OPC-UA-Sicherheit

Jede OPC-UA-Datenquelle legt fest, wie ihre Verbindung zum Server abgesichert wird. Diese Seite erklärt die Bausteine dieser Entscheidung: den Sicherheitsmodus und die Sicherheitsrichtlinie, die Nachrichten auf dem Übertragungsweg schützen, die zwei beteiligten Zertifikate — die Identität von Pulse und die des Servers — sowie die Authentifizierung der Sitzung.

So funktioniert eine sichere Verbindung

Eine OPC-UA-Verbindung wird auf zwei Ebenen abgesichert:

1. Sicherer Kanal — die Transportebene. Pulse und der Server tauschen X.509-Zertifikate aus und signieren und/oder verschlüsseln je nach Sicherheitsmodus jede Nachricht. Pulse präsentiert sein Anwendungsinstanz-Zertifikat; der Server präsentiert sein eigenes Zertifikat, das Pulse anheften kann.
2. Sitzung — innerhalb des Kanals authentifiziert sich Pulse als Benutzer: anonym oder mit Benutzername und Passwort. Siehe Authentifizierung.

Daraus folgen zwei praktische Konsequenzen:

• Für Signieren oder Signieren & Verschlüsseln muss der Server dem Zertifikat von Pulse vertrauen, bevor eine Verbindung zustande kommt.
• Verschlüsselung allein prüft nicht, mit wem Sie sprechen. Das leistet nur das Anheften des Serverzertifikats.

Sicherheitsmodus

Der Sicherheitsmodus bestimmt, was der sichere Kanal mit jeder Nachricht tut:

Modus	Wirkung	Einsatz
Keiner	Nachrichten werden im Klartext gesendet; keine Zertifikate werden getauscht.	Nur in isolierten Netzen mit vertrauenswürdigem Übertragungsweg.
Signieren	Nachrichten werden signiert — Manipulation fällt auf, Inhalte bleiben lesbar.	Wenn Integrität zählt, Vertraulichkeit aber nicht.
Signieren & Verschlüsseln	Nachrichten werden signiert und verschlüsselt.	Empfohlen für den Produktivbetrieb.

Modus und Richtlinie sind gekoppelt: Der Modus Keiner erzwingt die Richtlinie Keine (und umgekehrt); beim Wechsel auf einen sicheren Modus wird Basic256Sha256 vorausgewählt.

Sicherheitsrichtlinie

Die Sicherheitsrichtlinie ist die Algorithmen-Suite für Signierung und Verschlüsselung:

Richtlinie	Status	Hinweise
None	—	Keine Kryptografie. Nur mit Sicherheitsmodus „Keiner" gültig.
Basic128Rsa15	Veraltet	Alte SHA-1-basierte Suite. Nur für Altserver, die nichts anderes anbieten.
Basic256	Veraltet	Alte SHA-1-basierte Suite. Nur für Altserver, die nichts anderes anbieten.
Basic256Sha256	Aktueller Standard	Empfohlener Standard — breit unterstützt.
Aes128Sha256RsaOaep	Aktuell	Moderne Alternative zu Basic256Sha256.
Aes256Sha256RsaPss	Aktuell	Stärkste Suite — verwenden Sie sie, wenn der Server sie anbietet.

TIP

Wählen Sie die stärkste Richtlinie, die Ihr Server unterstützt. Die Erkennung nimmt Ihnen das ab: Sie listet nur Kombinationen auf, die der Server tatsächlich anbietet, und wählt die stärkste vor.

Die passende Konfiguration per Erkennung finden

Statt zu raten, was der Server unterstützt, lassen Sie Pulse nachfragen. Klicken Sie bei ausgefüllter opc.tcp://-Endpunkt-URL im Verbindungsdialog auf Endpunkte erkennen. Pulse fragt den Server ab und zeigt:

• Sicherheitskonfiguration — die realen Modus-Richtlinien-Kombinationen des Servers, stärkste zuerst. Die stärkste ist als Empfohlen markiert; Kombinationen ohne Signierung oder Verschlüsselung tragen eine Warnung.
• Serverzertifikat — Antragsteller, Aussteller, Gültigkeitsdaten und Thumbprint des vom Server präsentierten Zertifikats, mit Hinweisen auf abgelaufene oder bald ablaufende Zertifikate. Bei einer sicheren Konfiguration wird dieses Zertifikat zum Anheften angeboten.

Ist der Server nicht erreichbar, können Sie Sicherheitsmodus und Richtlinie weiterhin manuell wählen — die Erkennung ist eine Erleichterung, keine Voraussetzung.

Die zwei Zertifikate

An sicheren OPC-UA-Verbindungen ist je Seite ein Zertifikat beteiligt, und jede Seite muss der anderen vertrauen:

Zertifikat	Wer es präsentiert	Wer ihm vertrauen muss
Anwendungsinstanz-Zertifikat	Pulse	Ihre OPC-UA-Server — sonst lehnen sie die Verbindung ab.
Serverzertifikat	Der Server	Pulse — geprüft nur, wenn Sie es an der Datenquelle anheften.

Anwendungsinstanz-Zertifikat

Um einen sicheren Kanal zu öffnen (Signieren oder Signieren & Verschlüsseln), präsentiert Pulse ein Anwendungsinstanz-Zertifikat — eine selbstsignierte X.509-Identität, eine pro Organisation, die von allen OPC-UA-Datenquellen gemeinsam genutzt wird. Jeder OPC-UA-Server muss diesem Zertifikat vertrauen, bevor er eine sichere Verbindung akzeptiert.

Sie verwalten das Zertifikat unter Organisation → Einstellungen → OPC-UA-Zertifikat. Pulse stellt es automatisch bereit, sobald eine sichere Verbindung es benötigt — oder Sie klicken vorab auf Zertifikat erzeugen, um ihm auf Ihren Servern zu vertrauen, bevor Sie Datenquellen anlegen.

Eigenschaft	Wert
Antragsteller	Pulse OPC UA Client (selbstsigniert)
Schlüssel	RSA 2048 Bit, SHA-256-Signatur
Gültigkeit	Ein Jahr; Rotations-Ersatz ca. 14 Monate, damit nach dem Wechsel ein volles Jahr verbleibt
Thumbprint	SHA-1 des Zertifikats, Großbuchstaben-Hex

Auf der Einstellungsseite können Sie das Zertifikat mit PEM herunterladen exportieren und mit Fingerabdruck kopieren den Thumbprint übernehmen, um ihn mit der Vertrauensliste Ihres Servers abzugleichen.

Das Zertifikat auf Ihren Servern hinterlegen

Die genauen Schritte hängen von Ihrem OPC-UA-Server ab, das Muster ist jedoch immer gleich:

1. Laden Sie das Zertifikat unter Organisation → Einstellungen → OPC-UA-Zertifikat herunter.
2. Importieren Sie es in den Speicher der vertrauenswürdigen Zertifikate des Servers (in UaExpert und vielen Servern ist dies der Ordner „Trusted" bzw. „PKI").
3. Bestätigen Sie, dass der vom Server angezeigte Thumbprint mit dem in Pulse übereinstimmt.

Solange dem Zertifikat nicht vertraut wird, schlagen sichere Verbindungsaufbauten zu diesem Server fehl.

Rotation — ein ablaufendes Zertifikat ersetzen

Da ein Ersatzzertifikat eine neue Identität ist, muss jeder Server, der dem alten Zertifikat vertraut hat, auch dem neuen vertrauen — daher rotiert Pulse mit einem Überlappungsfenster statt mit einem harten Wechsel:

1. Ein Ersatz wird vorab vorbereitet. Etwa 60 Tage vor Ablauf (oder sofort, wenn Sie Zertifikat rotieren klicken) erstellt Pulse ein ausstehendes Zertifikat und stellt weiterhin das aktuelle bereit. Die Einstellungsseite zeigt dann beide an, Pulse erzeugt einen Vorfall, und die Administratoren Ihrer Organisation erhalten eine E-Mail.
2. Sie hinterlegen das neue Zertifikat überall. Kopieren Sie den Thumbprint des ausstehenden Zertifikats und fügen Sie es dem vertrauenswürdigen Speicher auf jedem OPC-UA-Server hinzu — genau wie beim aktuellen Zertifikat. Die Überwachung läuft währenddessen weiter über das alte Zertifikat.
3. Sie schließen die Rotation ab. Sobald jeder Server dem neuen Zertifikat vertraut, klicken Sie auf Rotation abschließen. Pulse stuft das ausstehende Zertifikat auf aktiv hoch und entfernt das alte. Neue sichere Kanäle verwenden sofort die neue Identität.

WARNING

Schließen Sie die Rotation erst ab, nachdem jeder Server dem neuen Zertifikat vertraut. Ein zu früher Abschluss unterbricht sichere Verbindungen zu jedem Server, der ihm noch nicht vertraut.

Rotation versehentlich gestartet? Ersatz verwerfen löscht das ausstehende Zertifikat; das aktive bleibt unverändert.

Läuft ein Zertifikat ab, bevor Sie die Rotation abschließen, stuft Pulse den wartenden Ersatz automatisch hoch — das alte Zertifikat ist zu diesem Zeitpunkt ohnehin unbrauchbar, sodass dies die Überwachung nur wiederherstellen und niemals unterbrechen kann. Damit Verbindungen sich erholen, müssen Sie dem neuen Zertifikat dennoch auf Ihren Servern vertraut haben.

Wenn das Zertifikat kompromittiert ist

Zertifikat widerrufen verwirft das aktive Zertifikat sofort und erzeugt eine neue Identität. Jeder OPC-UA-Server weist Pulse ab, bis Sie dem neuen Zertifikat dort vertrauen — die sichere Überwachung bleibt so lange unterbrochen. Verwenden Sie dies nur bei einem kompromittierten Schlüssel; für einen geplanten Austausch vermeidet die Rotation den Ausfall.

Serverzertifikat anheften

Das Anheften ist der Weg, wie Pulse die Identität des Servers prüft — die zweite Hälfte der Vertrauensbeziehung.

Ohne angeheftetes Zertifikat akzeptiert Pulse jedes Zertifikat, das der Server präsentiert. Der Kanal bleibt unter Signieren & Verschlüsseln zwar verschlüsselt — das schützt vor Mitlesen, aber nicht vor Vortäuschung: Alles, was unter dieser Adresse antwortet, könnte die Verbindung entgegennehmen. Mit angeheftetem Zertifikat müssen künftige Verbindungen genau dieses Zertifikat vorweisen, sonst schlägt die Verbindung fehl.

Das Anheften ist optional und verfügbar, sobald der Sicherheitsmodus Signieren oder Signieren & Verschlüsseln ist. Es gibt drei Wege:

• Erkennung — führen Sie die Erkennung aus; das aktuelle Zertifikat des Servers wird zum Anheften angeboten. Empfohlen, wenn der Server erreichbar ist.
• Datei hochladen — laden Sie eine PEM- oder DER-Zertifikatsdatei hoch.
• PEM einfügen — fügen Sie den Zertifikatstext ein und klicken Sie auf Zertifikat verwenden.

Nach dem Anheften zeigt der Bereich Thumbprint und Gültigkeit des Zertifikats. Ersetzen hinterlegt ein anderes Zertifikat; Lösen entfernt es (nach einer Bestätigung, da damit der Schutz vor einem Man-in-the-Middle entfällt).

Wenn sich das Serverzertifikat ändert

Führen Sie die Erkennung an einer Datenquelle mit angeheftetem Zertifikat aus, vergleicht Pulse beide und zeigt an, ob das angeheftete Zertifikat mit dem aktuell präsentierten übereinstimmt oder davon abweicht. Eine Abweichung kann eine legitime Zertifikatsrotation auf dem Server bedeuten — oder einen Man-in-the-Middle. Die Übernahme des neuen Zertifikats ist deshalb immer eine bewusste Aktion: Prüfen Sie, ob die Änderung erwartet ist, und klicken Sie dann auf Ermitteltes Zertifikat verwenden.

WARNING

Ändern Sie die Endpunkt-URL, während ein Zertifikat angeheftet ist, gehört das Zertifikat zum vorherigen Server und wird beim Speichern entfernt — eine Warnung im Formular stellt sicher, dass dies nie unbemerkt geschieht. Dasselbe gilt beim Wechsel des Sicherheitsmodus auf „Keiner". Heften Sie das Zertifikat nach der Änderung erneut an.

Anheften und gespeicherte Anmeldedaten

Verwendet eine Datenquelle Benutzername/Passwort-Authentifizierung über einen signierten oder verschlüsselten Kanal ohne angeheftetes Zertifikat, zeigt das Formular eine Warnung: Die Identität des Servers ist nicht verifiziert, ein Man-in-the-Middle könnte die Anmeldedaten abfangen. Das Anheften des Serverzertifikats schließt diese Lücke — verstehen Sie die Warnung als Aufforderung zum Anheften, nicht als Hintergrundrauschen.

Authentifizierung

Unabhängig von der Transportsicherheit kann der Server verlangen, dass sich Pulse als Benutzer authentifiziert:

• Anonym — keine Anmeldedaten; der Server muss anonyme Sitzungen zulassen.
• Benutzer — Benutzername und Passwort. Anmeldedaten werden in Pulse als benannte, organisationsweite Einträge gespeichert und pro Datenquelle ausgewählt; Organisations-Administratoren können neue direkt im Verbindungsdialog anlegen.

TIP

Betreiben Sie Verbindungen mit Benutzername/Passwort-Authentifizierung mit Signieren & Verschlüsseln und einem angehefteten Serverzertifikat, damit Anmeldedaten weder mitgelesen noch einem Angreifer präsentiert werden können.

Netzwerkanforderungen

Pulse verbindet sich über das binäre opc.tcp://-Protokoll — die Endpunkt-URL muss dieses Schema verwenden. Stellen Sie sicher, dass Ihre Firewall TCP-Verbindungen vom Pulse-Server zum Port des OPC-UA-Servers erlaubt (üblicherweise 4840; Server können jedoch beliebige Ports verwenden — maßgeblich ist der Port aus Ihrer Endpunkt-URL).

Fehlerbehebung

Symptom	Wahrscheinliche Ursache	Lösung
Sichere Verbindung schlägt direkt nach Aktivieren von Signieren / Signieren & Verschlüsseln fehl	Der Server vertraut dem Zertifikat von Pulse noch nicht	Anwendungsinstanz-Zertifikat auf dem Server hinterlegen
Verbindung schlägt nach Wartungsarbeiten fehl (Datenquelle mit angeheftetem Zertifikat)	Das Serverzertifikat wurde rotiert	Verbindungsdialog öffnen, Erkennung ausführen, neues Zertifikat prüfen und übernehmen
Sichere Verbindungen schlagen nach Abschluss einer Rotation fehl	Ein Server wurde beim Hinterlegen des neuen Zertifikats übersehen	Dem neuen Thumbprint auf diesem Server vertrauen
Authentifizierungsfehler	Falsche Anmeldedaten oder fehlende Rechte des Serverkontos	Gespeicherte Anmeldedaten und Berechtigungen des Kontos auf dem Server prüfen
Die gewählte Sicherheitskonfiguration wird abgelehnt	Der Server bietet diese Modus-Richtlinien-Kombination nicht mehr an	Erkennung erneut ausführen und eine angebotene Konfiguration wählen
Server nicht erreichbar	Netzwerkpfad oder Firewall	Endpunkt-URL, Port und Firewall-Regeln prüfen

Verwandte Themen

• OPC-UA-Konfiguration — eine OPC-UA-Datenquelle anlegen
• Monitore — Monitor-Konzepte aller Typen