Produktionsnetze nach dem Purdue-Modell segmentieren: Zonen, Conduits und typische Fehler

Das Purdue-Modell als Orientierung, nicht als Vorschrift

Das Purdue-Referenzmodell gliedert eine Fertigungsumgebung in Ebenen, die von der physischen Anlage bis zur Unternehmens-IT reichen. Vereinfacht umfasst es die Prozessebene mit Sensoren und Aktoren (Ebene 0), die Steuerungsebene mit SPS und Reglern (Ebene 1), die überwachende Leitebene mit HMI und SCADA (Ebene 2), die standortweite Betriebsebene mit MES und Datenhistorikern (Ebene 3), darüber eine industrielle DMZ als Pufferzone (oft Ebene 3,5 genannt) sowie die Unternehmens- und Konzern-IT (Ebenen 4 und 5).

Der Wert des Modells liegt in der gemeinsamen Sprache: Es macht sichtbar, welche Systeme nah am physischen Prozess sitzen und welche weiter entfernt sind. Es ist jedoch kein Verkabelungsplan! Moderne Umgebungen mit Virtualisierung, Edge-Computing oder cloudgestützter Analyse verwischen die klaren Ebenengrenzen. Das Modell bleibt als Denkraster wertvoll, die eigentliche Sicherheitsarchitektur entsteht aber erst eine Ebene darunter, bei den Zonen.

Von Ebenen zu Zonen und Conduits

Die IEC 62443 liefert das Werkzeug, mit dem aus der vertikalen Purdue-Gliederung eine belastbare Segmentierung wird. Ihre beiden Kernbegriffe sind Zone und Conduit. Eine Zone fasst Systeme mit gleichem Schutzbedarf und gleichen Sicherheitsanforderungen zusammen. Ein Conduit ist eine bewusst definierte Kommunikationsverbindung zwischen zwei Zonen mit klar festgelegten Regeln, welche Kommunikation erlaubt ist und welche nicht.

Der Perspektivwechsel ist wichtig: Purdue beschreibt, wo etwas im Gefüge steht; Zonen und Conduits legen fest, wie streng es abgesichert wird. Erst wenn jeder Übergang zwischen zwei Zonen ein benannter, dokumentierter und kontrollierter Conduit ist, existiert eine Segmentierung, die den Namen verdient.

Zonen sinnvoll schneiden

Die häufigste Frage in der Praxis lautet, wonach Zonen gebildet werden sollten. Der belastbare Maßstab ist der Schutzbedarf, nicht die Bequemlichkeit. Konkret bewährt sich eine Kombination aus:

• Kritikalität für den Prozess: Eine Zelle, deren Ausfall die gesamte Linie stoppt, gehört nicht in dieselbe Zone wie ein unkritisches Nebensystem.
• Funktion und Kommunikationsverhalten: Systeme, die ohnehin eng und regelmäßig miteinander sprechen, bilden natürliche Gruppen; Verbindungen über Zonengrenzen sollten die Ausnahme sein.
• Erforderlichem Sicherheitsniveau: Die IEC 62443 kennt gestufte Security Level. Zonen mit unterschiedlichem Zielniveau gehören getrennt, damit die höhere Anforderung nicht durch die niedrigere unterlaufen wird.

Ein guter Zonenschnitt hält die Zahl der notwendigen Übergänge gering. Wenn ein Entwurf zu sehr vielen Conduits führt, ist das meist ein Zeichen, dass die Zonengrenzen an der falschen Stelle liegen.

Conduits: jeder Übergang eine bewusste Entscheidung

Für jeden Conduit werden dieselben Fragen beantwortet: Welche Systeme dürfen kommunizieren, über welche Protokolle, in welche Richtung, und wie wird der Übergang überwacht? Leitprinzip ist die minimale Berechtigung: erlaubt ist ausschließlich, was für den Betrieb nachweislich nötig ist, alles andere wird unterbunden. Wo der Datenfluss nur in eine Richtung gebraucht wird, etwa beim Sammeln von Kennzahlen, wird auch nur diese Richtung zugelassen. So bleibt ein Übergang selbst dann kein offenes Tor, wenn eine der beiden Seiten kompromittiert wird. (Stichwort "Datendiode")

Typische Fehler in der Praxis

Die meisten Segmentierungsprojekte scheitern nicht am Konzept, sondern an wiederkehrenden Mustern in der Umsetzung:

Segmentierung ohne Durchsetzung

VLANs allein trennen nicht. Werden die Grenzen zwischen den VLANs nicht durch eine kontrollierende Instanz durchgesetzt, entsteht ein Netz, das auf dem Papier segmentiert aussieht, in dem der Verkehr aber ungehindert fließt. Die Trennung muss an den Übergängen tatsächlich erzwungen und protokolliert werden.

Schnitt nach Bequemlichkeit statt nach Schutzbedarf

Zonen entlang von Hallengrenzen, Herstellern oder gewachsenen Zuständigkeiten zu bilden, ist einfach – aber sicherheitstechnisch willkürlich. Systeme mit sehr unterschiedlichem Schutzbedarf landen so in derselben Zone, und der schwächste Teilnehmer bestimmt das Risiko der gesamten Zone.

Nur Nord-Süd, nicht Ost-West kontrolliert

Häufig wird nur der vertikale Verkehr zwischen den Ebenen abgesichert, während sich Systeme innerhalb einer Ebene frei erreichen. Genau diesen seitlichen Weg nutzt Schadsoftware zur Ausbreitung. Auch die Kommunikation innerhalb einer Ebene gehört in das Zonenkonzept. (Stichwort "Mikrosegmentierung")

Fernwartung als Hintertür durch alle Zonen

Ein sauber segmentiertes Netz verliert seinen Wert, wenn ein Wartungszugang von außen direkt bis auf die Steuerungsebene reicht. Fernzugriffe müssen demselben Zonen- und Conduit-Prinzip folgen wie jeder andere Verkehr, statt es zu umgehen.

Übersegmentierung, die niemand mehr pflegt

Das Gegenteil ist ebenso riskant: Eine so feingliedrige Struktur, dass der Betrieb sie im Alltag nicht mehr sauber verwalten kann, führt zu Ausnahmen, Umgehungen und veralteten Regeln. Eine Segmentierung ist nur so gut wie ihre dauerhafte Pflegbarkeit.

Der Plan altert schneller als das Netz

Segmentierung ist allgegenwärtig. Neue Anlagen, geänderte Prozesse und zusätzliche Dienste verschieben die Grenzen fortlaufend. Ohne laufende Überwachung der Übergänge und regelmäßige Pflege der Dokumentation driftet der reale Zustand vom geplanten weg bis die Segmentierung nur noch auf dem Papier existiert.

Ein pragmatischer Weg dorthin

Ein tragfähiges Vorgehen beginnt mit einer passiven Bestandsaufnahme aller Systeme und ihrer Kommunikationsbeziehungen. Auf dieser Grundlage wird ein Zonenmodell nach Schutzbedarf entworfen und jeder erforderliche Conduit benannt. Umgesetzt wird schrittweise: zuerst an den Übergängen mit dem höchsten Risiko, jeweils in regulären Wartungsfenstern und mit definierter Rückfalloption. Nach dem Umbau sichern eine dauerhafte passive Überwachung und eine gepflegte Dokumentation, dass die Struktur nicht wieder verwässert. So entsteht eine Segmentierung, die nicht nur einer Prüfung standhält, sondern den Betrieb im Alltag tatsächlich robuster macht.