Wat is een datadiode?
Een datadiode is een netwerkapparaat dat in hardware afdwingt dat data maar in één richting tussen twee netwerken kan stromen, zodat er fysiek geen pad terug bestaat voor commando’s, malware of andere communicatie. In OT-omgevingen staat een datadiode meestal op de grens tussen het productienetwerk en het kantoornetwerk: procesdata gaat naar buiten, maar niets kan naar binnen. Andere namen zijn unidirectionele gateway, one-way gateway of deterministic one-way boundary device. Omdat de eenrichtingswerking in de elektronica en optiek zit en niet in een configuratie, kan een fout in regels of software die richting niet omkeren.
🧠 Hoe werkt een datadiode?
Het principe is eenvoudig. De meeste datadiodes gebruiken een glasvezelverbinding waarbij aan de zendkant alleen een zender (laser of led) en aan de ontvangkant alleen een ontvanger (fotodiode) zit. Er is geen tweede vezel en geen terugkanaal. Licht kan dus maar één kant op, net als stroom door een elektronische diode.
Dat heeft directe gevolgen voor protocollen:
- Geen handshake mogelijk - TCP heeft voor elke verbinding een driewegshandshake en bevestigingen (ACK’s) nodig. Over een kale diode werkt dat niet.
- Proxies aan beide kanten - daarom staat aan elke kant een server met speciale software. De zendproxy beëindigt de TCP-verbinding met bijvoorbeeld een SCADA-server of historian en stuurt de data als eenrichtingsstroom, meestal op basis van UDP, over de diode. De ontvangproxy bouwt aan de andere kant een nieuwe verbinding op.
- Geen herverzending - de zender hoort nooit of een pakket is aangekomen. Leveranciers gebruiken daarom redundantie, foutcorrectie, volgnummers en controlesommen. Wat toch verloren gaat, kan de ontvanger alleen melden via een ander kanaal.
- Protocolemulatie - geavanceerde oplossingen repliceren complete databases of bootsen servers na. De ontvangkant toont dan bijvoorbeeld een kopie van een OPC UA-server of historian, terwijl de bron in OT blijft.
NIST maakt in SP 800-82 Rev. 3 (september 2023) precies dit onderscheid: de hardware kan fysiek niets terugsturen, de software repliceert databases en emuleert protocolservers en apparaten.
🔄 Wat is het verschil tussen een datadiode en een firewall?
Een firewall of industrial firewall beslist per pakket op basis van regels. Een datadiode beslist niets: de richting ligt vast in de hardware.
| Aspect | Datadiode | Firewall |
|---|---|---|
| Richting | Fysiek alleen één richting | Beide richtingen, volgens regels |
| Afdwinging | Hardware (optiek, elektronica) | Software en configuratie |
| Gevolg van een configuratiefout | Richting blijft eenrichting | Er kan onbedoeld verkeer naar binnen |
| Protocollen | Alleen via proxies of replicatie | Vrijwel alle protocollen direct |
| Beheer op afstand naar OT | Onmogelijk via de diode | Mogelijk, met de juiste regels |
| Inhoudscontrole | Geen, tenzij aanvullende filtering | Mogelijk via protocolfiltering en DPI |
| Typische plek | Grens van de meest kritieke zone | Tussen zones met tweerichtingsverkeer |
De keuze is daarom geen of-of. Een datadiode is geen vervanging van een firewall, maar een extra harde scheiding waar tweerichtingsverkeer niet nodig of niet acceptabel is. Waar wel tweerichtingsverkeer nodig is, zoals voor toegang op afstand, blijft een firewall in een IDMZ de gangbare oplossing.
🏭 Waar worden datadiodes in de industrie gebruikt?
Datadiodes zijn bijzonder geschikt voor hoogbeveiligde of gereguleerde omgevingen. Typische toepassingen:
- Historian-replicatie - de historian in OT repliceert naar een kopie in de DMZ of IT, waar gebruikers, MES en ERP alleen die kopie lezen
- Monitoring vanuit IT - alarmen, syslog-meldingen en real-time trends gaan naar een SIEM of SOC zonder dat het SOC naar binnen kan
- Netwerkdetectie - gespiegeld OT-verkeer gaat naar een sensor voor anomaliedetectie buiten de beschermde zone
- Procesindustrie - de NOA-diode uit NAMUR Open Architecture laat veld- en procesdata naar monitoring en optimalisatie stromen zonder de besturing te raken
- Kritieke infrastructuur - kerncentrales, energienetten, drinkwater en waterbeheer, waar een datadiode een air gap-achtige scheiding geeft zonder het datagebruik op te geven
Er zijn twee richtingen met elk een eigen doel:
| Richting | Beschermt | Voorbeeld |
|---|---|---|
| Van binnen naar buiten (OT naar IT) | Integriteit en beschikbaarheid van het beschermde netwerk | Procesdata van PLC en SCADA naar IT |
| Van buiten naar binnen (laag naar hoog) | Vertrouwelijkheid van het beschermde netwerk | Defensie- of overheidsnetwerk dat data ontvangt maar niets mag lekken |
In OT gaat het vrijwel altijd om de eerste richting. De oorspronkelijke datadiodes uit de jaren 80 en 90 kwamen juist uit de tweede wereld: overheden die gerubriceerde netwerken wilden voeden zonder lekrisico.
🧱 Waar staat een datadiode in het Purdue-model?
In het Purdue Model staat een datadiode meestal tussen niveau 2 en 3, of tussen niveau 3 en de IDMZ. NIST noemt het voorbeeld van een unidirectionele gateway tussen niveau 2 en 3: die beschermt de apparaten op niveau 0 tot en met 2 tegen een incident op niveau 3, 4 of 5.
In de taal van IEC 62443 is een datadiode een manier om een conduit tussen twee zones te realiseren. De norm schrijft geen datadiode voor, maar een risicoanalyse volgens IEC 62443-3-2 kan uitkomen op een zo streng security level dat alleen eenrichtingsverkeer verantwoord is. In de Amerikaanse nucleaire sector is eenrichtingsverkeer wel de norm. De Nuclear Regulatory Commission beschrijft in Regulatory Guide 5.71 (januari 2010) een aanvaardbare invulling van de cyberbeveiligingseis 10 CFR 73.54: in kerncentrales is alleen eenrichtingsverkeer van niveau 4 naar 3 en van 3 naar 2 toegestaan, afgedwongen met hardwarematige middelen.
🔐 Wat zijn de beperkingen en risico’s van een datadiode?
Een datadiode lost één probleem perfect op, maar niet alles:
- Geen terugweg betekent ook geen updates - patches, antivirussignaturen en configuraties moeten via een andere, gecontroleerde route naar binnen, zoals een scanstation voor USB-media
- Geen tijdsynchronisatie van buiten - NTP vanuit IT werkt niet, dus de OT-zone heeft een eigen tijdbron nodig
- Andere aanvalspaden blijven bestaan - Stuxnet liet zien dat een geïsoleerd netwerk via USB besmet kan raken; een datadiode helpt niet tegen USB, leveranciers op locatie of insiders, dus USB-beheer blijft nodig
- De proxies zijn software - de servers aan beide kanten moeten worden gehard, gepatcht en bewaakt
- Omzeilingen - een tweede netwerkkabel, een 4G-modem of een “tijdelijke” bypass voor onderhoud maakt de diode zinloos
- Datastromen ontwerpen kost tijd - elk protocol moet expliciet worden ondersteund, en wat niet past moet anders worden opgelost
Binnen Defense in Depth is een datadiode dus één laag, naast segmentatie, monitoring en procedures. Met Zero Trust botst een datadiode niet: het beperkt de vertrouwensrelatie tussen zones tot data die alleen naar buiten gaat.
🧭 Hoe richt u een datadiode stap voor stap in?
- Inventariseer de datastromen - welke data moet uit OT, naar wie, hoe vaak en met welk protocol? Kijk ook welke stromen nu naar binnen gaan en of die echt nodig zijn.
- Bepaal de grens - kies welke zone de diode beschermt, meestal de besturingszone van niveau 0 tot en met 2 of de hele OT-omgeving.
- Kies het type - een eenvoudige diode met eigen proxies of een complete gateway met replicatie van historians, OPC en bestanden.
- Dimensioneer de capaciteit - gangbare producten halen 1 tot 10 Gbit/s; enkele leveranciers bieden tot 100 Gbit/s. Voor de meeste historian- en SIEM-stromen is 1 Gbit/s ruim voldoende.
- Regel de route naar binnen - leg vast hoe patches, signaturen, tijd en ondersteuning de OT-zone bereiken zonder de diode te omzeilen.
- Test foutsituaties - wat gebeurt er bij pakketverlies, een volle buffer of uitval van een proxy? Laat ontbrekende data zien in de ontvangende systemen.
- Leg beheer en controle vast - wie mag de proxyconfiguratie wijzigen, en hoe controleert u periodiek dat er geen omzeilingen zijn ontstaan?
In Nederland zijn datadiodes sterk vertegenwoordigd. De Fox DataDiode, oorspronkelijk ontwikkeld door Fox-IT, wordt tegenwoordig als Sentyron DataDiode geleverd door het Delftse Sentyron. Dat is de voormalige cryptotak Fox Crypto, die moederbedrijf NCC Group in 2024 verkocht aan het Zweedse CR Group. Het product is geëvalueerd op Common Criteria EAL7+ (formeel geverifieerd ontwerp) en goedgekeurd voor NATO TOP SECRET. Andere bekende leveranciers zijn Waterfall Security Solutions en Owl Cyber Defense. Voor organisaties die onder de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) en dus NIS2 vallen, is een datadiode geen verplichting, maar wel een sterke maatregel om de zorgplicht voor de meest kritieke processen aantoonbaar in te vullen en compliance te onderbouwen.
❓ Veelgestelde vragen
Kan een datadiode worden gehackt?
Een datadiode zelf kan niet via het netwerk worden omgedraaid, omdat de zendkant fysiek geen ontvanger heeft. Aanvallers kunnen wel de proxyservers aan beide kanten aanvallen of de diode omzeilen via een andere verbinding. Een datadiode beschermt dus het netwerkpad, niet de hele omgeving.
Werkt TCP over een datadiode?
TCP werkt niet rechtstreeks over een datadiode, omdat TCP bevestigingen in de terugrichting nodig heeft. Een datadiode lost dat op met proxies aan beide kanten die elk hun eigen TCP-verbinding afhandelen. Tussen de proxies loopt een eenrichtingsstroom, vaak op basis van UDP met foutcorrectie.
Wat is het verschil tussen een datadiode en een unidirectionele gateway?
Een datadiode is strikt genomen de hardware die alleen eenrichtingsverkeer doorlaat. Een unidirectionele gateway combineert die hardware met software die databases repliceert en servers nabootst, zodat bestaande toepassingen er gewoon mee werken. In de praktijk worden beide termen vaak door elkaar gebruikt.
Is een datadiode verplicht onder NIS2 of IEC 62443?
Een datadiode is niet verplicht onder NIS2, de Cyberbeveiligingswet of IEC 62443. Die kaders eisen passende maatregelen op basis van risico, en een datadiode is één manier om een zone streng af te schermen. In de Amerikaanse nucleaire sector geldt eenrichtingsverkeer tussen de hoogste beveiligingsniveaus via Regulatory Guide 5.71 wel als de verwachte aanpak.
Kunt u via een datadiode onderhoud op afstand uitvoeren?
Onderhoud op afstand is via een datadiode onmogelijk, omdat er geen pad naar binnen bestaat. Organisaties regelen leveranciersonderhoud daarom via een aparte, gecontroleerde route, bijvoorbeeld een tijdelijk geopende verbinding met toezicht. Die route moet net zo streng worden beheerd als de diode zelf.
Wat kost een datadiode?
De prijs van een datadiode hangt sterk af van capaciteit, certificering en de benodigde replicatiesoftware. Een gecertificeerde oplossing met redundante proxies en ondersteuning voor meerdere protocollen is aanzienlijk duurder dan een industriële firewall. Reken naast de aanschaf ook op ontwerp, integratie en beheer van de datastromen.
📌 Samengevat
Een datadiode dwingt in hardware af dat data maar één kant op kan, zodat procesdata uit OT kan stromen zonder dat er een pad terug bestaat voor aanvallen of commando’s. Proxies en replicatiesoftware maken gangbare toepassingen zoals historians, SIEM en OPC bruikbaar over de eenrichtingsverbinding. Een datadiode vervangt geen firewall en geen goed beheer, maar is binnen defense in depth de sterkste scheiding voor de meest kritieke zones.