Cloud‑Arbeitsplätze IT/OT-Sicherheit: Wartung ohne Notebook-Wildwuchs

Anbieter zum Thema

ADLON Intelligent Solutions GmbH

Schneider Electric GmbH

PSI Software SE | Business Unit Discrete Manufacturing

Identitätsgebundene Cloud‑Arbeitsplätze machen externe Zugriffe durch Servicetechniker oder Lieferanten kontrollierbar, indem diese nicht mehr auf ihren eigenen Geräten, sondern in einer definierten Umgebung arbeiten. Das erhöht die IT/OT-Sicherheit.

Externe Servicetechniker, Lieferanten und Engineering Partner sind aus modernen Produktionsumgebungen nicht mehr wegzudenken. Sie übernehmen häufig Software-Updates, Fernwartung, Parametrierung und Inbetriebnahmen. Doch damit explodiert die Anzahl externer Zugriffe auf produktionsnahe Systeme. In der Praxis führt das zu einem Wildwuchs aus Notebooks, Sonderfreigaben und individuellen Sicherheitsannahmen.

Investitionen in Firewalls, VPNs und Netzwerksegmentierung sind zwar üblich, trotzdem verlieren Unternehmen häufig den Überblick über Zugriffe von außen. Denn das eigentliche Problem ist nicht das Netzwerk, sondern die fehlende Kontrolle über Identitäten und Arbeitsumgebungen. Wer externe Zugriffe beherrschen will, muss den Fokus verlagern.

Externe Zugriffe: Der blinde Fleck industrieller Sicherheitskonzepte

In den meisten Fällen erfolgt externe Wartung in Fabriken noch immer über mitgebrachte Notebooks. Diese Geräte unterliegen weder der internen IT‑Governance noch einer einheitlichen Sicherheitskonfiguration. Betriebssystemstände, Patchlevel oder installierte Tools sind oft unbekannt. Zugänge werden temporär eingerichtet und bleiben unter Umständen dauerhaft bestehen. Nachweise darüber, wer wann mit welchem System gearbeitet hat, lassen sich nur schwer erbringen. Gerade bei Audits zeigt sich regelmäßig, dass formale Prozesse existieren, technische Durchgängigkeit jedoch fehlt. Der externe Zugriff wird damit zum blinden Fleck zwischen IT‑ und OT‑Security.

Warum Firewalls und VPNs das eigentliche Problem nicht lösen

Die Konzeption klassischer Sicherheitskonzepte nutzt das Netzwerk als Ausgangspunkt. Ein VPN schafft Konnektivität, aber keine Kontrolle über das Endgerät dahinter. Sobald ein externer Laptop im Netz ist, gelten implizite Vertrauensannahmen. In hybriden IT‑/OT‑Architekturen mit Cloud‑Anbindungen, temporären Partnern und wechselnden Projekten stößt dieses Modell an seine Grenzen. Eine perfekt konfigurierte Firewall schützt nicht vor unsauberen Arbeitsumgebungen. Selbst sauber segmentierte Netze verlieren an Aussagekraft, wenn externe Zugriffe aus unbekannten oder nicht kontrollierten Arbeitsumgebungen erfolgen. Die Frage lautet daher nicht mehr, wie gut das Netz geschützt ist, sondern wie vertrauenswürdig der Zugriff selbst ist.

Identität als neuer Kontrollpunkt in der Fabrik

Moderne Sicherheitsmodelle folgen dem Zero‑Trust‑Prinzip. Das von der US‑Behörde NIST beschriebene Modell fordert, jedem Zugriff eine explizite Prüfung von Identität, Kontext und Zustand zugrunde zu legen. Vertrauen entsteht hier nicht durch Netzzugehörigkeit, sondern durch überprüfbare Eigenschaften.

Für die Produktion bedeutet das: Die Person, ihre Arbeitsumgebung und das Zielsystem müssen sauber voneinander getrennt werden. Erst diese Trennung ermöglicht Nachvollziehbarkeit, gezielte Einschränkung und einen kontrollierten Entzug von Rechten. Damit verschiebt sich die Kontrolle vom Netzwerk auf den Zugriff selbst – unabhängig davon, von wo oder mit welchem Endgerät gearbeitet wird.

Cloud PC statt Notebook‑Wildwuchs: Die Prinzipien Windows 365 und Azure Virtual Desktop (AVD)

Cloud-PCs setzen genau an diesem Punkt an. Ein Cloud-PC ist ein persönlicher, dedizierter Windows‑Arbeitsplatz, der mittels Windows 365 oder Azure Virtual Desktop (AVD) zentral bereitgestellt und identitätsgebunden genutzt wird. Externe Partner arbeiten nicht mehr auf ihren eigenen Geräten, sondern in einer definierten Umgebung. Zugriffe erfolgen ausschließlich über geprüfte Identitäten mit Mehrfaktor‑Authentifizierung und Daten verbleiben im kontrollierten Workspace. Das physische Endgerät verliert somit an Bedeutung. Aus Sicht von Adlon Intelligent Solutions ist das ein struktureller Paradigmenwechsel: Kontrolle entsteht durch Standardisierung der Arbeitsumgebung, nicht durch Misstrauen gegenüber dem Nutzer.

Windows 365 vs. Azure Virtual Desktop: Einordnung für die Industrie

Beide Dienste basieren auf derselben technologischen Plattform, adressieren jedoch unterschiedliche Anforderungen: Azure Virtual Desktop bietet hohe Flexibilität bei Architektur und Skalierung. Virtuelle Desktops lassen sich dynamisch bereitstellen und für komplexe Szenarien anpassen. Gleichzeitig steigt der Betriebsaufwand deutlich: Design, Patch‑Management, Kostenkontrolle und Sicherheitsrichtlinien müssen aktiv gesteuert werden. Windows 365 setzt hingegen bewusst auf Standardisierung. Jeder Nutzer erhält einen fest zugeordneten Cloud-PC mit definierten Leistungsparametern und klaren Zuständigkeiten. Für viele industrielle Szenarien kann gerade diese Einschränkung von Vorteil sein, weil sie Komplexität reduziert und Compliance erleichtert. Der entscheidende Unterschied liegt damit weniger in der technischen Leistungsfähigkeit als im Betriebsmodell.   

Vom Onboarding bis zum Audit: Governance mit Intune und Policies

Der eigentliche Mehrwert eines Cloud-PCs in der Fabrik entsteht erst durch konsequente Governance. Sie wird damit zu einem technisch durchgesetzten Rahmen für Wartung und Engineering.Konkret wird dieser Rahmen im Onboarding externer Partner. Dieses folgt dabei festen Abläufen, wie der Definition einer externen Identität und Zuordnung der entsprechenden Rolle. Rechte lassen sich zeitlich begrenzen und jederzeit entziehen. Der Zugriff auf OT-nahe Ressourcen wie Engineering Stations, MES-Systeme oder produktionsrelevante Applikationen erfolgt nicht mehr direkt vom externen Endgerät aus. Dieser ist ausschließlich aus dem kontrollierten Cloud-Arbeitsplatz heraus möglich und folgt konsequent dem Zero-Trust-Prinzip. Netzfreigaben werden nicht dauerhaft geöffnet, sondern kontextabhängig und identitätsgebunden gewährt. Zentrale Voraussetzung dafür ist eine einheitliche Sicherheitslinie. Über eine definierte Policy Baseline wird sichergestellt, dass jeder Cloud-PC denselben Sicherheitsanforderungen folgt – unabhängig davon, welcher externe Partner ihn nutzt. Konfigurationen, Schutzmechanismen und Zugriffsbeschränkungen entstehen nicht mehr ad hoc, sondern sind technisch erzwungen und jederzeit nachvollziehbar dokumentiert.

Fazit: Fokus weg vom Endgerät hin zur Identität

Externe Zugriffe sind Realität. Sie lassen sich nicht verhindern, aber gestalten. Cloud-PCs verschieben den Fokus weg vom Endgerät hin zur Identität. Das reduziert Schatten‑IT, vereinfacht Governance und erhöht die Nachweisbarkeit. Die entscheidende Frage lautet nicht mehr, ob externe Zugriffe sicher sind. Entscheidend ist, ob sie sauber organisiert sind. Wer Identitäten kontrolliert, kontrolliert auch die Fabrikzugänge.