📚 Fachwissen & IHK-Prüfungsrelevanz
Eine fehlende Segmentierung zwischen Büro-IT und Produktions-OT ist die Hauptursache für verheerende Malware-Infektionen in Fabriken.
1. Das Purdue-Referenzmodell (ISA-95 / IEC 62443)
- Level 0 (Prozess): Physische Sensoren, Motoren, Ventile (Verkabelung, 4-20 mA).
- Level 1 (Basis-Steuerung): Speicherprogrammierbare Steuerungen (SPS / PLC), Antriebe.
- Level 2 (Bereichsbedienung): HMIs, Touchpanels, lokale Leitstände.
- Level 3 (Betriebsleitebene): SCADA-Server, MES-Systeme, Historian-Server, Batch-Steuerung.
- Level 3.5 (Industrial DMZ / IDMZ): Sicherheits-Pufferzone. Trennt OT vollständig von IT!
- Level 4 (Enterprise IT): ERP-Systeme, Office-Arbeitsplätze, E-Mail-Server.
- Level 5 (Cloud / Internet): Cloud-Dienste, Remote-Konnektivität.
2. Die Goldene Regel der Industrial DMZ (IDMZ)
Es darf niemals direkter Datenverkehr zwischen Level 4 (IT) und Level 3 (OT) stattfinden! Sämtliche Kommunikation endet in der IDMZ (z.B. über Jump Hosts mit Multi-Faktor-Authentifizierung, getrennte Historian-Replikate oder Reverse-Proxies).
3. Deep Packet Inspection (DPI) in OT-Firewalls
Klassische Firewalls prüfen nur IP und Port (z.B. Port 502 für Modbus). Eine OT-Firewall mit DPI entschlüsselt die industrielle Nutzlast und erlaubt z.B. nur Lese-Befehle (Read Holding Registers), während gefährliche Schreib-Befehle (Write Single Register) blockiert werden.
Purdue-Modell & OT-Netzwerksegmentierung (IDMZ)
10 Punkte
Nach einem Ransomware-Vorfall in der Office-IT soll das Produktionsnetzwerk (OT) isoliert und nach dem Purdue-Referenzmodell neu strukturiert werden.
a) Ordnen Sie die folgenden Systeme den Purdue-Levels (Level 0, Level 1, Level 2, Level 3, Level 4) zu: SPS, ERP-System, Temperaturfühler, SCADA-Server, HMI-Touchpanel.
b) Welche Funktion hat die Industrial Demilitarized Zone (IDMZ / Level 3.5)?
c) Nennen Sie zwei Dienste, die typischerweise in der IDMZ platziert werden, und eine goldene Regel für den Datenverkehr durch die IDMZ.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
a) Level 0: Temperaturfühler (Prozess/Physik); Level 1: SPS (Basis-Steuerung); Level 2: HMI-Touchpanel (Bereichs-Bedienung); Level 3: SCADA-Server (Betriebsleitebene / MES); Level 4: ERP-System (Enterprise IT).
b) Die IDMZ (Level 3.5) bildet einen Puffer- und Trennungsbereich zwischen der Office-IT (Level 4/5) und der Fertigungs-OT (Level 0-3). Sie verhindert jede direkte Netzwerkverbindung zwischen IT und OT.
c) Dienste in IDMZ: Patch-Management / WSUS-Spiegel, Historian-Replikat, Jump-Host / Bastion Host für Fernwartung. Goldene Regel: Kein direkter Durchgangsverkehr erlaubt! Jede Verbindung endet in der IDMZ; Daten werden abgelegt und von der anderen Seite separat abgeholt.