Insights
7 Punkte für sichere Fernwartung und Predictive Maintenance
Fernwartung und Predictive Maintenance sind auf dem Vormarsch. Der dafür benötigte Onlinezugang stellt jedoch einen massiven Eingriff in die Sicherheitsarchitektur von teils kritschen Anlagen dar und erhöht die Sicherheitsrisiken erheblich. Welche IT-Sicherheitsstandards müssen Anlagenbetreiber kennen und wie lassen sich diese in der Praxis umsetzen?
Mit der Einführung von Industrie 4.0 und „Smart Services“ sind zeitgemäße digitale Monitoringkonzepte und Fernwartungslösungen verfügbar, die vollkommen neue Möglichkeiten eröffnen. Cloud-Plattformen bieten Smart Data Analytics zur Analyse des Anlagenzustands mit Kennzahlen zur Gesamtanlageneffektivität. Mit einer vorausschauenden Wartung (Predictive Maintenance) können die Anlagendaten genutzt werden, um bereits erste Anzeichen einer Störung zu erkennen und Wartungen proaktiv durchzuführen. Die aktiven Instrumente werden ergänzt mit Fernwartungslösungen (Remote Maintenance), um Fehler schnell zu beseitigen und die Anlagenverfügbarkeit sicherzustellen.
Die Einführung von Online-Plattformen und Fernwartungslösungen erhöht jedoch die Cyber-Risiken für Betreiber massiv. Diesem gestiegenen Sicherheitsrisiko stehen vielfach unzureichende Sicherheitsmaßnahmen gegenüber. So zeigen einfache Portscans regelmäßig Tausende offener Ports. Und auch zugelassene Fernwartungszugriffe können unerwünschte Folgen haben. So sind bei einer Fernwartungssession oft komplette Netzsegmente oder Produktionsstränge mit sämtlichen darin befindlichen Komponenten und Anlagen im Zugriff, einschließlich der Maschinen anderer Hersteller. In der Folge können sensible und schützenswerte Produktions- und Anlagendaten ungehindert abfließen. Schließlich kann ein unkontrollierter Fernwartungszugang zur falschen Zeit auch laufende Betriebsprozesse empfindlich stören oder gar die Sicherheit von Mitarbeitern an der Maschine gefährden.
Anlagenbauer benötigen effiziente Fernwartungssysteme
Bei neuen Wartungsmodellen wie Predictive Maintenance ist es für Anlagenbauer wichtig, dass möglichst viele Anlagenbetreiber einem Online-Zugriff zustimmen. Denn erst mit einer ausreichend großen Datenbasis können verlässliche Vorhersagen über den Verschleiß oder die Störanfälligkeit von Maschinenkomponenten getroffen werden. Anlagenbauer mit einer großen Zahl von Maschinen im Feld haben allerdings häufig die Sorge, dass der Aufwand für die Konfiguration und die Verwaltung der Online-Zugänge durch unterschiedlichste kundenindividuelle Vorgaben und Regeln schnell sehr groß werden kann. Deshalb wünschen sie sich eine effizient nutzbare, umfassend und flexibel konfigurierbare Lösung für alle Fernwartungszugänge. Letztendlich entscheidet aber das Sicherheitsniveau der Fernwartungslösung darüber, ob und in welchem Umfang solche Zugriffe in das Kundennetz erfolgen dürfen.
Für Anlagenbetreiber ist Sicherheit das wichtigste Kriterium
Bei den Anlagenbetreibern fehlt jedoch häufig die Akzeptanz, weil vom Fernwarter zwar ein hoher Sicherheitsstandard versprochen wird, das tatsächliche Sicherheitsniveau aber oft unklar bleibt. Die Betreiber wissen, dass den Vorteilen einer Prozessoptimierung und einer hohen Maschinenverfügbarkeit durch die Fernwartung zusätzliche Sicherheitsrisiken gegenüberstehen. Sie befürchten nicht zu unrecht das Abfließen sensibler Produktionsdaten, eine (un)beabsichtigte Einschleusung von Malware und generell den Verlust an Kontrolle durch die Zugriffe in ihre sensiblen Netzwerke. Einen ständigen Onlinezugang z. B. zur Zustandsüberwachung sehen viele daher sehr kritisch.
Ebenso herrscht Skepsis, ob die Daten sicher ausgeleitet werden. Kleinen und mittelständischen Unternehmen fehlt zudem oft das Know-how, eigene Sicherheitspolicies zu entwickeln und gegenüber den Herstellern durchzusetzen. Aus Sicht der Anlagenbetreiber sollten bei der Sicherheit von Fernzugriffen deshalb Mindeststandards eingehalten werden. Ein zentraler Punkt ist dabei, dass die Anlagenbetreiber jederzeit die volle Kontrolle über externe Zugriffe behalten.
Die wichtigsten Security-Standards für sichere Fernwartung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont in seiner Analyse zur „Fernwartung im industriellen Umfeld“, dass die Einrichtung eines Fernwartungszuganges generell eine erhebliche Bedrohung darstellt. Es hat deshalb generische Anforderungen für industrielle Fernwartung gemäß dem Stand der Technik formuliert (vgl. BSI-CS 054 und BSI-CS 108, Version 2.0 vom 11.07.2018). Die Anforderungen betreffen die Architektur, die sichere Kommunikation, die Authentisierungsmechanismen, die organisatorischen Anforderungen und weitere sinnvolle Regelungen.
Die wichtigsten Security-Anforderungen im Überblick:
- Verbindungsaufbau nur von innen nach außen
Der Verbindungsaufbau für eine Fernwartungssession darf nur von innen nach außen erfolgen. Gegenüber dem Internet dürfen keine Ports dauerhaft geöffnet sein.
- Direkte Wartungszugriffe aus dem Internet ausschließen
Eine direkte Verbindung mit dem Internet sollte ausgeschlossen werden, indem eine neutrale Zwischenebene in einer demilitarisierten Zone (DMZ) eingefügt wird.
- Den Datentransfer verschlüsseln
Um die Sicherheit und Vertraulichkeit von Maschinen und Anlagen zu gewährleisten, muss der Datentransfer sicher verschlüsselt werden. Ein Mindeststandard für den externen Zugriff ist eine sichere VPN-Verbindung mit ausschließlich hochsicheren Verschlüsselungs-Algorithmen.
-
Sichere Authentifizierung
Für den Zugriff auf das Produktionsnetz sollte eine sichere Zwei-Faktor-Authentifizierung zwingend notwendig sein. - Fernwartungszugriff auf ein Wartungsobjekt beschränken
Zusätzlich gilt es den unerwünschten Zugriff auf komplette Anlagen, besonders schützenswerte Anlagenkonfigurationen oder weitere Komponenten im Netzwerk auszuschließen.
- Fernwartner nur unbedingt notwendige Rechte einräumen
Für jeden Fernwarter sollten feingranulare Rechte definiert werden, die exakt nur die Optionen erlauben, die für die jeweilige Rolle unbedingt notwendig sind.
- Jeden Fernwartungszugriff revisionssicher dokumentieren
Jeder Fernwartungszugriff muss revisionssicher in Echtzeit protokolliert und dokumentiert werden, um Veränderungen im Netz und an den Anlagen jederzeit überwachen, kontrollieren und auswerten zu können. Damit können unerwünschte Eingriffe, Fehlbedienungen oder Verstöße gegen Vereinbarungen eindeutig nachvollzogen und identifiziert werden.
Als Spezialist für IT-Sicherheit empfiehlt genua, die Anforderungen des BSI für die industrielle Fernwartung immer nur komplett umzusetzen, da sich die einzelnen Elemente untereinander ergänzen und ein fehlendes Glied in der Kette die Sicherheit des Gesamtsystems gefährdet.
Mehr zum Thema sichere Fernwartung, Predictive Maintenance und Edge Computing:
Whitepaper "Wie Sie Fernwartung und Monitoring absichern können"
