Die typische Ausgangslage
In vielen gewachsenen Fertigungsbetrieben gibt es genau ein Netz. Maschinensteuerungen, Bedienpanels, Messplätze und Prüfstände liegen darin gleichberechtigt neben Arbeitsplatz-PCs, ERP-Server, Drucker und WLAN für Gäste.
Historisch ist das nachvollziehbar. Die Fertigung wurde nach und nach vernetzt, jede neue Maschine kam dorthin, wo eine Netzwerkdose frei war. Solange alles läuft, fällt es nicht auf.
Warum das ein Problem ist
Produktionstechnik altert anders als Büro-IT. Eine Werkzeugmaschine läuft fünfzehn oder zwanzig Jahre, die Steuerung, mit der sie ausgeliefert wurde, oft ebenso. In Fertigungshallen laufen meist Betriebssysteme, für die der Hersteller keinen Support mehr leistet. Patchen ist häufig nicht möglich, weil der Maschinenhersteller Änderungen nicht freigibt oder die Gewährleistung daran hängt.
Diese Systeme sind also dauerhaft verwundbar, und das lässt sich nicht ändern. Was sich ändern lässt, ist ihre Erreichbarkeit.
Im flachen Netz gilt: Was einen Büro-PC trifft, erreicht auch die Steuerung. Ein Verschlüsselungstrojaner aus einem E-Mail-Anhang breitet sich dann in der Verwaltung aus und legt auch die Fertigung still. Verlorene Dateien sind dabei das kleinere Problem. Den Schaden verursachen stehende Bänder, Konventionalstrafen und Lieferverzug.
Der Lösungsansatz
Die Trennung folgt dem Zonenmodell, wie es auch die IEC 62443 beschreibt. Bereiche mit unterschiedlichem Schutzbedarf werden voneinander abgegrenzt, der Übergang zwischen ihnen wird kontrolliert.
Mit AIMdefense als Übergang zwischen den Zonen bedeutet das konkret:
- Produktion und Büro werden getrennte Zonen. Kommunikation zwischen ihnen findet nur noch dort statt, wo sie fachlich gebraucht wird, etwa zwischen MES und ERP.
- Erlaubt wird, was benötigt wird. Statt alles zuzulassen und Einzelnes zu sperren, wird gezielt freigegeben. Für Maschinennetze ist das machbar, weil die Kommunikationsbeziehungen dort überschaubar und stabil sind.
- Der Weg ins Internet wird definiert. Steuerungen brauchen ihn in der Regel nicht. Wo doch, führt er über die Firewall und wird protokolliert.
- Ausbreitung wird begrenzt. Ein Vorfall im Büronetz bleibt im Büronetz. Auch innerhalb der Fertigung lassen sich Bereiche weiter unterteilen, etwa nach Halle oder Fertigungslinie.
Entscheidend ist dabei, dass es überhaupt eine benannte Stelle gibt, an der Regeln greifen. Die einzelne Regel ist zweitrangig. Ein flaches Netz hat diese Stelle nicht.
Umsetzung ohne Produktionsstillstand
Der übliche Einwand lautet: Wir wissen nicht genau, wer mit wem spricht, und wenn wir trennen, steht die Halle.
Deshalb beginnt das Vorgehen mit Beobachtung. AIMdefense wird zunächst mitlaufend betrieben und zeichnet die tatsächlichen Kommunikationsbeziehungen auf. Erst wenn das Bild vollständig ist, greifen Regeln, zunächst protokollierend, dann sperrend. Die eigentliche Umschaltung erfolgt in einem geplanten Fenster, meist in der ohnehin vorhandenen Wartungspause oder am Wochenende.
Die protokollierende Stufe ist der eigentliche Sicherheitsgurt. Eine Regel, die zunächst nur meldet statt zu sperren, zeigt vor der Umschaltung, was sie später verhindern würde. Was übersehen wurde, fällt so im laufenden Betrieb auf und nicht erst am Montagmorgen.
Parallel wird der Gerätebestand erfasst und die Konfigurationen werden gesichert, damit der erreichte Stand wiederherstellbar bleibt.
Was sich danach ändert
Die verwundbaren Altsysteme bleiben verwundbar, daran ändert keine Firewall etwas. Aber sie sind nicht mehr von jedem Arbeitsplatz aus erreichbar. Der naheliegende Angriffsweg in die Fertigung über die Büro-IT ist geschlossen.
Für Betriebe, die Nachweise gegenüber Kunden, Versicherern oder Auditoren erbringen müssen, kommt hinzu: Eine dokumentierte Zonenstruktur mit nachvollziehbaren Regeln ist prüfbar, ein flaches Netz ist es nicht. Das ersetzt keine Zertifizierung, unterstützt aber beim Nachweis, dass die Bereiche tatsächlich abgegrenzt sind.
Auf einen Blick
| Einsatzfeld | Fertigung, Maschinenbau, produzierendes Gewerbe |
|---|---|
| Ausgangsproblem | gemeinsames Netz für Produktions- und Büro-IT |
| AIM-Produkte | AIMdefense, AIM inkl. VAS-Modul |
| Rolle von AIMdefense | kontrollierter Übergang zwischen den Zonen |
| Vorgehen | Beobachtung, protokollierende Regeln, Umschaltung im Wartungsfenster |
| Orientierung | Zonenmodell nach IEC 62443 |
Mehr zu AIMdefense
Welche Funktionen hinter Segmentierung, Regelwerk und Protokollierung stehen, finden Sie auf der Seite Funktionen.
Wie eine strukturelle Abgrenzung in einer gewachsenen Umgebung mit IT- und OT-Geräten in der Praxis aussieht, zeigt die Referenz Klinikverbund mit über 20 Häusern.