Ortungssysteme, die Ihr OT-Sicherheitsmodell nicht flachklopfen.

Sie können keine Gateways, Anker und Cloud-Agenten absichern, die Sie nicht erfasst haben. Wir beginnen mit einem aktuellen OT/IoT-Inventar und den Datenflüssen, einschließlich des Fernsupport-Wegs des Anbieters.

Siehe OT-Cybersicherheit und IT/OT-Verantwortung.

Zonen nach IEC 62443 sind besser als ein flaches Funk-Subnetz. Überwachung des Ost-West-Verkehrs, minimale Rechte für Ortungsplattformen und Store-and-Forward, das keine „vorübergehenden“ Löcher für immer reißt.

OEM-Tunnel und ständig offene Support-VPNs sind ein häufiger Angriffsweg. Begrenzen Sie sie zeitlich, nutzen Sie MFA, protokollieren Sie und lehnen Sie Architekturen ab, die eine dauerhafte Präsenz des Anbieters in der Fertigung verlangen.

Die Lieferung ist optional und läuft über einen separaten Vertrag. Architekturempfehlungen sind so geschrieben, dass Sie den Anbieter wechseln können, ohne seine Sicherheitsabkürzungen zu erben.

Gateways, Anker und Cloud-Agenten gehören ins OT/IoT-Inventar, mit Datenflussdiagrammen, die den Fernsupport-Weg des Anbieters enthalten. Zonen nach IEC 62443 sind besser als ein flaches Funk-Subnetz. Begrenzen Sie OEM-Tunnel zeitlich, verlangen Sie MFA, protokollieren Sie Zugriffe und lehnen Sie eine dauerhafte, uneingeschränkte Präsenz in der Fertigung ab.

Die Lieferung ist optional und läuft über einen separaten Vertrag. Architekturempfehlungen sind so verfasst, dass Sie Lieferanten austauschen können, ohne deren Sicherheitsabkürzungen zu übernehmen. Siehe IT & OT.

Ortungssysteme sind OT: Anker, Gateways und Identitäten in Netzen, die Sie bereits absichern. Kriterien für die Anbieterauswahl im Bereich Sicherheit:

• Design von Zonen und Conduits: Platzierung nach Purdue und IEC 62443, nicht nach dem bequemen WLAN des Anbieters.
• Identität und RBAC: Wer darf Rohpositionen abfragen und wer nur zusammengefasste Analysen? Jede sensible Abfrage wird auditiert.
• Fernzugriff des Anbieters (Jump Hosts, MFA, zeitlich begrenzte Sitzungen, protokollierte Änderungen) oder gar keiner.
• Sicherheit der Lieferkette: SBOM, SOC 2 / ISO 27001, Patch-Rhythmus, Offenlegung von Schwachstellen.
• Enklaven-Optionen: On-Prem- oder Air-Gap-Varianten, wo die Richtlinie sie verlangt.

Plattformanbieter verringern Reibung mit Cloud-Standards. Systemintegratoren verkürzen die Installation mit flachen VLANs. Beides ist keine Kontrolle. Der CISO sollte Ortung wie jedes andere OT-Projekt prüfen.

• Flaches WLAN, das mit Produktions- oder Gastnetzen geteilt wird.
• Standard-Admin-Konten in der Cloud und zu weit gefasste API-Schlüssel.
• Ortungstelemetrie, die Mitarbeitende identifiziert, ohne mit dem Datenschutzbeauftragten abgestimmte Datenschutzkontrollen.
• Unüberwachtes VPN des Anbieters in die OT.
• Keine SIEM-Zuordnung für Gateways, fehlgeschlagene Anmeldungen und Konfigurationsänderungen.

• Wo liegen Anker, Gateways und Middleware in unserem Zonenmodell, und welche Conduits sind erforderlich?
• Mutual TLS, Verschlüsselung im Ruhezustand, RBAC und Audit: Zeigen Sie die Konfiguration, nicht eine Aussage im Datenblatt.
• Wie wird der Zugriff des Anbieter-Supports gesteuert, protokolliert und widerrufen?
• Liefern Sie eine SBOM und ein Patch-SLA für Firmware und Cloud-Komponenten.
• Kann das System für unsere Standorte mit hohem Risiko vollständig On-Premise laufen, ohne ausgehende Abhängigkeit?
• Wie kommen Ereignisse in unser SIEM (syslog/CEF/JSON), mit einer zugeordneten Liste von Anwendungsfällen?

Wir entwerfen Ortung ab Gate 1 als OT und bewerten Lieferanten nach Ihrem Kontrollrahmen, ohne Gateways, Sensoren oder AMR-Flotten zu verkaufen. Das ist eine eingebaute Kontrolle: Die Beratung ist von der Hardwarelieferung getrennt abgerechnet, daher kann sie die Empfehlung nicht verzerren.

Plattformanbieter werben zunehmend mit SOC 2, Mutual TLS und „Enterprise-tauglichem“ RTLS. Diese Kontrollen zählen, aber nur, wenn sie in Ihr Zonenmodell, Ihren IdP und Ihr SIEM eingebunden sind. Systemintegratoren schlagen vielleicht flache VLANs vor, um die Installation zu beschleunigen. Große Dienstleister behandeln Ortung vielleicht als weiteren IoT-Strang ohne OT-Tiefe. Keiner dieser Anreize führt automatisch zu Conduits nach IEC 62443, zeitlich begrenztem Anbieterzugriff oder SBOM-Disziplin.

Fragen Sie, wer nach dem ersten Jahr die Gateway-Firmware patcht, wer die Zertifikate erneuert und ob Abfragen der Rohpositionen von Personal wie privilegierte Zugriffe protokolliert werden. Wenn die Antwort „die Standardeinstellungen der Cloud-Konsole“ lautet, ist das Risikoregister unvollständig.

Ortung vergrößert auch die Angriffs- und Datenschutzfläche: Positionsdaten können Prozessgeheimnisse und identifizierbare Bewegungen offenlegen. Wenn CISO und Datenschutzbeauftragte sich an Gate 1 abstimmen, gibt die Sicherheit kein Design frei, das der Datenschutz später blockiert, und umgekehrt.

• Dokumentiertes Diagramm der Zonen und Conduits für Anker, Gateways und Middleware.
• Anbieter remote-access standard matching OT jump-host practice.
• RBAC-Matrix, die Asset-Karten von identifizierbaren Bewegungen von Personen trennt.
• SIEM-Anwendungsfälle für fehlgeschlagene Anmeldungen, Konfigurationsänderungen und ungewöhnliche Abfragemengen.
• Enclave- oder On-Prem-Option, für hochsensible Standorte bewertet, auch wenn die Zentrale SaaS bevorzugt.

TRACIO bewertet Lieferanten als unabhängiger Spezialist an diesem Maßstab: Wir verkaufen die Sensoren, die wir prüfen, nicht.