Suche
SupportSichere Fernwartung: Externe Zugriffe kontrolliert ermöglichen
Maschinenhersteller, Softwareanbieter und IT-Partner brauchen Fernzugriff. So gestalten Sie Fernwartung organisatorisch und technisch so, dass sie nicht zur Hintertür ins Netz wird.
Bei der Bestandsaufnahme in Unternehmen finden wir regelmäßig Fernwartungszugänge, von denen kaum jemand weiß: eine Portfreigabe für den Hersteller der Heizungssteuerung, ein Fernwartungsprogramm, das ein früherer Dienstleister installiert hat, ein VPN-Konto des Softwareanbieters mit einem Kennwort, das seit Jahren nicht geändert wurde und das der gesamte Support des Anbieters kennt.
Jeder dieser Zugänge ist ein Weg ins Unternehmensnetz, der an den eigenen Schutzmaßnahmen vorbeiführt. Angreifer wissen das. Sie suchen gezielt nach offenen Fernwartungsdiensten und nutzen die Zugänge von Dienstleistern, um in mehrere Kundennetze gleichzeitig zu gelangen. Gleichzeitig ist Fernwartung unverzichtbar: Kaum ein Unternehmen kann warten, bis der Techniker eines Maschinenherstellers persönlich anreist. Es geht also nicht darum, Fernwartung abzuschaffen, sondern sie kontrolliert zu ermöglichen.
Schritt 1: Wissen, welche Zugänge es gibt
Am Anfang steht eine ehrliche Bestandsaufnahme. Fragen Sie nicht nur die IT, sondern auch Produktion, Haustechnik und Fachabteilungen – viele Fernzugänge wurden direkt zwischen Fachabteilung und Hersteller vereinbart.
- Welche Fernwartungsprogramme sind auf Servern und Arbeitsplätzen installiert?
- Welche Portfreigaben und VPN-Zugänge bestehen auf der Firewall, und für wen?
- Welche Geräte haben eigene Mobilfunkmodems oder Cloud-Verbindungen zum Hersteller, etwa Maschinen, Anlagensteuerungen oder Gebäudetechnik?
- Welche Dienstleister haben Konten in Microsoft 365 oder in Fachanwendungen?
- Wer ist für jeden Zugang verantwortlich, und wird er noch gebraucht?
Alles, was niemand mehr braucht oder niemandem zugeordnet werden kann, wird abgeschaltet. Das Ergebnis gehört in die IT-Dokumentation.
Schritt 2: Grundsätze festlegen
Nur auf Anforderung
Fernzugänge werden nur freigeschaltet, wenn sie benötigt werden – etwa nach einer Anfrage über das Ticketsystem oder einem Anruf bei einer festgelegten Person – und nach Abschluss wieder deaktiviert. Bei Arbeiten an kritischen Systemen kann eine Person im Unternehmen die Sitzung mitverfolgen.
Persönlich und abgesichert
Jeder Techniker erhält ein eigenes Konto mit Mehr-Faktor-Authentifizierung. Gemeinsame Zugänge wie „Support“ oder „Hersteller“ gibt es nicht. Nur so lässt sich nachvollziehen, wer wann gearbeitet hat, und nur so kann ein einzelner Zugang beim Ausscheiden eines Technikers gesperrt werden.
Nur das Nötige
Der Zugriff ist auf die Systeme beschränkt, die gewartet werden müssen – nicht auf das gesamte Netz. Der Maschinenhersteller erreicht seine Maschine, nicht den Dateiserver der Buchhaltung.
Nachvollziehbar
Alle Sitzungen werden protokolliert: wer, wann, auf welches System, wie lange. Bei sensiblen Systemen kann die Sitzung zusätzlich aufgezeichnet werden. Die Protokolle werden regelmäßig gesichtet, nicht nur im Schadensfall.
Schritt 3: Technisch umsetzen
Die Grundsätze lassen sich mit unterschiedlichen Werkzeugen umsetzen. Bewährt haben sich diese Bausteine:
- Ein zentraler Zugangspunkt – ein Fernwartungsportal oder ein Sprungserver – statt verteilter Einzelzugänge auf verschiedenen Systemen
- Segmentierte Netzbereiche für Maschinen, Anlagen und Gebäudetechnik, sodass ein Fernzugang dort endet und nicht im Büronetz
- Zeitlich begrenzte Freigaben, die sich nach Ablauf automatisch schließen
- Benachrichtigung der verantwortlichen Person bei jeder Anmeldung
- Keine direkt aus dem Internet erreichbaren Remotedesktop-Dienste
- Regelmäßige Prüfung – etwa halbjährlich –, welche Zugänge noch bestehen und genutzt werden
Bei VPN-Zugängen gilt dasselbe wie für Mitarbeitende: Mehr-Faktor-Anmeldung, aktuelle Firmware und nur die nötigen Freigaben. Mehr zur technischen Seite finden Sie auf unserer Seite zu VPN-Lösungen.
Schritt 4: Vertraglich regeln
Technik allein reicht nicht. Halten Sie mit Ihren Dienstleistern schriftlich fest, wie Fernwartung abläuft:
- Wie wird ein Zugriff angefragt und freigegeben?
- Welche Sicherheitsanforderungen gelten für die Konten und Geräte der Techniker?
- Werden Unterauftragnehmer eingesetzt, und gelten für sie dieselben Regeln?
- Wie und wie schnell informiert der Dienstleister Sie, wenn bei ihm selbst ein Sicherheitsvorfall auftritt?
- Wie werden Zugänge beim Vertragsende entfernt?
Für Unternehmen, die unter NIS2 fallen, ist dieser Punkt besonders relevant, weil das Gesetz die Sicherheit der Lieferkette ausdrücklich einbezieht. Hintergründe dazu im Beitrag NIS2 in der Praxis.
Häufige Einwände
„Das ist unserem Hersteller zu umständlich.“ Erfahrungsgemäß akzeptieren Dienstleister ein geordnetes Verfahren, wenn es klar beschrieben ist und schnell funktioniert. Eine Freigabe, die innerhalb weniger Minuten erteilt wird, verzögert kaum eine Wartung.
„Die Maschine braucht eine dauerhafte Verbindung.“ Manche Anlagen senden laufend Betriebsdaten an den Hersteller. Dann sollte diese Verbindung in einem eigenen Netzbereich enden, nur in eine Richtung und nur zu bekannten Zielen erlaubt sein und klar von einem interaktiven Wartungszugang getrennt werden.
Wenn der Dienstleister selbst angegriffen wird
Ein Szenario, das oft übersehen wird: Nicht Ihr Unternehmen, sondern Ihr Dienstleister wird kompromittiert. Hat er dauerhafte Zugänge in die Netze vieler Kunden, kann ein einziger Angriff auf ihn alle diese Kunden treffen. Deshalb sind zeitlich begrenzte Freigaben so wichtig: Ein Zugang, der gerade geschlossen ist, kann auch über einen kompromittierten Dienstleister nicht genutzt werden.
Legen Sie in Ihrem Notfallplan fest, wie Sie reagieren, wenn ein Dienstleister einen Vorfall meldet: alle Zugänge dieses Dienstleisters sofort sperren, Protokolle der letzten Sitzungen prüfen und erst nach Klärung wieder freigeben. Die Kontaktdaten der Ansprechpersonen beim Dienstleister gehören in die Notfall-Kontaktliste.
Versteckte Verbindungen nicht vergessen
Besonders leicht übersehen werden Geräte, die an der Firewall vorbei kommunizieren: Maschinen mit eigenem Mobilfunkmodem, Anlagensteuerungen mit Cloud-Anbindung des Herstellers oder Fernwartungsboxen, die ein Techniker vor Jahren in den Schaltschrank gesetzt hat. Diese Verbindungen gehören in die Bestandsaufnahme und sollten, wo möglich, über den zentralen Zugangspunkt geführt oder zumindest in einem eigenen Netzbereich isoliert werden.
So gehen wir bei BABFE vor
Wir erfassen zunächst alle bestehenden Fernzugänge – auch unbekannte Fernwartungsprogramme auf Arbeitsplätzen gehören zu den Prüfungen unseres kostenlosen Sicherheitschecks. Anschließend richten wir einen zentralen, protokollierten Zugang ein, trennen Maschinen- und Anlagennetze ab und lösen unsichere Altzugänge ab.
Für unsere eigene Fernwartung gilt dasselbe Prinzip: Wir verbinden uns nur nach Ihrer Freigabe. Im Kundenportal sind Änderungen, Tickets und Arbeitszeiten nachvollziehbar, sodass Sie jederzeit sehen, wer was an Ihren Systemen getan hat.
Ihr nächster Schritt
Erstellen Sie eine Liste aller Dienstleister mit Fernzugriff und fragen Sie bei jedem: Wie kommt er herein, mit welchem Konto, und wer gibt den Zugang frei? Wenn Sie dabei auf Lücken stoßen, helfen wir Ihnen gern.
