Security-Architektur & Zero Trust

Ein Penetrationstest prüft, ob eine existierende Implementierung ausnutzbare Schwachstellen hat — er ist rückwärtsgerichtet und reaktiv. Security-Architektur ist vorausschauend und gestalterisch: Sie definiert, wie ein System von Grund auf sicher aufgebaut sein soll. Architekturarbeit geschieht idealerweise bevor Systeme gebaut werden — oder wenn bestehende Systeme grundlegend modernisiert werden. Ein typischer Fehler: Systeme werden gebaut, dann penetriert, dann gepatcht. Besser wäre: Systeme werden mit Sicherheitsanforderungen designed, gebaut, dann mit Pentests validiert.

Definitiv inkrementell — und das empfehlen wir ausdrücklich. Zero Trust ist keine Software, die man einschaltet — es ist eine Transformation über Jahre. Typische Einstiegspunkte: MFA für alle Remote-Zugänge (sofort machbar, hoher Sicherheitsgewinn), Identity-basierte Netzwerkzugangskontrolle (NAC), Mikrosegmentierung der kritischsten Systeme, Gerätecompliance-Enforcement via MDM. Ein pragmatischer Roadmap-Ansatz liefert alle 6 Monate messbare Fortschritte — ohne den Betrieb zu gefährden. Wir erstellen Zero-Trust-Roadmaps, die in Ihrer Realität (Budget, Personal, Komplexität) funktionieren.

Das Purdue-Referenzmodell (auch ISA/IEC 62443) strukturiert industrielle Netzwerke in Ebenen: Level 0 (Feldgeräte, Sensoren), Level 1 (SPS, RTU), Level 2 (SCADA, DCS), Level 3 (Operations Network), Level 3.5 (DMZ), Level 4 (IT-Netzwerk). Das Modell ist heute noch relevant als konzeptioneller Rahmen, muss aber für Cloud-verbundene OT, Edge Computing und moderne Fernzugriffs-Szenarien angepasst werden. Wir kombinieren das Purdue-Modell mit modernen Zero-Trust-Prinzipien für OT — mit besonderem Augenmerk auf Verfügbarkeitsanforderungen (OT-Systeme können nicht einfach rebootet werden) und Legacy-Systemintegration.

Das kommt auf die Aufgabe an. Interne Security-Teams sind oft sehr gut in der Breite — Betrieb, Incident Response, Toolmanagement. Was sie manchmal fehlt: die Zeit für tiefe Architekturarbeit (Alltag verdrängt Strategie), Erfahrung aus sehr vielen Projekten in verschiedenen Branchen, und Distanz zur eigenen Umgebung (man sieht eigene Blindstellen nicht). Ein externer Architekt liefert das: fokussierte Zeit, breite Vergleichserfahrung und objektiven Blick. Wir arbeiten immer eng mit internen Teams zusammen — nicht als Ersatz, sondern als Verstärkung und Gegenpol.