Absicherung von Air-Gapped-Netzwerken: Data Protection in isolierten OT-Umgebungen

Ein air-gapped Netzwerk hat keine direkte Verbindung zum Internet oder zu anderen nicht vertrauenswürdigen Netzwerken. Diese Methode wird häufig eingesetzt, um industrielle Steuerungssysteme, SCADA-Netzwerke und sicherheitskritische Infrastrukturen zu schützen.

Die physische Trennung durch ein Air-Gapped-Netzwerk ist zwar real, aber nicht absolut. Cyberkriminelle überwinden diese Barriere regelmäßig durch Schadsoftware auf USB-Geräten, Kompromittierungen der Lieferkette, Laptops von externen Dienstleister:innen sowie undokumentierte WLAN-Verbindungen. Aus dem „USB Threat Report 2024“ von Honeywell geht hervor, dass mittlerweile mehr als 50 % der über USB-Geräte eingeschleusten Schadsoftware speziell für die Verbreitung über Wechselmedien entwickelt wurden – im Vergleich zu nur 9 % im Jahr 2019.

Innerhalb von Air-Gapped-Netzwerken versagen traditionelle Security-Tools. Cloud-gestützte Management-Konsolen, signaturbasierte Antiviren-Programme und Online-Backups setzen eine Konnektivität voraus, die in diesen Umgebungen schlicht nicht existiert.

Eine effektive Data Protection für Air-Gapped-Netzwerke erfordert vier Elemente: einen offline-fähigen verhaltensbasierten Schutz, native Backup- und Wiederherstellungsfunktionen für isolierte Umgebungen, Kontrollmechanismen für Wechselmedien sowie eine eigenständige Wiederherstellung durch das Anlagenpersonal.

Acronis Cyber Protect für OT-Umgebungen wurde genau dafür entwickelt. Active Protection wird komplett offline betrieben. Mit Acronis Cyber Protect Local können Sie die Plattform vollständig innerhalb des OT-Netzwerks verwalten. Universal Restore unterstützt Legacy-Hardware. Der Anbieter ist gemäß Sicherheitsnorm IEC 62443-4-1 zertifiziert.

Ein Air-Gapped-Netzwerk besitzt keine direkte physische oder drahtlose Verbindung zum öffentlichen Internet oder zu anderen nicht vertrauenswürdigen Netzwerken. Daten werden ausschließlich über kontrollierte Mechanismen übertragen: Wechselmedien, manuelle Dateitransfers oder unidirektionale Gateways (Datendioden). Diese Strategie wird häufig eingesetzt, um industrielle Steuerungssysteme und SCADA-Netzwerke in den Bereichen Fertigung, Energie, Wasserversorgung, Öl und Gas sowie Pharma zu schützen – ebenso wie geheime Regierungssysteme und sicherheitskritische Infrastrukturen.

Im OT-Umfeld entspricht das Air-Gapping der Purdue-Referenzarchitektur (einem Standardmodell für die logische Segmentierung von industriellen Netzwerken). Die Ebenen (Levels) 0 bis 2 sind in der Regel vollständig isoliert. Ebene 3 ist häufig durch Firewalls und DMZs (demilitarisierte Zonen) teilisoliert. Die Ebenen 4 und 5 stellen schließlich die Verbindung zur Unternehmens-IT her. Ein echtes Air-Gapping ist in modernen Anlagen selten absolut. Diese bewegen sich stattdessen meist in einem Spektrum, das von einer vollständigen physischen Trennung über hybride Air-Gapped-Strukturen (mit geplantem Datenaustausch) bis hin zu einer rein logischen Segmentierung reicht.

Cyberkriminelle können Air-Gap-Netzwerke regelmäßig überwinden. USB-Geräte und andere Wechselmedien stellen den primären Angriffsvektor dar. Aus dem „USB Threat Report 2024“ von Honeywell geht hervor, dass mittlerweile mehr als 50 % der über USB-Geräte eingeschleusten Schadsoftware speziell für die Verbreitung über Wechselmedien entwickelt wurden. Diese Programme sind gezielt darauf ausgelegt, genau jene Air-Gapped-Netzwerke zu umgehen, auf die Industrieanlagen angewiesen sind.

Dokumentierte Kampagnen belegen dieses Risiko: Dazu gehören die Analyse von ThreatLabz (Zscaler) über die nordkoreanische Gruppe APT37, die über USB eingeschleuste Implantate gegen Air-Gapped-Netzwerke einsetzte (Dezember 2025), die Dokumentation von ESET über Aktivitäten der Gruppe GoldenJackal gegen Regierungsziele in der EU (2022 bis 2024) sowie die Berichterstattung von Kaspersky über APT31-Implantate in osteuropäischen Industriesystemen. Stuxnet (der 2010 entdeckte, weltweit erste bekannte Computerwurm zur gezielten Sabotage von Industrieanlagen) gilt nach wie vor als das klassische Musterbeispiel für einen Angriff auf die Lieferkette über USB-Medien.

Weitere Angriffsvektoren für die Überwindung der Netztrennung sind infizierte Laptops von OEM-Service-Fachkräften und externen Dienstleister:innen, ungeprüfte Software-Updates sowie undokumentierte Funkschnittstellen (wie Bluetooth, Mobilfunkmodems oder WLAN in Wartungstools). Diese brechen die vermeintliche Isolation auf, ohne dass die Inventarlisten der IT-Assets aktualisiert werden.

Die meisten Security-Tools für Unternehmen wurden für vernetzte Umgebungen entwickelt. Innerhalb eines Air-Gapped-Netzwerks erweisen sich mehrere gängige Grundannahmen als falsch.

1. Mit Cloud-gestützten Management-Konsolen können keine Endpunkte überwacht werden, die für diese nicht erreichbar sind.
2. Signaturbasierte Antiviren-Programme veralten schnell, wenn Updates nicht im gewohnten Rhythmus bereitgestellt werden.
3. Cloud-zentrierte Backup-Lösungen setzen voraus, dass die Zielorte für den Backup-Storage erreichbar sind. Backup-Lösungen für Air-Gapped-Netzwerke erfordern einen lokalen Storage als primäre Option.
4. Die meisten aktuellen Tools aus diesem Bereich bieten keine Unterstützung für Legacy-Betriebssysteme. In OT-Anlagen kommen häufig noch Windows XP, Server 2003 und ältere Linux-Kernel zum Einsatz, da die OEM-zertifizierten Applikationen exakt diese Versionen voraussetzen.
5. Es fehlen eigenständige Workflows zur Wiederherstellung, die direkt durch das Anlagenpersonal durchgeführt werden können. Generische Backup-Lösungen für Unternehmen setzen voraus, dass hochspezialisierte IT-Fachkräfte die Wiederherstellung manuell steuern.

Diese Kontrollmechanismen lassen sich direkt den gängigen Sicherheitsstandards zuordnen. Sie decken die Anforderungen der Norm IEC 62443-3-3 ab – speziell die Sicherheitsanforderungen SR 7.3 zur Integrität von Daten-Backups sowie SR 7.4 zur Systemwiederherstellung. Zudem entsprechen sie den Richtlinien für Kompensationsmaßnahmen gemäß dem NIST-Leitfaden SP 800-82 (Revision 3).

1. Verifizierte Asset-Inventarisierung aller Geräte innerhalb von Air-Gapped-Netzwerken – wie etwa Speicherprogrammierbare Steuerungen (PLCs), Fernwirksysteme (RTUs), Bedien- und Beobachtungssysteme (HMIs), SCADA-Server, Engineering-Workstations sowie Prozessdatenarchive (Historians). Bei einer solchen Inventarisierung können häufig undokumentierte Funk- oder Mobilfunkverbindungen aufgedeckt werden.
2. Kontrollmechanismen für Wechselmedien: Nutzen Sie ausschließlich freigegebene USB-Geräte, richten Sie Schleusen (Sanitization Stations) an den Anlageneingängen ein, deaktivieren Sie ungenutzte USB-Ports und führen Sie Audit-Logs durch.
3. Offline-fähiger verhaltensbasierter Schutz: Mit dieser Funktion können Sie Ransomware-Aktivitäten, anomale Prozessabläufe und unbefugte Verschlüsselungen auch ohne Cloud-basierte Updates der Signatur-Datenbank erkennen. Acronis Active Protection ist standardmäßig für einen Offline-Betrieb ausgelegt.
4. Native Backup & Recovery-Lösungen für Air-Gapped-Netzwerke: Mit einem solchen Tool können Sie Image-basierte Backups von HMIs, SCADA-Systemen und Engineering-Workstations auf einem lokalem Storage sichern. Zudem profitieren Sie von einer hohen Benutzerfreundlichkeit (One-Click-Recovery-Funktion), der Wiederherstellbarkeit auf abweichender Hardware (Universal Restore-Funktion) sowie der Möglichkeit, Backups vor einer Wiederherstellung automatisch überprüfen zu lassen.
5. Bereinigung aller eingehenden Dateien: Mithilfe von verhaltensbasierten Scans, Content Disarm and Reconstruction (CDR-Funktion, zur Bereinigung aktiver Inhalte) sowie Hash-Verifikationen anhand der Prüfsummen der Hersteller.
6. Lokales Management der Schutztools auf Werksebene: Hierbei wird die Management-Konsole vollständig innerhalb des OT-Netzwerks betrieben. Acronis Cyber Protect Local bietet genau diese Funktionsspektrum.

Acronis Cyber Protect für OT-Umgebungen ist die einzige Plattform im Bereich OT-Backup und OT-Disaster-Recovery, die standardmäßig auf den Betrieb in Air-Gapped-Netzwerken ausgelegt ist. Die Lösung wird in Produktionsumgebungen bei Unternehmen wie ABB, Schneider Electric, Toyota, Tata Steel, Sasol und BDR Pharmaceuticals erfolgreich eingesetzt.

Die Sicherheitsanforderungen SR 7.3 und SR 7.4 der Norm IEC 62443-3-3 decken die Integrität von Daten-Backups und Systemwiederherstellungen ab. Die Norm IEC 62443-4-1 regelt den sicheren Produktlebenszyklus (SSDLC) von Anbietern. Auch Acronis ist entsprechend zertifiziert. Zudem liefert der NIST-Leitfaden SP 800-82 (Revision 3) die entsprechenden Vorgaben für Kompensationsmaßnahmen bei Altsystemen. Der Artikel 21 der NIS-2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen zur Gewährleistung der Betriebskontinuität sowie zum Backup-Management und Disaster Recovery-Fähigkeiten. Die Standards NERC CIP-007 und CIP-009 decken das Sicherheitsmanagement von Systemen sowie Wiederherstellungspläne für das Verbundstromnetz ab. Die sogenannten GxP-Regulierungen decken die Datenintegrität in der Pharmaindustrie ab. Ein mit Air-Gapped-Netzwerken kompatibles Backup stellt dabei den zentralen technischen Kontrollmechanismus dar, der all diese regulatorischen Anforderungen unterstützt.

Eine physische Netztrennung ist zwar ein starker Kontrollmechanismus, aber kein absolut unüberwindbarer Schutz. Cyberkriminelle überwinden Air-Gapped-Netzwerke regelmäßig durch Schadsoftware auf USB-Geräten, Kompromittierungen der Lieferkette, Laptops von externen Dienstleister:innen sowie undokumentierte WLAN-Verbindungen. Betrachten Sie die Netztrennung daher als eine von mehreren Verteidigungsschichten. Kombinieren Sie diese mit einem offline-fähigen verhaltensbasierten Schutz, Kontrollmechanismen für Wechselmedien sowie einer zuverlässigen Backup & Recovery-Lösung.

Ja. Active Protection wird komplett offline betrieben. Zudem bietet Acronis Cyber Protect Local eine lokale Management-Konsole auf Werksebene, die komplett innerhalb des OT-Netzwerks ausgeführt werden kann. Als Storage-Ziele können Sie (je nach den Sicherheitsrichtlinien Ihrer OT-Anlage) lokale Festplatten, NAS, SAN, eine Private Cloud oder den Acronis Cloud-Storage konfigurieren.

Ein Air-Gapped-Netzwerk beschreibt die Betriebsumgebung als solche. Ein unveränderliches Backup (Immutable Backup) ist eine spezielle Backup-Technologie, bei der die Backups vor nachträglichen Änderungen oder Löschungen geschützt werden. Ein Offline-Backup wiederum bezeichnet eine Backup-Strategie, bei der die physische Speicherung der erstellten Backups vollständig von den Produktionsumgebungen getrennt ist. Eine lückenlose Data Protection-Architektur im OT-Umfeld kombiniert in der Regel alle drei Ansätze miteinander.