Siemens SINEC Secure Connect vs. NetFoundry OpenZiti: Was steckt wirklich unter der Haube?

Was SINEC Secure Connect ist

SINEC Secure Connect wurde von Siemens zur it-sa 2025 in Nürnberg vorgestellt und als erste Zero-Trust-Sicherheitsplattform positioniert, die gezielt für Operational Technology entwickelt wurde. Die Software virtualisiert Netzstrukturen über Overlay-Netze und stellt darüber Machine-to-Machine-, Machine-to-Cloud- und Machine-to-Datacenter-Verbindungen sowie Fernzugriffe auf Anlagen her, ausdrücklich ohne klassische VPN-Tunnel. Endgeräte im Shopfloor bleiben von außen unsichtbar; die Kommunikation wird nicht mehr über IP-Adressen und Firewall-Regeln autorisiert, sondern über Identitäten und Richtlinien. Bereitgestellt wird die Lösung über den Siemens-Xcelerator-Marktplatz, wahlweise on-premises, in der Cloud oder hybrid.

Aus Sicht eines Netzwerkarchitekten ist das der klassische ZTNA-Overlay-Ansatz: Ein Controller verwaltet Identitäten, Policies und den Netzzustand. Edge-Router bilden ein verschlüsseltes Vermittlungsnetz. Endpunkte bauen ausschließlich ausgehende Verbindungen auf, sodass keine eingehenden Ports geöffnet werden müssen. Für Bestandsgeräte, die keine eigene Software aufnehmen können, übernehmen Gateways oder vorgelagerte Netzkomponenten die Anbindung, bei Siemens naheliegend die SCALANCE-Produktlinie.

Was OpenZiti ist

OpenZiti ist eine quelloffene Zero-Trust-Netzwerkplattform unter Apache-2.0-Lizenz, entwickelt und gepflegt von NetFoundry. Jeder Teilnehmer, ob Benutzer, Gerät, Dienst oder Workload, erhält eine X.509-Zertifikatsidentität. Verbindungen werden vor dem Aufbau eines Netzwerkpfads authentifiziert und anhand attributbasierter Policies autorisiert. Dienste lauschen auf keinen eingehenden Ports, Endpunkte wählen sich ausschließlich ausgehend ein, und der Verkehr ist Ende-zu-Ende verschlüsselt.

Die Kernkomponenten sind ein Controller für Identitäten, Policies und Netzzustand, Edge-Router als verschlüsseltes Mesh mit intelligentem Routing und Failover sowie Tunneler für Bestandsanwendungen und SDKs für die direkte Einbettung in eigene Software. OpenZiti lässt sich vollständig selbst betreiben; alternativ bietet NetFoundry die Plattform als kommerziell betriebenen Managed Service mit globalem Fabric und Enterprise-Support an. NetFoundry hat zudem öffentlich kommuniziert, dass die eigene Technologie von OEMs in deren Produkte eingebaut wird, unter anderem bei großen Automatisierungsherstellern im OT- und ICS-Umfeld.

Die Belege: Siemens setzt OpenZiti bzw. NetFoundry im Produkt ein

Siemens selbst nennt NetFoundry in der Produktkommunikation zu SINEC Secure Connect nicht prominent. Die öffentlich zugänglichen Quellen sind trotzdem eindeutig. Drei Fundstellen sind besonders aussagekräftig.

1. NetFoundry benennt die Partnerschaft ausdrücklich

NetFoundry beschreibt auf der eigenen Website eine Partnerschaft mit Siemens und erklärt, dass Siemens SCALANCE und Siemens SINEC Secure Connect die Zero-Trust-Netzwerksoftware von NetFoundry enthalten, weshalb in Siemens-OT-Umgebungen keine zusätzliche Soft- oder Hardware installiert werden müsse (Quelle: netfoundry.io/ot/ot-connectivity). In einem Podcast der ARC Advisory Group bestätigt NetFoundry-CEO Galeal Zino dieselbe Aussage: Siemens habe NetFoundry direkt in die SCALANCE-Produktlinien und in SINEC Secure Connect eingebaut (Quelle: netfoundry.io/resources/rethinking-industrial-cybersecurity).

2. Die Siemens-Dokumentation verweist direkt auf OpenZiti-Software

Das offizielle Getting-Started-Handbuch zu SINEC Secure Connect V1.0 (SIMATIC NET, Stand 12/2025) beschreibt für die Installation des Edge-Clients unter Windows den Download der Datei „Ziti.Desktop.Edge.Client-x.x.x.x.exe“ und verweist als Bezugsquelle unmittelbar auf das OpenZiti-GitHub-Repository github.com/openziti/desktop-edge-win/releases. Der Client, den SINEC-Secure-Connect-Anwender auf ihren Rechnern installieren, ist also der unveränderte OpenZiti-Tunneler (Quelle: Siemens Industry Online Support, Dokument C79000-G8976-C759-01).

3. Betriebs- und Registrierungsprozesse laufen über NetFoundry

Dasselbe Handbuch dokumentiert, dass im Netz mindestens ein von NetFoundry gehosteter Edge-Router vorhanden sein muss und dass Anwender nach dem Kauf ihre Registrierungs-E-Mail von NetFoundry erhalten. Auch die Begriffswelt der Verwaltungsoberfläche, Identities, Edge Router, Router-Attribute, attributbasierte Zugriffssteuerung (ABAC), deckt sich eins zu eins mit dem OpenZiti-Objektmodell. Zusammengenommen lassen diese Punkte kaum einen anderen Schluss zu: SINEC Secure Connect ist in seinem Kern eine von Siemens produktisierte, in das eigene Portfolio integrierte Ausprägung der NetFoundry-Plattform auf OpenZiti-Basis, ein White-Label- bzw. OEM-Modell, wie es NetFoundry selbst als Geschäftsmodell beschreibt.

Was bedeutet das für den Vergleich?

Wenn beide Produkte denselben technischen Kern haben, verschiebt sich der Vergleich von der Datenebene auf Betrieb, Integration und Verantwortlichkeiten. Genau dort liegen die relevanten Unterschiede.

Integration und Zielgruppe

SINEC Secure Connect ist auf das Siemens-Ökosystem zugeschnitten: Die Zero-Trust-Funktionen sind in SCALANCE-Komponenten bereits enthalten, die Plattform fügt sich in die SINEC-Werkzeuglandschaft ein, und Beschaffung, Support und Gewährleistung laufen über Siemens. Für Betreiber, deren Automatisierungs- und Netzwerktechnik ohnehin von Siemens stammt, ist das der kürzeste Weg zu einem identitätsbasierten Overlay, ohne zusätzliche Agenten auf den Netzkomponenten und mit einem einzigen verantwortlichen Hersteller. OpenZiti richtet sich dagegen an Organisationen, die herstellerunabhängig bleiben wollen oder heterogene Umgebungen anbinden müssen: Es gibt Tunneler für gängige Betriebssysteme, SDKs für sieben Sprachen und keinerlei Bindung an eine Gerätefamilie.

Betriebsmodell und Datenpfad

OpenZiti kann vollständig selbst gehostet werden, Controller und sämtliche Edge-Router eingeschlossen. Das ist für viele OT-Betreiber und KRITIS-Umgebungen ein gewichtiges Argument, weil der komplette Datenpfad im eigenen Verantwortungsbereich bleibt. Bei SINEC Secure Connect V1.0 sieht die dokumentierte Architektur mindestens einen von NetFoundry gehosteten Edge-Router vor, und auch das Identitäts-Onboarding läuft über NetFoundry-Infrastruktur. Wer SINEC Secure Connect einführt, sollte deshalb sauber klären, welche Verbindungsmetadaten und welche Nutzdatenpfade über die NetFoundry-Fabric laufen, wo diese Router stehen und was bei Nichterreichbarkeit des Cloud-Anteils mit bestehenden Sessions passiert. Das sind keine K.-O.-Kriterien, aber Pflichtfragen für jede Schutzbedarfs- und Risikoanalyse.

Transparenz und Lieferkette

Paradoxerweise ist die Open-Source-Variante hier im Vorteil: Der Code, der den Verkehr transportiert, ist bei OpenZiti vollständig einsehbar und auditierbar. Beim Siemens-Produkt gilt das für die zugrundeliegenden Open-Source-Komponenten ebenfalls, allerdings muss man die Zusammensetzung erst aus den Open-Source-Lizenzhinweisen und der Dokumentation rekonstruieren. Für NIS2- und IEC-62443-Kontexte, in denen Lieferkettentransparenz gefordert ist, gehört die Abhängigkeitskette Siemens, NetFoundry, OpenZiti in die Dokumentation, inklusive der Frage, wie schnell Sicherheitskorrekturen aus dem Upstream-Projekt im Siemens-Produkt ankommen.

Kompetenz und Verantwortung

Mit OpenZiti kauft man kein Produkt, sondern übernimmt eine Betriebsaufgabe: Controller-Härtung, PKI-Lebenszyklus, Router-Platzierung, Updates. Das erfordert Personal mit entsprechender Tiefe, gibt aber volle Kontrolle. SINEC Secure Connect verlagert diese Aufgaben zum Hersteller und reduziert den Eigenanteil auf Policy-Pflege und Identitätsverwaltung. Zwischen beiden Polen steht das kommerzielle NetFoundry-Angebot, das dieselbe Plattform als Managed Service ohne Siemens-Bindung liefert.

Einordnung für die Praxis

Die Entscheidung ist weniger ein Technologievergleich als eine Frage des Betriebs- und Beschaffungsmodells. In stark Siemens-geprägten Anlagen mit SCALANCE-Infrastruktur und dem Wunsch nach einem Ansprechpartner ist SINEC Secure Connect der pragmatische Weg, sofern die Cloud-Anteile im Datenpfad mit dem eigenen Schutzbedarf vereinbar sind. In heterogenen Umgebungen, bei hohen Souveränitätsanforderungen oder wenn das Overlay auch Nicht-Siemens-Komponenten, Rechenzentren und Cloud-Workloads umfassen soll, ist OpenZiti, selbst betrieben oder als NetFoundry-Service, die flexiblere Basis. In beiden Fällen ersetzt das Overlay keine Netzsegmentierung nach IEC 62443: Zonen, Conduits und eine saubere Zellenstruktur bleiben das Fundament; das identitätsbasierte Overlay ist die Schicht darüber, die Fernzugriff und standortübergreifende Kommunikation ohne offene Ports und ohne gewachsene VPN-Landschaft löst.

Festzuhalten bleibt: Wer SINEC Secure Connect evaluiert, evaluiert technisch eine OpenZiti- bzw. NetFoundry-Architektur im Siemens-Gewand. Das öffentlich verfügbare Wissen über OpenZiti, Dokumentation, Quellcode, Community-Erfahrungen, lässt sich damit unmittelbar für die Bewertung des Siemens-Produkts nutzen. Das ist am Ende ein Vorteil für Betreiber: Die Plattform ist kein proprietäres Neuland, sondern ein breit eingesetzter, überprüfbarer Zero-Trust-Stack.