Welche Vorteile Agentless Access in der OT bietet

Warum ist ein sicherer Fernzugriff auf OT‑Systeme gerade jetzt für die Industrie so relevant? 

Felix Wirthmann: Die aktuellen Haupttreiber insbesondere im Maschinenbau sind die Regularien NIS-2 und der EU Cyber Resilience Act. Hinzu kommt der massive Anstieg an Cyberattacken. Laut einer Analyse der europäischen Agentur für Cybersicherheit ENISA verlagern sich die Angriffe derzeit deutlich in Richtung von Operational Technology (OT) beziehungsweise Industrial Control Systems (ICS), also industrieller und kritischer Systeme.

Mit zunehmender Automatisierung, vernetzten Maschinen und global verteilten Serviceteams steigt zudem der Bedarf, Anlagen schnell und gezielt aus der Ferne erreichbar zu machen. Auch der Fachkräftemangel spielt hier eine Rolle. Fernzugriff in OT-Netzwerken muss deshalb heute schnell, zuverlässig, sicher und kontrolliert funktionieren. Agentenlose Lösungen setzen genau hier an.

Welche typischen Service‑ oder Wartungsfälle lassen sich remote mit agentenlosen Lösungen lösen? 

Wirthmann: Agentenlos bedeutet, dass auf dem Endpunkt in einem Firmennetzwerk, auf den ich zum Beispiel über TeamViewer zugreifen möchte, keine Installation notwendig ist. Der Zugriff läuft stattdessen über ein vorgeschaltetes Gateway, das den sicheren, „Zero Trust“-basierten Fernzugriff ermöglicht.

Typische Anwendungsfälle sind Zugriffe auf OT-Endpunkte wie SPS, HMIs und Legacy-Systems wie beispielsweise Windows XP für Inbetriebnahmen, Umrüstungen, Neukonfigurationen, Störungsbehebungen und Troubleshooting sowie Retrofitting.

Für welche typischen Produktionsumgebungen wurden die agentenlosen Lösungen entwickelt und wie gehen Sie mit Brownfield‑Umgebungen um, etwa mit alten PLCs, HMIs oder veralteten Betriebssystemen?

Wirthmann: Agentenloser Zugriff ist für komplexe und heterogene OT-Infrastrukturen ausgelegt, von hochautomatisierten Produktionsumgebungen bis zu gewachsenen Brownfield-Landschaften. Gerade bei Letzteren ist das wichtig, weil bestehende Anlagen etwa aufgrund von Gewährleistungsvereinbarungen mit Lieferanten nicht verändert werden dürfen. Der agentenlose Ansatz greift nicht in die Endpunkte ein und erhält so die Integrität älterer oder proprietärer Systeme. Die Lösung ist auf den Einsatz in mikro-segmentierten Netzwerken spezialisiert und ermöglicht so eine Isolierung der OT-Umgebung.

Eine standardisierte Zugriffsplattform hilft zudem dabei, Single Points of Failure zu reduzieren. In der Praxis können Teams so auf vernetzte Komponenten zugreifen, alles über eine Plattform. TeamViewers Agentless Access unterstützt derzeit Protokolle wie VNC und SSH, weitere Protokolle werden folgen.

Wie hilft die Lösung Unternehmen dabei, Anforderungen aus NIS‑2 zu erfüllen? 

Wirthmann: Agentless Access unterstützt segmentierte Netzwerke zur Isolierung von OT-Umgebungen, zudem Protokollisolierung und Terminierung als Cybersecurity „best practices“. Die Lösung ist „Zero Trust“-basiert und unterstützt starke Mechanismen zur Authentifizierung und rollenbasierten Zugriffskontrolle.

Was unterscheidet Agentless Access von klassischen Fernwartungs- oder VPN‑Lösungen?

Wirthmann: Klassische VPN-Lösungen arbeiten auf dem dritten Netzwerk-Layer und gewähren externen Nutzern nach der Authentifizierung oft breiten Netzwerkzugriff, der erst anschließend eingeschränkt werden muss.

Bei Agentless Access bauen wir Punkt-zu-Punkt-Verbindungen auf dem vierten Layer auf. Einzelne Endpunkte werden gezielt freigegeben, zeitlich begrenzt und rollenbasiert gesteuert. Das passt besser zu segmentierten OT-Netzwerken und erlaubt etwa den befristeten Zugriff externer Dienstleister auf einzelne Komponenten während eines Wartungsfensters.

Gleichzeitig hilft der Ansatz, isolierte Einzellösungen zu konsolidieren. IT-Teams haben eine zentrale Stelle, um Zugriffe, Sicherheitsregeln und Identitäten einheitlich zu verwalten. Das senkt den Administrationsaufwand und reduziert das Risiko von Fehlkonfigurationen.

Wie funktioniert der agentenlose Zugriff technisch, wenn auf den Zielsystemen keine Software installiert wird?

Wirthmann: Der Zugriff erfolgt über ein vorgeschaltetes Gateway als zentralem Zugangspunkt in das Produktionsnetz. Es vermittelt und kontrolliert die Verbindungen zu den Endgeräten. Für autorisierte Nutzer fühlt sich der Zugriff an wie eine normale TeamViewer‑Verbindung.

Das ist besonders in der Produktion relevant, weil Maschinen häufig mit Garantie- oder Gewährleistungsbedingungen des Herstellers verbunden sind und Betreiber daher Änderungen an den Endgeräten möglichst vermeiden wollen.

Das Gateway kann auf einem lokalen Server oder als vorkonfiguriertes Hardware‑Gateway umgesetzt werden. Letzteres lässt sich per Plug‑and‑Play im Firmennetzwerk installieren. Es ist das Ergebnis einer Kooperation zwischen Bechtle, Kontron und TeamViewer.

Warum haben sich TeamViewer, Bechtle und Kontron für diese Kooperation zusammengeschlossen? 

Wirthmann: Die Kooperation bündelt drei komplementäre Kompetenzen. TeamViewer stellt die Softwareplattform, Kontron liefert die industrielle Hardware und das gehärtete industrielle Betriebssystem „KontronOS“, Bechtle übernimmt Bereitstellung, Integration sowie Lifecycle-Management als Managed Service.

Das Ergebnis ist eine sofort einsatzbereite Lösung aus einer Hand, die Hardware, Software und Services verbindet. Für Unternehmen bedeutet das in der Praxis eine schnellere Einführung, weniger Wartungsaufwand, einfacheres Patch-Management und geringere Komplexität im laufenden Betrieb.

Welche Voraussetzungen müssen in einer Produktionsumgebung erfüllt sein, damit Agentless Access eingesetzt werden kann?

Wirthmann: Für alle Endpunkte, die vom Gateway aus über eine IP angesprochen werden können, kann ein entsprechender Zugriff konfiguriert werden.

Welche Weiterentwicklungen sind für das Gateway Agentless Access geplant?

Wirthmann: Derzeit arbeiten wir daran, weitere häufig genutzte Protokolle nativ zu unterstützen. Zudem sind wir aktuell im Prozess für eine Zertifizierung nach der internationalen IEC62443-Norm für industrielle Cybersecurity.

Generell wollen wir unsere OT-Lösungen noch leistungsfähiger machen und sie besser an die Realitäten unsere Zielgruppen in diesem Segment zuschneiden, also beispielsweise Automatisierungs-Teams oder technischer Kundenservice.

Und wo liegen die Grenzen von Agentless Access?

Wirthmann: Es ist entscheidend, dass die Lösung in ein übergeordnetes Sicherheits- und Governance‑Konzept eingebettet wird. Nur im Zusammenspiel mit klar definierten Prozessen, Rollen und Zugriffskontrollen kann sicherer Fernzugriff in der Produktion nachhaltig funktionieren. Kunden müssen ihre Netzwerkumgebung entsprechend absichern und netzwerkseitige Zugriffsmöglichkeiten und Protokolle einschränken.