Fernwartung in der vernetzen Produktion als Basis für maximale Ressourceneffizienz und höhere Anlagenverfügbarkeit

Ein Leitfaden zur Umsetzung sicherer Fernzugriffe

Mit der Zunahme des Vernetzungsgrades industrieller Produktionsanlagen steigt auch die Nachfrage nach Fernzugriffs- und insbesondere Fernwartungslösungen. So werden Zugriffe auf Maschinen und Anlagen aus der Ferne für Instandhaltung, Überwachung und Support (z.B. Einspielen von Updates und Sicherheitspatches oder Behebung von Problemen) möglich. Das vereinfacht Prozesse, schont den Einsatz von Ressourcen und spart Kosten.

Neben einer Reihe an Vorteilen, gibt es aber auch Risiken beim Einsatz von Fernwartungslösungen. Systeme zur Prozesssteuerung, Fertigung und Automatisierung – Industrial Control Systems (ICS) – sind ähnlichen sowie steigenden Bedrohungen ausgesetzt wie konventionelle IT-Systeme. Um diese Risiken zu minimieren, empfiehlt das BSI eine Liste von Anforderungen, die man an Fernwartungslösungen stellen sollte.

Warum ist eine Fernwartungslösung für meine Produktion vorteilhaft?

Fernwartung ist interessant für Infrastrukturen, in denen mit verschiedenen Dienstleistern und Fremdfirmen gearbeitet wird. Außerdem können eigene Mitarbeiter über Fernzugriffe auch aus dem Homeoffice auf die Systeme zugreifen. Jeder Dienstleister – so das Ziel – hat hierbei jedoch nur auf bestimmte Systeme Zugriff und kann nur bestimmte Dienste anwenden. Neben der Kommunikation von Anlagen und Systemen zum Serviceanbieter spielen Zugriffe von Wartungsdienstleistern oder Integratoren in die Anlage eine wichtige Rolle bei der Fehlersuche, Wartung und Lösung von Problemen. Alles was dazu benötigt wird ist eine Internetverbindung und eine Fernzugriffssoftware, die sowohl beim Techniker als auch beim Kunden installiert ist. Wenn die Zugänge über öffentliche Netze vorgenommen werden, sind industrielle Anlagen einer gestiegenen Bedrohungslage ausgesetzt. Daher ist es wichtig, dass industrielle Fernwartungskomponenten ein angemessenes Sicherheitsniveau erfüllen.

Welche Anforderungen sollte man an eine Fernwartungslösung stellen?

Identifizierung und Authentisierung des Dienstleisters ist jedoch oft nicht ausreichend gesichert. Viele Fernwartungslösungen bergen deshalb Risiken. Die Produkteigenschaften einzelner Lösungen unterscheiden sich teilweise signifikant.

Das BSI schafft hier Abhilfe und gibt einen Überblick über generische Anforderungen für industrielle Fernwartung.

Wir haben die Anforderungen für Sie zusammengefasst:

Architektur

Bereits bei der Planung und Integration einer Fernwartungslösung sollte folgendes beachtet werden:

Einheitliche Lösung
Eine einheitliche Lösung verringert die Anzahl der Angriffsvektoren sowie die Komplexität.
DMZ:
Die Fernwartungskomponente sollte in der demilitarisierten Zone (DMZ) installiert werden und nicht direkt im Produktionsnetz. Firewalls können gezielt dafür eingesetzt werden, um erlaubte IP-Adressbereiche für eine Fernwartung festzulegen.
Granularität der Kommunikationsverbindungen:
Der Fernwartungszugriff sollte feingranular pro IP und Port geregelt werden. Von der pauschalen Freigabe der (Sub)Netze sollte abgesehen werden.
Verbindungsaufbau:
Die Verbindung sollte immer von innen erfolgen. Offene Ports für einen Verbindungsaufbau von außen sind nicht zu empfehlen. Alternativ können Zugänge durch Mitarbeitende temporär aktiviert und wieder deaktiviert werden.
Dezidierte Systeme:
Die eingesetzten Komponenten für die Fernwartung sollten auch nur dafür verwendet werden und keine anderen Funktionalitäten erfüllen.

Sichere Kommunikation

Etablierte Standardlösungen sorgen für die Sicherheit der Kommunikation bei einer Fernwartung.

Sichere Protokolle:
Bei der Herstellung eines Tunnels zwischen zwei Endpunkten bzw. Netzen sollten ausschließlich etablierte Protokolle wie IPsec, SSH oder SSL/TLS verwendet werden. Aktuelle Versionen der Protokolle sind zwingend notwendig. Der Mindeststandard TLS 1.2 des BSI liefert weiterführende Informationen. Auf Schwachstellen in diesem Bereich sollte geachtet werden.
Sichere Verfahren:
Zur Verschlüsselung sollten starke kryptographische Verfahren wie z.B. AES (mit mindestens 192 Bit Schlüssellänge) verwendet werden. Die Stärke der Schlüssel muss regelmäßig geprüft und ggf. angepasst werden.

Authentisierungsmechanismen

Eine Authentisierung der Nutzer sollte folgende Anforderungen erfüllen:

Starke Authentisierungsmechanismen:
Zwei-Faktor-Authentisierung bietet das beste Sicherheitsniveau. Dabei werden einmalige Token-Codes per E-Mail, SMS oder Token-Generator zugestellt.
Passwortsicherheit:
Eine Password-Policy sollte ein Mindestniveau an Passwortqualität sicherstellen (Länge, Groß- und Kleinschreibung, Sonderzeichen, Ziffern). Die Fernwartungslösung muss diese Policy umsetzen und möglichst auch technisch forcieren.
Angriffserkennung:
Mechanismen zur Angriffserkennung und Vorkehrungen gegen das wiederholte Durchprobieren (z.B. durch temporäre Sperre bei einer definierten Anzahl an Fehlversuchen) sollten eingesetzt werden.

Organisatorische Anforderungen

Technische Maßnahmen allein reichen nicht aus, um einen sicheren Fernzugriff zu gewährleisten. Auch Anforderungen für die Integrations- und Betriebsphase spielen eine wichtige Rolle.

Risikoanalyse
Vor der Integration sollte eine Risikoanalyse der ausgewählten Lösung erfolgen
Minimalitätsprinzip:
Nur unbedingt erforderliche Fernzugriffsmöglichkeiten sollten implementiert werden. Die Notwendigkeit muss durch den Verantwortlichen dokumentiert werden.
Prozesse:
Der Betreiber der Anlage muss Prozesse etablieren, die die Freigabe von Verbindungen, Sperrungen, Notfallprozeduren und regelmäßigen Wechsel von Authentisierungsdaten regeln.
Inventarisierung:
Sämtliche Fernzugriffsmöglichkeiten müssen erfasst werden. Wichtig ist die Art des Zugangs, die betroffenen Systeme, berechtigte Personen sowie zugehörige Vorgaben und Prozesse.
Zeitfenster:
Remote-Zugänge sollten nur bei Bedarf oder in einem definierten Wartungsfenster freigegeben werden (z.B. durch einen Schlüsselschalter). Die Aktivierung und Deaktivierung müssen protokolliert werden.
Funktionsprüfung:
Die Funktionsfähigkeit der Fernwartung sollte regelmäßig überprüft werden.
Vorgaben für Fernwartende:
Dritte müssen bestimmte Vorgaben erfüllen: in Bezug auf die verwendete IT (z.B. keine Smartphones) und Schutzmechanismen der Remote-Clients (z.B. aktueller Virenschutz, Firewall, Systemhärtung, aktueller Patchstand). Die Vorgaben sollten vertraglich vereinbart werden.
Patchprozess:
In einem definierten Patchprozess sollten Aktualisierungen für Fernwartungskomponenten regelmäßig eingespielt werden, damit funktionale Industriekomponenten, bei denen Aktualisierungen und Patches meist nicht möglich sind, abgesichert werden.
Logging & Alerting
Protokollierung sollte benutzt werden, um Verbindungsdaten und fehlgeschlagene Anmeldungsversuche zu dokumentieren. Die Logdaten sollten automatisiert ausgewertet werden und ggf. eine Alarmierung erfolgen. Auch eine manuelle Sichtung sollte regelmäßig stattfinden. Die Logdaten sollten immer beim Betreiber gesammelt werden.

Sonstiges

Je nach Anwendungsfall können weitere Anforderungen sinnvoll sein. Hier ein paar Beispiele:

Skalierbarkeit:
Um die Kosten für Betrieb, Wartung und Pflege zu senken, kann ein zentrales Management, Bulk-Rollout, Bulk-Configuration oder Bulk-Actions, wie das Ausführen von Skripten, eingesetzt werden.
Investitionsschutz:
Um zukünftige Anforderungen wie z.B. Unterstützung von IPv6 zu berücksichtigen, sollten Produkte nach dem Aspekt der Erweiterbarkeit und Nachhaltigkeit ausgewählt werden.
Hochverfügbarkeit:
Die Komponenten sollten hochverfügbar ausgelegt sein, z.B. durch die redundante Verwendung mehrerer Mobilfunknetze.

Diese Anforderungen sollen Ihnen bei der Auswahl Ihrer Fernwartungslösung helfen. Hier können Sie sich die Punkte als Checkliste herunterladen.

Wie HWI IT Sie unterstützen kann

Wir haben langjährige Erfahrungen beim Aufbau von IEC 62443 konformen Netzwerken und Fernzugriffslösungen gerade in kritischen Umgebungen, in großen Produktionsanlagen der Pharma-, Lebensmittelindustrie sowie der Chemie. Von der Planung, über die Implementierung bis zum Betrieb – wir unterstützen Sie in allen Bereichen Ihres Fernwartungsprojektes.

Diese Fragen helfen wir Ihnen zu beantworten:

Welche Komponenten sind notwendig, um eine sichere Fernwartung aufzubauen?
Wie lange beträgt die Einrichtungszeit?
Gibt es nach der Einrichtung weiteren Wartungsaufwand?
Wie schnell lassen sich die Fernwartungszugriffe erweitern?
Wie werde ich informiert, wenn eine Fernwartung in mein Netzwerk aufgebaut wird?

Weiterführende Literatur zum Thema:

Allianz für Cybersichersicherheit

Fernwartung im industriellen Umfeld