Netzwerksegmentierung in der Pharmaproduktion: Grundlagen, Methoden und GMP-Anforderungen

Zwischen den Ebenen werden sogenannte Demilitarisierte Zonen (DMZ) eingerichtet, die als kontrollierte Übergangsbereiche fungieren. Datentransfer zwischen OT und IT erfolgt ausschließlich über Firewalls und Application-Layer-Gateways in diesen DMZ-Bereichen – niemals direkt. In der Pharmapraxis bedeutet das beispielsweise: Chargendaten aus dem MES werden über eine DMZ in das ERP-System übergeben, ohne dass das ERP jemals direkten Netzwerkzugriff auf Prozesssteuerungen erhält.

Technische Umsetzung: VLANs, Firewalls und Datendioiden

Die technischen Mittel der Segmentierung reichen von einfachen logischen bis zu physisch strikten Trennungen. Virtual Local Area Networks (VLANs) ermöglichen die logische Aufteilung eines physischen Netzes in mehrere isolierte Segmente – kostengünstig, aber auf Layer-2-Switche angewiesen und damit bei Fehlkonfiguration überwindbar. Industrielle Firewalls mit Deep Packet Inspection (DPI) für OT-Protokolle wie PROFINET, EtherNet/IP oder Modbus TCP erlauben eine granulare Regelung: Es wird nicht nur Quell- und Zieladresse geprüft, sondern auch der Inhalt der Protokollnachrichten, sodass etwa nur lesende SCADA-Abfragen, keine schreibenden Befehle durchgelassen werden.

Für hochsicherheitskritische Übergänge – etwa zwischen einer Produktionsanlage für sterile Injectabilia und dem Unternehmensnetzwerk – kommen Datendioiden (Data Diodes) zum Einsatz. Diese Hardware-Komponenten erzwingen eine physikalisch einseitige Kommunikation: Daten fließen ausschließlich in eine Richtung (von OT zu IT), eine Rückverbindung ist konstruktiv ausgeschlossen. Dadurch können Prozessdaten für die Auswertung weitergegeben werden, ohne dass der umgekehrte Zugriffspfad existiert.

GMP-Compliance und regulatorische Einordnung

Aus regulatorischer Sicht ist Netzwerksegmentierung kein rein technisches Thema. Die FDA hat im Rahmen ihrer Cybersecurity-Leitlinien explizit auf den Schutz computergestützter Systeme in der Pharmaproduktion hingewiesen; 21 CFR Part 11 fordert die Sicherstellung von Datenintegrität und Zugriffskontrolle für elektronische Aufzeichnungen. Die EU GMP-Annex 11 verlangt Maßnahmen zur physischen und logischen Sicherheit validierter Computersysteme. Das NIST Cybersecurity Framework sowie IEC 62443 gelten in der Industrie als Best-Practice-Referenz für die strukturierte Umsetzung – auch wenn sie selbst nicht rechtsverbindlich sind.

Für die Validierung segmentierter Netzwerkarchitekturen gilt: Die Segmentierungsarchitektur ist Bestandteil der Systemdokumentation und muss im Rahmen einer Risikoanalyse (z. B. nach GAMP 5 Anhang M12) bewertet werden. Änderungen an Firewall-Regelwerken oder VLAN-Konfigurationen unterliegen dem Change-Control-Prozess. Penetrationstests und regelmäßige Überprüfungen der Netzwerkkonfiguration sind als Teil des Qualitätsmanagementsystems zu dokumentieren.

Besonderheiten in sterilen Produktionsumgebungen und Reinräumen

Sterile Produktionslinien – insbesondere Isolatortechnologie und RABS (Restricted Access Barrier Systems) für aseptische Abfüllung – stellen besondere Anforderungen an die Netzwerkarchitektur. Steuerungssysteme für Isolatoren sind häufig eng mit Überwachungssystemen für Partikelzähler, Differenzdrucksensoren und H₂O₂-Begasungssteuerungen verknüpft. Diese Systeme bilden sicherheitstechnisch einen eigenen, hochkritischen Netzwerkbereich, der gegenüber sämtlichen anderen Segmenten – einschließlich anderer OT-Bereiche – abgeschottet sein sollte.

Reinraumüberwachungssysteme (Environmental Monitoring Systems, EMS) erfassen kontinuierlich GMP-kritische Parameter. Werden diese Systeme kompromittiert oder sind ihre Daten manipulierbar, kann dies zu falschen Freigabeentscheidungen führen. Eine dedizierte Segmentierung von EMS-Netzwerken mit unveränderlicher Protokollierung und restriktiven Zugriffsregeln ist daher nicht nur eine Cybersecurity-Maßnahme, sondern unmittelbar GMP-relevant.

Praxis und Ausblick: Segmentierung als kontinuierlicher Prozess

Netzwerksegmentierung ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Mit jeder neuen Anlage, jeder PAT-Integration oder jeder Anbindung an Cloud-basierte Datenanalyse-Plattformen entstehen neue Schnittstellen, die bewertet und kontrolliert werden müssen. Unternehmen, die Segmentierung nachhaltig umsetzen wollen, etablieren dafür ein dediziertes OT-Security-Management mit klar definierten Rollen, regelmäßigen Netzwerkscans, einem gepflegten Asset-Inventar und einer Prozedur zur Bewertung neuer Verbindungen.

Der Trend zu Zero-Trust-Architekturen – bei der kein Netzwerkteilnehmer per se als vertrauenswürdig gilt und jede Kommunikation explizit autorisiert werden muss – wird auch die OT-Welt der Pharmaindustrie zunehmend prägen. Erste Hersteller industrieller Steuerungssysteme integrieren bereits entsprechende Authentifizierungsmechanismen auf Geräteebene. Die strukturelle Grundlage dafür bleibt jedoch dieselbe: eine sorgfältig geplante, dokumentierte und regelmäßig überprüfte Netzwerksegmentierung, die technische Sicherheit und GMP-Anforderungen gleichermaßen erfüllt.