeme (Kameras, Zutrittskontrolle, Alarmtechnik) in eigenen, klar abgegrenzten Netzwerkzonen betreiben und nicht undifferenziert mit der Office-IT vermischen.
- Übergänge zwischen Sicherheitszonen und Unternehmens-IT ausschließlich über definierte Punkte wie DMZ- oder NAT-Zonen führen und technisch überwachen.
- Automatisierte Überwachungsmechanismen wie Kamera-Watchdogs oder PoE-basierte Neustarts einplanen, um die Verfügbarkeit auch ohne manuelles Eingreifen sicherzustellen.
- Kommunikationswege konsequent verschlüsseln – etwa über VPN-Verbindungen und durchgehende TLS-Verschlüsselung – um Manipulation und Abhörversuche zu verhindern.
- Bei der Planung neuer Anlagenteile von Beginn an auf modulare, zonenbasierte Architekturen setzen, damit spätere Erweiterungen ohne Eingriff in bestehende Segmente möglich sind.
Ausblick
Angesichts der im Beitrag genannten regulatorischen Rahmenbedingungen – KRITIS-Dachgesetz, BSI-Gesetz, BSI IT-Grundschutz und IEC 62443 – dürfte der Druck auf Betreiber kritischer Infrastrukturen weiter steigen, ihre Sicherheitstechnik-Netzwerke normkonform und auditierbar zu gestalten. Greunkes Fazit bringt es auf den Punkt: Erst ein souveränes, normkonformes und auditierbares Netzwerk schafft die Grundlage dafür, sicherheitstechnische Systeme regelkonform und strukturiert zu betreiben. Für Planer, Errichter und Betreiber von Sicherheitstechnik bedeutet dies, IT-Netzwerkarchitektur künftig als festen Bestandteil jeder Sicherheitskonzeption mitzudenken – von der Zonenplanung bis zur Verschlüsselung der Kommunikationspfade.
