Bild 01: Ende-zu-Ende-Verschlüsselung der externen Anlagenkommunikation mit der Bachmann-Steuerung (Quelle: Bachmann)
Grundsätzlich gilt die Ende-zu-Ende-Verschlüsselung als optimale Lösung für alle Anwendungsfälle im Internet. Auf Steuerungssysteme übertragen bedeutet das, dass ausschließlich die unmittelbaren Kommunikationspartner, zum Beispiel ein intelligentes Gerät und das Scada-System, gemeinsam einen Schlüssel „aushandeln“. Somit bleibt auf der gesamten Übertragungsstrecke der Dateninhalt geheim; selbst beim direkten Zugriff auf Netzwerkkomponenten oder dem Mithören von (Mobil-)Funkübertragungen können Angreifer keine Informationen abgreifen.
Im OT-Bereich, also dort, wo IT-Mittel zu Produktionszwecken eingesetzt werden, ist der Einsatz von Verschlüsselungen differenzierter zu betrachten. Hier wird zwischen den Begriffen Authentication und Encryption unterschieden: Die Authentication stellt sicher, dass die Datenverbindung tatsächlich mit der erwarteten Gegenstelle aufgebaut wird. Erst die zusätzliche Encryption macht den Verkehr auch abhörsicher. Es stellt sich daher die Frage: Ist der Inhalt der Kommunikation vertraulich oder genügen Fälschungssicherheit und eindeutige Authentifizierung der Kommunikationsteilnehmer? Die folgenden beiden Anwendungsfälle zeigen, dass beide Lösungen ihre Berechtigung haben.
Anwendungsfall 1: Zugriff auf Daten einer Windturbine
Zu Beginn der Windkraft-Industrialisierung war die Menge der erfassten Daten sehr gering und der Zugang war meistens nur für den Hersteller möglich. Inzwischen befinden sich in Windparks Turbinen verschiedener Hersteller im Einsatz. Bei Reparaturen beauftragen die Betreiber weitere, unabhängige und wechselnde Servicedienstleister. Diese benötigen Zugriff auf Betriebsstundenzähler und Störungsmeldungen. Teilweise betreffen Störungen unterschiedliche Fachbereiche für Anlagenschutz, Safety oder Einspeiserichtlinien, bei denen jeweils weiterführende Informationen erforderlich sind.
Gleichzeitig können räumlich weit entfernte Direktvermarkter und Energiebroker Zugriff auf die Erzeugungseinheit erhalten, um die verfügbaren Einspeisekapazitäten abzufragen und um Sollwertvorgaben sowie Fahrpläne für Blind- und Wirkleistung zu übergeben. Auch Abrechnungsdaten werden über diese Verbindung transferiert. Dieser Zugriff erfolgt in den meisten Fällen über das vorhandene Internet oder über Satellitenstrecken und muss entsprechend abgesichert werden.
Die Scada-Schnittstellen der Erzeugungseinheiten sollten sich somit bei wechselnden Sicherheitsanforderungen einfach anpassen lassen. Das Hinzufügen und Entfernen von Usern, das Ändern der Zugriffsrechte oder das Sperren von nicht länger erwünschten Zertifikaten muss einfach im laufenden Betrieb möglich sein; die Änderungen müssen sich leicht ausrollen lassen.
Die MMS-Schnittstelle gemäß der Normenreihe DIN EN IEC 61850 (VDE 0160-850) [1] für die Steuerungsfamilie von Bachmann [2] ermöglicht die Absicherung der Kommunikation über TLS-Zertifikate. Dabei sind die Erkennung der Teilnehmer (Authentication) und der Verschlüsselung der Kommunikation (Encryption) getrennt konfigurierbar. Alle Einstellungen sind in einer XML-Datei zusammengefasst und können somit – vorausgesetzt, der User hat die Rechte – einfach im Windpark oder in der EZA auf viele Geräte verteilt werden (Bild 1). Ab diesem Zeitpunkt ist es nur noch erwarteten und vorgesehenen Teilnehmern möglich, Sollwerte und Schaltbefehle abzusetzen sowie Prozessdaten und Ereignisse „mitzuhören“.