IP-Schutz und Lizenzierung bis hin zu kleinsten Devices (Quelle: Wibu-Systems)
Herr Blume, der Schutz des geistigen Eigentums hat in Deutschland von jeher einen großen Stellenwert. Bitte geben Sie zunächst einen kurzen Einblick, wie sich der Markt und die Anforderungen rund um den Schutz sowie die Lizenzierung von Automatisierungssoftware in den letzten Jahren verändert haben.
M. Blume: In den letzten fünf bis zehn Jahren hat sich der Fokus klar von „nur Kopierschutz“ hin zu einem durchgängigen Security- und Lizenzierungsansatz verschoben. Früher war die typische Fragestellung: Wie verhindere ich, dass jemand meine Software kopiert? Heute geht es genauso um Manipulationsschutz, Compliance und die Erfüllung regulatorischer Vorgaben und Definitionen, wie CRA, NIS-2 oder IEC 62443. Gleichzeitig sehen wir, dass immer mehr Wertschöpfung in Firmware, also direkt auf Steuerungen, Umrichtern oder Sensoren, stattfindet. Deshalb müssen Schutz und Lizenzierung heute genau dort ansetzen, teilweise bis hinunter auf ressourcenarme Mikrocontroller.
Mit CodeMeter bieten Sie seit vielen Jahren eine Schutz-, Lizenzierungs- und Sicherheitslösung an. Bitte erläutern Sie die einzelnen Bausteine Ihrer Lösung zunächst an einer Beispielapplikation.
M. Blume: Wenn man sich eine typische Automatisierungslösung anschaut, zum Beispiel eine Steuerung mit Visualisierung auf einem Industrie-PC (IPC) und mehrere intelligente Sensoren, dann spielen verschiedene CodeMeter-Bausteine zusammen: Auf dem IPC läuft meist die CodeMeter Runtime, die als Dienst die Lizenzen verwaltet, welche in CmDongles, softwarebasierten CmActLicenses oder CmCloudContainer gespeichert sind. Auf der Steuerung und auf den Embedded-Geräten setzen wir CodeMeter Embedded ein. Das ist eine kompakte Bibliothek, die direkt in die Firmware integriert wird und dieselbe API sowie dasselbe Lizenzformat wie im PC-Umfeld nutzt.
Dazu kommt die CodeMeter Protection Suite, mit der der Hersteller seine Anwendung oder Firmware automatisch verschlüsseln und mit Integritätsschutz versehen kann – also klassischer IP-Schutz plus Anti-Tampering in einem Schritt. Für den Umgang mit Zertifikaten, wie für TLS (Transport Layer Security) oder Geräteauthentifizierung, ergänzt CodeMeter Certificate Vault das Ganze um sicheres Zertifikats-Handling über eine standardisierte PKCS11-Schnittstelle. Und über CodeMeter License Central beziehungsweise das neue License Portal lassen sich Lizenzen zentral erzeugen, ausrollen und über den kompletten Lebenszyklus verwalten.
Zur SPS 2025 hatte Wibu-Systems neue Entwicklungen rund um CodeMeter präsentiert. Dazu zählte auch eine sichere Lizenzierung für kleine Geräte mit nur wenigen Kilobyte Speicher. Für welche Geräte ist diese konkret gedacht; können Sie auch hier bitte ein (exemplarisches) Beispiel nennen?!
M. Blume: Die Erweiterungen zielen ganz klar auf Mikrocontrollerbasierte Geräte, bei denen bislang schlicht „zu wenig Platz“ für ein klassisches Lizenzsystem war. Typische Beispiele sind einfache Sensoren, kleine Antriebsregler oder kompakte Steuerungen, auf denen nur eine Anwendung oder ein schlankes RTOS läuft.
Ein konkretes Szenario: Ein Hersteller von dezentralen IO-Modulen möchte Funktionsumfang oder Bandbreitenstufen über Lizenzen freischalten, hat aber auf der eingesetzten Microcontroller Unit (MCU) nur wenige zig Kilobyte für zusätzliche Funktionen frei. Hier lässt sich CodeMeter Embedded in einer stark modularisierten, Bare-Metal-tauglichen Konfiguration einsetzen, sodass trotz sehr geringer Ressourcen IP-Schutz, Lizenzprüfung und optional Signaturverifikation möglich werden – ohne dass der Hersteller eine komplett eigene Sicherheitsinfrastruktur bauen muss.
Wie gelingt sichere Lizenzierung und Signaturprüfung auf so kleinen Embedded-Plattformen technisch, und wo liegen die Grenzen?
M. Blume: Technisch nutzen wir die Modularität von CodeMeter Embedded: Unnötige Funktionen wie Caching, Shared Memory oder Netzwerkzugriff werden weggelassen, sodass nur noch ein sehr schlanker Kern übrigbleibt, der Lizenz- und Kryptooperationen ausführt. Die Lizenzdaten und Schlüssel liegen in einem einheitlichen CmContainer-Format, das sich auf unterschiedlichen Trägern realisieren lässt – vom CmDongle über softwarebasierte CmActLicenses bis hin zum CmASIC als Secure Element.
Die Grenzen liegen am Ende bei Speicher, Rechenleistung und Kommunikationskanälen. Asymmetrische Verfahren mit langen Schlüsseln, insbesondere postquantenfähige Algorithmen, sind auf sehr kleinen MCU nur begrenzt einsetzbar. Deshalb setzen wir dort auf hybride Ansätze: klassische, performante Verfahren, kombiniert mit PQC dort, wo es machbar ist. Wenn ein Gerät praktisch keine Kommunikationsmöglichkeit hat, dann muss man sich bei der Lizenzaktualisierung auf Fertigungsprozesse, Service-Tools oder Austauschgeräte stützen. Auch dafür stellen wir Mechanismen bereit, aber die Prozessgestaltung liegt dann stark beim Gerätehersteller.
Sie geben an, dass Kunden von einem einheitlichen Lebenszyklusmanagement, sicheren Aktivierungsabläufen und Compliance-Daten profitieren. Bitte zeigen Sie kurz auf, wie das Ende-zu-Ende im Betrieb funktioniert und wie der Fall von Offline-Szenarien in der OT, beispielsweise Internetausfall, Serviceeinsatz, Austauschgerät o. Ä., abgedeckt wird.
M. Blume: Ende-zu-Ende heißt für uns: Vom ERP- oder Shop-System des Herstellers über CodeMeter License Central beziehungsweise das CodeMeter License Portal bis hin zur Lizenzprüfung auf dem Gerät laufen alle Schritte konsistent durch. Der Hersteller legt Produkte und Lizenzmodelle in CodeMeter License Central an, erzeugt daraus Lizenzen und verteilt sie je nach Szenario online, per Datei, über CmDongles oder auch im Rahmen des Fertigungsprozesses.
In einer OT-Werkhalle ohne Internet kommen in der Praxis oft offlinefähige Mechanismen zum Einsatz: CmDongles als physischer Lizenzträger, Lizenzdateien, die über ein sicheres Wartungs-Tool eingespielt werden, oder Austauschgeräte, die bereits vorkonfigurierte Lizenzen enthalten. Wichtig ist, dass der Hersteller über CodeMeter License Central trotzdem den Überblick über installierte Lizenzen, Updates oder Rücknahmen behält und damit Compliance-Daten erhält – unabhängig davon, ob das Zielsystem online ist oder nicht. Für Service und Austauschgeräte können Workflows hinterlegt werden, mit denen Lizenzen transferiert, deaktiviert oder neu gebunden werden, ohne Medienbrüche in den Geschäftsprozessen zu erzeugen.