Live-Übertragung mit sehr hoher Datensicherheit

Ein kleines Stück Hardware macht die Anbindung von Geräten an die Cloud sicher, kostengünstig und damit tauglich für den Massenmarkt. Das ist ein großer Schritt für das industrielle Internet der Dinge, dessen Potenzial nur bei höchstmöglicher Sicherheit voll ausgeschöpft werden wird. Eine neue Datendiode von Siemens verhindert, dass Systeme via Internet von Hackern gesteuert werden können, ein wichtiges Kriterium für Betreiber kritischer Infrastrukturen.

 

von Sandra Zistl

In Zeiten massiver Digitalisierung und Vernetzung haben sie sich dramatisch verändert, die Anforderungen an die Sicherheit, denen sich Betreiber kritischer Infrastrukturen gegenübersehen. Nie war es so einfach, Daten über den Zustand von Systemen wie einem Bahnnetz, dem Stromnetz oder einer Produktionsanlage zu sammeln, zu analysieren und dadurch beispielsweise Ausfallzeiten zu verringern. Die Kehrseite: Weil die Infrastrukturen damit teilweise ans Internet oder sogar an Cloud-Plattformen angebunden sind, steigt auch die Gefahr von Angriffen durch Hacker, die Zugriff auf Daten und Systeme erlangen und auf diesem Weg kritische Störungen etwa im Bahnverkehr verursachen könnten.

Hardware als Wegbereiter der Digitalisierung

Eine neue Hardware von Siemens eröffnet nun eine ganze Bandbreite neuer Möglichkeiten im Bereich der Cybersecurity. „Bisher war es nicht in dieser Form möglich, kritische Infrastrukturen über eine Cloud-Plattform anzubinden und neue digitale Services anzubieten“, erklärt Martin Wimmer, Experte für IT-Security in der globalen Forschungsabteilung Corporate Technology (CT). „Die Division Mobility hat zusammen mit uns eine Hardware entwickelt, mit der das jetzt sicher und wirtschaftlich möglich ist.“

Das silberne Kästchen, das dieses neue Maß an Sicherheit bietet, ist eine Datendiode (Data Capture Unit, kurz DCU) und etwa so groß wie eine externe Computerfestplatte. Sie sieht unspektakulär aus, hat aber enormes Potenzial. Die DCU verbindet ein geschlossenes Netzwerk über einen unidirektionalen Datenkanal sicher mit einem Speichermedium, Server oder einer Cloud-Plattform. „Das ist wie eine Daten-Einbahnstraße“, sagt Wimmer. „Die Diode ermöglicht den Blick auf den Datenfluss und protokolliert alle Vorgänge. Ob ein Unbefugter zusieht, ist in den vorgesehenen Einsatzfeldern meist nicht sicherheitsrelevant.“ Beispiel Stellwerke: Hier ist es für die Sicherheit von Schranken oder Weichen nicht von Bedeutung, dass Hacker die Daten auslesen und so den Zustand des Systems erkennen könnten. Entscheidend ist, dass die Schranken und Weichen nicht beeinflusst werden können. Da die Diode auf einem physikalischen Prinzip aufbaut und die Daten nur in eine Richtung fließen können, ist der Zugriff aus dem Internet unmöglich. So können Systeme an die Cloud angebunden werden.

Da die Daten nur in eine Richtung fließen können, ist der Zugriff aus dem Internet unmöglich. Eine Cloud-Anbindung ist somit unproblematisch.

Zulassung durch Eisenbahnbundesamt, Pilot in Belgien

Es gibt bereits Datendioden in Bereichen, in denen die Vertraulichkeit der Daten entscheidend ist, beispielsweise bei Behörden oder beim Militär. „Diese arbeiten aber wesentlich komplexer, was sie auch deutlich teurer macht“, sagt Matthias Seifert, der bei Siemens Mobility die Entwicklungskooperation zur Datendiode leitete. „Komplex ist auch, wie die Anbieter dieser Systeme nachweisen, dass sie sicher sind. Die Sicherheit der DCU hingegen ist für jedermann verständlich und nachweisbar.“ Das Eisenbahnbundesamt hat die neue DCU bereits zugelassen. Wenn deutsche Kunden jetzt bei Siemens ein Stellwerk ordern, ist die Hardware für einen sicheren Anschluss an das Internet der Dinge bereits mit dabei. Seifert ergänzt: „Unsere DCU ist deutlich günstiger als bisherige Angebote auf dem Markt.“ Das ist ein entscheidendes Kriterium für einen Massenmarkt. Im Rahmen einer ersten Pilotinstallation in Belgien nutzt beispielsweise der Betreiber eines Straßenbahnnetzes die DCU, um dessen Gleiskreise via Anbindung an die Cloud zu überwachen.

 „Wir haben auf ein physikalisches Prinzip gesetzt“, erklärt Seifert. „Man hängt die Diode an eine Leitung und schaut, was an Signalen vorbeikommt.“ Dies geschehe mittels einer induktiven Ankopplung an die Leitung. „Es ist eine Halbleiterelektronik, die nur lesen, aber nicht schreiben kann“, erklärt er weiter. „Wenn ich mich an ein Kabel dranklemme, dann kann ich den Stromfluss lesen, sozusagen die Nullen und Einsen herausholen.“ Die Diode sende die Daten unidirektional, habe keine eigene IP-Adresse und sei als sogenannter „Ethernet Tap“, mit dessen Hilfe übertragene Datensignale mitgelesen aber nicht manipuliert werden können, im Kundensystem für Dritte nicht auffindbar. Geschützt vor Erschütterungen, Vibrationen, Temperaturschwankungen und elektromagnetischen Schwingungen sei sie zudem perfekt für den Einsatz in rauen Umgebungen wie etwa in Zugfahrzeugen oder Fabriken geeignet.

Datenaufzeichnung für juristische Zwecke

Auch die Installation ist laut Seifert denkbar einfach: „Die DCU kann unbemerkt in eine bestimmte Datenübertragung eingeklinkt und mit einem externen Auswertesystem, bestehend aus einem oder mehreren Computern, verbunden werden. Selbst wenn die DCU entfernt oder abgeschaltet wird, kann dies vom überwachten System nicht bemerkt werden. Das Kundensystem läuft ganz normal weiter. “ Deshalb traue man sich auch zu, sogenannte Intrusion Detection Systems (IDS) – also das effektive und kontrollierte Absuchen von Netzwerken nach anormalen oder böswilligen Aktivitäten – und Juridical Recording Systems (JRS) – die Datenaufzeichnung für juristische Zwecke – als potenzielle Einsatzfelder zu benennen. „Je nachdem, wie viel ich dann noch auf Applikationsebene vorne und hinten dazupacke“, ergänzt Wimmer, „kann nicht nur die Integrität und Vertraulichkeit des Systems, sondern auch der Datenaufzeichnung garantiert werden.“

 

Traditionell sind die Netzwerke in sicherheitskritischen Branchen durch Firewalls geschützt oder durch sogenannte „Air Gaps“, was bedeutet, dass sie vollständig isolierte Dateninseln sind. Beide Lösungen haben ihre Schwächen. Air Gaps – wie sie beispielsweise bei Kraftwerksnetzen eingesetzt werden – ermöglichen keine Übertragung von Live-Daten aus dem Netz heraus. Das Potenzial der vorhandenen Datenfülle wird daher nicht ausgeschöpft. Und Firewalls sind anfällig für Fehlkonfigurationen und Hintertüren. Die Filterregeln einer Firewall müssen zum Beispiel bei Maschinen mit hoher Kommunikationsfähigkeit und Funktionsvariabilität häufig überprüft und angepasst werden, weil immer neue Cyberbedrohungen auftauchen.

 

Die DCU ist ein Beispiel dafür, wie durch eine spezifische Lösung für Mobility eine übergreifende Anwendung für Cybersecurity gefunden wurde, die für die strategische Umsetzung der Digitalisierung für Siemens essenziell ist. „Dank der Datendiode werden Anwender in die Lage versetzt, nicht nur ihren Beitrag zur Gestaltung einer sicheren, intelligenten Mobilität zu leisten, sondern auch die Digitalisierung von Energieversorgung und Produktion voranzutreiben“, sagt Mobility CEO Michael Peter.

21.02.2018

Sandra Zistl

Abonnieren Sie unseren Newsletter

Bleiben Sie auf dem Laufenden: Alles was Sie über Elektrifizierung, Automatisierung und Digitalisierung wissen müssen.

Verwandte Themen