Alte Windows-Systeme in der Produktion: Weiterbetreiben, isolieren oder ersetzen?

Wenn der Rechner älter ist als manche Mitarbeiter

In vielen Produktionsunternehmen arbeitet eine Maschine seit zehn, fünfzehn oder zwanzig Jahren zuverlässig und soll auch in den kommenden Jahren weiter genutzt werden. Direkt daneben steht allerdings ein Rechner mit Windows 7, Windows XP oder sogar einem noch älteren Betriebssystem, für das seit langer Zeit keine Sicherheitsupdates mehr erscheinen.

Aus Sicht klassischer Büro-IT wirkt die Lösung zunächst einfach: Ein nicht mehr unterstütztes Betriebssystem sollte ersetzt werden. In einer Produktionsumgebung kann genau dieser Austausch jedoch erhebliche Folgen haben, denn häufig ist der alte Rechner kein gewöhnlicher Arbeitsplatz, sondern ein fester Bestandteil einer funktionierenden Maschine.

Die Steuerungssoftware läuft möglicherweise nur unter einer bestimmten Windows-Version, verwendet eine alte Datenbank oder kommuniziert über eine spezielle Schnittstellenkarte mit der Anlage. Vielleicht existiert der Hersteller der Software nicht mehr, oder eine Modernisierung der Maschinensteuerung würde einen fünfstelligen Betrag kosten, obwohl die eigentliche Maschine technisch noch zuverlässig arbeitet.

Ein solcher Rechner sollte deshalb weder gedankenlos weiterbetrieben noch allein wegen seines Alters vorschnell ersetzt werden. Zunächst muss geklärt werden, welche Aufgabe er erfüllt, welche Abhängigkeiten bestehen und welches Risiko sein Ausfall oder eine Sicherheitslücke tatsächlich für das Unternehmen darstellt.

Die Windows-Version allein reicht für eine Bewertung nicht aus

Ein veraltetes Betriebssystem ist zweifellos ein Risiko, weil bekannte Sicherheitslücken irgendwann nicht mehr geschlossen werden. Wie groß dieses Risiko im konkreten Fall ist, hängt allerdings stark davon ab, wie der Rechner eingesetzt und in die übrige Infrastruktur eingebunden wird.

Ein alter PC, auf dem Mitarbeiter E-Mails lesen, Internetseiten öffnen und frei auf das gesamte Firmennetz zugreifen können, ist wesentlich problematischer als eine Maschinensteuerung, die ausschließlich mit einer bestimmten Anlage und vielleicht einem einzigen Produktionsserver kommunizieren muss.

Bei der Bewertung geht es deshalb zunächst darum, die tatsächliche Nutzung zu verstehen. Welche Software läuft auf dem Rechner, welche Netzwerkverbindungen benötigt sie, kann der Computer das Internet erreichen, greifen Mitarbeiter interaktiv darauf zu und welche anderen Systeme können mit ihm kommunizieren?

Ebenso wichtig ist die geschäftliche Bedeutung. Wenn der Rechner ausfällt, steht möglicherweise eine Maschine still, die jeden Tag einen erheblichen Teil der Produktion übernimmt. In einem solchen Fall ist nicht nur die IT-Sicherheit interessant, sondern auch die Frage, wie schnell der Rechner überhaupt ersetzt oder wiederhergestellt werden könnte.

Damit wird aus einem vermeintlich einfachen Thema wie „Windows XP ist unsicher“ eine betriebliche Risikoabwägung, bei der Sicherheit, Verfügbarkeit und Wirtschaftlichkeit gemeinsam betrachtet werden müssen.

Ein Austausch kann an unscheinbaren Details scheitern

Der Ersatz eines normalen Bürorechners ist heute meist vergleichsweise unkompliziert. Bei einer Maschinensteuerung können dagegen Details entscheidend sein, die auf den ersten Blick gar nicht auffallen.

Vielleicht steckt im alten Rechner eine PCI-Erweiterungskarte, die direkt mit der Maschine kommuniziert und für die es keinen modernen Ersatz gibt. Möglicherweise verwendet die Software einen Hardware-Dongle, eine alte serielle Schnittstelle oder einen Treiber, der nur unter einer bestimmten Windows-Version funktioniert.

Auch Lizenzierung kann zum Problem werden. Eine Software lässt sich eventuell noch installieren, kann aber nicht mehr aktiviert werden, weil der Hersteller den entsprechenden Dienst längst abgeschaltet hat. In anderen Fällen fehlt der ursprüngliche Datenträger, oder niemand weiß mehr, welche Programmversion tatsächlich benötigt wird.

Bevor ein solcher Rechner ersetzt wird, sollte deshalb genau erfasst werden, aus welchen Bestandteilen die funktionierende Lösung besteht. Dazu gehören Hardware, Betriebssystem, Anwendungen, Treiber, Lizenzen, Schnittstellen, Netzwerkverbindungen und gegebenenfalls besondere Start- oder Bedienabläufe.

Erst mit dieser Übersicht lässt sich beurteilen, ob ein einfacher Rechnerwechsel möglich ist oder ob damit faktisch eine Modernisierung der gesamten Maschinensteuerung begonnen würde.

Wenn ein Austausch nicht sinnvoll ist, muss das System begrenzt werden

Kann ein veralteter Rechner nicht kurzfristig ersetzt werden, besteht eine der wichtigsten Maßnahmen darin, seine Verbindung zur übrigen IT auf das tatsächlich notwendige Maß zu beschränken.

Dafür wird das Netzwerk sinnvollerweise in getrennte Bereiche aufgeteilt. Häufig kommen dabei VLANs zum Einsatz, also logisch getrennte Netzwerke innerhalb derselben physischen Infrastruktur.

Ein Maschinenrechner muss beispielsweise vielleicht Produktionsaufträge von einem bestimmten Server abrufen und Ergebnisse dorthin zurückschreiben. Daraus folgt jedoch nicht, dass er gleichzeitig auf Büro-PCs, Drucker, Kameras, Verwaltungsserver und andere Maschinen zugreifen können muss.

Über Firewallregeln lässt sich genau festlegen, welche Verbindungen zwischen den Bereichen erlaubt sind. Die Steuerung erhält damit die Kommunikation, die sie für ihren Betrieb benötigt, bleibt aber von großen Teilen der übrigen Infrastruktur getrennt.

Eine solche Netzwerksegmentierung beseitigt die Schwachstellen des alten Betriebssystems nicht, sie verkleinert jedoch erheblich den Bereich, in dem ein erfolgreicher Angriff oder eine Schadsoftware Auswirkungen haben kann.

Gleichzeitig schützt die Trennung auch den alten Rechner selbst, weil kompromittierte Bürogeräte oder andere Systeme ihn nicht ohne Weiteres erreichen können.

Internetzugang sollte nur vorhanden sein, wenn er wirklich gebraucht wird

Viele alte Produktionsrechner besitzen Internetzugang, obwohl für den eigentlichen Maschinenbetrieb keinerlei Verbindung ins Internet notwendig ist. Häufig ist dieser Zustand lediglich deshalb entstanden, weil früher alle Geräte im gleichen Netzwerk standen und niemand einen Grund gesehen hat, die Verbindung zu beschränken.

Gerade bei einem nicht mehr gepflegten Betriebssystem sollte diese Notwendigkeit kritisch geprüft werden. Wenn die Maschine ohne Internetzugang arbeitet, gibt es wenig Grund, ihn dauerhaft zu erlauben.

Auch Fernwartung verdient besondere Aufmerksamkeit. Hersteller oder externe Techniker benötigen gelegentlich Zugriff auf eine Anlage, daraus muss jedoch kein dauerhaft offener Zugang entstehen.

Sinnvoller ist ein kontrolliertes Verfahren, bei dem der Fernzugriff nur die benötigten Systeme erreicht und möglichst nur dann aktiviert wird, wenn tatsächlich eine Wartung stattfindet. Welche Fernwartungszugänge externer Hersteller und Dienstleister vorhanden sind, sollte außerdem dokumentiert und regelmäßig überprüft werden.

Gerade bei Anlagen, die seit vielen Jahren betrieben werden, finden sich sonst leicht Fernwartungslösungen, die irgendwann eingerichtet wurden und inzwischen von niemandem mehr bewusst betreut werden.

Die Sicherung muss den vollständigen Maschinenrechner berücksichtigen

Bei einem alten Produktionssystem ist häufig nicht der Verlust einzelner Dateien das größte Problem, sondern der Verlust der funktionierenden Installation.

Wenn die Festplatte ausfällt, muss möglicherweise genau dieselbe Kombination aus Betriebssystem, Treibern, Maschinensoftware, Lizenzinformationen und Konfiguration wiederhergestellt werden. Eine normale Sicherung einiger Verzeichnisse reicht dafür nicht aus.

Ein vollständiges Systemabbild kann deshalb erheblich wertvoller sein, weil damit der gesamte Rechnerzustand gesichert wird. Ergänzend sollten verfügbare Installationsmedien, Treiber, Lizenzschlüssel, Konfigurationsdateien und Hinweise zu besonderen Hardwarekomponenten aufbewahrt werden.

Dabei sollte nicht lediglich angenommen werden, dass sich ein solches Abbild im Ernstfall schon irgendwie wiederherstellen lässt. Eine praktische Prüfung der Wiederherstellung kann zeigen, ob das Sicherungsverfahren tatsächlich funktioniert und ob der wiederhergestellte Rechner anschließend mit der Maschine kommunizieren kann.

Gerade bei Systemen, deren ursprüngliche Hardware kaum noch erhältlich ist, ist diese Prüfung wesentlich, weil ein Backup allein noch nicht beantwortet, auf welcher Ersatzhardware es später überhaupt lauffähig wäre.

Ersatzhardware kann wirtschaftlicher sein als spontane Beschaffung

Ein älterer Rechner besitzt auf dem Gebrauchtmarkt möglicherweise nur noch einen geringen Wert, kann für ein Produktionsunternehmen aber trotzdem eine erhebliche Bedeutung haben, wenn genau seine Hardware für den Betrieb einer wichtigen Maschine benötigt wird.

Bei besonders kritischen Anlagen kann es deshalb sinnvoll sein, bestimmte Ersatzteile oder sogar ein baugleiches Ersatzgerät vorzuhalten. Das betrifft insbesondere Komponenten, die heute schwer zu beschaffen sind, etwa spezielle Erweiterungskarten, Mainboards mit alten Schnittstellen oder andere proprietäre Hardware.

Dabei geht es nicht darum, für jede alte Maschine ein eigenes Ersatzteillager aufzubauen. Entscheidend ist eine wirtschaftliche Betrachtung: Wenn der Stillstand einer Maschine bereits nach wenigen Stunden erhebliche Kosten verursacht und ein passender Ersatzrechner für überschaubares Geld verfügbar ist, kann dessen Lagerung eine sehr vernünftige Vorsorge sein.

Welche Ersatzhardware für alte Produktions-IT sinnvoll ist, sollte deshalb nach Ausfallkosten und Beschaffungsrisiko entschieden werden und nicht allein nach dem Marktwert des alten Rechners.

Virtualisierung kann eine Lösung sein, aber nicht bei jeder Maschine

Bei manchen Produktionssystemen lässt sich die Abhängigkeit von alter Hardware reduzieren, indem die bestehende Windows-Installation virtualisiert wird. Der ursprüngliche Rechner wird dabei als virtuelle Maschine auf moderner Hardware weiterbetrieben, während Betriebssystem und Software weitgehend unverändert bleiben.

Das kann besonders dann interessant sein, wenn die Anwendung hauptsächlich über Netzwerkverbindungen arbeitet und keine spezielle lokale Hardware benötigt. Ein späterer Hardwaredefekt lässt sich in einer virtuellen Umgebung oft deutlich einfacher beherrschen, weil das System nicht mehr an ein bestimmtes Mainboard oder eine bestimmte Festplatte gebunden ist.

Bei Maschinensteuerungen mit speziellen PCI-Karten, Echtzeitanforderungen, alten Kopierschutzverfahren oder ungewöhnlichen Schnittstellen kann die Virtualisierung dagegen ungeeignet sein. Deshalb muss vorab geprüft werden, welche Teile des Systems tatsächlich von der physischen Hardware abhängen.

Virtualisierung ist damit eine mögliche technische Maßnahme, aber kein universeller Weg, um sämtliche alten Produktionsrechner in moderne Infrastruktur zu überführen.

Auch ein gut abgesichertes Altsystem braucht eine Perspektive

Die Isolation eines alten Rechners kann dessen Weiterbetrieb für viele Jahre vertretbar machen, sie verwandelt das System allerdings nicht wieder in moderne Technik. Komponenten altern weiter, Ersatzteile werden seltener und das Wissen über die ursprüngliche Lösung kann mit der Zeit verloren gehen.

Deshalb sollte zumindest bekannt sein, welche langfristigen Möglichkeiten für eine Ablösung bestehen. Vielleicht gibt es inzwischen eine aktuelle Version der Maschinensteuerung, eventuell kann ein moderner Ersatzrechner vorbereitet werden oder eine geplante Modernisierung der Maschine bietet ohnehin Gelegenheit, die alte IT-Komponente zu ersetzen.

Ein solcher Wechsel ist wesentlich einfacher, wenn er geplant erfolgt und nicht erst an dem Morgen beginnt, an dem der alte Rechner endgültig nicht mehr startet.

Für die Geschäftsführung ist deshalb entscheidend, dass das vorhandene Risiko bewusst behandelt wird. Ein nicht mehr unterstützter Windows-Rechner kann durchaus noch Teil einer vernünftig aufgestellten Produktionsumgebung sein, wenn seine Aufgabe bekannt ist, seine Netzwerkzugriffe begrenzt sind, eine brauchbare Sicherung existiert und für einen Ausfall ein realistischer Plan vorhanden ist.

Eine gesund aufgestellte IT muss nicht ausschließlich aus neuer Technik bestehen. Sie muss allerdings wissen, wo alte Technik eingesetzt wird, warum sie noch benötigt wird und wie verhindert werden soll, dass genau dieses eine System irgendwann überraschend die gesamte Produktion zum Stillstand bringt.