Wie KNIPPING ältere Produktionsmaschinen sicher in moderne Netzwerke integriert

Externe und interne Faktoren für technologischen Wandel

Für Markus Frenzel, den gruppenweiten IT-Abteilungsleiter am Standort Gummersbach, und Julian Arnold, ITSystemadministrator vom Standort Leingarten und zuständig für die IT/OT Security in allen sechs Werken, ähnelte die Ausgangslage der von vielen Industrieunternehmen in Deutschland:

• Eine historisch gewachsene und stark verzahnte IT/ OT-Umgebung macht eine saubere Trennung von Netzwerkbereichen schwierig und erzeugt Sicherheitsbedenken.
• Der auf langfristigen Investitionszyklen aufgebaute Maschinenpark bewährt sich in der Produktion, kommt hardware- und softwaretechnisch jedoch in die Jahre und lässt sich nur schwer oder gar nicht aktualisieren.
• Ein sich rasch wandelndes Produktionsumfeld verlangt zunehmende Vernetzung, um Produktionsdaten zu erheben, zu verarbeiten und Optimierungen umzusetzen, ohne dabei das Risiko für Cyberangriffe zu erhöhen.
• Regulatorische Anforderungen, wie z.B. in der NIS-2 formuliert, und in der Autobranche von Kunden vorausgesetzte und verpflichtende Zertifizierungen wie TISAX erhöhen den Druck auf die IT/OTSicherheit.

Die ältesten Maschinen bei KNIPPING sind im Einsatz seit 1990, teilweise noch mit analogem “Klingeldraht” ausgestattet, und sollen jetzt sukzessive nachgerüstet werden. Aber auch softwareseitig müssen viele Anlagen mit veralteten Betriebssystemen und unsicheren Protokollen weiterbetrieben werden, da vom Maschinenbauer keine Updates angeboten werden.

Für die Produktionsverantwortlichen war dabei entscheidend, dass die bestehenden Anlagen weiterhin zuverlässig betrieben werden konnten. Umfangreiche Umbauten, längere Stillstände oder ein vorzeitiger Austausch funktionierender Maschinen kamen wirtschaftlich nicht infrage. Gleichzeitig mussten die Anforderungen an Vernetzung und IT/OT-Sicherheit erfüllt werden.

"Der Werksleiter möchte dann verständlicherweise die schnelle Lösung für die Vernetzung, aber in der IT wissen wir, dass im Hintergrund eine Windows XP Instanz mit veraltetem SMBv1-Protokoll läuft und wir erst für die Sicherheit sorgen müssen." so Markus Frenzel. 

edge.SHIELDOR als Softwarelösung von TRIOVEGA legt eine schützende Netzwerkschicht um bestehende Anlagen, ohne diese anfassen zu müssen. Datenübertragung, Protokollumwandlung (z.b. SMBv1 zu SMBv3) und Zugriffskontrolle laufen durch den edge.SHIELDOR und die OT-Umgebung bleibt dabei isoliert und dennoch erreichbar.

Warum eine Lösung dringend benötigt wurde

Vor der Integration des edge.SHIELDOR bedeutete dies für Julian Arnold und sein Team einen hohen manuellen Aufwand. Für neue Maschinenanbindungen mussten regelmäßig individuelle Mikrosegmentierungen, Firewall-Regeln und Jump-Host-Konzepte umgesetzt und dokumentiert werden. Statt an einer langfristigen OT-Security-Strategie zu arbeiten, war das Team häufig mit der Absicherung einzelner Ausnahmen beschäftigt.

Rein organisatorische oder netzwerkbasierte Maßnahmen allein lösten die Herausforderung jedoch nicht. KNIPPING musste weiterhin Prozessdaten übertragen, Dateien austauschen und perspektivisch auf Maschinen zugreifen können. Eine vollständige Trennung von IT und OT hätte die Anforderungen der Produktion und Digitalisierung nicht erfüllt.

Als TISAX auf Basis VDA ISA 6 – der im Automotive-Bereich verpflichtende Standard zur Informationssicherheit – erstmals OT-Security als expliziten Prüfpunkt definierte, handelte KNIPPING frühzeitig: Die TISAX-Zertifizierung musste erneuert, die OT-Infrastruktur nachweislich abgesichert werden.

Markus Frenzel bringt die Entscheidung auf den Punkt: “Entweder hast du die Wahl, 300 Seiten zu dokumentieren und nachzuweisen, wie du es manuell abgesichert hast, und dann findet der Auditor garantiert irgendetwas. Oder du gehst über ein Stück Software.” Mit Blick auf die knappen personellen Ressourcen war klar: eine passgenaue Lösung musste her, und zwar eine, die das kleine IT-Team nicht mit noch mehr administrativen Aufgaben überlastet.

Der Weg zu TRIOVEGA: Vom ersten Gespräch direkt in die technische Tiefe

Nach ersten Telefonaten mit René Janz, Director Business Development bei TRIOVEGA, traf KNIPPING auf den Fachmessen it-sa und ManuSec Europe persönlich das TRIOVEGA-Team. Das Urteil fiel schnell:

"Es passte von der ersten Sekunde an. Wir sind relativ schnell in die technische Tiefe gegangen und konnten mit dem guten Gefühl nach Hause fahren: den edge.SHIELDOR sollten wir uns wirklich angucken." so Markus Frenzel.

Was folgte, war eine Zusammenarbeit, die KNIPPING bis heute schätzt: direkt, ehrlich, technisch auf Augenhöhe. Markus Frenzel hat insbesondere auch die transparente und ehrliche Art imponiert, in der die Kommunikation ablief: "Es wurden nie falsche Versprechungen gemacht. Wenn etwas nicht funktionierte, wurde das offen angesprochen und ein schnelles Update nachgeliefert, anstatt die Schuld von sich zu weisen. Das TRIOVEGATeam hat das Herz am rechten Fleck und war ehrlich von Anfang an."

edge.SHIELDOR: Proof of Concept in Leingarten

Es wurde sich darauf verständigt, drei Kernfunktionen des edge.SHIELDOR in einem ersten Proof of Concept (PoC) im Werk in Leingarten zu integrieren:

• Die sichere Prozessdatenübertragung von der Maschine an einen Server in der IT mithilfe des OPC UA Protokolls.
• Die Dateisynchronisation zwischen IT und OT mit Protokollumwandlung vom unsicheren SMBv1 ins aktuelle SMBv3.
• Im späteren Verlauf: Die sichere Bildschirmübertragung des Human-Machine-Interfaces (HMI) per VNC (Virtual Network Computing), sodass remote über den Browser darauf zugegriffen werden kann.

Bei einem zweitägigen Onboarding-Workshop vor Ort fand die technische Anbindung an eine Spritzguss- und eine Fräsmaschine statt. Hier trafen die Teams erstmals aufeinander: Julian Arnold von KNIPPING und Clark Gaebel, Projektmanager von TRIOVEGA, gemeinsam mit DevSecOps-Spezialist Manuel Rambow.

Nach einer ersten fehlgeschlagenen Installation ging Manuel Rambow in die Fehleranalyse und erkannte ein Routing-Problem im Netzwerk. Bei der gemeinsamen Lagebesprechung wurde eine Neuinstallation für den nächsten Morgen vereinbart, Julian Arnold konfigurierte bis dahin die VLANs neu. Mit Erfolg: Die Neuinstallation war direkt erfolgreich, der edge.SHIELDOR lief nun und stülpt sich wie eine schützende Käseglocke über die Altmaschinen.

In den folgenden Tests zeigte sich, dass eine speicherprogrammierbare Steuerung (SPS) aufgrund von selbstdefinierten, spezifisch auf die Maschine zugeschnittenen OPC UA-Variablen nicht korrekt ausgelesen werden konnte. Auch hier schuf ein Patch direkt am nächsten Tag Abhilfe – Arnold war beeindruckt von der unkomplizierten und produktiven Arbeit mit dem TRIOVEGA-Team:

"Das hat mir richtig gefallen. Es gab immer direkt eine Lösung, ich konnte dem Team von TRIOVEGA voll vertrauen. Eine sehr gute Basis für die weitere Zusammenarbeit." so Julian Arnold.

Ein lohnendes Investment in die Cyberresilienz – und darüber hinaus

Bei der Einführung neuer Tools ist Arnold immer besonders wichtig, dass diese nicht überladen sind: "Wir haben einen ganz genauen Einsatzzweck dafür, für den sollte es verwendet werden – fertig. Der edge.SHIELDOR erledigt für uns genau das." 

Die Benutzeroberfläche ist so intuitiv, dass ein Mitarbeiter in der IT die Software auch ohne lange Einführung allein verwalten kann. Im Werk selbst ändert sich an den Arbeitsabläufen für die Produktionsverantwortlichen nichts, der edge.SHIELDOR sorgt im Hintergrund für OT-Sicherheit und Datenkonnektivität.

Wenn Audits durch Kunden, im Rahmen von TISAX oder NIS-2 anstehen, spart KNIPPING durch den edge.SHIELDOR nun wertvolle Zeit in der Dokumentation, denn TRIOVEGA ist selbst u.a. nach TISAX und IEC-62443 zertifiziert und deswegen auf Audits ihrer OT Security-Lösung ideal vorbereitet.

Eine Partnerschaft die wächst

Der erfolgreiche Proof of Concept markiert den Beginn einer langfristigen Partnerschaft zwischen KNIPPING und TRIOVEGA. Aktuell laufen im Werk Leingarten rund 25 edge.SHIELDOR-Einheiten im produktiven Betrieb; im nächsten Schritt sind 40 bis 50 Einheiten geplant. Mexiko steht als nächste Rollout-Station auf der Agenda. Langfristig bietet KNIPPINGs Produktionsverbund mit rund 250 netzfähigen Maschinen über alle sechs Standorte erhebliches Ausbaupotenzial. Parallel läuft bei KNIPPING die Einführung der KI-gestützten Datenplattform Microsoft Fabric, die Grundlage für weitere Digitalisierungsinitiativen. Hier wird der edge.SHIELDOR dazu beitragen, Datenquellen in den Altmaschinen zu erschließen und so Optimierungspotenziale in Fabric freizulegen.

TISAX auf Basis VDA ISA 6, IEC 62443 und NIS-2-Anforderungen an die Lieferkette finden in der edge.SHIELDOR-Architektur ihre technische Antwort. Und weil TRIOVEGA selbst nach TISAX und IEC 62443 zertifiziert ist, beschleunigte das die Vendor-Freigabe bei KNIPPING erheblich. Offline war sicher, vernetzt war riskant – heute ist beides kein Widerspruch mehr.