Fernwartung in der OT mit Felix Schneiderbanger von SVA #83

0:02 Moin, zu einer neuen Folge von einfach komplex heute wieder mit dem Gast von der SVA ist uns der Felix zugeschaltet. Moin Felix, Hallo. Morgen Hi. Ja, und hier spricht Gerrit und Burkhard ist natürlich auch dabei. Moin Moin. So sehr cool, Felix. Wir wollen heute über Secure Remote Access in der OT sprechen.

0:23 Ich glaube das passt gut. Wir haben festgestellt, wir haben echt viele Hörer und Hörerinnen, die sich mit OT Automation. IOT in diesem Bereich sag ich mal so bewegen und auch was über Software lernen wollen und das wird hier immer ganz gut zusammengebracht. So haben wir das Feedback bekommen von daher super cool, dass du uns heute secural Remote Access näher bringst.

0:42 Aber wir starten natürlich wie immer mit einer kleinen Intro Felix, Wer bist du eigentlich, was machst du und was macht die SVA? Ja, gerne. Wir können auch gerne über Fernwartung sprechen, nicht immer diesen ja secural Mode Access Begriff verwenden, der ist n bisschen unhandlich. Ja, mein Name ist Felix schneiderbanger, ich bin. Bei der SVA als Cyber Security Architekt angestellt die SVA ist NIT Systemhaus mit knapp 3000 Mitarbeitern könnten mittlerweile auch schon mehr sein. Wir bieten eigentlich alles was es soan.it Dienstleistung gibt an und eben der Cyber Security Bereich ist einer der Bereiche der damit am weitesten wächst und mittlerweile eben auch das Thema OT, also alles was

1:20 Operational Technology als Modebegriff eben so n bisschen abdeckt. Und da bin ich als Experte eingestellt, genau. Was hast du vorher schon so gemacht? Auch in die Richtung? Also ich komme aus der OT, Das ist ein ganz lustiger Zufall, weil ich bin eigentlich Ingenieur, ich hab tatsächlich Mechatronik studiert und auch wirklich in der Industrie gearbeitet, war fast 10 Jahre in einem Industrieunternehmen, hab da von klassischer Fertigungsbetreuung über Digitalisierungsprojekte bin ich da quasi gelandet, wo ich dann in. Bereich Security und Infrastruktur gelandet bin und dann noch malangewandte.it Sicherheit hat sich das dann geschimpft noch mal hinterher studiert, weil ich dachte Fertigung und Vernetzung und so

1:57 ohne Security ist ne doofe Idee und irgendwie bin ich da jetzt hängen geblieben an dem Thema. Klingt nach der perfekten Kombination für das, was du jetzt tust. Ja, und uns hier näher bringst. Super, dann würde ich den Begriff mal von Dir übernehmen und einfach von Fernwartung reden. Ist mir natürlich auch lieber.

2:14 Aber du sagst quasi Security, Mode, Access und Fernwartung meint mehr oder weniger das Gleiche, ist nur n vielleicht n modernerer Begriff oder n englischer einfach. Im Idealfall meint es das gleiche also weil Fernwartung sollte im Idealfall eben sichere Fernwartung sein. Also da geht es ja eigentlich genau darum und meinen tut der Begriff eigentlich alles, was eben so diesen Fernwartungsfall beschreibt. Also da geht es um Wartungen, ohne dass n Techniker um die halbe Welt fliegen muss und vor Ort kommen muss, da geht es um. Ja, Fehlerbehebungen, aber auch geplante Änderungen immer dann, wenn irgendjemand, der gerade nicht vor Ort ist, auf eine Anlage oder irgendein Stück Technik zugreifen muss, dann wird irgendeine Lösung

2:54 gebraucht, um diesen Zugriff zu ermöglichen. Und all das, was es sein kann, beschreibt quasi diese Fernwartungslösung. Ich mache immer Fernwartung mit meiner Familie so mit zum Beispiel meiner Schwiegermutter und so weiter, die wenn die dann ein Problem hat in ihrem neuen Laptop. Dann heißt es Book halt.

3:09 Kannst du dich mal einschalten, aufschalten und so weiter dann nehm ich n Stück Software und sitze dann mal am Laptop und übernehme ihren Mauszeiger und mach Fernwartung für meine Familie was also mach ich natürlich für die Familie insgesamt ist das nicht so, das ist nicht so mein Thema, aber genau ich glaub so ähnlich ist es auch, aber du machst jetzt ja nicht Fernwartung für deine Schwiegermutter sondern Fernwartung im OT Vielleicht wir hatten mal ne Folge, aber vielleicht erklären wir noch mal kurz was.

3:35 OT ist, weil Gerrit fing auch schon an mit IIOT, da steckt OT auch drin, aber das meint glaub ich Off Things und das andere OT meint Irgendwie Operational Technology so aber das sind ja auch alles schon wieder so Abkürzung vielleicht bringst du noch mal kurz Licht da rein und wo wir denn fernwarten wollen und wo wir heute drüber sprechen fern zu warten ne.

3:53 Also früher hat man das auch mal shopfloor Technik oder nur Technik oder Betriebstechnik genannt, was auch immer das ist. Im Prinzip geht es um alles, was an Technik so vor Ort steht, die nicht mit zur klassischen.it gewertet werden kann. Das können Steuerungen sein, das können aber auch ganz klassische Windows PCS sein, die aber nicht Teil von dem Firmenabgedeckten Sicherheitsbereich sind, also die auch den normalen Security Stack haben, sondern die ist ein Windows 10 Rechner zum Beispiel der halt ihnen eine Messsoftware mitbringt und aber nicht in Teil der Firmeninfrastruktur eben integriert werden kann.

4:28 Das kann aber auch ganz andere Technik sein, also klassische Server. Das kann aber auch NKNX System sein als irgendwas mit Gebäudeleittechnik. Alles was eben so an Technik in so einer Firma rumsteht, das mit der realen Welt interagiert. Also oft hat es dann eben irgendein Bezug, dass es eben was mit Maschinen oder Sensorikdaten oder sowas tut und aber eben nicht Teil von derklassischen.it üblicherweise ist.

4:52 Dann das deckt dann dieser ganze Bereich OP ab. Ja OK, alles klar. Das heißt dann du also an dir kommt dann vielleicht auch so mal was vorbei, was so n ganz altes Windows System ist. Irgendwie ich manchmal. Ich hab mal einmal nen war denn das irgendwo im Winterurlaub? Glaub ich hab ich einmal nen Geldautomaten abstürzen gesehen unter meinen Fingern hatte ich n Bluescreen tatsächlich dann gehört das Ganze irgendwo her und dann startet da irgendwie Windows XP neu auf dem Bildschirm von dem von dem Geldautomaten also das ist was was du sagst ne also man manchmal hat man vielleicht ne Maschine die funktioniert einfach nur noch mit einer Software die mal wieder auch nur noch mit einem alten Versionen von Windows funktioniert und

5:28 dann hat man den den Kram halt da als als Teil von der Maschine. Aber natürlich hat man das Windows XP jetzt nicht in der.it Infrastruktur, die halt potenziell quasi ja auch mit dem Internet verbunden ist und muss das aber dann halt speziell warten und mit den speziellen Vorsichtsmaßnahmen, weil ich schon weiß OK ist Legacy es wird nicht mehr maintained, das darf ich nicht direkt irgendwie ins Netz hängen und so weiter das ist was du meinst ne?

5:51 Richtig also das die die Auslegezeiten von Technik in der OT sind deutlich länger als in der.it. Also wir sprechen da wo man in der.it aufhört so bei 5 bis 6 Jahren, da fängt man in der OT eigentlich erst an, da ist die Maschine gerade eingelaufen und wir sprechen da durchaus bis zu 20 oder noch mehr Jahren. Also ich habe schon XP Systeme noch mal auf neue Hardware migriert, ich habe aber auch schon doch Systeme oder was weiß ich also alles was man so findet Windows NT das findet man alles immer wieder und auch die Probleme die damit herkommen als.

6:21 Also klassische SNB 1 Probleme und so was was man denkt ist man in der IG eigentlich schon seit gut 15 Jahren losgeworden, damit kämpfen wir immer noch. Jetzt muss er schnell erklären. Kein Problem also. SNB 1 ist Protokoll zum Pfeil übertragen gilt glaube ich seit 2004 gab es da so die ersten Schwachstellen die aktiv ausgenutzt wurden?

6:42 Ist auch auf allen neueren Betriebssystemen Defoldmäßig Abgeschalten und ist in der OTA Bar halt immer noch Standard. Jetzt würde ich noch kurz 1 klären wollen, weil Burkhard, Du hast jetzt gesagt Windows als Teil von Maschinensteuerung du in deiner ersten Erklärung Felix hast aber auch gesprochen von einem Windows Rechner der zum Beispiel eine Mess Software oder sowas laufen hat. Also das verstehe ich jetzt schon als normalen Computerarbeitsplatz, wo aber eben vermessen wird als Beispiel also das ist dann durchaus auch OT obwohl es eigentlich daher kommt wie ein ganz normaler Rechner und Arbeitsplatz, ja. Genau, also das kommt oft daher, dass tatsächlich die PCS, die da die da mitkommen vom Hersteller

7:17 mitgeliefert werden. Da ist eine spezielle Software auch üblicherweise drauf und der Hersteller gibt da oft auch nur Garantien drauf, wenn der genauso stehen bleibt, so wie er ausgeliefert wurde. Das heißt ich darf da jetzt keine Antivirensysteme großartig installieren und sonst was, ich kann das natürlich tun, der Rechner steht bei mir vor Ort, der hat in der Regel auch keine Möglichkeit zu überprüfen ob ich da was getan habe, aber wenn ich es kaputt mache durch die Zusatzsoftware. Oder durch Updates, die ich da Einspiel garantiert mir halt keiner, dass die Maschine weiterläuft und dann, wenn die Messmaschine halt n Betrag x kostet, dann müsste ich die entsprechend mit hochziehen.

7:51 Dann haben wir mal die Einladung geschafft. Auch die.it ist auch immer wieder es, es steht ja nicht im Lexikon, sagen wir es mal so, oder das ist nicht unabsichtig fix definiert, hier wird es n bisschen so definiert, da n bisschen so, das finde ich jetzt eigentlich immer auch ganz spannend, wenn man dann noch mal für das Gespräch jetzt quasi ne Definition findet und das haben wir jetzt glaube ich getan, ne.

8:10 Für was wird jetzt in der OTD die Fernwartung gebraucht? Vielleicht fasst uns das noch mal zusammen. Der klassische Fall ist der Wartungsfall, das heißt, entweder derjenige, der eine Komponente gebaut hat, die in meiner Anlage verbaut ist, oder jemand, der die Komponenten zusammengebaut hat, zu einer Maschine oder einer ganzen vernetzten Anlage wird gebraucht, um einen Fehlerfall zu beheben, also in der Regel ist es so, dass so Standardfehler, die immer wieder kommen können, entweder die Elektrikerinstandhalter vor Ort, also in die Teil von meiner Firma sind, die in der Regel Regel auch 24 7 irgendwie.

8:40 Verfügbar sind können so die Standardprobleme beheben und wenn das dann über einen gewissen Grad x hinausgeht, dann brauche ich eben einen Techniker, der mich unterstützt. Und wenn das dann mal über die Inbetriebnahme von so einer Maschine oder Anlage hinausgeht, dann ist es in der Regel, dass da keiner mehr vor Ort kommt, sondern sich aus der Ferne zuschaltet. Das ist so das, wo es am häufigsten gebraucht wird, dann reden wir aber auch von Fällen, wo Maschinen geändert werden, das heißt, man hat irgendwie eine geplante Funktionsänderung oder eine Anpassung.

9:09 Und der dritte Fall, der leider noch viel zu selten ist, ist dann oft dann so einspielen von Patches oder Updates das, was man sich in der.it eigentlich schon längst auf die Fahne geschrieben hat, wird in der OT oft vernachlässigt und bieten auch viele Hersteller gar nicht so den Support an, aber auch das wäre ein Fall, wo man halt regelmäßig dann eben aus der Ferne zugreifen muss, das wären so die Externen, also die nicht Teil meiner Firma sind und dann gibt es aber auch noch fernwartungen, wo ich dann eben durchaus intern brauchen kann, das heißt wo sich Ingenieure entweder aus dem Homeoffice.

9:39 Eben in die Produktionsnetze, also nicht nur auf die.it Systeme Remote zugreifen wollen, sondern auch auf ihre Anlagen zugreifen wollen oder auch aus dem firmeninternen Netz. Wenn ich dann eine einen Remote Zugriff in die Maschinennetze machen möchte, das ist meistens dann der Fall, wenn ich mir halt eine ziemlich gute Netzwerksicherheit in meiner.it etabliert habe, das heißt eine gute Netzwerksegmentierung mit entsprechend harten Firewall regeln, die verhindern dann hoffentlich, dass ich eben ausden.it Netzen direkt in die OT Netze reingehen kann und dann ist der sicherere Weg eben über eine Fernwartung, also. Hat.

10:10 Ist das jetzt immer was, was so temporär passiert? So eine Fernwartung also im Sinne von ich, ich starte die jetzt und dann gibt es auch ein Ende und dann ist da kein Zugriff mehr oder ist das was was was Dauerhaftes auch oder gibt es da auch Unterschiede? Also idealerweise sind eben diese Fälle, die oder den Bereich der Fernwartung, den wir hier anschauen, ist tatsächlich temporär.

10:33 Wenn es dauerhafte Zugriffe sind, dann sollte da eine ordentliche Schnittstelle, die auch ordentlich ordentlich abgesichert ist, gebaut werden. Eben über sichere Kanäle entsprechende Firewall regeln, die dafür etabliert sind. So eine Fernwartungslösung dauerhaft offen zu lassen, um zum Beispiel einen Datentransfer, ein Dashboard zu liefern oder so, das ist nicht das richtige Tool, da sollte man dann wirklich die klassischen Wege übers Netzwerk gehen.

10:54 Dann haben wir ja uns überlegt, wollen wir vielleicht mal drüber sprechen, warum das jetzt gerade in der OT so ein Thema ist. Also. Anfangs hatten wir es gesagt, die Folge ist Security Mode Access in der OT Ne bei Fernwartung in der OT. Wieso ist das da so n großes Thema jetzt speziell oder warum konzentrieren wir uns eigentlich auf die OT? Also die OT hat verschiedene Probleme. Warum das Thema da so groß geworden ist. Also das ist so groß geworden, es gibt ja Sans, die bieten Schulungen für alles Mögliche, was so Security aberauch.it angeht und die haben 5 Themenbereiche definiert in der OT um die man sich kümmern sollte um einfach ne sichere OT gewährleisten zu können.

11:33 Wer hat das definiert? Das hab ich gar nicht. Mitbekommen Sans also das sans Institut. Müssen wir verlinken denk ich mal. Kenn ich nicht. Können wir gern machen? Ja, ist das. Irgendwie so eine Standardisierungsstelle oder so eine Normenstelle, oder was kann man sich noch da vorstellen? Also primär machen.

11:51 Die Schulungen bieten aber eben auch Research materiell für verschiedene Fachthemen eben an. Und bei denen ist OT seit einiger Zeit eben auch mit auf dem Schirm und die haben dann so einen Guideline gemacht. Wie kann ich mich demals.it ler auch so einem Thema widmen? Also das ist ganz oft der Fall, dass halt. IT ler jetzt für Security in der OT verantwortlich sind und dann haben die 5 größere Themenbereiche definiert, an denen sie gesagt haben, kümmert euch um die 5 Bereiche, dann habt ihr die wichtigsten Sachen üblicherweise auf dem Schirm. Und da gibt es einen Punkt, der nennt sich Defendable Architecture.

12:24 Dazu gehört so eigentlich das, was man klassisch eben als Infrastruktur bezeichnen würde, da gehört dazu meine Security von den Servern, da gehört meine meine Netzwerksegmentierung und meine Firewall Konfiguration dazu und üblicherweise würde ich da auch das Thema Secural Mode Access Reinzählen und das machen sie aber explizit nicht, sondern sie zählen das als einen der Hauptpunkte vorne auf Punkt 5 ist dann eben oder 4 ist es secural Mode Access, weil das in der OT So ein großes System.

12:51 Das Thema ist, und das hat halt die unterschiedlichsten Gründe, einer von den Gründen ist halt historisch gewachsen, ist das, was man in der IT oft hört und schon schmunzeln muss, ist in der OT noch länger so, das heißt, da reden wir über Historien von 20 bis 30 Jahren, das waren Zeitpunkte, da wusste die IT noch nicht mal, dass irgendwann diese ganzen Anlagen mal in ihrem Netz auftauchen werden, das heißt, da war auch gar nicht die Möglichkeit, dass die IT schon groß sich dazwischen schalten konnte und Lösungen anbieten konnte und dann sind halt die Techniker in klassischen.

13:21 Klassischer Ingenieursmanier hergegangen und haben Lösungen gesucht und die Lösungen können dann halt von bis ausschauen und es kann dann eben auch ausschauen. Broker wie du es geschildert hast, dass du Fernwartung wie bei deinen Eltern machst. Das heißt, der Techniker ruft an, du sagst, ich gebe dir gerade meine Teamviewer Nummer durch, bitte schalte ich da einfach auf und wie wurde die Verbindung gemacht, da hat jemand einen LTE Router mit sim Karte direkt an die Anlage rangeklöppelt hat sich die freie Version von teamviewer ohne Lizenzierung geholt, hat es damit aufgespielt und. Hat das Ganze aktiviert und funktioniert ja auch und das geht wirklich in der kompletten Bandbreite habe ich da schon ziemlich alles gesehen, was es

13:59 da so gibt Modemverbindungen die noch irgendwo rausgehen, DSL Router die irgendwo im im unterm Schreibtisch liegen und dann schnell angesteckt werden können, das ist so das wo man am dringendsten irgendwie weg bekommen möchte, solche Probleme die man da findet. Und das, was du da erzählst, ist dann ja auch so, dass ich ja voll die It ausbremse.

14:18 Die habe ich dann ja komplett ausgegrätscht und abgekürzt, die Kriegen das ja gar nicht mit. Also wenn ich, wenn ich einfach mein mein mein LTE Modell in der Tasche hab und mach n Kurzschluss zwischen OT und Irgendwem Hersteller XY der da jetzt mit Teamviewer da rumwartet dann weiß die.it davon gar nichts, aber die wird das wahrscheinlich gerne wissen und das ist ja genau der Punkt wo wir jetzt auch noch reden ne das heißt du sagst halt lass mich das versuchen zu interpretieren im schönsten Falle funktioniert OT Fernwartung Secure so dass die.it davon weiß. Und dass die OT Geräte Endgeräte, seien es jetzt unsere Windows Geräte oder was auch immer das alles ist oder die Maschinen direkt oder

14:54 irgendwelche SPSN oder irgendsowas, dass die erstmal über die.it rausgehen und zwar über die Firmen eigene.it und von da aus fern gewartet wird sagst du wahrscheinlich ne, dass man es machen muss und ich fürchte, dass das Brownfield so ist, dass es ja das das viel so ist, dass es so passiert wie du es sagst und oder jetzt kommt noch ne Frage, ist es nicht auch so gerade jetzt wenn man jetzt so 10 Jahre zurückdenkt oder vielleicht sogar 20 Jahre? Dass das so Silomäßig ist, also dass dass das vielleicht sogar eine Fernwartung geplant wurde, die aber dann direkt mit dem Hersteller verknüpft irgendwie funktioniert und ja auch mit der ID dann nichts zu tun hat, oder?

15:29 Und da müssten wir es umbauen. Genau, du hast jetzt ganz viele Sachen gesagt, wo wo man tiefer eingehen kann, aber erstmal ist es genau das was du sagst, die wir umgehen. Alles wasdie.it so on Security aufgebaut hat und man muss sich in dem Moment halt auch bewusst machen, dass sich diese alte Technik, also im Zweifelsfall halt irgendwelche XP Rechnern, die vollgestopft mit irgendwelchen Schwachstellen sind, direkt im Internet exposer.

15:53 Also ich hänge ja direkt über den LTE Router, der mit Sicherheit keine großen Firewall Regeln Hinterkonfiguriert hat, den hänge ich direkt ans Internet und der legt halt dementsprechend. Auch los, also das Exponier ich genau, also das will man auf jeden Fall umgehen. Jetzt musst du mir noch mal kurz auf die Sprünge helfen, was war der zweite? Ja, ja, ich hab auch sofort erzählt, ich weiß es selber schon wieder gar nicht mehr, was ich alles gesagt hab. Ja nee nee ich also was ich gesagt hatte ist, ob ich es richtig verstanden hab, dass man es ja eigentlich will, dass man genau gedacht, dass man das komplett abschaltet, also jede. Direkte OT zu Hersteller zum Beispiel Verbindung will man eigentlich unterbinden, kann

16:26 mandie.it mit einnehmen, ja. Genau. Also das ist die Königsdisziplin, und das ist am Schluss auch das Wichtigste, dass man wirklich auch alle diese Dinger wegbekommt, dass man auch seine OT ler mitnimmt und sagt, Hey, ihr müsst jetzt auch wirklich alles, was ihr so in der Hinterhand haltet, ne, das sind Leute, die die sind dafür verantwortlich, dass das 24 7 verfügbar ist und die werden. Ich die Mittel auch gern mal zurückhalten. Ich kann es auch gut verstehen, ich habe das tatsächlich auch selber eine Zeit lang so betrieben, aber das hat seine Gründe, aber dementsprechend ist es halt auch wichtig, diese diese Fernwartungslösungen nicht so auszulegen, dass sie nur sicher sind, sondern dass sie

17:01 mir halt auch funktionell alles abdecken, was ich was ich brauche in der OT um eine ordentliche Fernwartung zu machen, das geht nicht, dass ich mir in der.it was ausdenk das Deploye und dann sagt so, das müsst ihr jetzt alles verwenden und dann kann ich aber die Hälfte meiner Maschinen nicht mehr bedienen aus der Ferne, weil die die.

17:17 Wie die Funktion überhaupt nicht abgedeckt ist, die ich in dem Fall brauchen würde. Wie sähe denn jetzt irgendwie so eine perfekte Lösung aus? Also jetzt nehmen wir mal einen Hersteller und noch also Produzenten, vielleicht noch relativ einfaches Szenario, der hat 3 Anlagen von 3 Herstellern, da sind aber jeweils Komponenten noch mal von 56 Herstellern drin, die vielleicht auch noch mal zugreifen wollen und dann gibt es noch so einen Messplatz zum Beispiel.

17:40 Ja, da hast du ja schon mal 3. 3 mal, ich sag mal 5 und noch n messplatz, da hast du schon irgendwie 1617 18 Hersteller die vielleicht im in deine kleine Produktion irgendwie wollen für ne Fernwartung logischerweise nur wollen auch helfen, wie sollte denn dann da mein Setup aussehen? Ja also was kann ich denn eigentlich tun und und also mir wird das gar nicht bewusst, dass es ja n also furchtbar kompliziert, dass man ist. Dann würde ich vielleicht mal kurz auf den einen Punkt aus deiner Frage nur als.

18:10 Eingehen. Bevor wir jetzt die komplette Architektur beschreiben, und zwar Hersteller gegen meine eigene Anforderungslösung. Das sind komplett unterschiedliche Anforderungen. Wenn man sich jetzt mal überlegt, ich habe in meiner Firma ungefähr 300 verschiedene Hersteller verbaut und möchte denen allen möglichst eine Lösung anbieten, das ist ja mein zentrales Ziel, dass ich eine Lösung ausroll, die für mich passt.

18:33 Die passt in meine Infrastruktur, die deckt alle Anforderungen ab und die drücke ich dann jedem anderen aufs Auge. Die Hersteller, die jetzt Maschinen, Anlagen oder einfach Vernetzungen bauen, die auch jeweils individualisiert sind, die haben natürlich das Interesse, möglichst wenig Pools bei sich verwenden zu müssen, um. Fernwartung oder Support liefern zu können. Ich habe da tatsächlich mal einen Anlagentechniker vor Ort gehabt und der musste bei einem anderen Kunden einspringen in dem Moment, als er bei uns saß und dann habe ich dem über die Schulter geschaut, wie er das gemacht hat und dann hat er den am Telefon gehabt und dann hat er erst mal gefragt ja welche Firma und dann welcher Standort

19:09 von der Firma und dann hat er da wirklich so eine Virtualisierungsumgebung auf seinem Laptop gehabt mit 300 VMS drauf und jede dieser VMS. Hat er eine eigene Lösung installiert? Mit diesen ganzen Softwareinstallationen und hier und da ein VPN Tunnel und er sagte Das ist der Heilige Gral. Also wenn er projektdateien und sowas verlieren würde, das wäre alles wiederherstellbar, aber wenn er hier die Fernwartungszugriffe mit Zertifikaten und allem was dahinter steht verlieren würde, dann wäre Feierabend, dann könnte er seinen Job nicht mehr machen. Und das ist natürlich eine ganz andere Anforderung, was die mitbringen und das tatsächlich unter einen Hut zu bekommen, wird halt immer schwieriger,

19:45 weil die die Anlagenhersteller gehen mittlerweile auch oft dazu über und sagen, sie verkaufen die Anlage nur mit ihrer Lösung und das muss man sich halt auch bewusst machen, wenn man so eine fernwartungs Lösung für seine Firma designt. Man designt den Default Case, muss aber sofort damit rechnen, dass irgendjemand kommt und den überschreibt, also das läuft dann so. Ich möchte eine Anlage kaufen und dann schreibe ich in mein. Ein Pflichtenheft mit rein, was ich gerne an Security hätte. Dann wird es ja irgendwo dann ah OK und die und die und die Pflichten können wir nicht erfüllen und dann wird halt entschieden.

20:17 OK das sind jetzt 2 Punkte von der Security. Ja Fernwartung ist ein Thema und dann versucht man als Security Verantwortlicher zu sagen ja das ist für uns völlig kritisch, können wir ja die Maschine nicht kaufen und dann sagt jemand der. Die Anlage wirklich kauft, weil er ja irgendeinen Zweck hat, sagt ich, das ist mein Prozess. Dieser Hersteller kann den Prozess mit Abstand am besten, die Anlage wird gekauft, schau, dass du das andere in den Griff bekommst.

20:41 Also man muss sowohl eine gute Standardlösung haben als auch darauf vorbereitet sein, wie ich mit solchen Fällen dann umgehen kann, um die dann trotzdem über die.it zu schleusen und dann eben trotzdem möglichst viel Sicherheit zu erreichen. Hast du ja mir die Frage schon eigentlich ganz gut beantwortet, weil ich hab hör jetzt raus, ja, kannst gern noch mal widersprechen oder bestätigen. Aus Produzentensicht ist es eigentlich am schönsten alle seine Lieferanten über die selbstgesetzten Prozesse zur Fernwartung eigentlich abzufrühstücken ja. Und während aus.it Abteilungssicht einer Firma es am schönsten ist, eine einzige Lösung zu haben, Cross all den Herstellern.

21:18 Weil das kam jetzt so raus. Ne einer trägt, einer trägt den Mist zu ja, also entweder muss sich der Hersteller bereit erklären mit ganz vielen verschiedenen Fernwartungssoftware diedie.it setzt ja und dann die ITS der verschiedenen Kunden, die jetzt der Hersteller von der Maschine hat, muss der sich auseinandersetzen, der hat Ärger am Bein oder die.it eine Firma hat Ärger am Bein weil die verschiedenen Hersteller hat verschiedene Lösungen haben, ja weil warum ist das so? Weil es wahrscheinlich erstens gewachsen ist und wir ganz viel Legacy im Feld haben und vielleicht jetzt kommt noch eine Frage.

21:48 Gibt es zu viele von diesen Dingern, gibt es keinen Standard, wird man sich nicht einig, weil wenn es jetzt sag ich mal technisch irgendwie die Lösung gäbe, die die man so nimmt, ja dann würde ja auch alles wieder gut funktionieren. Ne, Wir haben ja nur diese Kombinatorik, diese elendige, wenn wir ganz viel verschiedene Systeme haben im Feld, ja.

22:05 Genau. Also das macht jetzt eigentlich das den Punkt, warum wir in der OT So n großes Thema mit der Fernwartung haben, ganz gut zu und dann können wir auch mal da drüber gehen. Gibt es denn Standards in der Richtung? Aber genau das ist 1 der Themen. Ich hab halt viele, viele verschiedene Anforderungen, die da zusammenkommen zu dieser ganzen heterogenen Infrastruktur kommt dann der ganze Legacy Schrott, den ich seit 30 Jahren womöglich irgendwie mit Rumschleppe und das versuche ich zu vereinheitlichen und es gibt tatsächlich auch offizielle Zahlen dazu, also Clarity, das ist ein Hersteller, in dem Ja Industrial Security Umfeld und die haben mal quasi ausgewertet von ihren ganzen Kunden. Dass über 55% der OT Unternehmen

22:45 mindestens 4 oder mehr Lösungen im Einsatz haben und allein diese Zahl zeigt ziemlich eindrücklich, warum das Thema so groß ist. Ja, das sind sogar die, die sie schon von sich aus im Einsatz haben, ohne dass n Maschinenhersteller den noch irgendwas anderes aufzwingt quasi. Genau kann aber auch ne Kombination sein. Also es kann sein, dass halt Maschinenhersteller was mitgebracht hat und das ist jetzt Teil des Zoos oder was auch immer wie des Portfolios, dass man da verwalten muss. Gut, dass es verschiedene Anbieter gibt, ist ja immer eigentlich ne gute Sache, sonst hätten wir irgendwas monopolhaftiges so aber wie Burkhard schon sagt, gibt es denn da Standards und du hast ja auch gerade schon was erwähnt, so dass man das vielleicht

23:21 zumindest irgendwie vereinfachen kann. Also was ist der Ausweg aus dem Szenario, was du uns jetzt geschildert hast? Genau, man kann mal ganz kurz auf die Regulatorik schauen und zu gucken, was da an Standards vielleicht gesetzt wird. Das, was einem am meisten Rückhalt gibt, ist die IEC 62 443. Da steht tatsächlich in der 42 müsste das sein, da geht es um Anforderungen für Komponenten und da gibt es tatsächlich eine relativ gute Beschreibung, was denn eine Remote Access Lösung tatsächlich so mitbringen kann, wo auch ein paar technische Maßnahmen einfach drin stehen, wo halt sowas definiert ist wie ich darf nur aus den OT Netzen nach draußen zum Beispiel kommunizieren oder dass halt jeder Zugang mindestens mit 2

24:01 Faktoren ab. Gesichert sein muss, dass die Verbindung nicht dauerhaft offen sein darf, sondern dass sie halt aktiv zugeschaltet werden muss. Dass im Idealfall ein Monitoring da von dem, was da drin getan wird in dieser Session, in dieser fernwartungs Session, das davon der Aufzeichnung existiert, und das ist gibt dann so das meiste Detail, es gibt auch irgendwelche Guidelines vom BSI und so, die sind dann aber auf einer anderen Flughöhe unterwegs, also da ist es halt eher sehr allgemein beschrieben. Und.

24:30 Und löst es jetzt für irgendeinen eine der 2 Seiten das Problem besonders gut? Also es gibt immer mehr Lösungen am Markt, die tatsächlich mit diesen Designs auch gebaut werden. Wir unterscheiden immer so ein bisschen den OT Ansatz und den. IT Ansatz also den OT Ansatz muss man vielleicht ein bisschen erklären, das sind tatsächlich Hersteller die man aus dem OT, Umfeld, Umfeld kennt.

24:53 Also wenn man jetzt im deutschen Raum unterwegs ist, wäre das zum Beispiel Siemens bietet da was an WAGO oder Phoenix Contact, die bieten tatsächlich Lösungen an, die speziell für Fernwartung gebaut werden. In der Regel schaut es bei den OT Herstellern immer ziemlich ähnlich aus, die haben eine Hardwarekomponente die dann eben Fernwartung aber auch so ein bisschen netzwerksegmentierung firewalling Themen abdecken kann und. Und die bieten dann in der in der Regel eine Möglichkeit, dass ich von der Komponente, die ich direkt an meiner Anlage oder in meinem mein maschinennetz Platzier, die bauen eine verschlüsselte Verbindung zu entweder einem Server in meiner.it auf oder zu einem Server, der irgendwo in der Cloud steht, also in deren

25:32 Infrastruktur, und dann kann ein Fernwartungstechniker sich eben von der anderen Seite, also Internet, entweder an der Cloud oder an meiner Komponente in der.it. Ja, sich da connecten und dann wird das ganze dynamisch zusammengeroutet. So sind diese Lösungen in der Regel gebaut, ja gehen wir gar nicht tiefer drauf ein, das sind halt OT Hersteller, die haben den Fokus oder die haben die Probleme der OT verstanden, das heißt in der Regel decken die alles was so ein OT, Techniker oder auch ein Hersteller an Anforderungen hat decken die ziemlich gut ab.

26:04 Das heißt, man kann da mit Legacy Protokollen arbeiten und und und hat bringt aber auch natürlich n paar Probleme mit, weil sie halt die.it Anforderungen nicht ganz verstanden haben. Da gibt es halt oft kein Session Recording oder dass es quasi den Approval Prozess noch nicht gut abgedeckt ist. Die entwickeln sich aber auch immer mehr in die Richtung die die haben den Schuss gehört und das geht mehr in die Richtung und die andere Seite, das ist dann meistens so dieser.it First Ansatz, das heißt wenndie.it ler versuchen ne Lösung zu designen, die gehen dann oft über.

26:34 Ja, auch klassische etablierte Hersteller ausdem.it Markt, die jetzt quasi das Thema OT entdeckt haben zu und das ist halt oft NN Ansatz, der entweder auf Zero Trust oder einer Pam Architektur existiert. Also Zero Trust heißt ja immer, dass ich gar keinen Netzwerkverbindungen direkt vertraue, oder Pam ist dann privileged Access Management, wo ich dann nicht netzwerkzugriffe zulasse, sondern eigentlich applikationsbasierte Zugriffe zulasse.

27:01 Sowas wie ich mache für diesen Zugriff erlaube ich nur. Der RTP Session oder hier darf nur ein Filetransfer zwischen den Geräten stattfinden. Solche Geschichten und in der Regel sind das eben Lösungen, die Softwarebasiert sind, die dann wahnsinnig gut ebendiese.it Anforderungen mit Session Recording. Die super gute Lösungen gebaut haben für ich kann die Files die da durchgehen auf Viren scannen und sowas, das können die ziemlich gut.

27:26 Die die sich dann teilweise schwer tun mit Legacy Protokollen oder direkten Engineering PC zu Maschine Connections die dann eher da so ihre Probleme haben. Fazit muss man leider sagen, es gibt nicht den Blueprint den ich verwenden kann und es gibt nicht die eine Herstellerlösung die zu meinen Anforderungen passt, sondern man muss oft auch eine Kombination aus beiden machen. Man kann zum Beispiel sagen, ich mache mit einem Schlüsselschalter, der tatsächlich dann irgendwelche Firewall regeln triggert.

27:54 Lasse ich zum Beispiel so diese OT Hersteller nach draußen oder ich habe halt die.it Lösung und muss dann aber spezielle P CS als Jumphosts verwenden, die dann eben diese Legacy oder Direktverbindungen zu den Maschinen aufmachen, wo ich halt die dann in den Griff bekommen muss. Also oft muss ich irgendwo einen Kompromiss wählen, den ich den ich dann ausführen kann. Felix, jetzt hast du sehr viel erzählt, auch technisches. Ich stelle jetzt einfach mal so eine Frage. Also ich glaube, ich habe es ein bisschen verstanden. Man kann aus der OT Richtung das ein bisschen designen, also die Lösungen oder aus der IT Richtung designen, die haben ihre unterschiedlichen Dinge, aber ich nehme jetzt mal was in den Mund, vielleicht können wir

28:28 da technisch kurz ein bisschen werden, VPN ja Virtual private Networks also die soweit ich das verstehe erlauben mir ja Zugriff zu nehmen von außen in ein Netzwerk was erstmal nicht sicher ist. Was ich ja aber per VPN heißt. Ja ich hab quasi nen nen Verlängerungsstecker, quasi so als würde der der jetzt mal sagen wir mal der Fernwartende der sitzt irgendwo, ich sag mal in München ja und die Firma wo die Maschine steht, die steht dann Hamburg ja und der der hängt sich jetzt per VPN also Virtual Private Network sicher quasi direkt ein in die in das.it oder OT Netzwerk gerade mal eigentlich wurscht für mich ja jedenfalls so hängt er sich ein, dass er das machen kann was er braucht.

29:12 Nämlich zum Beispiel auf den Windows XP Rechner zugreifen zu können, der da jetzt irgendwo steht. Ja so und und und wenn wir jetzt mal dran glauben kurz, dass VPN funktioniert und diese Verbindung von München nach Hamburg sicher ist, weil Kanal verschlüsselt und so weiter weil halt VPN, warum ist das keine coole Lösung und es ist das nicht total einfach das so zu machen, weil an was habe ich jetzt hier nicht gedacht? Die Basistechnologie ist da tatsächlich oft noch dasselbe. Also gerade diese OT Lösungen sind VP NS, die bisschen hochgerüstet wurden es.

29:42 Es reicht halt nicht mehr, das allein so zu machen, weil Virtual Private Network heißt ja eben auch, dass ich diesen User aus München in einem Beispiel Teil von meinem Netzwerk mach, das heißt, dass der entsprechend auch Zugriffe in dieses Netz rein hat. Die OT Hersteller versuchen das dann ein bisschen einzudämmen, indem sie eine virtuelle Firewall in diesen VPN mit reinmachen, wo sie dann sagen.

30:04 Er ist kein vollständiger Teilnehmer von meinem Netzwerk, sondern er darf jetzt nur mit dieser Maschine und diesem Port zum Beispiel sprechen und da gehen dann die Diskussionen los. Da hab ich jetzt eigentlich schon ziemlich alles getan, was ich auf dieser Netzwerkebene machen kann. Wenn der jetzt aber durch diesen Tunnel.

30:21 Zum Beispiel eine Schwachstelle im RTP Protokoll ausnutzt oder dann eben den XP als Jump Host verwendet, um dann weiter ins Netzwerk reinzugehen. Also dann vom XP aus zum Beispiel mit den nächsten Maschinen anfängt zu kommunizieren und solche Geschichten, das ist dann das, was mir in der Regel dann im Hintergrund weh tut und da habe ich dann halt mit den eher Pam basierten oder Zero Trust Ansätzen deutlich mehr Möglichkeiten diese Zugriffe oder diese weiteren Zugriffe zu reglementieren.

30:48 Also du sagst jetzt quasi, es geht hier um den Trust des Servicetechnikers? Tatsächlich ja, weil ich vertraue. Also jetzt mal kurz auf die Spitze, formuliert mein Vektor, mein Gefahrenvektor ist jetzt dieser Servicetechniker, wenn ich jetzt nur ein ganz simples VPN da einrichte, ja technisch vollen Zugriff hat auf alles Mögliche, nicht nur auf seine eigene XP Kiste, sondern je nachdem wie die Netzwerke segmentiert sind, das hat mir am Anfang, das sag ich auch noch mal ganz klar, denn wenn die wenn die jetzt nicht großartig segmentiert sind, dann kommst du halt über diesen VPN. Mit dem du Reinkommst auf relativ viele Unternetze drauf, auch solche, die dich nicht zu interessieren haben als Servicetechniker.

31:25 Aber jetzt siehst du quasi im Zero Trust Ansatz die Gefahr sogar beim Servicetechniker, weil das will ich jetzt auch noch mal gerade klar sagen, dass selbst wenn der jetzt nicht mutwillig kriminell ist oder irgendsowas, aber der Macht durch seine Aktion des der Fernwartung vielleicht irgendwas wo er nicht aufpasst und lässt irgendeinen Port offen oder Irgendsowas in dem er quasi direkt auf diesem alten XP ist oder Irgendsowas wird ja quasi auch zur Gefahr, hab ich das so richtig verstanden, also es. Also im Zero Trust Sinne kann ich das so nicht machen. Ja oder beziehungsweise nur ist es ist nur halbgut ja. Das Vertrauen zu dem Servicetechniker ist das eine. In der Regel ist die Vertrauensstellung zu den Technikern und den Firmen

32:00 relativ hoch. Ja, aber das hätte ich jetzt auch so. Deswegen frag ich noch mal so doof nach, weil ich seh jetzt ja trotzdem nur eine VPN Verbindung da rein und dahinter sitzt halt der Servicetechniker, dem ich ja eigentlich erst mal so n bisschen vertrauen schenke, ja. Aber es könnte ja sein, dass der Kanal übernommen.

32:12 Wurde nee, eigentlich nicht, oder bei VPN, wie es heißt, hier der Kanal übernommen wurde. Ne, wenn der Servicetechniker am anderen Ende des Tunnels irgendwie schon Schadsoftware auf seinem Rechner hätte. Genau. Also das ist genau das Thema, dass ich nicht dem Techniker per seh, dem vertrau ich in der Regel schon ziemlich gut, den hab ich in der Regel auch irgendwo am Telefon, also da gibt es noch mehr Kommunikationskanäle, das ist ja bloß der technische. Aber ich vertraue halt auch dem kompletten Security Stack auf dem seiner Seite und jetzt guckt man sich mal an, was so ein Servicetechniker üblicherweise für einen Laptop hat. Das ist ein Laptop mit ziemlich vielen Privilegien, weil er das einfach braucht, da ist

32:44 wahnsinnig Spezial Software unterwegs, der hat eben zig VPN Lösungen, der muss darauf flexibel reagieren, das heißt er wird auch irgendwelche Adminrechte haben und was ich dann als.it Security oder OT Security verantwortlich machen muss, dass ich. Dem Techniker und seiner Firma vertraut, dass die ihre Geräte sauber halten.

33:02 Also da redet man dann wirklich von Supply Chain angriffen und solchen Geschichten, wo ich mich einfach dagegen absichern möchte. Aber jetzt noch mal kurz zurückgefunkt wir hatten ja gesagt temporär ne, also sagen wir mal er hat den ältesten Laptop und das Ding ist irgendwie voll mit Viren und so weiter weil den auch privat nutzt keine Ahnung, ist ja auch egal.

33:19 Ja und und jetzt ist es aber auch so, dass dieser VPN Zugriff. Den will ich ja vielleicht. Vielleicht geht das nicht, aber ich hab noch auch noch mal kurz die Taschenlampe drauf. Es ist ja so, dass ich denen Vermittelst eines Personal einer Personalien in Hamburg nehmen wir jetzt mal dieses Hamburg München Beispiel, in Hamburg sitzt die Firma, die Ferngewartet wird ja da muss ja jeweils jemand diesen VPN Zugang auch freischalten können so der hat den am Telefon der sagt so hier was weiß ich Heinz München wie geht es, wie ist das Wetter in München ja gut so ich mach dir jetzt die VB Einbindung frei jetzt kannst du dich aufschalten so ja und dann hat er den am Telefon der macht seinen Krempel

33:52 die reden noch mal kurz übers Wetter. Oder da bist du fertig, da hab ich gemacht, alles klar, ich dreh VPN wieder ab, mach es gut, Tschüss danke schick die Rechnung rüber so, ja dann ist die Geschichte ja doch schon relativ sicher in meiner Sicht, oder? Jetzt hab ich jetzt wieder was vergessen. Richtig also, im Idealfall läuft es eben genauso, dass die temporären Zugriffe tatsächlich auch gelebt werden, und deswegen ist quasi dieser Zeitaspekt auch ein großes Thema.

34:14 Also man, ich habe schon den Kunden gehabt, mit dem habe ich zusammen immer wenn die VPN Verbindung via Schlüsselschalter zugeschaltet war, haben wir so ein richtig nerviges Blitzlicht auf der Anlage installiert, dass auch die Maschinenbediener einfach wussten, hier findet dann eine Fernwartung statt und das ist im Zweifelsfall so nervt, dass sie das dann auch freiwillig wieder abschalten, wenn sie wissen, das Thema ist auch wieder erledigt, genau und trotzdem möchte ich.

34:35 Mich in diesen 4 Stunden eben dann vor Malware, die vielleicht auf dem Rechner ist und sowas möglichst schützen oder will halt im Nachgang wenn was passiert ist, möglichst viele Daten um einfach aufklären zu können, wo das Ganze hergekommen ist. Das heißt, in der in der Konsequenz sagst du der der OT Ansatz ist gut in der Kombination mit der.it mit dem.it Ansatz noch viel besser.

34:54 Ja das heißt wenn jemand drauf ist, dann würde ich dem sogar nur noch mal. Im Pam im Zero Trust Konzept sag ich mal wirklich nur explizit noch mal viel weniger erlauben als er vielleicht als es vielleicht möglich wäre. Ohne diese explizite Einschränkung des zu. Ich sag, man kann aus all diesen Techniken gute Lösungen bauen.

35:11 Es gibt kein pauschales ja, leider dazu, weil es es muss wirklich zu deiner Umgebung passen. Also es gibt Umgebungen, da passt dieser OT Ansatz super super gut, da gibt es auch wirklich out of the Box Produkte die ich relativ schnell in Betrieb nehmen kann, die teilweise auch schon schlüsselschalter und sowas am Gerät mitbringen und damit kann ich schnelle Lösungen bauen, wenn ich viel Segmentierung schon vorher gemacht hab kann ich da ziemlich einfach vertrauensstellungen aufbauen, aber es ist einfach wichtig erst über die Anforderung zu sprechen auch mal zu sichten, was hab ich denn wirklich?

35:42 Rumliegen. Was sind vielleicht auch Wünsche von den OT Technikern oder den Herstellern und dann Design ich meine Lösung danach also. Ich habe jetzt mal eine konkrete Frage. Wenn also der Gerrit und ich, wir haben ja eine Firma und die helfen ja gerne den etwas kleineren Firmen, sage ich mal die im Industry Business unterwegs sind, die ganz großen, die können sich auch die ganz großen und teuren Lösungen kaufen und die haben vielleicht auch viele und so weiter ja, aber die vielleicht viel kleineren, das mögen ja vielleicht bei 4 anfangen oder sind dann mal 40 oder 100 oder 200 die.

36:11 Die haben ja die gleichen Probleme wie die ganz großen, aber einen anderen Geldbeutel. Jetzt kommt die konkrete Frage, was würdest du denn empfehlen für die kleinen Firmen, die jetzt vielleicht keine große Lösung einkaufen? Gibt es überhaupt freie Lösung oder sehr günstige Lösung und kann man würdest du empfehlen, dann nehmt doch Open VPN oder irgend so oder könntest du quasi würdest du dich verdammen lassen ihrem Podcast zu sagen wenn ich eine Firma bin mit 10 Leuten und habe was weiß ich 10 verschiedene Hersteller und.

36:39 Und mache jetzt ein bisschen Modernisierung, habe, habe ITOT Interaktion sowieso schon gebaut. Ja, und will jetzt quasi meinen Herstellern da was anbieten oder auch für intern oder Irgendsowas was würdest du tatsächlich nehmen für ein Produkt? Gibt es da günstige oder oder du sagst 123 sind Optionen für so eine Firmengröße.

36:58 Also das ist tatsächlich relativ einfach, weil sowohl die Software als auch die hardwarebasierte Variante decken das ganz gut ab. Die softwarebasierte Variante, die haben oft lizenzmodelle, die dann entweder auf der Anzahl User oder der Anzahl Assets basiert, die zugreifen möchten. Ne Idealfall balanciert man das dann so aus, dass es immer für einen das günstigere ist. Das heißt wenn ich wenig Assets habe, aber viele Leute zugreifen, nämlich eher die Lizenz, wenn ich aber viele Assets habe und aber es sind 23 user die nur zugreifen, dann mache ich es eben entsprechend andersrum und da geht es dann tatsächlich auch von Lizenzkosten von. 1000€ im Jahr los also, das geht in kleinem Geld und bei den OT Devices ist es halt einfach an die

37:37 Netzwerkarchitektur gebunden, wie viele von diesen Geräten ich brauche also gerade so diese OT Hersteller Lösungen die gehen bei ja 1500€ vom Gerät geht es ungefähr los. Also Geld ist keine Ausrede an der. Stelle. Und das ist der ist der falsche Punkt zu sparen einfach. Also das ist halt einfach da exponiere ich meine Systeme, das ist der falsche Punkt wo ich dann das Sparen anfangen. Weil das passt ja vielleicht auch ganz gut jetzt hier. Was sind denn die Konsequenzen, wenn ich also quasi nicht in vernünftige Ausrüstung investiere, aber trotzdem, ich will ja gerade, also wenn ich jetzt einfach keine Fernwartungslösung hätte, dann kann ja auch erstmal niemand fernwarten, das hieße im

38:16 Zweifel, vielleicht ist die Maschine aus und keiner kann mir helfen, außer es kommt jemand vorbei, das teuer und dauert lange so Option 1 was was kann noch passieren und? Was was passiert denn im schlimmsten Fall? Ja, angenommen, jetzt kommt da irgendwie also was könnten Konsequenzen sein, wenn ich das nicht vernünftig organisiere und und mich kümmere um meine Fernwartungslösung in der.

38:38 Wohnung. Also ich kann ganz kurz den ersten Fall kommentieren, also das wird tatsächlich in ganz kritischen Unternehmen oder Prozessen wird es tatsächlich gemacht, dass dann die die Policy lautet, es geht nur ein Techniker vor Ort an die Anlage, also es gibt keinen Remote Access. Das gibt es tatsächlich.

38:53 Das ist dann oft so Umgebung, wo man tatsächlich auch über Datendioden und sowas spricht, also wo sowieso schon sehr, sehr starke Netzwerkmaßnahmen ergriffen wurden, um um einfach den Prozess abzusichern. Und für das zweite, was so Konsequenzen sind, hätte ich einfach mal ein paar Zahlen dabei. Also ich hab von einem von unseren Partnern, darf ich. Dich noch kurz fragen zu den Datendioden? Ja, was sind Datendioden und was für Unternehmen sind das denn jetzt, die da so vorgehen, dass es eine eigene Entscheidung gibt?

39:20 Oder ist es irgendwie so kritisch oder oder wer legt das? Fest genau also kommt oft aus dem kritisch Umfeld, wo das tatsächlich eingesetzt wird, ganz oft. Im Energiesektor findet man das vor und eine Datendiode ist sowas wie eine. Firewall, die nur in eine Richtung Traffic durchlässt. Und zwar nicht nur.

39:37 Also gibt es Softwarebasiert, aber die gibt es auch hardwarebasiert, dass wirklich auch physisch nur eine Richtung von Datenverkehr möglich ist und das findet man in den Anforderungen im europäischen Raum noch nicht so stark, das ist eher im amerikanischen Markt, da ist das auch deutlich weiter verbreitet, aber weil die Technik eben eine wahnsinnig hohe Sicherheit eben mitbringen kann, findet das jetzt immer mehr Einzug auch in den deutschen Markt, wo halt eben.

40:02 Anlagen, die per SE kritisch sein werden, also vor allem allein von der Größenordnung, die dann neu gebaut werden. Also sowas wie neue Energiekraftwerke oder Batteriespeicher, das sind gerade so die großen Themen, und da werden die Architekturen dann oftmals eben direkt mit Daten die oder geplant. Da die darf dann wahrscheinlich nur raus zulassen, richtig. Genau, also üblicherweise schleust man dann eben Visualisierungsdaten oder Monitoringdaten nach draußen. Aber der Prozess innen ist komplett isoliert und da ist dann fernwartungsthema noch mal eine komplett andere Baustelle. Ja, und zu den Konsequenzen.

40:32 Also ich hab mal den Cyber Security Report für die OT von der Firma Drakos mal nach dem Thema Remote Access einfach durchsucht und hab einfach mal aus dem Jahr 2024 alle Ransomware Vorfälle, also wo irgendjemand verschlüsselt wurde mitgebracht und ungefähr 25% davon haben nen kompletten Ausfall in der OT verursacht und 75% haben auf jeden Fall die OT beeinträchtigt so da ist und wir fährt die Balance.

41:00 Und 20% von diesen Ransomware Vorfällen, also wo irgendwas verschlüsselt wurde, das direkten Impact auf die OT hatte, hat einen direkten Zusammenhang mit Remote Access Lösung, das heißt ein Fünftel von diesen ganzen Verschlüsselungsaktionen hätte ich komplett verhindern können, wenn. Wenn ich einfach das Thema im Griff gehabt hätte und die zweite Zahl, die halt ziemlich erschreckend ist, das ist die das Drake was macht auch Architektur Review für Unternehmen, das heißt die gucken sich an wie habt ihr euer System so in Summe aufgebaut und ungefähr 65% der Firmen die sie da angucken haben offene Themen in dem Bereich Remote Access also da sprechen wir von.

41:39 Exponierten Systemen, die nicht exponiert sein sollten. Wir sprechen von Default Passwörtern oder ungeschützten RDPS ungepatchte Systeme sowas und wenn ich das jetzt mal abgleichen dürfen mit dem, was wir bei SVA so sehen, wenn wir bei Kunden gehen, würde ich da sogar die Zahl 75% in den Raum reinwerfen, also wirklich fast jedes Thema, wo wir uns die OT Mal im Detail angucken ist Fernwartung ein Thema mit all diesen Baustellen, die wir genannt haben.

42:06 Historisch gewachsene Herstelleranforderungen und, und und. Zu dieser ganze Rattenschwanz, den findet man eigentlich so gut wie überall. Es ist ja ein zunehmendes Problem, weil weil, was ja passiert, auch wenn man da jetzt, wir waren ja auf der Hannover Messe zum Beispiel, man sieht ja OTIT, ist ja ein Riesenthema, also ich verbinde ja, und das will ich aktiv, eher die OT mit der.it viel mehr als früher, sozusagen ganz, ganz am Anfang mal gesagt, es gibt ja krasse Beispiele, da hat die OT mit der.it nichts zu tun, kennen sich nicht, die machen beide ihr eigenes Business. Das will man ja nicht mehr aus bekannten Gründen. Das müssen wir jetzt nicht noch mal aufholen, aber der Nebeneffekt ist ja, wenn ich die

42:39 OT mit der.it stark verdrahte und die OT nicht absiche und ich jetzt über eine Fernwartung in die OT reinkomme, dann habe ich nicht das Problem, dass Ransomware mir vielleicht nur die OT verschlüsselt, sondern die kommen ja aus der OT raus, dann in die.it vielleicht auch rein und dann läuft die Ransomware zwar als Eingangssignal erstmal über die OT, weil da irgend so ein RDP Port von irgendeinem Windows Gammel noch offen ist und im Internet rumhängt.

43:03 Und dann wird mir ueberdie.it auch noch verschlüsselt beziehungsweise alle alle Rechner von der gesamten Firma und so weiter dann hab ich ja richtig nachher richtig in die Scheiße getreten um das mal auf Deutsch zu sagen, ja. Genau, also ich hab da tatsächlich, du spielst mir gerade den perfekten Ball zu, weil ich hab noch ein ganz konkretes Beispiel, das vorher zahlen sind immer ganz schön, aber ich hab noch ein ganz konkretes Beispiel mal mitgebracht 2021 das hat man vielleicht auch aus den Medien bekommen, ist zwar schon eine Weile her.

43:27 Aber da gab es einen Pipeline angriff auf die USA. Also da wurde Technik von der Pipeline angegriffen und ich hab das mitgebracht, weil das ein Thema ist, wo eben komplett auf dem Remote Access Zugang basiert. Hatte genau verantwortlich war eine Hackergruppe die sich Darkside nennt, die wird wird Russland zugeordnet, also jetzt nicht politischen Kanälen Kanälen, sondern eben diesen hactivist Gruppen. Und der Zugangspunkt war eben ein Shared VPN Account, der keinen Multifaktor verwendet hatte. Das war quasi der Einstiegspunkt für das Ganze und die sind quasi reingekommen und haben alles verschlüsselt, also klassischer Ransomware Vorfall und bei während dieser Verschlüsselung wurde eben ein System getroffen,

44:08 dass das Abrechnungssystem war, das heißt die haben Halt von Texas nach in die Ost USA, also Südosten haben die verschiedene Kraftstoffe transportiert und auf einmal konnten die das Ganze nicht mehr abrechnen. Und die OT hätte zwar in dem Fall noch weiterlaufen können, weil der Hacker dann an der Stelle einfach Schluss gemacht hat, aber es hätte nichts mehr abgerechnet werden können. Und in dem Moment haben die quasi komplett für 6 Tage den Betrieb eingestellt.

44:33 Haben in 17 US Bundesstaaten wurde der Notstand ausgerufen, also weil einfach die Benzinversorgung und aber auch verschiedene kritische Infrastrukturen einfach nicht mehr ja Rohstoffe bekommen haben. Und zu all dem wurden noch 100 Gigabyte an an Userdaten schön abgezogen. Also das waren quasi so die Konsequenzen davon und gelöst haben sie es, indem sie tatsächlich die Ransomware bezahlt haben, das heißt, da wurden 4 Komma $4000000 wurden dann Bitcoin an diese Gruppe überwiesen und begleitet hat das Ganze das FBI, also weil das wirklich so einen nationalen Notstand ausgelöst hat und diese 6 Tage kamen dann tatsächlich nur deswegen zustande, weil das so unglaublich langsam lief, bis das Ganze wieder entschlüsselt

45:15 wurde. Und der der spannende Effekt ist jetzt hier, dass das, es wird immer so als OT Hack verkauft, aber im Prinzip war das genau der Fall, dass halt ITOT Konvergenz hier so n bisschen das Thema war, das heißt ich hatte meine.it Systeme die halt direkt mit Daten aus der OT gearbeitet haben, in dem Fall halt einfach die die Volumina die irgendwo abgegeben wurden. Unter Experten wird davon ausgegangen, dass, wenn jetzt die Hackergruppe an der Stelle weitergemacht hätte, hätten die auch direkten Impact auf die OT Systeme nehmen können. Die haben halt den einfachsten Weg gewählt, weil in dem Fall war es halt einfach so, die verschlüsseln die Systeme und und gucken mal was bei der Erpressung eben rauskommt, weil die wollen ja im Prinzip einfach

45:50 Geld machen. Also wenn das jetzt kein State Actor ist der einfach Schaden verursachen will, dann hat so ein Hacker ja die Intention, dass er irgendwie selber einen Benefit hat und in dem Fall war es das einfachste zu verschlüsseln. Wenn man jetzt das Ganze ein bisschen weiter spinnt, dass da jemand wirklich einen Schaden verursachen will, baue ich mir durch.

46:06 So eine Remote Access wirklich eine Umweltkatastrophe auf, was da passieren kann und das ist, das zeigt halt ziemlich eindrucksvoll dieses Thema, diese ITOT Konvergenz, die gewollt herbeigeführt wird, die ich auch gar nicht wirklich verhindern kann. Also ich brauche die Transparenz und die Vernetzung an den verschiedenen Stellen, das werden wir nicht mehr rückgängig machen, aber ich muss halt diese Themen einfach mit beachten, sonst passiert eben genau so was o. K danke an der Stelle für das Beispiel. Das kann ich schon mal spoilern.

46:31 Wir machen irgendwann mal ne Folge bei Randsomware, also jetzt nicht randsomware die über ja unsichere Fernwartungszugänge eingespielt wurde, sondern allgemein ist schon geplant. OK cool Felix, also haben wir auch mal über Konsequenzen gesprochen. Ja, ich glaube es ist halt ne, es gibt immer Statistiken und und irgendwie weiß man das auch, dass andauernd irgendwas passiert und irgendwo wichtig ist zu wissen, das Thema sollte man im Griff haben, weil es ist halt einfach einer der Gründe die die denen ne Firma lahmnehmen können letzten Endes wenn es nicht vernünftig gemacht wurde, ich glaub. Das reicht schon als Grund, um das um das anzugehen, ist vielleicht noch mal zurück zu eurem Ansatz. Bei SVA haben vielleicht noch n

47:07 paar Worte dazu, du sagst jetzt typischerweise gibt es dieses Tool Chaos sag ich jetzt mal recht viele Lösungen sicherlich n paar ganz moderne n paar ältere n Paar von den Maschinenbauern oder Maschinenherstellern vorgeschrieben n paar interne es trefft auch diese Situation in solchen Projekten schätz ich mal.

47:29 Was dann? Ja, wie wird jetzt aufgeräumt oder wie wird vorgegangen, was könntest du auch als Tipp mitgeben für gerade wieder? Ja, ich sag mal die kleineren Produzenten, die Burkhard gerade erwähnt hat. Genau, also oft kommen diese Probleme hoch, wenn man über das Thema Netzwerksegmentierung spricht, also wo wir oft begleiten, die Prozesse quasi Firewalls und eine Netzwerksegmentierung durchzuführen und dann läuft man zwangsläufig in diesen Umgebungen irgendwann in das Thema Fernwartung einfach rein. Und dann gilt es als allererstes mal zu klären, wer ist denn zuständig, weil ganz oft eben auch ein Problem ist, dass nie klar ausgesprochen wurde, wer für dieses Thema verantwortlich ist, das ja eigentlich beide

48:05 Bereiche direkt irgendwo betrifft. Und da gilt es dann oft auch erstmal eine kommunikationsbarrierezwischen.it und OT zu schließen, das heißt man spricht mal mit beiden Seiten, seid ihr euch bewusst, dass es das gibt, seid ihr euch bewusst? Welche Anforderungen gibt es denn, das erstmal aus der Welt schärfen und dann eben mit dem Thema loszulegen so.

48:23 Was habt ihr denn für Anforderungen? Welche Lösungen habt ihr schon? Erstmal den Status quo zu verstehen und auf der anderen Seite dann eben die Anforderungen zu sammeln wie was brauche ich alles minimal gesehen um jetzt eine neue Lösung zu bauen und dann ist eben genau das wo ich sagen kann, wir legen da kein Blueprint drüber, sondern wir suchen eine Lösung die gut zu dem Kunden passt und es kann im Zweifelsfall eben auch das sein, dass man diesen ganzen Boost behält, so wie er da ist, weil sie sagen, dass bis ich mit jedem Hersteller gesprochen habe, das geht überhaupt nicht, aber.

48:52 Aber ich überlege mir eine Standardlösung wie ich, wie ich in Zukunft damit umgehe. Und das kann eben so was sein, wie also die die ganzen klassischen Firewall Hersteller, die bieten mittlerweile auch so rug Firewalls an, das heißt Halt Firewalls die für Industrieumgebungen gemacht sind, wo ich dann teilweise eben auch digitale Eingänge nutzen kann, also sowas wo ich einen schlüsselschalter ranhängen kann, der mir dann Firewall regeln zu oder abschaltet und dann mache ich genau das, ich löse diese ganzen.

49:17 Eigenen Breakouts, die in der Otis so stattfinden, löse ich auf, das heißt LTE, Modems, irgendwelche eigenen Zugänge die die sich geschaffen haben und lege das alles über mein.it Netz. Und mach dann eine Regel, die eine Firewall Regel, die eben Zeitbasiert mit so einem Schlüsselschalter getriggert werden kann.

49:34 Das heißt, die in der OT haben immer noch die Kontrolle, die können entscheiden wann kann jemand eine Fernwartung verwenden, es wird auch immer noch das Tool Set verwendet, das standardmäßig vorhanden war, aber ich limitier das also ich sorg dafür, dass es wieder abgebaut wird, ich kann im Zweifelsfall quasi mit. Netzwerküberwachungssoftware und sowas. Alles was sodie.it an Security Stack mitbringt, kann ich das oben drüber machen.

49:56 Das heißt, dass das einfach auf dem Schirm ist, wenn solche Verbindungen passieren und das ist dann so ein Ansatz wo wie ich sowas diesen ganzen Woost den ich Vorfeld umstellen kann und dann kann ich aber auch gucken, jetzt baue ich mir eine Standardlösung auf wo ich sag für alles was neu reinkommt, versuche ich über diese Standardlösung zu machen, außer jemand zwingt mich was anderes zu tun und.

50:15 Und so kann man solche Sachen dann Stück für Stück auflösen. Wichtig ist es eben, einfach die Funktionalität zu erhalten, weil sonst wird keiner diese Lösung akzeptieren und es wird weiter an einem Vorbeigearbeitet, wie das bisher gemacht wurde, ein. Bisschen provokant. Ich hab mal gehört, je mehr Tools du einführst, desto größer wird auch dein Angriffsvektor wieder. Also ne mehr Sicherheitssoftware bedeutet mehr Software die wieder Fehler haben kann und dadurch wieder potenziell Einfallstor dasteht.

50:40 Ist das n Thema bei euch und und Kunden ist ist das ist das in den Köpfen oder ist das etwas, was nur in so einer kleinen Bubble? Besprochen ist tatsächlich auch n. Thema ist auch n Thema, was wir zum Beispiel bei diesen OT Devices so n bisschen im Hinterkopf haben, weil das sind natürlich. Hersteller wie Siemens und so, die sind jetzt nicht dafür bekannt, Security First Software zu entwickeln.

51:02 Die die kommen aus einem ganz anderen Umfeld und das ist auch verständlich und das kommt dann auch raus, wenn man so Devices mal pen Tests, also die Firma Nosomi hat sich zum Beispiel von Phoenix Contact dieses Gerät das ich vorhin beschrieben hab. Mal genau angeguckt und die sind da glaub ich mit so Größenordnung 30 Schwachstellen rausgegangen, wovon 8 Stück glaub ich mit remote Code executions waren.

51:23 Ich hab nicht mehr genau die Zahl, aber auf jeden Fall so kritisch wo man sagt OK WOW das das ist wirklich n Problem, dass ich mir eigentlich durch diese Lösung mit Reinbringe und da kann ich nur sagen, das Risiko minimiert sie so n bisschen dadurch, dass es halt nur zeitbasiert irgendwie zulass.

51:38 Ist aber n Thema, was ich natürlich mit auf dem Schirm haben muss, gerade auch wenn ich es sehr sehr langfristig damit plane. Also ja, wir treten dann wieder Größenordnung die nächsten 20 Jahre die ich damit abdecken muss. Ich musste das, ich hab ich hab lange nichts gesagt, weil ich hab ich immer noch drüber nachgedacht was du erzählt hast mit der Firewall und dem Schlüssel und den Fäden und so weiter das musste sie kurz noch mal in mein Gehirn und dann durchs Rückenmark und wieder zurück ist mega ganz cool weil ich da hab ich noch nicht drüber nachgedacht aber ich will das noch mal kurz wiederholen also ich hab ich hab ne OT. IT Verbindung erstmal und sage lass das war ein richtiger Punkt.

52:13 Lass doch mal das Brownfield Brownfield sein und reiß nicht alles ab, weil das geht sowieso nicht. Ja finde ich voll cool, das ist nämlich auch meine Meinung. Ja lass uns doch mal nehmen was wir haben und lass uns mal den modernen Krams da dran adaptieren. Ja und einfach eine Bobbe in der Hülle bauen ja und wenn ich das jetzt richtig verstanden habe sieht die Hülle so aus ich brauche schon ein paar Leute die wissen was Netzwerktechnik bedeutet und so in der.it und die machen jetzt ITOT Konvergenz sowieso cool. Und aber haben eine Firewall, die nicht nur von den.it ler per Laptopklick irgendwie einen Port aufmacht und bedient werden kann, sondern ich wiederhole das mal einfach nochmal, weil ich es so cool finde.

52:50 Diese Firewall kann bedient werden, also quasi der Button Klick beidem.it ler auf dem Laptop für ja jetzt kann der Kollege VP des VPN aufmachen, die Verbindung etablieren wird so eingebaut, dass man quasi einen richtigen Schlüssel hat, so ne in der OT Rugd so alles so. Den Dreh ich um dann dann leuchtet deine weiße Lampe da so sowieso. Oh, hier kann jetzt theoretisch Fernwartung stattfinden und dieser Schlüsseldreh ist quasi der ist quasi der Macht frei den Port und und dann und dann komme ich quasi rein als Fernwartender und warte fern wenn den Schlüssel wieder abdreht ist Feierabend, das ist eigentlich ganz coole Lösung also das wäre jetzt auch so ein Summary finde ich wo man sagt das können ja unsere Zuhörer auch noch mal

53:29 mitnehmen, also wenn ich jetzt so eine heterogene Landschaft habe und so weiter, dann ist ist das ne ganz coole Art und Weise jetzt, dann muss man immer als als Fernwartender, also als Hersteller hab ich immer noch den Kram, dass das was dann frei gemacht wird, das ist ja dann auch wieder ne Lösung.

53:43 Ja, also irgendein Open VPN oder ein Teamviewer oder weiß ich nicht so ja ich du hast uns vermieden Namen zu nennen von irgendwelchen Direktlösungen, wahrscheinlich mit Absicht, ich hab noch mal n paar n Ringe geworfen, aber das müsste man dann quasi kommunizieren mit den Herstellern sagen Pass mal auf dann wir haben hier zum Beispiel was weiß ich NVPN.

53:59 VPN Access oder irgendwas? Ja und wenn wenn du darüber reingehen willst, ja da haben, dann können die dann Schlüssel umdrehen dann das wäre schon schön. Ja da würden wir uns freuen ne aber das wäre ja schon mal ein schönes Fazit für für wie wie wie kriege ich sowas hin ja und auch sicher dann ne. So kann ich halt super Zeiten überbrücken und dann auch irgend so dieses Brownfield einfach weiter bestehen lassen. Oft habe ich einfach auch nicht die Möglichkeit das abzubauen und durch genau solche Sachen kann ich halt auch wirklich Prozesse erzwingen.

54:23 Also wenn ich jetzt nicht nur einen Schalter nehmen, sondern den Schalter, der vielleicht einen Schlüssel vorher noch braucht, also wirklich, dann habe ich ja. 2 Stufen Konzept weil den Schlüssel gebe ich dem dem Vormann, das heißt nicht der Maschinenbediener schaltet das ganze Fernwartungsthema zu, sondern der Vormann macht das. Das heißt da sind halt schon mal mindestens 2 Partien involviert, die auch da drüber nachdenken.

54:41 Macht das jetzt Sinn das aufzumachen? Was sind denn die Konsequenzen da dran? Und da kann ich dann wirklich so ein Teilprozess, aber auch wirklich coole Technik implementieren, die mir einfach schon mal so dieses, dass es dauerhaft offen ist und so diese Themen einfach abnehmen und dann kann ich schon echt relativ viel erreichen mit relativ wenig Aufwand.

54:59 Und Thema Zuständigkeit ist auch gleich ein, ist auch gleich ein Stück weiter cool. Felix haben wir ja noch was vergessen. Zum Thema Fernwartung der OT Was du loswerden willst, was du den Zuhörern, Zuhörern mitgeben möchtest. Also es ist einfach ein Thema, das ihr nicht unter den Teppich kehren dürft.

55:15 Das ist kein nice to have Thema mehr, sondern das ist eines der Top Themen die man sich kümmern muss, wenn man im OT über den Bereich Security spricht. Auch wenn ihr jetzt der Meinung seid, ihr seid in der.it Security und ihr habt so Euren Verantwortungsbereich, nehmt das gerne mit oder auch auch gerne andersrum von der OT. Ich bin ein Instandhaltungsmitarbeiter und hab ich weiß, dass ich da relativ hab mich jetzt da ein paar Punkten wiedergefunden, geht in den Kontakt, ich bin immer ein riesen Fan, das ist eine meiner Hauptsachen die ich immer wieder predigt.

55:45 Sprechtmiteinander.it OT, ihr könnt euch nur ihr am Ende vom Tag wollt ihr genau das gleiche und zwar, dass die Firma weiter Geld produziert und halt die Prozesse laufen und wenn das mit Sicherheit passiert, dann habt ihr am Ende alle was davon, also sprecht da miteinander und kümmert euch um das Thema.

56:00 Und Euch darf man sicherlich auch kontaktieren, wenn man noch mal Hilfe braucht. Und ja an der Stelle einfach Unterstützung sucht. Wie kann man dich und und euch von der SVA erreichen und in welcher Situation würdest du es empfehlen? Also grundsätzlich könnt ihr euch jetzt zu allen Themen, die eben OT Security betreffen, kontaktieren. Wir starten da oft auch mit einer ganz, ganz leichtgewichtigen Einstieg, wo man einfach mal so die wichtigsten Themenbereiche abklopft und guckt, wo wo steht ihr denn, um einfach auch den Finger auf die Punkte zu legen, die am wichtigsten sind und dann gibt es eben diese Spezialpakete, eben Fernwartung, aber auch netzwerksegmentierung und und und Backups da gibt es

56:37 ja so mehrere große Baustellen in der OT. Und wir unterstützen da eigentlich ziemlich die komplette Bandbreite. Und wie erreicht man euch oder dich? Es gibt eine e Mail Adresse security@sva.de. Es gibt auch einen guten Webauftritt, wo auch diese ganzen kleineren Pakete, die man da auch direkt buchen kann. Also wenn jetzt nur das Thema Fernwartung interessant ist, kann man natürlich auch nur das machen, also da einfach kontaktieren oder über die Website gehen oder ja ich denke auch unsere oder meine Kontaktdaten werden dann eben in den Show Notes mit reingeschrieben. Genauso ist es.

57:07 Packen wir rein, Herr Schill. Ja cool, dann würde ich sagen, haben wir es. Runde Folge wird dafür mitgenommen, teils technisch, teils kommt immer wieder raus, in Security folgen, es ist auch Organisation die einfach ne entscheidende Rolle spielt, das fällt immer wieder raus, Kommunikation, Kommunikation, Organisation genau, aber das ist ja gut, dass sich die Security Experten jetzt eigentlich allzu sehr widersprechen. Ja, das ist hilfreich für die Hörenden. OK cool, danke Felix und ja hoffentlich das bleibt mal wieder.

57:34 Sehr gerne. Ja, vielen Dank von mir auch. War richtig cool. Tschüss, aus Hamburg, würde ich sagen. Oder Gerrit. Absolut ja und Tschüss Felix Ciao. Einfach komplex wird präsentiert und produziert von Heiseware. Wir freuen uns auf deinen Fragen und deinfeedbackanpodcast@heiseware.com vielen Dank fürs Hören dieser Folge bis Dienstag in 2 Wochen und Tschüss aus Hamburg.