Cybersecurity für Maschinen: Warum Safety-Funktionen isoliert werden müssen

Mit der Maschinenverordnung (EU) 2023/1230 wird klar geregelt: Safety funktioniert nur dann zuverlässig, wenn sicherheitsrelevante Funktionen gegen Manipulation geschützt sind. Moderne Maschinen sind digital vernetzt, werden über Software konfiguriert und im laufenden Betrieb angepasst. Jede unberechtigte Änderung – ob absichtlich oder versehentlich – kann Schutzmechanismen wirkungslos machen.

Wie Normen und Architekturprinzipien für robuste Sicherheit sorgen

Deshalb ist Security heute, wie Andreas Willert, Head of Industrial Security bei Pilz Österreich im Rahmen der Jahrespressekonferenz des Filderstädter Unternehmens, erläutert, kein Zusatzthema mehr, sondern Grundvoraussetzung für funktionierende Safety. Es gehe darum, die Integrität aller sicherheitsrelevanten Komponenten sicherzustellen, damit Schutzfunktionen genau dann greifen, wenn sie gebraucht werden.

Die Normenreihen IEC 62443 und die entstehende EN 50742 geben dafür, so Willert weiter, einen klaren Rahmen vor. Beide fordern eine systematische Sicherheitsarchitektur, die Risiken bewertet, Schutzmaßnahmen strukturiert aufbaut und Systeme klar segmentiert.

„Zones and Conduits“-Prinzip: mehrere Schutzschichten sorgen für Sicherheit

Im Zentrum steht das „Zones and Conduits“-Prinzip: Systeme werden in Zonen unterteilt, die Übergänge dazwischen kontrolliert. Dieser Ansatz ermöglicht Defence in Depth, also eine abgestufte Sicherheitsstrategie, bei der mehrere Schutzschichten einander ergänzen und Manipulation erheblich erschweren.

Der IEC 62443 folgend, setzt Pilz auf eine strikte Trennung von Safety und Standard Automation, heißt es weiter. Sicherheitsfunktionen laufen auf separater Hardware und sind organisatorisch sowie technisch abgeschottet. Dadurch bleiben sie unabhängig von Updates, Fehlern oder Angriffen im Standardbereich. Die Angriffsfläche sinkt, der Pflegeaufwand ebenso.

Ein zentraler Erfolgsfaktor ist dabei der Grad der Isolation: Je stärker Safety-Funktionen vom Produktions- und Maschinennetzwerk getrennt sind, desto besser sind sie geschützt. Gleichzeitig reduziert sich der Bedarf an zusätzlichen Security-Maßnahmen.

Eigenes Netzwerksegment für Geräte mit Safety-Funktionen

Ein bewährter Ansatz ist es daher, die Geräte, die Safety-Funktionen ausführen, in ein eigenes Netzwerksegment zu überführen. Entscheidend ist die richtige Konfiguration dieses Segments durch Zugriffsrichtlinien sowie zusätzliche Authentifizierungsmechanismen. Weil Safety-Systeme im Vergleich zur Standardautomatisierung sehr stabil sind und selten geändert werden, lässt sich diese strikte Segmentierung sowohl aus Effizienz- als auch aus Security-Perspektive gut umsetzen. Wichtig ist jedoch, dass die definierten Maßnahmen über den gesamten Lebenszyklus der Maschine konsequent aufrechterhalten werden.

Gerade bei größeren Maschinen oder komplexen Anlagen spielt jedoch die Verfügbarkeit von Diagnosedaten eine wichtige Rolle. Im Fehlerfall möchte man schnell nachvollziehen können, warum die Safety ausgelöst hat:

• Wurde ein Not-Halt betätigt – und wenn ja, welcher?
• Wurde ein Lichtgitter unterbrochen – und an welcher Stelle?
• Oder liegt möglicherwiese ein Kurzschluss in der Verkabelung vor?

Solche Informationen helfen dabei, Stillstandszeiten deutlich zu reduzieren und die Anlage schnell wieder produktiv zu betreiben. Dabei geht es bei Diagnosedaten nicht nur um „was ist kaputt“, sondern vor allem um „was ist genau passiert“.

Diagnosedaten können weitergegen werden – unter bestimmten Bedingungen

In einer sauber segmentierten Architektur ist es dennoch möglich, Diagnosedaten der Safety an eine Standard-SPS weiterzuleiten – vorausgesetzt, der Zugriff auf die eigentlichen Safety-Funktionen innerhalb ihrer geschützten Zone bleibt strikt unterbunden.

Für einfache Anwendungen bieten Sicherheitsrelais der Pnoz-Familie (Eigenschreibweise: PNOZ) eine geeignete Lösung, während sich für umfangreichere Maschinen eine maßgeschneiderte Umsetzung mit My-Pnoz empfiehlt. Diese Produkte verfügen über keine Netzwerkfähigkeiten und sind daher nicht aus der Ferne angreifbar. Dadurch reduzieren sich sowohl der Entwicklungsaufwand als auch die Anforderungen an Security-Maßnahmen im Betrieb erheblich.

Ergänzend dazu bietet Pilz ein umfangreiches Trainings- und Serviceprogramm – von Grundlagen der Industrial Security bis hin zur CESA-Zertifizierung. Die Inhalte vermitteln, wie sichere Architekturen gestaltet, Risiken bewertet und Maßnahmen nachhaltig verbessert werden. So entsteht Kompetenz genau dort, wo sie benötigt wird: bei denjenigen, die Systeme planen, auslegen und verantworten.

Trennung von Safety und Standard – konkrete Auswirkungen

Die Trennung von Safety und Standard Automation bringt viele Vorteile mit sich – über den gesamten Lebenszyklus einer Maschine:

• Höhere Sicherheit: Safety-Funktionen sind gegen ungewollte Änderungen geschützt – unabhängig davon, was im Standardbereich passiert.
• Weniger Aufwand: Updates, Zertifizierungen und Anpassungen müssen nicht doppelt durchgeführt werden. Weniger Komplexität im Betrieb: Das Bedienpersonal braucht kein tiefes Security-Wissen; die Architektur sichert die Safety automatisch ab.
• Mehr Flexibilität: Unabhängige Safety-Systeme wie Pnozmulti 2 oder myPnoz lassen sich herstellerübergreifend integrieren.
• Geringere Kosten: Weniger Support, weniger Lizenzen, weniger Eingriffe – und damit niedrige Total Cost of Ownership.

Pilz verbindet robuste Technik, klare Strukturen und gezielte Weiterbildung zu einer Security for Safety Strategie, die Normanforderungen erfüllt und im Alltag echte Erleichterungen schafft: sicher, verständlich und nachhaltig wirksam, so das Unternehmen.

(Quelle: Pilz GmbH & Co. KG)