Im digitalen Zeitalter ist die sichere Kommunikation zwischen Geräten entscheidend. Die EU-Maschinenverordnung (MVO) schreibt ab 2027 Cybersicherheit für Maschinen vor, die in der EU (Europäischen Union) hergestellt, in Verkehr gebracht oder betrieben werden. Sie zielt darauf ab, Risiken zu verringern, die durch moderne Digitalisierungstechnologien entstehen. Die MVO verpflichtet daher Unternehmen, ihre Maschinen vor Cyberangriffen zu schützen. Sie betrifft aber nicht nur Hersteller, sondern auch Betreiber – sofern diese die Maschinen wesentlich verändern, was sie quasi zu Herstellern macht. Erläutert wird im Folgenden, mit welchen Maßnahmen sich Maschinen vor Angriffen aus dem Cyberraum schützen lassen.
Ist die MVO sinnvoll? – die Meinung eines Experten
„Durch die digitale Vernetzung hat sich die Angriffsfläche von Unternehmen vergrößert, Maschinen und Anlagen sind mittlerweile für Cyberkriminelle erreichbar. Die MVO trägt dieser Entwicklung Rechnung und verpflichtet Unternehmen, das Schutzniveau anzuheben“, sagt Raphael Vallazza, CEO von Endian, einem Spezialisten für Cybersicherheitslösungen. 2003 gründete er sein Unternehmen mit dem Ziel, einen Beitrag für die Sicherheit der digitalisierten Gesellschaft zu leisten. Die Entwicklungen adressieren die Bereiche IT (Informationstechnologie) und OT (Operational Technology – Betriebstechnologie). Neben dem Maschinen-und Anlagenbau sowie produzierenden Unternehmen, darunter auch KMUs (kleine und mittlere Unternehmen), sind ebenso der Bildungsbereich, Behörden oder kritische Infrastrukturen angesprochen. Die entwickelte Plattform soll die Gewährleistung der Cybersicherheit vereinfachen, die Einhaltung von Vorschriften sicherstellen und Geschäftsprozesse schützen.
Wissenswertes zur MVO
Die EU-Maschinenverordnung ist im Juli 2023 in Kraft getreten. Mit ihr müssen sich alle Unternehmen befassen, die unvollständige oder vollständige Maschinen in der EU herstellen, in Verkehr bringen oder in Betrieb nehmen. Ab dem 20. Januar 2027 gilt sie unmittelbar in allen Mitgliedsstaaten und löst damit die bisherige Maschinenrichtlinie 2006/42/EG ab.
Die EU formuliert in der MVO erstmals Anforderungen an die Cybersicherheit. Der Grund dafür liegt in der mittlerweile sehr engeren Verflechtung von IT und OT: Digitale Lösungen spielen bei der Steuerung von modernen Maschinen eine zentrale Rolle. Vor allem für die Überwachung und Wartung ist ein Zugang über das Internet erforderlich – damit sind Maschinen zum potenziellen Angriffsziel für Cyberkriminelle geworden. Das Schutzziel „Cybersecurity“ ist im Kapitel „Schutz gegen Korrumpierung“ (Anhang III, 1.1.9) definiert. Hier finden sich die zentralen Anforderungen, die bis zum Inkrafttreten der Verordnung umgesetzt werden müssen.
Dabei hat sich jetzt der Adressatenkreis der MVO erweitert: Im Vergleich zur aktuell gültigen Maschinenrichtlinie betrifft die neue MVO deutlich mehr Unternehmen. Sie gilt nicht nur für Hersteller und -händler, sondern auch für Betreiber, die Änderungen vornehmen. Wichtige Abwandlungen der Maschine stellen laut MVO den Anwender dem Hersteller gleich – mit allen dazugehörigen Pflichten.
Netzwerksegmentierung soll Maschinen und Anlagen schützen
Eines der wichtigsten Grundprinzipien in der Cybersicherheit in einer digitalisierten Welt ist die Abgrenzung von Netzwerken. Dadurch lässt sich das zentrale Problem adressieren, das erst im Zuge der Vernetzung von immer mehr Unternehmensteilen entstanden ist: Maschinen und Anlagen, die mit dem Internet verbunden sind, sind über die entsprechenden Schnittstellen auch für Cyberkriminelle erreichbar. Gelingt es ihnen, einen Schadcode einzuschleusen, so kann dieser schnell von einer Anlage auf die nächste übergreifen und das gesamte Unternehmensnetzwerk infizieren. Die MVO fordert daher: „Maschinen und ihre zugehörigen Produkte müssen so konzipiert sein, dass auch beim Anschluss externer Geräte keine gefährlichen Situationen entstehen – unabhängig davon, ob es sich um direkt verbundene Systeme oder Fernwartungseinrichtungen handelt.“
Zur sinnvollen Segmentierung von Netzwerken müssen zunächst Bereiche mit einem vergleichbaren Schutzbedarf definiert werden. Anschließend gilt es, diese einzelnen Netzwerkbereiche voneinander abzutrennen. Das ist beispielsweise durch den Einsatz von IoT (Internet of Things)-Security-Gateways möglich. Sie bringen die notwendigen Tools mit, um den Datenaustausch zwischen den unterschiedlichen Segmenten über detaillierte Regeln zu steuern.
Wie lassen sich unterschiedliche Schutzmaßnahmen integrieren?
Bei der Unterteilung von Netzwerken mithilfe von Gateways kann eine Maschine oder auch ein einzelner Bereich davon – in Abhängigkeit vom jeweiligen Schutzbedarf – ein eigenes Segment bilden. Dieser granulare Ansatz der Mikrosegmentierung bildet auch den Kern einer „Zero-Trust“-Architektur. Zugriff erhalten hier nur diejenigen Nutzer, Programme oder Geräte, die zuvor authentifiziert und autorisiert wurden.
Für eine sichere Konnektivität sind IoT-Security-Gateways mit mehreren, fein aufeinander abgestimmten Security-Tools ausgestattet. Das „Endian 4i Edge X“ beispielsweise unterbindet durch eine integrierte Firewall das Eindringen von Schadsoftware – ganz gleich, ob der Schad-Code über das Internet eingeschleust werden soll, oder sich auf einem infizierten Gerät befindet. Falls es ein Angreifer schaffen sollte, die Firewall zu überwinden, etwa durch interne Sicherheitslücken oder gezielte Manipulation, erkennt das enthaltene „Intrusion Detection and Prevention System“ (IDS/IPS) verdächtige Aktivitäten und reagiert automatisch mit entsprechenden Abwehrmaßnahmen. Zusätzlich lässt sich per DNS-Filter genau definieren, mit welchen externen Servern eine Kommunikation gestattet wird.
Das „A & O“: ein sicherer Fernzugriff
Insbesondere der Fernzugriff ist ein großes Sicherheitsrisiko für Maschinen und Anlagen, wenn er nicht ausreichend abgesichert wird. Durch die Öffnung eines Zugangs für die Fernwartung entsteht ein mögliches Einfallstor für IT-Kriminelle, die diese Lücke für das Einschleusen von Schadcode einzuschleusen nutzen könnten. Die Absicherung der Risiken, die im Zusammenhang mit einer Fernwartung entstehen, ist deshalb eine weitere Forderung in der MVO.
Ein „Virtual Private Network“ (VPN) ist hier eine passende Schutzmaßnahme. Es leitet die Daten durch einen verschlüsselten Tunnel zwischen dem betreffenden Gerät und einem entfernten Server und schützt sie somit vor Diebstahl und Manipulation.
Wichtig: Rollen und Berechtigungen genau definieren
Ergänzend zu den technischen IT-Sicherheitsmaßnahmen leistet auch das Management von Rollen und Berechtigungen einen wesentlichen Beitrag, um Maschinen und Anlagen zu schützen. Damit Administratoren jederzeit den Überblick behalten, wer auf welche Maschinen zugreifen darf, ist eine zentrale Benutzungsoberfläche für das Management sämtlicher Berechtigungen entscheidend. Auch die Möglichkeit zur Änderung oder Löschung von Berechtigungen in Echtzeit ist wichtig. Sollte ein Mitarbeiter die Abteilung wechseln, das Unternehmen verlassen oder ein neuer Dienstleister beauftragt werden, so bleiben die Berechtigungen immer auf dem aktuellen Stand.
Eine ernste Gefahr für die Sicherheit der Mitarbeitenden kann durch eine Fernwartung zum falschen Zeitpunkt entstehen – beispielsweise, wenn die Maschine durch die Wartungsmaßnahme gestartet wird und sich Personen in der unmittelbaren Umgebung oder gar im Inneren der Maschine befinden. Ein Genehmigungsprozess, über den am Maschinenstandort eine Freigabe für die Fernwartung erteilt werden kann, sorgt für Sicherheit in solch kritischen Umgebungen.
Pflichtaufgaben: Regelmäßige Software-Updates und Protokolle aller Zugriffe
Damit keine Sicherheitslücken entstehen, muss die Software auf den IoT-Security-Gateways regelmäßig aktualisiert werden. Ein automatisierter Update-Prozess ist wichtig, damit alle vernetzten Gateways im Feld die Aktualisierungen zeitgleich erhalten und auf dem neuesten Stand sind. Mögliche Sicherheitslücken lassen sich damit schließen, bevor sie zum Risiko werden.
Darüber hinaus verlangt die MVO, für jeden Eingriff in die Software Nachweise zu speichern. Bei modernen Maschinen gibt es eine Vielzahl an unterschiedlichen Akteuren, die Zugriff benötigen: Hersteller müssen die Maschinen warten und Software aktualisieren, Anwender wollen Daten erfassen und auswerten. Und auch eine Anbindung an Systeme von Lieferanten ist mittlerweile keine Seltenheit mehr. Maschinenbetreiber sollten daher eine Lösung integrieren, die jeden Zugriff protokolliert, ebenso wie die Maßnahmen, die durchgeführt wurden.
Netzwerke im Überblick behalten
Mit der digitalen Transformation steigt die Zahl der vernetzten Maschinen und Geräte immer weiter an. Unternehmen können allerdings nur die Geräte absichern, von deren Einbindung ins Netzwerk sie wissen. Den Überblick zu behalten – und alle verbundenen Devices jederzeit zu schützen – wird zur wachsenden Herausforderung für die IT-Sicherheit. Lösungen wie „Network Awareness“ von Endian werden damit immer wichtiger, denn sie zeigen in Echtzeit, welche Geräte sich im Netzwerk befinden. Neue Geräte werden sofort sichtbar und der Schutzstatus kann entsprechend überprüft werden.
Doch trotz aller Mühen für die Maschinenhersteller, das positive Fazit lautet: Cybersicherheit zahlt sich aus. Die MVO stärkt das Vertrauen in die Sicherheit von Maschinen, indem sie auch die Risiken absichert, die durch die Digitalisierung entstanden sind. Entsprechende Schutzmaßnahmen sind unverzichtbar, um das Unternehmen als Ganzes zu schützen.
Das könnte Sie auch interessieren:
Wie gelingt die globale Marktzulassung für vernetzte Produkte?
Brownfield-Produktionsstätten: Retrofit als Schlüssel zur gemeinsamen Wertschöpfung
Process Mining: Mit datengestützten Einblicken zu mehr Transparenz
