Wie KNIPPINGältere Produktionsmaschinen sicher in moderne Netzwerke integriert

KNIPPING Kunststofftechnik beliefert die Automobilindustrie an sechs Standorten auf zwei Kontinenten. In ihrer Produktion laufen Maschinen aus dem Jahr 1990 neben moderner Fertigungstechnik. Sie funktionieren zuverlässig, sind wirtschaftlich nicht zu ersetzen und laufen auf Betriebssystemen, die seit Jahren keine Sicherheitsupdates mehr erhalten. Die Frage, die Markus Frenzel, gruppenweiter IT-Abteilungsleiter bei KNIPPING, lange beschäftigte: Wie verbindet man Maschinen, die aus den 1990er Jahren stammen, sicher mit einer modernen IT-Infrastruktur, ohne Umbau, ohne Stillstand, ohne neue Risiken?

Externe und interne Faktoren fu?r technologischen Wandel

Fu?r Markus Frenzel, den gruppenweiten IT-Abteilungsleiter am Standort Gummersbach, und Julian Arnold, ITSystemadministrator vom Standort Leingarten und zuständig fu?r die IT/OT Security in allen sechs Werken, ähnelte die Ausgangslage der von vielen Industrieunternehmen in Deutschland:

Eine historisch gewachsene und stark verzahnte IT/ OT-Umgebung macht eine saubere Trennung von Netzwerkbereichen schwierig und erzeugt Sicherheitsbedenken.

Der auf langfristigen Investitionszyklen aufgebaute Maschinenpark bewährt sich in der Produktion, kommt hardware- und softwaretechnisch jedoch in die Jahre und lässt sich nur schwer oder gar nicht aktualisieren.

Ein sich rasch wandelndes Produktionsumfeld verlangt zunehmende Vernetzung, um Produktionsdaten zu erheben, zu verarbeiten und Optimierungen umzusetzen, ohne dabei das Risiko fu?r Cyberangriffe zu erhöhen.

Regulatorische Anforderungen, wie z.B. in der NIS-2 formuliert, und in der Autobranche von Kunden vorausgesetzte und verpflichtende Zertifizierungen wie TISAX erhöhen den Druck auf die IT/OTSicherheit.

Die ältesten Maschinen bei KNIPPING sind im Einsatz seit 1990, teilweise noch mit analogem “Klingeldraht” ausgestattet, und sollen jetzt sukzessive nachgeru?stet werden. Aber auch softwareseitig mu?ssen viele Anlagen mit veralteten Betriebssystemen und unsicheren Protokollen weiterbetrieben werden, da vom Maschinenbauer keine Updates angeboten werden.

Fu?r die Produktionsverantwortlichen war dabei entscheidend, dass die bestehenden Anlagen weiterhin zuverlässig betrieben werden konnten. Umfangreiche Umbauten, längere Stillstände oder ein vorzeitiger Austausch funktionierender Maschinen kamen wirtschaftlich nicht infrage. Gleichzeitig mussten die Anforderungen an Vernetzung und IT/OT-Sicherheit erfu?llt werden.

„Der Werksleiter möchte dann verständlicherweise die schnelle Lösung fu?r die Vernetzung, aber in der IT wissen wir, dass im Hintergrund eine Windows XP Instanz mit veraltetem SMBv1-Protokoll läuft und wir erst fu?r die Sicherheit sorgen mu?ssen.“ so Markus Frenzel. 

edge.SHIELDOR als Softwarelösung von TRIOVEGA legt eine schu?tzende Netzwerkschicht um bestehende Anlagen, ohne diese anfassen zu mu?ssen. Datenu?bertragung, Protokollumwandlung (z.b. SMBv1 zu SMBv3) und Zugriffskontrolle laufen durch den edge.SHIELDOR und die OT-Umgebung bleibt dabei isoliert und dennoch erreichbar.

Warum eine Lösung dringend benötigt wurde

Vor der Integration des edge.SHIELDOR bedeutete dies fu?r Julian Arnold und sein Team einen hohen manuellen Aufwand. Fu?r neue Maschinenanbindungen mussten regelmäßig individuelle Mikrosegmentierungen, Firewall-Regeln und Jump-Host-Konzepte umgesetzt und dokumentiert werden. Statt an einer langfristigen OT-Security-Strategie zu arbeiten, war das Team häufig mit der Absicherung einzelner Ausnahmen beschäftigt.

Rein organisatorische oder netzwerkbasierte Maßnahmen allein lösten die Herausforderung jedoch nicht. KNIPPING musste weiterhin Prozessdaten u?bertragen, Dateien austauschen und perspektivisch auf Maschinen zugreifen können. Eine vollständige Trennung von IT und OT hätte die Anforderungen der Produktion und Digitalisierung nicht erfu?llt.

Als TISAX auf Basis VDA ISA 6 – der im Automotive-Bereich verpflichtende Standard zur Informationssicherheit – erstmals OT-Security als expliziten Pru?fpunkt definierte, handelte KNIPPING fru?hzeitig: Die TISAX-Zertifizierung musste erneuert, die OT-Infrastruktur nachweislich abgesichert werden.

Markus Frenzel bringt die Entscheidung auf den Punkt: “Entweder hast du die Wahl, 300 Seiten zu dokumentieren und nachzuweisen, wie du es manuell abgesichert hast, und dann findet der Auditor garantiert irgendetwas. Oder du gehst u?ber ein Stu?ck Software.” Mit Blick auf die knappen personellen Ressourcen war klar: eine passgenaue Lösung musste her, und zwar eine, die das kleine IT-Team nicht mit noch mehr administrativen Aufgaben u?berlastet.

Der Weg zu TRIOVEGA: Vom ersten Gespräch direkt in die technische Tiefe

Nach ersten Telefonaten mit René Janz, Director Business Development bei TRIOVEGA, traf KNIPPING auf den Fachmessen it-sa und ManuSec Europe persönlich das TRIOVEGA-Team. Das Urteil fiel schnell:

„Es passte von der ersten Sekunde an. Wir sind relativ schnell in die technische Tiefe gegangen und konnten mit dem guten Gefu?hl nach Hause fahren: den edge.SHIELDOR sollten wir uns wirklich angucken.“ so Markus Frenzel.

Was folgte, war eine Zusammenarbeit, die KNIPPING bis heute schätzt: direkt, ehrlich, technisch auf Augenhöhe. Markus Frenzel hat insbesondere auch die transparente und ehrliche Art imponiert, in der die Kommunikation ablief: „Es wurden nie falsche Versprechungen gemacht. Wenn etwas nicht funktionierte, wurde das offen angesprochen und ein schnelles Update nachgeliefert, anstatt die Schuld von sich zu weisen. Das TRIOVEGATeam hat das Herz am rechten Fleck und war ehrlich von Anfang an.“

edge.SHIELDOR: Proof of Concept in Leingarten

Es wurde sich darauf verständigt, drei Kernfunktionen des edge.SHIELDOR in einem ersten Proof of Concept (PoC) im Werk in Leingarten zu integrieren:

Die sichere Prozessdatenu?bertragung von der Maschine an einen Server in der IT mithilfe des OPC UA Protokolls.

Die Dateisynchronisation zwischen IT und OT mit Protokollumwandlung vom unsicheren SMBv1 ins aktuelle SMBv3.

Im späteren Verlauf: Die sichere Bildschirmu?bertragung des Human-Machine-Interfaces (HMI) per VNC (Virtual Network Computing), sodass remote u?ber den Browser darauf zugegriffen werden kann.

Bei einem zweitägigen Onboarding-Workshop vor Ort fand die technische Anbindung an eine Spritzguss- und eine Fräsmaschine statt. Hier trafen die Teams erstmals aufeinander: Julian Arnold von KNIPPING und Clark Gaebel, Projektmanager von TRIOVEGA, gemeinsam mit DevSecOps-Spezialist Manuel Rambow.

Nach einer ersten fehlgeschlagenen Installation ging Manuel Rambow in die Fehleranalyse und erkannte ein Routing-Problem im Netzwerk. Bei der gemeinsamen Lagebesprechung wurde eine Neuinstallation fu?r den nächsten Morgen vereinbart, Julian Arnold konfigurierte bis dahin die VLANs neu. Mit Erfolg: Die Neuinstallation war direkt erfolgreich, der edge.SHIELDOR lief nun und stu?lpt sich wie eine schu?tzende Käseglocke u?ber die Altmaschinen.

In den folgenden Tests zeigte sich, dass eine speicherprogrammierbare Steuerung (SPS) aufgrund von selbstdefinierten, spezifisch auf die Maschine zugeschnittenen OPC UA-Variablen nicht korrekt ausgelesen werden konnte. Auch hier schuf ein Patch direkt am nächsten Tag Abhilfe – Arnold war beeindruckt von der unkomplizierten und produktiven Arbeit mit dem TRIOVEGA-Team:

„Das hat mir richtig gefallen. Es gab immer direkt eine Lösung, ich konnte dem Team von TRIOVEGA voll vertrauen. Eine sehr gute Basis fu?r die weitere Zusammenarbeit.“ so Julian Arnold.

Ein lohnendes Investment in die Cyberresilienz – und daru?ber hinaus

Bei der Einfu?hrung neuer Tools ist Arnold immer besonders wichtig, dass diese nicht u?berladen sind: „Wir haben einen ganz genauen Einsatzzweck dafu?r, fu?r den sollte es verwendet werden – fertig. Der edge.SHIELDOR erledigt fu?r uns genau das.“ 

Die Benutzeroberfläche ist so intuitiv, dass ein Mitarbeiter in der IT die Software auch ohne lange Einfu?hrung allein verwalten kann. Im Werk selbst ändert sich an den Arbeitsabläufen fu?r die Produktionsverantwortlichen nichts, der edge.SHIELDOR sorgt im Hintergrund fu?r OT-Sicherheit und Datenkonnektivität.

Wenn Audits durch Kunden, im Rahmen von TISAX oder NIS-2 anstehen, spart KNIPPING durch den edge.SHIELDOR nun wertvolle Zeit in der Dokumentation, denn TRIOVEGA ist selbst u.a. nach TISAX und IEC-62443 zertifiziert und deswegen auf Audits ihrer OT Security-Lösung ideal vorbereitet.

Eine Partnerschaft die wächst

Der erfolgreiche Proof of Concept markiert den Beginn einer langfristigen Partnerschaft zwischen KNIPPING und TRIOVEGA. Aktuell laufen im Werk Leingarten rund 25 edge.SHIELDOR-Einheiten im produktiven Betrieb; im nächsten Schritt sind 40 bis 50 Einheiten geplant. Mexiko steht als nächste Rollout-Station auf der Agenda. Langfristig bietet KNIPPINGs Produktionsverbund mit rund 250 netzfähigen Maschinen u?ber alle sechs Standorte erhebliches Ausbaupotenzial. Parallel läuft bei KNIPPING die Einfu?hrung der KI-gestu?tzten Datenplattform Microsoft Fabric, die Grundlage fu?r weitere Digitalisierungsinitiativen. Hier wird der edge.SHIELDOR dazu beitragen, Datenquellen in den Altmaschinen zu erschließen und so Optimierungspotenziale in Fabric freizulegen.

TISAX auf Basis VDA ISA 6, IEC 62443 und NIS-2-Anforderungen an die Lieferkette finden in der edge.SHIELDOR-Architektur ihre technische Antwort. Und weil TRIOVEGA selbst nach TISAX und IEC 62443 zertifiziert ist, beschleunigte das die Vendor-Freigabe bei KNIPPING erheblich. Offline war sicher, vernetzt war riskant – heute ist beides kein Widerspruch mehr.

TRIOVEGA begleitet seit über 25 Jahren vom Standort Lübeck heraus Industrieunternehmen weltweit dabei, das Potenzial der Digitalisierung sicher und nachhaltig zu erschließen. Das Portfolio umfasst einsatzfertige Produkte und Dienstleistungen zur Steigerung von Produktionssicherheit und Effizienz sowie individuell entwickelte Softwarelösungen, die sich nahtlos in die Wertschöpfungsketten der Kunden integrieren lassen. Mit mehrfach ausgezeichneter Innovationskraft und zertifizierter als auch patentierter Cybersicherheitsexpertise steht TRIOVEGA für partnerschaftliche Zusammenarbeit auf Augenhöhe – von der technischen Beratung über die Umsetzung bis zum After-Sales-Service.