OT-Firewall

RagerShield

Prüft jeden Zugriff auf Ihre Steuerungen bis auf die Funktionsebene. Als Hardware für die Hutschiene oder als virtuelle Maschine.

Zur Dokumentation →

Managementtool

RagerVision

Verwaltet Regelwerke, Firmware und Wartungsfenster aller RagerShields und meldet bekannte Schwachstellen.

Zur Dokumentation →

Einstieg nach Aufgabe

RagerShield und RagerVision sind in Entwicklung. Early Access startet 2027. Bis zur ersten Version kann sich der Inhalt dieser Dokumentation noch ändern. RagerVision können Sie schon jetzt in der Live-Demo ausprobieren.

Zusammenspiel der Produkte

RagerShield schützt die Anlage direkt vor Ort. RagerVision verwaltet alle RagerShields zentral.

Wer macht was

RagerShield

Die OT-Firewall. RagerShield prüft jeden Zugriff auf Ihre Steuerungen bis auf die Funktionsebene und lässt nur durch, was Ihr Prozess braucht.

Warum eine OT-Firewall

Klassische Firewalls sehen bei Steuerungen nur Ports wie 102, 502 oder 2404. Ob dahinter ein HMI einen Messwert liest oder jemand eine Steuerung stoppt, bleibt unsichtbar. RagerShield entscheidet pro Protokollfunktion, zum Beispiel „nur Lesen auf DB12“.

Funktionen

• Deep Packet Inspection für Industrieprotokolle
• Lernmodus und Allowlist-Regelwerk
• Zeitlich begrenzte Wartungsfenster
• Protokollierung per Syslog an SIEM und OT-Monitoring
• Zentrale Verwaltung über RagerVision

Standardverhalten

Stopp-, Schreib- und Download-Befehle sind standardmäßig gesperrt. Sie werden nur über eine Regel oder ein Wartungsfenster freigegeben. Alles, was keine Regel erlaubt, wird verworfen.

Hardware und Virtual

Eine Firewall, zwei Bauformen. Beide haben denselben Funktionsumfang.

Technische Daten und Datenblatt erhalten Sie auf Anfrage über den Support.

Einführung in der Anlage

RagerShield wird schrittweise eingeführt: erst beobachten, dann schützen. So greift die Firewall nie unerwartet in den Prozess ein.

Vom Pilot zum Regelbetrieb

1. Bestandsaufnahme

   RagerShield läuft im Modus Monitor am Spiegelport. Sie sehen, wer mit welcher Steuerung spricht, ohne dass der Verkehr beeinflusst wird.

2. Regelwerk

   Im Modus Lernen entsteht aus dem Verkehr ein Regelvorschlag. Ihr Instandhaltungsteam prüft und gibt ihn frei.

3. Inline-Test

   Einbau als Bridge in einem Stillstand, zunächst im Modus Alarmieren. Verstöße werden gemeldet, aber noch nicht blockiert.

4. Schutz aktiv

   Umschalten auf Schützen. Wartungsfenster werden ab jetzt über eine Freigabe geöffnet.

Ausfallsicherheit: Für den Inline-Betrieb ist ein Hardware-Bypass vorgesehen, damit ein Geräteausfall den Prozess nicht stoppt. Planen Sie den Einbau trotzdem in einem Stillstand.

Betriebsarten

Vier Betriebsarten führen von der ersten Bestandsaufnahme zum aktiven Schutz.

Lassen Sie Monitor und Lernen über einen vollständigen Produktionszyklus laufen, damit seltene Zugriffe wie Schichtwechsel oder Chargenstarts erfasst werden.

Regeln

Regeln sind lesbar und lassen sich versionieren. Jede Regel legt fest, welche Quelle welche Funktion auf welchem Ziel ausführen darf.

Beispiel-Regelwerk

Das HMI darf nur einen Registerbereich lesen, nur die Leitstelle darf Befehle an die Fernwirkstation senden, und die Engineering-Station darf nur im Wartungsfenster schreiben.

Wie Regeln ausgewertet werden

• Regeln werden von oben nach unten geprüft. Die erste passende Regel gilt.
• Passt keine Regel, gilt das Standard-Urteil. Empfohlen ist „Blockieren“.
• Greift eine Anfrage auf mehrere Speicherbereiche zu, wird jeder Zugriff einzeln bewertet. Das strengste Urteil gewinnt.

Wie Sie Regeln in der Oberfläche anlegen, steht unter RagerVision: Regeln verwalten.

Wartungsfenster

Ein Wartungsfenster erlaubt Programmänderungen nur nach Freigabe und nur für eine festgelegte Dauer. Danach gilt automatisch wieder das normale Regelwerk.

Ablauf

1. Umfang festlegen

   Quelle (z. B. die Engineering-Station), Ziel-Steuerung und die freizugebenden Funktionen wie Schreiben oder Download.

2. Dauer festlegen

   Beginn und Ende. Halten Sie das Fenster so kurz wie möglich.

3. Freigeben

   Die Freigabe wird mit Benutzer und Zeitpunkt protokolliert. Wartungsfenster aller RagerShields verwalten Sie zentral in RagerVision.

Wichtig: Während des Fensters sind verändernde Zugriffe auf die Steuerung möglich. Stimmen Sie das Fenster mit dem Anlagenbetrieb ab.

Protokolle

Version 1 startet mit Siemens S7, OPC UA und Modbus/TCP. Weitere Protokolle folgen schrittweise.

Unterstützte Protokolle

Standardmäßig gesperrte Funktionen

Verschlüsselte Verbindungen

Viele Protokolle lassen sich heute absichern, etwa OPC UA mit SignAndEncrypt, S7 mit TLS oder MQTT über TLS.

Was RagerShield dann prüft

Ist der Inhalt verschlüsselt, setzt RagerShield Regeln auf Ebene von Verbindung und Endpunkt durch und protokolliert jede Sitzung. Die Prüfung einzelner Funktionen ist dann nicht möglich.

OPC UA: Mindest-Sicherheitsmodus

Für OPC UA kann RagerShield einen Mindest-Sicherheitsmodus erzwingen. Verbindungen mit SecurityMode „None“ sind standardmäßig gesperrt.

Referenz: S7comm

Die Aktionen, nach denen S7comm-Zugriffe unterschieden werden. Sie entsprechen dem Feld „Aktionen“ einer Regel in RagerVision.

Speicherbereiche

Eine Regel kann auf einen Bereich eingeschränkt werden: DB, I, Q, M, P, DI, L, C, T. Bei DB geben Sie die DB-Nummer sowie Start- und End-Byte an. Das End-Byte ist exklusiv.

Referenz: Modbus/TCP

Modbus-Funktionscodes und wie RagerShield sie standardmäßig behandelt.

Herstellerspezifische Programmierfunktionen sind ebenfalls gesperrt. Gesperrte Funktionen geben Sie gezielt per Regel oder Wartungsfenster frei.

RagerVision

Das Managementtool für RagerShield. Es verwaltet Regelwerke und Firmware aller Firewalls, zeigt jedes erkannte Gerät und meldet bekannte Schwachstellen.

Live-Demo

In der Live-Demo klicken Sie sich durch die echte Oberfläche. Demo-Zugänge mit beliebigem Passwort: anna (Administrator), max (Techniker), lena (Betrachter). Der Anlagenverkehr ist simuliert, Änderungen bleiben nur in Ihrem Browser.

On-Premises oder Cloud

Sie entscheiden je Projekt, welche Betriebsart passt. Ein Wechsel ist später möglich.

Die Oberfläche

RagerVision läuft im Browser. Welche Bereiche Sie sehen, hängt von Ihrer Rolle ab.

Beispiel aus „Ereignisse“

Regeln verwalten

Unter Regeln legen Sie fest, welche Zugriffe erlaubt, gemeldet oder blockiert werden. Bearbeiten dürfen Techniker und Administratoren.

Felder einer Regel

Regel anlegen

1. Neue Regel

   Öffnen Sie Regeln und wählen Sie + Neue Regel.

2. Felder ausfüllen

   ID, Urteil, Quelle, Ziel und Aktionen. Schränken Sie Schreibzugriffe immer auf einen Speicherbereich ein.

3. Speichern und prüfen

   Testen Sie die Regel im Simulator, bevor Sie sie im Betrieb nutzen.

Reihenfolge

Regeln werden von oben nach unten geprüft, die erste passende gilt. Stellen Sie enge Regeln vor allgemeine. Passt keine Regel, gilt das Standard-Urteil aus den Einstellungen.

# Beispiel-Regelwerk aus der Live-Demo (Export als JSON)
{ "id": "hmi-basis",     "verdict": "allow", "src": "10.0.1.0/24", "kinds": ["connect","diagnose","setup"] }
{ "id": "hmi-lesen",     "verdict": "allow", "kinds": ["read"],  "scope": { "area": "DB", "db": 1, "start": 0, "end": 100 } }
{ "id": "hmi-schreiben", "verdict": "allow", "kinds": ["write"], "scope": { "area": "DB", "db": 1, "start": 0, "end": 50 } }
# Standard-Urteil: "block"

Simulator und Mitschnitt

Prüfen Sie Ihr Regelwerk, bevor es den Verkehr beeinflusst.

Simulator

Der Simulator baut einen echten S7-Frame, schickt ihn durch Parser und Regelwerk und zeigt das Urteil. Sie wählen Quelle, Ziel, ein Szenario wie „Variable schreiben“ oder „CPU-Stop“ und optional einen Speicherbereich. Jede Prüfung erscheint auch unter Ereignisse.

Mitschnitt

1. Datei wählen

   Eine pcap- oder pcapng-Datei, z. B. aus Wireshark oder tcpdump. Höchstens 25 MB.

2. Optionen setzen

   TCP-Port des S7-Verkehrs, Ereignisse ins Protokoll übernehmen, Regelvorschläge erstellen.

3. Analysieren

   Jeder Zugriff wird gegen die aktuellen Regeln geprüft. Es wird nichts blockiert: „Blockiert“ bedeutet hier „würde blockiert“.

Verschlüsselter Verkehr, z. B. S7CommPlus mit TLS, ist nur als Verbindung sichtbar, nicht im Inhalt.

Ereignisse

Jede Regelentscheidung wird mit Zeit, Quelle, Ziel, Aktion, Regel und Urteil protokolliert.

Filtern und Weiterleiten

Filtern Sie nach Alle, Erlaubt, Gemeldet oder Blockiert. Für die dauerhafte Auswertung leiten Sie Ereignisse per Syslog an Ihr SIEM oder OT-Monitoring weiter.

Benutzer und Rollen

Jede Person bekommt ein eigenes Konto mit einer von drei Rollen.

Benutzer anlegen

1. Neuer Benutzer

   Unter Benutzer wählen Sie + Neuer Benutzer, vergeben Benutzername und Rolle.

2. Startpasswort

   Mindestens 12 Zeichen, ohne den Benutzernamen. Der Benutzer muss es beim ersten Login selbst ändern.

Änderungsprotokoll

Unter Benutzer sehen Administratoren, wer wann was geändert hat, mit Ziel, Ergebnis und IP-Adresse.

Anmeldung, 2FA und LDAP

Unter Anmeldung legen Administratoren fest, wie sich Benutzer anmelden.

Zwei-Faktor-Anmeldung

Jeder Benutzer kann eine Authenticator-App einrichten (Menü oben rechts, 2FA). Ohne App ist die Anmeldung mit einem Wiederherstellungscode möglich. Die Pflicht lässt sich festlegen für Niemanden, Administratoren oder Alle Benutzer. Wer der Pflicht unterliegt, kann erst arbeiten, wenn die App eingerichtet ist.

Richten Sie 2FA für Ihr eigenes Konto ein, bevor Sie die Pflicht aktivieren.

Verzeichnisanmeldung (LDAP / Active Directory)

• Vorlagen für Active Directory und OpenLDAP, oder eigene Einstellungen.
• Verschlüsselung per LDAPS (Port 636) oder StartTLS (Port 389). Zertifikat und Servername werden immer geprüft.
• Gruppen werden Rollen zugeordnet. Hat ein Benutzer mehrere Rollen, gilt die höchste.
• Benutzer ohne zugeordnete Gruppe werden standardmäßig abgewiesen (empfohlen).
• Lokale Konten, z. B. ein Notfall-Administrator, funktionieren weiter, auch wenn das Verzeichnis ausfällt.

Mit Verbindung testen und einem Testbenutzer prüfen Sie Suche, Gruppen und Rolle, bevor Sie speichern.

Updates einspielen

Updates spielen Administratoren unter Updates ein. Dafür ist eine gültige Lizenz nötig.

1. Paket hochladen

   Wählen Sie das Update-Paket (ragervision-….zip). Optional tragen Sie die erwartete SHA-256-Summe aus der .sha256-Datei ein.

2. Bestätigen

   Ein Update ist Programmcode. Bestätigen Sie es deshalb mit Ihrem Passwort.

3. Automatischer Ablauf

   RagerVision prüft das Paket (Prüfsummen, optional Signatur), testet es mit einer Kopie Ihrer Daten, sichert die Daten, schaltet um und startet neu.

Startet die neue Version nicht, rollt RagerVision automatisch zurück. Der Ausfall dauert wenige Sekunden, danach melden Sie sich neu an.

Einstellungen und Sicherung

Unter Einstellungen legen Administratoren fest, was ohne passende Regel passiert, und sichern das Regelwerk.

Achtung: „Erlauben“ lässt alles durch, was keine Regel ausdrücklich verbietet. Das untergräbt das Allowlist-Prinzip.

Sichern und Wiederherstellen

Policy exportieren speichert das Regelwerk als JSON-Datei. Policy importieren ersetzt alle Regeln durch den Inhalt der Datei.

Assets und Schwachstellen

RagerShield erkennt die Geräte im Netz automatisch. RagerVision zeigt sie an und gleicht sie mit bekannten Schwachstellen ab.

Asset-Übersicht

Für jedes Gerät zeigt RagerVision Hersteller, Modell, Firmware und Kommunikationsbeziehungen.

Schwachstellen

Jedes Gerät wird mit CVEs, der CISA-KEV-Liste und Hersteller-Advisories abgeglichen. Aktiv ausgenutzte Lücken stehen ganz oben.

Diese Funktionen sind in Entwicklung und in der Live-Demo noch nicht enthalten. Die Bedienung wird hier ergänzt.

Lizenz und Kundenportal

Lizenzen verwalten Sie im RagerSec-Kundenportal. Solange die Lizenz gültig ist, können Updates eingespielt werden.

Kundenkonto

Registrieren Sie sich im Kundenportal. Dort finden Sie Ihre Lizenzen und können sie verlängern.

Lizenz einspielen

1. Lizenztext kopieren

   Kopieren Sie im Kundenportal den Lizenztext. Er beginnt mit RVL1.

2. In RagerVision einfügen

   Öffnen Sie Lizenz, fügen Sie den Text ein und wählen Sie Lizenz speichern.

3. Fertig

   Eine gültige Lizenz ersetzt die bisherige sofort. Ein Neustart ist nicht nötig.

Gespeichert wird nur eine Lizenz mit gültiger Signatur, die zu diesem Produkt und gegebenenfalls zu dieser Installations-ID gehört und noch nicht abgelaufen ist.

Lizenzstatus

Ohne gültige Lizenz sind keine Updates mehr möglich. Die Firewall selbst läuft unverändert weiter. Damit fehlen aber auch Sicherheitsupdates. Verlängern Sie rechtzeitig.

IEC 62443

Die IEC 62443 teilt Anlagen in Zonen und verbindet sie über Conduits. RagerShield sichert diese Grenze technisch.

Unterstützte Systemanforderungen (IEC 62443-3-3)

Die genaue Zuordnung zum Security Level wird mit der Zertifizierung festgelegt. Die Entwicklung orientiert sich an IEC 62443-4-1. Für IEC 62443-4-2 ist eine Zertifizierung geplant.

Härtung

Mit diesen Maßnahmen betreiben Sie RagerShield und RagerVision sicher.

• RagerVision nur über HTTPS betreiben: ragervision.py tls selfsigned oder einen TLS-Proxy vorschalten
• RagerVision nur aus einem getrennten Management-Netz erreichbar machen
• Persönliche Konten statt geteilter Zugänge, Rollen nach dem Minimalprinzip
• Zwei-Faktor-Pflicht mindestens für Administratoren
• LDAP nur mit LDAPS oder StartTLS
• Standard-Urteil und verformte Pakete auf „Blockieren“
• Schreib-, Stopp- und Download-Funktionen nur über Wartungsfenster
• Ereignisse per Syslog an ein zentrales SIEM
• Lizenz gültig halten, damit Sicherheitsupdates eingespielt werden können
• Policy regelmäßig exportieren und sicher aufbewahren

Troubleshooting

Häufige Probleme und ihre Lösung.

HMI zeigt keine Werte mehr

Ursache: Leseanfragen werden blockiert, weil eine Regel fehlt oder der Speicherbereich zu eng ist.

Lösung: Filtern Sie unter Ereignisse nach Blockiert und prüfen Sie Quelle und Bereich. Passen Sie die Regel an und prüfen Sie sie im Simulator.

TIA Portal kann nicht laden

Ursache: Download-Funktionen sind standardmäßig gesperrt.

Lösung: Öffnen Sie ein Wartungsfenster für die Engineering-Station.

Update lässt sich nicht einspielen

Ursache: Die Lizenz ist abgelaufen, fehlt oder ist ungültig.

Lösung: Prüfen Sie unter Lizenz den Status und spielen Sie eine verlängerte Lizenz aus dem Kundenportal ein.

Anmeldung per LDAP schlägt fehl

Lösung: Nutzen Sie Verbindung testen mit einem Testbenutzer. Prüfen Sie Servername (wie im Zertifikat), CA-Zertifikat und die Zuordnung der Gruppen zu Rollen. Melden Sie sich bei Bedarf mit dem lokalen Notfall-Administrator an.

Browser warnt vor dem Zertifikat

Ursache: Ein selbstsigniertes Zertifikat ist aktiv.

Lösung: Für den Dauerbetrieb ein Zertifikat Ihrer eigenen CA einsetzen oder einen TLS-Proxy vorschalten.

Versionen

Neueste Version zuerst.

Glossar

Feste Begriffe und Schreibweisen.

Security Center

Sicherheitsmeldungen zu RagerShield und RagerVision und der Weg, eine Schwachstelle zu melden.

Security Advisories

Schwachstelle melden

Schreiben Sie uns vertraulich mit dem Betreff „Security“:

Bitte nennen Sie Produkt und Version, Schritte zur Reproduktion und mögliche Auswirkungen.

Support

Ob Pilotprojekt, technische Fragen oder Partnerschaft als Integrator: Wir melden uns innerhalb von zwei Werktagen.

Gute Support-Anfrage

• Produkt und Version, bei RagerShield auch Bauform
• Eingesetzte Steuerungen und Protokolle
• Beschreibung des Problems und seit wann es auftritt
• Betroffene Einträge aus Ereignisse