Live-Übertragung mit sehr hoher Datensicherheit

In Zeiten massiver Digitalisierung und Vernetzung haben sie sich dramatisch verändert, die Anforderungen an die Sicherheit, denen sich Betreiber kritischer Infrastrukturen gegenübersehen. Nie war es so einfach, Daten über den Zustand von Systemen wie einem Bahnnetz, dem Stromnetz oder einer Produktionsanlage zu sammeln, zu analysieren und dadurch beispielsweise Ausfallzeiten zu verringern. Die Kehrseite: Weil die Infrastrukturen damit teilweise ans Internet oder sogar an Cloud-Plattformen angebunden sind, steigt auch die Gefahr von Angriffen durch Hacker, die Zugriff auf Daten und Systeme erlangen und auf diesem Weg kritische Störungen etwa im Bahnverkehr verursachen könnten.

Eine neue Hardware von Siemens eröffnet nun eine ganze Bandbreite neuer Möglichkeiten im Bereich der Cybersecurity. „Bisher war es nicht in dieser Form möglich, kritische Infrastrukturen über eine Cloud-Plattform anzubinden und neue digitale Services anzubieten“, erklärt Martin Wimmer, Experte für IT-Security in der globalen Forschungsabteilung Corporate Technology (CT). „Die Division Mobility hat zusammen mit uns eine Hardware entwickelt, mit der das jetzt sicher und wirtschaftlich möglich ist.“

Das silberne Kästchen, das dieses neue Maß an Sicherheit bietet, ist eine Datendiode (Data Capture Unit, kurz DCU) und etwa so groß wie eine externe Computerfestplatte. Sie sieht unspektakulär aus, hat aber enormes Potenzial. Die DCU verbindet ein geschlossenes Netzwerk über einen unidirektionalen Datenkanal sicher mit einem Speichermedium, Server oder einer Cloud-Plattform. „Das ist wie eine Daten-Einbahnstraße“, sagt Wimmer. „Die Diode ermöglicht den Blick auf den Datenfluss und protokolliert alle Vorgänge. Ob ein Unbefugter zusieht, ist in den vorgesehenen Einsatzfeldern meist nicht sicherheitsrelevant.“ Beispiel Stellwerke: Hier ist es für die Sicherheit von Schranken oder Weichen nicht von Bedeutung, dass Hacker die Daten auslesen und so den Zustand des Systems erkennen könnten. Entscheidend ist, dass die Schranken und Weichen nicht beeinflusst werden können. Da die Diode auf einem physikalischen Prinzip aufbaut und die Daten nur in eine Richtung fließen können, ist der Zugriff aus dem Internet unmöglich. So können Systeme an die Cloud angebunden werden.

Es gibt bereits Datendioden in Bereichen, in denen die Vertraulichkeit der Daten entscheidend ist, beispielsweise bei Behörden oder beim Militär. „Diese arbeiten aber wesentlich komplexer, was sie auch deutlich teurer macht“, sagt Matthias Seifert, der bei Siemens Mobility die Entwicklungskooperation zur Datendiode leitete. „Komplex ist auch, wie die Anbieter dieser Systeme nachweisen, dass sie sicher sind. Die Sicherheit der DCU hingegen ist für jedermann verständlich und nachweisbar.“ Das Eisenbahnbundesamt hat die neue DCU bereits zugelassen. Wenn deutsche Kunden jetzt bei Siemens ein Stellwerk ordern, ist die Hardware für einen sicheren Anschluss an das Internet der Dinge bereits mit dabei. Seifert ergänzt: „Unsere DCU ist deutlich günstiger als bisherige Angebote auf dem Markt.“ Das ist ein entscheidendes Kriterium für einen Massenmarkt. Im Rahmen einer ersten Pilotinstallation in Belgien nutzt beispielsweise der Betreiber eines Straßenbahnnetzes die DCU, um dessen Gleiskreise via Anbindung an die Cloud zu überwachen.

Auch die Installation ist laut Seifert denkbar einfach: „Die DCU kann unbemerkt in eine bestimmte Datenübertragung eingeklinkt und mit einem externen Auswertesystem, bestehend aus einem oder mehreren Computern, verbunden werden. Selbst wenn die DCU entfernt oder abgeschaltet wird, kann dies vom überwachten System nicht bemerkt werden. Das Kundensystem läuft ganz normal weiter. “ Deshalb traue man sich auch zu, sogenannte Intrusion Detection Systems (IDS) – also das effektive und kontrollierte Absuchen von Netzwerken nach anormalen oder böswilligen Aktivitäten – und Juridical Recording Systems (JRS) – die Datenaufzeichnung für juristische Zwecke – als potenzielle Einsatzfelder zu benennen. „Je nachdem, wie viel ich dann noch auf Applikationsebene vorne und hinten dazupacke“, ergänzt Wimmer, „kann nicht nur die Integrität und Vertraulichkeit des Systems, sondern auch der Datenaufzeichnung garantiert werden.“

Traditionell sind die Netzwerke in sicherheitskritischen Branchen durch Firewalls geschützt oder durch sogenannte „Air Gaps“, was bedeutet, dass sie vollständig isolierte Dateninseln sind. Beide Lösungen haben ihre Schwächen. Air Gaps – wie sie beispielsweise bei Kraftwerksnetzen eingesetzt werden – ermöglichen keine Übertragung von Live-Daten aus dem Netz heraus. Das Potenzial der vorhandenen Datenfülle wird daher nicht ausgeschöpft. Und Firewalls sind anfällig für Fehlkonfigurationen und Hintertüren. Die Filterregeln einer Firewall müssen zum Beispiel bei Maschinen mit hoher Kommunikationsfähigkeit und Funktionsvariabilität häufig überprüft und angepasst werden, weil immer neue Cyberbedrohungen auftauchen.

Die DCU ist ein Beispiel dafür, wie durch eine spezifische Lösung für Mobility eine übergreifende Anwendung für Cybersecurity gefunden wurde, die für die strategische Umsetzung der Digitalisierung für Siemens essenziell ist. „Dank der Datendiode werden Anwender in die Lage versetzt, nicht nur ihren Beitrag zur Gestaltung einer sicheren, intelligenten Mobilität zu leisten, sondern auch die Digitalisierung von Energieversorgung und Produktion voranzutreiben“, sagt Mobility CEO Michael Peter.

21.02.2018

Sandra Zistl