Alte Maschinen sicher ins Firmennetz integrieren, ohne die Produktion umzubauen

Wenn die Maschine noch funktioniert, die IT dahinter aber alt geworden ist

Eine Produktionsmaschine kann technisch noch viele Jahre zuverlässig arbeiten, obwohl die dazugehörige Steuerung aus einer völlig anderen IT-Zeit stammt. Vielleicht läuft daneben ein alter Windows-Rechner, die Maschine tauscht Dateien über eine einfache Netzwerkfreigabe aus oder der Hersteller greift über eine Fernwartungssoftware zu, die irgendwann einmal eingerichtet wurde und seitdem niemand mehr genauer betrachtet hat.

Für die Produktion gibt es zunächst keinen Grund, daran etwas zu ändern. Die Anlage erfüllt ihren Zweck, die Mitarbeiter kennen sie und ein größerer Umbau würde Geld kosten, Stillstand verursachen und möglicherweise neue Probleme schaffen.

Schwierig wird es dort, wo diese alte Technik direkt mit dem modernen Firmennetz verbunden ist. Dann treffen Systeme aufeinander, die nach völlig unterschiedlichen Voraussetzungen entwickelt wurden: aktuelle Arbeitsplatzrechner und Server auf der einen Seite, eine Maschinensteuerung mit möglicherweise seit Jahren nicht mehr gepflegter Software auf der anderen.

Die vernünftige Lösung besteht häufig darin, die bestehende Maschine weiter zu nutzen, ihre Einbindung in das Unternehmensnetz aber gezielt zu begrenzen.

Zuerst muss klar sein, welche Verbindung die Maschine wirklich benötigt

Bei älteren Produktionsanlagen findet man häufig eine historisch gewachsene Beschreibung wie „Die Maschine braucht Netzwerk“. Für eine sichere und langfristig wartbare Einbindung reicht das nicht aus, denn entscheidend ist, welche konkreten Systeme tatsächlich miteinander kommunizieren müssen.

Vielleicht holt die Maschine lediglich Auftragsdateien von einem Server ab und schreibt anschließend Ergebnisdaten zurück. Möglicherweise benötigt der Steuerungsrechner Zugriff auf eine Datenbank oder ein Mitarbeiter überträgt Programme von einem bestimmten Arbeitsplatz. Zusätzlich kann ein Maschinenhersteller gelegentlich einen Fernwartungszugang benötigen.

Diese Verbindungen lassen sich erfassen und anschließend gezielt erlauben.

Dabei zeigt sich nicht selten, dass eine Maschine nur einen kleinen Teil der Zugriffe benötigt, die ihr das vorhandene Netzwerk bisher ermöglicht. Ein Steuerungsrechner muss normalerweise weder auf die Computer der Buchhaltung noch auf Drucker, Kameras oder die komplette Serverlandschaft zugreifen können.

Der erste Schritt ist deshalb keine technische Umstellung, sondern eine Bestandsaufnahme der vorhandenen Abhängigkeiten. Erst wenn bekannt ist, welche Kommunikation für Produktion, Wartung und Datenaustausch tatsächlich erforderlich ist, lässt sich die Anlage sinnvoll vom Rest der Infrastruktur abgrenzen.

Ein eigener Netzwerkbereich reduziert unnötige Risiken

Für ältere Maschinen und ihre Steuerungsrechner bietet sich häufig ein eigener Netzwerkbereich an. Technisch wird das in vielen Umgebungen mit einem VLAN umgesetzt, also einem logisch getrennten Netzwerk innerhalb derselben physischen Verkabelung und Switch-Infrastruktur.

Dadurch muss für die Maschine nicht zwangsläufig ein komplett eigenes Kabelnetz aufgebaut werden. Vorhandene managed Switches und eine geeignete Firewall können mehrere voneinander getrennte Bereiche über dieselbe Infrastruktur transportieren.

Die Trennung allein reicht allerdings noch nicht aus. Entscheidend sind die Regeln zwischen den einzelnen Bereichen.

Wenn eine Maschine einen bestimmten Dateiserver benötigt, wird genau diese Verbindung freigegeben. Wenn ein Bedienplatz auf die Steuerung zugreifen muss, kann auch dieser Zugriff gezielt erlaubt werden. Alle anderen Verbindungen bleiben gesperrt, solange es keinen nachvollziehbaren Grund dafür gibt.

Eine solche Netzwerksegmentierung sorgt dafür, dass eine alte Maschinensteuerung nicht automatisch das gesamte Firmennetz erreichen kann. Gleichzeitig kann auch ein Problem auf einem Bürorechner wesentlich schlechter auf die Produktionsanlage übergreifen.

Damit wird aus einem frei angebundenen Altgerät ein klar abgegrenzter Bestandteil der Infrastruktur.

Die Trennung darf die Produktion nicht überraschen

Bei einer bestehenden Maschine sollte die Netztrennung nicht nach dem Prinzip erfolgen, zunächst alles zu sperren und anschließend zu beobachten, was nicht mehr funktioniert. Gerade bei Produktionsanlagen können Abhängigkeiten existieren, die jahrelang niemand bewusst wahrgenommen hat.

Vielleicht schreibt die Steuerungssoftware regelmäßig Daten auf einen Server, ein Bedienplatz greift über einen bestimmten Dienst zu oder ein Hersteller verwendet eine fest konfigurierte IP-Adresse für Wartungsarbeiten. Auch Lizenzserver und Zeitserver können eine Rolle spielen.

Solche Verbindungen sollten vor der Umstellung erfasst werden. Netzwerkprotokolle, vorhandene Firewalldaten und die Dokumentation der Anlage können dabei helfen, aber ebenso wichtig sind Gespräche mit den Mitarbeitern, die täglich mit der Maschine arbeiten.

Nach der Trennung sollte anschließend kontrolliert werden, ob Produktion, Datenaustausch, Wartung und Sicherung weiterhin wie vorgesehen funktionieren.

Auf diese Weise wird die vorhandene Anlage nicht zum Versuchsfeld für eine Sicherheitsmaßnahme, sondern kontrolliert in eine besser strukturierte Umgebung überführt.

Internetzugang ist bei vielen Maschinen überhaupt nicht notwendig

Ein weiterer Punkt ist der direkte Zugriff ins Internet. Viele ältere Produktionsmaschinen können ihn technisch nutzen, benötigen ihn für den täglichen Betrieb aber nicht.

Häufig besteht der Internetzugang lediglich deshalb, weil die Steuerung im gleichen Netzwerk wie normale Bürorechner steht und bisher keine Einschränkung vorgenommen wurde.

Bei einem alten Betriebssystem oder einer nicht mehr gepflegten Maschinensteuerung sollte diese Verbindung hinterfragt werden. Wenn die Anlage ausschließlich intern arbeitet, kann der direkte Internetzugang vollständig gesperrt werden, ohne dass sich für die Produktion etwas verändert.

Benötigt der Hersteller gelegentlich Zugriff, sollte dafür ein kontrollierter Fernwartungsweg verwendet werden. Ein dauerhaft laufendes Fernwartungsprogramm mit uneingeschränktem Internetzugang ist besonders bei älteren Systemen eine unnötig große Angriffsfläche.

Bei Fernwartungszugängen für Hersteller und Dienstleister sollte deshalb klar geregelt sein, wer zugreifen kann, welche Systeme erreichbar sind und ob der Zugang dauerhaft aktiv sein muss oder nur bei Bedarf freigeschaltet wird.

Die Maschine selbst ist oft nur ein Teil der Abhängigkeit

Bei der Betrachtung einer alten Anlage richtet sich die Aufmerksamkeit schnell auf den offensichtlich veralteten Rechner. Für die Betriebssicherheit ist jedoch wichtig, das gesamte Umfeld zu verstehen.

Vielleicht benötigt die Steuerung Dateien von einem alten Server. Vielleicht hängt die Produktion an einer Datenbank, deren Zweck außerhalb der Fachabteilung kaum bekannt ist. Eventuell werden Auftragsdaten über eine Freigabe übertragen, deren Name seit fünfzehn Jahren unverändert bleiben muss, weil er fest in der Maschinensoftware hinterlegt ist.

Eine Maschine kann deshalb technisch isoliert sein und trotzdem stark von anderen Systemen abhängen.

Diese Zusammenhänge gehören in die IT-Dokumentation, weil sie sowohl bei Änderungen am Netzwerk als auch bei einem späteren Austausch der Anlage berücksichtigt werden müssen.

Besonders hilfreich ist eine einfache Darstellung, aus der hervorgeht, welche Systeme Daten liefern, welche Dienste die Maschine benötigt und wohin sie selbst Informationen überträgt. Das ist wesentlich wertvoller als eine bloße Liste von IP-Adressen.

Ein alter Steuerungsrechner braucht eine andere Vorsorge als ein Büro-PC

Wenn ein normaler Arbeitsplatzrechner ausfällt, kann häufig innerhalb überschaubarer Zeit ein Ersatzgerät eingerichtet werden. Bei einem alten Maschinenrechner kann dieselbe Vorgehensweise scheitern, weil seine Software, Treiber oder Hardware nicht mehr ohne Weiteres verfügbar sind.

Deshalb gehört zur sicheren Einbindung auch eine Planung für den Ausfall.

Ein vollständiges Systemabbild kann den vorhandenen Zustand sichern. Zusätzlich sollten Installationsprogramme, Treiber, Lizenzen und Konfigurationen soweit möglich separat aufbewahrt werden. Bei schwer ersetzbarer Hardware kann ein baugleiches Ersatzgerät oder die Bevorratung einzelner Komponenten wirtschaftlich sinnvoll sein.

Welche Maßnahmen erforderlich sind, hängt davon ab, wie kritisch die Maschine für die Produktion ist und wie schwierig ihre Wiederherstellung wäre.

Gerade bei alten Windows-Systemen in der Produktion ist deshalb die Sicherung des gesamten funktionsfähigen Zustands häufig wichtiger als die Frage, ob auf dem Rechner besonders viele Dateien liegen.

Überwachung darf bei der Produktions-IT nicht aufhören

Auch ältere Anlagen können in eine regelmäßige technische Überwachung einbezogen werden, selbst wenn auf dem Steuerungsrechner keine moderne Verwaltungssoftware installiert werden kann.

So lässt sich beispielsweise überwachen, ob das Gerät im Netzwerk erreichbar ist, ob bestimmte Dienste reagieren oder ob die Verbindung zu einem wichtigen Produktionsserver besteht. Netzwerkgeräte können zusätzliche Informationen darüber liefern, ob ein Anschluss aktiv ist und ob ungewöhnliche Veränderungen auftreten.

Dabei muss nicht jede Maschine mit möglichst vielen Sensoren ausgestattet werden. Sinnvoll ist eine Überwachung dort, wo sie einen Ausfall frühzeitig erkennen oder zumindest schneller sichtbar machen kann.

Zusätzlich bleibt der regelmäßige Blick vor Ort wichtig. Ein IT-Dienstleister, der nicht nur auf Störungen wartet, kann dabei Veränderungen feststellen, die aus der Ferne kaum sichtbar sind, etwa neu angeschlossene Geräte, improvisierte Netzwerkverbindungen oder Umbauten an Maschinenarbeitsplätzen.

Sicherheit und Produktionsfähigkeit müssen zusammenpassen

Eine alte Produktionsmaschine vollständig vom Netzwerk zu trennen wäre aus Sicherheitssicht vielleicht attraktiv, kann betrieblich aber völlig unbrauchbar sein. Umgekehrt ist es unnötig riskant, einer veralteten Steuerung aus Bequemlichkeit uneingeschränkten Zugriff auf das gesamte Unternehmen zu geben.

Die sinnvollste Lösung liegt häufig dazwischen.

Die Anlage behält genau die Verbindungen, die für ihren Betrieb erforderlich sind, wird vom übrigen Netz abgegrenzt und erhält keinen unnötigen Internetzugriff. Gleichzeitig werden ihre Abhängigkeiten dokumentiert, die Wiederherstellung vorbereitet und wichtige Zugänge kontrolliert.

Damit kann eine technisch alte Maschine noch viele Jahre wirtschaftlich sinnvoll weiterbetrieben werden, ohne dass ihre ebenfalls alte IT unkontrolliert Teil des gesamten Firmennetzes bleiben muss.

Für die Geschäftsführung ist dabei vor allem eine Frage entscheidend: Kann jemand nachvollziehbar erklären, welche Verbindungen diese Maschine benötigt und warum alles andere gesperrt oder erlaubt ist? Wenn diese Antwort vorhanden ist, wurde aus einer historisch gewachsenen Verbindung ein bewusst gestalteter Teil der Infrastruktur.