Geschütze Fernwartungslösung

Laut ISG zählt die Deutsche Telekom zu den führenden Beratern für Cybersecurity Services. Dabei werden vor allem ihre speziellen Kompetenzen hinsichtlich des Mittelstands hervorgehoben. Aus seiner Erfahrung heraus weiß A. Velten: „Viele Mittelständler haben bereits erkannt, dass eine sichere Fernwartung für eine umfassende Cyber-Sicherheit sowohl der IT als auch der Produktion (OT) unumgänglich ist. Allerdings: Wie bei Cybersecurity allgemein zu beobachten ist, fällt auch hier auf, dass Ressourcen und auf Security spezialisierte Mitarbeiter nicht immer in dem Umfang zur Verfügung stehen, wie sie für einen sicheren Betrieb benötigt würden. Indem die Telekom Security im Rahmen der Managed Services von MSIRAS die entsprechenden Kompetenzen und Kapazitäten zur Verfügung stellt, kann diese Lücke geschlossen werden.“

Außerdem berichtet er, dass externe Zugänge für Wartungszwecke gerade in Produktionsanlagen und OT-Netzwerken weitverbreitet sind. „Wir beobachten zwei Angriffsszenarien: zum einen direkte Angriffe auf schlecht abgesicherte Fernwartungszugänge und zum anderen indirekte Angriffe über die IT-Systeme der Firmen, die zur Fernwartung hinzugezogen werden. Sind diese beispielsweise mit Trojanern infiziert, besteht auch für den Betrieb der Produktionsanlagen ein Risiko – das Ausfallrisiko steigt.“ Im Weiteren verweist er darauf, dass es sich bei den Fernwartungszugängen oftmals um VPN-Zugriffe mit keinerlei Beschränkung der im OT-Netz erreichbaren Systeme handelt. „Somit kann über einen Wartungszugang für ein bestimmtes System unkontrolliert und unbemerkt auf weitere Systeme zugegriffen werden“, nennt er die Gefahr. Begünstigt würde dies unter anderem durch historisch gewachsene Infrastrukturen mit flachen Hierarchien und ohne Segmentierung im OT-Netz. Und last, but not least meint A. Velten: „Unzureichende oder mangelnde Authentisierung und Autorisierung
erleichtern einen Angriff ebenfalls.“

Sichere Fernwartungslösung

Die Deutsche Telekom Security GmbH bietet mit ihren Magenta Security Industrial Remote Access Services (MSIRAS) sichere Lösungen rund um die Fernwartung. Prinzipiell stellt A. Velten heraus: „Effektive Lösungen im Bereich der Cybersecurity zeichnen sich in der Regel durch zwei Komponenten aus: ein Tool als Basis der Lösung – also eine Soft- oder Hardware –, ergänzt durch Beratungs-, Implementierungsdienstleistungen sowie Betriebsunterstützung im Rahmen von Managed Services.“

Als Lieferant der Tools setzt Telekom bei ihren Lösungen auf etablierte und erfahrene Partner. „Im Fall der MSIRAS beziehen wir die Serviceboxen, die in den Lokationen des Kunden ausgebracht werden, sowie die zentralen Komponenten, um die Fernwartungsbeziehungen zu definieren, zu monitoren und zu gewährleisten, von der Firma genua“, berichtet er und geht weiter ins Detail: „Im Rahmen des managed Service hosten wir zum einen die zentralen Komponenten der Lösung in unserem Tier-3-Hochsicherheits-Rechenzentrum. Zum anderen bieten wir unseren Kunden alle für den Service notwendigen Beratungs-, Konfigurations- und Betriebsleistungen, inklusive des Aufsetzens der Systeme, Back-ups, Release- und Changemanagements.“

genua bietet mit ihren Tools hochsichere Produkte und Systeme, die in Deutschland entwickelt und hergestellt werden. Der Service und Support haben die Telekom-Security-Experten überzeugt. Zudem entspricht die Fernwartungslösung vollumfänglich den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI). Den genua-Lösungspart innerhalb der MSIRAS erläutert S. Schoner wie folgt: „Die Architektur von MSIRAS basiert auf dem Rendezvous-Konzept unserer genubox-Fernwartungslösung. Sie stellt sicher, dass keine durchgreifenden Zugriffe von außen stattfinden, sondern stets auch eine Freigabe von innen erfolgen muss.“ Das kann auf verschiedene Arten passieren: automatisiert zu einer bestimmten Zeit, manuell per digitalem Knopfdruck oder gegebenenfalls sehr hardwarenah mit einem Schlüsselschalter.

„Die Rendezvous-Architektur gewährleistet, dass ausschließlich authentisierte Anwender Zugriff auf vorher spezifizierte Dienste und Zielsysteme erhalten“, sagt S. Schoner weiter. Namensgebend sei dabei eine der beiden Rollen der genubox: der Rendezvous-Server. Auf ihm werden die Verbindungen von innen und außen zusammengeführt. Kurz vor dem Zielsystem stellt dann die zweite Rolle der genubox, die sogenannte Service-Box, sicher, dass die Verbindung auch nur auf das beabsichtigte Zielsystem geroutet wird. „Optional kann dabei das Zielsystem vom restlichen Netz isoliert werden, um laterale Bewegungen des Fernwarters zu verhindern“, gibt der genua-Experte an. Dazu verfügt die Lösung über ein feingranulares Rechte- sowie Rollensystem und eignet sich für eine gezielte Zugriffssteuerung bis hin zur Implementierung von Zero-Trust-Konzepten. „Das ist deshalb möglich, weil wir kein klassisches VPN einsetzen, das Netzwerke verbindet. Stattdessen verwenden wir ein gehärtetes SSH-VPN, um gezielt nur die beabsichtigte Anwendung verfügbar zu machen“, erklärt S. Schoner. „Natürlich ermöglichen wir eine SIEM-Anbindung und bieten Logging-Funktionen sowie eine Video-Aufzeichnungsfunktion für eine revisionsoptimierte Dokumentation aller Wartungsarbeiten.“

Das Set-up wird mit dem Central Management System genucenter von genua verwaltet. „Das passiert in der Virtual Private Cloud (VPC) innerhalb der Open Telekom Cloud (OTC). Die VPC ist innerhalb der Cloud komplett zwischen Instanzen verschiedener Mandanten getrennt“, so S. Schoner.

MSIRAS auf Basis der genubox-Fernwartungslösung erlaubt somit die zentrale Verwaltung von Fernwartungszugängen mit vollständiger Kontrolle über Wartungsaktion, Zugriffszeitpunkt, Ziel und zugreifende Instanz. Das Hosting findet dabei in Hochsicherheits-Rechenzentren statt.

Der Kundennutzen

Nach einem Anwendungsfall aus der Praxis gefragt, erzählt S. Schoner: „Typisch ist die Wartung einer Industrieanlage bzw. einer Steuerung. Der Anlagenhersteller möchte sich zur Durchführung der Wartung aufschalten, damit er nicht extra vor Ort sein muss. Der Nutzen ist offensichtlich: Das spart Zeit und Geld und kann zu sehr individuellen Zeiten stattfinden.“ 

Beispielhaft skizziert er folgenden Ablauf:

• Der Fernwarter öffnet via vorkonfiguriertem Web-Client der Lösung die Verbindung zum Rendezvous-Server, nachdem er sich authentisiert hat,
• der Anlagenführer gibt die Verbindung via genucenter frei,
• der Fernwarter startet den RDP-Zugriff – dabei isoliert die Service-Box-Firewall das Zielsystem vom restlichen Netz, sodass der Zugriff nur auf die beabsichtigte Steuerung stattfinden kann.

„Der Operator kann live oder im Nachgang per Videoaufzeichnung den Zugriff nachvollziehen. Sollte innerhalb dieses Zugriffs etwas nicht in der ausgemachten Weise stattfinden, kann der Operator dem Fernwarter jederzeit entweder die Eingabegeräte oder die ganze Verbindung entziehen“, nennt S. Schoner den Kundennutzen.