Netzwerkschnittstellen in DIN EN 18031 verstehen

21. August 2026 · Lesedauer: 13-17 Minuten

Kaum ein Begriff taucht in DIN EN 18031-1 so häufig auf wie die Netzwerkschnittstelle. Sie bestimmt, wann eine Authentifizierung verlangt wird, welche Kommunikation kryptografisch zu schützen ist und welche Dienste im Auslieferungszustand überhaupt erreichbar sein dürfen. In der Praxis wird der Begriff trotzdem meist verkürzt gelesen, nämlich als Liste der verbauten Funkmodule und Ethernet-Buchsen. Tatsächlich meint er etwas Präziseres und zugleich Weiteres. Dieser Artikel erklärt, wie DIN EN 18031 Schnittstellen definiert, wie sich Netzwerk-, Maschinen- und Benutzerschnittstelle voneinander abgrenzen und warum die Schnittstellenliste den Umfang der gesamten Bewertung festlegt.

Kurz gesagt

Eine Netzwerkschnittstelle ist nach DIN EN 18031-1 eine externe Schnittstelle, die es dem Gerät ermöglicht, Zugang zu einem Netz zu haben oder Zugang zu einem Netz bereitzustellen, beispielsweise ein kabelgebundener LAN-Port oder drahtlose Schnittstellen für WLAN sowie Nahbereichsfunk.

Der Begriff steht dabei nicht allein, sondern in einer Hierarchie:

• Schnittstelle: die abstrakte Grunddefinition, also eine gemeinsame Grenze, über die Entitäten Informationen austauschen.
  Noch ohne Bezug zum Gerät.
• Externe Schnittstelle: eine Schnittstelle des Geräts, die von außerhalb des Geräts erreichbar ist.
  Der Oberbegriff, unter dem alle konkreten Typen liegen.
• Benutzer-, Maschinen- und Netzwerkschnittstelle: die drei spezifischen Ausprägungen der externen Schnittstelle.
  Benutzerschnittstelle zum Nutzer, Maschinenschnittstelle zu einem Dienst oder Gerät, Netzwerkschnittstelle zum Netz.

Entscheidend ist die Konsequenz daraus: Jede Netzwerkschnittstelle ist eine externe Schnittstelle, aber nicht jede externe Schnittstelle ist eine Netzwerkschnittstelle. Und eine physische Schnittstelle kann je nach Betrachtungsebene mehreren Typen zugleich zugeordnet sein.

Schichtweise Betrachtung der Schnittstellen

Der häufigste Denkfehler besteht darin, jede Schnittstelle genau einer Kategorie zuzuweisen. DIN EN 18031-1 legt in ihrem informativen Anhang jedoch ein geschichtetes Kommunikationsmodell zugrunde: Je Kommunikationsschicht kann ein anderer Schnittstellentyp einschlägig sein.

Das Standardbeispiel ist das Webinterface. Ein Gerät stellt eine Konfigurationsseite bereit, die ein Nutzer im Browser eines anderen Geräts öffnet. Aus Sicht der Anwendung ist das eine Benutzerschnittstelle, denn die Kommunikation findet zwischen Gerät und Mensch statt. Aus Sicht der Übertragung ist es eine Netzwerkschnittstelle, denn die Seite läuft über den Netzwerk-Stack. Beide Einordnungen sind gleichzeitig richtig.

Weitere Konstellationen illustrieren dasselbe Prinzip:

• Laptop mit fest verbauter Tastatur: Die Tastatur ist Teil des Geräts, die Kommunikation mit dem Nutzer läuft über eine Benutzerschnittstelle.
• Gerät mit USB-Tastatur: Die Tastatur ist ein externes Gerät. Auf physischer Ebene liegt eine Maschinenschnittstelle vor, auf Anwendungsebene weiterhin eine Benutzerschnittstelle.
• USB-Drucker: Wie bei der USB-Tastatur, nur dass auch auf Anwendungsebene eine Maschinenschnittstelle vorliegt, weil kein Mensch beteiligt ist.
• Netzwerkdrucker: Auf Anwendungsebene eine Maschinenschnittstelle, auf Netzwerkebene eine Netzwerkschnittstelle.

Diese Doppelzuordnung ist keine akademische Feinheit. Sie wird spätestens dann praktisch relevant, wenn unterschiedliche Anforderungen an Netzwerk- und Benutzerschnittstellen gestellt werden, wie es bei der Authentifizierung der Fall ist. Wer ein Webinterface ausschließlich als Benutzerschnittstelle führt, argumentiert später mit der falschen Anforderung.

Die Einordnung typischer Schnittstellen

Für die Aufnahme im Produkt hilft eine grobe Vorsortierung, die anschließend je Gerät zu verfeinern ist:

• LAN-Port, WLAN, Mobilfunk, Zigbee, Thread, Bluetooth: Netzwerkschnittstellen, sofern sie dem Gerät Zugang zu einem Netz verschaffen oder einen solchen bereitstellen.
• Serielle Verbindungen zu einem Sensor: in der Regel Maschinenschnittstellen, nicht Netzwerkschnittstellen.
• Display, Tastenfeld, Taster, LED-Anzeige: Benutzerschnittstellen.
• Webinterface, App-Anbindung, Konfigurationsdialog über das Netz: auf Anwendungsebene Benutzerschnittstelle, auf Netzwerkebene Netzwerkschnittstelle.
• UART, JTAG, Debug-Konsolen: externe Schnittstellen, sofern von außerhalb des Geräts erreichbar. Ihre Einordnung im Einzelfall greifen wir in einem der kommenden Artikel dieser Reihe gesondert auf.

Die Zuordnung folgt dabei immer der Funktion, nicht dem Steckerbild. Ein USB-Anschluss, über den ein Gerät eine Netzwerkverbindung aufbaut, etwa per USB-Ethernet oder Tethering, ist funktional eine Netzwerkschnittstelle. Umgekehrt macht ein RJ45-Stecker, der ausschließlich eine proprietäre Punkt-zu-Punkt-Verbindung zu einer Sensorbaugruppe trägt, aus dieser Verbindung noch kein Netz.

Die Schnittstellenliste bestimmt den Umfang der gesamten Bewertung

Wie schon bei den Assets gilt: DIN EN 18031 wendet ihre Anforderungen nicht pauschal auf das Gerät an, sondern je Element. Die Schnittstelle ist neben dem Asset das zweite dieser Elemente. Was nicht auf der Schnittstellenliste steht, wird in keinem Entscheidungsbaum bewertet und taucht in keinem Nachweis auf. Wie eng Assets und Schnittstellen dabei zusammenhängen, haben wir in unserem Artikel zur systematischen Asset-Identifikation ausgeführt: Die Schnittstelle ist der Weg, über den eine Entität ein Asset erreicht.

Konkret hängen an der Schnittstellenliste unter anderem:

• Zugriffskontrolle und Authentifizierung: ACM-1 verlangt Zugriffskontrolle für Assets, die für Entitäten zugänglich sind. AUM-1-1 knüpft daran an und fordert für die Zugriffe über Netzwerkschnittstellen Authentifizierungsmechanismen, während AUM-1-2 dieselbe Frage für Benutzerschnittstellen mit einer eigenen Ausnahmesystematik regelt. Die Norm verlangt in [E.Info.AUM-1-1.ACM.NetworkInterface] ausdrücklich eine Beschreibung der Netzwerkschnittstellen, über die der verwaltete Zugriff läuft.
• Sichere Kommunikation: Die SCM-Anforderungen beziehen sich auf Assets, die über Netzwerkschnittstellen kommuniziert werden. Fehlt eine Schnittstelle in der Aufstellung, fehlt auch die zugehörige Betrachtung von Vertraulichkeit, Integrität, Authentizität und Replay-Schutz.
• Allgemeine Geräteeigenschaften: GEC-2 bis GEC-5 setzen unmittelbar an Schnittstellen und den darüber exponierten Diensten an, von der Begrenzung im Auslieferungszustand bis zur Frage unnötiger physischer Schnittstellen.

Die Schnittstellenaufnahme ist damit kein Nebenprodukt der Hardwaredokumentation, sondern eine eigenständige Bewertungsgrundlage. Gern gehen wir diese Aufnahme gemeinsam mit Ihnen durch und gleichen sie gegen die Anforderungen der Norm ab.

Der Auslieferungszustand entscheidet über die zulässige Angriffsfläche

Besonders unterschätzt wird die GEC-Familie, weil sie nicht nach der Schnittstelle als solcher fragt, sondern nach ihrem Zustand bei Auslieferung.

GEC-2 verlangt, dass im Werkszustand nur solche Netzwerkschnittstellen und darüber exponierten Dienste erreichbar sind, die Security- oder Netzwerk-Assets betreffen und für die Einrichtung oder den Basisbetrieb des Geräts notwendig sind. Die Norm unterscheidet dabei ausdrücklich zwischen Mehrzweckgeräten wie Smartphones oder Laptops und Geräten mit fest umrissener Funktionalität wie Sensoren oder Routern. Bei letzteren ist der zulässige Spielraum eng: erlaubt ist, was zum Einrichten oder Nutzen genau dieser Funktionalität erforderlich ist.

GEC-3 verlangt für optionale Netzwerkschnittstellen und optionale Dienste im Werkszustand, dass ein autorisierter Nutzer sie aktivieren und deaktivieren kann. Ein Dienst, der sich nicht abschalten lässt, ist nach dieser Logik kein optionaler Dienst, sondern dauerhafte Angriffsfläche.

GEC-4 verschiebt die Perspektive auf die Nutzerdokumentation: Alle im Auslieferungszustand exponierten Netzwerkschnittstellen und die darüber exponierten Dienste müssen dort beschrieben sein. Ziel ist Transparenz darüber, welche Konnektivität ein Gerät in die Umgebung des Betreibers einbringt.

GEC-5 betrachtet die physischen externen Schnittstellen und verlangt, dass nur solche exponiert werden, die für die vorgesehene Funktionalität notwendig sind. Bemerkenswert ist die zugehörige Auslegung: Eine Schnittstelle, die durch die vorgesehene Einsatzumgebung physisch geschützt oder die deaktiviert beziehungsweise blockiert ist, gilt als nicht exponiert. Ausdrücklich einbezogen sind dabei auch Schnittstellen, die eigentlich für die geräteinterne Kommunikation vorgesehen sind.

Aus diesen vier Anforderungen ergibt sich eine praktische Faustregel: Nicht die Existenz einer Schnittstelle ist das Problem, sondern ihre unbegründete Erreichbarkeit im Auslieferungszustand.

Die Norm verlangt eine physische und eine logische Beschreibung

Wie detailliert die Beschreibung ausfallen muss, zeigt [E.Info.SCM-1.NetworkInterface] am deutlichsten. Verlangt wird je Netzwerkschnittstelle:

• Physische Merkmale, differenziert nach Schnittstellenart: bei Funkschnittstellen die verwendete Technologie, das belegte Frequenzspektrum, die Sendeleistung und die implementierten Betriebsmodi; bei kabelgebundenen Schnittstellen die elektrischen Eigenschaften und Betriebsmodi; entsprechend bei optischen und akustischen Schnittstellen.
• Logische Merkmale, also alle auf der Schnittstelle implementierten Kommunikationsprotokolle samt Betriebsmodi, Protokollversion und, sofern zutreffend, der eingesetzten Softwarebibliothek.
• Konfiguration, also die angewandte Konfiguration sowie die verfügbaren Optionen, das physische oder logische Verhalten der Schnittstelle zu verändern.

Die Angabe der Protokollversion und der verwendeten Bibliothek ist dabei kein Formalismus. Sie verknüpft die Schnittstellenbeschreibung mit der Schwachstellenbetrachtung nach GEC-1, denn ohne Version und Bibliothek lässt sich nicht belegen, dass keine öffentlich bekannten ausnutzbaren Schwachstellen die Security- oder Netzwerk-Assets betreffen.

Typische Lücken in der Schnittstellenaufnahme

In der funktionalen Vollständigkeitsprüfung sucht ein Prüfteam aktiv nach Schnittstellen und Diensten, die im Gerät existieren, aber nicht dokumentiert sind. Dieselben Muster fallen dabei immer wieder auf:

• Nur die beworbenen Schnittstellen erfasst. Neben WLAN und Ethernet sind häufig weitere Funkschnittstellen aktiv, etwa ein Bluetooth-Stack für die Ersteinrichtung, der nach dem Setup nie deaktiviert wird.
• Dienste mit der Schnittstelle verwechselt. GEC-2 und GEC-4 verlangen die Betrachtung der Schnittstelle und der darüber exponierten Dienste. Ein offener Debug-Port auf TCP-Ebene ist ein eigener Prüfgegenstand, auch wenn die Schnittstelle selbst dokumentiert ist.
• Anwendungsebene und Netzwerkebene vermischt. Ein Webinterface wird als reine Benutzerschnittstelle geführt, obwohl auf Netzwerkebene AUM-1-1 einschlägig ist.
• Werkszustand nicht getrennt betrachtet. Dokumentiert wird der konfigurierte Zustand nach der Inbetriebnahme, geprüft wird der Auslieferungszustand.
• Protokollversionen und Bibliotheken ausgelassen. Die Beschreibung bleibt auf der Ebene „HTTPS“ oder „BLE“ stehen und trägt die Schwachstellenbetrachtung nicht.
• Geerbte Schnittstellen aus Referenzdesigns. Evaluierungsboards und SDKs bringen Dienste mit, die niemand bewusst aktiviert hat, die aber in der Serie erreichbar bleiben.

Wenn Sie unsicher sind, ob Ihre Aufstellung vollständig ist, prüfen wir Ihre Schnittstellenliste gegen das reale Verhalten des Geräts.

Häufige Fragen

Was ist eine Netzwerkschnittstelle nach DIN EN 18031? Eine externe Schnittstelle, die dem Gerät Zugang zu einem Netz verschafft oder einen solchen bereitstellt. Die Norm nennt als Beispiele einen kabelgebundenen LAN-Port sowie drahtlose Schnittstellen für WLAN oder Nahbereichsfunk.

Ist jede externe Schnittstelle eine Netzwerkschnittstelle? Nein. Benutzer-, Maschinen- und Netzwerkschnittstellen sind drei spezifische Ausprägungen der externen Schnittstelle. Eine USB-Verbindung zu einem angeschlossenen Drucker ist eine Maschinenschnittstelle, ein Tastenfeld eine Benutzerschnittstelle.

Kann eine Schnittstelle gleichzeitig Benutzer- und Netzwerkschnittstelle sein? Ja. Die Norm legt ein geschichtetes Kommunikationsmodell zugrunde. Ein Webinterface ist auf Anwendungsebene eine Benutzerschnittstelle und auf Netzwerkebene eine Netzwerkschnittstelle. Beide Einordnungen gelten parallel und führen zu unterschiedlichen Anforderungen.

Zählt Bluetooth als Netzwerkschnittstelle? Ja. Die Beispiele der Norm nennen ausdrücklich drahtlose Schnittstellen für Nahbereichsfunk. Ob das Gerät damit insgesamt in den Anwendungsbereich der RED DA fällt, ist eine davon getrennte Frage der Scope-Bestimmung.

Welche Angaben verlangt die Norm je Netzwerkschnittstelle? Eine Beschreibung der physischen Merkmale je nach Schnittstellenart, der logischen Merkmale mit allen implementierten Protokollen samt Version und gegebenenfalls Softwarebibliothek sowie der angewandten Konfiguration und der Möglichkeiten, das Verhalten der Schnittstelle zu ändern.

Fazit

Die Netzwerkschnittstelle ist in DIN EN 18031-1 kein Synonym für „Funkmodul“, sondern ein hierarchisch definierter Begriff mit einer bewussten Mehrfachzuordnung über Kommunikationsschichten hinweg. Wer die Schnittstellen seines Geräts vollständig erfasst, sie sauber den Typen zuordnet, den Auslieferungszustand getrennt betrachtet und je Schnittstelle physische wie logische Merkmale dokumentiert, legt die zweite tragende Säule der Nachweisführung neben der Asset-Liste. Wer hier abkürzt, verschiebt das Problem lediglich in die Entscheidungsbäume von ACM, AUM, SCM und GEC, wo es mit deutlich größerem Aufwand wieder auftaucht. Wie sich die Netzwerkfunktionen hinter diesen Schnittstellen als Assets fassen lassen, haben wir zuvor im Artikel zum Netzwerk-Asset beschrieben.

Im nächsten Artikel unserer RED-DA-Reihe gehen wir der verbreiteten Annahme nach, dass jede Netzwerkschnittstelle zwingend eine Authentifizierung erfordert. Die Norm sieht hier ausdrücklich Ausnahmen vor, und deren Voraussetzungen sind enger, als die meisten Hersteller vermuten.

Unsere Schnittstellen-Checkliste führt Sie strukturiert durch alle Angaben, die DIN EN 18031 je Netzwerkschnittstelle verlangt, von den physischen Merkmalen über Protokolle und Versionen bis zu den im Auslieferungszustand exponierten Diensten.

Wenn Sie die Schnittstellenaufnahme lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch erfassen wir gemeinsam Schnittstellen, exponierte Dienste und Werkszustand Ihres Geräts und ordnen sie den Anforderungen der Norm zu. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

---

Dieser Artikel gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30 sowie des Normteils DIN EN 18031-1.