Startseite > Office & Kommunikation > Geschützte Netze gegen den Blackout

M2M-Kommunikation, Internet-of-Things

Geschützte Netze gegen den Blackout

27. April 2015, 13:22 Uhr | Roland Kruger, Secunet Security Networks

Fortsetzung des Artikels von Teil 1

Bisherige Lösungen und Aufgaben

Naheliegend als typische Maßnahme in Produktionsanlagen und Transportnetzen ist daher die zugehörigen Datennetze konsequent von der Bürokommunikation und anderen Unternehmensnetzen zu separieren, insbesondere vom öffentlichen Internet. Dieser Separationsansatz ist ein bekanntes Wirkprinzip, das aber durch die steigende Vernetzung der IT-Systeme immer mehr aufgeweicht wird. Denn erweiterte Fernwirk- und Fernwartungsszenarien versprechen Kosteneinsparungen, schnellere Reaktionsmöglichkeiten und Überwachungsmöglichkeiten in Echtzeit. Ein Virtual-Private-Network (VPN) ist aus informationstechnischer Sicht ein zweischneidiges Schwert. Zum einem verbirgt es durch Verschlüsselung die übertragenen Informationen vor einem beliebigen, zur Übertragung genutzten Netz. Zum anderen aber koppelt es die Netze von Sender und Empfänger über das Übertragungsnetz hinweg und nivelliert dabei beide Netze auf das schwächere Sicherheitsniveau. Ist das Sender- oder Empfängernetz angreifbar, so ist es über den VPN-Tunnel plötzlich auch das andere angebundene Netz. Eine sichere Kopplung bedeutet somit nicht automatisch eine gelungene Separierung, sondern stellt sogar ein weiteres Risiko dar.

Ein Lösungskonzept muss die verbundenen Netze als Netzsegmente mit eigenen Sicherheitsanforderungen – so genannte Sicherheitszonen – identifizieren und behandeln. Die Kopplung der Sicherheitszonen muss über definierte Sicherheitsbeziehungen erfolgen. Ein zentrales Management der Sicherheitsbeziehungen ist unerlässlich. So kann, beispielsweise aus dem Leitstand heraus, eine Kopplung erlaubt oder jederzeit auch unterbunden werden. Der Leitstand behält somit die Kontrolle. Diese Kontrolle der Koppelung wird als virtuelles Air Gap bezeichnet.

Als Netzsegment sind zum Beispiel auch die per VPN angeschlossenen mobilen Endgeräte von Wartungstechnikern zu berücksichtigen, sei es im Servicefall von externen Dienstleistern oder durch eigenes Personal, etwa im Bereitschaftsfall. Sepa-rationslösungen für Endgeräte sind am Markt vorhanden. Zum Beispiel durch das Bundesamt für Sicherheit in der Informa-tionstechnik (BSI) zugelassene Geräte für die Verarbeitung von vertraulich eingestuften Dokumenten.

Das Besondere an einer solchen Zulassung ist die Betrachtung von Einsatzszenarios. Es wird somit nicht nur die technische Wirksamkeit von Sicherheitseigenschaften geprüft und bestätigt, sondern auch die Eignung in definierten Einsatzszenarien. Bei einer konsequenten Ende-zu-Ende-Separierung behält dabei der Leitstand gleich einer Spinne im Netz die Fäden in der Hand. Hier wird über klar definierte Sicherheitsbeziehungen festgelegt, welche Netzsegmente zu einer gemeinsamen Sicherheitszone gekoppelt werden: wann, wie lange, dauerhaft oder ad hoc.

Sorgenfrei selbst vertrauliche Daten über öffentliche Netze zu transportieren ist Aufgabe eines VPNs, wobei die Kontrolle bei den Prozessverantwortlichen liegen muss, welche Netzsegmente und Endgeräte sich zu einem Sicherheitsbereich verbinden. Eine VPN-Lösung ist somit nur eine technische Teilkomponente, die erst in Kombination mit den entsprechenden Prozessen und kontrollierten Sicherheitszonen das gewünschte Sicherheitsniveau erreicht. Nur dann sind verlässliche Abfragen von Betriebsparametern, kontrolliert steuernder Zugriff auf industrielle Infrastrukturen, sowie ein schnelles Notfallmanagement über öffentliche Netze möglich. So kann auch das vertrauenswürdige Endgerät im Einsatzfall in die Sicherheitszone kontrolliert eingegliedert werden, bis der Einsatz erledigt ist.