aiMOOC

IT-Sicherheit und OT-Sicherheit – Netzwerksegmentierung als Schutzmaßnahme erklären

QR-Code

IT-Sicherheit und OT-Sicherheit – Netzwerksegmentierung als Schutzmaßnahme erklären

Kurzbeschreibung: Schutzzonen planen, notwendige Verbindungen kontrollieren und den laufenden Betrieb schützen. Zielgruppe: Ausbildung in IT, Automatisierung und Mechatronik. Dauer: ca. 70–90 Minuten in sechs kurzen Einheiten mit Praxislabor.

Du kannst danach IT und OT unterscheiden, ein Zonenmodell zeichnen, eine einfache Kommunikationsmatrix begründen und Sicherheitsregeln an ausschließlich fiktiven Daten testen.

Sicherheitsrahmen: Alle Firmen, Systeme, Namen und Kommunikationsversuche im Kurs sind erfunden. Das Python-Labor verarbeitet nur Zeichenketten im eigenen Rechner. Es öffnet keine Netzwerkverbindung, scannt keine Geräte und steuert keine Maschinen. Keine Tests an fremden Netzen, Produktivanlagen oder echten SPS! Reale Änderungen benötigen Freigabe, Risikoanalyse, Wartungsfenster und Rückfallplan.

Einleitung

Leitfrage: Wie erhält die Verwaltung Produktionsdaten, ohne direkt auf eine SPS zugreifen zu dürfen?

Merksatz: Nicht alles darf mit allem sprechen. Netzwerksegmentierung trennt Systeme in überschaubare Bereiche. Zwischen ihnen sind nur begründete und kontrollierte Kommunikationswege zulässig. In der OT-Sicherheit kommen Betriebssicherheit, Verfügbarkeit und mögliche physische Folgen hinzu.

Abbildung: Beispiele für SPS-Hardware. Bild: Bisgaard, Wikimedia Commons, CC BY-SA 3.0.

Lernpfad: sechs kurze Lerneinheiten

Lerneinheit 1 – IT und OT unterscheiden (8 Minuten)

IT verarbeitet beispielsweise E-Mails, Aufträge und Berichte. OT überwacht oder steuert physische Vorgänge über Sensor, Aktor, HMI und SPS. Ein IT-Ausfall kann Daten und Arbeitsabläufe betreffen; ein OT-Ausfall kann zusätzlich eine Maschine oder einen Prozess beeinflussen. Vertraulichkeit bleibt wichtig, doch bei OT sind insbesondere Sicherheit von Menschen und Anlagen, Verfügbarkeit sowie verlässliche Steuerungsabläufe mitzudenken.

Mini-Aufgabe: Ordne einen Büro-PC, ein Bedienpanel und eine SPS den passenden Funktionsbereichen zu. Begründe, warum Du eine SPS nicht wie einen gewöhnlichen Arbeitsplatzrechner behandeln würdest.

Video: „Network Segmentation – Industrial Cyber Security Tutorials“, Instrumentation Tools (englisch). Fremdmedium; Urheberrechte bleiben beim Anbieter.

Lerneinheit 2 – Zonen und Conduits (10 Minuten)

Eine Zone fasst Systeme mit ähnlichen Schutzanforderungen zusammen. Ein Conduit ist ein definierter, abgesicherter Kommunikationsweg zwischen Zonen. Diese Begriffe stammen aus dem Umfeld der Normenreihe IEC 62443. Nicht ein VLAN-Name, sondern Schutzbedarf, Funktion und notwendiger Datenfluss bestimmen das Sicherheitskonzept.

Abbildung: Logische Trennung mit VLANs. Bild: Michel Bakni, Wikimedia Commons, CC BY-SA 4.0.

Wichtig: Ein VLAN trennt logisch; allein garantiert es keine sichere Zugriffskontrolle. Erst passend konfigurierte Firewalls, ACLs, sichere Administration und überprüfte Regeln kontrollieren die Übergänge. Für besonders kritische Bereiche ist je nach Risiko auch physische Trennung sinnvoll.

Abbildung: Vereinfachte Funktionsstufen industrieller Netze. Bild: Paul McLaughlin/Rohan McAdam, Wikimedia Commons, CC BY-SA 4.0. Das Purdue-Modell ist Orientierung, kein fertiger Sicherheitsnachweis.

Video: „Zones and Conduits as per IEC 62443-1-1“, ICSBit Labs (englisch).

Mini-Aufgabe: Erkläre mit einem eigenen Beispiel: Was ist die Zone, was der Conduit und wer darf die Verbindung beginnen?

Lerneinheit 3 – Der kontrollierte IT/OT-Übergang (10 Minuten)

Eine industrielle DMZ ist eine besonders kontrollierte Zwischenzone. Sie kann beispielsweise einen getrennten Berichtsserver bereitstellen: OT liefert ausgewählte Werte an diesen Dienst; berechtigte IT-Anwendungen lesen dort Berichte. Keine direkte Verbindung vom Büro-PC zur SPS!

Abbildung: Grundidee einer DMZ mit Firewall. Wikimedia Commons, gemeinfrei. Die Grafik zeigt ein allgemeines IT-Beispiel, keine fertige OT-Architektur.

Abbildung: DMZ mit zwei Firewall-Grenzen. Wikimedia Commons, gemeinfrei. Für den OT-Einsatz müssen Anforderungen gesondert geplant werden.

Achtung: Eine DMZ schützt nicht automatisch. Dienste in der DMZ brauchen ebenfalls Härtung, Berechtigungen, Protokollierung und Wartung. Auch erlaubte Verbindungen können ein Restrisiko bilden.

Mini-Aufgabe: Warum reicht es nicht, zwischen IT und SPS einfach einen Router mit freier Weiterleitung einzusetzen?

Lerneinheit 4 – Ausbildungsfall „Packlinie Nord“ (12 Minuten)

Fall: Ein fiktiver Ausbildungsbetrieb verpackt Bauteile. Die Verwaltung will täglich Stückzahlen sehen; das Bedienpersonal muss die Anlage lokal bedienen. Du erstellst einen Vorschlag, ohne ein echtes Netz zu verändern.

  [IT: Verwaltung] --Bericht--> [DMZ: Berichtskopie]
                                    ^
                                    | Status
                             [HMI: Bedienung] --Bedienung--> [SPS: Steuerung]

  IT ------------------X--------------------> SPS
               keine direkte Freigabe

Vereinfachtes Zonenmodell (nicht mit realen Prozessfreigaben gleichsetzen):

Zone	Enthält	Schutzgedanke
IT	Verwaltungs-PC	Keine direkte SPS-Verbindung
DMZ	Berichtskopie	Vermittelt ausgewählte Informationen
HMI	Bediengerät	Nur für die lokale Steuerungsaufgabe nötige Wege
SPS	Steuerung	Besonders sorgfältig abgegrenzte Kommunikation

Kommunikationsmatrix – „erlaubt“ meint hier nur den Beginn einer modellierten Anfrage; Antwortpakete, Identität, Verschlüsselung und industrielle Protokolle simulieren wir ausdrücklich nicht.

Start	Ziel	Fiktiver Dienst	Entscheidung	Begründung
IT	DMZ	Bericht	Erlaubt	Berichtskopie statt direktem Anlagenzugriff
IT	SPS	Bedienung	Gesperrt	Büro darf nicht steuern
IT	HMI	Bedienung	Gesperrt	Kein direkter Weg zur Bedienoberfläche
HMI	SPS	Bedienung	Erlaubt	Für den Ausbildungsfall benötigte Steuerungsbeziehung
SPS	IT	Bericht	Gesperrt	Kein Direktweg zwischen Steuerung und Verwaltung
HMI	DMZ	Status	Erlaubt	Ausgewählte Daten an die Zwischenzone
DMZ	SPS	Bedienung	Gesperrt	Berichtszone darf keine Steuerung auslösen
IT	DMZ	Bedienung	Gesperrt	Nur Berichtsabfragen sind begründet

Visualisierte Daten: Acht erfundene Anfragen, keine Messung aus einem Netzwerk.

Erlaubt  : ###   3 von 8
Gesperrt : ##### 5 von 8

Denkfrage: Warum ist die Zahl gesperrter Anfragen allein noch kein Nachweis für Sicherheit? Hinweis: Notwendige Kommunikation muss weiterhin korrekt funktionieren.

Lerneinheit 5 – Isoliertes interaktives Python-Labor (20 Minuten)

Testumgebung A: Speichere den folgenden vollständigen Code als segment_labor.py auf Deinem eigenen Lernrechner. Voraussetzung: Python 3. Starte ihn lokal mit python3 segment_labor.py (unter Windows je nach Installation py -3 segment_labor.py). Es werden keine Zusatzpakete benötigt.

Funktion: Menü 1 spielt acht fiktive Fälle durch; Menü 2 lässt Dich Startzone, Zielzone und Dienst eingeben; Menü 0 beendet das Labor. Es handelt sich nicht um eine echte Firewall, sondern nur um einen sicheren Regelmodell-Simulator.

# Nur fiktive Namen und Zeichenketten; keinerlei Netzwerkzugriffe.
ZONEN = ("IT", "DMZ", "HMI", "SPS")
DIENSTE = ("Bericht", "Status", "Bedienung")
ERLAUBT = {
    ("IT", "DMZ", "Bericht"),
    ("HMI", "DMZ", "Status"),
    ("HMI", "SPS", "Bedienung"),
}
TESTS = [
    ("IT", "DMZ", "Bericht"),
    ("IT", "SPS", "Bedienung"),
    ("IT", "HMI", "Bedienung"),
    ("HMI", "SPS", "Bedienung"),
    ("SPS", "IT", "Bericht"),
    ("HMI", "DMZ", "Status"),
    ("DMZ", "SPS", "Bedienung"),
    ("IT", "DMZ", "Bedienung"),
]

def pruefe(start, ziel, dienst):
    return "ERLAUBT" if (start, ziel, dienst) in ERLAUBT else "GESPERRT"

def demo():
    zaehler = {"ERLAUBT": 0, "GESPERRT": 0}
    for start, ziel, dienst in TESTS:
        status = pruefe(start, ziel, dienst)
        zaehler[status] += 1
        print(f"{start:3} -> {ziel:3} | {dienst:9} | {status}")
    for status in ("ERLAUBT", "GESPERRT"):
        anzahl = zaehler[status]
        print(f"{status:9}: {'#' * anzahl} {anzahl}")
    assert zaehler == {"ERLAUBT": 3, "GESPERRT": 5}
    assert pruefe("IT", "SPS", "Bedienung") == "GESPERRT"

if __name__ == "__main__":
    while True:
        wahl = input("1=Demo, 2=Eigener Musterfall, 0=Ende: ").strip()
        if wahl == "0":
            break
        if wahl == "1":
            demo()
        elif wahl == "2":
            start = input("Startzone IT/DMZ/HMI/SPS: ").strip().upper()
            ziel = input("Zielzone IT/DMZ/HMI/SPS: ").strip().upper()
            dienst = input("Dienst Bericht/Status/Bedienung: ").strip().title()
            if start not in ZONEN or ziel not in ZONEN or dienst not in DIENSTE:
                print("Nur die angegebenen fiktiven Namen eingeben.")
            else:
                print(pruefe(start, ziel, dienst))
        else:
            print("Bitte 0, 1 oder 2 eingeben.")

Testumgebung B – lokale Änderung: Entferne in Deiner Kopie testweise die Regel ("HMI", "SPS", "Bedienung"). Starte Menü 1 erneut. Erwartung: Zwei erlaubt, sechs gesperrt; die eingebauten Prüfungen brechen absichtlich mit AssertionError ab. Überlege, weshalb „mehr sperren“ die Bedienung unterbrechen kann. Setze die Regel anschließend zurück.

Testumgebung C – eigene Modellannahme: Füge nur in der Datei einen neuen fiktiven Dienst "Diagnose" zu DIENSTE hinzu. Prüfe zunächst HMI → SPS → Diagnose: gesperrt. Besprich danach mit Deiner Lehrkraft, unter welchen Bedingungen eine spezifische Freigabe fachlich vertretbar wäre. Keine Befehle an reale Steuerungen senden.

Gestufte Hilfen:

Stufe 1: Suche in jeder Anfrage die drei Felder Startzone, Zielzone und Dienst.
Stufe 2: Nur ein exakt passendes Tupel im Set ERLAUBT erhält eine Freigabe; alle anderen bleiben gesperrt.
Stufe 3: Im Ausgangsmodell sind nur IT–DMZ–Bericht, HMI–DMZ–Status und HMI–SPS–Bedienung erlaubt. Das Modell prüft keinen tatsächlichen Netzwerkverkehr.

Begründetes Feedback: Zeigt Menü 1 3 erlaubt / 5 gesperrt, passen die acht Testfälle zur dokumentierten Beispielpolitik. Eine direkte IT–SPS-Freigabe wäre im Fall eine unzulässige Abkürzung. Nach dem Entfernen der HMI–SPS-Regel schlägt ein Test fehl, weil eine betriebsnotwendige Modellverbindung fehlt, nicht weil der Rechner gefährdet wäre.

Lerneinheit 6 – Sicher planen, ändern und prüfen (10 Minuten)

Ein professionelles Konzept beginnt mit Bestandsaufnahme und dokumentierten Datenflüssen. Danach folgen Risikoanalyse, Zonenzuordnung, restriktive Übergangsregeln, Tests mit Fachpersonal und regelmäßige Überprüfung. Firewall-Regeln, Authentifizierung, Monitoring und ggf. physische Trennung ergänzen sich.

Abbildung: Das Prinzip erlaubter und verworfener Daten. Bild: Harald Mühlböck, Wikimedia Commons, CC BY 3.0. Ein vereinfachtes Lehrbild, keine OT-Konfiguration.

Video: „The Purdue Model in OT security“, OTbase (englisch). Diskutiert, warum das Purdue-Modell nicht unkritisch als fertige Sicherheitsarchitektur übernommen werden darf.

Merke: Ein Plan ist erst plausibel, wenn sowohl unerlaubte Verbindungen blockiert als auch notwendige Produktionsabläufe, Reaktionszeiten und sichere Betriebszustände berücksichtigt sind.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Was ist das Hauptziel einer Netzwerksegmentierung? (Nur notwendige Verbindungen zwischen getrennten Bereichen zulassen) (!Alle Geräte ohne Regeln miteinander verbinden) (!Jede Steuerung direkt ins Internet bringen) (!Passwörter durch Netztrennung vollständig ersetzen)

Was beschreibt eine Sicherheitszone? (Eine Gruppe mit ähnlichen Sicherheitsanforderungen) (!Immer genau einen Computer) (!Ausschließlich eine geografische Region) (!Nur eine Liste von IP-Adressen)

Was ist ein Conduit im Sinn von IEC 62443? (Ein definierter und kontrollierter Kommunikationsweg zwischen Zonen) (!Ein beliebiges offenes WLAN) (!Eine Festplatte) (!Eine Stromversorgung)

Welche Aufgabe erfüllt eine industrielle DMZ typischerweise? (Kontrollierte Vermittlung ausgewählter Dienste zwischen IT und OT) (!Alle Firewall-Regeln entfernen) (!Direkten Bürozugriff auf jede SPS erlauben) (!Sicherheitsprüfungen dauerhaft ersetzen)

Welche Aussage über VLANs ist richtig? (Ein VLAN ermöglicht logische Trennung, braucht aber passende Zugriffskontrollen) (!Ein VLAN macht jede Firewall unnötig) (!Ein VLAN ist grundsätzlich eine physische Trennung) (!Ein VLAN stellt automatisch die Prozesssicherheit sicher)

Welche Anfrage ist im Ausbildungsfall erlaubt? (IT zu DMZ mit Dienst Bericht) (!IT zu SPS mit Dienst Bedienung) (!DMZ zu SPS mit Dienst Bedienung) (!IT zu HMI mit Dienst Bedienung)

Was bedeutet das Grundprinzip Deny by Default? (Nicht ausdrücklich erlaubte Verbindungen werden gesperrt) (!Jede Verbindung ist ohne Prüfung erlaubt) (!Es gibt keine Protokollierung) (!Nur das Internet wird gesperrt)

Warum müssen OT-Änderungen besonders abgestimmt werden? (Weil sie Anlagenverfügbarkeit und physische Prozesse beeinflussen können) (!Weil OT grundsätzlich niemals Netze nutzt) (!Weil Schutzmaßnahmen dort unnötig sind) (!Weil alle Anlagen identische Risiken haben)

Was tut das Python-Labor? (Es vergleicht fiktive Textwerte mit einer erlaubten Regelmenge) (!Es scannt reale SPS im Netzwerk) (!Es verändert produktive Switches) (!Es lädt Zugangsdaten ins Internet)

Was zeigt der Test mit der entfernten HMI-SPS-Regel? (Dass zu strenge Regeln notwendige Funktionen behindern können) (!Dass mehr Sperren immer automatisch besser sind) (!Dass ein VLAN alle Fehler verhindert) (!Dass die DMZ alle Risiken beseitigt)

Memory

Zone	Gruppe mit ähnlichen Schutzanforderungen
Conduit	Kontrollierter Weg zwischen Zonen
DMZ	Zwischenzone für ausgewählte Dienste
SPS	Programmierbare Maschinensteuerung
HMI	Schnittstelle zur Bedienung einer Anlage
Firewall	Filtert Kommunikation anhand von Regeln

Drag and Drop

Ordne die richtigen Begriffe zu.	Passende Funktion
Bestandsaufnahme	Vorhandene Systeme und Datenflüsse erfassen
Zonenbildung	Komponenten nach Sicherheitsbedarf gruppieren
Kommunikationsregel	Zulässige Verbindung genau definieren
Funktionstest	Notwendige Abläufe im Lernmodell überprüfen
Änderungsfreigabe	Verantwortliche vor realen Umstellungen einbeziehen

Kreuzworträtsel

Firewall	Welche Sicherheitskomponente filtert Verbindungen anhand von Regeln?
Conduit	Wie heißt der definierte Kommunikationsweg zwischen zwei Schutzzonen?
Sensor	Was erfasst beispielsweise Temperatur oder Position?
Aktor	Was setzt ein Steuersignal in eine physische Handlung um?
Purdue	Welches Referenzmodell beschreibt Funktionsebenen der Industrie?
Segment	Wie heißt ein abgegrenzter Teil eines Netzwerks?

LearningApps

Dies ist eine thematische Suche bei LearningApps, keine behauptete bereits vorhandene Übung. Die externen Inhalte sind optional.

Lückentext

Die Technik zur Verarbeitung betrieblicher Informationen heißt

.

Die Technik zur Überwachung oder Steuerung physischer Prozesse heißt

.

Ein geschützter Bereich mit ähnlichen Anforderungen heißt

.

Ein definierter Kommunikationsweg zwischen Bereichen heißt

.

Eine kontrollierte Zwischenzone heißt

.

Ein virtuelles lokales Netz wird kurz

genannt.

Eine industrielle speicherprogrammierbare Steuerung heißt kurz

.

Das Bedienpanel gehört zur Kategorie

.

Eine regelbasierte Filterkomponente heißt

.

In unserem Beispiel fragt die IT Berichte aus der

ab.

Das Labor prüft ausschließlich

.

Nicht ausdrücklich erlaubte Modellanfragen werden

.

Offene Aufgaben

Arbeitsprinzip: Vier Basis-, vier Anwendungs- und vier Transferaufgaben. Nutze fiktive Angaben und nur eigene oder ausdrücklich freigegebene Lernsysteme.

Leicht – Basis

IT-Sicherheit: Zeichne zwei Symbole für IT und OT und notiere je ein passendes Beispiel aus dem fiktiven Betrieb.
Sicherheitszone: Ordne Verwaltung, Berichtskopie, Bediengerät und SPS den vier Zonen des Falls zu.
Firewall: Gestalte eine Bildkarte mit dem Gegensatz „erlaubt“ und „gesperrt“.
Netzwerksegment: Formuliere in drei Sätzen, warum das Büronetz nicht direkt mit der SPS sprechen soll.

Standard – Anwendung

Netzplan: Zeichne das vierteilige Zonenmodell mit Pfeilen für genau die drei erlaubten Modellverbindungen.
Zugriffskontrolle: Starte Labor A und dokumentiere drei erlaubte und fünf gesperrte Testfälle als Tabelle.
Testfall: Wiederhole Labor B und erkläre schriftlich, warum eine blockierte Bedienverbindung ein Problem sein kann.
Netzwerkprotokoll: Entwirf für den erfundenen Dienst „Diagnose“ einen Antrag mit Quelle, Ziel, Zweck, Risiko und Prüfidee – ohne die Freigabe real umzusetzen.

Schwer – Transfer

Risikobewertung: Eine Büroanwendung fällt durch Schadsoftware aus. Beschreibe, welche Grenzen eine Bewegung in Richtung SPS im Modell verhindern und welche Restrisiken bestehen.
Fernwartung: Ein fiktiver Wartungsdienst benötigt zeitweisen Anlagenzugriff. Entwirf ein Konzept über kontrollierte Vermittlung, Identitätsprüfung, Freigabe, Aufzeichnung und Ablaufdatum statt direktem Zugriff.
Betriebssicherheit: Plane ein Änderungsvorgehen mit Zuständigkeiten, Wartungsfenster, Abnahme und Rückfallplan für eine ausschließlich gedachte Produktionsanlage.
Medienkompetenz: Erstelle ein Erklärvideo oder ein Poster, das Purdue-Funktionsebenen, IEC-62443-Zonen und die Grenzen eines VLANs sachlich unterscheidet.

Gestufte Hilfen und begründetes Feedback

Niveau	Hilfe 1	Hilfe 2	Prüfkriterium mit Begründung
Basis	Suche die Begriffe Zone und Conduit.	Betrachte die vier Kästen im Fall.	Richtig ist eine funktionale Zuordnung, weil ähnliche Sicherheitsanforderungen die Zonen begründen.
Anwendung	Prüfe Quelle, Ziel und Dienst.	Vergleiche mit der Kommunikationsmatrix.	Gut ist eine reproduzierbare Entscheidung, weil eine Regel sowohl erforderliche als auch unerwünschte Verbindungen berücksichtigen muss.
Transfer	Frage nach Schaden und Betriebsfolge.	Entwirf zuerst den kontrollierten Übergang, dann Prüf- und Rückfallplan.	Überzeugend ist ein begründeter Kompromiss, weil OT-Schutz ohne sicheren Weiterbetrieb nicht vollständig ist.

Selbstkontrolle: Basis geschafft, wenn Du die vier Zonen korrekt benennst. Anwendung geschafft, wenn Du die acht Prüffälle nachvollziehbar erklärst. Transfer geschafft, wenn Dein Entwurf auch Verfügbarkeit, Verantwortlichkeiten, Restrisiken und Rückfallweg nennt. Es gibt nicht für jede fiktive Zusatzanforderung nur eine Lösung; die Begründung zählt.

Lernkontrolle

Sicherheitsarchitektur: Vergleiche ein flaches Netz mit dem Modell „IT – DMZ – OT“. Erkläre, welche unerwünschten Wege jeweils möglich oder begrenzt sind.
Schutzbedarf: Begründe, warum zwei Geräte in derselben Halle trotzdem verschiedene Sicherheitszonen benötigen könnten.
Fehlersuche: Nach einer Regeländerung bleibt das HMI ohne notwendige Verbindung. Beschreibe eine sichere Prüfung und eine Rückfallentscheidung ohne Produktiveingriff.
Informationsfluss: Entscheide, wie die Verwaltung Stückzahlen erhält, ohne eine direkte Anfrage an die SPS freizugeben.
IT-OT-Konvergenz: Bewerte eine neue Wartungsanforderung nach Bedarf, Zugriffsbeschränkung und Protokollierung.
Defense in Depth: Erkläre, warum eine DMZ allein nicht genügt und welche ergänzenden organisatorischen und technischen Kontrollen nötig sind.

Bewertungshinweis: Beurteile nicht nur die Entscheidung, sondern die Ursache-Wirkung-Begründung, den Schutz der Produktion und die Nachvollziehbarkeit der vorgeschlagenen Tests.

Lernnachweis

Für Deinen Lernnachweis gibst Du ein kleines Portfolio ab: ein selbst gezeichnetes Zonenbild, eine kommentierte Kommunikationsmatrix, das lokal erzeugte Ergebnis der acht fiktiven Prüffälle, eine schriftliche Analyse der gesperrten Bedienverbindung und eine begründete Transferentscheidung zur Fernwartung. Ergänze eine kurze Aussage zu Grenzen des Simulators sowie zu Quellen und Bildrechten. Nutze keine echten Netzpläne, Kundendaten oder Zugangsdaten.

Bewertung: 30 % Zonen und Informationsflüsse, 30 % begründete Regelentscheidungen, 20 % betriebliche Folgen und sicherer Rückfall, 20 % Dokumentation, Quellen und Datenschutz.

OERs zum Thema

Geprüfte Fachquellen (Abruf Oktober 2026):

BSI: ICS-Security-Kompendium, insbesondere Abschnitt 6.4.3.1 „Netzsegmentierung“.
NIST SP 800-82 Rev. 3: Guide to Operational Technology Security (2023; veröffentlichte Fassung).
IEC 62443-3-2:2020, offizielle öffentlich zugängliche Normbeschreibung zu Zonen, Conduits und Risikobewertung; vollständiger Normtext kostenpflichtig.
CISA: Empfehlungen zur Segmentierung von IT und OT und zur kontrollierten DMZ.

Bildquellen und Rechte:

PLC-Foto, Bisgaard, CC BY-SA 3.0.
VLAN-Grafik, Michel Bakni, CC BY-SA 4.0.
Purdue/IIoT-Grafik, Paul McLaughlin/Rohan McAdam, CC BY-SA 4.0.
DMZ-Grafik mit einer Firewall und DMZ-Grafik mit zwei Firewalls, Wikimedia Commons, gemeinfrei.
Firewall-Lehrgrafik, Harald Mühlböck, CC BY 3.0.

Hinweis zu externen Medien: Die eingebetteten YouTube-Videos sind Quellen zur Veranschaulichung, nicht automatisch frei lizenzierte OER. Wikipedia, YouTube und LearningApps benötigen Internet und können beim freiwilligen Öffnen Verbindungsdaten an ihre Plattformen übertragen. Im lokalen Python-Labor erfolgt keinerlei solche Übertragung.