Interview mit M. Blume
Die CmContainer der CodeMeter-Technologie von Wibu-Systems gibt es in verschiedenen Bauformen als Secure Element: als Hardware, softwarebasierte Aktivierungsdatei oder CmCloudContainer für die Cloud. Die Lizenzen zur Nutzung der verschlüsselten Software werden darin sicher gespeichert. (Quelle: Wibu-Systems)
Schutz und Lizenzierung bis zum Mikrocontroller mit CodeMeter (Quelle: Wibu-Systems, erzeugt mit Midjourney)
Hersteller können mit CodeMeter vom klassischen „Einmalverkauf plus Wartungsvertrag“ zur Monetarisierung von Funktionen wechseln. (Quelle: Wibu-Systems)
Marco Blume ist als Product/R&D Manager Embedded bei Wibu-Systems tätig. (Quelle: Wibu-Systems)
Bitte lassen Sie uns auch noch einen Blick auf die Integration in die Unternehmens-IT werfen: Wie erfolgt die API-Integration in ERP/CRM genau und was braucht es organisatorisch, damit Lizenzdaten wirklich „von der Technik bis ins Business“ genutzt werden?
M. Blume: Technisch gibt es mehrere Ebenen: Auf der einen Seite stehen Webservices und Rest-API von CodeMeter License Central, über die ERP-, CRM- oder Shop-Systeme Aufträge anlegen, Lizenzen erzeugen und Statusinformationen abrufen. Auf der anderen Seite sprechen die Runtime- oder Embedded-Komponenten mit CodeMeter License Central beziehungsweise dem CodeMeter License Portal, um Lizenzen zu aktivieren oder zu aktualisieren.
Organisatorisch ist entscheidend, dass Vertrieb, Produktmanagement, IT und Entwicklung ein gemeinsames Lizenzmodell definieren. Wenn klar ist, welche Produktvarianten, Feature-Levels oder Abo-Modelle es gibt, dann kann man diese sauber in ERP-Stammdaten, CodeMeter License Central und in der Firmware abbilden. Nur dann lassen sich Lizenzdaten tatsächlich fürs Business nutzen, zum Beispiel für Up- und Cross-Selling, Auswertung von Nutzungsrechten oder die Umsetzung neuer, nutzungsbasierter Geschäftsmodelle.
Der CRA ist aktuell ein großes Thema: Auch Sie positionieren CodeMeter als „von vornherein CRA-fähig“. Welche CRA-Anforderungen adressieren Sie konkret und was bleibt Verantwortung des Geräteherstellers?
M. Blume: Der CRA adressiert im Kern Themen, wie Risikoanalyse, sichere Entwicklung, Patch- und Update-Fähigkeit sowie den Schutz vor Manipulation und unbefugter Nutzung. CodeMeter unterstützt Hersteller dabei, indem es zentrale Bausteine für Integritätsschutz, sichere Schlüssel- und Lizenzspeicherung, kryptoagile Verfahren und das Management von Updates und Zertifikaten bereitstellt.
Was aber immer beim Gerätehersteller bleibt, ist das Gesamtsystem: Architektur, sichere Entwicklungsprozesse, das Patch-Management über den gesamten Lebenszyklus und die korrekte Einbindung der Sicherheitsfunktionen in die Anwendung. CodeMeter ist sozusagen der Werkzeugkasten, mit dem sich CRA-Anforderungen effizient umsetzen lassen; die Verantwortung, diese Werkzeuge angemessen einzusetzen und die Dokumentation für die Konformität zu liefern, liegt beim Hersteller.
Können Sie ein konkretes Beispiel nennen, wie ein Hersteller mit CodeMeter gleichzeitig Security, Compliance und Monetarisierung verbessert?
M. Blume: Nehmen wir einen Maschinenbauer, der bislang eine klassische „Einmalverkauf plus Wartungsvertrag“-Welt hatte. Mit CodeMeter kann er seine Maschinensteuerung so auslegen, dass bestimmte Optionen, beispielsweise höhere Achszahlen, zusätzliche Sicherheitsfunktionen oder Analysepakete, lizenziert und nachträglich freigeschaltet werden können.
Securityseitig wird die Firmware mit CodeMeter Protection Suite verschlüsselt und gegen Manipulation geschützt, Schlüssel und Lizenzen liegen hardwaregeschützt im CmDongle oder im CmASIC. Compliance verbessert sich, weil der Hersteller jederzeit sieht, welche Optionen bei welchem Kunden aktiv sind und ob Lizenzen innerhalb der vertraglichen Rahmenbedingungen genutzt werden. Monetarisierung profitiert davon, dass neue Features im Feld nachlizenziert werden können, ohne dass Hardware getauscht oder Software unsicher „auf Zuruf“ freigeschaltet werden muss.
Lassen Sie uns abschließend noch einen Blick in die Zukunft richten: Was sind die wesentlichen Trends, die Ihre Entwicklungs-Roadmap in den nächsten Jahren maßgeblich beeinflussen werden?
M. Blume: Drei Themen stechen aus heutiger Sicht klar hervor: Embedded-Sicherheit bis zum Mikrocontroller, Post-Quantum-Kryptografie und standardisiertes Zertifikats-Handling. Auf der Embedded-Seite treiben wir die Erweiterung von CodeMeter Embedded auf MCU und RTOS weiter voran, damit auch sehr kleine Geräte nahtlos in dieselbe Lizenz- und Sicherheitsarchitektur eingebunden sind wie große Steuerungen oder PC-Systeme.
Parallel fließt Post-Quantum-Kryptografie in alle CodeMeter-Produkte ein: Unsere nächsten Dongle-Generationen unterstützen Algorithmen, wie ML-KEM und ML-DSA, und wir achten von Anfang an auf Kryptoagilität, um im Zweifel Algorithmen austauschen zu können. Und mit CodeMeter Certificate Vault plus PKCS11-Schnittstelle stellen wir sicher, dass X.509-Zertifikate für TLS, 802.1X oder Signaturen sicher gehandhabt werden und sich in bestehende PKI- und IT-Landschaften einfügen. Das Ziel ist, dass sich unsere Kunden nicht im Detail um PQC, Zertifikate oder Secure Storage kümmern müssen, sondern diese Bausteine fertig integriert aus der CodeMeter-Welt beziehen.
Wir richten diese Heftausgabe auch an der embedded world aus. Bitte geben Sie doch auch noch einen kurzen Ausblick auf Ihre dortigen Messe-Highlights.
M. Blume: Auf der embedded world legen wir natürlich den Schwerpunkt auf die neuen Möglichkeiten von CodeMeter Embedded auf Mikrocontrollern und in RTOS-Umgebungen. Dort zeigen wir, wie IP-Schutz und Lizenzierung auch auf kleinsten Geräten funktionieren und trotzdem vollständig kompatibel zu bestehenden CodeMeter-Installationen im PC- und Cloud-Umfeld bleiben. Im Vergleich zu früheren Versionen ist die Bibliothek jetzt so modular, dass man sie auf Bare-MetalMCU mit nur wenigen Kilobyte Fußabdruck einsetzen kann oder sie nahtlos in RTOS, wie FreeRTOS oder Zephyr, integriert – immer mit der gleichen API, damit Lizenzen von CodeMeter License Central unabhängig von der Plattform ausgestattet werden. Besonders praktisch: Auf MCU ohne Internetzugang können wir am Demonstratorkoffer zeigen, wie diese Geräte trotzdem über ein gesichertes Edge Device Zugriff auf Cloudlizenzen haben.
Ein weiterer Schwerpunkt ist die Compliance mit den unterschiedlichen nationalen Ausprägungen von gesetzlichen Anforderungen. Wir erklären, wie CodeMeter und Certificate Vault Herstellern helfen, Standards wie CRA oder NIS-2 in Europa, NIST CSF 2.0 und CISA CPG in den USA oder MLPS 2.0 und GB Safety Standards in China effizient umzusetzen, beispielsweise durch Tamper-Proofing, Integrity-Checks und sichere Update-Mechanismen.