OPC UA und MQTT in Industrial Control Systems Sicherheit, Performance und Architekturentscheidungen
Moderne Industrial Control Systems bestehen nicht mehr nur aus zyklischer Feldbuskommunikation. Steuerungssoftware, HMI, Edge Systeme, Condition Monitoring und Cloud Anbindungen kommunizieren zunehmend über standardisierte Protokolle. Zwei davon dominieren viele Architekturen:
OPC Unified Architecture
MQTT
Beide Protokolle können sicher betrieben werden. Beide können aber auch falsch integriert werden. Dieser Artikel analysiert, wo die Unterschiede liegen und welche technischen Entscheidungen Betreiber treffen müssen.
1 OPC UA Architekturprinzip
OPC UA ist ein serviceorientiertes Protokoll mit integriertem Sicherheitsmodell.
Es bietet:
Signieren von Nachrichten
Verschlüsselung
Zertifikatsbasierte Authentisierung
Benutzerbasierte Zugriffskontrolle
Im Gegensatz zu älteren Protokollen ist Sicherheit nicht nachgerüstet, sondern Bestandteil des Designs. Das bedeutet jedoch nicht, dass Sicherheit automatisch aktiv ist. Viele Implementierungen laufen mit reduzierter Security Policy oder ohne konsequentes Zertifikatsmanagement.
2 OPC UA Security Modus verstehen
OPC UA kennt mehrere Sicherheitsmodi:
None
Sign
Sign and Encrypt
Aus regulatorischer Sicht ist der Modus None nur in isolierten, nicht exponierten Netzen vertretbar. Sign schützt Integrität, aber nicht Vertraulichkeit. Sign and Encrypt schützt beides. Die Entscheidung hängt von der Zone ab. In einer DMZ oder bei externer Kommunikation ist Sign and Encrypt zwingend. Innerhalb einer strikt isolierten Control Zone kann eine differenzierte Bewertung erfolgen.
3 Zertifikatsmanagement als reale Herausforderung
OPC UA basiert auf Zertifikaten.
In der Praxis bedeutet das:
Zertifikate müssen verteilt werden
Trust Lists müssen gepflegt werden
Ablaufdaten müssen überwacht werden
Sperrungen müssen möglich sein
Fehlendes Zertifikatsmanagement ist eine der häufigsten Schwachstellen in produktiven Systemen.
Ein abgelaufenes Zertifikat kann zu Produktionsunterbrechungen führen, obwohl technisch kein Angriff stattfindet.
Sicherheit muss also nicht nur aktiviert, sondern betrieben werden.
4 Performance Auswirkungen von OPC UA Security
Verschlüsselung erzeugt Rechenlast. In typischen Szenarien betrifft das:
Server Instanz der Steuerungssoftware
OPC UA Gateway
PLC mit integrierter UA Funktion
Wird Sign and Encrypt aktiviert, steigen:
CPU Last
Handshake Zeit
Speicherverbrauch
In hochfrequenten Datenströmen kann das spürbar werden. Deshalb sind Performance Tests vor Aktivierung zwingend.
5 MQTT Architekturprinzip
MQTT funktioniert anders.
Es ist ein leichtgewichtiges Publish Subscribe Protokoll mit zentralem Broker.
Typische Einsatzbereiche:
Edge Anbindung
Cloud Kommunikation
Zustandsüberwachung
IoT Integration
MQTT selbst enthält keine integrierte starke Security Logik. Sicherheit wird üblicherweise über TLS implementiert.
6 MQTT Sicherheitsaspekte
Wichtige Fragen bei MQTT sind:
Läuft die Verbindung über TLS
Wer authentisiert sich beim Broker
Wer darf welche Topics publishen
Sind Topics voneinander isoliert
Ist der Broker zonenmäßig korrekt platziert
Ein MQTT Broker in der Control Zone mit direkter Cloud Verbindung ist architektonisch problematisch.
Richtiger Ansatz:
Broker in einer DMZ
Segmentierte Conduits
TLS mit Zertifikaten
Strikte Topic Zugriffskontrolle
7 Performance Unterschiede OPC UA und MQTT
OPC UA ist komplexer, stärker typisiert und häufig schwergewichtiger. MQTT ist schlank, aber abhängig von der Broker Architektur. OPC UA eignet sich gut für strukturierte Steuerungsintegration. MQTT eignet sich gut für Telemetrie und Zustandsdaten.
Beide Protokolle müssen zonenabhängig bewertet werden.
8 Typische Fehlkonfigurationen
OPC UA mit Security Mode None in exponierter Zone
MQTT ohne TLS
Broker ohne Zugriffskontrolle
Zertifikate ohne Ablaufüberwachung
Direkte Verbindung aus Control Zone ins Internet
Diese Fehler entstehen oft aus Zeitdruck, nicht aus Unwissenheit.
9 Integration in die Gesamtarchitektur
Die Wahl des Protokolls ist keine reine Entwicklerentscheidung. Sie betrifft:
Zonenkonzept
Target Security Level
Vulnerability Management
Incident Monitoring
Performance Bewertung
Ein Protokoll ist nur so sicher wie seine Einbettung in die Architektur.
10 Fazit
OPC UA und MQTT sind leistungsfähige Werkzeuge. Sicher sind sie nur dann, wenn:
Zertifikatsmanagement betrieben wird
Verschlüsselung zonenabhängig aktiviert wird
Performance getestet wird
Segmentierung korrekt umgesetzt ist
Monitoring integriert ist
Im nächsten Artikel gehen wir noch tiefer in Remote Access und zeigen, wie VPN, MFA und Zero Trust Architekturen in ICS Umgebungen sauber umgesetzt werden.
Weitere Artikel
Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 6 – Determinismus, Latenz und Echtzeitfähigkeit Security unter realen OT Bedingungen
Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 5 – Referenzarchitektur
Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 4 – Risikoanalyse nach IEC 62443 3-2
Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 3 – Wann wird eine industrielle Anlage regulatorisch zu einem Produkt und was bedeutet das für Betreiber