Die meisten OT-Netzwerke werden aus einer Tabelle heraus betrieben: eine Datei, eine Liste von IP-Adressen, eine Spalte für das Gerät. Das funktioniert, bis es das nicht mehr tut. Wenn das Netzwerk wächst, stimmt diese Tabelle unbemerkt nicht mehr mit der Realität überein, und in der Lücke dazwischen entstehen die Ausfälle.
Warum IPAM in OT-Umgebungen kritisch ist
In industriellen Umgebungen geht IP Address Management weit über die reine Adressvergabe hinaus. Anders als in Büronetzwerken stehen in OT-Umgebungen SPSen, die jahrzehntelang dieselbe IP behalten müssen, Safety-Systeme, die garantierte Adressbereiche brauchen, und Produktionsanlagen, in denen ein einziger IP-Konflikt eine ganze Fertigungslinie zum Stillstand bringt. Eine saubere IP-Adressverwaltung ist deshalb kein Dokumentationsthema, sondern das Fundament für sichere Industrienetzwerke: Sie ermöglicht wirksame Netzwerksegmentierung, verkürzt die Fehlersuche bei Produktionsausfällen und liefert den Nachweis, den Standards wie IEC 62443 verlangen.
Warum OT-Adressierung anders ist
In einem Büronetzwerk ist eine Adresse Wegwerfware: DHCP vergibt eine, ein Laptop verschwindet, die Adresse wird wiederverwendet. In der OT funktioniert das nicht so. Eine SPS, die eine Produktionslinie steuert, behält typischerweise zehn bis zwanzig Jahre lang dieselbe IP-Adresse. Fällt sie aus und wird ersetzt, muss das neue Gerät auf exakt derselben Adresse hochkommen, sonst finden es die HMIs und SCADA-Systeme, die mit ihm kommunizieren, schlicht nicht.
Safety-Systeme brauchen garantierte, isolierte Bereiche. Produktionsanlagen vertragen keinen Adresskonflikt: Zwei Geräte, die auf einer IP antworten, können eine Fertigungslinie zum Stillstand bringen. Adressen sind hier keine Wegwerfware. Sie sind Teil der Anlage.
Wo die Tabelle versagt
Eine Tabelle hält fest, was jemand am Tag des Speicherns für wahr hielt. Sie wird nie gegen das Netzwerk geprüft. Neue Geräte werden in Eile hinzugefügt und nicht notiert; ein Dienstleister verwendet eine Adresse wieder, die frei aussieht; eine Zeile wird kopiert und die IP kommt mit. Datei und Netzwerk driften vom ersten Tag an auseinander, und niemand weiss, um wie viel.
Wenn ein Konflikt schliesslich auftaucht, taucht er als Ausfall auf: Eine Produktionslinie fällt aus, und die Fehlersuche startet aus einem Dokument, dem man nicht trauen kann.
Ein Plan, den man auf einen Blick lesen kann
Eine bessere Tabelle löst das nicht, Struktur schon. Ein bewusstes Adressierungsschema gibt jeder Zone ihren eigenen Bereich (Safety-Systeme in 10.10.x.x, Produktionssteuerung in 10.20.x.x, Prozessüberwachung in 10.30.x.x) und verschachtelt funktionsbezogene /24er darunter.
Sobald die Adresse selbst Bedeutung trägt, kann man das Netzwerk aus ihr lesen. Wer 10.10.1.40 sieht, weiss sofort: Safety, Notabschaltung. Und eine Firewall kann darauf reagieren: Eine Safety-SPS muss nicht mit einem Bürodrucker kommunizieren, und eine Regel auf dem Bereich setzt genau das durch. Strukturierte Adressierung macht Netzwerksegmentierung erst praktikabel: Erst wenn die Bereiche sauber geschnitten sind, lassen sich VLANs und Firewall-Regeln zwischen den Zonen überhaupt sinnvoll durchsetzen.
Was OT-spezifisch ist
Mehrere Randbedingungen machen industrielles IPAM zu einer eigenen Disziplin. Viele OT-Geräte (SPS, HMIs, Sensoren) unterstützen kein DHCP oder haben es deaktiviert; sie brauchen statische Konfiguration. Legacy-SPS sind unter Umständen auf einen bestimmten Bereich festgelegt, etwa 192.168.1.x, und lassen sich nicht neu konfigurieren. Safety-Systeme erfordern Bereiche, die vollständig vom Produktionsverkehr isoliert sind. Wird eine Produktionslinie erweitert, müssen Ingenieure schnell freie Adressen finden, ohne einen Konflikt zu riskieren. Und während eines Ausfalls müssen sie ein Gerät in Sekunden anhand seiner Adresse lokalisieren.
Schnellere Fehlersuche, und ein Audit, das man besteht
Gut verwaltete Adressen zahlen sich doppelt aus. Fällt eine Linie aus, ist jedes Gerät in dieser Zone an seinem Bereich erkennbar, der Suchraum schrumpft drastisch. Und für die Compliance (IEC 62443 verlangt dokumentierte Segmentierung und Zugriffskontrolle; ISO 27001 erwartet ein Asset-Inventar mit Netzwerkkonfiguration) ist eine klare, aktuelle IP-Dokumentation genau das, wonach ein Auditor tatsächlich fragt. Dieselbe Struktur, die die Fehlersuche beschleunigt, ist der Nachweis, der das Audit besteht.
Von der Tabelle zur verwalteten Lösung
Von der Tabelle wegzukommen heisst nicht, sie wegzuwerfen. Die bestehende Datei wird als Startpunkt importiert, dann gegen eine Live-Discovery des Netzwerks validiert, und die Diskrepanzen sind der Punkt. Jede Adresse, die dokumentiert, aber nicht gefunden wird, und jedes Gerät, das im Netzwerk, aber nicht in der Datei ist, ist genau das Risiko, das die Tabelle verborgen hat.
Häufige Fragen
Warum funktioniert DHCP in OT-Umgebungen nicht?
Viele OT-Geräte (SPS, HMIs, Sensoren) unterstützen kein DHCP oder haben es deaktiviert; sie brauchen statische Adressen für vorhersagbare Kommunikation. In einer kritischen Produktionsumgebung verursacht eine Adressänderung Ausfälle, weil HMIs und SCADA-Systeme ihre Geräte auf festen IPs erwarten.
Wie verhindere ich IP-Konflikte bei der Geräteerweiterung?
Ein strukturiertes IPAM-System dokumentiert jede verwendete Adresse und zeigt die freien Bereiche. Reservieren Sie Bereiche für zukünftige Erweiterungen, setzen Sie ein Genehmigungsverfahren auf neue Zuweisungen, und nutzen Sie Network Discovery, um undokumentierte Geräte zu finden, bevor sie einen Konflikt auslösen.
Welche IP-Bereiche sollte ich für verschiedene OT-Zonen verwenden?
Ein gängiges Muster ist ein dediziertes /16 pro Zone (10.10.0.0/16 für Safety, 10.20.0.0/16 für Produktionssteuerung, 10.30.0.0/16 für Überwachung), mit /24-Subnetzen für spezifische Funktionen darin. Das tatsächliche Schema hängt allerdings von Ihren Anforderungen und der Historie ab: Ein Brownfield-Netzwerk muss mit der Adressierung arbeiten, die es bereits hat.
Wie dokumentiere ich Legacy-Geräte ohne Netzwerkzugang?
Physische Audits: die Adresse direkt am Gerät, an seiner Serviceschnittstelle oder am lokalen Display ablesen. Die meisten IPAM-Tools erlauben dafür einen manuellen Import aus einer Tabelle. Markieren Sie sie als «nicht per Discovery erfassbar» und validieren Sie sie bei Wartungsarbeiten erneut.
Sollte IPv6 in OT-Netzwerken deaktiviert werden?
Wenn IPv6 nicht aktiv genutzt wird, ja. Viele OT-Geräte aktivieren es automatisch und verwenden Link-Local-Adressen, die kein IPAM verwaltet, was unkontrollierte Kommunikationspfade schafft, die die Segmentierung umgehen können. Deaktivieren Sie es auf Geräte- und Switch-Ebene, sofern es nicht explizit benötigt wird.
Welche Compliance-Anforderungen gelten für IPAM in der Industrie?
IEC 62443 verlangt dokumentierte Netzwerksegmentierung und Zugriffskontrolle. ISO 27001 erwartet ein Asset-Inventar inklusive Netzwerkkonfiguration. In der Pharmaindustrie verlangt FDA 21 CFR Part 11 Audit-Trails für Konfigurationsänderungen. Dokumentieren Sie jede Zuweisung, Änderung und Genehmigung als Compliance-Nachweis.
