Public-Key-Infrastructure in der Industrie: Noch vor 20 Jahren war es vergleichsweise einfach, eine Produktionsanlage abzusichern. Meist umgaben Zäune und gesicherte Tore das Gelände. Physisch isolierte Netzwerke und statische Hardware an festen Standorten erschwerten Cyberangriffe von außen erheblich. Cloudumgebungen mit Remote-Zugriff existierten damals noch nicht. Jeder, der Zutritt zum Netzwerk hatte, wurde als vertrauenswürdig eingestuft. Bald kam dieses Konzept an seine Grenzen. Mit virtualisierten Steuerungen, Cloud-Anbindungen, containerisierten Services und dynamisch bereitgestellten Assets hat sich die industrielle Infrastruktur grundlegend verändert. Zugriffsmöglichkeiten lassen sich nicht länger an einen physischen Ort koppeln.
In der Operational Technology (OT) entsteht deshalb der Bedarf für eine neue Architektur, die Sicherheit auf Basis von Krypto-Identitäten erzeugt. Warum die Verwaltung von kryptografischen Identitäten über eine Public-Key-Infrastruktur (PKI) in modernen Produktionsumgebungen sinnvoll ist, lässt sich am besten nachvollziehen, wenn man die Entwicklungsschritte betrachtet, die Sicherheitskonzepte in der Industrie durchlaufen haben. Die drei nachfolgend skizzierten Phasen dienen der Veranschaulichung. Je nach Branche oder Produktionsumgebung lassen sich die Phasen nicht trennscharf unterscheiden.
1. Die Ära des netzwerkbasierten Vertrauens
Die erste Generation industrieller Sicherheitskonzepte beruhte auf netzwerkbasiertem Zugriff. Neben einer physischen Segmentierung durch Air-Gaps und dedizierter Verkabelung bestanden die Sicherheitsmaßnahmen im Einsatz von virtuellen Netzwerken (VLANs) und statischen Access Control Lists (ACLs). Die Logik war simpel: Wer sich innerhalb des Netzwerksegments auf dem richtigen Port befand, galt als vertrauenswürdig.
Dieses Konzept funktionierte, solange Produktionsumgebungen statisch blieben. Angesichts der zunehmenden Vernetzung wurden die Grenzen dieses Ansatzes offensichtlich. Innerhalb einer Zone existierte häufig pauschales Vertrauen. Geräteidentitäten und kryptografische Nachweise spielten keine Rolle. Skalierbarkeit für Cloud- oder Remote-Szenarien war praktisch nicht vorgesehen.
2. Die protokollbasierte Umsetzung
Im nächsten Schritt rückten Deep Packet Inspection inklusive Payload-Analyse und Protokollvalidierungen wie Modbus, OPC Unified Architecture und DNP3 in den Fokus. Auf der Anwendungsebene kamen Firewalls zum Einsatz, die nicht mehr nur IP-Adressen und Ports analysierten, sondern ungültige Methodenaufrufe innerhalb des OSI-7-Schichtenmodells blockieren konnten. Auch dieser Ansatz blieb netzwerkzentriert. Die physische oder logische Position eines Geräts bestimmte weiterhin die Zugriffsmöglichkeiten. Identität war noch kein zentrales Sicherheitsprinzip. In verteilten oder cloudbasierten Architekturen stießen klassische physische Inspektionspunkte schnell an technische und organisatorische Grenzen.
3. Die identitätsbasierte Kommunikation
Heute vollzieht sich ein grundlegender Paradigmenwechsel. Produktionsanlagen sind über mehrere Standorte hinweg vernetzt. Moderne Umgebungen für Produktionsanlagen setzen auf virtualisierte Controller, containerisierte Dienste, mit der Cloud verbundene Geräte und dynamisch bereitgestellte Ressourcen. Netzwerkbasiertes Vertrauen reicht in so einem Szenario nicht mehr aus. Der Fokus liegt stattdessen auf identitätsbasierter Kommunikation. Dabei entscheiden mehrere Fragen darüber, ob eine Kommunikation vertrauenswürdig ist:
- Handelt es sich um ein aktuell gültiges Zertifikat?
- Handelt es sich um den autorisierten Client?
- Ist die Identität kryptografisch nachgewiesen?
- Ist die gegenseitige Authentifizierung abgeschlossen?
Zu den Vorteilen identitätsbasierter Kommunikation gehört eine sehr feine Granularität bei der Zugriffskontrolle. Das ermöglicht die zentrale Steuerung einer Produktionsanlage von einem Remote-Standort aus. Damit Unternehmen in vollem Umfang von diesem Sicherheitskonzept profitieren, benötigt jede speicherprogrammierbare Steuereinheit (SPS) eine vertrauenswürdige Identität, Telemetrieverbindungen müssen authentifiziert werden, Software-Updates signiert, Verbindungen gegenseitig verifiziert und Zertifikate kontinuierlich erneuert werden.
Die Public-Key-Infrastructure in der Industrie wird zum Enabler
Diese Entwicklung verändert auch die Wahrnehmung von Sicherheitsfragen in der Industrie. Jahrzehntelang galt Security als notwendiges Übel. Bei der identitätsbasierten Kommunikation wird die Public-Key-Infrastruktur zum Enabler. Zertifikate schaffen die Vertrauensbasis für verteilte Steuerung, sichere Fernwartung und skalierbare Digitalisierung. Sicherheit ist nicht mehr nur Schutzmechanismus, sondern Voraussetzung für moderne Betriebsmodelle. jf
