Die typische Ausgangslage
In vielen gewachsenen Fertigungsbetrieben gibt es genau ein Netz. Maschinensteuerungen, Bedienpanels, Messplätze und Prüfstände liegen darin gleichberechtigt neben Arbeitsplatz-PCs, ERP-Server, Drucker und WLAN für Gäste.
Historisch ist das nachvollziehbar. Die Fertigung wurde nach und nach vernetzt, jede neue Maschine kam dorthin, wo eine Netzwerkdose frei war. Wer heute fragt, welche Geräte in der Halle stehen und in welchem Zustand sie sind, bekommt in der Regel eine Liste, die niemand mehr aktuell hält.
Warum das ein Problem ist
Produktionstechnik altert anders als Büro-IT. Eine Werkzeugmaschine läuft fünfzehn oder zwanzig Jahre, die Steuerung, mit der sie ausgeliefert wurde, oft ebenso. Betriebssysteme ohne Herstellersupport sind in Fertigungshallen die Regel, nicht die Ausnahme. Patchen ist häufig nicht möglich, weil der Maschinenhersteller Änderungen nicht freigibt oder die Gewährleistung daran hängt.
Diese Systeme sind also dauerhaft verwundbar, und das lässt sich nicht ändern. Was sich ändern lässt, ist ihre Erreichbarkeit. Im flachen Netz gilt: Was einen Büro-PC trifft, erreicht auch die Steuerung.
Genau an dieser Stelle scheitern Trennungsvorhaben aber selten an der Technik. Sie scheitern an der Datenlage. Zonen lassen sich nicht sinnvoll schneiden, wenn unklar ist, welche Geräte es gibt, wer mit wem spricht und welcher Konfigurationsstand gerade läuft. Wer ohne dieses Bild trennt, riskiert genau das, was alle befürchten: eine stehende Halle am Montagmorgen.
Der Lösungsansatz
Die Trennung selbst folgt dem Zonenmodell, wie es auch die IEC 62443 beschreibt. Bereiche mit unterschiedlichem Schutzbedarf werden abgegrenzt, der Übergang zwischen ihnen wird kontrolliert. Diesen Übergang bildet AIMdefense.
Die Grundlage dafür liefert AIM – Advanced Infrastructure Management:
- Automatische Bestandserkennung über Hersteller- und Standortgrenzen hinweg. Erst wenn feststeht, welche Systeme im Netz arbeiten, lässt sich entscheiden, welches Gerät in welche Zone gehört.
- Bewertung durch das VAS-Modul, direkt auf dem erfassten Bestand und ohne zusätzliche Fremdlösung. Bei Produktionstechnik geschieht das mit der gebotenen Zurückhaltung, da aktive Prüfungen empfindliche Steuerungen stören können.
- Zentrale Konfigurationssicherung. Gerätestände werden automatisiert gesichert, Änderungen sind nachvollziehbar, ein definierter Zustand ist wiederherstellbar. Für eine Umschaltung im Wartungsfenster ist das die Rückfallebene.
- Integriertes Wiki. Welche Anlage in welcher Zone steht, welche Kommunikationsbeziehung fachlich begründet ist und wer sie freigegeben hat, steht dort, wo gearbeitet wird, und nicht in einer separaten Ablage.
- Wartungskalender für die einzelnen Systeme, mit Fristen für Lizenzverlängerungen und Garantien an einer Stelle.
Der Zuschnitt der Zonen ist damit keine Schätzung mehr, sondern eine Entscheidung auf Basis des tatsächlichen Bestands.
Umsetzung ohne Produktionsstillstand
Der übliche Einwand lautet: Wir wissen nicht genau, wer mit wem spricht, und wenn wir trennen, steht die Halle.
Deshalb beginnt das Vorgehen mit Beobachtung statt mit Regeln. Der Bestand wird erfasst, die tatsächlichen Kommunikationsbeziehungen werden aufgezeichnet, die Konfigurationen gesichert. Erst wenn das Bild vollständig ist, greifen Regeln am Zonenübergang, zunächst protokollierend, dann sperrend. Die eigentliche Umschaltung erfolgt in einem geplanten Fenster, meist in der ohnehin vorhandenen Wartungspause oder am Wochenende.
Nach der Umschaltung bleibt der Bestand in AIM geführt. Neue Geräte in der Halle fallen auf, statt still im Netz zu erscheinen, und der Zonenschnitt bleibt gepflegt statt einzufrieren.
Was sich danach ändert
Die verwundbaren Altsysteme bleiben verwundbar, daran ändert keine Trennung etwas. Aber sie sind nicht mehr von jedem Arbeitsplatz aus erreichbar, und ihr Zustand ist erstmals bekannt und bewertet.
Für Betriebe, die Nachweise gegenüber Kunden, Versicherern oder Auditoren erbringen müssen, ist das der eigentliche Gewinn. Eine dokumentierte Zonenstruktur mit erfasstem Bestand, gesicherten Konfigurationen und einer laufenden Bewertung ist prüfbar. Das ersetzt keine Zertifizierung, unterstützt aber beim Nachweis, dass die Trennung nicht nur geplant, sondern auch belegbar ist.
Auf einen Blick
| Einsatzfeld | Fertigung, Maschinenbau, produzierendes Gewerbe |
|---|---|
| Ausgangsproblem | gemeinsames Netz für Produktions- und Büro-IT, unvollständiger Bestand |
| AIM-Produkte | AIM inkl. VAS-Modul, AIMdefense |
| Rolle von AIM | Bestandserfassung, Bewertung, Konfigurationssicherung, Dokumentation |
| Vorgehen | Bestand erfassen, beobachten, protokollierende Regeln, Umschaltung im Wartungsfenster |
| Orientierung | Zonenmodell nach IEC 62443 |
Mehr zu AIM
Welche Module hinter Bestandserkennung, VAS-Bewertung, Konfigurationssicherung und Wiki stehen, finden Sie auf der Seite Module.
Wie diese Grundlage in einer gewachsenen Umgebung mit IT- und OT-Geräten entsteht, zeigt die Referenz Klinikverbund mit über 20 Häusern.