Mobile-Menu

Industrielle Cybersicherheit IO-Link bekommt erstmals offizielle Security-Richtlinie

Von Manuel Christa 2 min Lesedauer

Anbieter zum Thema

PROFIBUS Nutzerorganisation e.V. (PNO)
Micro-Epsilon Messtechnik GmbH & Co. KG
EBV Elektronik GmbH & Co. KG
MicroConsult Academy GmbH

IO-Link soll sicherer werden. Die jetzt veröffentlichte „Secure Deployment Guideline“ liefert daher Anwendern klare Empfehlungen zum Schutz drahtgebundener IO-Link-Systeme vor physischen Angriffen und Manipulationen. Der Download der Richtlinie ist kostenlos.

Security ist von entscheidender Bedeutung in der industriellen Kommunikation. Die IO-Link Community setzt sich für zukunftssichere und praxisnahe Lösungen ein.(Bild: KI-generiert)
Security ist von entscheidender Bedeutung in der industriellen Kommunikation. Die IO-Link Community setzt sich für zukunftssichere und praxisnahe Lösungen ein.
(Bild: KI-generiert)

Die Zahl vernetzter Sensoren und Aktoren wächst – und mit ihr die Angriffsfläche. Besonders bei einfachen Punkt-zu-Punkt-Protokollen wie IO-Link wurde Sicherheit bisher gern auf die physische Ebene abgewälzt: Kabel verstecken, Gehäuse abschließen, das musste reichen. Mit der „IO-Link Secure Deployment Guideline“ liegt nun erstmals ein offizielles Dokument vor, das die Schwachstellen des Protokolls benennt – und zeigt, wie Betreiber ihre Anlagen trotzdem wirksam absichern können.

Kein TCP/IP, kein Login, kein Schutz?

IO-Link ist ein rein physikalisches Punkt-zu-Punkt-Protokoll. Es kennt keine Netzwerkfunktionen, keine Verschlüsselung, keine Authentifizierung. Was für die einfache Integration von Sensoren in Steuerungssysteme praktisch ist, erweist sich in Sachen Security als Schwachstelle. Das Risiko von Datenmanipulationen, Sabotage oder Abhörversuchen besteht vor allem dann, wenn Angreifer physischen Zugang zu Kabeln oder Geräten erlangen.

„Alle Bedrohungen setzen voraus, dass die physische Sicherheit durchbrochen wurde“, heißt es in der Guideline. Sniffing und Datenmanipulation seien nur mit Spezialausrüstung und technischem Know-how realistisch – und damit jenseits von Security Level 2 gemäß IEC 62443. Trotzdem müsse der Betreiber Verantwortung übernehmen, so der Tenor des Dokuments: durch Schutzkonzepte, Zonenbildung und Risikobewertungen nach IEC 62443.

Empfehlungen statt Technologie-Sprung

Die Guideline enthält keine neuen technischen Schutzfunktionen – IO-Link bleibt, was es ist. Doch sie zeigt, wie Anlagenbetreiber trotzdem Sicherheitsziele wie Verfügbarkeit, Datenintegrität und Systemschutz erreichen können. Die Kernempfehlung: physische Zugangskontrolle. Wer Datenvertraulichkeit oder Integrität sicherstellen will, muss verhindern, dass jemand unbemerkt ein Kabel anzapfen oder manipulieren kann.

Zudem rät das Dokument dazu, regelmäßig die Ereignisse auszuwerten, die IO-Link-Geräte an den Master melden – etwa beim Ausfall eines Sensors. Auch das Backup von Geräteeinstellungen gehört zum Pflichtprogramm. Für alles Weitere, etwa Zugriffskontrolle oder Authentifizierung, sind zusätzliche Systeme notwendig – IO-Link selbst bietet das nicht.

Leitfaden für Hersteller folgt

Parallel zur nun veröffentlichten Einsatzrichtlinie arbeitet die IO-Link Community an einer zweiten Guideline. Sie richtet sich an Gerätehersteller und soll helfen, Security-Funktionen bereits bei der Entwicklung von IO-Link-Produkten mitzudenken. Der Entwurf ist weit fortgeschritten und wird laut Community demnächst publiziert.

Mit beiden Dokumenten reagiert die IO-Link Community auf den wachsenden Druck, industrielle Kommunikation robuster gegen Angriffe zu machen. Auch wenn IO-Link selbst technisch unverändert bleibt, soll die systematische Auseinandersetzung mit Cybersecurity in Planung, Betrieb und Entwicklung Einzug halten. (mc)

(ID:50503468)

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte