IEC 62443 & RTLS — OT Cybersicherheit.
RTLS ist Betriebstechnologie. Es läuft parallel zu deinen SPS, SCADA, MES und Historian, und sein Kompromiss kann sich in die Produktion auswirken.
IEC 62443 ist das Rahmenwerk, das die meisten Enterprise-OT-Teams zur Scope-Definition und Sicherung verwenden. Dies ist die Zusammenfassung auf Operator-Ebene.
Das Purdue-Modell und wo RTLS lebt
IEC 62443 übernimmt die Purdue Enterprise Reference Architecture: ein geschichtetes Modell, bei dem Level 0 Sensoren/Aktuatoren ist, Level 1 die Grundsteuerung, Level 2 Supervisory (HMI), Level 3 Fertigungsprozesse (MES) und Level 4–5 Enterprise IT.
RTLS-Komponenten existieren auf mehreren Ebenen: Anker und Gateways bei L1-L2, Location-Intelligence-Plattform bei L3, Analytik und Reporting bei L4. Die Architektur muss die Leitungen zwischen diesen Zonen respektieren.
Sicherheitsstufen — SL 1 bis SL 4
IEC 62443 definiert vier Sicherheitsstufen nach Angreiferfähigkeit: SL 1 gegen gelegentlichen Missbrauch, SL 2 gegen absichtliche, unausgefeilte Angriffe, SL 3 gegen gezielte gezielte Angriffe, SL 4 gegen ausgefeilte Angriffe mit umfangreichen Ressourcen.
Die meisten industriellen RTLS-Implementierungen richten sich auf SL 2 plattformweit, während SL 3 für die Management- und Integrationsschichten zuständig ist. Um diese zu erreichen, sind sowohl die Fähigkeit des Anbieters als auch die Bereitstellungsplanung erforderlich.
Zonen, Leitungen und was sie überquert
Jede IEC 62443-Architektur definiert Zonen (logische Gruppierungen von Geräten mit gemeinsamen Sicherheitsanforderungen) und Leitungen (die kontrollierten Kommunikationswege zwischen ihnen).
Für RTLS bedeutet das typischerweise: eine dedizierte RTLS-Ankerzone bei L1-L2, eine Analysezone bei L3 und explizite, überwachte Leitungen zu MES, WMS und Historiker.
Zonenübergreifender Verkehr verwendet authentifizierte, verschlüsselte Protokolle mit strikter Zulassliste – keine flachen Netzwerke.
Patch-Management, sichere Bereitstellung und der Lebenszyklus
IEC 62443 erfordert kontinuierliche Sicherheit während des gesamten Bereitstellungslebenszyklus, nicht nur bei der Übergabe.
Das bedeutet dokumentierte Patch-Management-Prozesse, standardmäßig sichere Anbietereinstellungen, periodische Schwachstellenbewertungen und Vorfall-Reaktions-Playbooks, die speziell für OT gelten (wobei "Stecker ziehen" selten eine akzeptable Reaktion ist).
Diese sind als Teil der Stufen 1 und 3 der TRACIO-Programmmethode.
Häufig gestellte Fragen
Brauchen wir eine IEC 62443-Zertifizierung oder nur eine Ausrichtung?
Die meisten Unternehmen streben die Ausrichtung IEC 62443 an dokumentierte Design- und Betriebspraktiken an – nicht an formale Zertifizierungen an.
Eine formale Zertifizierung (typischerweise für Produkte 62443-4-1 oder 62443-2-1 für Prozesse) ist nur in bestimmten regulierten Kontexten erforderlich (einige kritische Infrastrukturen, einige Verteidigungsbereiche).
Die Ausrichtung ist für die überwiegende Mehrheit der industriellen Einsätze ausreichend.
Welche Sicherheitsstufe sollten wir anvisieren?
SL 2 für die meisten industriellen RTLS, SL 3 für die Management- und Integrationsschichten sowie für Deployments in kritischer Infrastruktur oder mit erhöhten Bedrohungsprofilen. Wir helfen Ihnen, gemeinsam mit Ihrem CISO die passende Ebene pro Zone am Tor 1 abzugrenzen.
Wie wirkt sich das auf die Auswahl der Anbieter aus?
Erheblich. Anbieter, die ihren Security Development Lifecycle (typischerweise 62443-4-1-fähig) nicht artikulieren können, fallen aus der Shortlist aus.
Die meisten unternehmensweiten RTLS-Lieferanten sind inzwischen vorhanden, aber die Verifizierung ist nicht trivial – wir führen sie während der Lieferantenbewertung durch.
Können wir die IEC 62443-Ausrichtung an eine bestehende Implementierung nachrüsten?
Ja, aber teurer als das Einbauen. Nachrüstung bedeutet in der Regel das Neusegmentieren des Netzwerks, das Neuschlüsseln von Gerätezertifikaten, die Härtung der Plattformkonfigurationen und die Neugestaltung von Incident-Response-Verfahren.
Wir machen diese Arbeit als Teil von Programmrettung Verlobungen.
Zuletzt aktualisiert: