Auf den Punkt: PKI-Implementierungen in Produktion erfordern Lösungen für ressourcenbegrenzte Geräte, Netzwerkisolation und Echtzeit-Anforderungen, die sich deutlich von klassischer IT-Sicherheit unterscheiden.
Die Sicherung von Operational-Technology-Netzwerken über Public-Key-Infrastructure stößt auf spezifische technische Hürden, die sich fundamental von klassischen IT-Umgebungen unterscheiden. Ressourcenengpässe, Netzwerkisolation und strikte Echtzeit-Anforderungen verlangen nach angepassten Architektur-Lösungen.
In OT-Umgebungen prägt die Ressourcenbeschränkung der Endgeräte die PKI-Architektur maßgeblich. Speicherprogrammierbare Steuerungen (SPS), Fernwirkeinheiten (RTU) und Sensoren verfügen typischerweise nur über begrenzte CPU-, RAM- und Speicherkapazitäten. Dies führt zu praktischen Problemen: Vollständige Zertifikatssperrlisten (CRLs) passen nicht in den Arbeitsspeicher, und der TLS-Handshake wird zeitkritisch beeinträchtigt.
Die Netzwerktopologie erschwert zudem die Validierung von Zertifikaten im laufenden Betrieb. Viele Produktionszonen sind völlig luftgekoppelt oder unterliegen strikten Segmentierungsregeln, wodurch eine ständige Erreichbarkeit externer OCSP-Responder oder Cloud-Dienste entfällt. Das Zertifikatsmanaagement muss lokal und über isolierte Zonengrenzen hinweg zuverlässig funktionieren, ohne dass zentrale Online-Dienste verfügbar sein müssen.
Verfügbarkeit und Echtzeitkommunikation sind im Betrieb von Kritischer Infrastruktur nicht verhandelbar. Ausfallzeiten der Certificate Authority oder Fehler bei der Zertifikatssperrlisten-Verteilung gefährden direkt die Anlagestabilität. Industrielle Netzwerkprotokolle fordern zudem deterministische Kommunikation mit fest definierten Latenzen – eine ungeeignete Zertifikatsprüfung kann unvorhersehbare Verzögerungen beim Verbindungsaufbau verursachen und damit die Echtzeitanforderungen der Prozesse gefährden.
Die Skalierungsdimension verstärkt die Komplexität erheblich. Moderne Fertigungsanlagen betreiben mehrstellig Millionen von Geräten, die alle ihre eigene kryptografische Maschinenidentität benötigen. Eine manuelle Verwaltung ist ausgeschlossen; automatisierte Provisioning- und Revocation-Verfahren sind zwingend. Hinzu kommt die Segmentierung nach Vertrauensdomänen: Interne Betriebsteams, externe Wartungsdienstleister und Originalausrüster (OEM) müssen in strikten Zugriffsgrenzen agieren können, was lückenlose Auditierbarkeit verlangt.
Quelle: www.it-daily.net · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.