Sichere Fernwartung

Das Problem mit unsicherer Fernwartung

Dauerhaft offene VPN-Zugänge für externe Dienstleister, Fernzugriffswerkzeuge ohne zentrale Freigabe und fehlende Protokollierung von Admin-Tätigkeiten sind Sicherheitsrisiken. Kompromittierte Fernwartungszugänge sind ein bekannter Einstiegspunkt für Angriffe.

Sichere Fernwartungsarchitektur

Eine moderne Fernwartungsarchitektur basiert auf Zero Trust-Prinzipien: kein implizites Vertrauen, minimale Berechtigungen, lückenlose Protokollierung. Wir setzen Lösungen um, mit denen Fernwartung kontrolliert und nachvollziehbar abläuft und für Ihre Teams und Dienstleister handhabbar bleibt.

Fernwartung und VPN-Kompatibilität: Zusammenspiel, Grenzen und Architekturentscheidungen

Ein VPN ist für sicheren Fernzugang oft die naheliegende Lösung und für viele Anwendungsfälle eine solide Grundlage. Bei der Fernwartung stößt eine reine VPN-Architektur an Grenzen: Ein VPN gewährt Netzwerkzugang, kontrolliert aber nicht, was ein externer Dienstleister nach dem Einwählen tatsächlich tut. Es zeichnet keine Sitzungen auf, vergibt keine zeitlich begrenzten Freigaben und schaltet den Zugang nach dem Wartungsfenster nicht automatisch ab. Diese Nachweise fehlen dann in Prüfungen nach ISO 27001, NIS2 oder DORA.

Dazu kommt die Frage der Kompatibilität: Manche Fernwartungswerkzeuge vermitteln Verbindungen über Relay-Server des Herstellers. Solche Verbindungen können am VPN vorbeilaufen oder mit einem Full-Tunnel-VPN in Konflikt geraten. Split-Tunnel-Konfigurationen können Sicherheitslücken öffnen, wenn Fernwartungsverkehr über das Internet läuft, während Unternehmensdaten durch den VPN-Tunnel gehen. Solche Wechselwirkungen können auch Verbindungsabbrüche und uneinheitliches Verhalten in Wartungssitzungen erklären.

Welche Architektur passt, hängt vom Anforderungsprofil ab. Oft bleibt das VPN als Netzwerkschicht sinnvoll, ergänzt um eine Privileged-Remote-Access-Lösung, die auf dem VPN-Tunnel aufsetzt und die fehlenden Kontrollen (Session Recording, Access Governance, Freigabe-Workflows) liefert. Bei vielen Dienstleistern oder umfangreichen Nachweispflichten kann es besser sein, das VPN durch Zero Trust Network Access (ZTNA) mit integrierter PAM-Schicht abzulösen. Blackfort analysiert Ihre bestehende VPN-Infrastruktur und entwickelt eine kompatible oder ersetzende Fernwartungsarchitektur.

Dienstleister-Management

Externe Dienstleister brauchen Zugang zu Ihren Systemen, aber nur zeitlich begrenzt, mit minimalen Rechten und nachvollziehbar protokolliert. Wir implementieren Prozesse und Technologien für sicheres Vendor Access Management.

Fernwartung Compliance: Anforderungen aus ISO 27001, NIS2 und DORA

Fernwartungszugriffe sind privilegierte Zugänge. In ISO/IEC 27001 betreffen sie vor allem die Maßnahmen aus Anhang A zu privilegierten Zugriffsrechten (A.8.2), Beschränkung des Informationszugriffs (A.8.3), Protokollierung (A.8.15), Zugriffsrechten (A.5.18) und Lieferantenbeziehungen (A.5.19 bis A.5.22). Die Erklärung zur Anwendbarkeit sollte zeigen, wie externe Fernzugriffe abgedeckt sind. Im Audit wird geprüft, ob Zugriffe genehmigt, protokolliert und regelmäßig überprüft werden. Fehlende oder lückenhafte Protokolle können dabei zu einer Abweichung führen.

NIS2 nennt in Art. 21 Abs. 2 unter anderem Konzepte für die Zugriffskontrolle, die Sicherheit der Lieferkette und Multi-Faktor-Authentifizierung. Wesentliche und wichtige Einrichtungen sollten deshalb belegen können, dass Fernwartungszugriffe externer Dienstleister kontrolliert und protokolliert werden. Ungesicherte VPN-Konten oder Fernwartungssoftware ohne Zugriffsprotokoll können als Mangel bei der Zugriffskontrolle gewertet werden. Wie das im Einzelfall bewertet wird, hängt von der nationalen Umsetzung und vom Sachverhalt ab. Für KRITIS-Betreiber gilt das besonders bei Fernzugriffen auf Steuerungskomponenten; der IT-Grundschutz-Baustein OPS.1.2.5 Fernwartung gibt dafür Orientierung.

Für Finanzunternehmen regeln DORA und die RTS (EU) 2024/1774 Zugriffskontrolle einschließlich privilegierter Zugriffe (Art. 21 RTS) und die Protokollierung sicherheitsrelevanter Ereignisse (Art. 12 RTS). Session Recording und Zugriffsprotokolle sind gängige Mittel, um diese Anforderungen prüffähig umzusetzen, aber keine ausdrücklich benannten Pflichten. Für IKT-Drittdienstleister verlangt DORA ein Risikomanagement mit vertraglichen Vorgaben (Art. 28 bis 30). Finanzunternehmen geben Anforderungen an kontrollierte, zeitlich begrenzte und regelmäßig überprüfte Zugänge deshalb meist vertraglich an ihre Dienstleister weiter.

Compliance-Nachweise: Was Auditoren bei Fernwartung prüfen

Keine der genannten Regelungen schreibt Session Recording ausdrücklich vor. Es ist aber ein gängiger Weg, die Protokollierungs- und Nachweisanforderungen für privilegierte Fernzugriffe zu erfüllen. Im Audit geht es um Fragen wie: Wer hat sich wann eingewählt, auf welche Systeme wurde zugegriffen, welche Aktionen wurden ausgeführt? Aufzeichnungen und Protokolle sollten gegen nachträgliche Änderung geschützt sein, am besten auf einer vom Zielsystem getrennten, schreibgeschützten Ablage. Fehlen solche Nachweise, lässt sich die Wirksamkeit der Zugriffskontrolle im Audit nur schwer belegen.

Access Governance umfasst drei Kernelemente: Just-in-Time-Zugang (Zugriffsrechte werden erst nach Genehmigung und nur für die Dauer einer Wartungsmaßnahme erteilt), zeitlich begrenzte Zugangsdaten (kein Dauerzugang für externe Dienstleister) und regelmäßige Access Reviews (Überprüfung aller aktiven Zugriffsrechte externer Parteien in festen Abständen, etwa vierteljährlich). Für besonders kritische Systeme bietet sich das Vier-Augen-Prinzip an: Eine zweite berechtigte Person überwacht die Sitzung oder gibt sie frei.

Blackfort erstellt die Dokumentation für die Prüfung: Sicherheitskonzept für Fernwartung, Prozessdokumentation für das Vendor Access Management und technische Nachweise über die umgesetzten Kontrollen. Die Sicht der Prüfer kennen wir aus eigener Arbeit in der IT-Revision und als Auditleiter. Wir bauen Fernwartungsarchitekturen so auf, dass die Nachweise im laufenden Betrieb entstehen und nicht nachträglich zusammengestellt werden müssen.