Reihe: Industrial IoT – Die smarte Fabrik verstehen (Teil 12) – TechnoDidact

Von der Theorie in die Praxis: Technische Maßnahmen für ein sicheres IIoT-Netzwerk.

Von DerSchneider

Im letzten Artikel haben wir die Grundlagen der IIoT-Sicherheit gelegt. Wir haben verstanden, warum die Betriebstechnologie (OT) eine völlig andere Denkweise erfordert als die klassische Informationstechnologie (IT) und warum das Schichtenmodell Defense-in-Depth der einzig erfolgversprechende Ansatz ist.

Doch wie sieht diese Verteidigung in der Praxis aus? Welche konkreten technischen Maßnahmen können Betreiber einer smarten Fabrik heute ergreifen, um ihre Produktion vor Cyberangriffen zu schützen? Dieser Artikel liefert einen Werkzeugkasten für die sichere IIoT-Infrastruktur.

1. Der erste und wichtigste Schritt: Netzwerksegmentierung

Die goldene Regel der IIoT-Sicherheit lautet: Trennen, was nicht zusammengehört. Ein Angreifer, der es ins Büronetzwerk schafft, sollte nicht automatisch auch Zugang zur Produktionssteuerung haben.

Die Maßnahme: Errichtung einer oder mehrerer Firewalls zwischen dem IT-Netz (Büro, Verwaltung, Internet) und dem OT-Netz (Produktion, Maschinensteuerung). Innerhalb des OT-Netzes sollten weitere Zonen gebildet werden: eine Zone für die kritischsten Steuerungen, eine für die Überwachungssensoren, eine für die Wartungszugänge.
Die Technik: Hier kommen oft spezielle Industrielle Firewalls zum Einsatz. Normale Büro-Firewalls verstehen die Protokolle der Produktion (wie Modbus TCP oder Profinet) nicht. Industrielle Firewalls können diese Protokolle „deep packet inspection“ – also bis in den Inhalt hinein – analysieren und gefährliche Befehle herausfiltern, z.B. den Befehl „Schreibe neuen Parameter in SPS“, der von einem nicht autorisierten Gerät kommt.
Die Praxis: Die Kommunikation zwischen den Zonen wird auf das absolute Minimum beschränkt. Der Datenaustausch von der Produktionsebene zur Cloud-Plattform läuft nur über einen definierten, hochsicheren Pfad, oft über ein sogenanntes Gateway (siehe Teil 3), das als Schleuse fungiert.

2. Sichere Kommunikation: Daten verschlüsseln und authentisieren

In der klassischen Automatisierungstechnik (Industrie 3.0) war Verschlüsselung oft kein Thema. Die Daten blieben im firmeneigenen Kabel, das als sicher galt. Im IIoT-Zeitalter, in dem Daten drahtlos übertragen werden und oft das Firmengelände in Richtung Cloud verlassen, ist das nicht mehr haltbar.

Die Maßnahme: Alle Daten, die das vertrauenswürdige Netzwerk verlassen, müssen verschlüsselt werden. Und jedes Gerät, das sich mit dem Netzwerk verbindet, muss sich authentisieren.
Die Technik:
- TLS/SSL: Der gleiche Standard, der auch Ihre Browserverbindung zu Banken sichert (das „https“ in der Adresszeile), wird zunehmend auch im IIoT eingesetzt. Sensoren und Gateways bauen eine verschlüsselte Verbindung zur Cloud-Plattform auf.
- VPN (Virtual Private Network): Für den Fernzugriff von Wartungstechnikern oder Dienstleistern ist ein VPN der Standard. Es erzeugt einen sicheren, verschlüsselten Tunnel durch das öffentliche Internet hindurch direkt in das Produktionsnetz.
- Zertifikate statt Passwörter: Die Authentisierung von Geräten erfolgt idealerweise nicht über statische Passwörter, die geknackt werden können, sondern über digitale Zertifikate. Jedes Gerät bekommt bei seiner Inbetriebnahme einen eindeutigen, kryptografischen „Ausweis“, den es bei jeder Verbindung vorzeigen muss.

3. Schutz der Endgeräte: Härtung und Zugangskontrolle

Die Sensoren, Gateways und Steuerungen selbst müssen gegen Angriffe gehärtet werden.

Die Maßnahme: Das Gerät so konfigurieren, dass es nur die unbedingt nötigen Dienste anbietet. Alle überflüssigen Zugänge, Testzugänge oder Beispiel-Programme müssen deaktiviert werden.
Die Technik:
- Abschaffung von Standard-Passwörtern: Dies ist eine der einfachsten und zugleich wirksamsten Maßnahmen. Jedes Gerät muss bei der Inbetriebnahme ein individuelles, starkes Passwort erhalten. Das berüchtigte „admin/admin“ oder „123456“ ist in der Industrie ein unverantwortliches Risiko.
- Regelmäßige Updates: So schwierig das in der OT-Welt auch ist (siehe Teil 11), es führt kein Weg daran vorbei. Ein Prozess für das Testen und Einspielen von Sicherheitsupdates muss etabliert werden. Hersteller von IIoT-Komponenten müssen ihrerseits garantieren, dass sie für den Lebenszyklus des Produkts Sicherheitsupdates bereitstellen.
- Physikalische Sicherheit der Geräte: Ein Sensor in der Fabrikhalle sollte so verbaut sein, dass ein Unbefugter nicht einfach einen USB-Stick einstecken oder die Verkabelung manipulieren kann.

4. Kontinuierliche Überwachung: Das Netzwerk im Blick

Sie können nur schützen, was Sie sehen. Ein zentraler Baustein der IIoT-Sicherheit ist daher die kontinuierliche Überwachung des Netzwerkverkehrs.

Die Maßnahme: Installation von Sensoren im OT-Netzwerk, die den Datenverkehr analysieren und nach Anomalien suchen.
Die Technik: Spezielle OT-IDS (Intrusion Detection Systems) werden mit dem Netzwerk verbunden (meist über einen sogenannten SPAN-Port, der den Datenverkehr spiegelt, ohne ihn zu beeinflussen). Sie lernen das normale Verhalten der Produktion: Welche Geräte kommunizieren normalerweise miteinander? Welche Befehle werden gesendet? Weicht ein Gerät plötzlich von diesem Verhalten ab (z.B. versucht eine SPS, um 3 Uhr morgens Daten ins Internet zu senden), schlägt das System Alarm.
Der Mehrwert: Ein solches System erkennt Angriffe oft, lange bevor sie Schaden anrichten können. Es ist die „Einbruchsmeldeanlage“ für das digitale Fabrikgelände.

5. Der Mensch als Teil der Sicherheitskette

Die beste Technik nützt nichts, wenn der Mitarbeiter auf einen Phishing-Link klickt und so dem Angreifer die Tür öffnet.

Die Maßnahme: Regelmäßige Sensibilisierung und Schulung aller Mitarbeiter, die Zugang zu IT- oder OT-Systemen haben.
Die Inhalte: Woran erkenne ich eine Phishing-Mail? Warum ist es gefährlich, einen fremden USB-Stick an den Produktions-PC anzuschließen? An wen melde ich verdächtige Vorfälle?
Die Bedeutung: Sicherheit ist keine reine Technologie-Aufgabe, sondern eine Frage der Unternehmenskultur. Jeder Mitarbeiter muss verstehen, dass er eine wichtige Rolle im Schutzkonzept spielt.

Was tun im Ernstfall?

Trotz aller Vorsorge kann es zu einem Sicherheitsvorfall kommen. Dann ist ein klarer Plan entscheidend. Ein Notfallhandbuch für Cyber-Vorfälle (Incident Response Plan) sollte bereitliegen und regelmäßig geübt werden. Die entscheidenden Fragen:

Wer entscheidet im Zweifelsfall, eine Anlage vom Netz zu nehmen? (Das ist eine existenzielle Entscheidung!)
Wie kommunizieren wir mit der Belegschaft, mit Kunden, mit der Presse?
Wie stellen wir den Betrieb wieder her? Liegen aktuelle, offline gespeicherte Backups der Steuerungsprogramme vor?

Sicherheit im IIoT ist kein Projekt, das man einmal durchführt und dann abhakt. Es ist ein kontinuierlicher Prozess der Anpassung und Verbesserung. Die Bedrohungen entwickeln sich weiter, und die Verteidigung muss Schritt halten.

Im nächsten Artikel verlassen wir die reine Technologie und wenden uns der menschlichen Seite der smarten Fabrik zu. Wir fragen: Was bedeutet die IIoT-Revolution für die Menschen, die in den Fabriken arbeiten? Werden sie überflüssig oder bekommen sie bessere Werkzeuge?

neustes