SINEC: Siemens neue Zero Trust Lösung für OT-Umgebungen

Hier ist dein Text mit korrigierten Fehlern und dezentem Feinschliff (Schweizer Rechtschreibung, keine inhaltlichen Änderungen):

SINEC, also die Zero-Trust-Lösung von Siemens, zielt darauf ab, OT-Umgebungen (vorzugsweise von Siemens) netzwerkseitig mikrosegmentieren. Die Lösung soll das bekannte Problem lösen, dass OT-Zugriffe oft schwer zugänglich in separaten Netzwerken/Zonen hängen und der Zugriff darauf umständlich ist, während die Segmentierung in den meisten Unternehmen maximal makrotechnisch gelöst ist. Dabei soll SINEC ermöglichen, sowohl Benutzerzugriffe sicher auf OT-Geräte (primär die vorgeschalteten SPS-Steuerungen, an denen die einzelnen Maschinen/Anlagen terminieren) zu erlauben, als auch East-West-Zugriffe zwischen OT-Geräten mikrosegmentiert zu ermöglichen – Letzteres sogar standortübergreifend.

Ermöglicht wird das über «Edge-Router». Diese Edge-Router werden vor den Zellen positioniert, bei Bedarf in Hochverfügbarkeits-Clustern. Die Cluster-Member werden von einem zentralen «Secure Connect Controller» verwaltet. Dieser weist Logik, Konfiguration, Policies und Routen zu. Er ist das zentrale Management und die Admin-UI für die Lösung. Die Edge-Router können sich miteinander verbinden (verschlüsseltes Overlay-Netzwerk). Dies geschieht vollvermascht (full-meshed), auch standortübergreifend. Der standortübergreifende Zugriff kann entweder über gehostete (Siemens hat dies quasi durch Automatisierung teil-SaaS-ifiziert) Edge-Router in Public Clouds in der gewünschten Region (wegen Latenz) erfolgen. Das Deployment in einer Siemens-AWS-Umgebung ist heute angeblich bereits vollautomatisiert. Alternativ können die Router auch exponiert werden, um ein direktes Routing zwischen Standorten zu ermöglichen und zusätzliche Latenz über die Public Cloud zu vermeiden. Dabei müssen diese Router natürlich öffentlich erreichbar gemacht werden (aua – wer macht denn so was?). Die Router ziehen dann den Traffic nach Eingang auf deren Ports ins Overlay-Netzwerk und routen diesen auf dem kürzesten Weg durch das vermaschte Netzwerk zum Ziel. Mikrosegmentierung kann über das zentrale Management appliziert werden, ist aber komplett nicht automatisiert. Die Protokolle werden dabei anwendungsbewusst (application-aware) identifiziert und können ebenso in der Policy referenziert werden.

Der Zugriff von Usern geschieht nach demselben Prinzip. User verbinden sich auf Edge-Router, werden dort segmentiert und dann gegebenenfalls auf OT-Umgebungen zugelassen – oder eben nicht. Dies geschieht aktuell per Agent. Der Agent kann sich entweder direkt auf die Edge-Router in den OT-Umgebungen verbinden (Achtung: Auch hier muss der Edge-Router exponiert werden) oder kann über die Instanzen in den Public Clouds (zu denen sich die OT-Router inside-out verbinden können) geroutet werden (höhere Latenz). Dies soll die Zugriffe OT-to-OT mikrosegmentieren bzw. den Zugriff Benutzer/Dienstleister-to-OT vereinfachen.

Die Infrastruktur sieht (das zentrale SaaS-Management, das Policies und Router steuert, zur Übersichtlichkeit weggelassen) dann – ohne Netzwerk-Komponenten, dazu später in der Kritik mehr – in etwa so aus:

Grundsätzlich: Ich finde die Tatsache, dass ein europäischer Hersteller in den IT-Bereich einsteigt, sehr gut. Wenn wir strategisch überhaupt noch irgendeine Chance haben wollen, dann ist das jetzt eh schon die allerletzte Chance. Nichts sehne ich mehr, als Europa wieder führend in der Hightech-Industrie zu sehen, weil sie unseren Wohlstand sichert, für Arbeitsplätze sorgt und uns ermöglicht, unser aufgeklärtes Weltbild mit etwas mehr Standfestigkeit in der Welt zu verteidigen.

Ich will auch nicht unfair sein, denn: Siemens ist – auch wenn sie eigentlich Zscaler-Kunde sind und intern viel Know-how im SASE- und Zero-Trust-Bereich haben – neu in dem Umfeld. Das Produkt wurde gerade erst gelauncht, während Amerikaner, Chinesen (auch wenn hier keiner weiss, was Huawei nicht alles für gute Lösungen baut) und Israelis seit Jahrzehnten in dem Markt unterwegs sind.

Ich kann auch die Qualität des Produktes nicht bewerten, da ich es noch nie ausprobiert habe und all mein Wissen aus den Gesprächen mit den Siemens-Architekten kommt. Fehler seien mir hier also bitte verziehen; ich korrigiere sie gern transparent im Nachgang.

Dennoch muss ich folgende Kritik äussern.

Siemens trennt strategisch den Bereich OT von IT. Gemäss den Aussagen ihrer Mitarbeitenden haben sie auch kein Interesse daran, später in den IT-Markt vorzudringen. Dies stellt aus meiner Sicht jedoch ein massives Problem dar: Anstatt Komplexität zu reduzieren, wird sie erhöht.

Mit dem architektonischen Ansatz des Status quo braucht es weiterhin Firewalls für IT sowie OT-to-IT, weiterhin Proxys und zusätzlich eine separate SSE-Lösung für IT. Der Ansatz, IT und OT zu trennen, ist meiner Meinung nach realitätsfremd und maximal ineffizient.

Er führt letztlich dazu, dass ich Hardware an den Standorten multiplizieren statt halbieren muss. Insgesamt entsteht dadurch noch mehr Komplexität, weil ich ein weiteres (neben SSE) Overlay-Netz im lokalen Netzwerk administrieren, managen und überwachen muss.

Auch wenn der Zero-Trust-Markt aktuell eine Marktdurchdringung von maximal 20–30 % hat und damit weiterhin enormes Wachstumspotenzial besteht, bezweifle ich, dass Siemens langfristig damit Erfolg haben kann, wenn sie nicht in den IT-Sektor hineinwachsen.

Wenn ich an Zugriffe auf OT denke, dann will ich PAM, PEM, Key-Injection, Sandboxes für Files, Browser-Isolation, Session-Recording, SIEM-Forwarding, Certificate-Management und KI-unterstützte Mikrosegmentierung. Viele der SSE-Vendoren unterstützen bereits heute eine Vielzahl dieser Features. Ich habe keines davon bisher erkennen können. Auch Updates der – allerdings vorgeschlagen exponierten – Edge-Router werden heute noch nicht zentral gemanagt. Hier muss Siemens massiv aufholen, damit jemand mit Überblick über den SSE-Markt diese Lösung überhaupt in Betracht zieht.

Der Remote-Zugriff via Agent ist grundsätzlich für interne Mitarbeitende in Ordnung. Mit Sicherheit führt er zu Interferenzen und erhöhtem Aufwand neben Proxys, VPNs und SSE-Agents, aber gemäss Siemens ist er zumindest in Koexistenz mit Zscaler erfolgreich getestet.

Nichtsdestotrotz: Soll ein Maschinenhersteller, der seine Maschinen an Hunderte von Unternehmen verkauft, in Zukunft 100 Geräte pro Kunde anlegen? Das skaliert nicht und macht operativ keinen Sinn – besonders dann nicht, wenn der Hersteller selbst eine SSE- oder VPN-Lösung einsetzt und deren Compliance den Einsatz eines Remote-Access-Agents anderer Firmen gar nicht zulässt.

Gerade OT hat genau diese Herausforderung. Browser-Isolation ist ein absolutes Muss, damit Hersteller sicher und einfach zu Wartungszwecken auf ihre Maschinen bei Kunden zugreifen können!

Wieso zur Hölle bin ich eignetlich der Erste, der darüber schreibt? Was ist eigentlich mit der Website los, auf der die Erfindung irgendwo in einer Nische versteckt ist – mit halbfertigen Erklärungen und schwieriger Darstellung?

Wieso so komplexe Erklärungen mit Overlay-Netzerken und Underlays? Das versteht euer Segment nicht, die bauen Maschinen keine IT-Security-Lösungen!

Wo sind die Trommeln und Trompeten, mit denen die Lösung gelauncht wurde? Wo sind die Lösungsbriefe? 

Die Idee ist gut, die Notwendigkeit aus strategischer Perspektive für den Wirtschaftsstandort Europa maximal. Die Architektur und Produktstrategie stelle ich mit meinem aktuellen Kenntnisstand in Frage. Die Feature-Dichte ist minimal – wobei die Erwartung bleibt, dass diese schnellstens ausgebaut wird.

Als Bayer, Deutscher und Europäer mit Anspruch und Kulturbewusstsein hoffe ich, Siemens macht es – und ist erfolgreich. Ich wünsche mir, dass die europäische Elite irgendwann nicht mehr auf dem Pannenstreifen, sondern wieder auf der Überholspur ist. Ich glaube aber auch, dass das noch ein ganzes Stück Arbeit ist und ein massives Umdenken aus dem Tunnelblick OT erfordert.