Zukunft der Fernwartung Industrie 4.0: Sichere Fernwartung

Anbieter zum Thema

genua gmbh

FAULHABER SA

In den vergangenen Jahren hat sich die Sicherheitstechnik für Fernwartung erheblich weiterentwickelt. Inzwischen gibt es sicherere Verfahren – zum Beispiel Lösungen, die auf dem Einsatz von Rendezvous-Servern basieren. Ein neuer Ansatz, der in den kommenden Jahren noch einmal deutlich an Bedeutung gewinnen wird.

Auf dem Weg hin zu einer umfassenden Digi­talisierung, Vernetzung und Cloudisierung stellt sich allen Unternehmen der Industrie 4.0 eine zentrale Herausforderung: Während ihre IT-Infrastruktur jahrzehntelang technische Neuerungen in sich aufgesogen hat, upgedated und erneuert wurde, stand ihre OT im Prozess der kontinuierlichen technologischen Erneuerung lange Zeit außen vor. Viele – wenn nicht die meisten – OT-Geräte sind Legacy-Geräte, haben schon vor Jahren oder Jahrzehnten ihr letztes Software-­Update erhalten. Und OT-Infrastrukturen sind nur unzureichend auf die Erkennung und Behebung von Sicherheitslücken und die Abwehr von Cyberangriffen vorbereitet. Ein oftmals idealer OT-Ansatzpunkt für Cyberkriminelle: die digitalen Fernwartungszugänge.

Unzureichend abgesichert können sich Angreifer über sie relativ unkompliziert Zugriff auf Maschinen und Anlagen, im schlimmsten Fall auf die gesamte OT-Infrastruktur, verschaffen. Sie können dann Firm- und Software manipulieren, die Produktion stören, ganz zum Erliegen bringen oder auch die kompromittierte OT-Infrastruktur als Sprungbrett nutzen, um die IT-Infrastruktur zu attackieren. Für zwei Arbeitsbereiche der Fernwartung wird der Fernwartungszugang benötigt: für das Condition Monitoring, die vorausschauende Wartung (Predictive Maintenance), und die Wartung der Anlagen aus der Ferne selbst (Remote Maintenance).

Bildergalerie

Ohne ein kontinuierliches Monitoring der OT ist keine vorausschauende Wartung – bei der Indikatordaten für den Wartungsbedarf einer Anlage kontinuierlich erfasst und analysiert werden – möglich. Ein unidirektionaler Datenfluss, von der OT zum Fernwarter, ist hierfür absolut ausreichend. Damit die Daten auch wirklich nur in diese eine Richtung fliessen, muss lediglich eine Datendiode zwischengeschaltet werden. Diese ist absolut manipulationssicher. Von aussen lässt sich ihre Konfiguration nicht verändern. Einmal implementiert, kann mit ihrer Hilfe jeglicher Schreibzugriff auf die Firm- und Software der OT einer Anlage effektiv verhindert werden.

Sicheres Condition Monitoring dank Datendiode

Schwieriger gestaltet sich die Sache, wenn es um die Absicherung der konkreten Fernwartung einer Anlage, die Remote Maintenance, geht. In der Regel setzen Industrie-­4.0-Unternehmen hier immer noch auf eine VPN-Verbindung. Im Rahmen einer Netzwerkkoppelung wird dabei über das Unternehmensnetzwerk eine direkte Verbindung zwischen dem Fernwarter und der jeweiligen Anlage hergestellt. Das Problem: die Zugriffsanfrage muss die gesamte Enterprise-­Zone und die Industrial Zone des Unternehmens durchlaufen, bis sie bei einer Anlage oder einem Jumphost ankommt. Die Fire­walls der einzelnen Netzwerkebenen schützen dann nur noch bedingt. Und: die Zugriffsrechte können bei diesem Ansatz nur schwer eingeschränkt werden. Hat ein Angreifer sich erfolgreich Zugriff verschafft, kann er sich anschließend auch relativ leicht im gesamten Unternehmensnetzwerk bewegen – und verheerende Schäden anrichten. Daher kann vom Einsatz der VPN-Netzwerkkoppelung als Fernwartungsarchitektur nur nachdrücklich abgeraten werden. Auch der Verband Deutscher Maschinen- und Anlagenbau (VDMA) empfahl bereits im vergangenen Jahr in seiner vergleichenden Studie Sichere Fernwartung von VPN-Verbindungen abzusehen.

Fernwartung 2.0 – die OT über einen Rendezvous-Server sicher im Griff

Sicherer ist ein anderer Ansatz: die Fernwartung über einen Rendezvous-Server. Denn hier wird die Zugriffsanfrage nicht durch das gesamte Unternehmensnetzwerk – an dessen Firewalls vorbei – geleitet, bevor sie die gewünschte Anlage erreicht. Stattdessen findet das ‹Rendezvous› zwischen anfragendem Fernwarter und Maschine auf einem eigenen Server, der sich in einer demilitarisierten Zone (DMZ) – an einem Punkt, der sich zwischen öffentlichem Internet und privatem Intranet befindet – statt.

Auch der Rendezvous-Server – der als besonders stark gehärtetes IT-Security-System als Firewall agiert – ist dabei über Firewalls geschützt. Die Datenübertragung erfolgt verschlüsselt. Angreifer erhalten so keine Möglichkeit, Firewalls des Unternehmens zu überspringen und Schaden in der dahinter befindlichen OT-/IT-Infrastruktur anzurichten.

Zur Zukunft der Fernwartung – Cloudisierung und Zero Trust

Bereits heute zeichnen sich bei Rendezvous-Fernwartungslösungen zwei technologische Entwicklungstrends ab, die in nicht allzu ferner Zukunft zum Standard sicherer Fernwartungslösungen zählen dürften.

Erstens: die Cloudisierung – der Trend zur Migration in die Cloud – wird auch bei Lösungen für eine sichere Fernwartung Einzug halten.

Der Rendezvous-Server wird also in die Cloud wandern. Unternehmen der Industrie 4.0 wird das ganz neue Möglichkeiten eröffnen. Beispielsweise wird man cloud-basierte IAM-Lösungen andocken können. Das Rechtemanagement dürfte so wesentlich vereinfacht werden. Erste cloud-basierte Rendezvous-Fernwartungslösungen sind bereits auf dem Markt erhältlich und können problem­los an IAM-Lösungen wie Okta oder Azure AD angeschlossen werden.

Zweitens: Auch bei der Fernwartung wird sich umfassende und effektive Sicherheit nicht ohne Zero-Trust-Architektur verwirklichen lassen. Diese wird nur im Dreiklang dreier Ansätze zu erzielen sein. Zum einen wird man die OT-Zugriffsbereiche der einzelnen Anlagen und Maschinen immer weiter segmentieren. Diese Mikrosegmentierung wird das Schadenspotential eines erfolgreichen Angriffs reduzieren und die Kosten-Nutzen-Relation eines Angriffs für den Angreifer verschlechtern. Darüber hinaus wird man die Nutzerrechte der OT-Zugriffsberechtigten immer stärker segmentieren. Ganz im Sinne von Zero Trust werden Nutzer am Ende nur noch die Zugriffsberechtigung erhalten, die sie für die Erledigung ihrer Arbeit auch tatsächlich benötigen. Und schließlich werden die Zugangsberichtigungen nur noch auf Basis einer starken Authentifizierung, zum Beispiel einer Multi-Faktor-Authentifizierung, vergeben werden. Zumindest in der Industrie 4.0 werden Angreifer mit ihrer Strategie, Passwörter zu kompromittieren, dann nicht mehr weit kommen.

Wollen Unternehmen der Industrie 4.0 ihre Fernwartung auf sichere Füße stellen, werden sie um die Implementierung einer Rendezvous-Fernwartungslösung nicht herumkommen. Nicht nur gestattet der Ansatz diese beste Ausnutzung der eigenen Fire­walls, für die kommenden Jahre dürften hier auch die interessantesten technologischen Erweiterungen zu erwarten sein.

(ID:49249259)