Security-Retrofit Verschlüsselte Kommunikation einfach nachrüsten

Der Cyber Resilience Act erhöht den Druck, digitale Produkte und vernetzte Anlagen dauerhaft gegen Cyberangriffe abzusichern. In der industriellen Praxis scheitert die Umsetzung jedoch oft nicht am Willen, sondern an gewachsenen Infrastrukturen, langen Lebenszyklen und der berechtigten Sorge vor Eingriffen in laufende Prozesse. Ein Ansatz ist, industrielle Ethernet-Netzwerke durch einen hardwarebasierten Retrofit mit SFP+-Modulen abzusichern.

Industrielle Ethernet-Netzwerke bilden heute das Rückgrat moderner Produktionsanlagen. Über sie kommunizieren Steuerungen, Maschinen, Sensoren, Antriebe und Leitsysteme oftmals über viele Jahre oder sogar Jahrzehnte. Was technisch zuverlässig läuft, wird aus gutem Grund nicht leichtfertig verändert. Ein Softwareupdate kann Zertifizierungen berühren, ein neuer Switch kann Echtzeitverhalten beeinflussen und eine geänderte Netzarchitektur kann aus einer überschaubaren Sicherheitsmaßnahme ein monatelanges Migrationsprojekt machen.

Genau hier entsteht der Zielkonflikt: Die Kommunikation muss besser geschützt werden, doch die Anlage darf dabei nicht zum Versuchsaufbau werden. Klassische Sicherheitslösungen setzen häufig zusätzliche Gateways, VPN-Appliances, Zertifikatsinfrastrukturen oder Änderungen an Endgeräten voraus. In neuen Anlagen ist das planbar. Im Bestand bedeutet es dagegen zusätzliche Komponenten, neue Fehlerquellen, mehr Konfiguration und oft auch neue Verantwortlichkeiten zwischen IT, OT, Maschinenbau und Betreiber.

Der Cyber Resilience Act verschärft diese Diskussion. Hersteller digitaler Produkte müssen Cybersicherheit über den Produktlebenszyklus hinweg berücksichtigen. Für Betreiber und Systemintegratoren wird damit noch wichtiger, wie sich bestehende Installationen wirtschaftlich und nachvollziehbar härten lassen. Die entscheidende Frage lautet deshalb nicht nur, welche Verschlüsselung theoretisch am stärksten ist, sondern wie sie sich praktisch in eine laufende Anlage einfügt.

Verschlüsselung dort einbauen, wo die Verbindung ohnehin beginnt

Ein naheliegender Ansatz ist, die Sicherheitsfunktion direkt in den optischen Transceiver zu verlagern. Das Blaze-Modul von Pantherun nutzt das SFP+-Format und ersetzt an beiden Enden einer Glasfaserverbindung die vorhandenen Standardmodule. Der Switch oder das angeschlossene Gerät sieht weiterhin eine normale Ethernet-Verbindung. Die Ver- und Entschlüsselung erfolgt innerhalb der Module und damit außerhalb der Protokollverarbeitung der angeschlossenen Systeme.

Die Nachrüstung beschränkt sich im Kern auf drei Schritte: vorhandene SFP+-Transceiver entnehmen, die beiden verschlüsselnden Module einsetzen und die Glasfaserverbindung wieder herstellen. Zusätzliche Rack-Geräte, externe Stromversorgungen oder neue Netzwerksegmente entfallen. Gerade in Schaltschränken, in denen Platz, Stromaufnahme und Wärmeentwicklung längst ausgereizt sind, ist das mehr als eine kosmetische Vereinfachung.

Keine Änderung an IP-Adressen, Protokollen oder Topologie

Für den Anlagenbetrieb ist entscheidend, was nicht verändert wird. Die Endgeräte behalten ihre IP- und MAC-Adressen. Routing, VLAN-Strukturen und Applikationsprotokolle bleiben bestehen. Auch proprietäre oder zeitkritische Protokolle müssen nicht angepasst werden, solange sie über die abgesicherte Ethernet-Verbindung transportiert werden. Die Verschlüsselung arbeitet transparent innerhalb der Punkt-zu-Punkt-Strecke.

Damit unterscheidet sich der Ansatz grundlegend von einem klassischen VPN-Gateway. Ein Gateway terminiert Verbindungen, verarbeitet Protokolle und wird als eigenständiges Netzwerkelement betrieben. Das SFP+-Modul sitzt dagegen an einer Stelle, die ohnehin vorhanden ist. Aus Sicht des Netzes bleibt die Verbindung eine Verbindung. Für Retrofit-Projekte ist diese Unsichtbarkeit ein handfester Vorteil: Je weniger sich logisch ändert, desto kleiner werden Testaufwand, Stillstandsrisiko und Dokumentationsbedarf.

Stealth-AES: Verschlüsselung ohne verändertes Frame-Format

Die Module verwenden AES-256 für die Nutzdatenverschlüsselung. Der besondere Punkt liegt jedoch nicht allein im Algorithmus. AES-256 ist etabliert; die Integrationsfrage entscheidet sich daran, wie der Algorithmus in den Datenpfad eingebettet wird. Pantheruns Stealth-AES-Ansatz verschlüsselt den Ethernet-Frame, ohne zusätzliche Header, Trailer oder Tunnelinformationen in das übertragene Format einzufügen.

Bei MACsec oder IPsec entsteht zusätzlicher Overhead. Das ist in vielen Anwendungen akzeptabel, kann in industriellen Netzen aber unerwünschte Folgen haben: Frames werden größer, die effektive Nutzdatenrate sinkt und Geräte mit engen Grenzen für Paketgröße oder Latenz können anders reagieren. Stealth-AES erhält dagegen Länge und grundsätzlichen Aufbau des Frames. Die Infrastruktur muss deshalb keine veränderten Paketformate verarbeiten.

Hardwarebasierte Verarbeitung entlastet die Endgeräte

Verschlüsselung kostet Rechenleistung. Wird sie in Software auf einer Steuerung, einem IPC oder einem Gateway ausgeführt, konkurriert sie mit der eigentlichen Anwendung um Prozessorzeit, Speicher und Energie. In modernen Servern fällt das kaum auf. In Embedded- und OT-Systemen mit knapp dimensionierten Ressourcen kann derselbe Ansatz jedoch zum Problem werden.

Die Auslagerung in spezialisierte Hardware trennt Sicherheitsfunktion und Applikation. Die angeschlossenen Geräte müssen weder Kryptobibliotheken ausführen noch Schlüsselmaterial im eigenen Betriebssystem verarbeiten. Das reduziert nicht nur die Last, sondern verkleinert auch die Zahl der Komponenten, an denen Änderungen und Pflege notwendig werden. Die Verschlüsselung wird zu einer Eigenschaft der Leitung statt zu einer Zusatzaufgabe jeder einzelnen Maschine.

Sicherheit ist mehr als der Algorithmus

Eine verschlüsselte Leitung löst nicht jedes Sicherheitsproblem. Sie ersetzt weder Zugriffskontrolle noch Segmentierung, Patchmanagement oder ein belastbares Anlagenkonzept. Sie schützt jedoch gezielt die Daten auf einer Verbindung gegen Mitlesen und Manipulation im Übertragungsweg. Genau diese klare Abgrenzung ist für industrielle Projekte wichtig. Ein Baustein sollte nicht mehr versprechen, als er leisten kann, dafür aber die definierte Aufgabe zuverlässig erfüllen.

Zum Betrieb gehört außerdem ein sauberes Schlüsselkonzept. Schlüssel müssen sicher erzeugt, verteilt, gespeichert und bei Bedarf ersetzt werden. Der Vorteil des modularen Ansatzes besteht darin, dass diese Aufgabe auf die beiden Kommunikationsenden einer Strecke begrenzt bleibt. Für eine Serienanwendung sind dennoch Prozesse für Inbetriebnahme, Austausch, Ersatzteilhaltung und Dokumentation festzulegen. Kryptografie wird nicht dadurch wartungsfrei, dass sie in ein kleines Gehäuse passt. Die Menschheit hat schließlich schon größere Dinge an fehlenden Betriebsprozessen scheitern lassen.

Geeignete Einsatzfelder und Grenzen

Besonders attraktiv ist die Lösung für klar definierte Glasfaser-Punkt-zu-Punkt-Verbindungen, etwa zwischen zwei Switches, zwischen Schaltschrank und Leitstand oder als abgesicherte Verbindung zu einer räumlich getrennten Anlage. Auch mobile Systeme, Bahn-, Energie- oder Verteidigungsanwendungen profitieren davon, wenn Gewicht, Bauraum und Leistungsaufnahme begrenzt sind.

Nicht jede Verbindung ist automatisch geeignet. Vor der Einführung müssen optische Parameter, Datenrate, Temperaturbereich, Gerätekompatibilität und das Verhalten bei Link-Ausfall geprüft werden. Ebenso ist zu klären, welche Strecken tatsächlich vertrauliche oder manipulationskritische Daten übertragen. Eine pauschale Vollverschlüsselung jeder Leitung klingt auf einer Präsentationsfolie beeindruckend, ist aber selten die wirtschaftlichste Reihenfolge. Sinnvoller ist eine risikobasierte Auswahl der relevanten Kommunikationspfade.

Vom Sicherheitsprojekt zum beherrschbaren Retrofit

Der eigentliche Charme des Ansatzes liegt nicht in einem spektakulären neuen Verschlüsselungsverfahren, sondern in der Reduktion des Integrationsaufwands. Bestehende Geräte bleiben bestehen, das Datenformat bleibt bestehen und die Netzstruktur bleibt bestehen. Dadurch lässt sich eine konkrete Sicherheitslücke schließen, ohne gleichzeitig die gesamte Automatisierungsarchitektur umzubauen.

Für Hersteller kann dies ein Weg sein, bestehende Produktlinien schneller um eine hardwarebasierte Kommunikationsabsicherung zu ergänzen. Für Betreiber entsteht eine Option, besonders kritische Strecken gezielt nachzurüsten. Für Systemintegratoren reduziert sich die Aufgabe von einer komplexen Netzwerkmigration auf eine überschaubare technische Änderung mit klar definierten Schnittstellen.

Der Cyber Resilience Act wird nicht mit einem einzelnen Modul erfüllt. Er zwingt Unternehmen jedoch dazu, Cybersicherheit als Produkteigenschaft und als Lebenszyklusaufgabe zu behandeln. Gerade deshalb sind Lösungen wertvoll, die Sicherheit nicht gegen Verfügbarkeit ausspielen. Der zentrale Leitsatz für industrielle Bestandsanlagen lautet: Cybersecurity muss sich an die Anlage anpassen. Nicht die Anlage an die Cybersecurity.

 (sg)

* Martin Jaiser ist VP Business Development bei Pantherun Technologies.

(ID:50927698)