Die typische Ausgangslage
In vielen gewachsenen Fertigungsbetrieben gibt es genau ein Netz. Maschinensteuerungen, Bedienpanels, Messplätze und Prüfstände liegen darin gleichberechtigt neben Arbeitsplatz-PCs, ERP-Server, Drucker und WLAN für Gäste.
Historisch ist das nachvollziehbar. Die Fertigung wurde nach und nach vernetzt. Jede neue Maschine kam dorthin, wo eine Netzwerkdose frei war. Wer heute fragt, welche Geräte in der Halle stehen und in welchem Zustand sie sind, bekommt in der Regel eine Liste, die niemand mehr aktuell hält.
Warum das ein Problem ist
Produktionstechnik altert anders als Büro-IT. Eine Werkzeugmaschine läuft fünfzehn oder zwanzig Jahre. Die Steuerung, mit der sie ausgeliefert wurde, läuft oft ebenso lange. In Fertigungshallen laufen meist Betriebssysteme ohne Herstellersupport. Patchen ist häufig nicht möglich, weil der Maschinenhersteller Änderungen nicht freigibt oder die Gewährleistung daran hängt.
Diese Systeme bleiben dauerhaft verwundbar. Ihre Erreichbarkeit lässt sich aber ändern. In einem flachen Netz erreicht alles, was einen Büro-PC trifft, auch die Steuerung.
Trennungsvorhaben scheitern dabei selten an der Technik. Sie scheitern an der Datenlage. Zonen lassen sich nicht sinnvoll schneiden, wenn unklar ist, welche Geräte es gibt, wer mit wem spricht und welcher Konfigurationsstand gerade läuft. Wer ohne dieses Bild trennt, riskiert eine stehende Halle am Montagmorgen.
Der Lösungsansatz
Die Trennung selbst folgt dem Zonenmodell, wie es auch die IEC 62443 beschreibt. Bereiche mit unterschiedlichem Schutzbedarf werden abgegrenzt, der Übergang zwischen ihnen wird kontrolliert. Diesen Übergang bildet AIMdefense.
Die Grundlage dafür liefert AIM (Advanced Infrastructure Management):
- Automatische Bestandserkennung über Hersteller- und Standortgrenzen hinweg. Erst wenn feststeht, welche Systeme im Netz arbeiten, lässt sich entscheiden, welches Gerät in welche Zone gehört.
- Bewertung durch das VAS-Modul, direkt auf dem erfassten Bestand und ohne zusätzliche Fremdlösung. Bei Produktionstechnik geschieht das mit der gebotenen Zurückhaltung, da aktive Prüfungen empfindliche Steuerungen stören können.
- Zentrale Konfigurationssicherung. Gerätestände werden automatisiert gesichert. Änderungen sind nachvollziehbar, und ein definierter Zustand lässt sich wiederherstellen. Für eine Umschaltung im Wartungsfenster ist das die Rückfallebene.
- Integriertes Wiki. Welche Anlage in welcher Zone steht, welche Kommunikationsbeziehung fachlich begründet ist und wer sie freigegeben hat, steht direkt dort, wo gearbeitet wird.
- Wartungskalender für die einzelnen Systeme, mit Fristen für Lizenzverlängerungen und Garantien an einer Stelle.
Den Zuschnitt der Zonen entscheiden Sie damit auf Basis des tatsächlichen Bestands.
Umsetzung ohne Produktionsstillstand
Der übliche Einwand lautet: Wir wissen nicht genau, wer mit wem spricht, und wenn wir trennen, steht die Halle.
Deshalb beginnt das Vorgehen mit Beobachtung. Der Bestand wird erfasst, und die tatsächlichen Kommunikationsbeziehungen werden aufgezeichnet. Die Konfigurationen werden gesichert. Erst wenn das Bild vollständig ist, greifen Regeln am Zonenübergang, zunächst protokollierend, dann sperrend. Die Umschaltung selbst erfolgt in einem geplanten Fenster, meist in der ohnehin vorhandenen Wartungspause oder am Wochenende.
Nach der Umschaltung bleibt der Bestand in AIM geführt. Neue Geräte in der Halle fallen auf. Der Zonenschnitt bleibt gepflegt.
Was sich danach ändert
Die verwundbaren Altsysteme bleiben verwundbar. Daran ändert keine Trennung etwas. Sie sind aber nicht mehr von jedem Arbeitsplatz aus erreichbar. Ihr Zustand ist erstmals bekannt und bewertet.
Das zählt vor allem für Betriebe, die Nachweise gegenüber Kunden, Versicherern oder Auditoren erbringen müssen. Eine dokumentierte Zonenstruktur mit erfasstem Bestand, gesicherten Konfigurationen und einer laufenden Bewertung ist prüfbar. Das ersetzt keine Zertifizierung. Es unterstützt aber beim Nachweis, dass die Trennung belegbar ist.
Auf einen Blick
| Einsatzfeld | Fertigung, Maschinenbau, produzierendes Gewerbe |
|---|---|
| Ausgangsproblem | gemeinsames Netz für Produktions- und Büro-IT, unvollständiger Bestand |
| AIM-Produkte | AIM inkl. VAS-Modul, AIMdefense |
| Rolle von AIM | Bestandserfassung, Bewertung, Konfigurationssicherung, Dokumentation |
| Vorgehen | Bestand erfassen, beobachten, protokollierende Regeln, Umschaltung im Wartungsfenster |
| Orientierung | Zonenmodell nach IEC 62443 |
Mehr zu AIM
Welche Module hinter Bestandserkennung, VAS-Bewertung, Konfigurationssicherung und Wiki stehen, finden Sie auf der Seite Module.
Wie diese Grundlage in einer gewachsenen Umgebung mit IT- und OT-Geräten entsteht, zeigt die Referenz Klinikverbund mit über 20 Häusern.