Industrie 4.0 braucht einheitliche EU-Security-Regeln

Was ist eigentlich Industrie 4.0? Für die einen ist Industrie 4.0 lediglich ein Unterbegriff des Internet of Things (IoT), oder treffender wie im englischsprachigen Raum das Industrial Internet of Things (IIoT) - oder schlicht Smart Manufacturing. Andere wiederum unterscheiden zwischen IoT und seiner mechanistischen Herangehensweise und der prozessorientierten Herangehensweise von Industrie 4.0, wo die Auswertung der gewonnenen Daten wichtiger sei. Der kleinste gemeinsame Nenner dürfte wohl sein, dass Industrie 4.0 ein Begriff für die Veränderung in der industriellen Produktion ist.

Die Technik hinter Industrie 4.0

Doch schon bei der Frage, welches die technologischen Voraussetzungen für diese Veränderung sind, trennen sich die Geister. Für Oliver Edinger, Head of IoT/ Industrie 4.0 bei SAP, ist die Entwicklung der Speicherpreise ein wesentlicher Punkt. "Hätten sich die Preise nicht so nach unten entwickelt", so Edinger, "könnten gar nicht die Informationen generiert werden, die bei Industrie 4.0 benötigt werden." Eher bremsend wirke sich dagegen das Thema Connectivity aus, für das heute in Deutschland noch immer viel Geld zu bezahlen sei. Zudem wird in den Augen von Edinger das Thema viel zu technisch adressiert. Für ihn sollte ein Schwerpunkt auf der Semantik liegen, um so die Kommunikation zwischen unterschiedlichsten Komponenten zu ermöglichen.

Auch Andreas Kaiser, Director von Rohde & Schwarz Cybersecurity, verweist auf die Connectivity als Herausforderung: "Aufgrund der langen Investitionszyklen müssen in der Produktion unterschiedlichste Netzwerke zusammengebracht werden." Henning von Kielpinski, Vice President Business Development bei Consol Consulting, sieht noch weitere Grundthemen wie Services in der Cloud und die Frage, wie die Daten überhaupt dorthin kommen. Das führt für Edinger zu der grundsätzlichen Überlegung, was ist lokal, was ist zentral und was kann bereits mit Edge Computing bearbeitet werden. Michael Jochem, Leiter AG "Sicherheit vernetzter Systeme" bei der Plattform Industrie 4.0 und Director bei Bosch Connected Industry, sieht bereits zuvor ein Hindernis: "Datenaustausch setzt Vertrauen voraus. Mit welchem Ausweis identifiziert sich eine Maschine oder ein IoT-Device? Ein Ansatz könnte die Mobilfunk-SIM-Karten oder ihr elektronisches Pedant, die eSIM sein.

Knackpunkt Datenaustausch

Grundsätzlich skeptisch ist Christian Kastl, Senior Product Manager SCM bei SupplyOn: "Die Unternehmen wollen keine Daten rausgeben, sondern diese intern halten. Wie kann ein Vertrauen entstehen, um zu wissen welche Daten mit wem zu tauschen sind?" Zumal davor noch die Frage nach dem wie steht. Schließlich bedeutet Industrie 4.0 auch, mit völlig verschiedenen Geräten eine Einheit herzustellen. Und hier kommt der Plattformgedanke ins Spiel. Eine solche einheitliche Plattform könnte die gemeinsame Basis sein, um Daten auszutauschen. Doch damit ist es für Christian Dornacher, Director Storage und Analytics Solutions EMEA bei Hitachi Data Systems, nicht getan, denn "die Frage ist, was will ich mit den Daten tun?" Steht Predictive Maintenance im Vordergrund oder etwa eine bessere Auslastung der Maschinen - egal, mit dem reinen Datensammeln sei es nicht getan.

Gerade mit der Einschätzung der Daten seien viele Unternehmen überfordert, so Andreas Kaiser. Sie wüssten teilweise nicht welche Daten sie hätten. Jochem rät deshalb mittelständischen Unternehmen, erst einmal ihre Assets zu definieren und zu klassifizieren, um dann festzulegen, wo der Mehrwert ist. Von Kielpinski bezeichnet die Situation im Mittelstand schlicht als ernüchternd. Edinger warnt aber davor einfach zu sagen, der Mittelstand könne es nicht. Oft werde dort der Aufwand unterschätzt und der erhoffte Datensee entpuppe sich als Datensumpf. Zudem falle es gerade kleineren Unternehmen schwer, die entsprechenden Vorarbeiten zu leisten und das Personal dazu bereitzustellen.

IT trifft auf OT

Jochem weist noch auf einen anderen Knackpunkt hin: "Office- und Shopfloor sprechen eine unterschiedliche Sprache und kommen oft im eigenen Haus nicht miteinander klar." Wie solle man nun die Produktion dazu ertüchtigen, Daten sicher bereitzustellen. Und das vor dem Hintergrund der grundlegenden Angst der Mittelständler, dass die Datenintegrität gefährdet sein könnte. Letztlich stelle sich die Frage, wer die treibende Kraft ist, die IT oder der operative Bereich (OT). Oft habe die IT erste Vorstellungen, so ein Diskutant, aber keine Vorstellungen, wie einfach es sein sollte. Zudem würden die Herausforderungen des Shopfloors oft nicht erkannt. Eine Argumentation, die Jochem nur unterstreichen kann: "In der Office-IT sind Backups eigentlich ein Selbstverständlichkeit, nicht so im Maschinenbau, da haben Sie kein redundantes System. Der Shopfloor hat ein anderes Verständnis von Verfügbarkeit, Patchen, Backup etc., als die Kollegen in der Office-IT."

Erfahrungen die von Kielpinski nur bestätigen kann. Er erlebte erst kürzlich in einem Projekt wieder, das nicht die Technik das Problem war, sondern die Menschen, die über 20 Jahre die unterschiedlichsten Befindlichkeiten aufgebaut hatten. Für Edinger ist deshalb bei Industrie 4.0 nicht die Technik die Herausforderung. Die sei oft schon vorhanden, so der Manager, und müsse nur noch verknüpft werden. Der begleitende Teil - also Organisation, Partnering oder etwa Skills - stehe einer Umsetzung viel mehr im Weg. Erschwerend kommt hinzu, wie Oboyo ergänzt, dass es auf Gewerkschaftsseite viel Skepsis gebe. Zumal ungeklärt sei, was mit denen passiert, die den Weg nicht mitgehen können, die die Skills nicht haben etc. Nicht nachvollziehbar ist für Edinger zudem, warum dies immer wieder ein Problem ist, denn Unternehmen haben schon mehrfach einen Wandel durchlaufen, nur die handelnden Personen in der Regel nicht.

Der Traum vom Standard

Welches Beharrungsvermögen hier teilweise anzutreffen ist, verdeutlicht das Thema Fernwartung. Seit 20 Jahren gibt es dort Projekte, doch die Idee eines standarisierten Wartungszugangs bei dem es nur noch einen zertifizierten externen Zugangs bedarf, ist bis heute nicht gelöst. Und beim Predictive Maintenance sind Standards ebenfalls Fehlanzeige. Ketzerische Stimmen fragen sich, ob die Hersteller das überhaupt wollen. Zumal man das Protokoll OPC UA (Open Plattform Communications Unified Architecture) durch verschiedene Ausprägungen aufgeweicht habe. Für Jochem muss das aber nicht so bleiben: "Gerade Enterprise-Anwender haben genügend Einkaufsmacht, wenn sie mit Blick auf die Skalierung nach einheitlichen Standards verlangen." Ob dies so einfach gelingt, bezweifelt Edinger. Für ihn liegt die Kunst darin, einen kommerziellen Interessensausgleich zwischen Hersteller und Betreiber - sprich Anwender - herzustellen.

Auf der anderen Seite wäre so mancher Diskutant am COMPUTERWOCHE-Roundtable eventuell gar nicht so unglücklich, wenn es keinen gemeinsamen Standard gibt. Denn solange die Maschinenhersteller jeder ihr eigenes Süppchen kochen, schlägt die Stunde der Plattformbetreiber, die eine Verbindung der unterschiedlichen Welten versprechen. Und diese Verbindung könnte laut von Kielpinski für viele Unternehmen zu einem Überlebensfaktor werden. Christian Kastl sieht die Lage entspannter, denn für ihn besteht mit dem MES-System bereits eine Plattform, um unterschiedliche Systeme zu verknüpfen. Allerdings hat Edinger so seine Zweifel an der künftigen Entwicklung von MES und seiner Positionierung.

Grundsätzlich könnte man schon weiter sein, wenn man Machine Learning (KI) nutzen würde. Ein Credo, das nicht jeder Diskutant teilte, zumal die Firmen aus der OT-Umgebung Software noch sehr indifferent sehen würden. Insgesamt werde sich das noch ausdifferenzieren und zu einer geringeren Fertigungstiefe führen. Letztlich dürften die Maschinenbauer nicht darum herum kommen, verschiedene Plattformen zu unterstützen, da sich die Anwender nicht auf eine festlegen würden. "Warum stellen die Anbieter nicht eine API zur Verfügung - in der IT hat das funktioniert?", regt Christian Dornacher an. Über diese könnte dann eine standardisierte Anbindung an die Middleware erfolgen.

Edge Computing versus Cloud

Eine andere Herausforderung sahen die Diskutanten in der Datenverarbeitung selbst. Wo soll sie erfolgen? In der Cloud, on premise oder gar im Device selbst? Die Cloud-Idee hat zwar für Jochem ihren Charme, "doch nicht immer ist eine Datenleitung leistungsfähig genung, um den Echtzeitanforderungen der Produktion gerecht zu werden", gibt der Manager weiterhin zu bedenken. Er ist überzeugt davon, einiges aufgrund der Infrastruktur on premise laufen wird. "Die Public Cloud taugt nicht für deterministische Echtzeitkommunikation", ergänzt Edinger. Er plädiert deshalb für einen Edge-Ansatz, bei dem die Daten gleich im Device beziehungsweise vor Ort in einem ersten Schritt verarbeitet werden.

Damit kann sich auch Andreas Kaiser anfreunden, weist aber darauf hin, dass das Security-Thema noch nicht gelöst sei. Er sieht hier gleich mehrere Baustellen, angefangen von den Befindlichkeiten der verschiedenen Abteilungen über die Frage welcher Endpunkt vertrauenswürdig ist bis hin zur Thematik der Trennung von Office- und Produktionsnetz. Doch wie geht man in der Praxis mit den Schwachstellen um? "Ein einfaches Patchen, wie wir es von der IT finden, geht nicht", wie Jochem erklärt, "denn sonst verliert der Anwender mit hoher Wahrscheinlichkeit die CE-Konformität seiner Maschine." Konzepte hierzu gibt es laut Jochem heute erst ansatzweise, speziell wenn die Maschinen-Safety beachtet wird.

Die Legacy-Qual

Was schon bei neueren Maschinen schwer zu lösen ist, stellt bei älteren Modellen - im Maschinenbau wird mit Laufzeiten von 20 bis 30 Jahren gerechnet - fast eine unlösbare Aufgabe dar. "Wie wollen Sie eine Windows-XP-Maschinensteuerung heute absichern, wenn ursprünglich nie geplant war, diese Maschine zu vernetzen", provoziert Andreas Kaiser. Die Diskussionsrunde kommt schnell zu dem Schluss, dass es hierfür nur eine Lösung gibt: eine Guarded Community. Bei diesem Modell kommen alle Legacy-Maschinen in ein Subnetz, das an einem zentralen Netzknoten abgesichert ist. Also im Prinzip das klassische IT-Konzept, bei dem ein Netz per Firewall nach außen abgesichert wird. Lorenz Kuhlee, Consultant für Network Security im Risk Team EMEA bei Verizon; ist da skeptisch: "Seit 10 Jahren gibt es das Konzept auf dem Papier für die IT - konsequent umgesetzt wird es dagegen so gut wie nie." Zudem bezweifelt er, dass Legacy Security noch in Zeiten hilft, wo die Frage lautet, wie schnell kann ich auf Angriffe reagieren. Für Kuhlee gehören Firewalls deshalb zum alten Eisen. Er rät zu neueren Verfahren wie Thread Landscape, Stack-Vektoren oder Attack-Profiling. Ferner sollten die Unternehmen überlegen, ob sie nicht, um ihren Schutz zu verbessern auf Netzwerkanalyse-Tools setzen, ergänzt Kaiser.

Von einem anderen neuen Security-Ansatz - Blockchain - hält die Diskussionsrunde wenig. Christian Kastl ist überzeugt, dass Blockchain nicht für Industrie 4.0 geeignet ist, "dazu wird es niemals kommen, ich halte dagegen die SIM-Karte für einen guten Ansatz."

Doch egal, auf was sich die Protagonisten einigen werden, "es muss eine Organisation aufgebaut werden, Prozesse wie in der Office-IT definiert werden", so Jochem, "das kostet und in vielen produzierenden Betrieben scheint die Bereitschaft, Geld für Security auszugeben, bislang gering zu sein, obwohl dies nötig wäre." Hier sehen die Teilnehmer denn auch den Gesetzgeber gefordert. Er solle zumindest für Europa einheitliche Security-Vorschriften erlassen, so dass es eine gleiche Grundlage für alle gebe und Security nicht zu einem Wettbewerbsnachteil wird.

Zumindest auf europäischer Ebene gibt es mit dem Trust-IoT-Label einen solchen Versuch - in Deutschland wehren sich jedoch noch die Verbände dagegen. Ferner haben die IT-Hersteller einen eigenen Vorschlag präsentiert. Letztlich sind jetzt die Anwender gefragt, ein eigenes Sicherheitsverständnis zu entwickeln.

Zum Thema Industrie 4.0 führt die COMPUTERWOCHE derzeit eine Multiclient-Studie unter IT-Entscheidern durch. Die Studie soll zeigen, wie deutsche Manager das Thema Industrie 4.0 in ihren Unternehmen angehen. Haben Sie Fragen zu dieser Studie oder wollen Sie Partner werden, dann hilft Ihnen Frau Franziska Kaufmann (fkaufmann@idg.de, Telefon: 089 36086 882) gerne weiter. Informationen zur Industrie-4.0-Studie finden Sie auch hier zum Download.