Die typische Ausgangslage
In vielen gewachsenen Fertigungsbetrieben gibt es genau ein Netz. Maschinensteuerungen, Bedienpanels, Messplätze und Prüfstände liegen darin gleichberechtigt neben Arbeitsplatz-PCs, ERP-Server, Drucker und WLAN für Gäste.
Historisch ist das nachvollziehbar. Die Fertigung wurde nach und nach vernetzt, jede neue Maschine kam dorthin, wo eine Netzwerkdose frei war. Solange alles läuft, fällt es nicht auf.
Warum das ein Problem ist
Produktionstechnik altert anders als Büro-IT. Eine Werkzeugmaschine läuft fünfzehn oder zwanzig Jahre, die Steuerung, mit der sie ausgeliefert wurde, oft ebenso. Betriebssysteme ohne Herstellersupport sind in Fertigungshallen die Regel, nicht die Ausnahme. Patchen ist häufig nicht möglich, weil der Maschinenhersteller Änderungen nicht freigibt oder die Gewährleistung daran hängt.
Diese Systeme sind also dauerhaft verwundbar, und das lässt sich nicht ändern. Was sich ändern lässt, ist ihre Erreichbarkeit.
Im flachen Netz gilt: Was einen Büro-PC trifft, erreicht auch die Steuerung. Ein Verschlüsselungstrojaner aus einem E-Mail-Anhang breitet sich nicht nur in der Verwaltung aus, sondern legt die Fertigung mit still. Der Schaden entsteht dann nicht durch verlorene Dateien, sondern durch stehende Bänder, Konventionalstrafen und Lieferverzug.
Der Lösungsansatz
Die Trennung folgt dem Zonenmodell, wie es auch die IEC 62443 beschreibt. Bereiche mit unterschiedlichem Schutzbedarf werden voneinander abgegrenzt, der Übergang zwischen ihnen wird kontrolliert.
Mit AIMdefense als Übergang zwischen den Zonen bedeutet das konkret:
- Produktion und Büro werden getrennte Zonen. Kommunikation zwischen ihnen findet nur noch dort statt, wo sie fachlich gebraucht wird, etwa zwischen MES und ERP.
- Erlaubt wird, was benötigt wird. Statt alles zuzulassen und Einzelnes zu sperren, wird gezielt freigegeben. Für Maschinennetze ist das machbar, weil die Kommunikationsbeziehungen dort überschaubar und stabil sind.
- Der Weg ins Internet wird definiert. Steuerungen brauchen ihn in der Regel nicht. Wo doch, führt er über die Firewall und wird protokolliert.
- Ausbreitung wird begrenzt. Ein Vorfall im Büronetz bleibt im Büronetz. Auch innerhalb der Fertigung lassen sich Bereiche weiter unterteilen, etwa nach Halle oder Fertigungslinie.
Entscheidend ist dabei nicht die einzelne Regel, sondern die Tatsache, dass es überhaupt eine benannte Stelle gibt, an der Regeln greifen. Ein flaches Netz hat diese Stelle nicht.
Umsetzung ohne Produktionsstillstand
Der übliche Einwand lautet: Wir wissen nicht genau, wer mit wem spricht, und wenn wir trennen, steht die Halle.
Deshalb beginnt das Vorgehen mit Beobachtung. AIMdefense wird zunächst mitlaufend betrieben und zeichnet die tatsächlichen Kommunikationsbeziehungen auf. Erst wenn das Bild vollständig ist, greifen Regeln, zunächst protokollierend, dann sperrend. Die eigentliche Umschaltung erfolgt in einem geplanten Fenster, meist in der ohnehin vorhandenen Wartungspause oder am Wochenende.
Die protokollierende Stufe ist der eigentliche Sicherheitsgurt. Eine Regel, die zunächst nur meldet statt zu sperren, zeigt vor der Umschaltung, was sie später verhindern würde. Was übersehen wurde, fällt so im laufenden Betrieb auf und nicht erst am Montagmorgen.
Parallel wird der Gerätebestand erfasst und die Konfigurationen werden gesichert, damit der erreichte Stand wiederherstellbar bleibt.
Was sich danach ändert
Die verwundbaren Altsysteme bleiben verwundbar, daran ändert keine Firewall etwas. Aber sie sind nicht mehr von jedem Arbeitsplatz aus erreichbar. Der wahrscheinlichste Angriffsweg in die Fertigung, nämlich der Umweg über die Büro-IT, ist geschlossen.
Für Betriebe, die Nachweise gegenüber Kunden, Versicherern oder Auditoren erbringen müssen, kommt hinzu: Eine dokumentierte Zonenstruktur mit nachvollziehbaren Regeln ist prüfbar, ein flaches Netz ist es nicht. Das ersetzt keine Zertifizierung, unterstützt aber beim Nachweis, dass die Bereiche tatsächlich abgegrenzt sind.
Auf einen Blick
| Einsatzfeld | Fertigung, Maschinenbau, produzierendes Gewerbe |
|---|---|
| Ausgangsproblem | gemeinsames Netz für Produktions- und Büro-IT |
| AIM-Produkte | AIMdefense, AIM inkl. VAS-Modul |
| Rolle von AIMdefense | kontrollierter Übergang zwischen den Zonen |
| Vorgehen | Beobachtung, protokollierende Regeln, Umschaltung im Wartungsfenster |
| Orientierung | Zonenmodell nach IEC 62443 |
Mehr zu AIMdefense
Welche Funktionen hinter Segmentierung, Regelwerk und Protokollierung stehen, finden Sie auf der Seite Funktionen.
Wie eine strukturelle Abgrenzung in einer gewachsenen Umgebung mit IT- und OT-Geräten in der Praxis aussieht, zeigt die Referenz Klinikverbund mit über 20 Häusern.