Interviews 12.07.2021 Angriffserkennung rechtssicher gestalten „Das IT-SiG 2.0 ist ein wertvoller Orientierungsrahmen“ Paragraph 8a des BSI-Gesetzes (BSIG) verpflichtet KRITIS-Betreiber und Unternehmen im besonderen öffentlichen Interesse (UIB), ab dem 1. Mai 2023 Systeme zur Angriffserkennung gemäß dem Stand der Technik einzusetzen. Michael Barth, Head of Department Corporate Affairs bei genua, erläutert in diesem Experteninterview: wie sich die BSI-Vorgaben zur Angriffserkennung rechtssicher erfüllen lassen, welche Rolle Angriffserkennung für KRITIS-Betreiber künftig spielt, was Anomalieerkennung dafür leisten kann, und was IT-SiG 3.0 mit sich bringt. Wer in Informations- und Cyber-Sicherheit investiert, investiert automatisch in die eigene Zukunft. Die Vorgaben des IT-SiG 2.0 stellen daher einen wertvollen Orientierungsrahmen für den Weg zu digitaler Souveränität dar. Michael Barth , Head of Department Corporate Affairs bei genua Herr Barth, was sind die zentralen Neuerungen des IT-SiG 2.0? Michael Barth: Die Erweiterungen zum ursprünglichen IT‑SiG lassen sich auf drei wesentliche Themenfelder herunterbrechen: Erstens, den Kreis der adressierten Zielgruppen und zweitens deren gesetzliche Pflichten. Drittens ist eine umfangreiche Befugnis- und Verantwortungserweiterung für das BSI, dem Bundesamt für Sicherheit in der Informationstechnik, ein zentraler Bestandteil. Das BSI wird damit zur zentralen Stelle für IT-Sicherheit in Deutschland. Wer ist betroffen? Michael Barth: Nach wie vor adressiert das Gesetz die Betreiber kritischer Infrastrukturen (KRITIS), die in der BSI-Kritisverordnung benannt sind, also unter anderem die Sektoren Energie, Wasser, Ernährung sowie Informationstechnik und Telekommunikation. Die Sektoren wurden um die Kategorie „Unternehmen im besonderen öffentlichen Interesse“ erweitert, die etwa Rüstungsunternehmen oder solche mit einer hohen volkswirtschaftlichen Bedeutung umfasst. Diese müssen sich ebenfalls beim BSI registrieren und erhebliche Störungen ihrer IT-Sicherheit melden. Nach welchen Maßstäben ein Unternehmen konkret dieser Kategorie zugeordnet werden kann, ist allerdings noch offen. Hier sollte man die weitere Entwicklung im Blick behalten, etwa bei Entscheidungen der Monopolkommission. Des Weiteren wird ein zentraler Fokus auf die Hersteller kritischer IT-Komponenten gelegt. Und die Befugnisse des BSI im Hinblick auf die IT-Sicherheit von Bundesbehörden wird mit dem neuen Legislativ-Akt auf Gesetzesrang gehoben. Eine zentrale Verpflichtung ist der Einsatz von Systemen zur aktiven Angriffserkennung. Was ist damit gemeint und welche Punkte sind besonders wichtig? Michael Barth: Generell müssen die genannten Akteure konkrete IT-Sicherheitsvorkehrungen zur Stärkung der Cyber-Sicherheit aufbauen oder vorhandene Systeme entsprechend aufrüsten. Das IT-SiG 2.0 gibt Orientierungspunkte vor, welche Technologien geeignet sind und hat dabei auch die organisatorische Einbindung der Tools im Blick. Konkret muss der Einsatz von Security Incident & Event Management Systemen (SIEM) nachgewiesen werden. Diese sollen laut IT-SiG 2.0 kontinuierlich und automatisch die Daten des laufenden IT-Betriebs mit Parametern, Merkmalen und technischen Mustern abgleichen, die auf Angriffe hindeuten. Das stärkt die Cyber-Security von KRITIS-Betreiber insofern, dass sie Bedrohungen jederzeit identifizieren können. Treten Störungen auf, sollen die Systeme zudem über geeignete Reaktions- und Beseitigungsmaßnahmen verfügen. Die Formulierung des Gesetzes lässt sich allerdings auch in Richtung SOAR ("Security Orchestration, Automation and Response") interpretieren. Tatsächlich ist es ja auch in der Praxis nicht mit einer Erfassung von Security-Risiken getan, sondern es gilt, auf Angriffe möglichst automatisch und rasch mit Gegenmaßnahmen zu reagieren. Welche Rolle spielt die Anomalieerkennung im IT-SiG 2.0? Michael Barth: Anomalieerkennung wird als Methode explizit genannt, aber nicht weiter spezifiziert. Schließlich darf der Gesetzgeber keine konkreten Lösungen vorschlagen. Das wäre bei der schnellen Taktung der Digitalisierung und der Veränderung von Standards und Lösungswegen auch nicht sinnvoll. Die Betonung der "Anomaliedetektion" ist daher als Richtungsvorgabe zu verstehen. Hier zeigt das Gesetz auch die hohe Varianz an Verfahren und Einsatzszenarien auf, die aus der großen Anzahl der verfügbaren SIEM resultieren. Daraus lassen sich erste Anhaltspunkte für die Auswahl und Einführung von IT-SiG-konformen Technologien ableiten. Sollen z. B. vor allem netzwerkinterne Datenflüsse überwacht werden? Oder stehen Daten an den Übergängen zu öffentlichen Netzen im Fokus? Was bieten KI-gestützte Verfahren? Die Anomalieerkennung wird als Methode genannt, "den störungsfreien Betrieb zu erfassen und dann Abweichungen von diesem Zustand zur Detektion zu verwenden". Wichtig ist an dieser Stelle zudem der Hinweis, dass "der Einsatz der Systeme zur Angriffserkennung erfordert, dass die eingesetzten Erkennungsmuster ständig aktuell gehalten werden". Genau das leistet nur eine Anomalieerkennung in Echtzeit. Wie wird sich die Anomalieerkennung in den nächsten Jahren weiterentwickeln? Michael Barth: Bei genua sehen wir zwei wichtige Treiber: zum einen die zunehmende Verbindung mit neuen, immer leistungsfähigeren KI-Technologien, zum anderen die wachsende Komplexität und Dynamik der Netze. Letztere wird sich auf die Qualität der Anomalieerkennung auswirken. Zugleich können es aber Fortschritte in der KI-Entwicklung ermöglichen, mehr und komplexere Daten sinnvoll und performant in der Erstellung von Modellen zu verwenden und dies auszugleichen. Ist künftig mit weiteren Auflagen seitens der Gesetzgebung zu rechnen, die Investitionen in Technik, Personal oder Dienstleistereinbindung nach sich ziehen könnten? Michael Barth: Jedes Unternehmen sollte die Investition in IT Security auch immer als eine Investition in die Zukunft betrachten. Wer unabhängig von staatlichen Auflagen agiert und Wert auf eine sichere IT-Infrastruktur legt, muss auch keine Sorge vor neuen Auflagen haben. Grundsätzlich entwickeln sich die aktuellen Auflagen natürlich ebenso weiter wie die Bedrohungslagen. Die europäische Richtlinie für Netzwerk- und Informationssicherheit liegt in der Version 2.0 vor, die sogenannte NIS-2-Richtlinie , woraus sich neue Auflagen für Unternehmen und Staaten "zur Erhöhung der Widerstandsfähigkeit kritischer physischer und digitaler Einrichtungen" ergeben. Dem wird das Bundesinnenministerium mit einer eigenen Umsetzung Rechnung tragen. Hier wird nach derzeitiger Bewertung der Fokus darauf liegen, die zahlreichen Einzelregulierungen in Sachen IT-Sicherheit stärker zu orchestrieren – ein sinnvoller Ansatz. Außerdem wird das Thema eines wirksamen Schwachstellenmanagements wieder in den Vordergrund rücken, ein Thema dass auch im Sinne der Angriffserkennung und der hierzu verfügbaren Informationen von Bedeutung sein wird. Mehr zum Thema Kritische Infrastrukturen und IT-SiG 2.0: Drei Schritte zur Angriffserkennung gemäß BSI Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics KRITIS Angriffserkennung Artikel teilen Weiterführende Links Angebotsanfrage cognitix Threat Defender IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Interviews 03.03.2025 Cyber Resilience Act Cyberresilienzgesetz ‒ darauf müssen Hersteller und Zulieferer achten Für die September/Oktober-Ausgabe des Fachmagazins „IT Security“ sprach die IT Daily-Redaktion mit Michael Barth, Abteilungsleiter Strategy bei genua über den Cyber Resilience Act (CRA). Das Cyberresilienzgesetz soll die Sicherheit in der Lieferkette von Software-Produkten verbessern – und somit die IT-Security von Digitalprodukten. Doch was bedeutet das konkret für Hersteller, Kunden und Anwender? Michael Barth, Abteilungsleiter Strategy bei genua GmbH: „Daher sind Zertifizierungen so wichtig: Nutzer gehen damit sicher, dass Produkte genau auf diese Fragen hin abgeklopft wurden und bestmögliche IT-Security bieten.“ Wie profitieren Kunden und Verbraucher vom CRA? Michael Barth: Der CRA verpflichtet Hersteller, die Cybersicherheit von Produkten, die digitale Elemente enthalten, zu berücksichtigen. Und zwar von Tag 1 der Konzeption und Entwicklung über den gesamten Lebenszyklus eines Produkts. Es verpflichtet Hersteller, Sicherheits-Updates für mindestens fünf Jahre auszuliefern – beziehungsweise für die erwartete Lebenszeit eines Produkts, wenn diese kürzer ist. Das Gesetz fordert also, was wir bei genua – auf einem deutlich höheren Niveau – seit jeher unter Security by Design und Security by Default verstehen und leben. Wenn Hersteller durch aufwendige Verfahren unter anderem für ihre sicheren Entwicklungsprozesse zertifiziert sind, hilft das Kunden beim Identifizieren und Auswählen sicherer Produkte. Weiterverarbeitende Betriebe müssen zudem nachweisen, ihr Möglichstes für die Cybersicherheit getan zu haben – auch in ihrer Lieferkette. Hier gehen CRA und NIS 2 Hand in Hand. Dieses Vorgehen kann die Cybersicherheit verbessern. Davon profitieren letztlich Nutzer in allen Branchen. Woran wird man sichere IT-Produkte in Zukunft erkennen? Michael Barth: Der CRA definiert Mindestanforderungen in Bezug auf Security by Design für alle Produkte, die digital Daten austauschen und auf dem europäischen Markt verkauft werden sollen. Hersteller, die diese erfüllen, können ihre Hard- und Softwareprodukte mit dem CE-Zeichen versehen. Damit nicht genug: Es werden auch höhere Security-Level definiert und in Zukunft europaweit angeglichen. Konkret wird es drei Klassen geben: Nicht kritische, kritische und hochkritische Produkte mit digitalen Elementen. Dabei orientiert sich die EU an den Kriterien der Agentur der Europäischen Union für Cybersicherheit ENISA und den EU Common Criteria, kurz EUCC. Eine der Folgen wird die einfachere Anerkennung von Zertifizierungen über Landesgrenzen hinweg sein – sofern die Bewertungskriterien vergleichbar sind. Das BSI schließt bereits bilaterale Abkommen mit anderen Ländern für die gegenseitige Anerkennung im Rahmen von Common-Criteria-Zertifizierungen. Dieses Vorgehen wird in Zukunft vereinfacht. Inwiefern wird der CRA genua betreffen? Michael Barth: genua ist weitreichend zertifiziert , seine IT-Security-Produkte unterliegen regelmäßigen externen Überprüfungen, die auch Anforderungen an den Entwicklungs- und Produktdesign-Prozess haben. Damit können wir im Vergleich zu anderen Anbietern wahrscheinlich bereits zahlreiche Anforderungen erfüllen. Wir blicken daher entspannt auf den CRA. Für uns erwächst daraus eher ein Wettbewerbsvorteil. Andererseits wird wohl der Konkurrenzdruck steigen, weil auch andere Anbieter ihre Standards erhöhen müssen. Auf der anderen Seite wird die Vergleichbarkeit auf einem gemeinsamen europäischen Binnenmarkt Absatzchancen erhöhen. Für die Nutzer bedeutet das voraussichtlich: Mehr Auswahl, niedrigere Preise und bessere Qualität, weil sich die Produkte und Zertifizierungen besser vergleichen lassen. In der neuen Arbeitswelt gilt für die IT Security mehr denn je: velocity is king. Schließlich verkürzen auch die Angreifer ihre Zyklen bei der Entwicklung neuer Methoden und Tools. Michael Barth , Abteilungsleiter Strategy bei genua GmbH Gibt es Bereiche, in denen der CRA nicht greift? Michael Barth: Ja, die gibt es. Was der CRA zum Beispiel nicht vereinheitlicht, sind die Vorgaben für den Geheimschutz . Das bleibt zurecht Sache der nationalen Regulierungen. Birgt der CRA möglicherweise auch Risiken? Michael Barth: Besonders bei den im CRA geforderten Software-Stücklisten, kurz SBOMs, muss man hinterfragen, ob sie Anwender nicht in falscher Sicherheit wiegen. Die wenigsten SBOMs werden detailliert alle Informationen enthalten, sondern eher einen Überblick geben. Selbst wenn sehr viele oder sogar alle Details aufgeführt sind, ist immer noch keine Aussage darüber möglich, ob eine Schwachstelle in einer Komponente tatsächlich Auswirkungen auf das eingesetzte Produkt hat. Auf der anderen Seite haben uns IT-Security-Zwischenfälle der letzten Zeit deutlich vor Augen geführt, wie wichtig es ist, auch die eigene Software-Lieferkette genau im Blick zu halten. Daher sind Zertifizierungen so wichtig: Nutzer gehen damit sicher, dass Produkte genau auf diese Fragen hin abgeklopft wurden und bestmögliche IT-Security bieten. Herr Barth, wir danken für dieses Gespräch. Das Interview ist zuerst erschienen auf IT-Daily.net , am 6. November 2024 Mehr zum Thema Fachartikel: Mehr Sicherheit in der Software-Lieferkette Sind Sie bereit für NIS 2? Security by Design: Die Zukunft der Sicherheit Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Cyber Resilienz Industrie Artikel teilen Weiterführende Links IT-Sicherheitslösungen Zurück zur Übersicht

Highlights Hochsichere Zertifikatslösung genutrust Hardware-Varianten Informationsmaterial Angebot Hardware-Varianten für den genutrust-Prägeserver Compare hardware Reset < > Model genuscreen XS Hardware ▴ ▾ Revision 2.1 CPU Intel Celeron N2807 (2 Cores, 1.58 - 2.16 GHz) Memory 4 GB Network interfaces default 4 x 1 Gbit/s RJ45 Optional network cards - Available network cards - Flash Drive 1 x 16 GB SSD DVD-ROM Drive - Graphics Connector - Serial Ports 2 x RS-232 USB Port 1 x High-Speed Type-A, 1 x USB 5Gbps Type-A Smartcard Slot 1 x Format ID-1 Performance ▴ ▾ Firewall TCP 940 Mbit/s 1 Firewall UDP 1970 Mbit/s 2 IPsec TCP 160 Mbit/s 3 IPSec UDP 195 Mbit/s 4 [1] tcp packets: 1448 byte [2] udp packets: 1500 byte bidirectional [3] Transparent IPsec tunnel (AES GCM, sha2-256), packets: tcp 1448 byte [4] Transparent IPsec tunnel (AES GCM, sha2-256), packets: udp 1400 byte bidirectional Chassis ▴ ▾ Power Supply 40 W Power consumption load 15 W BTU/h load 51.15 Fixture 19" rackmount optional Width 270 mm Height 44 mm (1 U) Depth 198 mm Weight 1.8 kg Weight (incl. Packaging) 3.0 kg Environment Operation ▴ ▾ Voltage 90 - 240 V AC, 60 - 50 Hz, 1 - 0.5 A, connector 1 x IEC-C14 Temperature 0 - 50 ℃ at 50 % humidity, non condensing Humidity 20 - 80 % non condensing Shock 1 G 11 ms half-sine Vibration 5 - 500 Hz, PSD 0.02 G²/Hz, 0.5 Grms Norms CE Environment Storage ▴ ▾ Temperature -20 - 70 ℃ at 50 % humidity, non condensing Humidity 10 - 90 % non condensing Shock 10 G 11 ms half-sine Vibration 5 - 500 Hz, PSD 0.02 G²/Hz, 0.5 Grms Unser Vertriebs-Team steht Ihnen für Anfragen gerne zur Verfügung. Wir freuen uns auf Sie. Kontaktieren Sie Uns

Case Study 14.04.2008 Vorbildlich: ELSTER im Netz Behörden bieten sicheren Online-Service – Finanzverwaltungen der Bundesländer bei ELSTER Schön schlank soll sie sein und jederzeit hilfsbereit – die moderne Behörde. Unter dem Schlagwort E-Government unternehmen Bund, Länder und Kommunen erhebliche Anstrengungen, um ihre Verwaltungen durch den gezielten Einsatz von IT-Lösungen zu optimieren. Viele Behördengänge werden ins Internet verlagert und die Vorgänge in den Ämtern vollständig elektronisch bearbeitet. Das Ziel: Kosten sparen, Effizienz steigern und den Service für die Bürger erhöhen. Sichere Fernwartung mit der genubox s Diese Online-Dienstleistungen erzeugen erheblichen digitalen Datenverkehr. Bürger und auch Unternehmen schicken Daten via Internet an die Finanzverwaltung. Dort werden diese elektronisch geprüft, zur Bearbeitung an die Finanzverwaltungen der Länder weitergeleitet und eventuell eine elektronische Antwort an den Absender zurückgeschickt. Angesichts dieses regen Austauschs von überwiegend sensiblen Daten spielt die Informationssicherheit eine entscheidende Rolle. Nur wenn die Bürger und Unternehmen sich darauf verlassen können, dass ihre Daten selbst im eigenen Netz der öffentlichen Verwaltung vertraulich bleiben, werden sie die komfortablen Online-Angebote in großer Zahl nutzen. Schlüssel-Projekt ELSTER: Umfassendes Service-Portal der Steuerverwaltung ELSTER, das bekannte IT-Projekt der deutschen Steuerverwaltung, hat hier eine wichtige Vorbildfunktion. Das Online-Angebot richtet sich an rund 70 Millionen potenzielle Kunden und ist eines der wichtigsten IT-Projekte im Behördenbereich. Der Dienst startete im Januar 1999 mit der elektronischen Steuererklärung – kurz ELSTER – und wird seitdem als Projekt von Bund und Ländern unter der Federführung der Oberfinanzdirektion München schrittweise zu einem bundesweiten und umfassenden Service-Portal für Bürger und Unternehmen ausgebaut: Die Einkommen-, Umsatz- und Gewerbesteuer können darüber bspw. elektronisch erklärt werden. ELSTER erfordert sichere Datenübertragung Für ELSTER musste die sichere Übertragung der elektronischen Steuererklärungen zu den Finanzverwaltungen der 16 Bundesländer organisiert werden. Diese waren zwar digital angebunden, aber die genutzte Verbindung über das geschlossene, europaweite Behördennetzwerk TESTA erfüllte nicht die hohen Sicherheitsanforderungen, die von der Finanzverwaltung zum Schutz der Daten gestellt wurden. Denn die Struktur von TESTA ist äußerst heterogen: Selbst die angeschlossenen deutschen Behörden setzen eine Vielzahl unterschiedlicher Firewalls, NAT-Router und andere Systeme ein, sodass eine stabile und ausreichend sichere Kommunikation untereinander nicht gewährleistet war. Gelöst wurde dieses Problem mit einem verschlüsselten Virtual Private Network (VPN). Hohe Datensicherheit durch verschlüsseltes Virtual Private Network Mit der VPN-Technologie wird über das vorhandene, unverschlüsselte Netzwerk TESTA ein geschützter Tunnel aufgebaut. Über diese abgeschirmte Verbindung werden die Daten verschlüsselt von Punkt zu Punkt übertragen. Dieser direkte Tunnel zur Zieladresse ist ein wesentliches Merkmal der VPN-Technologie: So können auch Ziele in heterogenen bzw. undefinierten IP-Umgebungen hinter Firewalls, DSL- oder auch NAT-Routern unmittelbar angesprochen werden. Das VPN ermöglicht somit Netzteilnehmern mit völlig unterschiedlichen IT-Umgebungen eine sichere Kommunikation über öffentliche Netzwerke. VPN-Boxen erzeugen sicheren Datentunnel Erzeugt wird der getunnelte Datenverkehr mit VPN-Boxen, die an den jeweiligen Endpunkten installiert sind. Bei ELSTER werden hier Geräte vom Typ genubox eingesetzt. Diese VPN-Boxen von genua, einem auf IT-Sicherheit spezialisierten Unternehmen, überzeugten in dem von der Oberfinanzdirektion München durchgeführten Auswahlverfahren mit ihrem konsequenten Security-Konzept: Das als Betriebssystem verwendete Unix-Derivat OpenBSD basiert auf offenem Quellcode und wird von der Entwicklergruppe gezielt auf hohe Sicherheitsstandards getrimmt. Zusätzlich wird es von genua auf die erforderlichen Funktionen reduziert, sodass ein sehr sicherer Betrieb gewährleistet ist. Dazu trägt auch die kompakte Bauweise der genubox bei. Die kleine Hardware-Ausführung kommt ohne Lüfter und Festplatte aus und ist völlig wartungsfrei. Bei höheren Leistungsanforderungen an Knotenpunkten wird die große Rackserver-Variante eingesetzt. Zum Aufbau des eigentlichen Datentunnels wird das Kommunikationsprotokoll Secure Shell (SSH) genutzt. Es stellt die Verbindung zum Ziel her, überprüft die Zugriffsberechtigung anhand einer Authentifizierung und transportiert die verschlüsselten Daten. Als Schlüssel kommt dabei AES mit einer Länge von 128 Bit zum Einsatz, ein sehr sicheres und schnelles Verfahren. Zusätzlich zu den Sicherheits-Feature war auch der schnelle und kompetente Support, mit dem der bei München ansässige Hersteller den reibungslosen Einsatz der genuboxen unterstützt, ein wichtiges Entscheidungskriterium. Sicheres VPN zwischen Clearing-Stellen und Steuerbehörden der Länder Das für ELSTER aufgespannte VPN verbindet die 16 Finanzverwaltungen der Länder über zwei zentrale Clearing-Stellen in München und Düsseldorf. Hier werden alle elektronischen Steuerdaten von Bürgern und Unternehmen entgegengenommen, formal geprüft und über den in TESTA eingebetteten Datentunnel an die zuständige Steuerbehörde übermittelt. Der gesamte alltägliche Datenaustausch zwischen den Finanzbehörden wird über das VPN abgewickelt. An den beiden Knotenpunkten sind angesichts des erheblichen Datenvolumens jeweils zwei große genuboxen installiert, die mit den kompakten VPN-Geräten aufseiten der 16 Rechenzentren der Länder kommunizieren. Administriert wird das VPN über einen zentralen Server in der Münchener Clearing-Stelle. Software-Updates oder auch Änderungen an der Konfiguration werden von hier auf die verteilten Boxen geladen. Das von der deutschen Steuerverwaltung eingesetzte VPN hat sich als komfortable Lösung für den sicheren Datenaustausch über ein offenes Netzwerk bewährt. Mit geringem Installations-, Administrations- und Kostenaufwand wird ein hohes Sicherheitsniveau erreicht. Damit leistet das VPN einen wesentlichen Beitrag zu den hohen Sicherheitsstandards, die das Projekt ELSTER seinen Kunden garantiert. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor VPN Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Fachartikel 02.04.2025 Remote-Access-Cyberrisiken zuverlässig ausschalten Sicherer Fernzugriff mittels Zero Trust Application Access Die Anforderungen an die Netzwerksicherheit haben sich in der modernen Arbeitswelt grundlegend geändert. Mitarbeiter aber auch Dienstleister und Kunden greifen vermehrt von extern und mit verschiedenen Endgeräten auf Applikationen in Unternehmensnetzwerken zu. Gleichzeitig wachsen OT und IT verstärkt zusammen, sodass auch Maschinen und Anlagen etwa in Fabriken oder Chemieparks aus dem Internet erreichbar sind. Mitarbeiter, Dienstleister und Kunden greifen vermehrt von extern und mit verschiedenen Endgeräten auf Applikationen in Unternehmensnetzwerken zu. Die Vorteile liegen auf der Hand: Zum Beispiel lassen sich die Systeme effizienter betreiben, da sie beispielsweise ohne Vor-Ort-Präsenz konfigurierbar sind. Hinzu kommt, dass Unternehmen verstärkt Cloud-Angebote nutzen – etwa, um durch den Einsatz virtualisierter Netzwerkprodukte ihre IT-Infrastruktur flexibler skalieren zu können. Die Kehrseite: Diese Entwicklungen hebeln bisherige Perimeter-basierte Sicherheitsarchitekturen zunehmend aus. Und durch die verstärkte Exponierung sensibler Assets entstehen neue Angriffsvektoren, über die Cyberkriminelle Unternehmen attackieren können. Das wiegt schwer, da Cyberbedrohungen auch im industriellen Sektor weltweit seit Jahren massiv zunehmen. Industriespionage, Manipulation oder gar Zerstörung von Anlagen sind mögliche Folgen. Mit Zero Trust Application Access lässt sich ein hochsicherer, identitätsbasierter und anwendungsspezifischer Zugriff auf unternehmensinterne Applikationen ohne VPN realisieren. Ideal, um zum Beispiel externen Dienstleistern temporär einen sicheren Zugang zu dedizierten Anwendungen bereitzustellen. Lesen Sie in diesem Fachartikel: einen kurze Einführung in Funktionsweise von Zero Trust Application Access einen Überblick, welche Vorteile genusphere als Client-lose ZTAA-Lösung bietet ein Interview mit Steve Schoner, Senior Product Manager bei genua, zur Anwendung von genusphere in der Chemieindustrie FACHARTIKEL HERUNTERLADEN (PDF) Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Auszug aus CAV, Ausgabe 02-2025, PROZESSTECHNIK.INDUSTRIE.DE FACHARTIKEL HERUNTERLADEN (PDF) Topics Industrie Fernwartung Mobiles Arbeiten Netzwerksicherheit Artikel teilen Weiterführende Links Zero Trust Application Access genusphere Sicherer, browserbasierter Zugriff auf freigegebene Applikationen Das Zero Trust-Sicherheitsmodell “Vertraue niemandem blind, sondern überprüfe jeden Zugriff”: Kein Gerät, keine Identität und keine Anwendung ist automatisch vertrauenswürdig – unabhängig davon, ob der Zugriff aus dem internen oder externen Umfeld kommt. Zurück zur Übersicht

Fachartikel 01.05.2023 IT-Sicherheitsgesetz 2.0 KRITIS und IT-SiG 2.0: Worauf es bei der Angriffserkennung ankommt Im September 2022 veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) seine Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung – und hat damit die Anforderungen aus dem IT-Sicherheitsgesetz 2.0 weiter konkretisiert. Eine wichtige Rolle spielen Protokollierung, Detektion und Reaktion. Worauf es ankommt und wie KRITIS-Betreiber eine passende Lösung umsetzen können, erklärt dieser Beitrag. Arnold Krille, KI-Experte bei genua Paragraf 8a des BSI-Gesetzes (BSIG) verpflichtet Betreiber kritischer Infrastrukturen seit dem 1. Mai 2023 Systeme zur Angriffserkennung (SzA) einzusetzen. Diese gelten als effektive Maßnahme, um Cyberangriffe frühzeitig zu erkennen und Schäden zu vermeiden oder zumindest zu vermindern. Um für betroffene Unternehmen bei der individuellen Umsetzung der neuen gesetzlichen Anforderungen zusätzliche Klarheit und Sicherheit zu schaffen, hat das BSI Ende September 2022 eine „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ herausgegeben. Sie soll auch prüfenden Stellen als Anhaltspunkt dienen. Gemäß Orientierungshilfe lassen sich die technischen Funktionen und Aufgabenbereiche von Systemen zur Angriffserkennung drei Bereichen zuordnen: Protokollierung, Detektion und Reaktion. So müssen die Systeme durch fortlaufende Auswertung der gesammelten Informationen sicherheitsrelevante Ereignisse erkennen, beispielsweise durch Missbrauchs- oder Anomalie-Erkennung. Betreiber sollten ferner Maßnahmen implementieren, um Störungen infolge von Angriffen zu verhindern oder auf sie zu reagieren. Das kann sowohl durch technische als auch durch organisatorische Maßnahmen umgesetzt werden. Lesen Sie in diesem Beitrag mehr zu: Protokollierung in der Angriffserkennung Auffälligkeiten analysieren und richtig bewerten Angriffserkennung mittels Anomalieerkennung FACHARTIKEL HERUNTERLADEN (PDF) Dieser Beitrag wurde veröffentlicht in: kes, Spezialausgabe "Angriffserkennung, April 2023, Datakontext Verlag Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de kes, Spezialausgabe "Angriffserkennung, April 2023, Datakontext Verlag FACHARTIKEL HERUNTERLADEN (PDF) Topics KRITIS Angriffserkennung Cyber Resilienz Artikel teilen Zurück zur Übersicht

Fachartikel 15.04.2024 Remote-Zugriffe auf chemische Anlagen Security bei der Fernwartung in der chemischen Industrie Fernwartungslösungen können in der chemischen Industrie eingesetzt werden, um die Verfügbarkeit von Anlagen effizient sicherzustellen. Aus Perspektive der Security zählen sie jedoch zu den häufigsten Bedrohungen für die Sicherheit von Industrial Control Systems. Welche Voraussetzungen für einen Fernzugriff müssen erfüllt sein, damit Betreiber ruhig schlafen können? Portrait von Markus Maier, Product Owner Industrieprodukte, genua Auch wenn Fernwartung schon viele Jahre in der Industrie eingesetzt wird, auch in der chemischen Industrie gewinnt sie immer mehr an Beliebtheit, ist sie aus Perspektive der Netzwerksicherheit weiterhin ein großes Sicherheitsrisiko. Einbrüche von Cyberkriminellen über Fernwartungszugänge zählen laut Bundesamt für Sicherheit in der Informationstechnik (BSI) zu den häufigsten Bedrohungen für die Sicherheit von Industrial Control Systems. Welche ­Voraussetzungen müssen also für einen Fernzugriff erfüllt sein, damit die Fernwartung sicher betrieben werden kann? Markus Maier, Product Owner Industrieprodukte, bei genua, erläutert in der Fachzeitung CHEManager die möglichen Risiken und Einfallstore und zeigt am Beispiel der Fernwartung mit genubox die unterschiedlichen Anforderungen für den sicheren Betrieb von Fernwartungszugriffen auf chemische Anlagen. Lesen Sie in diesem Fachartikel: welche grundlegende Anforderungen an die Cybersecurity bei Remote-Zugriffen auf industrielle Steuerungssysteme beachtet werden müssen mit welchen Risiken und Einfallstoren Betreiber chemischer Anlagen rechnen sollten und welche Schutzmaßnahmen für IoT-Geräte sinnvoll sind. Fachartikel herunterladen (PDF) Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de CHEManager, Ausgabe 03/24, Wiley Verlag, Weinheim FACHARTIKEL HERUNTERLADEN (PDF) Topics Fernwartung Industrie Firewalls & Gateways Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Fachartikel 18.09.2024 Cyber Resilience Act Mehr Sicherheit in der Software-Lieferkette Die EU erhöht den Druck auf Hersteller digitaler Produkte: Der Cyber Resilience Act (CRA) verlangt unter anderem dokumentierte Software-Stücklisten, längere Update-Zeiträume und erweitert den Haftungsrahmen. Das hat nicht zuletzt beim allgegenwärtigen Einsatz von Open-Source Konsequenzen. Sauber definierte Schnittstellen in komponentenbasierten Softwarearchitekturen dienen der Sicherheit und Robustheit. Sie sind Teil des Securityby-Design-Ansatzes, den genua für seine IT-Security Produkte seit jeher verfolgt (Bild: genua Gmbh) Der Cyber Resilience Act (CRA) der Europäischen Union war bereits für Anfang 2024 geplant und noch in diesem Jahr in Kraft treten . Als Verordnung wird er unmittelbar mit dem Beschluss wirksam werden. Mit seinen Forderungen nach mehr Software-Sicherheit, Mindest-Support-Lebenszyklen, mehr Transparenz für digitale Produkte und erweiterter Haftung für die Hersteller stößt er kaum auf Widerstand. Trotzdem gibt es bis zu seiner endgültigen Fassung noch Diskussionsbedarf. Vor allem die Open-Source-Community hatte noch Nachbesserungen gefordert. Lesen Sie in diesem Fachartikel: einen kurzen Überblick über die zentralen Forderungen des CRA an die Hersteller und die Herausforderungen, die diese Forderungen mit sich bringen insbesondere mit Blick auf die Verwendung von Open-Source-Komponenten FACHARTIKEL HERUNTERLADEN (PDF) Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de IT Security, Ausgabe September/Oktober 2024, WWW.IT-DAILY.NET FACHARTIKEL HERUNTERLADEN (PDF) Topics Cyber Resilienz Open Source Industrie Artikel teilen Zurück zur Übersicht

Fachartikel 01.10.2022 IT/OT-Konvergenz Zero-Trust-Architekturen in Industrieumgebungen Zero Trust gilt in der Cybersicherheit als Gebot der Stunde, um die sich immer weiter verschärfende Sicherheitslage langfristig zu beherrschen. Wie Industrieunternehmen das neue Paradigma für ihre IT/OT-Konvergenz nutzen können, erklärt Technology Fellow Steffen Ullrich. Steffen Ullrich In vielen Industrieanlagen verlieren Betreiber durch fremdverwaltete Dienste, z. B. Cloud Computing, zunehmend die Kontrolle über ihre OT- und IT-Sicherheit. Zero-Trust-Architekturen aus der IT-Welt helfen Betreibern, die Netzwerkhoheit über ihre OT zu behalten und damit das Vertrauen in ihre Infrastruktur und ­Betriebstechnologie wiederzugewinnen. Steffen Ullrich, IT-Sicherheitsforscher und Technology Fellow bei genua, erläutert, wie diese IT-/OT-Architektur aufgebaut sein sollte und wie das Sicherheitskonzept am Beispiel der Fernwartung mit genubox umgesetzt werden kann. Lesen Sie in diesem Interview: wie Unternehmen mit Unsicherheiten durch IT/OT-Konvergenz umgehen können was das Zero-Trust-Paradigma leistet welche Zero-Trust-Ansätze sich für wen eignen wie sich Fernwartung mittels Zero Trust sicher implementieren lässt Fachartikel herunterladen (PDF) Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de CITplus, Ausgabe 10/2022, Wiley Verlag, Weinheim FACHARTIKEL HERUNTERLADEN (PDF) Artikel teilen Weiterführende Links Das Zero Trust-Sicherheitsmodell “Vertraue niemandem blind, sondern überprüfe jeden Zugriff”: Kein Gerät, keine Identität und keine Anwendung ist automatisch vertrauenswürdig – unabhängig davon, ob der Zugriff aus dem internen oder externen Umfeld kommt. Zurück zur Übersicht

Fachartikel 15.12.2022 Systemischer Schutz Cyberrisiken in digitalen Ökosystemen minimieren Auch in der Industrie etablieren sich digitale Ökosysteme. Solche Netzwerke ermöglichen innovative Chancen durch verteilte Wertschöpfung. Sie bescheren jedoch der Cybersicherheit einen neuen Grad an Komplexität und Unsicherheit. Risiken und Schutzkonzepte beschreibt dieser Fachbeitrag. Cyberrisken in digitalen Ökosystemen Einer der fundamentalsten Trends in der Industrie sind digitale Ökosysteme. Lieferbeziehungen und Wertschöpfung funktionieren damit nicht mehr linear, sondern mehrdimensional und vernetzt. So große Chancen digitale Ökosysteme auch bieten: Sie erhöhen gleichzeitig die Anfälligkeit für Cyberangriffe. Um sie sicher und zuverlässig zu nutzen, bedarf es daher ausgefeilter, mehrstufiger Schutzmechanismen. Lesen Sie in diesem Fachbeitrag: wie industrielle Ökosysteme die Cyberrisiken erhöhen welche Securitykonzepte davor schützen FACHARTIKEL HERUNTERLADEN (PDF) Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de INDUSTRIAL COMMUNICATION JOURNAL 4 | 2022 Fachartikel herunterladen (PDF) Topics Industrie Industrie 4.0 Artikel teilen Zurück zur Übersicht

Whitepapers 28.06.2013 Parallelisierte Anwendungserkennung in Overlay-Netzen Entwicklung einer Web 2.0 Firewall Von: Alexander von Gernler , Dipl.-Inf. Alexander von Gernler , Dipl.-Inf.

Case Study 24.02.2011 Zweistufige Firewall KASTO mit Firewall Cluster sicher vernetzt Der Hersteller von Metallsägen und Lagersystemen setzt bei IT-Sicherheit auf zweistufige Firewall und verschlüsselten Datenaustausch via Internet. KASTO mit Firewall Cluster Wenn irgendwo Metall gesägt wird, ist sehr wahrscheinlich eine Maschine von KASTO am Werk. Die Maschinenbaufirma aus dem badischen Achern ist Weltmarktführer bei den Bügel-, Band- und Kreissägen, von den Werkstattmaschinen für Handwerker bis hin zu den Hochleistungsautomaten für die industrielle Massenproduktion. Diese computergesteuerten Maschinen zerlegen Stahlrohre oder auch Autoblech mit schnellen, präzisen Schnitten – auf den Zehntelmillimeter genau. Außerdem entwickelt und realisiert KASTO eine breite Palette an halb- und vollautomatischen Langgut- und Blechlagersystemen. Die Position als globaler Marktführer – in Technologie und Stückzahlen – bei Metallsägemaschinen und automatischen Lagersystemen basiert auf über 120 Patenten und wird durch über 120.000 in alle Welt gelieferte Sägemaschinen sowie über 1.200 installierte Automatik-Lager eindrucksvoll dokumentiert. Für die Produktion, den Vertrieb und weltweiten Wartungs-Service müssen sensible Daten zwischen den Firmenstandorten sowie mit Kunden in der ganzen Welt ausgetauscht werden – gegen unbefugte Zugriffe und Ausfälle zuverlässig abgesichert. Hier setzten die Maschinenbauer auf die High Resistance Firewall genugate – ein zweistufiges und hochverfügbares Firewall-System – sowie VPN-Appliances für den verschlüsselten Datenaustausch. Gut sortiert: vollautomatisches Lagersystem von KASTO KASTO produziert die leistungsstarken Sägemaschinen und Lagersysteme am Stammsitz in Achern und einem zweiten Werk im thüringischen Schalkau. Für den internationalen Vertrieb und Kundenservice vor Ort unterhält die Firma weitere Niederlassungen im Ausland, darunter größere Tochtergesellschaften im englischen Southampton und Obernai im Elsass. Der reibungslose Geschäftsbetrieb erfordert, dass die rund 600 Mitarbeiter an den verschiedenen Standorten ständig untereinander, mit Kunden und Interessenten kommunizieren und Daten via Internet austauschen können. Großen Kommunikationsbedarf hat zudem das Service Center: Auf Wunsch der Kunden werden die weltweit installierten Anlagen per Fernzugriff von KASTO überwacht. Dazu greifen Service-Spezialisten von der badischen Firmenzentrale via Internet auf die Steuerungssysteme der Maschinen zu und kontrollieren die Betriebsdaten. So werden Unregelmäßigkeiten frühzeitig erkannt und behoben, bevor sie zu Betriebsstörungen oder sogar kostspieligen Ausfallzeiten führen. Dieser Service ist für das kontinuierliche Monitoring auf eine zuverlässige Internet-Anbindung unbedingt angewiesen. Unverschlüsselte Daten sind digitale Postkarte Die erwünschten Kommunikationsverbindungen via Internet müssen sichergestellt werden, gleichzeitig sind die übertragenen Daten und das Firmennetz von KASTO aber gegen unerwünschte Zugriffe zu schützen. Denn Kunden-, Betriebs- oder auch Konstruktionsdaten dürfen nicht in die Hände unbefugter Dritter, bswp. der Konkurrenz, gelangen. Werden Daten jedoch ohne Verschlüsselung übertragen, sind sie auf ihrem Weg durch das weltweite Web vor neugierigen Blicken so sicher wie eine Postkarte in der gelben Briefpost. Auch an der Schnittstelle zwischen öffentlichem Internet und dem lokalen Firmennetz (LAN) muss sorgfältig kontrolliert werden: Verbindungen für E-Mail-Kommunikation, WWW-Daten sowie zum Informationsaustausch mit Niederlassungen und Kunden sollen stets zugelassen werden, unbefugte Zugriffe und Angriffe vom Internet in das LAN sind dagegen zuverlässig abzublocken. Bei der Absicherung von Netzwerken und Daten wird KASTO seit 20 Jahren von dem IT-Spezialisten BWG Informationssysteme aus Ettlingen unterstützt. Die Spezialisten lösten diese Aufgabe mit Firewalls des Typs genugate sowie VPN-Appliances zur Datenverschlüsselung vom Typ genubox . „Die Firewall genugate bietet aufgrund der Zweistufigkeit eine starke Sicherheitsleistung, die von unabhängigen Experten auf einzigartig hohem Level zertifiziert ist. Dies ist ein entscheidendes Merkmal, denn beim Schutz sensibler Daten und Firmennetze sollte kein Risiko eingegangen werden“, erläutert Thomas Zeller, Leiter Security Services bei BWG, die Auswahl der Firewall. Bei genugate des deutschen Herstellers genua sind zwei unterschiedliche Firewalls zu einer Lösung kombiniert: ein Application Level Gateway und ein Paketfilter. Beide Systeme laufen auf separater Hardware, sind jedoch in Reihe geschaltet. Daten auf dem Weg vom Internet in das LAN müssen also zwei unterschiedliche Firewalls passieren. Hochsichere Firewall mit BSI Zertifizierung: genua genugate m Alles verboten – außer was ausdrücklich erlaubt ist Das zweistufige Firewall-System folgt bei der Datenkontrolle einer strikten Regel: Jeglicher Datenaustausch ist verboten – außer den ausdrücklich zugelassenen Verbindungen. Daten aus dem Internet erreichen zuerst das Application Level Gateway. Dies ist das aufwendigere der beiden Firewall-Systeme und überprüft den Inhalt des Datenstroms. Dazu stoppt es die eintreffenden IP-Pakete und setzt sie zu Datensätzen zusammen. Denn nur anhand kompletter Datensätze kann der Inhalt überprüft werden. Jetzt analysieren spezielle Prüfprogramme sowie zusätzlich ein integrierter Viren-Scanner den Inhalt der empfangenen Daten. Unerwünschter und auch gefährlicher Code wie aktive Inhalte und Viren werden so zuverlässig identifiziert und abgeblockt. Auch Datenpakete, die Angreifer mit gefälschten IP-Adressen versehen haben, um als erwünschter Kommunikationspartner zu erscheinen, werden bei der Prüfung erkannt und zurückgewiesen. Danach gelangen die Daten zum zweiten Firewall-System, einem Paketfilter unmittelbar vor dem LAN. Er lässt generell nur Datenpakete ins LAN passieren, die zuvor von dort angefordert wurden, bspw. WWW-Daten beim Surfen im Internet. Dazu werden die formalen Kennzeichen im Header der Pakete überprüft: Sind die Absenderadresse, der verwendete Protokolltyp sowie die angesteuerte Port-Nummer zugelassen? Erst wenn die Daten auch diese Prüfung bestanden haben, dürfen sie zum Empfänger im LAN passieren. Die zweistufige Prüfung und die Inhaltskontrollle durch das Application Level Gateway unterscheiden genugate von vielen anderen Firewalls, die ausschließlich als Paketfilter arbeiten. Die Zweistufigkeit ermöglicht zudem den einfachen Aufbau einer sogenannten Demilitarisierten Zone (DMZ) zwischen den beiden Firewalls. In diesem separaten Bereich stehen WWW- und E-Mail-Server – also die Systeme, auf die sowohl vom Internet als auch vom LAN aus zugegriffen werden kann. Das LAN ist von den Servern in der DMZ aber immer noch durch die zweite Firewall getrennt und somit vor direkten Zugriffen aus dem Internet abgeschirmt. „Eine DMZ ist ein wichtiger Baustein, um die IT-Sicherheit in Firmennetzen deutlich zu steigern“, so Thomas Zeller von BWG. Penetration-Test kommt nicht durch KASTO hat von der Wirtschaftsprüfungsgesellschaft Ernst & Young eine externe IT-Sicherheitsuntersuchung durchführen lassen. Dabei haben die Spezialisten einen Penetration-Test gegen die Firewall gefahren. Das Ergebnis: Kein Durchkommen. „Die beiden Firewalls ergeben im Zusammenspiel einen zuverlässigen Schutzriegel. Wir hatten an dieser Stelle noch nie irgendwelche Sicherheitsprobleme“, resümiert Robert Ganter, IT-Leiter bei KASTO. Die Firewall-Lösung hat die Maschinenbaufirma später mit einer weiteren genugate zu einem Cluster erweitert. Beide Firewalls teilen sich seitdem die Arbeit und beobachten dabei stets den Partner, um bei einem Ausfall sofort dessen Aufgaben zu übernehmen und so die hochverfügbare Verbindung zum Internet sicherzustellen. Die unabhängigen Experten vom Bundesamt für Sicherheit in der Informationstechnik (BSI) haben genugate nach dem internationalen Standard Common Criteria (CC) geprüft. Dabei wird das System ausführlich getestet und die korrekte Umsetzung aller Sicherheitsmechanismen bis hinunter zum Quellcode nachgeprüft, der vom Hersteller vorgelegt werden muss. Das Ergebnis: Sicherheitszertifikat in der Stufe EAL 4+ mit dem Zusatz „Highly Resistant“. EAL 4+ ist der höchste Level, der auf ein komplexes System wie eine Firewall vollständig anwendbar ist. Da genugate aber beim wichtigen Merkmal Selbschutz noch höhere Anforderungen erfüllt – selbst sorgfältig vorbereiteten und unter günstigen Bedingungen geschickt ausgeführten Angriffen wird stärkster Widerstand entgegengesetzt –, hat das BSI den Zusatz „Highly Resistant“ vergeben. genugate ist die einzige Highly Resistant Firewall der Welt. Verschlüsselter Datentransfer via Internet Wenn die Daten jetzt das sichere LAN der Firmenzentrale verlassen, Richtung weiterer Niederlassungen oder zu betreuender Maschinen bei Kunden, müssen sie ebenfalls vor unbefugten Zugriffen geschützt werden. Hier nutzt KASTO ein Virtual Private Network (VPN). Mit der VPN-Technologie werden über das öffentliche Internet verschlüsselte Verbindungen aufgebaut, über die Daten sicher abgeschirmt übertragen werden können. Dazu müssen an den jeweiligen Endpunkten VPN-Gateways installiert sein. genua genubox s In der Firmenzentrale sowie den Niederlassungen in Thüringen, Großbritannien und Frankreich sind VPN-Appliances des Typs genubox installiert, um die sicheren Verbindungen aufzubauen. Kleinere Niederlassungen sowie die Steuerungssysteme der Maschinen bei den Kunden sind mit Software-basierten Client-Lösungen an die verschlüsselte Kommunikation angebunden. Dieses VPN basiert auf Schlüsseln mit 128 Bit und ist mit heutigen Methoden und Kapazitäten nicht zu knacken. So wird zwischen den Firmenstandorten sowie für den Kunden-Service zu den weltweit betreuten Maschinananlagen ein zuverlässig geschütztes Datennetz geknüpft. Betreut werden der Firewall Cluster und die VPN-Appliances vom Kundenservice des Herstellers. Die Spezialisten von genua überwachen – ebenfalls via VPN-Verbindung – die Systeme und übernehmen die komplette Administration von der Konfiguration bis hin zum regelmäßigen Einspielen neuer Updates. Robert Ganter von KASTO: „Der Kunden-Service ist sehr schnell und kompetent. Wir können uns darauf verlassen, dass unsere wichtigen IT-Systeme stets reibungslos funktionieren.“ Davon profitieren wiederum die Kunden von KASTO, die irgendwo Metall sägen. Denn sie können sich darauf verlassen, dass der Fernwartungs-Service des badischen Maschinenbauers ihnen jederzeit via Internet zur Seite steht. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Firewalls & Gateways Fernwartung Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Case Study 14.04.2008 Logitische Herausforderungen EUROGATE setzt auf genugate Der größte Containerterminal-Betreiber Europas sichert IT und Datenkommunikation mit einem hochverfügbaren Firewall Cluster: Der globale Handel hat eine universelle Verpackung: den Container. Ob Textilien, Fernseher, Rohstahl, gekühltes Obst oder Benzin – alles findet Platz in den genormten Boxen. Die meisten davon reisen auf Containerschiffen rund um die Welt, und es werden immer mehr. Im Gleichschritt mit dem Containerverkehr wächst sowohl die Anzahl als auch die Größe der Schiffe. Auf den neuesten Containerschiffen stapeln sich bis zu 15.500 TEUs (Twenty-foot Equivalent Units, Standard-Container). Hochbetrieb: Im Hamburger Hafen stapeln sich die Container. Im Zielhafen spielt der Container seinen großen Vorteil aus: Statt die Waren umständlich einzeln umzuladen, wird die gesamte Box für den anschließenden Transport einfach auf die Bahn oder einen Lkw umgesetzt. An dieser Schnittstelle ist gute Koordination gefordert. Computer berechnen den optimalen Ablauf, damit alle Container schnell an der richtigen Stelle landen, und die Kunden werden stets über den Status ihrer Lieferung informiert. Hier muss der Datenaustausch stets funktionieren, da Ausfälle zu längeren Schiffsliege- und Transportzeiten und damit hohen Kosten führen. Der größte europäische Containerterminal-Betreiber EUROGATE setzt zur hochverfügbaren Absicherung seiner Datenverbindungen an der Schnittstelle LAN – Internet ein Cluster mit der High Resistance Firewall genugate, einem zweistufigen Systemen, ein. EUROGATE betreibt mit 6.600 Beschäftigten insgesamt neun Containerterminals in Europa, der größte ist Bremerhaven, der wachstumsstärkste Hamburg. Sobald hier ein Schiff anlegt, beginnen die großen Containerbrücken ihr Werk: Emsig fahren sie hin und her, ent- und beladen innerhalb kürzester Zeit die großen Schiffe. Ermöglicht wird das hohe Tempo durch perfekte Koordination. Software-Programme berechnen alle Abläufe und erstellen den optimalen Beladungsplan. So steht kein Container plötzlich im Weg oder muss mehrmals umgesetzt werden. Koordination erfordert ständigen Datenaustausch Der Bremerhaven ist der größte Containerterminal von EUROGATE Für diese Koordination der Abläufe müssen ständig Daten ausgetauscht werden: Reeder schicken per E-Mail Informationen über ihre Schiffsladungen, Container-Anlieferungen und den weiteren Abtransport. Der Terminalbetreiber bietet wiederum über das sogenannte Infogate umfassende Informationen über den Status der Schiffsentladungen, damit die Kunden jederzeit wissen, wo sich jeder einzelne ihrer Container gerade befindet. Darüber hinaus steht EUROGATE ständig mit zahlreichen Partnern via Datenleitung in Kontakt, die weitere Logistikdienstleistungen oder Wartungsarbeiten erbringen. Sollte dieser Informationsfluss einmal abreißen, würde die Arbeit auf den langen Kais innerhalb kurzer Zeit ruhen – und EUROGATE würden somit erhebliche Kosten entstehen. „Damit bspw. ein Container aus Peking zum vereinbarten Termin beim richtigen Empfänger in Berlin ankommt, müssen ganz viele Räder exakt ineinandergreifen. Für dieses logistische Meisterwerk ist der zuverlässige Datenaustausch mit allen Beteiligten unbedingt erforderlich, IT- und Ausfallsicherheit haben deshalb bei uns höchste Priorität“, erläutert Stephan Krause, IT-Administrator bei EUROGATE in Hamburg. Bei dieser Aufgabe wird der Terminalbetreiber vom Hamburger IT-Beratungs- und Dienstleistungsunternehmen secion GmbH unterstützt. Kritischer Punkt: Schnittstelle zum Internet muss gesichert werden Entscheidend für eine zuverlässige Datenkommunikation ist die Absicherung des Übergangs zwischen dem lokalen Netz von EUROGATE und dem Internet. Hier empfahlen die IT-Spezialisten von secion den Einsatz von zwei Firewalls des Typs genugate, die zu einem Cluster verbunden sind. „Bei diesen Anforderungen ist die Firewall genugate die passende Lösung. Das System kann in einem Cluster hochverfügbar eingesetzt werden und bietet durch die Zweistufigkeit eine Sicherheitsleistung, die vom Bundesamt für Sicherheit in der Informationstechnik geprüft und auf einem einzigartig hohen Level zertifiziert ist“, so Hellmuth Michaelis, Geschäftsführer von secion. genugate ist eine Sicherheitslösung des deutschen Firewall-Herstellers genua aus Kirchheim bei München. Die Möglichkeit, genugates in Clustern zusammenzufassen, ist ein wichtiges Merkmal: Die Systeme in den Clustern teilen sich die Aufgaben und überwachen sich gegenseitig. Sollte ein System ausfallen, übernimmt das andere kurzfristig die gesamte Last. So bilden die Firewalls einen leistungsstarken und hochverfügbaren Schutzriegel zwischen dem Internet und dem Firmennetz. Sicher: Demilitarisierte Zone für Online-Dienste Zusätzlich unterteilen die Firewalls den internen Bereich von EUROGATE in zwei separate Netze, die Demilitarisierte Zone (DMZ) und das eigentliche Local Area Network (LAN). In der DMZ stehen die Systeme, auf die sowohl von außen aus dem Internet als auch aus dem LAN zugegriffen werden kann, z. B. das Infomationssystem Infogate. Das LAN mit den Clients ist dagegen noch stärker abgeschottet. Hier sind – abgesehen von gezielt zugelassenen Verbindungen – keine Zugriffe von außen möglich. „Die neutrale Pufferzone zwischen Internet und LAN ist eine intelligente Lösung“, betont Stephan Krause: „So können wir unseren Kunden und Partnern nach außen komfortable Online-Dienste anbieten, ohne die Sicherheit unseres Firmennetzes zu gefährden.“ Die beiden internen Sicherheitszonen können problemlos eingerichtet werden, da genugate zwei Firewall-Systeme in einer Lösung bietet: ein Application Level Gateway und einen Paketfilter. Beide Systeme sind unterschiedliche Firewall-Typen und laufen auf physisch getrennten Rechnern. So wird die DMZ vom Internet durch das Application Level Gateway abgeschirmt, während das LAN zweistufigen Schutz durch den zusätzlich vorgeschalteten Paketfilter genießt. Starker Schutz: Zwei Firewall-Systeme in einer Lösung Tag und Nacht fahren die Containerbrücken emsig hin und her. Daten aus dem Internet müssen also zwei Firewall-Systeme passieren, um ins LAN von EUROGATE zu gelangen. Aber bereits am ersten Kontrollpunkt ist ihr Weg zu Ende: Das Application Level Gateway stoppt die Datenpakete – eine durchgehende Verbindung lässt es niemals zu. Das System schaut in die Pakete hinein, analysiert die Inhalte und blockt schädliche Daten wie Viren oder aktiven Web Content. Nach der sorgfältigen inhaltlichen Prüfung durch das Application Level Gateway gelangen die Daten zum zweiten Firewall-System, dem Paketfilter, unmittelbar vor dem LAN. Der Paketfilter ist noch restriktiver ausgelegt. Er lässt generell nur Datenpakete passieren, die zuvor aus dem LAN angefordert wurden. Dazu werden die Datenpakete auf der Netzwerk- und Transportebene anhand der Header-Informationen kontrolliert. Für andere Verbindungen von außen müssen gezielt einzelne Ports freigeschaltet werden. Greylisting trickst Spammer aus High Resistance Firewall genugate Gegen lästigen Spam bietet genugate zudem mit Greylisting ein effizientes Verfahren. Greylistig basiert auf einem einfachen Trick: Bei jeder eingehenden E-Mail werden die drei Informationen IP-Adresse des sendenden Mails-Servers, Absender- sowie Empfängeradresse abgefragt. Wenn diese Dreier-Kombination zum ersten Mal vorkommt, wird die E-Mail abgewiesen, das neue Triple jedoch gespeichert. Seriöse Mail-Server unternehmen in diesem Fall nach kurzer Zeit einen zweiten Zustellversuch. Jetzt ist die Dreier-Kombination bereits bekannt, die Post wird zum Empfänger durchgelassen. Spammer setzen dagegen auf Masse innerhalb möglichst kurzer Zeit und halten sich nicht mit wiederholten Zustellungen auf. Deshalb scheitern sie am Greylisting. „Rund 30.000 E-Mails bekommen wir täglich zugestellt, durch das Greylisting werden aber nur 5.000 angenommen. Das lästige Spam-Problem ist somit entschärft“, sagt Stephan Krause. EUROGATE setzt zwei genugates in einem Cluster ein, die regelmäßig mit Software-Updates vom Hersteller genua an neue Gefahren angepasst werden. Stephan Krause resümiert: „genugate mit zwei aufeinander abgestimmten Firewalls, deren Kontrollmechanismen sich auf unterschiedlichen Ebenen ergänzen, bietet zuverlässigen Schutz für unser Netzwerk. Obwohl wir mit dem wachsenden Erfolg von EUROGATE immer mehr Angriffsversuche registrieren, hat die Lösung noch nie Sicherheitsprobleme zugelassen.“ Firewall genugate ist auf hohem Niveau zertifiziert Diese Einschätzung bestätigt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es hat die zweistufige Lösung nach dem internationalen Standard Common Criteria (CC) in der Stufe EAL 4+ zertifiziert. Dies ist die höchste Stufe, die komplett auf ein komplexes Sicherheitssystem wie eine Firewall anwendbar ist. genugate erfüllt jedoch beim wichtigen Sicherheitsmerkmal „Selbstschutz gegen direkte Angriffe“ noch höhere Anforderungen – die Leistung entspricht hier den Anforderungen von Level EAL 6. Dies ist ein entscheidender Punkt: Eine Firewall muss selbst gegen alle Angriffe und Manipulationsversuche gewappnet sein, damit sie das anvertraute Netzwerk zuverlässig sichern kann. Aufgrund dieser Leistung ist die Firewall zusätzlich als „Highly Resistant“ eingestuft – als einzige Firewall weltweit. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Firewalls & Gateways Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 24.08.2011 Application Level Gateway und Paketfilter Klüber Lubrication setzt auf zweistufige Firewall Zuverlässiger Schutz von Geschäftsdaten durch abgesicherte Informationstechnologie: Ob Fensterheber, Lager in Windkraftanlagen oder Tablettenpressen: Wenn es darum geht, dass Bauteile und Anlagen zuverlässig funktionieren, ist Klüber Lubrication gefragt. Mit leistungsstarken Spezialschmierstoffen und vielfältigem Service bietet das Unternehmen seinen Kunden aus nahezu allen Industriebereichen Lösungen, um selbst an extrem belasteten Stellen die Reibung zu minimieren. Minimale Reibung dank gut geschmierter Lager Der führende Hersteller von Spezialschmierstoffen mit rund 1.800 Mitarbeitern gehört zur Freudenberg Gruppe, Weinheim. Aktivitäten an Standorten in über 30 Ländern und mit Geschäftspartnern in aller Welt erfordern die ständige Datenkommunikation. Diese Kommunikationswege müssen zuverlässig funktionieren und einfach zu administrieren sein. Wichtig ist dabei die IT-Sicherheit: Die Geschäftsdaten müssen vor unbefugten Zugriffen oder Verlust unbedingt geschützt werden. Klüber Lubrication setzt hier auf zentrale Hubs, die mit der High Resistance Firewall genugate , einem zweistufigen System, gesicherte Internetzugänge anbieten. Ein Virtual Private Network (VPN) ermöglicht zwischen den weltweit verteilten Standorten und mit den Geschäftspartnern verschlüsselten Datentransfer. Zahlreiche Niederlassungen auf allen Kontinenten, direkte Anbindungen zu anderen Konzernteilen und vielen Geschäftspartnern – die Administration der IT beim Schmierstoff-Spezialisten Klüber Lubrication ist eine Herausforderung. Wie können zuverlässig funktionierende Datenverbindungen zu den Teilnehmern erzeugt, dabei ein hohes Sicherheitsniveau erreicht und der Aufwand für die Administration zudem noch gering gehalten werden? Klüber Lubrication geht diesen Lösungsweg: Konzentration zentraler Dienste wie Web- und E-Mailserver, Internet Access und Kundenportale an fünf Hub-Standorten Anbindung der Teilnehmer weltweit an ein VPN zur verschlüsselten Datenübertragung via Internet unternehmensweiter Einsatz einheitlicher IT-Sicherheitslösungen mit zentraler Administration durch den Kundenservice des Herstellers Windräder laufen lange rund mit Schmierstoffen von Klüber. „Durch die zentrale Bereitstellung vieler Dienste sparen wir viel Infrastruktur und Administrationsaufwand an den kleineren Standorten. An den zentralen Hubs haben wir dann alle Verbindungen im Blick und können unsere IT Security Policies konsequent durchsetzen“, erläutert Florian Fröhler, Corporate Network Administrator bei Klüber Lubrication. In den Hubs sind leistungsstarke Verbindungen zum Internet installiert sowie Server für zentrale Dienste wie Websites, Kundenportale und E-Mail. Untereinander sind die Hubs mit einem VPN zur verschlüsselten Datenübertragung via Internet verbunden. An das jeweils nächstgelegene Hub werden die kleineren Niederlassungen in der Region per VPN angebunden und können so über stark verschlüsselte Verbindungen die zentralen Dienste nutzen und unternehmensweit Daten austauschen. Hochwertige IT-Sicherheit durch zweistufige Firewalls Höchste Netzwerksicherheit durch zertifizierte Firewall genugate An den Übergängen zum Internet müssen unbefugte Zugriffe, Spam, Viren und sonstiger Schadcode zuverlässig abgeblockt werden. An dieser Stelle setzt Klüber Lubrication Firewalls des Typs genugate ein. Bei dieser Lösung des deutschen Herstelles genua sind zwei unterschiedliche Firewalls – ein Application Level Gateway und ein Paketfilter – zu einem mehrstufigen System kombiniert. Die Firewalls laufen auf separater Hardware, sind aber in Reihe geschaltet. Durch die zweistufige Konstruktion lassen sich ohne weiteres Equipment separate Sicherheitszonen bilden: Server, die Dienste im Internet anbieten wie Websites, Kundenportale oder Einwahlknoten für mobile Anwender, kommen in die sogenannte Demilitarisierte Zone (DMZ). Diese wird zwischen beiden Firewalls eingerichtet, zum Internet ist das Application Level Gateway vorgeschaltet, zum LAN von Klüber Lubrication der Paketfilter. Das LAN ist dagegen zusätzlich durch den Paketfilter von der DMZ getrennt. Daten auf dem Weg vom Internet zum LAN müssen also beide Firewalls passieren. Zuerst gelangen die Datenpakete zum Application Level Gateway. Dies ist das aufwendigere der beiden Firewall-Systeme und überprüft den Inhalt des Datenstroms. Dazu stoppt es zunächst die eintreffenden Pakete und setzt sie zu Datensätzen zusammen. Denn nur anhand kompletter Datensätze kann der Inhalt überprüft werden. Jetzt analysieren spezielle Prüfprogramme sowie zusätzlich ein Virenscanner den Inhalt der empfangenen Daten. Unerwünschter und auch gefährlicher Code wie aktive Inhalte, Viren und Spam können so zuverlässig identifiziert, abgeblockt oder gekennzeichnet werden. Ist die Inhaltsprüfung bestanden, erreichen Datenpakete in Richtung LAN den Paketfilter. Dieser prüft die formalen Informationen im Paket-Header. Nur wenn die Verbindung gemäß den konfigurierten Regeln erlaubt ist, werden die Daten an den Empfänger im LAN weitergeleitet. Die Kontrollmechanismen der beiden Firewalls arbeiten somit auf unterschiedlichen Ebenen und ergänzen sich. Ein weiterer Vorteil der Zweistufigkeit: Sollte mal eine Firewall ausfallen oder gar von einem Angreifer ausgehebelt werden, sichert immer noch das zweite System die Schnittstelle. Und da es sich dabei um ein anderes Firewall-System handelt, hilft dem Angreifer hier auch nicht sein Wissen aus dem ersten Hack. „Durch die Mehrstufigkeit und vor allem das Application Level Gateway mit seinen zahlreichen Filterfunktionen erreichen wir an der kritischen Schnittstelle zum Internet ein hohes Sicherheitsniveau“, erklärt Florian Fröhler. Qualitätssiegel: BSI-Zertifikat nach CC EAL 4+ Dass diese abgestimmte Kombination von zwei Firewall-Systemen hochwertige IT-Sicherheit bietet, wird von unabhängiger Seite bestätigt: Die Firewall genugate ist vom Bundesamt für Sicherheit in der Informationstechnik (BSI) nach dem internationalen Standard Common Criteria (CC) in der Stufe EAL 4+ zertifiziert. Dieses Sicherheitszertifikat ist das Ergebnis einer unabhängigen Qualitätskontrolle, die beim Level EAL 4 ein ausführliches Testprogramm sowie die Überprüfung des Quellcodes einschließt. Angesichts des erheblichen Aufwands ist EAL 4 die höchste Zertifizierungsstufe, die komplett auf komplexe Systeme wie Firewalls anwendbar ist. Da genugate aber beim Merkmal Selbstschutz noch höhere Anforderungen erfüllt – selbst sorgfältig vorbereiteten und unter günstigen Bedingungen geschickt ausgeführten Angriffen wird stärkster Widerstand entgegengesetzt –, hat das BSI den Zusatz „Highly Resistant“ vergeben. genugate ist die einzige Highly Resistant Firewall der Welt. An einzelnen Standorten sind jeweils zwei genugates als Cluster installiert: Hier teilen sich die Firewalls die Arbeit und beobachten dabei stets den Partner, um bei einem Ausfall sofort dessen Aufgaben zu übernehmen. So wird sichergestellt, dass die Verbindung zum Internet jederzeit verfügbar ist. VPN ist nicht zu knacken Komfortable Administration mit Central Management Station genucenter Das VPN für den sicheren Datenaustausch zwischen den Unternehmensstandorten wird mit Appliances des Typs genucrypt aufgebaut. Diese VPN-Appliances sind ebenfalls Lösungen des IT-Sicherheitsunternehmens genua und werden an den Hubs sowie den weiteren Niederlassungen installiert. Mit dem AES-Verfahren und Keys von 256 Bit erzeugen diese zwischen den Teilnehmern verschlüsselte Verbindungen via Internet, die mit heutigen Methoden nicht zu knacken sind. So können sensible Daten sicher und kostengünstig übertragen werden. Da die kompakte Appliance zudem ohne Lüfter und Festplatte auskommt, ist die Hardware wartungsfrei und kann auch an Standorten eingesetzt werden, an denen keine technische Betreuung geleistet wird. Administriert werden die weltweit verteilten VPN-Appliances über die Central Management Station genucenter . Das Management-System von genua zeigt in übersichtlichen Darstellungen den Status aller Appliances, und Änderungen oder Updates können mittels Gruppierungsfunktionen gleichzeitig auf beliebig viele Systeme übertragen werden. Auch neue Appliances lassen sich mit wenigen Klicks in den VPN-Verbund hinzufügen und mit bewährten Konfigurationen ausstatten. Routineaufgaben, wie z. B. Logfiles auswerten oder neue User anlegen, erledigen die Administratoren von Klüber Lubrication, umfangreichere Aufgaben übernimmt dagegen der Kundenservice des Herstellers. Dieser Service kommt bereits auf der ersten Support-Stufe direkt von genua und nicht von einem anderen Dienstleister – wie es in der IT-Branche häufig üblich ist. Die Support-Spezialisten des Herstellers haben die Sicherheitssysteme bei Klüber Lubrication über ein Monitoring–Tool ständig im Blick und können via VPN auf das Central Management System zugreifen, um Administrationsaufgaben oder auch Störungen zu bearbeiten. Bereits seit 1999 arbeitet Klüber Lubrication mit genua zusammen, das Fazit von Florian Fröhler: „Die Lösungen bieten eine starke Sicherheitsleistung und der Kunden-Service nimmt uns viele Aufgaben ab und löst auftretende Probleme sehr schnell. Mithilfe von genua erreichen wir ein hohes Sicherheitsniveau.“ Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie VPN Firewalls & Gateways Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Central Management Station genucenter Komfortable und effiziente Administration von IT-Sicherheitslösungen Zurück zur Übersicht

Case Study 25.02.2011 Eine Standardlösung für die Fernwartung Zufriedene Kunden durch Fernwartungs-Service – KASTO Maschinenbau KASTO, Weltmarktführer für die Herstellung von Metallsägen und Lagersystemen, bietet schnellen Service via Internet mit hochsicherer Fernwartungslösung Fernwartungs-Service – KASTO Maschinenbau Ihre Zähne schneiden durch härtesten Stahl: Metallsägen von KASTO zerlegen Stahlträger mit präzisen, schnellen Schnitten, auch Aluminiumblöcke oder Autobleche werden in hohem Tempo passgenau in Form gebracht. Zugeführt wird der Säge das tonnenschwere Arbeitsmaterial aus direkt angeschlossenen, vollautomatischen Lagersystemen. Die Firma KASTO Maschinenbau aus dem badischen Achern hat sich auf das Sägen und Lagern von Metall spezialisiert – von kompakten Anlagen für Handwerker bis hin zu Vollautomaten mit Lagersystem – und ist mit über 140.000 Installationen bei Kunden weltweiter Marktführer. Wer eine leistungsstarke Sägemaschine oder ein individuelles Lagersystem beschafft, verlangt vom Hersteller jederzeit schnellen Service, um den störungsfreien Betrieb sicherzustellen. Der mittelständische Maschinenbauer mit 700 Mitarbeitern bietet diesen Service weltweit – mit Fernwartungszugriffen via Internet. Die Fernwartungslösung ermöglicht regelmäßiges Monitoring, schnelle Reaktionszeiten und spart häufig den Aufwand für einen Techniker vor Ort. Darüber hinaus erfüllt die eingesetzte Lösung zwei weitere wichtige Anforderungen: Sie ist einfach zu administrieren und schützt die IT-Sicherheit aufseiten der KASTO-Kunden. KASTO produziert die Sägemaschinen und Lagersysteme in Deutschland, der weltweite Vertrieb erfolgt über weitere Niederlassungen im Ausland. Beim Kundenservice für die installierten Anlagen laufen die Fäden wieder am Stammsitz in Achern zusammen. Im zentralen Service-Center werden die Anfragen der Kunden von Support-Mitarbeitern entgegengenommen und bearbeitet. Dabei können die Kunden zwischen drei Service-Stufen wählen: vom normalen Wartungsvertrag über den erweiterten Support mit verkürzten Reaktionszeiten auch außerhalb der Geschäftszeiten bis hin zum Tele-Service mit Fernwartungszugriff via Internet. „Beim Tele-Service greifen unsere Spezialisten bei Anfragen umgehend per Fernzugriff auf die Steuerungssysteme der Maschinen zu und suchen den Fehler. In 80 Prozent aller Fälle können die Probleme so sofort behoben werden, diesen schnellen und günstigen Service ohne Technikereinsatz vor Ort schätzen unsere Kunden“, erläutert Josef Schneider, Service-Leiter bei KASTO. Standardlösung ersetzt Konglomerat von Fernwartungssystemen genubox: kompakte Fernwartungs-Appliance Die ersten Fernwartungsverbindungen zwischen Service-Center und Maschinen bei Kunden realisierte KASTO über Analog-Modems oder ISDN, der Datentransfer wurde mit VPN-Appliances (Virtual Private Network) verschiedener Hersteller verschlüsselt. So wuchs ein Konglomerat unterschiedlicher Lösungen, das aufwendig zu bedienen und zu administrieren war. Mit der Komplexität stieg die Fehlerrate, zudem waren die genutzten Verbindungen langsam und teuer. Deshalb beschloss KASTO, eine Standardlösung für die Fernwartung einzuführen. Im Pflichtenheft für die Lösung standen diese zentralen Anforderungen: schneller und günstiger Datenaustausch via Internet zuverlässige IT-Sicherheit bei Datentransfer und Zugriff auf Kundennetz einfache Bedienung und Administration zahlreicher Verbindungen Jetzt wurden von verschiedenen Herstellern Angebote eingeholt, evaluiert und getestet, die Wahl fiel schließlich auf die Fernwartungslösung des Anbieters genua. Die Firma aus Kirchheim bei München hat sich auf Fernwartungssysteme und Firewalls für hohe Sicherheitsanforderungen spezialisiert. „Die Lösung von genua erfüllt alle gestellten Anforderungen und kann zusätzlich im Bereich IT-Sicherheit entscheidende Pluspunkte sammeln. Denn die Firma verfügt hier über langjährige Erfahrung und da KASTO bei der Fernwartung in fremde Netze zugreift, schafft ein hohes Sicherheitsniveau das erforderliche Vertrauen beim Kunden“, erklärt Thomas Zeller, Geschäftsfüher von BWG Informationssysteme. Das Systemhaus aus Ettlingen unterstützt KASTO seit über 20 Jahren beim Aufbau und bei der Absicherung der IT-Infrastruktur. Kern der ausgewählten Lösung ist die Fernwartungs-Appliance genubox. Das System läuft auf kompakter, wartungsfreier Hardware und wird an den Endpunkten der Wartungsverbindung installiert; also jeweils eine Appliance an den betreuten Maschinen und eine als zentrale Gegenstelle beim Service-Center des Herstellers. Zwischen der Appliance an der Maschine und der Gegenstelle wird für den Wartungszugriff eine Verbindung via Internet erzeugt. Diese Verbindung ist schnell, kostengünstig und wird mit VPN-Technologie verschlüsselt, sodass der Datenaustausch nicht abgehört werden kann. Sicherer Zugriff auf Kundennetz Vollautomatische Lagersysteme werden per Fernzugriff überwacht und gewartet. Die Verbindung via Internet ist zuverlässig geschützt, trotzdem wird durch den Wartungszugriff auf Kundenseite unmittelbar der sensible Bereich der IT-Sicherheit berührt. Denn die Sägemaschine und das Automatiklager sind beim Kunden in das LAN integriert – KASTO muss für den Wartungszugriff also in das fremde Netzwerk zugreifen. Hier ist mit hartnäckigem Widerstand des zuständigen IT-Sicherheitsverantwortlichen zu rechnen, da jeder zugelassene externe Zugriff in das LAN das Risiko birgt, dass dieser Weg auch von unbefugten Dritten missbraucht werden kann. Das Wartungskonzept von genua löst dieses Problem, indem die Richtung des Verbindungsaufbaus umgekehrt wird: Alle Wartungsverbindungen werden stets von der Appliance beim Kunden via Internet zum Service-Center aufgebaut. Erst wenn diese Verbindung steht, kann sie von KASTO in Gegenrichtung für den Wartungszugriff genutzt werden. Einmal erzeugte Verbindungen lassen viele Kunden dann dauerhaft stehen, andere bauen diese dagegen jeweils genau für das Zeitfenster auf, in dem der Wartungszugriff erfolgen soll. Es ist aber immer der Kunde, der die Verbindung initiiert, nicht der externe Dienstleister. Denn der Aufbau einer ausgehenden Verbindung ist für Kunden viel besser zu kontrollieren und somit sicherer als die Freischaltung eines externen Zugriffs ins eigene Netzwerk. Ein weiteres Sicherheits-Feature der Lösung ist das verwendete VPN-Verfahren. Zwischen den Fernwartungs-Appliances beim Kunden und KASTO wird SSH gesprochen. Im Gegensatz zum verbreiteten IPSec, das grundsätzlich eine vollständige Koppelung bewirkt und somit pauschal alle Rechner aus Netz A mit allen Rechnern aus Netz B reden lässt, ermöglicht SSH die gezielte Freischaltung einer Kommunikationsverbindung zwischen zwei Diensten. Hier wird also exakt der Datenaustausch zwischen der betreuten Maschine und dem Service-Center zugelassen – eine Kommunikation mit anderen Rechnern in den Netzwerken ist nicht möglich. Fernwartungskunde hat volle Kontrolle über Zugriffe Von genubox werden zudem alle Aktionen protokolliert und auf dem lokalen GUI übersichtlich dargestellt. So kann der Kunde jederzeit nachvollziehen, wann der Tele-Service über die Verbindung auf welches System in seinem Netzwerk zugegiffen hat. „Die IT-Sicherheit unserer Fernwartungskunden wird nicht beeinträchtigt und sie haben stets die Kontrolle über die Zugriffe. Auch Kunden, die sehr strikten Security Policies folgen müssen, akzeptieren diese Lösung und lassen uns mit der Fernwartungs-Box in ihr Netz“, sagt Gerhard Lambertz, Softwareentwickler bei KASTO. Für die Wartungsspezialisten von KASTO ist die Lösung komfortabel zu bedienen: Über ein einheitliches GUI können sie sich bei allen Wartungskunden auf genubox einloggen und dann weiter auf die Steuerungssysteme der Sägemaschinen oder Lagersysteme zugreifen. Hier werden mit verschiedenen Tools Betriebsdaten abgerufen, Analysen durchgeführt und ggf. Fehler behoben. Auch die genuboxen müssen administriert werden. Dies geschieht über einen zentralen Management Server bei KASTO. Darüber haben die Service-Mitarbeiter den Status aller genuboxen, die bei Kunden aktiv sind, im Blick. „Die einfach zu bedienende und hochsichere Fernwartungslösung ermöglicht uns einen weltweiten Service, der erheblich zur Zufriedenheit unserer Kunden beiträgt“, sagt Service-Leiter Josef Schneider. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Fernwartung Predictive Maintenance Industrie Artikel teilen Weiterführende Links Remote Maintenance Wir unterstützen Unternehmen beim Aufbau sicherer Fernwartungszugriffe – an allen hierbei relevanten Stationen der Wertschöpfungskette. Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Case Study 14.04.2008 Rund um die Uhr ‒ im Dreischichtbetrieb manroland Goss web systems bietet sicheren Fernwartungs-Service Der Druckmaschinenhersteller manroland Goss web systems unterstützt Kunden mit einem breiten Support-Angebot via Fernwartung. Rund um die Uhr betreut das TeleSupportCenter des Unternehmens im Dreischichtbetrieb von Augsburg, Chicago und Sydney aus die weltweit installierten Druckanlagen. Die Aufgaben der Helpline: auf Kundenwunsch fortlaufende Überwachung durch Auswertung der Log-Files, regelmäßige Wartungsarbeiten wie Software-Updates sowie umgehende Reaktion bei Warnungen oder Problemen. Full Service via Internet Turmhoch: Rollendruckmaschine von manroland Goss Mit über 50 km/h jagt das Papier durch eine moderne Rollendruckmaschine, die ihre Farben dennoch auf den Hunderstel Millimeter genau auf die vorbeieilende Unterlage setzt. Diese Geschwindigkeit muss sein. Im harten Wettbewerb der Branche gewinnt die Druckerei, die kurzfristig Großaufträge erfüllen kann. Die Maschinen für die farbechte Präzision im rasenden Tempo sind komplex und erfordern erhebliche Investitionen. Stillstand bedeutet hier sofort Verlust, längere Wartungsarbeiten oder sogar Ausfälle durch Störungen müssen also unbedingt vermieden werden. Hier ist schneller Support von den Maschinenherstellern gefordert. manroland Goss web systems, Weltmarktführer bei den großen Rollenoffset-Systemen, bietet Kunden komfortablen Service über eine sichere Fernwartungslösung. Leistungsstarke Maschinen automatisieren den komplizierten Vorgang „Drucken“ zu einem einzigen, durchgängigen Prozess. Dafür müssen die Arbeitsschritte zahlreicher Systeme exakt ineinandergreifen – vom schnellen Druckplattenwechsel und Papiereinzug über den eigentlichen Druck bis hin zum Falzen. Die Steuerung dieser maschinellen Arbeitsgemeinschaft basiert auf einem eigenen Netzwerk: Hier sind die verschiedenen Systeme sowie zahlreiche Kontrollsensoren miteinander verbunden und können über Leitstände überwacht und eingestellt werden. An dieses Netz muss der Druckmaschinenhersteller via Fernzugriff rankommen, um den vom Kunden geforderten reibungslosen Betrieb jederzeit gewährleisten zu können. „Wir haben unsere Maschinen stets im Blick und können so Probleme bereits im Vorfeld lösen, bevor sie zu schwerwiegenden Störungen oder gar Ausfallzeiten führen“, sagt Peter Brechtel, Leiter IT-Infrastruktur bei manroland Goss web systems. Über die Fernwartungsverbindung kommt aber nicht nur Hilfe für den laufenden Betrieb, sondern auch beim Aufbau neuer Druckanlagen. Die Techniker von manroland Goss web systems, die unter erheblichem Zeitdruck die Installation beim Kunden vor Ort durchführen, können über die direkte Verbindung jederzeit auf dringend benötigte Tools, Software und Know-how im eigenen Firmennetz zurückgreifen. Automatisch: Plattenwechsel bei einer Rolldendruck-Maschine Kunden erwarten hohe IT-Sicherheit bei Fernwartungszugriff Somit sind die Verbindungen zu den Druckmaschinen zentrale Lebensnerven für manroland Goss web systems. Bei der technischen Umsetzung gelten deshalb hohe Anforderungen – Zuverlässigkeit und Sicherheit stehen dabei an erster Stelle. „Unser Support muss jederzeit schnell auf die Maschinen zugreifen können. Und unsere Kunden erwarten natürlich zu Recht, dass bei externen Zugriffen in ihr Netzwerk höchste Sicherheitsmaßstäbe beachtet werden“, erläutert Peter Brechtel: „Weitere Kriterien sind darüber hinaus die einfache Installation aufseiten des Kunden sowie geringe Betriebskosten.“ Deshalb entschied manroland Goss web systems, für die Kommunikation zwischen den Druckmaschinen bei Kunden und dem eigenen Firmennetz ein Virtual Private Network (VPN) aufzubauen. Sichere Lösung: Virtual Private Network über das Internet Ein VPN legt stark verschlüsselte Tunnel über öffentliche Netze wie das Internet. Über diese abgeschirmten Verbindungen können dann sensible Daten sicher übertragen werden. Dazu müssen an den jeweiligen Endpunkten VPN-Appliances installiert werden, die diese Datentunnel durch den unsicheren Bereich aufbauen. manroland Goss web systems setzt hier die Krypto-Appliance genubox des Unternehmens genua ein, das auf IT-Sicherheit spezialisiert ist. genubox arbeitet mit dem Protokoll SSH. Diese Technologie ermöglicht die direkte Ansteuerung von Systemen innerhalb von fremden Netzen, auch wenn das Ziel hinter einer Firewall verborgen ist. „Die Lösung mit SSH bietet sowohl bei der Sicherheit als auch bei der Installation große Vorteile und war entscheidend für die Auswahl dieser VPN-Appliance“, so Karlheinz Huber, Mitarbeiter im Bereich IT-Infrastruktur bei manroland Goss web systems. VPN-Appliance genubox schützt Kundennetz Zuverlässig und sicher: Fernwartungs-Appliance genubox Alle Rollendruck-Installationen von manroland Goss web systems sind serienmäßig mit einer genubox ausgestattet, und auch immer mehr der kleineren Bogendruckmaschinen werden mit diesem Fernwartungszugang an Kunden ausgeliefert. Diese VPN-Appliance wird beim Kunden an das Netzwerk angeschlossen. Als Gegenstelle ist am Netz von manroland Goss web systems ebenfalls eine genubox installiert. Jetzt muss an der Firewall des Kundennetzes lediglich ein ausgehender Port freigeschaltet werden, damit die verschlüsselte Verbindung zu manroland Goss web systems aufgebaut werden kann. Für die Absicherung des Wartungszugangs beim Kunden sorgt die VPN-Appliance. Sie isoliert mit ihrer integrierten Firewall-Funktionalität den Wartungsbereich vom restlichen Kundennetz und führt die verschlüsselte SSH-Verbindung direkt auf die Druckmaschine. So zielt der Wartungszugangs ausschließlich auf die betreute Installation – ein Zugriff auf andere Systeme im Netz des Druckmaschinenbetreibers ist nicht möglich. Nur Kunden können Wartungsverbindung aufbauen Ein weiteres Sicherheitsmerkmal der Lösung ist, dass die Wartungsverbindung nur von der Seite aus aufgebaut werden kann, die ihr Netzwerk für den externen Zugriff öffnet: also vom Kunden. Erst wenn die Verbindung hergestellt ist, wird sie von manroland Goss web systems in umgekehrter Richtung für die Wartungsarbeiten genutzt. So hat der Druckmaschinenbetreiber stets die Kontrolle, wann und wem er Zutritt in sein Netz gewährt. „Die starke Verschlüsselung, der klar auf den Wartungsbereich begrenzte Zugriff und die einseitige Hoheit über den Verbindungsaufbau sind Argumente, die auch sicherheitsbewusste Kunden überzeugen, dass dieser Wartungszugang mit ihren Policies vereinbar ist“, sagt Karlheinz Huber. Full Service mit Wake-up-Lösung Da der Verbindungsaufbau stets von der Kundenseite ausgeht, werden mit dem Hersteller-Support Zeitfenster für die Wartung vereinbart bzw. kurzfristig telefonisch abgesprochen. Oder die „Wake-up-Lösung“ wird eingesetzt. Mit diesem vom IT-Sicherheitsunternehmen genua entwickelten Verfahren kann manroland Goss web systems auch den Anstoß zur Öffnung des Zugangs geben und somit selbstständig alle Aufgaben rund um die Wartung leisten – ohne das Sicherheits-Feature „Verbindungsaufbau nur von Kundenseite“ außer Kraft zu setzen. Das Verfahren: Wenn der Support Wartungsarbeiten durchführen möchte, schickt er ein spezielles Datenpaket (UDP) an die VPN-Appliance im Kundenetz. Für genubox ist dieses Paket das Signal zum Aufbau des SSH-Tunnels zu manroland Goss web systems, und sobald die Verbindung steht, kann sie wiederum in umgekehrter Richtung für Wartungsarbeiten genutzt werden. Der Kunde muss bei der Wake-up-Lösung nicht aktiv eingreifen, seine IT-Sicherheit ist dennoch gewahrt. Die Installation der Wartungslösung beim Kunden erfordert nur wenige Handgriffe: Freischaltung eines ausgehenden Ports auf der Firewall Eingabe der IP-Adresse von manroland Goss web systems als Ziel für den SSH-Tunnel kurzer Verbindungstest mittels Laptop Anschluss der von manroland Goss web systems vorkonfigurierten genubox ans Netz Fernwartungs-Service ist wichtiger Wettbewerbsvorteil Als Verbindung dient dabei meistens der bestehende Internet-Zugang, sodass hier keine zusätzlichen Betriebskosten entstehen. Dabei funktioniert die Lösung sowohl mit festen als auch dynamischen IP-Adressen. „Die Fernwartung über VPN ist eine sichere und zuverlässige Lösung, die bei unseren Kunden gut ankommt und damit ein wichtiger Wettbewerbsvorteil ist“, unterstreicht Peter Brechtel von manroland Goss web systems. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie VPN Fernwartung Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht