Case Study 14.04.2008 IT-Sicherheit bei innovativem Privatsender Firewall Cluster lässt bei RTL II keinen durch Über RTL II gehen die Meinungen auseinander, aber jeder Fernsehzuschauer hat eine. In dem Programm des TV-Senders werden Frauen getauscht, ranzige WGs von Putzteufeln auf Vordermann gebracht, Menschen auf ihrem Weg durch Schönheitsoperationen begleitet und die Geschehnisse von Big Brother aus dem Container übertragen. Diese Doku-Soaps & Dokutainments setzen auf Emotionen und begeistern besonders junge Zuschauer. Andere Zuschauer sind angesichts der gewährten Einblicke dagegen hin und wieder empört. Provokation durch unkonventionelle Formate gehört zum Konzept des erfolgreichen Senders, erfordert jedoch auch Schutzmaßnahmen. Denn so mancher Protest entlädt sich über das Internet, und bereits einige Male attackierten entzürnte Gegner den Mail-Server des Privatsenders mit organisierten Massenanfragen. Doch an dieser Stelle setzt RTL II auf bewährte Lösungen: Zwei Firewall-Systeme genugate, verknüpft zu einem hochverfügbaren Cluster, schützen das Netzwerk des Senders gegen Angriffe aus dem Internet. Sendezentrale des Fernsesenders RTL 2 Für ein Medienunternehmen wie RTL II ist die Internet-Anbindung ein zentraler Lebensnerv: Nahezu jede Recherche der Redaktionen beginnt im World Wide Web, und der schnelle Informationsaustausch auch mit den externen Mitarbeitern basiert auf der Kommunikation via E-Mail. Der Sender nutzt darüber hinaus das Netz, um Journalisten und Werbekunden komfortablen Online-Service zu bieten. Aus der Presse-Lounge kann Text- und Bildmaterial zum gesamten Programm von RTL II abgerufen werden, und im Kundenbereich stehen aktuelle Informationen über freie Werbezeiten bereit. Diese Dienste und Anwendungen erfordern die Freischaltung zahlreicher Zugänge zum Internet, die jedoch gegen unbefugte Zugriffe geschützt werden müssen. Bewährte Firewall zu Cluster aufgerüstet Als sich der Sender vergrößerte und in München-Geiselgasteig eine neue Firmenzentrale bezog, musste auch die Frage der IT-Sicherheit neu gelöst werden. Denn die Zahl der PC-Arbeitsplätze und die Bandbreite der Internet-Anbindung wurden erheblich erweitert: RTL II entschied, die bereits eingesetzte High Resistance Firewall genugate wird mit einem weiteren identischen System zu einem leistungsstarken Cluster hochgerüstet. „Als TV-Sender sind wir auf eine leistungsfähige Internet-Anbindung angewiesen und stellen hohe Anforderungen an die IT Security. Deshalb sind wir auf Nummer sicher gegangen und haben die Firewall, die sich in den letzten Jahren in zahlreichen kritischen Situationen bestens bewährt hat, mit dem Cluster einfach an die neuen Leistungsanforderungen angepasst“, erläutert Reinhard Görtner, Leiter IT und Services bei RTL II. Hochsichere Firewall mit BSI Zertifizierung: genua genugate m Hohe Leistung und Ausfallsicherheit durch Cluster Die Möglichkeit, genugates in Clustern zusammenzufassen, ist ein wichtiges Merkmal der Firewall-Lösung des IT-Security-Spezialisten genua. Die Systeme in den Clustern teilen sich die Aufgaben und überwachen sich gegenseitig. Sollte ein System ausfallen, übernimmt das andere kurzfristig die gesamte Last. So sind starke Performance und Hochverfügbarkeit garantiert, und die Sicherheitslösungen können stets mit den Anforderungen des Anwenders mitwachsen. Demilitarisierte Zone für Online-Services und sicher abgeschottetes LAN Die Firewalls bilden einen Schutzriegel zwischen dem Internet und dem Firmennetz. Zusätzlich unterteilen sie den internen Bereich von RTL II in zwei separate Netze, die Demilitarisierte Zone (DMZ) und das eigentliche Local Area Network (LAN). In der DMZ stehen die Systeme, auf die sowohl von außen aus dem Internet als auch aus dem LAN zugegriffen werden kann. Dies sind das Redaktionssystem für die Presse-Lounge, über das RTL II umfassende Informationen zu seinem Programm für Journalisten und in Kürze auch für Werbekunden bereitstellt, sowie der zentrale Server für den Mail-Austausch. Das LAN mit den Clients ist dagegen noch stärker abgeschottet. Hier sind – abgesehen von gezielt zugelassenen Verbindungen – keine Zugriffe von außen möglich. „Die neutrale Pufferzone zwischen Internet und LAN ist eine intelligente Lösung“, betont Reinhard Görtner: „So können wir mit unseren Redaktionssystem nach außen komfortable Online-Dienste anbieten, ohne die Sicherheit unseres Firmennetzes zu gefährden.“ Die beiden internen Sicherheitszonen können problemlos eingerichtet werden, da genugate zwei Firewall-Systeme in einer Lösung bietet: ein Application Level Gateway und einen Paketfilter. Beide Systeme stecken in einem Gehäuse, sind jedoch unterschiedliche Firewall-Typen und laufen auf physisch getrennten Rechnern. So wird die DMZ vom Internet durch das Application Level Gateway abgeschirmt, während das LAN zweistufigen Schutz durch den zusätzlich vorgeschalteten Paketfilter genießt. Starker Schutz: Zwei Firewall-Systeme in einer Lösung Daten aus dem Internet müssen also zwei Firewall-Systeme passieren, um ins LAN von RTL II zu gelangen. Aber bereits am ersten Kontrollpunkt ist ihr Weg zu Ende: Das Application Level Gateway stoppt die Datenpakete – eine durchgehende Verbindung lässt es niemals zu. Das System schaut in die Pakete hinein, analysiert die Inhalte und blockt schädliche Daten wie Viren, Spam oder aktiven Web Content. Auch der Absender wird überprüft. Bei gefälschten Adressen, dem typischen Kennzeichen von „Denial of Service“-Attacken mit massenhaften Anfragen, werden die Datenpakete zurückgewiesen. Erst nach dieser sorgfältigen Prüfung auf der Anwendungsebene leitet das Application Level Gateway die Daten über eine neue Verbindung weiter. Die zweite Firewall, der Paketfilter unmittelbar vor dem LAN, ist noch restriktiver ausgelegt. Er lässt generell nur Datenpakete passieren, die zuvor aus dem LAN angefordert wurden. Dazu werden die Datenpakete auf der Netzwerk- und Transportebene anhand der Header-Informationen kontrolliert. Für andere Verbindungen von außen müssen gezielt einzelne Ports freigeschaltet werden. „Die beiden Firewalls bilden einen massiven Schutzschild. Hier ist noch nie ein Angriff durchgekommen“, bestätigt Reinhard Görtner. Sicherheitslösungen erfordern kontinuierliche Pflege. Dabei nutzt RTL II den Service des Herstellers. Der Support von genua loggt sich mehrmals täglich über SSH-verschlüsselte Verbindungen in das Firewall Cluster ein und kontrolliert die Leistungsdaten. Darüber hinaus halten die Experten das System mit Updates auf dem neuesten Stand. So werden bspw. die Viren-Patterns ständig aktualisiert, um das System gegen die immer neuen Gefahren aus dem Internet zu immunisieren. So kann sich RTL II auf seine IT-Sicherheit stets verlassen, auch wenn ein neues TV-Format mal wieder für Aufregung sorgt. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Firewalls & Gateways Cyber Resilienz Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 14.04.2008 Anschluss an Bayerns abgeschottetes Behördennetz Landratsamt Ansbach setzt zweistufige Firewall ein Das Landratsamt Ansbach hat viel zu tun. Als zentraler Dienstleister für insgesamt 58 Kommunen, die zusammen den größten Landkreis in Bayern bilden, ist es für zahlreiche Aufgaben zuständig: von der Abfallberatung über das Baurecht, die Kfz-Zulassung und den Umweltschutz bis hin zu Wohnberechtigungsscheinen. Um das breite Aufgabenspektrum effizient zu bearbeiten, sind eine zuverlässige Vernetzung und Internet-Anbindung erforderlich. Gleichzeitig müssen die sensiblen Daten vor unbefugten Zugriffen geschützt werden. Diese beiden gegensätzlichen Anforderungen – hohe IT-Sicherheit und komfortable Vernetzung – hat das Landratsamt Ansbach durch den Einsatz der High Resistance Firewall genugate , eines zweistufigen Systems, an einer eigenen Internet-Anbindung erfüllt. Das Landratsamt in Ansbach Rückblick: Zunächst verfügte das Landratsamt Ansbach über keinen eigenen Zugang zum Internet. Stattdessen waren die Ansbacher, wie viele öffentliche Einrichtungen im Freistaat, über das Bayerische Behördennetz und dann weiter über den zentralen Anschluss des Landesamtes für Statistik und Datenverarbeitung indirekt mit dem Internet verbunden. „Angesichts ständig steigender Internet-Nutzung durch alle angeschlossenen Behörden war es nur eine Frage der Zeit, bis diese Konstruktion zum Flaschenhals wird. Deshalb wollten wir einen eigenen Zugang zum Internet haben“, sagt Walter Dittrich, Leiter EDV beim Landratsamt Ansbach. Zuverlässige Absicherung und Mitbenutzung durch Kommunen An diese eigene Verbindung zum Internet waren zwei grundlegende Bedingungen geknüpft: Zum einen eine zuverlässige Absicherung. Denn wer auf der einen Seite an das abgeschottete Bayerische Behördennetz angeschlossen ist, darf in Richtung Internet nicht zum Einfallstor für unbefugte Dritte werden. Hier muss ein hohes Sicherheitsniveau garantiert sein. Zum anderen sollten alle Kommunen des Landkreises, die ihre eigenen lokalen Netze (LAN) betreiben, diesen direkten Zugang zum weltweiten Web mitbenutzen können – und sich somit ebenfalls den Umweg über das Behördennetz und zentrale Schnittstelle ersparen. Hochsichere Firewall mit BSI Zertifizierung: genua genugate m IT-Sicherheit durch zweistufige Firewall Mit dieser Aufgabenstellung begann die Suche nach einer geeigneten IT-Sicherheitslösung für die Schnittstelle zum Internet. Die Wahl fiel schließlich auf die Firewall genugate, ein zweistufiges System des deutschen Herstellers genua. „Ausschlaggebend für dieses System waren ein schlüssiges Anbindungskonzept, die hohe Zertifizierung sowie einschlägige Referenzen“, unterstreicht Andreas Wittwer, Consultant beim IT-Systemhaus Bechtle in Nürnberg. Separate Sicherheitszonen für Landratsamt und Kommunen genugate besteht aus zwei Firewall-Systemen, die hintereinander in Reihe geschaltet sind: ein Application Level Gateway und ein Paketfilter. Diese zweistufige Konstruktion bietet die Möglichkeit, separate Sicherheitszonen zu bilden. So wird das LAN des Landratsamtes durch beide Firewalls vom Internet abgeschottet. Der Datenverkehr zwischen Internet und Landrats-LAN durchläuft also die Kontrollen beider Systeme, die restriktiv eingestellt sind und nur ausdrücklich gewünschte Verbindungen zulassen. Kommunen gehen über Demilitarisierte Zone ins Netz Anders läuft die Internet-Verbindung der angeschlossenen Kommunen. Sie verbinden sich über ISDN-Einwahl oder verschlüsselte Datentunnel mit einem Server in einem speziellen Sicherheitsbereich, der sogenannten Demilitarisierten Zone (DMZ). Diese Zone wird durch das Application Level Gateway vom Internet getrennt – und durch den Paketfilter vom LAN des Landratsamtes. Von der DMZ aus geht die Verbindung der Kommunen durch das Application Level Gateway weiter Richtung Internet. Application Level Gateway und Paketfilter Das Application Level Gateway, das die Außenabsicherung Richtung Internet leistet, ist das stärkere der beiden Firewall-Systeme. Es analysiert den Inhalt des passierenden Datenstroms und verfügt über einen integrierten Virenscanner, um unerwünschten Content abzublocken. Der Paketfilter kontrolliert den Datenverkehr dagegen auf formaler Ebene anhand Absender- und Empfängeradresse, Protokolltyp und angesteuerter Port-Nummer. Wenn die Verbindung gemäß den konfigurierten Regeln erlaubt ist, dürfen die Daten passieren. Zusätzlich werden alle WWW-Anfragen an das Internet über URL-Filter geschickt, um den Abruf illegaler und jugendgefährender Inhalte zu verhindern. Insgesamt ermöglicht die Sicherheitslösung mit dem zweistufigen Firewall-System die gemeinsame Nutzung eines Internet-Anschlusses, ohne dass der Anbieter – das Landratsamt Ansbach – sein Netzwerk öffnen und damit ein Risiko bei der IT-Sicherheit eingehen muss. BSI-Zertifizierung als Qualitätssiegel Ein weiteres Merkmal der Firewall-Lösung ist die Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Diese unabhängige Prüfung erfolgte nach dem internationalen Standard Common Criteria (CC) in der Stufe EAL 4+. Dabei wird die Firewall ausführlich getestet und die korrekte Umsetzung aller Sicherheitsmechanismen bis hinunter zum Quellcode nachgeprüft. Das Ergebnis: Sicherheitszertifikat in der Stufe EAL 4+. Dies ist der höchste Level, der auf ein komplexes System wie eine Firewall vollständig anwendbar ist. Da genugate aber beim Merkmal Selbstschutz noch höhere Anforderungen erfüllt – selbst sorgfältig vorbereiteten und unter günstigen Bedingungen geschickt ausgeführten Angriffen wird stärkster Widerstand entgegengesetzt –, hat das BSI den Zusatz „Highly Resistant“ vergeben. genugate ist die einzige Highly Resistant Firewall der Welt. Bayern-CERT lobt Sicherheitskonzept Das Konzept für den eigenen Web-Anschluss ließ das Landratsamts Ansbach vom Bayern-CERT, also den IT-Sicherheitsspezialisten des Landesamtes für Statistik und Datenverarbeitung mit dem zentralen Internet-Knoten, begutachten. „Unser Anbindungskonzept mit der zweistufigen Firewall wurde vom Bayern-CERT ausdrücklich gelobt“, sagt Walter Dittrich: „Heute nutzen neben dem gesamten Landratsamt mit seinen fünf Außenstellen 34 Gemeinden den Internet-Anschluss und können sich trotz ständig steigender Datenmengen auf zuverlässige Bandbreite und IT-Sicherheit verlassen.“ Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor KRITIS Netzwerksicherheit Firewalls & Gateways Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 04.08.2013 Remote Access Service HERKULES modernisiert IT der Bundeswehr genua sorgt für sichere Anbindung mobiler Anwender und von Heimarbeitsplätzen: Die umfassende Modernisierung der IT bei der Bundeswehr ist eine Herkules-Aufgabe – auch wenn es nur um den nicht militärischen (weißen) Bereich geht. Denn auch ohne den militärischen (grünen) Teil, in dem die kämpfende Truppe Führungs- und Gefechtsinformationen austauscht, geht es um viel: Unter anderem mussten das Weitverkehrsnetz, die LANs sämtlicher Bundeswehr-Liegenschaften, 140.000 PC-Arbeitsplätze und Rechenzentren durch den BWI Leistungsverbund modernisiert werden. Deshalb trägt dieses Großprojekt zu Recht den Namen des altgriechischen Recken Herkules, der bei Bedarf auch auf übernatürliche Kräfte zurückgreifen konnte. Auch mobile und Heimarbeitsplätze sollen sicher an das Bundeswehr-Netzwerk angebunden sein genua sorgt für sichere Anbindung mobiler Anwender und von Heimarbeitsplätzen Zu einer modernen IT-Infrastruktur gehören auch mobile und Heimarbeitsplätze. Um diese sicher an das Bundeswehr-Netzwerk anzubinden, wurde eine RAS-Lösung (Remote Access Service) eingerichtet, bei der das Personal Security Device genucard eine wichtige Rolle spielt: Alle Notebooks und PCs der mobilen Anwender bzw. Heimarbeiter werden mit dem kompakten Device von genua ausgestattet. genucard wird einfach per USB mit dem Notebook oder PC verbunden und ermöglicht den Aufbau hochsicherer Verbindungen ins Bundeswehr-Netz. Dazu ist das Security Device mit einer Firewall und einem VPN-Gateway ausgestattet. Die Firewall lässt ausschließlich Verbindungen zur Gegenstelle im Bundeswehr-Netz zu, und das Gateway erzeugt ein stark verschlüsseltes Virtual Private Network (VPN) für den Datenaustausch. Über welchen Weg diese sichere Verbindung aufgebaut wird, kann gewählt werden: Ethernet, WLAN oder auch Mobilfunk. Die zuverlässige Anwender-Authentisierung erfolgt dabei über Smartcards. Ein entscheidendes Sicherheitsmerkmal der genucard ist die Unabhängigkeit vom gesicherten Notebook oder PC, da die Lösung auf autarker Hardware mit eigenem Betriebssystem läuft. So bleibt das Security Device funktionsfähig, selbst wenn Notebook oder PC durch unvorsichtigen Umgang bereits kompromittiert sein sollten. Ein weiteres, wichtiges Feature ist die zentrale Administration: Die Anwender können über ein lokales GUI zwar zwischen den verschiedenen Internetzugängen und eventuell mehreren VPN-Profilen auswählen – konfiguriert und administriert werden genucards jedoch über eine zentrale Management Station. So können die zuständigen Administratoren ihre Security Policy auch bei einer Vielzahl von mobilen Anwendern und Heimarbeitsplätzen konsequent durchsetzen. Diese Sicherheitslösung von genua hat auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) überzeugt: Es hat die genucard für die Übertragung von Verschlusssachen bis zur Stufe VS-NfD (Nur für den Dienstgebrauch) zugelassen. Somit können die angebundenen Anwender auch VS-NfD-Daten komfortabel via Internet abrufen und versenden. Hinweis Bitte beachten Sie, dass genucard abgelöst wurde durch unsere neuen VPN-Lösungen genuconnect und genusecure Suite . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor Geheimschutz VPN KRITIS Home Office Artikel teilen Weiterführende Links VPN Sicherheitslösungen Unsere VPN-Lösungen werden in Deutschland hergestellt und arbeiten mit den stärksten Verschlüsselungsalgorithmen. Zudem bieten wir VS-NfD-zugelassene Lösungen an. Mobiles Arbeiten Wir bieten hochsichere Remote Working Tools, die sich in allen Einsatzfeldern als individuelle, bedarfsgerechte Lösung kombinieren lassen. Zurück zur Übersicht

Case Study 11.09.2011 Teamarbeit in Clustern Bundesbehörden vernetzt – Informationsverbund Berlin-Bonn (IVBB) Alle obersten deutschen Bundesbehörden sind für den schnellen und sicheren Datenaustausch untereinander vernetzt – über den Informationsverbund Berlin-Bonn (IVBB). An den Übergängen von diesem internen Netz zum Internet gelten hohe Leistungs- und Sicherheitsanforderungen, die mit Firewall-Clustern von genua erfüllt werden. Das Kanzleramt in Berlin Als die deutsche Bundesregierung ihren Sitz nach Berlin verlegte, blieben viele Dienststellen der Ministerien in der vormaligen Hauptstadt Bonn zurück. Um den reibungslosen und schnellen Informationsaustausch zwischen beiden Standorten sicherzustellen, richtete die Bundesregierung ein exklusives Netzwerk ein: den Informationsverbund Berlin-Bonn (IVBB). An diese interne Datenautobahn sind alle Dienststellen der obersten Bundesbehörden angebunden – vom Präsidialamt über das Kanzleramt und alle Ministerien bis hin zum Rechnungshof. Hohe Anforderungen an die Firewalls Der IVBB ist zudem über zentrale Knotenpunkte an das Internet angeschlossen und bietet allen Behörden somit Zugang zum weltweiten Web. Für diese Übergänge vom internen Behördennetz zum öffentlichen Internet gelten hohe Sicherheits- und Leistungsanforderungen. Das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) stellte für die dort einzusetzenden Firewalls folgenden Forderungskatalog auf: hochwertige Zertifizierung der Sicherheitsleistung nach den internationalen Standards ITSEC oder Common Criteria (CC) garantierte Verfügbarkeit des Systems von 99,93 Prozent hoher Datendurchsatz zur schnellen Internet-Anbindung aller obersten Bundesbehörden Cluster-Fähigkeit zur flexiblen Anpassung an höhere Leistungsanforderungen Lediglich zwei Anbieter konnten die hohen Anforderungen abdecken und wurden zu Praxisvorführungen im Labor zugelassen. In dieser Endauswahl setzte sich der Firewall-Hersteller genua durch. Zwei Firewalls in einer Lösung Die Lösung des deutschen IT-Sicherheitsunternehmens: Die High Resistance Firewall genugate . Bei diesem Sicherheitssystem sind zwei unterschiedliche Firewalls – ein Application Level Gateway und ein Paketfilter – zu einer kompakten Lösung kombiniert. Die beiden Firewalls sind in Reihe geschaltet, sodass alle Datenpakete zwei unterschiedliche Prüfungen bestehen müssen, bevor sie die Schnittstelle Internet – IVBB passieren dürfen. Das Application Level Gateway prüft den Inhalt der empfangenen Daten und kann Spam, Viren und weiteren unerwünschten Content zuverlässig abblocken. Der Paketfilter kontrolliert anschließend anhand formaler Kriterien wie IP-Adresse und Protokolltyp, ob die angefragte Verbindung zulässig ist. Dass diese zweistufige Konstruktion eine starke Sicherheitsleistung garantiert, belegen hochwertige Zertifikate nach ITSEC E3/hoch für genugate in den Versionen 4.0 und 5.0 sowie nach CC EAL 4+ für 6.0. Da beim Sicherheitsmerkmal Selbstschutz noch höhere Anforderungen erfüllt werden, ist genugate zusätzlich als Highly Resistant eingestuft – als einzige Firewall der Welt. Teamarbeit in Clustern Die anspruchsvollen Anforderungen bei Verfügbarkeit und Datendurchsatz erfüllt genugate durch Teamarbeit: Alle Aufgaben sind auf mehrere Firewalls verteilt, die in Clustern zusammenarbeiten. Sollte ein System ausfallen, übernehmen die anderen Teammitglieder sofort dessen Aufgaben. Diese Cluster können beliebig erweitert und somit jederzeit an höhere Leistungsanforderungen angepasst werden. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor KRITIS Firewalls & Gateways Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 24.11.2017 Produktion in abgestufte Sicherheitszonen Sichere Fernwartung: Werkzeughersteller KOMET GROUP schützt vernetzte Produktion Die Hersteller von über 90 Maschinen wollten sich bei der KOMET GROUP mit unterschiedlichsten Fernwartungslösungen in das Produktionsnetzwerk einwählen. Dem Vorteil einer hohen Maschinenverfügbarkeit standen unwägbare Sicherheitsrisiken und ein immenser Verwaltungsaufwand entgegen. KOMET hat deshalb für alle Maschinenhersteller eine einheitliche, sichere und effiziente Fernwartungslösung eingeführt und dabei eine große Akzeptanz erreicht. Die KOMET GROUP ist weltweiter Technologieführer von Werkzeugen für hochpräzises Bohren, Reiben, Fräsen, Gewinden und Prozessüberwachung. Der Komplettanbieter von Präzisionswerkzeugen ist mit 50 internationalen Niederlassungen auf allen fünf Kontinenten, darunter 22 Tochtergesellschaften, 40 Service- und Vertriebscenter sowie 10 Produktionsstandorte, weltweit vertreten. „Durch die Fernwartung vonseiten der Hersteller konnten wiederholt ungeplante Maschinenstillstände vermieden werden. Das ist für uns von großem Vorteil. Durch die unterschiedlichen Maschinenhersteller wurden allerdings viele verschiedene Fernwartungstechnologien eingesetzt. Das ist in der Administration sehr aufwendig und auch das Sicherheitsniveau ist nicht immer ausreichend“, beschreibt Stephan Rupp die Ausgangssituation beim Thema Fernwartung. Er ist IT-Systemmanager bei der KOMET GROUP und war der Projektleiter für die Einführung einer einheitlichen Teleserviceplattform. Anforderungen an eine sichere Fernwartung Fertigungshalle der KOMET GROUP In den immer stärker vernetzten Produktionsumgebungen gehören Fernwartungszugriffe heute zum Alltag. Gleichzeitig steigen die Risiken durch immer komplexere Cyber-Angriffe, die komplette Produktionsnetzwerke lahmlegen können. „Wir hatten eine Checkliste mit Anforderungen an die Fernwartungslösung erstellt. Für externe Zugriffe auf unser Produktionsnetzwerk haben wir hohe Sicherheitsstandards definiert. Der Zugriff soll auf ein einzelnes Wartungsobjekt beschränkt werden und die Verbindung muss immer von innen nach außen aufgebaut werden. Dabei soll der Maschinenführer die Fernwartung ständig unter Kontrolle haben und die Verbindung jederzeit abbrechen können“, fasst der IT-Systemmanager die Anforderungen zusammen. Die Fernwartungslösung sollte der Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Cyber-Sicherheit entsprechen, wonach jeder externe Zugriff über eine verschlüsselte Verbindung erfolgen und im Detail dokumentierbar sein muss. Das Handling der Fernwartung sollte darüber hinaus möglichst einfach und ein deutschsprachiger Support des Herstellers an mindestens acht Stunden an fünf Tagen in der Woche erreichbar sein. Das Management der Lösung sollte über eine Web-Konsole oder einen Web-Client administrierbar sein und auf dem Support-PC dafür keine gesonderte Anwendung installiert werden müssen. „Wir hatten Kontakt zu einigen Anbietern und mussten feststellen, dass etliche Konzepte und Lösungsansätze nicht stimmig und schlüssig waren und der Verbindungsaufbau zu umständlich. Gespräche mit Referenzkunden ergaben, dass die Lösungen im Handling oft viel zu kompliziert waren. Wir haben schließlich drei Lösungen in die engere Wahl genommen, wobei uns das Konzept von genua mit einer Rendezvous-Lösung am meisten überzeugt hat“, berichtet Stephan Rupp. Fernwartung ohne einseitige Zugriffe von außen Die genua GmbH ist ein IT-Sicherheitsspezialist für die Absicherung sensibler Schnittstellen im Behörden- und Industriebereich bis hin zur Vernetzung hochkritischer Infrastrukturen. Alle Produkte werden in Deutschland entwickelt und produziert. Bei der Fernwartungslösung werden keine einseitigen Zugriffe in die Netze des Maschinenbetreibers zugelassen. Alle Service- und Wartungsverbindungen laufen über einen sogenannten Rendezvous Server, der in einer Demilitarisierten Zone (DMZ) des Maschinenbetreibers installiert ist. Zu einem verabredeten Zeitpunkt bauen sowohl der externe Wartungs-Service als auch der Maschinenbetreiber Verbindungen auf. Erst mit dem Rendezvous auf dem Server entsteht die durchgängige Wartungsverbindung. Durch die Rendezvous-Lösung behält der Betreiber die vollständige Kontrolle über Wartungszugriffe auf Anlagen in seinem Netz. Für die Umsetzung der Lösung von genua muss auf dem Support-PC keine gesonderte Software installiert werden. Die Lösung ist konform zur BSI-Veröffentlichung zur sicheren Fernwartung . Laut BSI sollte der Fernwartungszugriff möglichst nicht pauschal pro (Sub-)Netz erfolgen, sondern vielmehr feingranular pro IP und Port geregelt werden können. "Dies minimiert die ‚Reichweite‘ von Fernwartungszugängen und beschränkt somit auch die Folgen einer Kompromittierung. Ein möglicher Ansatz ist beispielsweise der Aufbau von 1:1-Verbindungen mittels SSH statt der Kopplung ganzer Netze durch IPsec", so das BSI. Die Fernwartungslösung von genua erlaubt einem Dienstleister einen Zugang nur zu dem von ihm betreuten Wartungsobjekt. Risiken für das Produktionsnetz werden damit deutlich reduziert. Netzwerksegmente in der Produktion für zusätzliche Sicherheit Die Rendezvous-Lösung schützt vernetzte Poduktionsanlagen vor Cyberangriffen Als zusätzliche Absicherung der installierten Anlagen hat KOMET die Produktion in abgestufte Sicherheitszonen segmentiert. „Es gibt noch Maschinen mit einem ungepatchtem Uralt-Betriebssystem, wo auch kein Virenschutz installiert werden darf. Hier greift deshalb ein sehr restriktives Sicherheitsregelwerk“, erläutert Sven Heinze vom IT Service Support der KOMET GROUP. Andere Anlagen sind dagegen besser geschützt und werden vom Hersteller laufend aktuell gehalten. Für die unterschiedlichen Sicherheitsanforderungen wurden von KOMET angepasste Netzwerksegmente mit eigenen Sicherheitsstufen und differenzierten Firewall-Regeln eingerichtet und durch VLANs umgesetzt. Die einzelnen Anlagen sind dadurch konsequent voneinander abgeschottet und vor außerplanmäßiger Einwirkung geschützt. Roll-out der sicheren Fernwartungslösung über alle Produktionsstandorte Im Projekt zur Einführung einer einheitlichen Fernwartungslösung wurden neben der IT und der Instandhaltung auch die Anforderungen der Meister und Schichtführer aus der Produktion einbezogen. Daraus entstand ein Lastenheft für die Beschaffung von Maschinen mit Vorgaben für die Lieferanten, was bei einem Remote-Zugang beachtet werden muss. In Schulungen und Workshops wurde schließlich der Umgang mit dem Fernwartungssystem trainiert. „Nach einer anfänglichen Skepsis lautete der Kommentar der Maschinenbediener dann meistens: ‚Das ist aber einfach.‘ Auch die Resonanz der Hersteller war überwiegend positiv“, fasst Sven Heinze vom IT Service Support die Reaktionen zusammen. Für die Akzeptanz der Hersteller sind nach den Erfahrungen von KOMET vor allem die einfache Bedienung, das Sicherheitsniveau und der geringe Konfigurationsaufwand entscheidend. „Nach den guten Erfahrungen mit der Lösung hat ein Hersteller das Konzept auch für seine eigenen Maschinen übernommen“, so Sven Heinze. Ein wichtiges Element des einheitlichen Fernwartungskonzepts war die Möglichkeit zur identischen Nutzung durch alle weiteren Produktionsstandorte der KOMET GROUP. Die Verteilung sollte von der deutschen Zentrale aus erfolgen, ohne aufwendige Vor-Ort-Anpassungen. Dies wurde durch einen automatisierten Installationsprozess realisiert. „Nachdem die standardisierten Fernwartungskomponenten im Standort aufgestellt waren, haben wir die Konfigurationsdatei erstellt und per sicherer VPN-Übertragung an den örtlichen IT-Mitarbeiter geschickt. Er hat die Datei auf einen USB-Stick übertragen und damit einen automatisierten Installationsprozess eingeleitet. Der Vorteil ist, dass der Mitarbeiter vor Ort keine Detailkenntnis über den Konfigurationsprozess benötigt“, so der IT-Systemmanager. Nach erfolgreicher Installation wird bei der ersten Wartungsverbindung über das zentrale Management automatisch überprüft, ob die Software und die Maschinendaten noch aktuell sind. „Durch das zentrale Management sind Aktualisierungen und die Integration weiterer Maschinen sehr gut administrierbar. Wir nutzen das Berechtigungs- und Autorisierungskonzept, um den internen Maschinenführern und Meistern sowie den externen Servicekräften nur Zugriff auf die Anlagen in ihrem Zuständigkeitsbereich zu geben. Das erleichtert das Handling und erhöht nochmals die Sicherheit“, ergänzt der IT-Systemmanager. Die Berechtigungen können nach Standorten, Abteilungen und Aufgaben differenziert vergeben werden. Lediglich die zentrale IT und Instandhaltung haben Zugriff auf alle Maschinen. Hohe Sicherheit und Verfügbarkeit in der Produktion Zentrales Sicherheitskriterium: Der Anlagenbetreiber behält jederzeit die Kontrolle über den Wartungsvorgang Besteht der Bedarf für einen Wartungszugriff, startet der Maschinenbediener oder Schichtmeister auf einem Terminal an der Anlage die Fernwartungsapplikation mit einem Startknopf. Sobald auch der Service-Mitarbeiter des Herstellers die Applikation gestartet hat, erscheint die Meldung „Verbindung aufgebaut“. Für den Zugriff auf ihre Maschine können die Hersteller spezifische Viewer oder bspw. eine S7-Steuerung einsetzen. Zur Dokumentation hat der Maschinenführer die Option, bei Bedarf einen Videostream zu starten und eine Aufzeichnung des Wartungszugriffs zu erstellen. Der externe Servicemitarbeiter erhält dann den Hinweis „Achtung Fernwartung wird aufgezeichnet“. „Neben der Protokollierung des Zugriffs in einer normalen Log-Datei kann die Videoaufzeichnung aus Sicherheits- und Haftungsgründen manchmal sinnvoll sein“, so Sven Heinze. Das neue Fernwartungskonzept ist bei KOMET inzwischen seit zwei Jahren im Einsatz. Für Stephan Rupp hat sich das Konzept aus Rendezvous Server, VLANs und Berechtigungs- sowie Autorisierungskonzept gut bewährt: „Durch die sichere Fernwartung konnten die Verfügbarkeit der Maschinen verbessert und der Support-Aufwand in der IT reduziert werden. Zudem ist die Produktion jetzt deutlich besser abgesichert und eine Network Access Control Appliance regelt den Netzwerkverkehr. Wird der Standort einer Maschine verändert, zieht das VLAN mit um. Will ein bisher unbekanntes Device darauf zugreifen, wird es automatisch in ein Quarantäne-VLAN verschoben und kann ggf. eingeschränkte Gastrechte zugeteilt bekommen.“ Auch die Erwartungen von KOMET an den Support wurden erfüllt, bestätigt der IT-Service-Support-Mitarbeiter: „Die Lösung wird kontinuierlich weiterentwickelt und genua ist dabei offen für unsere Anregungen. Wenn wir Unterstützungsbedarf haben, erwarten wir eine schnelle Hilfe durch Produktspezialisten. Das klappt aus unserer Sicht wirklich gut.“ Geplante Erweiterungen des Service-Angebots KOMET nutzt die Erfahrungen mit der Fernwartungslösung auch für die Erweiterung des eigenen Service-Angebots. So verwendet das Unternehmen die Fernwartungslösung für das Angebot einer Prozessüberwachung der eigenen Präzisionswerkzeuge. Darüber lässt sich bspw. der Werkzeugverschleiß kontrollieren, ein Werkzeugbruch oder fehlendes Werkzeug feststellen. Neben der Zustandsüberwachung ermöglicht dies auch Fertigungsoptimierungen, die Überwachung des Schwingungsverhaltens oder ein Energie-Monitoring. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Fernwartung Artikel teilen Weiterführende Links Remote Maintenance Wir unterstützen Unternehmen beim Aufbau sicherer Fernwartungszugriffe – an allen hierbei relevanten Stationen der Wertschöpfungskette. Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Case Study 10.04.2020 Hoher Datendurchsatz trotz hoher Sicherheitsleistung Stuttgarter Lebensversicherung: Wie eine zweistufige Firewall die Versichertendaten schützt Ein unzureichender Schutz von Kunden- und Versichertendaten kann für Finanzdienstleister und Versicherungen schnell existenzbedrohend werden. Deshalb haben IT-Security-Konzepte einen besonders hohen Stellenwert. Bei der Stuttgarter Lebensversicherung a.G. wird die interne Datenverarbeitung gegen externe Verbindungen strikt abgeschottet. Zweistufige Firewalls übernehmen dabei die Hauptaufgabe. Die Stuttgarter Lebensversicherung a.G. bietet mit über 100 Jahren Tradition Lösungen für die private Altersvorsorge, Risikoabsicherung und betriebliche Altersvorsorge an. Sie legt besonderen Wert auf finanzielle Solidität, innovative Produkte und konsequente Nähe zum Kunden. Der Schutz der sensiblen Versichertendaten hat hier einen besonders hohen Stellenwert. Zweistufige Firewalls fungieren als zentrale Torwächter Unternehmenssitz „Die Stuttgarter“ (Foto: Stuttgarter Lebensversicherung a.G.) Bei der Stuttgarter wird die interne Datenverarbeitung von externen Verbindungen strikt getrennt. Externe Zugriffe und Verbindungen nach außen werden nur für ausgewählte Transaktionen zugelassen. Zusätzlich sind die Netzsegmente in unterschiedliche Sicherheitszonen aufgeteilt. Als zentrale Torwächter fungieren zweistufige Firewalls. Sie sind die zentrale Schutzkomponente. Auch Viren-Scans erfolgen zentral an den Firewalls. „In der Standardeinstellung der Firewall lassen wir nach außen keine Verbindungen zu. Notwendige Dienste aus dem Internet werden stark gefiltert. Verbinden dürfen sich nur Anwendungen, die als zwingend notwendig definiert sind, wie ein- und ausgehende E-Mails. Hier wirkt das Graylisting von genugate als effektiver Spamfilter. Selbst wenn sich ein Mitarbeiter auf verschlungenen Wegen eine Malware-Infektion eingefangen haben sollte, wird die Schadsoftware daran gehindert, eine Verbindung zu einem externen Control Server aufzubauen“, erläutert Siggi Langauf, Head of System Administration bei der Stuttgarter, die Philosophie des Sicherheitskonzepts. Bei der Firewall als der zentralen Sicherheitskomponente hat sich die Stuttgarter bereits 2003 für genugate von genua entschieden. Der deutsche IT-Sicherheitshersteller genua mit Sitz in Kirchheim bei München ist seit 2015 ein Tochterunternehmen der Bundesdruckerei. Bei genugate sind zwei Firewall-Systeme zu einer abgestimmten Lösung kombiniert: ein Application Level Gateway (ALG), das den Inhalt der Daten prüft, sowie ein Paketfilter (PFL), der formale Kriterien kontrolliert. Die Systeme sind in Reihe geschaltet, sodass Daten beide Stufen durchlaufen müssen. Die Firewall als zentrale Sicherheitskomponente Langauf hebt als das Besondere an genugate hervor, dass die Regeln dieser klassisch administrierten Firewall nicht durch statistische Methoden oder undurchschaubare Regeln einer künstlichen Intelligenz bestimmt werden: „Für uns ist es entscheidend, dass alle Einstellungen der Firewall transparent sind und dass das Verhalten der Firewall vorhersagbar ist.“ Im Rahmen des Informationssicherheits-Managementsystems (ISMS) werden die Regularien regelmäßig überprüft. Jede Firewall-Regel muss dokumentiert sein und einen Ansprechpartner haben, berichtet der Leiter der Systemadministration. Als wichtiges Kriterium für eine Firewall nennt er die regelmäßige Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI überprüft von unabhängiger Seite die zuverlässige Sicherheitsleistung sowie den starken Selbstschutz gegen direkte Angriffe. Hier erfüllt genugate die Anforderungen des Sicherheits-Levels EAL7 – als einzige Firewall der Welt. Auch bei Sicherheitsvorfällen wie dem OpenSSL-Bug „Heartbleed“ oder „Poodle“ war genugate nicht angreifbar. „Die Firewall hat sich als sehr sicher bewährt. Sie wird ständig auf den neuesten Stand gebracht und es gibt trotz vieler Angriffsversuche keine Schwachstellen. Sie hat uns kein einziges Mal im Stich gelassen“, bestätigt der Leiter der Systemadministration das hohe Sicherheitsniveau. „Die Firewall genugate wird ständig auf den neuesten Stand gebracht und es gibt trotz vieler Angriffsversuche keine Schwachstellen. Sie hat uns kein einziges Mal im Stich gelassen“, bestätigt Siggi Langauf, Head of System Administration bei der Stuttgarter Lebensversicherung a.G. Versicherung stellt hohe Anforderungen an den Hersteller Für die Stuttgarter ist es sehr wichtig, dass vom Datenverkehr nicht nur Stichproben kontrolliert werden, sondern eine 100%-Erfassung erfolgt und dabei auch die neuesten Protokolle erkannt werden. Eine Komplettprüfung aller Verbindungen und Dateien erfordert allerdings eine hohe Leistung. genugate kann je nach Anzahl der Nutzer, dem Traffic-Umfang und den Anforderungen des Sicherheitskonzepts flexibel skaliert werden. So stellen mehrere Firewalls im Verbund beim Ausfall einer Komponente die Hochverfügbarkeit (High Availability) sicher und ermöglichen auch bei einem hohen Traffic-Aufkommen eine ausreichende Performance. „Trotz der hohen Sicherheitsleistung erreicht die Firewall einen hohen Datendurchsatz. Nur beim Download sehr großer Dateien wird es etwas langsamer. Das nehmen wir für den Sicherheitsgewinn bewusst in Kauf“, wägt Siggi Langauf ab. Die Stuttgarter stellt an die Hersteller ihrer Sicherheitskomponenten hohe Anforderungen. Ein deutscher Hersteller gilt aus Sicherheitssicht als vorteilhaft. Außerdem wird eine hohe Kompetenz für den gesamten Netzwerkbereich als Voraussetzung gesehen. Weil sich das gesamte Umfeld sehr schnell verändert, ständig neue Protokolle eingesetzt werden und laufend unbekannte Verbindungsprobleme auftauchen, benötigen Administratoren zuverlässige Unterstützung. Hier ist ein schneller und fachlich kompetenter Support wichtig. Nach den Erfahrungen bei der Stuttgarter sind bei vielen Problemen zunächst nur die Symptome erkennbar. Die Ursachenanalyse erfordere oft sehr großes Fach-Know-how. „Wir hatten bspw. in der Vergangenheit viele falsch konfigurierte Web Server, wo die SSL-Zertifikate nicht korrekt hinterlegt waren. Die Webseiten wurden von der Firewall standardmäßig abgewiesen. Von genua haben wir einen Workaround erhalten, der eine Verbindung ermöglichte und trotzdem sicher war“, nennt der Leiter der Systemadministration ein Beispiel. Die Zusammenarbeit sei partnerschaftlich. Man werde auch als mittelständisches Unternehmen vom Support ernst genommen. Zweistufige Firewall mit Application Level Gateway und Paketfilter genugate lässt keine durchgehende Verbindung zwischen Internet und lokalem Netz zu. Hier ist ein wesentlicher Unterschied zu herkömmlichen Firewalls. Ein Application Level Gateway (ALG) fungiert als Zwischenfilter (Proxy) und stoppt zunächst alle ankommenden Datenpakete. Sie werden wie bei einem Puzzle zunächst zu kompletten Datensätzen zusammengesetzt, inhaltlich geprüft und gefährliche Daten wie aktiver Content, Viren oder auch Spam erkannt und abgeblockt. Als zulässig erkannte Daten werden vom ALG über eine neue Verbindung weitergeleitet. Als zweite Stufe nach dem ALG kontrolliert ein Stateful Packet Filter die Datenpakete anhand der Header-Informationen wie IP-Adresse, Protokolltyp und Port-Nummer und blockiert z. B. anhand von Blacklists Netzwerkadressen oder lässt andere anhand von Whitelists passieren. Das ALG und der Paketfilter laufen aus Sicherheitsgründen auf physisch getrennten Rechnern. Die zwei Firewall-Systeme und ihre unterschiedlichen Schutzmechanismen ergänzen sich und sichern sich gleichzeitig gegenseitig ab. Im Gegensatz zu genugate können herkömmliche Firewalls ohne ALG Schadprogramme, die zunächst als harmlos erscheinende kleine Datenpakete ankommen, oft nicht erkennen. Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik genugate: seit 20 Jahren regelmäßig vom BSI geprüft und zertifiziert Die Firewall genugate wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) nach dem internationalen Standard Common Criteria (CC) in der anspruchsvollen Sicherheitsstufe EAL 4+ geprüft und zertifiziert. Im Level EAL 4 wird auch der komplette Quellcode daraufhin überprüft, ob alle Sicherheitsfunktionen des Systems korrekt umgesetzt sind. Beim Schutz gegen gezielte Angriffe auf die Firewall selbst erfüllt genugate deutlich höhere Anforderungen. Alle potenziellen Angriffspunkte wie z. B. Schnittstellen sind bei der Firewall mit zwei unterschiedlichen Sicherheitsmechanismen doppelt geschützt. Dadurch bietet das System gegen direkte und intelligent ausgeführte Attacken einen höheren Widerstand und erfüllt die Anforderungen von Level EAL 7 – als einzige Firewall der Welt. Dies ist ein wichtiger Punkt: Eine Firewall kann nur hochwertigen Schutz für das anvertraute Netzwerk bieten, wenn sie selbst gegen Angriffe zuverlässig gesichert ist. Über „Die Stuttgarter“ Die Stuttgarter Lebensversicherung a.G. als Muttergesellschaft der Stuttgarter Versicherungsgruppe ist mit über 100 Jahren Tradition als Versicherungsverein auf Gegenseitigkeit (VVaG) allein den Interessen ihrer Versicherten verpflichtet. Der Schwerpunkt der Stuttgarter liegt auf modernen Vorsorgelösungen in der Lebens- und Unfallversicherung. Relevante Kennzahlen bestätigen seit vielen Jahren die Verlässlichkeit, Solidität und Finanzstärke des Unternehmens. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Gesundheitswesen Firewalls & Gateways Artikel teilen Weiterführende Links Firewalls & Gateways Eine möglichst undurchdringliche Abwehr vor äußeren Angriffen ist die Basis der IT-Sicherheit. Unsere Firewalls sorgen für die Netzwerksicherheit und schirmen Daten ab. High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 10.02.2020 Verpackungsmaschinen Hersteller Gerhard Schubert setzt auf hochsichere Vernetzung Sollen Maschinen für Datenanalysen in der Cloud oder Fernwartungs-Service vernetzt werden, sind die Sicherheitsbedenken groß. Zu Recht, sagt der Verpackungsmaschinenhersteller Gerhard Schubert. Deshalb setzt der Hersteller bei der Vernetzung von Maschinen auf eine Sicherheitstechnik, die höchste Schutzanforderungen erfüllt und auch in sensiblen staatlichen Bereichen eingesetzt wird. GUI Online Service: Der Maschinenbauer Gerhard Schubert weitet den Online Service aus, um u. a. die Performance der Maschinen zu optimieren. Ralf Schubert, Geschäftsführer des Verpackungsmaschinenherstellers Gerhard Schubert GmbH , berichtet, dass Verpackungsmaschinen immer flexibler werden, denn die Verpackungen müssen schneller und leichter veränderbar sein. Deshalb wurde die Programmierung der Schubert-Maschinen vereinfacht und vieles automatisiert. Außerdem steigen die Erwartungen der Betreiber an die Effizienz in der Produktion: „Wir haben in unserer Steuerung die Berechnung der Gesamtanlageneffektivität mit OEE-Kennzahlen (Overall Equipment Effectiveness) integriert. Dabei zeigt sich, dass viele Anlagen nicht optimal eingesetzt werden. Hier sehen wir Service-Potenzial.“ Der Geschäftsführer sieht einen Unterstützungsbedarf für seine Kunden beim Betrieb der Maschinen. Deshalb hat der Hersteller das Prozess-Management seiner Anlagensteuerung „Grips“ ausgebaut und mit der „Grips.world“ ein eigenes Kundenportal in der Cloud entwickelt. Als nächsten Schritt will der Maschinenbauer den Cloud Service ausweiten, um u. a. die Performance der Maschinen zu optimieren. Für einen solchen Service ist eine laufende Zustandsüberwachung in Echtzeit notwendig und es müssen viele Daten über die laufenden Prozesse ausgewertet werden. Dazu wird innerhalb der Grips.world ein digitaler Zwilling der Maschine als virtuelles Abbild eingerichtet. Ralf Schubert benennt mit Predictive Maintenance ein weiteres Service-Thema, das für die Kunden sehr wichtig ist. Der Maschinenbauer hat bereits 18 typische Use Cases für den Verschleiß von Maschinenkomponenten definiert. Um zu erkennen, wann besonders beanspruchte Teile ausfallen, müssen allerdings viele Daten über einen längeren Zeitraum ausgewertet werden. „Diese Daten kann uns die Maschine laufend übermitteln. Das akzeptieren unsere Kunden aber nur, wenn sie der Sicherheit vertrauen können“, so der Geschäftsführer. Höhere Sicherheitsanforderungen an die industrielle Fernwartung Die Betreiber von Maschinen und Anlagen sind bei Störungen darauf angewiesen, dass die Hersteller sofort reagieren. Das ist ohne eine Fernwartungslösung heute nicht mehr sinnvoll und effizient realisierbar. Zudem sind weitere Service-Leistungen wie Predictive Maintenance ohne eine Online-Verbindung nicht möglich. Dreh- und Angelpunkt ist dabei die Sicherheit dieser Verbindungen. „Cyber-Angriffe auf die Fertigung können sehr schnell sehr teuer werden“, weiß Ralf Schubert und nennt die Attacken des Schadprogramms WannaCry auf Windows-Betriebssysteme im Mai 2017 als Beispiel. „Die Maschinenhersteller waren sich sicher, dass ihre Anlagen gut geschützt sind. Wenn Linien dann nach einem solchen Angriff trotzdem stillstehen, kann das für ein Unternehmen schnell existenzbedrohend werden. Das darf nicht passieren.“ Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hebt in seiner Analyse der „Fernwartung im industriellen Umfeld“ hervor, dass sich die „Produkteigenschaften einzelner Lösungen teilweise signifikant unterscheiden“. Das BSI hat deshalb generische Anforderungen für industrielle Fernwartung gemäß dem Stand der Technik formuliert. Die Vorgaben betreffen die Architektur, die sichere Kommunikation, die Authentisierungsmechanismen und weitere organisatorische Anforderungen. Der Verpackungsmaschinenhersteller Schubert hat diese Sicherheitsanforderungen als Voraussetzung für die Vernetzung der eigenen Maschinen definiert und auf ein neues Sicherheitskonzept gesetzt. Verpackungsmaschine Riverside von Gerhard Schubert: Wenn in der Produktion Störungen auftreten, ist eine sofortige Hilfe per Fernwartung heute Standard. Dreh- und Angelpunkt ist die Sicherheit dieser Verbindung. Sicherheit ist eine Frage des Vertrauens. genua ist ein Unternehmen der Bundesdruckerei-Gruppe und liefert auch die Sicherheitstechnik für Banken, Versicherungen und besonders sensible staatliche Sicherheitsbereiche. Wir haben mit genua bereits gute Erfahrungen gemacht mit den Security-Lösungen für unsere IT. , Ralf Schubert, Geschäftsführer, Gerhard Schubert GmbH „Wir waren mit den verfügbaren Sicherheitslösungen nicht zufrieden und haben deshalb einen vertrauenswürdigen Security-Spezialisten als Partner gesucht.“ So entstand das Cloud Edge Gateway „Genua-Schubert-Gate“ (GS.Gate). Es ist eine gemeinsame Entwicklung des IT-Sicherheitsexperten genua GmbH und von Schubert System Elektronik, einem Tochterunternehmen der Schubert-Gruppe, das sich auf die industrielle Computertechnik spezialisiert hat. Die genua GmbH ist ein deutscher Spezialist für IT-Sicherheit. genua sorgt für die Absicherung sensibler Schnittstellen im Industrie- und Behördenbereich bis hin zur Vernetzung hochkritischer Infrastrukturen. Alle Produkte werden in Deutschland entwickelt und produziert und die wichtigsten regelmäßig durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifiziert und zugelassen. Security by Design für neu entwickeltes Cloud Edge Gateway Security by Design: Die Sicherheitsarchitektur des GS.Gate im Überblick Das Besondere an GS.Gate ist das Security by Design , denn es bietet in einer industrietauglichen Hardware zwei getrennte Bereiche: einen Edge Computer und ein Sicherheits-Gateway. Der Edge Computer wird vom Sicherheits-Gateway strikt abgeschottet. Auf der untersten Ebene von GS.Gate läuft ein Microkernel-Betriebssystem, das die getrennten Bereiche erzeugt. Die separierten Bereiche verfügen über jeweils eigene Betriebssysteme sowie fest zugewiesene Hardware-Ressourcen. Im Edge Computer können Maschinenhersteller oder -betreiber mittels der Container-Technologie Docker ihre individuelle Anwendung installieren. Die Anwendung ruft über gängige Schnittstellen wie LAN, IO-Link, Gbit-Ethernet oder Industrial Ethernet Zustands- und Leistungsdaten von der Maschine ab und führt eine Vorverarbeitung der Daten durch. Dabei werden aus der gesamten Datenmenge die Informationen herausgefiltert, die für die Data-Analytics-Auswertungen gebraucht werden. Nur diese Daten müssen zur Auswertung bspw. in die Cloud übertragen werden. Für die ausreichende Rechenleistung sorgt ein Intel-Xeon-E5-Prozessor. Im Sicherheits-Gateway befinden sich eine Firewall sowie die Remote-Access-Komponente für sichere Fernwartungszugriffe. Über die Firewall werden die gewonnenen Informationen sicher verschlüsselt zu den eigenen Servern oder zur Cloud weitergeleitet. Dabei schützt die Firewall den Edge Computer und die damit vernetzte Maschine vor Cyber-Attacken. Nach außen in Richtung Netzwerk ist nur das speziell gehärtete Sicherheits-Gateway sichtbar. Die Sicherheitskomponenten werden durch regelmäßige Updates auf dem neuesten Stand gehalten und sind somit gegen aktuelle Bedrohungen gewappnet. Hinter diesem Schutzschirm kann der Anwendungsbereich des Edge Computers ohne ständige Eingriffe durch Updates und Patches betrieben werden. Einmal eingerichtete und funktionierende Prozesse müssen nicht angefasst und geändert werden. Die Fernwartungsfunktionen wurden ebenfalls über das Sicherheits-Gateway realisiert. Dabei ist eine Einwahl von außen nicht möglich. Der Maschinenbediener muss die Verbindung zunächst über einen Hardware-Schalter freischalten. Eine Status-LED zeigt an, ob der Fernwartungsmodus aktiviert ist. Cloud Edge Gateway hat sich als industrietauglich bewährt GS.Gate hat sich im Industriealltag bewährt. Künftig werden alle Schubert-Maschinen mit dem Cloud Edge Gateway ausgestattet. Der Verpackungsmaschinenhersteller Gerhard Schubert ist der erste Anwender des Cloud Edge Gateway. Zunächst wurden drei Testmaschinen mit GS.Gate ausgerüstet. Das Gateway wurde jeweils per Hutschiene im Schaltschrank montiert. Übertragen wurden je nach Erfordernis in Zeitabständen zwischen 20 Millisekunden und einer Minute bis zu 30 Datensätze zum Zustand der Maschine sowie weitere Informationen wie Fehlermeldungen oder die Seriennummern von Komponenten. „GS.Gate hat sich im Industriealltag bewährt. Jetzt setzen wir die laufende Zustandsüberwachung in Echtzeit um und das auf einem neuen Sicherheitsniveau“, fasst Ralf Schubert die Erfahrungen zusammen. Künftig werden alle Schubert-Maschinen mit dem Cloud Edge Gateway ausgestattet. Das Gateway lässt sich herstellerunabhängig an Maschinen anbinden und wird von Schubert System Elektronik und genua für andere Maschinenbauer und -betreiber aktiv vermarktet. Über die Gerhard Schubert GmbH Die Gerhard Schubert GmbH entwickelt modulare Verpackungsmaschinen und bietet Service-Leistungen für verschiedenste Branchen – von Pharma und Kosmetik über Getränke, Nahrungsmittel und Süßwaren bis hin zu technischen Artikeln. Das Familienunternehmen aus Crailsheim in Baden-Württemberg setzt bei seinen digitalen, roboterbasierten Verpackungsmaschinen auf ein Zusammenspiel von einfacher Mechanik, intelligenter Steuerungstechnik und skalierbarer Modularität. Der Maschinenbauer hat sich über den Sicherheitsstandard ISO 27001 zertifizieren lassen, um die eigenen Sicherheitsstandards zu verbessern und die Awareness der Mitarbeiter zu erhöhen. Hinweis Bitte beachten Sie, dass das Cloud Edge Gateway GS.Gate nicht mehr verfügbar ist. Erfahren Sie mehr über unsere IT-Sicherheitslösungen im Bereich Firewalls & Gateways Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Predictive Maintenance Cloud Security Artikel teilen Weiterführende Links Firewalls & Gateways Eine möglichst undurchdringliche Abwehr vor äußeren Angriffen ist die Basis der IT-Sicherheit. Unsere Firewalls sorgen für die Netzwerksicherheit und schirmen Daten ab. Zurück zur Übersicht

Case Study 27.10.2020 Echtzeitüberwachung des Netzverkehrs datenhain: Interner Netzwerkverkehr sicher im Blick Bisherige einfache IT-Security-Lösungen haben oft Schwächen und Cyber-Attacken bleiben über längere Zeit unentdeckt. Deshalb sind IDS-/IPS-Systeme für eine Überwachung des Netzwerkverkehrs sinnvoll, aber auch komplex und aufwendig in der Administration. Der Berliner IT-Dienstleister datenhain GmbH verfolgt einen anderen Weg: Mit dem praktikablen cognitix Threat Defender von genua wird der Datenverkehr in Echtzeit überwacht, um Gefahren innerhalb von Netzen zu erkennen und abzuwehren und somit hinter den Perimeter-Firewalls für zusätzliche IT-Sicherheit zu sorgen. Bisherige Sicherheitskonzepte legen den Hauptfokus darauf, Angreifer aus dem eigenen Netz fernzuhalten. Dem internen Netz wird dagegen vertraut und der Netzwerkverkehr wird nur selten überwacht und analysiert. André Hermbusch , Geschäftsführer, datenhain GmbH datenhain GmbH: IT-Sicherheitsdienstleistungen für Unternehmen Das Unternehmen berät und unterstützt seit über zehn Jahren kleine und mittelständische Unternehmen zu den Themen IT-Infrastruktur und IT-Sicherheit. Das Problem: Immer ausgefeiltere und gut verschleierte Angriffsmethoden verwenden häufig Standardprotokolle, sind oft verschlüsselt und werden von signaturbasierten Systemen mit statischen Regeln nicht erkannt. So kann sich die Malware im internen Netz ausbreiten. Das ist besonders für kritische Infrastrukturen, entwicklungsintensive Unternehmen und andere hochsensible Bereiche ein aktuelles Thema. „Viele unserer Kunden müssen Compliance-Vorschriften mit erhöhten IT-Security-Anforderungen erfüllen. Wir haben deshalb nach einer praktikablen und leicht integrierbaren Lösung gesucht, um auch den internen Netzwerkverkehr genau im Blick zu behalten“, so André Hermbusch. Netzverkehr in Echtzeit überwachen und Angriffe automatisch abwehren Echtzeit-Reporting liefert Meldungen über mögliche Bedrohungen im Netzwerk. Der IT-Dienstleister hatte nach einer State-of-the-Art-Lösung zur Netzwerkanalyse gesucht. Dabei werden nach den Erfahrungen von datenhain normale Netzwerk-Sniffer den immer komplexeren Kommunikationsbeziehungen und dem stark wachsenden Netzwerkverkehr nicht mehr gerecht. Die Lösung sollte vor allem die Kommunikation der Endgeräte ins Internet, zu internen Servern und der Geräte untereinander überwachen. „Wir brauchen eine maschinelle Logik, die den Netzwerkverkehr analysiert, in Echtzeit auf Gefährdungen hinweist und automatisiert Regeln zur Abwehr von Angriffen umsetzt. Der Kunde wünscht sich oft grafisch aufbereitete Übersichten, um interessante Stellen schnell heranzoomen zu können“, beschreibt der Geschäftsführer seine Anforderungen. Intrusion-Detection-Systeme (IDS) und Intrusion-Prevention-Systeme (IPS) können zwar Anomalien im Netzwerkverkehr erkennen und Angriffe automatisiert verhindern, vielen Unternehmen fehlt es aber an den Ressourcen und an der Zeit, sich intensiv mit solchen Tools auseinanderzusetzen. cognitix Threat Defender nutzt Data Analytics und Threat Intelligence Erkennung der Verhaltensmuster von Netzwerkgeräten Der IT-Dienstleister wurde durch einen Test bei heise.de auf cognitix Threat Defender von genua aufmerksam. Die Software-Lösung verbindet den IDS-Ansatz mit Prevention-Funktionen. Mit Data Analytics und Threat Intelligence erkennt cognitix Threat Defender Angriffe in Echtzeit und bietet darüber hinaus eine Plattform für den Einsatz von AI-Technologien . „Wir haben cognitix Threat Defender getestet und waren überrascht, wie schnell wir eine erste Echtzeitübersicht über den Netzwerkverkehr erhalten. Nach der Basisinstallation der Software steht bereits ein Standardregelwerk zur Verfügung, das einen Überblick über das Netzwerk und die installierten Geräte gibt“, beschreibt André Hermbusch den ersten Eindruck. Als eine der typischen Anwendungen nutzt datenhain cognitix Threat Defender, um in normalen Büronetzen die horizontale Ausbreitung von Malware wie z. B. Verschlüsselungs-Trojanern zu erkennen. In Fabrikhallen mit technischen Geräten unterschiedlichster Hersteller wird überwacht, ob Geräte untereinander Kontakt aufnehmen, falls dies nicht dem Normalverhalten entspricht. Außerdem wird der Netzwerkverkehr in Klassen eingeteilt, um unerwünschte Protokolle zu unterbinden oder unerwünschten Verkehr z. B. zu YouTube oder Facebook zu erkennen. cognitix Threat Defender erkennt die Verhaltensmuster der Netzwerkgeräte und ordnet sie definierten Regeln zu. Dabei werden bisher getrennte Funktionen wie Netzwerkanalyse, Intrusion Prevention, Asset Tracking und eine dynamische Policy Engine in einem System zusammengeführt. Security Defined Networking garantiert hohes Schutzniveau cognitix Threat Defender richtet ein selbstüberwachendes sicheres Netzwerk ( Security Defined Networking ) ein, das die Verhaltensmuster der Netzwerkgeräte erkennt und definierten Regeln zuordnet. Dabei werden bisher getrennte Funktionen wie Netzwerkanalyse, Intrusion Prevention, Asset Tracking und eine dynamische Policy Engine in einem System zusammengeführt. cognitix Threat Defender analysiert den Netzverkehr nach IP- und MAC-Adressen, Ports, Protokollen und Anwendungen der OSI-Schichten 2 bis 7. Dabei wird der Traffic auf problematische Adressen, Domains oder Dateisignaturen überprüft, die erkannt und blockiert werden sollten. Zusätzlich werden eine Asset-Datenbank aller Geräte im Netzwerk angelegt und die Kommunikationsbeziehungen der Geräte untersucht. Den Geräten werden Verhaltensregeln zugeordnet und diese überwacht. Tauchen neue Geräte auf, werden sie sofort gemeldet. Ein Echtzeit-Reporting mit einem Ampelsystem liefert Meldungen über ein mögliches Gefahrenpotenzial. Durch ein Drilldown Reporting können in einer grafischen Darstellung des Netzverkehrs auffällige Bereiche durch Anklicken näher betrachtet werden. So sind z. B. die Live-Daten des gefilterten Bereichs mit einer Minute Vorlauf verfügbar, um die beteiligten Geräte und Zieladressen zu untersuchen. Einfache Integration ins Netzwerk bei hoher Performance „Wenn wir neu in ein Unternehmen kommen, untersuchen wir zunächst den Ist-Zustand des Netzwerks, um einen ersten Überblick über die bestehende Infrastruktur zu erhalten“, berichtet André Hermbusch. Bei diesem Vorgehen wird der Netzwerkverkehr zunächst passiv gescannt und ein Abbild des „Normalzustands“ erstellt. Mit einer solchen Anfangsbestandsaufnahme des Netzwerks werden auch generelle Schwachstellen und Sicherheitslücken erkannt, die bspw. durch Konfigurationsfehler, Netzwerkprobleme oder veraltete Geräte-Software verursacht werden können. Der Geschäftsführer beschreibt die Installation der Software und die Integration in das Netzwerk im Vergleich zu anderen IDS-Systemen als unkompliziert. Die Integration kann erfolgen, auch ohne dass Änderungen an der Netzwerktopologie erforderlich sind. Aus der Anfangsbestandsaufnahme werden Regeln über das „Normalverhalten“ des Netzwerkverkehrs definiert. Eine Policy Engine verwaltet die Regeln. Sie bestimmen, wie auf unerwünschtes Verhalten oder akute Gefährdungen reagiert werden soll. Wenn bspw. ein Gerät innerhalb von einer Minute mit mehr als zehn Hosts eine Verbindung aufbaut, kann eine Regel für die Isolation des Gerätes sorgen. Dabei ist ein lückenloses Monitoring des gesamten Netzwerkverkehrs nach den Erfahrungen von datenhain eine große Herausforderung für die Performance: „cognitix Threat Defender ist eine reine Software-Lösung. Als Hardware reicht je nach Einsatzzweck ein Zigarettenschachtel-großer Mini-PC oder ein leistungsfähiger Server für die Echtzeitanalyse eines 40-Gbit/s-Netzwerk-Traffics. Die Netzwerkanalyse führt nur zu minimalen Latenzeinbußen. cognitix Threat Defender erreicht annähernd Switch Performance. Problematischen Traffic sicher erkennen und ausschließen André Hermbusch berichtet, dass bei der Erstanalyse der Kommunikationsbeziehungen regelmäßig unerwartete Details auftauchen. Als Beispiele nennt er die morgendliche Verbindung eines Fernsehers zum Hersteller nach China oder ein altes produktives System, das seit acht Jahren nicht mehr mit Sicherheits-Updates versorgt worden ist und leicht zu attackieren gewesen wäre. Ein länger nicht mehr genutzter Windows-PC wurde dagegen durch seinen ungewöhnlichen Verkehr als infiziert erkannt. Sichtbar wurde auch die im Betrieb untersagte private Nutzung von Facebook, was cognitix Threat Defender durch Policy-Regeln verhindern oder im Netzwerkverkehr stark verlangsamen kann. Positiv vermerkt André Hermbusch zudem die kurzen Release-Zyklen bei cognitix Threat Defender, um Kundenwünsche umzusetzen. Einen großen Schritt macht cognitix Threat Defender Anfang 2020: Dann bietet genua die Sicherheitsplattform auf eigener Hardware an, die einfach als Appliance in Netze eingefügt werden kann. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Netzwerksicherheit Angriffserkennung Artikel teilen Weiterführende Links IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Case Study 21.09.2020 Cyber-Sicherheit in der Smart Factory Rittal: Schluss mit Cyber-Attacken – sichere Fernwartung für Industrie 4.0 Das Rittal-Werk in Haiger ist ein Pilotprojekt für die Umsetzung von Industrie 4.0 mit einer digitalisierten Auftragsabwicklung. Die Maschinen und Handling-Systeme kommunizieren untereinander und mit übergeordneten Leitsystemen. Mithilfe wissensbasierter Systeme werden Ausfallzeiten verringert, Wartungen vorausschauend geplant und Unterbrechungen des Produktionsprozesses minimiert. Die Hersteller der Anlagen können online auf ihre Systeme zugreifen, Störungen beseitigen und schnelle Supportservices bereitstellen. Hohe Sicherheitsanforderungen Mehr als 100 neue Hightech-Maschinen, 60 Roboter und 20 fahrerlose Transportsysteme wurden im Rittal-Werk in Haiger vernetzt. Für die Fernwartung des Maschinenparks hat das Unternehmen eine hochsichere Plattform aufgebaut. Durch die komplette Vernetzung der Anlagen in der Smart Factory wurden die Anforderungen an die Cyber-Sicherheit allerdings deutlich erhöht. „Wir wollten sicherstellen, dass ein Online-Zugriff niemals von außen aufgebaut werden kann, sondern immer eine Freischaltung von innen erfordert. Außerdem sollte immer nur das dafür freigegebene Gerät erreichbar sein. Eine Verbindung mit anderen Geräten im Netz darf nicht möglich sein“, nennt Fabian Friedrich, IT-Systembetreuer bei Loh Services, einige der erweiterten Security-Anforderungen im neuen Rittal-Werk. Loh Services ist die zentrale Dienstleistungsgesellschaft der Friedhelm Loh Group, zu der auch Rittal gehört. „Im alten Werk hatte jeder Hersteller sein eigenes Fernwartungssystem für den Remote Service mitgebracht. Das war nicht mehr überschaubar und sehr aufwendig in der Administration“, so der IT-Systembetreuer. Die Systeme hätten oftmals völlig intransparent gearbeitet. Die Mitarbeiter konnten deshalb nicht kontrollieren, wann Eingriffe erfolgten, wie lange sie dauerten und was getan wurde. „Einige wollten sich dauerhaft verbinden. Das war so nicht akzeptabel und entsprach auch nicht den neuen Sicherheitsanforderungen“, beschreibt Friedrich die Ausgangssituation für das neue Werk. Die Dienstleister von Loh Services untersuchten, welche Fernwartungssysteme für die erhöhten Sicherheitsstandards unter Industrie 4.0 geeignet sind. Als die wichtigsten Anforderungen nennt der IT-Systembetreuer: „Die Hoheit über jeden Fernwartungsvorgang sollte bei uns liegen und jeder Zugriff sollte vorher von uns freigegeben werden müssen.“ Wichtig seien auch die Funktionalität einer Firewall und die Möglichkeit, die Fernwartung zu überwachen, gewesen. Im Vergleich der Fernwartungslösungen konnte der Hersteller genua durch den hohen Sicherheitsstandard und die gute Bedienbarkeit seiner Lösung genubox überzeugen. Keine Einwahl von außen in das Netz Bei der Fernwartungslösung genubox werden keine einseitigen Zugriffe in die Netze des Anlagenbauers zugelassen. Alle Service- und Wartungsverbindungen laufen über einen sogenannten Rendezvous Server, der in einer Demilitarisierten Zone (DMZ) neben der Firewall von Rittal am Übergang LAN – Internet installiert ist. Zu einem verabredeten Zeitpunkt bauen sowohl der externe Wartungsservice als auch der Anlagenbauer Verbindungen auf. Erst mit dem Rendezvous auf dem Server entsteht die durchgängige Wartungsverbindung. Durch die Rendezvous-Lösung behält der Anlagenbauer die vollständige Kontrolle über Wartungszugriffe auf Anlagen in seinem Werk. Eine Fernwartungsverbindung wird immer von innen heraus gestartet und alle Service- und Wartungsverbindungen laufen über einen sogenannten Rendezvous Server, der in einer Demilitarisierten Zone (DMZ) neben der Firewall installiert ist. Die Lösung ist konform zu den Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur sicheren Fernwartung. Laut BSI sollte der Fernwartungszugriff möglichst nicht pauschal pro (Sub-)Netz erfolgen, sondern vielmehr feingranular pro IP und Port geregelt werden können. Dies minimiere die „Reichweite“ von Fernwartungszugängen und beschränke somit auch die Folgen einer Kompromittierung. Ein möglicher Ansatz sei bspw. der Aufbau von 1:1-Verbindungen mittels SSH statt der Kopplung ganzer Netze durch IPsec. Security-Lösungen müssen praxistauglich sein Die Fernwartungslösung von genua hat sich für die Dienstleister von Loh Services als besonders sicher und praxistauglich bewährt. Wenn eine Fernwartung eingeleitet werden soll, gibt der Schichtführer oder der jeweils Verantwortliche einer Maschinenlinie den Zugriff frei. Die Fernwartung ist generell auf eine Stunde begrenzt, kann aber individuell verlängert werden. Bei Bedarf wird der Zugriff auch per Video aufgezeichnet, um rückwirkend alle Aktionen der Dienstleister nachvollziehen zu können. „Die Weboberfläche ist auch für Bediener ohne Erfahrung geeignet. Fehlbedienungen sind kein Problem, weil Änderungen an den Einstellungen höhere Benutzerberechtigungen erfordern“, erläutert Fabian Friedrich. Die Rendezvous-Lösung von genua gewährleistet vollständige Kontrolle über Wartungszugriffe. Bei den Herstellern gab es zunächst viele Vorbehalte gegen eine für sie fremde Lösung – sie konnten aber überzeugt werden. Der IT-Systembetreuer schickt den Herstellern eine vorbereitete Konfiguration für die Fernwartung ihrer Maschine und einen Link zum Download der Einwahl-Software bei genua. „Wenn sie die Konfiguration für ihre Maschinen eingelesen haben, sind sie bereits fertig. Das dauert keine 10 Minuten“, fasst Friedrich die Vorbereitungen zusammen. Änderungen in der Konfiguration kann er in genucenter, einer Central Management Station, umsetzen. Die mehr als 100 genuboxen bei Rittal werden über die Management Station zentral administriert. „Die Installation der genuboxen war recht einfach. Wir haben jetzt alle Standorte im Blick, können Filterregeln auch standortübergreifend ändern und Updates auf alle genuboxen verteilen“, erläutert der IT-Systembetreuer. Wenn es bei der Fernwartungs-Session Probleme geben sollte, sehe er sofort, ob bspw. die IP des Rechners geblockt wurde. Dann könne er diese IP in die Filterregel von genubox aufnehmen. „Das ist gut gelöst und einfach umsetzbar“, zeigt sich Friedrich zufrieden mit der Administration. Ein höherer Sicherheits-Level erreicht Im Produktionsnetz des neuen Rittal-Werks sind durch genubox inzwischen 72 getrennte Netzsegmente eingerichtet worden. Die abgeschotteten Subnetze schützen sowohl die Maschinen der Hersteller als auch das übergeordnete Produktionsnetz gegen unerwünschte Zugriffe. Innerhalb ihres Subnetzes können die Hersteller relativ frei agieren. Gleichzeitig behält der Anlagenbauer Rittal die Kontrolle und legt über die Firewall-Regeln und durch abgestufte Benutzerrechte fest, wer wann und unter welchen Bedingungen auf sein Netz zugreifen darf. Jede Verbindung wird dokumentiert und ist jederzeit nachvollziehbar. So lässt sich auch überprüfen, welche Zielsysteme erreicht werden sollten. Unerlaubte oder böswillige Attacken werden geblockt und aufgezeichnet. Bildquelle: © Rittal GmbH & Co. KG Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Fernwartung Cyber Resilienz Industrie 4.0 Industrie Artikel teilen Weiterführende Links Remote Maintenance Wir unterstützen Unternehmen beim Aufbau sicherer Fernwartungszugriffe – an allen hierbei relevanten Stationen der Wertschöpfungskette. Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Case Study 05.05.2015 Schutz sensibler Daten bei begrenzten Ressourcen Gemeinde Kirchheim bei München: Worauf es bei Firewalls für Kommunen ankommt Für den IT-Administrator einer bayerischen Gemeinde sind bei der Auswahl einer Firewall-Lösung vor allem fünf Kriterien entscheidend: Eine nachweisbare, also zertifizierte Sicherheit; eine auch für Nicht-IT-Security-Experten gute Bedienbarkeit; die Tauglichkeit für den IT-Alltag; eine vertrauenswürdige Lösung „Made in Germany“ und schließlich ein zuverlässiger und gut erreichbarer Support. Der Marktplatz der Gemeinde Kirchheim Kommunen und öffentliche Verwaltungen stehen beim Thema IT-Sicherheit oft unter mehrfachem Druck. Sie haben mit Einwohnermeldedaten, Gewerbesteuerbescheiden oder den Finanzdaten der Gemeinde eine große Menge an besonders schützenswerten Informationen und haben dennoch nur begrenzte Ressourcen zum Schutz der Daten. „Wir haben nach einer Firewall-Lösung gesucht, die technisch höchste Sicherheit garantiert und gleichzeitig mit nur geringem Administrationsaufwand bedienbar und alltagstauglich ist“, fasst Andreas Pecher, IT-Administrator der oberbayerischen Gemeinde Kirchheim bei München, seine Anforderungen zusammen. Dabei nehmen die Ansprüche der internen Fachanwender als auch die Herausforderungen durch neue digitalisierte Dienstleistungen aus dem E-Government kontinuierlich zu. Kirchheim kann mit seinen etwa 13.000 Einwohnern und seinen kurzen Wegen zur Messe München, zum Flughafen oder in die Landeshauptstadt sowohl auf steigende Einwohnerzahlen als auch auf einen gesunden Branchenmix verweisen. Die Größe der Gemeinde lässt jedoch nicht die Beschäftigung von IT-Security-Spezialisten zu, sodass der IT-Administrator für alle IT-Themen zuständig ist. „Bei komplexeren IT-Security-Problemen hätte ich gar nicht die Zeit, mich in die letzten technischen Details zu vertiefen. Deshalb war sowohl bei der Installation als auch beim Support die kompetente Unterstützung des Firewall-Herstellers ein Entscheidungskriterium“, so Andreas Pecher. BSI-zertifizierte Firewall „Made in Germany“ Die alte Firewall der Gemeinde war seit Jahren im Einsatz und inzwischen völlig unterdimensioniert. Bei der Auswahl einer neuen Lösung hatte der IT-Administrator etliche Herstellerangebote verglichen. „Wir haben uns schließlich für die Firewall genugate des deutschen Herstellers genua entschieden, weil diese Lösung unsere Anforderungen am besten erfüllt. Besonders die Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik war uns sehr wichtig, da auf diesen Aspekt auch der kommunale Prüfverband achtet“, erläutert Andreas Pecher den Stellenwert einer nachweisbaren, zertifizierten Sicherheit. Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) werden Prüfungen und Bewertungen der Sicherheit von Informationstechnik nach internationalen ISO-/IEC-Standards (Common Criteria) durchgeführt. genugate ist die einzige Firewall weltweit, die die BSI-Zertifizierung in der Stufe EAL 4+ mit dem Prädikat „Highly Resistant“ vorweisen kann, weil sie direkten Angriffen nachweisbar höchsten Widerstand entgegensetzt. „Die Kombination aus einer BSI-zertifizierten Sicherheit, bei der auch der komplette Quellcode vorgelegt werden muss und einer zweistufigen Hardware-basierten Firewall-Technik aus Deutschland ist überzeugend“, fasst der IT-Administrator die Gründe zusammen. Zweistufige Firewall-Lösung Die Lösung von genua besteht aus den beiden Stufen Application Level Gateway (ALG) und Paketfilter. Mit der ersten Komponente wird der komplette Inhalt des Datenstroms analysiert und auf gefährliche oder unerwünschte Inhalte gründlich untersucht. Dazu werden die ankommenden Datenpakete zunächst gestoppt – das ALG lässt keine durchgehende Verbindung zwischen Internet und lokalem Netz zu. Dadurch werden Angriffe auf der Netzebene verhindert und Risiken bspw. durch die erweiterten Header bei IPv6 ausgeschlossen. Die eintreffenden IP-Pakete werden zunächst zu ganzen Datensätzen zusammengesetzt, damit sie überhaupt überprüfbar werden. Prüfprogramme für alle gängigen Protokolle sowie ein Viren-Scanner analysieren dann den Inhalt der empfangenen Daten. Aktiver Content, Viren oder Spam werden hier zuverlässig erkannt und abgeblockt. Ist die Inhaltsprüfung bestanden, erzeugt das ALG eine neue Verbindung und schickt die Datenpakete zum zweiten Firewall-System, dem Paketfilter. Der Paketfilter prüft als weiteres Firewall-System die Datenpakete auf der formalen Ebene: Absender- und Empfängeradresse, Protokolltyp etc. Nur wenn die Verbindung gemäß den konfigurierten Regeln erlaubt ist, leitet der Paketfilter die Daten an den Empfänger weiter. Somit ergänzen sich ALG und Paketfilter auf verschiedenen Ebenen und erreichen so die hohe Sicherheitsleistung. Mehr als Deep Packet Inspection Der Firewall-Hersteller genua betont den Unterschied zu herkömmlichen Deep Packet Inspection oder Next Generation Firewalls. Bei genugate werde Wert auf eine hohe Performance gelegt. Noch wichtiger sei aber die vollständige und korrekte Analyse des gesamten Datenstroms – im Unterschied zu den Stichprobenkontrollen anderer Hersteller. So werde besonders bei verschleierten Dateiformaten und auch bei zweifelhaften URL- und IP-Quellen detailliert geprüft. Untersucht wird auch die Korrektheit von Zertifikaten. Zudem werden auch zip-komprimierte Dateien oder verschlüsselte https-Verbindungen genauestens kontrolliert. Support von einem deutschen Hersteller Die Gemeinde Kirchheim musste bei der Einführung der Firewall-Lösung vor allem die Migration von der alten Lösung sowie die Integration zahlreicher Schnittstellen zu Fachverfahren berücksichtigen. Der IT-Administrator hebt hier die Beratung und die gute Schulung von genua vor der Einführung sowie die Unterstützung bei der Installation hervor. Das habe ihm sehr geholfen, die große Zahl kleiner Baustellen überhaupt zu bewältigen. „Es ist schon ein Riesenunterschied, ob ich einen Lieferanten aus einer anderen Zeitzone oder einen deutschen Hersteller mit einem fachlich überzeugenden Support habe“, bilanziert Andreas Pecher die Vorbereitungs- und Einführungsphase. Die Firewall genugate ist bei der Gemeinde jetzt seit eineinhalb Jahren im Betrieb. Der IT-Administrator verweist auf die alltagstaugliche Anwendbarkeit der Lösung. Deshalb sei die gut nachvollziehbare Bedienbarkeit der Administrationsoberfläche entscheidend: „Die Firewall macht immer genau das, was man ihr sagt. Auch nach eineinhalb Jahren Betrieb hatten wir noch kein Problem.“ Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor KRITIS Firewalls & Gateways Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 03.12.2020 Kritische Infrastrukturen Stadtwerke Bad Reichenhall: Anomalieerkennung schützt internen Datenverkehr Der klassische IT-Security-Schutz mit Firewalls, IDS- oder IPS-Systemen hat eine gravierende Lücke: Die Systeme erkennen nicht, wenn manipulierte Netzkomponenten ihr Kommunikationsverhalten ändern und beispielsweise Schadcode an andere Clients im Netz versenden. Die Stadtwerke Bad Reichenhall KU haben deshalb zur Bedrohungsabwehr eine Anomalieerkennung eingerichtet. Lücken bei klassischen IT-Security-Systemen Die Stadtwerke Bad Reichenhall KU sind ein regionales Dienstleistungsunternehmen, das seine Kunden mit Strom, Erdgas, Wasser, öffentlichem Personennahverkehr sowie Internet, Telefon und Kabelfernsehen versorgt. Als kritische Infrastruktur legen sie einen besonderen Fokus auf IT-Security. Das Unternehmen ist nach der internationalen IT-Sicherheits-Norm ISO 27001 zertifiziert und betreibt ein Information Security Management System (ISMS). Lücken bei klassischen IT-Security-Systemen In regelmäßigen Audits und Penetrationstests wurde bestätigt, dass die nach dem ISMS-Standard ergriffenen Sicherheitsmaßnahmen wirksam sind. „Die Tests sind allerdings immer nur Momentaufnahmen. Wenn durch Social Engineering und anderen, immer professionelleren Angriffen, Sicherheitslücken ausgenutzt werden, wollen wir vorbereitet sein. Uns fehlte bisher eine Anomalieerkennung als permanente Echtzeitkontrolle, um auch Angriffe im internen Datenverkehr frühzeitig erkennen zu können“, berichtet Carsten Viell, IT-Leiter bei den Stadtwerken. Intrusion-Detection-Systeme (IDS) und Intrusion-Prevention-Systeme (IPS) zum Monitoring von Office-Netzen haben sich seit Jahren bewährt. Ein wesentlicher Nachteil dieser Systemen ist, dass sie nicht für Auffälligkeiten im internen Datenstrom ausgelegt sind. Kommuniziert eine Arbeitsstation, die bisher nur Verbindungen mit dem Anmelde- und File-Server hatte, plötzlich mit anderen Rechnern innerhalb des Netzwerks, wird das nicht erkannt. Wenn eine Workstation in kurzer Zeit Verbindungen zu vielen Ports aufnimmt (Netzwerkscan) oder ein Drucker andere Geräte im Netz kontaktiert und Code aus dem Netz nachladen will, bleibt auch das zunächst unerkannt. IDS- und IPS-Systeme überprüfen nicht, ob diese Netzkomponenten dafür berechtigt sind und ob das Verhalten ungewöhnlich ist. So können Angreifer Geräte im Netz übernehmen, ohne dass dies sofort auffällt. „Wir haben nach einem Monitoring des internen Netzwerks mit Anomalieerkennung gesucht und sind auf den cognitix Threat Defender von genua aufmerksam geworden. Da wir mit den Produkten und Leistungen von genua seit Langem sehr zufrieden sind, waren wir gespannt auf diese Lösung“, erläutert der IT-Leiter. Die Stadtwerke hatten ein intelligentes System gesucht, welches die Netzkomponenten selbstständig erfasst und ihr Verhalten analysiert. „Wir wollten nicht händisch tausende von Regeln eingeben und diese ständig manuell aktualisieren“, so Carsten Viell. Das IT-Monitoringsystem sollte auch für ein mittelständisches System wie die Stadtwerke leicht administrierbar sein. Anomalieerkennung als permanente Echtzeitkontrolle „Die Anomalieerkennung läuft sehr stabil und performant. Auf einem separaten Bildschirm können wir in Echtzeit den Traffic und die genutzten Dienste verfolgen“, zeigt sich der IT-Leiter Carsten Viell sehr zufrieden mit dem Alltagsbetrieb. Die Cyber-Sicherheits-Empfehlung des BSI (BSI-CS 134) hebt die Anomalieerkennung als ein Mittel zum Schutz von Netzwerken besonders hervor: „Sie ermöglicht die Erkennung untypischen Verhaltens und somit neben technischen Fehlerzuständen und Fehlkonfigurationen auch die Detektion bisher unbekannter Angriffsformen auf solche Netze. Dies unterscheidet die Anomalieerkennung von anderen Maßnahmen, die auf der Erkennung bereits bekannter Angriffe beruhen.“ Der cognitix Threat Defender überwacht den gesamten Netzwerkverkehr und analysiert das Verhalten der Netzkomponenten (Assets). Dabei werden bisher getrennte Funktionen wie Netzwerkanalyse, Intrusion Detection, Asset Tracking und eine dynamische Policy Engine in einem System zusammengeführt. Der cognitix Threat Defender schließt mit seiner Anomalieerkennung die Sicherheitslücke von IDS- und IPS-Systemen. Er überwacht den gesamten Netzwerkverkehr und analysiert auch das Verhalten der Netzkomponenten (Assets). Er richtet ein überwachtes sicheres Netzwerk ein, in dem er Verhaltensmuster der Netzwerkgeräte erkennt und definierten Regeln zuordnet. Der Fokus liegt nicht auf einem einzelnen Gerät oder einer einzelnen Netzverbindung, sondern auf der Kommunikation im gesamten Netzwerk und dem Verhalten aller Netzwerkteilnehmer. Dabei werden bisher getrennte Funktionen wie Netzwerkanalyse, Intrusion Detection, Asset Tracking und eine dynamische Policy Engine in einem System zusammengeführt. „Die Einführung des Systems ging erstaunlich reibungslos. Wir wurden durch den Support von genua sehr gut unterstützt und haben direkte Hilfestellungen beim Aufbau und der Skalierung des Systems erhalten. Außerdem wurden unsere Verbesserungsvorschläge aufgegriffen und zeitnah umgesetzt“, beschreibt der IT-Leiter die Einführungsphase. Zu Beginn erfolgte ein erstes Asset Tracking mit Realtime-Analyse. Dabei wurde eine Asset-Datenbank mit allen 700 Geräten im Netzwerk, einschließlich der WLAN-Netze, angelegt und ein Netzwerkstatus im „Grundzustand“ erstellt. In dieser Lernphase wurde ermittelt, welche Devices sich im Netzwerk befinden und welcher gewollte Netzwerkverkehr in diesem Grundzustand stattfindet. Kommen neue Geräte hinzu, werden sie sofort erkannt und müssen freigegeben und den definierten Regeln zugeordnet werden. Administration eines Systems für die Anomalieerkennung Der cognitix Threat Defender überwacht den gesamten Netzwerkverkehr und analysiert das Verhalten der Netzkomponenten (Assets). Dabei werden bisher getrennte Funktionen wie Netzwerkanalyse, Intrusion Detection, Asset Tracking und eine dynamische Policy Engine in einem System zusammengeführt. „Die Anomalieerkennung läuft sehr stabil und performant. Das System ist für das Echtzeit-Tracking gut aufgestellt. Auf einem separaten Bildschirm können wir in Echtzeit den Traffic und die genutzten Dienste verfolgen. Bei Auffälligkeiten erhalten wir eine Warnmeldung. Nach der Anfangslernphase ist die Erkennungsrate inzwischen gut und Fehlermeldungen (False Positives) werden immer seltener“, zeigt sich der IT-Leiter sehr zufrieden mit dem Alltagsbetrieb. Er erlebt das System als gut bedienbar und selbsterklärend. Angriffe und Anomalien im Netzwerkverkehr sind bisher nicht aufgetreten. Die von den Administratoren selbst produzierten Attacken wurden richtig erkannt und als Warnmeldungen ausgegeben. Bei solchen Vorkommnissen kann der betroffene Client sofort entkoppelt werden, um beispielsweise eine weitere Verbreitung eines Verschlüsselungstrojaners zu unterbinden. Bei Bedarf kann sich der Administrator auch über Mobilfunk alarmieren lassen. Die Stadtwerke planen, nach voraussichtlich einem Jahr Regelbetrieb auch die erweiterte Automatisierungsfunktionen des cognitix Threat Defender zu nutzen. Dann führen ungewöhnliche und vom üblichen Standardverhalten abweichende Muster (Anomalien) im Datenstrom zur automatischen Unterbrechung der Kommunikation, ohne dass der Administrator eingreifen muss. Nutzen der Lösung Der IT-Leiter der Stadtwerke gibt dem cognitix Threat Defender in einer Zusammenfassung eine gute Note: „Wir betreiben die Lösung auf einer acht Jahre alten Hardware und sind überrascht von der guten Performance des Systems. Wir haben wenig Konfigurationsaufwand und die Integration in das Netzwerk war einfacher als erwartet.“ Bei den Stadtwerken wurde aufgrund der guten Erfahrungen im Office-Netz damit begonnen, mit dem Leitnetz auch das Kommunikationsnetz für die Energieversorgung in die Anomalieerkennung einzubeziehen. Carsten Viell bestätigt ein gutes Preis-Leistungsverhältnis der Lösung: „Da steckt sehr viel Intelligenz im System. Wir haben ohne zusätzlichen manuellen Aufwand eine permanente 24/7-Überwachung des Netzwerk-Traffics. Unser Netzbetrieb ist gegenüber immer komplexeren Angriffen nochmals ein gutes Stück sicherer geworden.“ Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics KRITIS Angriffserkennung Artikel teilen Weiterführende Links IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Case Study 03.12.2020 INDEX-Gruppe Produktivitätssteigerung bei CNC-Drehmaschinen dank sicherer Anbindung an die SAP-Cloud Die INDEX-Gruppe aus Esslingen bietet für ihre CNC-Drehmaschinen Apps auf Basis der Multi-Cloud-as-a-Service-Plattform von SAP an, um den Status der Maschinen zu überwachen, Alarmmeldungen zu erhalten oder Kollisionen der Frässpindel zu erkennen. Die Cloud-Anbindung folgt den BSI-Empfehlungen für eine besonders hohe Cyber-Sicherheit im industriellen Umfeld. Die Vorteile für die Kunden der INDEX-Gruppe: gesteigerte Produktivität, optimierte Maschinenwartung sowie volle Kontrolle und höchste Industrial Security bei der Cloud-Anbindung. Anbindung an die SAP-Cloud Die INDEX-Gruppe zählt mit ihren Marken INDEX und TRAUB zu den weltweit führenden Herstellern von CNC-Drehmaschinen und ist global an 80 Standorten präsent. „Wir haben bereits eine Vielzahl von Maschinen mit Komponenten von genua für die Fernwartung ausgestattet. Auf dieser Basis haben wir 2017 und 2018 ein weitergehendes Konzept entwickelt, mit dem unsere Kunden ihre Produktion durch Online Services besser im Blick behalten können“, berichtet Christopher Kohl, Projektleiter Digitalisierung bei der INDEX-Gruppe. Deutlich gesteigerte Produktivität mittels digitalen Zwillings in der SAP-Cloud Der Maschinenbauer hat mit „iX4.0“ eine eigene IoT-Plattform für die Maschinendiagnose und zur Prozessüberwachung der CNC-Drehmaschinen entwickelt. Wenn die Maschinenbetreiber einer Cloud-Anbindung der Maschine zustimmen, können sie mit einem Endgerät wie dem Smartphone per Standard-Webbrowser auf die Daten der Maschine zugreifen. Verschiedene Apps zur Optimierung der Produktivität wie „StatusMonitor“ und „AlarmMessenger“ und zum Condition Monitoring wie „SpindleCheck“ sind bereits verfügbar, weitere sollen folgen. Interview (in Englisch): Claas Lorenz von genua erklärt bei "Expert Insights", wie SecDN eine flexible und hochsichere IT liefern kann Externe Inhalte von Youtube anzeigen? Beim Laden dieser Inhalte werden Daten an den Anbieter und ggf. an Dritte übertragen. Weitere Informationen können sie in unseren Datenschutzbestimmungen nachlesen. Inhalte von Youtube Embedding DE immer anzeigen Inhalt anzeigen Die IoT-Plattform „iX4.0“ der INDEX-Gruppe basiert auf der Multi-Cloud-as-a-Service-Plattform von SAP. Dabei werden die laufenden Betriebsdaten, Informationen, Dokumente, Bilder und 3-D-Modelle der Maschine als digitales Modell („digitaler Zwilling“) in der Cloud abgebildet. Ein Grundansatz des neuen Angebots ist, dass ausschließlich die Kennwerte der Maschinen übertragen werden. „Sensible Produktionsdaten wie Einrichteblätter oder die Einrichtungsmappe werden nicht erfasst“, betont Christopher Kohl. So zeigt der „iX4.0 StatusMonitor“ den aktuellen Status jeder angebundenen Maschine. Dafür werden kontinuierlich 20 Einzeldaten der Maschine übertragen. Das sind Statusmeldungen wie “Hydraulik eingeschaltet“, „Fehler stehen an“ sowie Daten zum Vorschub-Override oder dem Stückzähler. Daraus lässt sich erkennen, wie optimal die Maschine arbeitet bis hin zur integrierten Analyse der Gesamtanlageneffektivität (Overall Equipment Effectiveness, OEE). „Dabei legen wir besonderen Wert auf die größtmögliche Transparenz. So lässt sich jederzeit kontrollieren, welche Daten übertragenen werden“, so der Projektleiter. Der „iX4.0 SpindleCheck“ unterstützt das Condition Monitoring der angebundenen Maschine. Dafür werden wichtige Daten zu den Spindeln der CNC-Drehmaschinen erfasst, wie Drehzahl und Auslastung, Temperaturverläufe, Spannvorgänge sowie Spindellaufzeiten. (Abbildungen: INDEX-Gruppe) Optimierte Wartungsplanung dank Condition Monitoring „Wir ermöglichen auch die Online-Überwachung zentraler Maschinenkomponenten wie Spindeln und Achsen“, erläutert Christopher Kohl. Mit dem „iX4.0 SpindleCheck“ werden wichtige Daten zu den Spindeln der CNC-Drehmaschinen erfasst, wie Drehzahl und Auslastung, Temperaturverläufe, Spannvorgänge sowie Spindellaufzeiten. „Durch die laufende Erfassung der Spindeldaten kann der Betreiber sofort erkennen, ob die Werte von der Norm abweichen. Das Condition Monitoring dient der Qualitätskontrolle und erleichtert die Wartungsplanung. Der Austausch der Verschleißteile muss jetzt nicht mehr nach festen Zeitvorgaben, sondern kann anhand der tatsächlichen Abnutzung erfolgen.“ Wenn dann ein Ersatzteil getauscht werden soll, greift der Betreiber über die IoT-Plattform „iX4.0“ auf die Stückliste der eingesetzten Maschine, sucht das passende Teil über den Ersatzteil-Finder oder identifiziert die betroffenen Ersatzteile im 3-D-Modell der Maschine. Auf der Maschinenseite setzt der Hersteller mit OPC-UA auf eine offene Schnittstelle. Für ältere Maschinen aus dem Anlagenbestand stellt der Hersteller einen IoT Connector bereit. Viele Kunden wollen nicht nur die Maschinen der INDEX-Gruppe, sondern auch Anlagen anderer Hersteller über die IoT-Plattform verwalten. Auch dies ermöglicht der IoT Connector. Starke Industrial Security – kein Risiko für die Maschinenbetreiber Die Maschinen werden per genubox sicher mit der Cloud verbunden. So wurde bereits eine Vielzahl von 1.800 Maschinen der INDEX-Gruppe zur sicheren Fernwartung ausgestattet, ohne dass es zu einem Sicherheitsvorfall gekommen ist. Das Vertrauen in die Industrial Security bei der Cloud-Anbindung ist für den Projektleiter eine zwingende Voraussetzung für die Akzeptanz des Angebots. Hier verweist er auf die langjährigen Erfahrungen mit der Fernwartungs-Appliance-Lösung genubox von genua . Trotz einer Vielzahl von Maschinen, die bisher mit genubox zur sicheren Fernwartung via Internet ausgestattet wurden, ist es bisher zu keinem Sicherheitsvorfall gekommen. Im Wartungsfall baut genubox eine verschlüsselte Verbindung für die Datenübertragung auf und beschränkt mit ihrer integrierten Firewall den externen Zugriff ausschließlich auf die betreute CNC-Drehmaschine. Andere sensible Netzbereiche beim Kunden sind über den Wartungszugang nicht erreichbar. Die Fernwartungs-Appliance genubox läuft auf dem auf hohe Sicherheit ausgelegten Betriebssystem OpenBSD, das noch zusätzlich gehärtet wurde. So erfüllt genubox bei der Fernwartung alle Anforderungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Cyber-Sicherheit im industriellen Umfeld. Das BSI hat in der Veröffentlichung BSI-CS 108 Anforderungen an die Architektur, die sichere Kommunikation, die Authentisierung und die Organisation formuliert. Die Anbindung einer Kundenmaschine an die IoT-Cloudplattform „iX4.0“ basiert auf der Empfehlung „BSI-CS 108“ des BSI zur Cyber-Sicherheit im industriellen Umfeld. Flexible genubox garantiert hochwertige Cloud Security Über die bewährte genubox erfolgte jetzt auch die sichere Anbindung an die Cloud. Dabei wird die Möglichkeit genutzt, auf der Appliance genubox zusätzlich eigene Software einzurichten. So wurde genubox um eine Software zur Maschinendatenerfassung erweitert. Darüber werden die OPC-UA-Daten ausgelesen und an die IoT-Plattform in der SAP-Cloud weitergeleitet. Die verschlüsselte Anbindung der Kundenmaschine an die Cloud-Plattform erfolgt gemäß BSI-Empfehlung über eine vorgelagerte Demilitarisierte Zone (DMZ). Die DMZ dient als abgeschottete Pufferzone zwischen dem Kundennetz und der Cloud. Somit besteht keine direkte Verbindung der Kundenmaschine zur Cloud. Der Zugriff erfolgt als 1:1-SSH-Verbindung und wird durch die integrierte Firewall feingranular auf eine IP-Adresse und einen Port begrenzt, um keine ganzen Netze zu koppeln. Dies garantiert hochwertige Cloud Security. Die Vorteile der Lösung von genua liegen in der hohen Sicherheit und Flexibilität bei einer gleichzeitig sehr einfachen Konfiguration. Beim Kunden sind keine umfangreichen Netzwerkeinstellungen erforderlich und wir können als Hersteller alle genuboxen zentral verwalten, um z. B. von einer Stelle aus aktuelle Sicherheits-Updates einzuspielen. Christopher Kohl , Leiter Digitalisierung, INDEX-Gruppe App für Predictive Maintenance Die INDEX-Gruppe verbessert und erweitert im halbjährlichen Rhythmus die Service-Angebote der IoT-Plattform „iX4.0“ zur Maschinendiagnose und Prozessüberwachung. Im nächsten Schritt sollen mehr Daten auf der Appliance genubox zwischengespeichert und stärker vorverarbeitet werden. Bei den App-Angeboten soll die Wartungsplanung vom Condition Monitoring zum Predictive-Maintenance-Angebot weiterentwickelt werden. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie IoT Fernwartung Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Case Study 24.11.2020 gematik Systemlösung von genua sorgt für eine gematik-konforme Vernetzung im Gesundheitswesen Unternehmen, die Leistungserbringer zuverlässig und skalierbar an ihre IT anbinden wollen, können dies mit den entsprechenden Lösungen von genua sicher umsetzen. Denn diese erfüllen die strengen Vorgaben der Gesellschaft für Telematikanwendungen der Gesundheitskarte (gematik) und des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Darüber hinaus sind die Lösungen einfach zu implementieren und zu bedienen. Use Case „Sichere Anbindung an die Telematikinfrastruktur“: Komponenten der Systemlösung von genua Die Systemlösung von genua besteht aus den Komponenten der Firewall & VPN-Appliance genuscreen als zentraler Firewall und VPN-Konzentrator sowie der High Resistance Firewall genugate für den Secure Internet Service (SIS). Firewall & VPN-Appliance als VPN-Konzentrator Die Firewall & VPN-Appliance genuscreen wird als zentraler Zugangspunkt für den VPN-Zugangsdienst für Leistungserbringer eingesetzt. Sie schützt das Netzwerk vor unbefugten Zugriffen, VPN-Verbindungen von den Konnektoren werden nach sorgfältiger Prüfung angenommen. Wegen der hohen Anforderungen an Performance und Verfügbarkeit bündelt die Lösung von genua mehrere Appliances zu leistungsstarken und ausfallsicheren Clustern. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat genuscreen nach Common Criteria (CC) in der Stufe EAL 4+ zertifiziert und für Daten bis zur Geheimhaltungsstufe VS-NfD zugelassen. Damit leistet genuscreen im Backend einen wichtigen Beitrag zum hohen Sicherheitsniveau der Gesamtlösung. Firewall kontrolliert Datenverkehr für Secure Internet Service Über den VPN-Konnektor können Leistungserbringer den Secure Internet Service (SIS) nutzen, um gemäß gematik-Spezifikation auf medizinische Portale im Internet zuzugreifen. Hier sorgt eine dreistufige Firewall-Lösung mit der High Resistance Firewall genugate als zentralem System für hochwertige Sicherheit. Die Firewall von genua analysiert den gesamten Datenverkehr auf Anwendungsebene und ermöglicht Viren-Scanning, das Filtern von Inhalten, Blacklisting, Anomalie-Erkennung u. a. m. Mit einem BSI-Zertifikat nach CC EAL 4+ ist die starke Sicherheitsleistung der Firewall genugate von unabhängigen Experten belegt. Highlights der „gematik-ready“ Systemlösung von genua hochsichere Anbindung von Leistungserbringern an die Telematikinfrastruktur (TI) die genua-Produkte genuscreen und genugate sind seit 10 Jahren im VPN-Zugangsdienst der gematik TI erfolgreich im Einsatz und als Teil der gesamten gematik Infrastruktur mit zugelassen konform mit Protection Profile des BSI für den VPN-Zugangsdienst der TI Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Gesundheitswesen KRITIS Geheimschutz Artikel teilen Weiterführende Links Firewall & VPN-Appliance genuscreen Zuverlässiger Schutz für Datentransfers und Netze High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Case Study 28.02.2025 Fernzugriff und OT-Sicherheit Bayer – Sicherer Fernzugriff aus einem Guss Ein Mammut-Projekt in Sachen Sicherheit: Das Life-Science-Unternehmen Bayer hat den Fernzugriff auf seine vielen unterschiedlichen Anlagen und Standorte weltweit vereinheitlicht. Mit genua als erfahrenem Partner für Cyber-Sicherheit an der Seite konnte Bayer für seine regulierten Produktionen wichtige Funktionalitäten einführen. Die Aufgabe: Transparenz, Vereinheitlichung und mehr Sicherheit beim Zugriff von Zulieferern und Instandhaltern bei Fernzugriff auf Maschinen und Anlagen innerhalb des Bayer-Konzerns. (Copyright: Bayer) Der Schaden in der deutschen Wirtschaft durch Cyber-Angriffe ist auch 2024 wieder sprunghaft gestiegen. Um etwa 29 Prozent auf nun 266,6 Milliarden Euro. Zum Vergleich: Das ist deutlich mehr als die Hälfte des bundesdeutschen Haushaltetats. Mittlerweile ist fast jeder Betrieb hierzulande betroffen. Während Diebstahl von Kundendaten oder geistigem Eigentum wie Patenten und Forschungsergebnissen sehr teuer werden können, sind bei der digitalen Sabotage von Industrieanlagen oder Betriebsabläufen potenziell die Integrität der Anlagen und damit auch Menschenleben gefährdet. Ein Industriezweig, bei dem die mögliche Schadenhöhe besonders relevant ist, ist die Prozessindustrie. Fernzugriff und OT-Sicherheit: Eine Herausforderung für die Prozessindustrie Chemie-, Pharma- und Lebensmittelhersteller sichern daher nicht mehr ausschließlich die funktionale Sicherheit der Anlagen, sondern auch ihre Netzintegrität. Inbetriebnahme ohne persönliche Anwesenheit, Ferndiagnosen und Überwachungsfunktionen vom heimischen Büro aus, wurden nach und nach zum Standard bei Zulieferern und Dienstleistern. Denn der rasche Zugriff von außen sorgte für eine höhere Verfügbarkeit der Anlagen – aber eben auch für unterschiedlichste Zugangsmethoden und Sicherheitskonzepte. Um sinnvolle und kosteneffiziente Geräte und Methoden der IT-Welt in den Prozess-Anlagen zu nutzen, wuchsen die Anwendungen vor allem an den großen Standorten zu einem nahezu unüberschaubaren Dschungel. Für eine Branche, die höchste Ansprüche an die Integrität und Sicherheit der Anlagen stellt, ein zunehmendes Problem. Einheitliche Lösung gesucht Ein herausragendes Beispiel, wie die Komplexität verringert und gleichzeitig eine größtmögliche Sicherheit für den Betrieb der Anlagen erreicht werden kann, ist das Unternehmen Bayer. „Vom damaligen CISO ging die Initiative aus, ein OT-Security-Programm aufzusetzen. Das Ziel lautete, Transparenz im Unternehmen darüber herzustellen, wie der Umgang in den einzelnen Bayer-Betrieben bei diesem Thema ist“, sagt Jani Alexander Krämer, Information Technology Security Analyst bei Bayer. Die Kombination aus großem Nutzen für den Betrieb und gleichzeitig hohem Schadpotenzial schob das Thema Fernzugriff nach ganz oben auf die Prioritätenliste. So lautete die zunächst wichtigste Bestrebung des damaligen OT-Security-Programms, eine einheitliche technische Lösung für den Fernzugriff auf Maschinen und Anlagen an den unterschiedlichen Standorten von Bayer zu erarbeiten. Zu Beginn eines Standardisierungsprojektes gibt es tausend Gründe, warum alles nicht geht. Mit der Unterstützung von genua haben wir am Ende immer für alle Parteien Lösungen gefunden, mit denen alle zufrieden waren. Jani Alexander Krämer , Information Technology Security Analyst bei Bayer Mit den IT-/OT-Security -Experten von genua aus Kirchheim bei München war früh der passende Partner gefunden. Das Unternehmen, mittlerweile Teil der Bundesdruckerei-Gruppe, schützt Anlagen und Kommunikationsvorgänge in vernetzten und automatisierten Produktionssystemen. Die Expertinnen und Experten konzeptionieren eine sichere IT-/OT-Infrastruktur, wählen gemeinsam mit den Anwendern die passenden Sicherheitsprodukte für die Netzwerksicherheit aus und implementieren sie. Bei Bedarf wird zudem das Team vor Ort trainiert und unterstützt. Feste Verabredung ist Pflicht Die Rendezvous-Lösung von genua stellt sicher, dass es keine einseitigen Zugriffe vom externen Fernwartungs-Service gibt. Verbindungen in die Anlage zur Analyse oder Wartung müssen über einen Rendezvous Server abgewickelt werden, der in einer unkritischen, sogenannten demilitarisierten Zone (DMZ) oder virtuell in einer Cloud liegt. Zu diesem Treffpunkt bauen der externe Wartungs-Service und ein Verantwortlicher auf Seite des Betreibers zu einem fest verabredeten Zeitpunkt eine Verbindung auf. Mit diesem aktiven Schritt des Anwenders entsteht die durchgängige Verbindung, die zum Informationsfluss der Wartungszwecke notwendig ist. Maschinenwerte und Fehlermeldungen können so ausgelesen und bearbeitet werden. Dabei bleibt der Zugriff zeitlich und räumlich beschränkt. Der externe Service bewegt sich nur im zuvor definierten Zielsystem und Rollenbild. Hierzu nutzt genua ein anwendungsgenaues SSH statt eines netzwerkumfassenden VPN-Zugriffs. Allein bei Bayer in Deutschland sind fast 100 genuboxen installiert. Betraf das zu Beginn hauptsächlich Rack-Hardware oder On-Premises, werden mittlerweile immer mehr virtualisierte Serviceboxen in der Cloud installiert – bei Bayer in etwa einem Viertel aller Anwendungen. „Als ich zu Bayer kam, war die genua-Lösung bereits im Labor getestet und an 70 Standorten weltweit ausgerollt. Die große Herausforderung, die wir in der Folge Bayer-intern gemeistert haben, ist, aus der Technik einen Service zu bauen und ein erfolgreiches Rollout-Projekt daraus zu gestalten – in einem Großunternehmen eine nicht ganz einfache Aufgabe“, blickt Krämer zurück. Allein bei Bayer in Deutschland sind fast 100 genuboxen installiert. Anfangs kamen meist Hardware-Versionen der genubox zum Einsatz. Mittlerweile setzt das Unternehmen zunehmend auf virtualisierte Serviceboxen in der Cloud. Hintergrund ist, dass viele Betriebe bei Bayer und bedeutende Zulieferer bereits eigene Sicherheitslösungen im Einsatz hatten. Dort, wo der Schwerpunkt der technischen Umsetzung des Fernzugriffs eher auf der Funktionalität statt auf der Sicherheit lag, war die Bereitschaft groß, auf das neue System zu wechseln. „In vielen Fällen war allerdings auch Überzeugungsarbeit notwendig, genua als verpflichtende Standardlösung im Unternehmen zu akzeptieren. Gerade, wenn Lieferanten mit eigenen guten Lösungen gezwungen waren auf genua umzusteigen“, sagt Krämer. Ein Beispiel für die unterschiedliche Einschätzung betraf das Thema Audit-Trail. „Viele Betriebe arbeiten im GXP- oder GMP-Umfeld. Hier unterliegen wir hohen Anforderungen an die Dokumentation. Wir müssen lückenlos nachweisen, wer zu welchem Zeitpunkt, auf welchem System war und welche Änderung vorgenommen wurde“, ergänzt Carsten Rocks, Global Program Lead „Manufacturing IT Security“. In der CISO-Organisation von Bayer entwickelt er spezielle Security-Controls für die OT-Welt. Demgegenüber arbeiteten die Zugriffslösungen von Maschinenbauern beispielsweise mit einem gepoolten Backoffice von Drittfirmen. Das führte dazu, dass in einigen Fällen nicht nachvollziehbar war, welcher Operator sich hinter einem Account verbirgt – aus Audit-Perspektive ein nicht akzeptabler Zustand. Jeder Zugriff bekannt und aufgezeichnet Krämer, der bei Bayer eine Art Service-Manager-Rolle einnimmt, sorgte gemeinsam mit dem Service-Dienstleister Atos für die weltweite Implementierung und Bereitstellung der notwendigen Programme, Anpassungen und Schulungen der Mitarbeiter. „genua war und ist dabei mit seiner technischen Expertise an unserer Seite. Ihr technischer Support springt auf einer Third-Level-Ebene ein, wenn es Probleme mit dem Service gibt, den die Dienstleister nicht lösen können“, erklärt Krämer, bei dem die Koordination und die klassischen Eskalationsthemen liegen. Heute führt das bei Bayer eingesetzte genua Logging-System dazu, dass Anwender alle Verbindungen nachvollziehen können: So ist jederzeit transparent, wer sich angemeldet hat, zu welchem Zeitpunkt, welche Arbeiten erledigt wurden und wer sie überwacht hat. Die ebenfalls integrierte Aufzeichnungsfunktion wurde sogar auf ausdrücklichen Wunsch der damaligen Bayer-Verantwortlichen entwickelt. Für genua hat es sich zu einem Unique Selling Point entwickelt, nicht nur Logs aufzuzeichnen, sondern detailliert den eigentlichen Wartungsvorgang. Nach Abschluss der Arbeiten kann das Session Recording ähnlich wie ein Video archiviert werden. Sichere Updates von außen Eine zusätzliche Implementierung, die ebenfalls in jüngerer Zeit in enger Zusammenarbeit mit dem Bayer-Team realisiert werden konnte, betrifft den Secure-File-Transfer-Part. Dateien von außerhalb der Organisation zu erhalten, gehört zu den Forderungen, bei denen sich Sicherheitsverantwortlichen die Nackenhaare aufstellen. Dennoch ist es gerade das Erneuern oder Reparieren beispielsweise einer Firmware, das eine Reaktor-Steuerung oder eine Verpackungsmaschine im Handumdrehen wieder flott machen kann. In einem eigenständigen Projekt wurde diese Anforderung adressiert und ein Malware-Scanning etabliert. Nun besteht die Möglichkeit, einen ICAP-Server anzubinden. Er ist Bestandteil der genubox-Sicherheitslösung und prüft Datenverbindungen und Dateien auf Schadsoftware, bevor sie in das Netzwerk gelangen. „Das ist eine hervorragende Erweiterung, die wir auf Basis des Feedbacks der Standorte mit genua planen und dann mithilfe unseres Providers implementieren konnten“, freut sich Rocks. Auch wegen der Realisierung solcher Endnutzer-Wünsche ist die Akzeptanz bei Bayer hoch: „Wir bekommen regelmäßig ein gutes Feedback von unseren Anwendern. Dass sich eine fruchtbare Zusammenarbeit entwickelt hat, erkennt man auch daran, dass die Lösung nicht mehr nur für Remote Maintenance eingesetzt wird, sondern auch für interne Administrationen. Auch kommen immer wieder konstruktive Vorschläge, wie man den Service noch erweitern kann und welche zusätzlichen Features hilfreich wären“, sagt Krämer. Nahtlose Integration „Der Hauptnutzen einer Remote-Maintenance-Lösung ist die Kostenersparnis, da die On-Site-Besuche durch Zulieferer quasi entfallen. Das spart Geld und Zeit und hilft, schnell zu reagieren – wertvoll gerade im Störungsfall, denn niemand muss vor Ort sein“, sagt Krämer. „In diesem Zusammenhang würde ich die gesteigerte Flexibilität ergänzen. An einigen Standorten nutzen Mitarbeiter die Lösung intensiv auch für Zugriffe, wenn sie zum Beispiel im Home Office sind“, sagt Rocks. Die genua-Lösung bietet jedem Bayer-Standort die Wahl, ob der Zugriff beispielsweise über zeitgesteuerten Remote Maintenance eingerichtet wird, oder das Security Approval nur mit Freigabe von innen gewährt wird. Das hängt von der Division ab und ob beispielsweise eine Produktion GMP- oder GXP-Regeln unterliegt, welche Netzsegmentierungen vorgenommen wurden und ob spezielle IT-Lösungen im Einsatz sind. Auch bestehende Systeme können genutzt werden. Die Anbindung an Cloud Identity Provider wie Okta oder Azure Active Directory erlaubt die vollständige Integration der genua-Fernwartung in eine zentrale Nutzerverwaltung mit unternehmensüblicher Multifaktor-Authentifizierung. Unternehmen profitieren damit von skalierbaren Mandanten-, Rollen- und Rechte-Konzepten und Nutzer können sich über ihr gewohntes Verfahren authentifizieren. Die genua-Lösung wurde sehr gut von den Bayer-Anwendern angenommen und bietet einen großen Mehrwert. Jani Alexander Krämer , Information Technology Security Analyst bei Bayer Entwicklung geht weiter Um die Sicherheit der eigenen Anlagen eng mit den entscheidenden Erfolgsfaktoren wie Verfügbarkeit und Flexibilität zu verknüpfen, sind weitere Funktionen bereits in der Planung: „In das Web-based Remote Maintenance legen wir viel Hoffnung. Tatsächlich haben mich Verantwortliche verschiedener Standorte bei Bekanntwerden direkt angeschrieben und Interesse bekundet“, sagt Krämer. Der Aufwand dafür sollte relativ gering sein, da lediglich ein zusätzlicher Web-Server in der demilitarisierten Zone installiert werden muss. Zwar hat dieser eigene Security-Anforderungen und erfordert eine eigene Security Review, dennoch „macht genua hier definitiv einen Schritt in die richtige Richtung, da das größte Problem für externe Firmen darin bestand, keine Third-Party Executable auf ihren Firmen-PCs laufen zu lassen. Eine browserbasierte Lösung hingegen kann in allen Unternehmen niedrigschwellig eingesetzt werden“, ergänzt Rocks. Aktuell befindet sich das Web-based Remote Maintenance in einem Test-Setup und wird auf Herz und Nieren geprüft, damit es auch wie geplant funktioniert. „Das wird denke ich das größte neue Feature sein, das hoffentlich noch in diesem Jahr kommt“, sagt Krämer. Damit wird der Werkzeugkasten derjenigen wieder ein Stück weit größer, die sich intensiv um den Schutz der Anlagen kümmern, damit die rasante Zunahme an Schadensereignissen in Zukunft wirksam begrenzt wird. Fernzugriff und OT-Sicherheit Anwenderbericht als PDF herunterladen Autor: Frank Jablonski, mylk+honey, Würzburg Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Fernwartung Industrie 4.0 Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Case Study 18.04.2021 Eine sichere Lösung, vergleichbar der analogen Welt Fernwartung von KRITIS bei der Deutschen Rentenversicherung Fernwartung für eine kritische Infrastruktur (KRITIS)? Eine heikle Sache. Die IT-Systeme der Deutschen Rentenversicherung verarbeiten sensible Medizin- und Sozialdaten und sind als KRITIS klassifiziert. Die Deutsche Rentenversicherung zeigt, wie Fernwartung machbar ist, die höchsten Sicherheitsanforderungen genügen muss. Deutsche Rentenversicherung in Baden-Württemberg: Teile der IT-Systeme sind als KRITIS klassifiziert und haben einen besonders hohen Schutzbedarf Der Projektsteckbrief Die Deutsche Rentenversicherung ist Betreiber eines gemeinschaftlichen Rechenzentrums in Würzburg Zu realisieren war die sichere Fernwartung von IT-Systemen, die als kritische Infrastrukturen (KRITIS) eingestuft sind 50 verschiedene Hersteller warten unterschiedliche IT- und Techniklösungen, von der Laborausstattung bis zur Office-IT Diese stehen an einer Vielzahl von Wartungsstandorten in Regionalzentren, Außenstellen, sozialmedizinischen Dienststellen, Rehakliniken und Therapiezentren Die Story: „Eine große sicherheitstechnische Herausforderung“ „In unserem Organisationsbereich möchten etwa 50 verschiedene Hersteller via Internet auf installierte Systeme zugreifen , um diese aus der Ferne zu warten. Das ist unter KRITIS-Bedingungen eine große sicherheitstechnische Herausforderung“, beschreibt Tobias Birk, Leiter des Security-Bereichs der Deutschen Rentenversicherung Baden-Württemberg (Dt.Re.Vers.) die Ausgangssituation. Die Träger der Deutschen Rentenversicherung (im Einzelnen: Nordbayern, Bayern-Süd, Schwaben, Rheinland-Pfalz, Hessen, Saarland, Baden-Württemberg) betreiben in Würzburg ein gemeinschaftliches Rechenzentrum. Dieses versorgt die auf fünf Bundesländer verteilten Träger mit einer Vielzahl an Regionalzentren, Außenstellen, sozialmedizinischen Dienststellen sowie Rehakliniken und Therapiezentren. Beratungsgespräch bei der deutschen Rentenversicherung: Die Daten von ca. 4 Millionen Versicherten der Deutschen Rentenversicherung Baden-Württemberg müssen zuverlässig geschützt werden. An diesen Standorten werden unterschiedlichste IT- und Techniklösungen betrieben, von der Laborausstattung in Kliniken über die Aufzugssteuerung in der Gebäudetechnik bis zur Office-IT für die Versichertenadministration. „ Wir benötigen eine sichere Lösung, vergleichbar der in der analogen Welt “, nennt Birk die Herausforderung. Er erläutert dies am Beispiel des Vor-Ort-Einsatzes von Service-Technikern, wie er früher üblich war. Der Techniker musste sich persönlich zunächst beim Empfang melden. Ein IT-Mitarbeiter der Deutschen Rentenversicherung überprüfte seine Identität und Berechtigung und begleitete ihn zur Anlage. Jeder Schritt des Technikers wurde persönlich überwacht. „Unberechtigte Personen hatten keine Chance. Auch wenn sie es über den Parkplatz bis zum Empfang geschafft hatten, konnten sie nicht unkontrolliert in das gut abgesicherte Haus hinein“, formuliert der IT-Security-Spezialist den Anspruch für eine sichere Fernwartungslösung. Der Auftrag: Sichere Fernwartung gemäß BSI-Vorgabe Fernwartung über externe Netze oder durch Dritte ist besonders kritisch. Das 2015 in Kraft getretene Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) schreibt KRITIS-Betreibern vor, die IT-Sicherheit nach dem „Stand der Technik“ umzusetzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) benennt Grundregeln zur Absicherung von Fernwartungszugängen und beschreibt notwendige Sicherheitsfunktionen, die erfüllt werden sollten. „Die BSI-Regeln waren für uns die Grundlage des Pflichtenhefts der Fernwartungslösung. Auf die revisionsoptimierte Aufzeichnung auch per Video und die Umsetzung eines Vier-Augen-Prinzips haben wir besonderen Wert gelegt. Außerdem soll unser Mitarbeiter die Fernwartungs-Session jederzeit unterbrechen können“, listet Birk die Forderungen auf. Es wurde zunächst unter Einbeziehung eines externen neutralen Dienstleisters eine Marktanalyse und Bewertung relevanter Fernwartungslösung durchgeführt. Am Ende blieben zwei Anbieter zur Auswahl. In einem Proof of Concept (PoC) wurden die Lösungen der beiden Anbieter unter realen Bedingungen mit drei Mandanten simuliert und ca. drei Monate lang intensiv getestet. Der PoC wurde nach der üblichen Kooperationsmethode im Rechenzentrums-Würzburg-Verbund der Deutschen Rentenversicherung gemeinsam von der IT der Dt.Re.Vers. Baden-Württemberg und den Spezialisten der Dt.Re.Vers. Rheinland-Pfalz und Bayern-Süd durchgeführt. Die Entscheidung fiel zugunsten der Fernwartungslösung des deutschen IT-Sicherheitsunternehmens genua GmbH. Die Tests hatten bestätigt, dass die Lösung alle Musskriterien erfüllt und sich auch im Betrieb bewährt. Die Lösung: Das Rendezvous-Konzept in der Fernwartung Zentrales Sicherheitselement der Fernwartungslösung genubox von genua ist das sogenannte Rendezvous-Konzept. Dabei werden keine einseitigen Fernwartungszugriffe in das Netz der Dt.Re.Vers. erlaubt. Alle externen Verbindungen erfolgen über einen Rendezvous Server, der in einer Demilitarisierten Zone (DMZ) installiert ist. Sowohl der externe Wartungstechniker als auch der interne Mitarbeiter der Dt.Re.Vers. bauen zu einem verabredeten Zeitpunkt Verbindungen zum Server auf. Diese werden als stark verschlüsselte und authentisierte Punkt-zu-Punkt-Verbindungen über einen VPN-Tunnel erzeugt. Erst mit dem Rendezvous auf dem Server entsteht die durchgängige Wartungsverbindung. Eine direkte Netzkoppelung findet nicht statt. Durch die Rendezvous-Lösung behält die Dt.Re.Vers. die vollständige Kontrolle über die Wartungszugriffe in ihre Netze. Sichere Fernwartung mit der genubox: Rendezvous-basierte Architekturen sind Stand der Technik. Dabei treffen sich Fernwarter und Betreiber zu einem vereinbartem Zeitpunkt auf einem Rendezvous-Server in einer DMZ. Das Konzept garantiert dem Betreiber zu jeder Zeit die Kontrolle über den Zugriff auf sein Netzwerk und seine Anlagen. Die Umsetzung: In zwei Wochen zur sicheren Fernwartung Die Implementierung der Fernwartungslösung erfolgte zusammen mit genua und wurde innerhalb von zwei Wochen umgesetzt. Dabei konnten die vorkonfigurierten und getesteten Elemente aus dem Proof of Concept übernommen werden. „Mit genucenter als Management Station administrieren wir alle Fernwartungselemente an einer zentralen Stelle. So ist es relativ einfach, den Status im Blick zu behalten oder zusätzliche Hardware einzubinden“, berichtet Tobias Birk. Der IT-Security-Spezialist arbeitet in Stuttgart, das Rechenzentrum befindet sich in Würzburg und die fernzuwartenden Systeme befinden sich in Bayern, Baden-Württemberg, Rheinland-Pfalz, Saarland und Hessen. Für diese verteilten Strukturen benötigte die Dt.Re.Vers. ein differenziertes Rollenkonzept , um die Erfordernisse mehrerer rechtlich eigenständiger Nutzer erfüllen zu können. Auch die unterschiedlichen Sicherheitsbeauftragten sollten bei einem Audit nur Zugriff auf die Daten ihres Mandanten erhalten. Für die Vervollständigung der Fernwartungslösung hatte die Dt.Re.Vers. noch weitere Remote-Desktop-Anforderungen. Dazu gehörte die Möglichkeit, die Option eines Datentransfers konfigurierbar zu gestalten, um hier flexibel zu sein. „genua hat die Change Requests angenommen und nach unseren Wünschen umgesetzt“, so Birk. „Die Unterstützung und der Support von genua sind gut. Bei Bedarf haben wir immer einen Ansprechpartner und nicht nur ein anonymes Web-Ticket-System. Wenn es dringend ist, können wir weitere Eskalationsstufen nutzen.“ Die neue Welt: Eine einheitliche, schlanke Lösung für alle Die beteiligten Mitarbeiter der Dt.Re.Vers . mussten sich zunächst mit dem neuen System vertraut machen. Der Tenor war schließlich sehr positiv , weil die neue Lösung für alle Anwendungen einheitlich ist. Die Vielfalt an Methoden und Bedienoberflächen entfällt. Zusätzlich kann jeder Admin für seinen Bereich notwendige Details anpassen. So kann der Aufbau der SSH-Verbindung über Tools wie Putty oder einen Viewer von genua erfolgen. Der externe Wartungszugriff lässt sich über die Central Management Station zudem auf bestimmte Bereiche oder einzelne Systeme einschränken. Auch zeitlich kann die Nutzung auf definierte Tageszeiten beschränkt werden. Schließlich besteht die Möglichkeit, die Fernwartungs-Session in der Dauer zu beschränken. „Das ist wie früher die Kontrolle durch den Wachdienst. Wir definieren ein elektronisches Wachbuch und wissen jederzeit, wer noch anwesend ist und was er macht“, fasst Birk die Möglichkeiten zusammen. Der Betrieb dieser zentralen Lösung erfolgt innerhalb der Region Süd Südwest der Dt.Re.Vers. bzw. im RZW-Verbund gemäß dem hier vorherrschenden Kooperationsmodell. Dies bedeutet konkret, dass sich die Dt.Re.Vers. BW und die Dt.Re.Vers. Rheinland-Pfalz den Betrieb teilen. Der Kontakt zu den externen Herstellern und Dienstleistern wird über einen Single Point of Contact zur Verfügung gestellt. Das Konzept ist völlig transparent . Alle autorisierten Benutzer sind in einer Auftragsdatenbank registriert. Hier ist auch hinterlegt, welche Berechtigungen sie jeweils haben. Die externen Partner reagierten auf die neue Lösung zunächst sehr zurückhaltend. Der Hinweis auf die KRITIS-Anforderungen sorgte für mehr Verständnis. Schließlich konnte die extrem schlanke Lösung überzeugen . „Hersteller und IT-Dienstleister müssen keine zusätzliche Software installieren. Sie laden einen ‚portable Client‘ herunter, spielen in diesem Client die seitens der Dt.Re.Vers. vordefinierte Konfiguration ein und der Client ist funktionstüchtig. Das war es schon“, so Birk. Das Fazit: "Wenn es einfach ist, wird es auch akzeptiert" Die Lösung mit dem Rendezvous-Konzept zur Einbindung externer Zugriffe hat sich bei der Dt.Re.Vers. in der Praxis als schnell, zuverlässig und sicher bewährt. Die Sicherheit aus der analogen Welt konnte erfolgreich auf die KRITIS-Infrastruktur übertragen werden. „Die Fernwartungslösung ist einfach und sicher. Und wenn es einfach ist, wird es auch akzeptiert. Selbst wenn das Laptop eines externen Service-Technikers gestohlen wird, gelangt es sinngemäß nur bis auf den Parkplatz vor dem Gebäude. Das Innere des Gebäudes selbst ist sicher. Das ist Security by Default“, gibt der Leiter des Dt.Re.Vers.-Firewall-Kompetenzteams eine gute Bewertung der Security-Lösung. Sichere KRITIS-Fernwartung: Anwenderbericht als PDF herunterladen Bildquellen: Fotos: Deutsche Rentenversicherung Baden-Württemberg, Pressestelle; Grafik: genua GmbH Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Öffentlicher Sektor KRITIS Fernwartung Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Central Management Station genucenter Komfortable und effiziente Administration von IT-Sicherheitslösungen Zurück zur Übersicht

Case Study 21.11.2024 Fernwartung für die Energiewirtschaft Hitachi Energy – Fast Response Center für die Energiewende Für die Energiewirtschaft wird die Verfügbarkeit von energietechnischen Einrichtungen immer wichtiger. Deshalb arbeiten Betreiber und Dienstleister seit Jahren mit Fernwartung. Doch durch die steigende Komplexität der Netze und die zunehmende Bedrohung durch Cyberangriffe rückt die Sicherheit solcher Systeme zunehmend in den Fokus. Wie Fernwartung sicher und effizient betrieben werden kann, zeigt das Beispiel des Grid Automation Service von Hitachi Energy: Dort werden zwischen 80 und 100 Support Cases pro Monat bearbeitet, viele davon mit einem Remote-Zugang. Hitachi Energy mit Hauptsitz in der Schweiz plant und realisiert Umspannwerke, Hochspannungs-Gleichstrom-Übertragungs-Verbindungen, Transformatoren-Stationen und zahlreiche weitere Anlagen der Energieversorgung. Über seinen Grid Automation Service wartet das Unternehmen zudem energietechnische Einrichtungen weltweit. Für den sicheren Remote-Zugriff auf Kundensysteme nutzt Hitachi Energy die genubox-Technologie der genua GmbH. Projekt-Steckbrief Der Kunde: Hitachi Energy mit Hauptsitz in der Schweiz plant und realisiert Umspannwerke, Hochspannungs-Gleichstrom-Übertragungs-Verbindungen, Transformatoren-Stationen und zahlreiche weitere Anlagen der Energieversorgung. Die Aufgabe: Unterstützung von Hitachi-Kunden weltweit, die Support bei Alarmen und Fehlfunktionen oder Szenarien der Maschinenüberwachung, der Ferndiagnose oder des Remote Access benötigen. Die Lösung: Die genubox sichert den Fernzugriff auf die Kunden-Anlagen und erlaubt dem Anwender die vollständige Verbindungskontrolle in sein Netzwerk. Es ist vielleicht das erste Mal seit der Industrialisierung, dass sich eine wesentliche Säule der Wirtschaft in Deutschland so dramatisch verändert, wie derzeit die Energielandschaft. Gleich mehrere parallele Treiber beschleunigen den Wandel: Vom Ausstieg aus der Kernenergie, über die Gasmangellage zu Beginn des russischen Angriffskrieges auf die Ukraine bis hin zum Klimawandel führen diese Ereignisse in der Summe zu einem noch nie dagewesenen Wachstum bei dezentralen Energiequellen und neuen, dezentralen Verteilnetzen. Und mit ihnen wachsen die Anforderungen an Stromproduzenten, Netzbetreiber und Zulieferer. Einer der Technologieführer in der Energiewirtschaft ist Hitachi Energy. Das Unternehmen mit Hauptsitz in der Schweiz beschäftigt rund 45.000 Mitarbeiter in 90 Ländern und erwirtschaftet ein Geschäftsvolumen von rund 13 Milliarden US-Dollar Umsatz. Kunden aus den Bereichen Energie, Industrie und Infrastruktur stehen alle vor derselben Herausforderung: In einer immer komplexer werdenden Welt die Energiewende hin zu einer klimaneutralen Zukunft voranzutreiben, ohne den Überblick zu verlieren. Das geht nur mit intelligenten Konzepten, eingebettet in eine sichere, weitgehend automatisierte und digitalisierte Struktur. „Wir entwickeln das Energiesystem unserer Kunden weiter, um sie nachhaltiger, flexibler und sicherer zu machen und gleichzeitig mit wirtschaftlichen, ökologischen und sozialen Werten in Einklang zu bringen“, sagt Michael Joos. Er ist Chef des Collaborative Operations Center, kurz COC, in Baden in der Schweiz. „Die Automatisierung und Flexibilisierung steht bei unserer Geschäftseinheit Grid Automation besonders im Vordergrund. Für unsere Kunden wird dabei ein Aspekt immer wichtiger: Die Verfügbarkeit der Anlagen und Netze“, ergänzt Joos. Um diese zu maximieren, konzentriert sich Hitachi Energy mit seinem Grid Automation Service auf sechs Leistungsfelder: Intelligente Ersatzteilvorhaltung und -versorgung Software- und Firmware-Unterstützung Maßgeschneiderte Schulungen Werkzeuge und Knowhow für eine präventive Instandhaltung Cyber-Security-Lösungen und Schnelle und flexible Unterstützung im Service-Fall. Mehr als 40 Engineering- und Servicezentren liegen strategisch günstig um den Globus verteilt, um diese Themen zu bearbeiten und die Automatisierungs- und Kommunikationssysteme der Anwender aus mehr als 140 Ländern am Laufen zu halten. Geräte- und Systemschulungen sorgen dafür, dass das Betriebspersonal schnell und effizient reagieren kann. Wo das nicht reicht, identifizieren und analysieren Joos und seine Kollegen die Ursachen von Geräteausfällen und schlagen effektive Maßnahmen vor. Sie beraten in Bezug auf Ersatzteile, Upgrades und Nachrüstungen oder auch zu Fragen der Cybersicherheit. Kurze Reaktionszeiten gefragt Die genubox XSi von Genua ist eine hochsichere VPN-Lösung, die speziell für den Einsatz in sensiblen Industrie-4.0-Umgebungen entwickelt wurde. Sie ermöglicht die sichere Vernetzung und Fernwartung von Maschinen und Anlagen durch verschlüsselte Datenübertragung. Zeit ist Geld. Diesen Spruch hat jeder Anwender im Hinterkopf, wenn es in der Anlage klemmt. Herzstück für eine schnelle Fehlerbehebung und Ursachenanalyse ist die Customer-Connect-Center-Systematik, bei der jeder Kunde zum passenden Berater geroutet wird. Dragan Klisaric, Global COC Manager und somit verantwortlich für alle Collaborative Operations Center weltweit, beschreibt den Aufbau: „Vergleichbar zu unserem COC hier in Baden gibt es sechs weitere Zentren, die so in den unterschiedlichen Zeitzonen platziert sind, dass unsere Experten rund um die Uhr ansprechbar sind. Im Support-Netzwerk arbeiten alle zusammen, wir tauschen Know-how untereinander aus und arbeiten nach dem Follow-the-Sun-Konzept zusammen.“ Viele Kunden, vor allem der kritischen Infrastruktur nutzen Service Level Agreements in denen sehr schnelle Antwortzeiten definiert sind. Je nach Vertrag können das ein, zwei Stunden sein, bis hin zu einem First Response von 15 Minuten. „Um solche Antwortzeiten zu erreichen, müssen verschiedene Bedingungen erfüllt sein. Zunächst einmal arbeiten wir zusammen mit den lokalen Einheiten. Sie kennen die Anlagen bereits sehr gut und müssen sich nicht erst langwierig einarbeiten. Wenn uns ein Kunde anruft, müssen wir nicht erst nachschauen, was könnte der von uns gekauft haben. Sondern wissen wir ganz genau, wer auf der anderen Seite sitzt, was sein System ist und wo die Probleme liegen könnten“, sagt Klisaric. Der Blick in die Anlage Dragan Klisaric (rechts) ist Global Manager der Collaborative Operations Center und Michael Joos (mitte), Chef des COC in Baden, Schweiz. Von hier aus werden mit Hilfe der genubox zahlreiche Fernwartungsvorgänge für die Kunden von Hitachi Energy gesteuert. Um den Anwendern bei einem Notfall schnell helfen zu können, sind die Ingenieure und Techniker im Support darauf angewiesen, sehr schnell Informationen zu bekommen. Wie sieht es im System aus, welche Alarme gibt es, wie lauten Events in Logbüchern, können Informationen schnell heruntergeladen werden, Logfiles, Störschreiber-Einträge – das sind typische Fragen, die früher per Telefon und über E-Mail geklärt werden mussten. „Diese Zeiten sind glücklicherweise vorbei“ sagt Joos und ergänzt: „Das Entscheidende ist, dass wir heute eine sichere Möglichkeit haben, direkt auf das Kundensystem zuzugreifen. Unsere Service Level Agreements definieren, wer kann zugreifen, wann kann zugegriffen werden, auf welche Systeme kann man zugreifen. Dass das Ganze sicher abläuft, dafür sorgt unser Partner genua mit der genubox.“ Das Tochterunternehmen der deutschen Bundesdruckerei-Gruppe ist ein IT-Security-Unternehmen und Experte, wenn es darum geht, komplexe und kritische, digitale Infrastrukturen zu schützen. Neben der Beratung und Software-Anwendungen ist es auch spezielle Hardware, mit der der entfernte Zugriff auf Anlagen sicher realisiert werden kann. „genubox ist die Antwort auf die berechtigten Sicherheitsfragen unserer Kunden“, sagt Joos. „Sie löst unsere Herausforderungen in Bezug auf Remote-Engineering, Cyber Security, Anlagen-Zugriff aus der Ferne, oder Anbindung ans Internet. Wir nutzen sie als Servicebox und als Plattform für unterschiedliche Funktionalitäten.“ Wenn alle Wartungsverbindungen über die genubox laufen, ist die Anlage sicher und Anwender behalten die volle Kontrolle. Der Zugriff von außen erfolgt port- bzw. anwendungsgenau auf das vom Rest der Anlage isolierte Zielsystem. Es stehen dezidierte Rendezvous-Punkte zur Verfügung. Sie liegen beispielsweise in der Cloud oder in der sogenannten demilitarisierten Zone. Das sind Computer, die zwischen zwei Netzwerken liegen und diese durch strenge Zugriffsregeln voneinander abgrenzen. Alle Zugriffe stets im Blick Struktur der Fernwartung bei Hitachi Energy: Ohne die Lösung von genua wäre hier kein sicherer Zugang von außen auf die Kundenanlagen möglich. Pro Monat werden zwischen 80 und 100 Support-Cases bearbeitet – etwa fünf Prozent davon remote. Dennoch: „Im Kundengespräch stellt sich immer wieder die Frage: Ist das sicher genug? Auch in Fällen, in denen wir unsere Partner davon überzeugen konnten, dass die Systematik sicher ist und dass sich bedeutende Vorteile ergeben, bleibt nicht selten Unsicherheit bestehen. Das geht so weit, dass der Anlagenzugriff auf einzelne Hitachi-Energy-Kollegen beschränkt ist, sonst darf niemand aus der Ferne in die Anlage“, sagt Joos. Auch hier bietet die verwendete Software und Authentifizierungslogik eine Lösung: Gängige Identitäts- und Zugriffsmanagementsysteme können angebunden werden und somit Benutzer und ihre Rechte einfach und zentral verwaltet werden. Hilfreich für sehr sensible Bereiche ist neben der Verbindungskontrolle das Monitoring: Anwender können mithilfe von genubox sämtliche Wartungsarbeiten live über die Bedienoberfläche mitverfolgen und Videomitschnitte zur revisionsoptimierten Dokumentation erstellen. So sind Wartungsaktion, Zugriffszeitpunkt, Ziel und zugreifende Instanz in Echtzeit überwacht und zu jeder Zeit dokumentiert. „Wir sind sehr zufrieden mit der genua-Technik und der Zusammenarbeit mit den Kollegen. Durch die Nutzung stellen wir gegenüber unseren Kunden sicher, dass der Remote Access nur durch autorisiertes Personal erfolgt, und können eine schnelle Reaktion zeigen, die den Namen ‚Rapid Response‘ verdient“, sagt Klisaric. Mit Hilfe von genubox kann der Geschäftsbereich Grid Automation der Hitachi Energy seine Servicevereinbarungen auf die Bedürfnisse der Kunden zuschneiden. In Notfällen oder bei geplanten Betriebsunterbrechungen werden Reparaturen so zügig erledigt, damit die betroffene Anlage schnell wieder ihren Platz im Stromnetz und der Energiewende einnehmen kann. Autor: Frank Jablonski, mylk+honey, Würzburg Mehr zur Fernwartungslösung genubox . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Fernwartung KRITIS Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht