Informationstechnik (IT) und Betriebstechnik (Operational Technology, OT)  in Fabriken und Kraftwerken wachsen immer stärker zusammen. Maschinen, Anlagen, Transportsysteme und Produkte tauschen in den Umgebungen untereinander und mit Back-Office-Systemen Informationen aus. Dazu gehören MES, PLM- und Warehousing-Lösungen sowie ERP-Systeme. Der Datenaustausch zwischen IT- und Produktionssystemen muss jedoch gerade durch die zunehmende Verknüpfung im Industrial Internet of Things (IIoT) sicher erfolgen, wozu Unternehmen Prinzipien aus der IT-Sicherheit für ihre vernetzten Produktionsumgebungen adaptieren müssen. Dazu empfiehlt sich ein schrittweises Vorgehen. 

Schritt 1: Zustandslose Sicherheits- und Kryptofunktionen implementieren

In Fertigungsumgebungen hat ein unterbrechungsfreier Produktionsprozess höchste Priorität. Dies steht häufig im Widerspruch zu den Anforderungen an die Sicherheit. Damit Sicherheit einschließlich Verschlüsselung dennoch ‚unterbrechungsfrei‘ innerhalb von Produktionsprozessen funktioniert, müssen Unternehmen die entsprechenden Dienste hundertprozentig ‚zustandslos‘ implementieren. Protokolle oder Systeme behandeln dann Abfragen als voneinander unabhängige Transaktionen. Jedes Datenpaket ist allein unterwegs und besitzt keinen Bezug zu einem anderen Datenpaket. Für das Client-Server-Modell bedeutet das: Das Senden von Daten muss immer nach dem Request-Response-Prinzip erfolgen. Das gibt die zeitliche Abfolge der Kommunikation streng vor. Erst wenn ein Client Daten an den Service schickt (Request), antwortet der vom Server bereitgestellte Dienst und sendet Daten an den Client (Response). 

Schritt 2: Für ein vertrauenswürdiges Zero-Touch-Bootstrapping sorgen

Für Installations- und Konfigurationsprozesse von Systemen sowie Geräten an der Produktionslinie ist zu beachten, dass sie weitgehend standardisiert und losgelöst von Operatoren ablaufen. Das gilt insbesondere auch für Sicherheitskomponenten, welche als Systeme konzipiert sein müssen, die aus sich heraus starten – ohne Impulse von außen. Ein solcher vertrauenswürdiger Zero-Touch-Bootstrapping-Prozess stellt daher eine Mindestanforderung für Security-Appliances dar, die in Produktionsumgebungen zum Einsatz kommen. Das gilt auch für Geräte, die Identitäten erstellen.

Schritt 3: Eine Krypto- versus Export-Import-Regelung entwickeln

Produktionsstandorte eines Unternehmens können sich heute über den gesamten Globus verteilen. Daraus ergibt sich die Anforderung, dass an allen Fertigungsstätten die Automatisierungssysteme im gleichen Maße hochverfügbar sein müssen. Folglich schließt das auch Security-Appliances ein. Es besteht daher die Notwendigkeit, Export-Import-Konzepte zu entwickeln, etwa für Verschlüsselungen und digitale Identitäten. Damit lassen sich dann auch Produktionsstandorte in Ländern absichern, die als sicherheitskritisch zu betrachten sind, zum Beispiel, weil dort Produktfälschungen an der Tagesordnung sind. 

Die Schritte 4 und 5 zur Vertrauenskette

Schritt 4: Industrietaugliche, langlebige Sicherheits-Appliance einsetzen

Produktionssysteme verlangen eine Verfügbarkeit von Komponenten, die weit über die normalen IT-relevanten Bereitstellungszeiten hinausgeht. Eine Security-Appliance muss demnach bis zu zehn Jahre in der gleichen Hardware-Konfiguration verfügbar sein, um die Produktion in einer Industrie-4.0-Umgebung abzusichern. 

Andreas Philipp ist Business Development ­Manager bei PrimeKey.

© Primekey

Schritt 5: Das Überbrücken der Lücke zwischen IT und OT

Netzwerk-Trennung ist ein wesentlicher Aspekt, mit der sich potenzielle Sicherheitslücken schließen lassen. Das betrifft Systeme, die zum einen eine direkte Verbindung in die OT-Netzwerke aufweisen und zum anderen mit der IT-Welt kommunizieren. Deshalb muss sowohl eine physikalische als auch eine logische Netzwerk-Trennung innerhalb der Appliance stattfinden. Ebenso gilt es, das Konzept der getrennten Zuständig-keiten weiterzuführen, mit der Security-Appliances Rollen- und Rechte-Modelle bereitstellen. Ein weiteres Beispiel ist die Zertifikatserstellung in einer zweistufigen Public Key Infrastructure (PKI): Die erste Stufe bildet eine Root CA (Certification Authority). Dieser Server gehört nicht zum Netzwerk und autorisiert die untergeordnete Zertifizierungsstelle, die Enterprise CA. Diese gehört zum Netzwerk und stellt die Zertifikate für die Endgeräte und Nutzer aus. Die Root CA ist im Normalzustand offline und kann das Zertifikat für die Enterprise CA widerrufen. 

Aufbau einer Vertrauenskette

Warum sind zustandslose, langlebige Sicherheitskomponenten, die selbst starten, Netzwerk-Verbindungen trennen und aufbauen sowie digitale Identitäten importieren oder exportieren, so relevant? Mit ihnen lässt sich in einer vernetzten Produktionsumgebung eine Vertrauenskette aufbauen. Die erste Komponente bildet eine PKI in Verbindung mit Zertifikaten, die individuell für jede Komponente (Identität) ausgestellt werden. Der zweite Baustein ist die Validierung der vermeintlichen Identität des Gerätes, das ein Zertifikat anfragt, also die Verifikation der gerätebezogenen Systemdaten (Seriennummer, MAC-Adressen, Teilkomponenten etc.). Speziell in vernetzten Produktionsumgebungen ist es hilfreich, wenn die hergestellten Komponenten direkt während des Fertigungsprozesses eine elektronische Identität erhalten.