Eine Datendiode ist ein hardwarebasiertes Sicherheitselement, das Daten\u00fcbertragungen ausschlie\u00dflich in eine Richtung erzwingt und jeden R\u00fcckkanal physisch ausschlie\u00dft. Diese Einweg-Architektur sch\u00fctzt hochkritische Netze vor Infiltration und Sabotage, weil selbst Softwarefehler oder Fehlkonfigurationen keine ungewollten bidirektionalen Verbindungen er\u00f6ffnen k\u00f6nnen.<\/p>\n
Eine Datendiode erzwingt die \u00dcbertragung ausschlie\u00dflich in eine Richtung, typischerweise \u00fcber eine optische Sendestrecke ohne elektrischen R\u00fcckkanal. Die Hardware besteht meist aus getrennten Sende- und Empfangsmodulen, wodurch kein R\u00fcckkanal<\/strong> vorhanden ist und Antworten technisch unm\u00f6glich werden. Ein vorgeschalteter oder nachgeschalteter Konverter \u00fcbernimmt die Aufbereitung, damit Anwendungen trotz physisch erzwungener Einweg-\u00dcbertragung<\/strong> sinnvolle Daten erhalten. Zahlreiche L\u00f6sungen setzen dabei auf sogenannte unidirektionale Gateways, die Sitzungen auftrennen und Inhalte in ereignis- oder dateibasierte Formate<\/strong> umwandeln. Die hardwaregest\u00fctzte Einweg-Architektur reduziert die Angriffsfl\u00e4che gegen\u00fcber softwaregesteuerten Filtern, weil ein Softwarefehler keine R\u00fcckrichtung \u00f6ffnen kann.<\/p>\n Kraftwerksnetze leiten Prozesswerte \u00fcber die Datendiode in Berichtssysteme aus, w\u00e4hrend jede Verbindung zur\u00fcck in die Leittechnik physikalisch ausgeschlossen bleibt. Eine betriebsfreundliche Umsetzung nutzt Puffer, um Ausleitungen trotz schwankender Bandbreite stabil zu halten. Ein klar definierter Datenkatalog erleichtert die Abnahme, weil nur freigegebene Formate den Sprung \u00fcber die Einwegstrecke schaffen.<\/p>\n Kritische Industrie- und Beh\u00f6rdennetze nutzen die Datendiode, um sensible Bereiche kontrolliert mit weniger vertrauensw\u00fcrdigen Zonen zu koppeln. Viele Betreiber trennen Produktionsnetze (Operational Technology, OT) strikt von B\u00fcro- oder Cloud-Umgebungen und w\u00e4hlen die Diode als hartes Segmentierungswerkzeug<\/strong>. Ein Klinikverbund exportiert beispielsweise Laborstatistiken aus einem isolierten Netz in ein zentrales Berichtswesen, ohne dass Behandlungsger\u00e4te erreichbar werden. Ein B\u00f6rsenhandelsanbieter speist Marktdatentelemetrie aus einem abgesicherten Netzwerk \u00fcber eine Diode in Analyse-Tools ein, damit Wartungszugriffe ausgeschlossen bleiben.<\/p>\n Fr\u00fche Abstimmung zu Protokollen, Dateiformaten, Zeitstempeln und Zeichens\u00e4tzen verhindert Nacharbeiten bei Datendioden-Projekten und sorgt f\u00fcr verlustfreie, nachvollziehbare Ausleitungen<\/strong>. Ein abgestuftes Monitoring in der Empfangszone erkennt Ausf\u00e4lle schnell, weil R\u00fcckmeldungen aus der Sendeseite fehlen.<\/p>\n Die Datendiode begrenzt bidirektionale Protokolle und kann durch erg\u00e4nzende Gateways unbeabsichtigte R\u00fcckkan\u00e4le er\u00f6ffnen. Viele Unternehmensprotokolle erwarten Best\u00e4tigungen (z. B. Transmission Control Protocol (TCP)), weshalb \u00dcbersetzer Quittungen k\u00fcnstlich erzeugen oder Sitzungen terminieren; fehlerhafte Implementierungen k\u00f6nnen dadurch Risikopfade<\/strong> schaffen. Ein Historian-Connector, der Steuerkommandos zul\u00e4sst, w\u00fcrde den Grundschutz konterkarieren. Eine zu breite Whitelist f\u00fcr Datei-Exporte erh\u00f6ht ebenfalls die Angriffsfl\u00e4che.<\/p>\n Betriebsprozesse und Randbedingungen setzen der Datendiode praktische Grenzen, die fr\u00fch ber\u00fccksichtigt werden m\u00fcssen. Gro\u00dfe Datenmengen, propriet\u00e4re Sitzungsprotokolle oder strikte Latenzanforderungen passen nur bedingt zum Einwegprinzip und erfordern Alternativen wie periodische Datei-Exports. Ein Beispiel aus der Praxis ist die Videostream-\u00dcbertragung, die ohne R\u00fcckkanal kaum stabil bleibt und deshalb besser au\u00dferhalb der Diode gel\u00f6st wird. Eine tr\u00fcgerische Schein-Sicherheit<\/strong> entsteht, wenn Anwender zus\u00e4tzliche Wartungswege parallel aufschalten und damit die Isolationswirkung umgehen.<\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_set":[],"glossary_intl_cluster":[392],"glossary_intl_theme":[],"class_list":["post-28924","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_cluster-cybersecurity"],"acf":{"card_description":"Datendiode ist ein hardwarebasiertes Sicherheitselement, das Daten\u00fcbertragung ausschlie\u00dflich in eine Richtung erzwingt. Kritische Netze nutzen die physische Einweg-Architektur zum Schutz vor Infiltration.","nav_theme":"","nav_subtheme":"","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Unidirektionales Gateway"},{"value":"Data Diode"}],"lead_definition":"Eine Datendiode ist ein hardwarebasiertes Sicherheitselement, das Daten\u00fcbertragungen durch physisch getrennte Sende- und Empfangsmodule ohne elektrischen R\u00fcckkanal ausschlie\u00dflich in eine Richtung erzwingt und hochkritische Industrie- und Beh\u00f6rdennetze vor Infiltration sch\u00fctzt, weil selbst Softwarefehler oder Fehlkonfigurationen keine ungewollten bidirektionalen Verbindungen er\u00f6ffnen k\u00f6nnen.","at_a_glance":[{"bullet":"Hardware erzwingt Einweg-\u00dcbertragung durch physisch getrennte Sende- und Empfangsmodule ohne elektrischen R\u00fcckkanal, sodass keine Software-Fehlkonfiguration bidirektionale Verbindungen schaffen kann."},{"bullet":"Kritische Infrastrukturen wie Kraftwerke, B\u00f6rsen und Beh\u00f6rden nutzen Datendioden, um Prozessdaten oder Berichte aus isolierten OT-Netzen kontrolliert in weniger vertrauensw\u00fcrdige Zonen auszuleiten."},{"bullet":"Bidirektionale Protokolle (TCP, HTTP) erfordern zus\u00e4tzliche Konverter, die Sitzungen terminieren und Quittungen k\u00fcnstlich erzeugen, was bei fehlerhafter Umsetzung neue Risikopfade er\u00f6ffnen kann."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Kraftwerksbetreiber leitet Prozesswerte aus dem Steuerungsnetz \u00fcber eine Datendiode in ein Berichtssystem aus, damit Wartungszugriffe auf die Leittechnik physikalisch unm\u00f6glich bleiben."},{"example":"Ein B\u00f6rsenhandelsanbieter speist Marktdatentelemetrie aus einem abgesicherten Netzwerk \u00fcber eine Diode in Analyse-Tools ein, um bidirektionale Verbindungen auszuschlie\u00dfen und Manipulationen zu verhindern."},{"example":"Ein Klinikverbund exportiert anonymisierte Laborstatistiken aus einem isolierten Netz \u00fcber eine Datendiode in ein zentrales Berichtswesen, ohne Behandlungsger\u00e4te erreichbar zu machen."}],"misconception":null,"faq":[{"q":"Kann eine Datendiode bidirektionale Protokolle wie HTTPS oder Datenbank-Replikation unterst\u00fctzen?","a":"Datendioden unterst\u00fctzen bidirektionale Protokolle nur indirekt, indem vorgeschaltete Gateways Sitzungen terminieren und Inhalte in ereignis- oder dateibasierte Formate umwandeln. Quittungen und Best\u00e4tigungen werden k\u00fcnstlich erzeugt, w\u00e4hrend echter R\u00fcckverkehr physikalisch ausgeschlossen bleibt."},{"q":"Warum reicht eine Firewall-Regel f\u00fcr Einweg-Verkehr nicht aus?","a":"Firewall-Regeln sind softwarebasiert und k\u00f6nnen durch Fehlkonfiguration, Exploits oder Betriebssystem-Schwachstellen umgangen werden. Datendioden erzwingen die Einweg-Eigenschaft durch physisch getrennte Hardware ohne elektrischen R\u00fcckkanal, sodass selbst kompromittierte Software keine R\u00fcckverbindung schaffen kann."},{"q":"Wie \u00fcberwacht man den Betrieb einer Datendiode ohne R\u00fcckkanal?","a":"Die Empfangsseite pr\u00fcft Heartbeats, Zeitstempel und Datenraten, um Ausf\u00e4lle zu erkennen. Zus\u00e4tzliche Out-of-band-Kan\u00e4le (z. B. separate Monitoring-Netze) erm\u00f6glichen Statusabfragen, w\u00e4hrend die eigentliche Diode keinerlei R\u00fcckmeldungen sendet."},{"q":"Welche Latenz verursacht eine Datendiode?","a":"Optische Datendioden f\u00fcgen typischerweise wenige Mikrosekunden hinzu, w\u00e4hrend Protokollkonverter f\u00fcr bidirektionale Sitzungen mehrere Millisekunden Verz\u00f6gerung einbringen k\u00f6nnen. Zeitkritische Anwendungen sollten Latenzmessungen im Vorfeld durchf\u00fchren und Pufferstrategien anpassen."}],"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":null,"pillar_link":null,"sources":[{"publisher":"","name":"NIST Special Publication 800-82 Rev. 3 \u2013 Guide to Operational Technology (OT) Security","url":"https:\/\/csrc.nist.gov\/publications\/sp","doc_type":"","group":"used"},{"publisher":"","name":"IEC 62443 \u2013 Security for industrial automation and control systems","url":"","doc_type":"","group":"used"}],"reviewer":{"name":"M. Kubascikova","qualification":"SEO director","date":"2026-07-01"},"disclaimer":""},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tTypische Datenstr\u00f6me \u00fcber eine Datendiode<\/h3>\n
\n
Einsatzszenarien f\u00fcr die Datendiode in IT, OT und Cloud<\/h2>\n
Bew\u00e4hrte Einsatzmuster<\/h3>\n
\n
Grenzen und Fallstricke der Datendiode<\/h2>\n
Risiken mindern<\/h3>\n
\n