Cyber-Security
Die zunehmende Vernetzung von IT- und OT-Systemen innerhalb sowie über die Grenzen von Produktionsstätten hinweg erhöht den Bedarf an Cyber-Sicherheit in Produktionssystemen. Cyber-Sicherheit spielt daher eine entscheidende Rolle in industriellen Kommunikationssystemen und ist ein wichtiger Aspekt bei der Entwicklung von Automatisierungskomponenten geworden. Aus Gründen der Effizienz muss ein Sicherheitskonzept für Cyber-Security standardisiert sein und sich über alle Ebenen eines Fertigungsunternehmens erstrecken – von der OT bis zur IT.
Um den schnell wachsenden Cyber-Sicherheitsanforderungen gerecht zu werden, hat PI Aktivitäten für Cyber-Security in mehreren Arbeitsgruppen über verschiedene PI-Technologien hinweg initiiert. Sicherheitsrelevante Erweiterungen sind bereits in der PROFINET-Spezifikation berücksichtigt. Die Sicherheitsexperten von PI arbeiten eng mit dem TÜV Süd zusammen, um die Konformität mit dem Sicherheitsstandard IEC 62443-4-2 sicherzustellen.
Da jedoch nicht nur die Ethernet-basierte Kommunikation, sondern auch andere industrielle Kommunikationstechnologien wie IO-Link und PROFIBUS Sicherheitsbedrohungen ausgesetzt sein können, müssen auch diese berücksichtigt werden.
PI-Technologien – Überblick über Security-Aktivitäten
PROFINET
Security - Sicherheitsmechanismen
PI Working Group CB/PG 10: PROFINET Security
- Zweck: Die CB/PG10 Security entwickelt Sicherheitsmechanismen für PROFINET und stellt Leitlinien, Dokumentationen und Best Practices für die PROFINET-Security bereit.
- Ressourcen: PROFINET-Spezifikation mit Security Funktionen, Implementierungs-und Nutzungsrichtlinien, Test Bundle zur Prüfung und Verifizierung von PROFINET-Security, Whitepaper
- Zielgruppe: Technologieanbieter und Gerätehersteller, die PROFINET-Komponenten und -Systeme entwickeln und produzieren sowie Maschinenbauer.
- Aktivitäten: Verbesserung des Protokoll- und Sicherheitskonfigurationsmanagements (z. B. Migration zu modernen TLS-Versionen); Verbesserung der sicheren Kommunikation über alle Schichten hinweg, einschließlich der vertikalen Integration;Vorbereitung auf die Post-Quantum-Kryptografie und langfristige kryptografische Agilität; Verbesserung der Update- und Lebenszyklussicherheit für Geräte und Software; Definition sicherer Modelle für das Geräte-Onboarding.
- Geplant: Whitepaper zu Cyber-Security für PROFINET für Anwender
Interop Testfield
AdHoc WG: PROFINET Security Interop Field Test for Ethernet APL and PROFINET
- Zweck: Koordinierung eines Interoperabilitäts-Feldtests für PROFINET Security für PROFINET-Feldgeräte in der Prozesautomatisierung, sowie Switches, Controller und DCS-Anbieter mit PN-Security-Fähigkeit mit Schwerpunkt Ethernet-APL-Geräte. Das Ziel hierbei ist, einen Interoperabilitäts-Feldtest für Anbieter von Feldgeräten, Switches, Steuerungen und DCS zu definieren. Mithilfe dieses Tests soll Verbesserungspotenzial in einer frühen Phase erkannt werden, sodass auf Basis der Erkenntnisse Optimierungen bezüglich der Security Ausrichtung von PROFINET und den unterlagerten non-Ethernet Kommunikationssystemen vorgenommen werden können.
- Ressourcen: Präsentation "Security and PROFIsafe for PROFINET over APL"
- Zielgruppe: Anwender sowie Technologiehersteller, Gerätehersteller und Systemhersteller aus dem Bereich Prozessautomatisierung
- Aktivitäten: Untersuchung der Funktionalität und Nutzbarkeit von Workflows und Anwendungsfällen für eine PROFINET-Sicherheitsanwendung, z. B. Credentialing, sicheres Onboarding, Kommunikationsaufbau, Gerätetausch, Firmware-Update und Identitäts- sowie Zugriffsmanagement.
- Geplant: Veröffentlichung von Testergebnissen und Erkenntnissen zur Integration von PROFINET-Geräten in die Leitsysteme (frühestens Ende 2026)
Device/Tool Security
JWG: Device and Tool security for Ethernet-based communication protocols
Die Standardisierungsorganisationen FieldComm Group, ODVA, OPC Foundation und PROFIBUS & PROFINET International haben eine gemeinsame Arbeitsgruppe (Joint Working Group, JWG) zum Thema „Device and Tool security for Ethernet-based communication protocols“ etabliert, um gemeinsam an diesem wichtigen Thema zu arbeiten.
- Zweck: Einheitliche Interpretation und Implementierung von Cyber-Security in Ethernet-basierte Protokolle.
- Ressourcen: Call for Experts
- Zielgruppe: Anwender, sowie Technologie-und Gerätehersteller
- Geplant: Entwicklung eines Frameworks für Anbieter und Endanwender, um den Anforderungen der Industrie gemäß den Normen IEC 62443 und IEC 61784-6 (Teil 6: Sicherheit) gerecht zu werden und bei Bedarf Aktualisierungen zu empfehlen.
Human User Authentication & Authorization, and IDevIDs
JWG: Industrial Ethernet Security Harmonization Group (IESHG)
- Zweck: Beschreibung der Authentifizierung und Autorisierung (menschlicher) Benutzer in der OT-Umgebung (spezifische Aspekte der Authentifizierung für die verschiedenen OT-Protokolle, Geräte und Installationen können nicht berücksichtigt werden und auch die Bereitstellung und das Bootstrapping der Geräte und Software). Außerdem wird ein Vorschlag für ein Profil für IDevIDs für Geräte im Bereich der industriellen Automatisierung (IA-Geräte) ausgearbeitet.
- Ressourcen: Whitepaper on Authentication in the OT Environment (2025), Whitepaper on Common IA IDevID Requirements (2025), FAQ on industrial Ethernet security concepts (2022)
- Zielgruppe: Technische Anwender, sowie Techniker von Geräteherstellern
- Aktivitäten: Die Gruppe pausiert derzeit.
Test System Development
JWG: Test System Development Group (TSDG)
- Zweck: Sicherstellung von Interoperabilität, Konformität und Qualität von Anfang an. Wir unterstützen Technologieanbieter und Gerätehersteller mit einer speziellen Testplattform, die Tests von Anfang an berücksichtigt und parallel zur Standardisierungsarbeit und Technologieentwicklung läuft.
- Ressourcen: Unsere TRIAL-Bundles mit PROFINET Cyber-Security: PROFINET TRIAL Test- und Security-Bundle. Diese separaten Bundles bieten den neuesten Stand der Implementierung, werden vierteljährlich aktualisiert und ermöglichen eine wichtige Qualitätssicherung und Rückmeldung für Ihr Produkt und unser Testsystem während des gesamten Entwicklungsprozesses. Bitte beachten Sie: Diese Bundles sind nicht für die offizielle Zertifizierung geeignet.
- Zielgruppe: Technologieanbieter und Gerätehersteller
- Aktivitäten: Unsere Aktivitäten konzentrieren sich auf die kontinuierliche Verbesserung des Testsystems durch Hinzufügen neuer PROFINET-Cyber-SecuritySicherheits-bezogener Testfälle und Spezifikationen. Wir fördern diese Weiterentwicklungen aktiv und binden unsere Zielgruppe durch Zertifizierungs-Webinare und Messedemonstratoren ein. Darüber hinaus dient unser Testsystem als primäres Vorbereitungstool für PROFINET-Cyber-Security-Plugfests.
Video: Cybersecurity – Security Class 1
Das Video behandelt die PROFINET Security Class 1, deren Ziel eine erhöhte Netzwerkrobustheit ist. Im Fokus stehen Schutzmaßnahmen für industrielle Ethernet-Netzwerke gegen unbeabsichtigte Änderungen und gezielte Angriffe mittels DCP, SNMP und signierter GSD-Dateien.
MinutePROFINET: Cybersecurity – Security Class 1
Zusätzliche Quellen:
PROFINET-Security Leitfaden
Die Security-Leitlinie zeigt die wesentlichen Aspekte für die Erstellung eines Sicherheitskonzepts im industriellen Umfeld auf und gibt entsprechende Empfehlungen. Die im November 2013 erschienene Leitlinie (Bestellnummer 7.001, 7002) wird durch eine aktualisierte Richtlinie ersetzt, die sowohl das PROFINET-Sicherheitskonzept als auch die Anforderungen der IEC 62443 berücksichtigt.
PROFINET Security-Klasse 1: Leitfaden
Dieses Dokument soll einen Überblick über die geplanten Methoden, Anwendungen und Prozesse der PROFINET-Security-Erweiterung der Klasse 1 geben. Es richtet sich an Komponentenhersteller, Systemanbieter und Anwender der PROFINET-Technologie.
PI-Whitepaper: OT-Security – Klassifizierung der IEC 62443
Dieses Whitepaper gibt zunächst einen Überblick über die verschiedenen Teile der Normenreihe IEC 62443 und beschreibt kurz deren Inhalte. Anschließend werden die Normteile den Akteuren im OT-Sicherheitsprozess zugeordnet. Im Bereich der Operational Technology (OT) sind dies die Anlagenbetreiber, Systemintegratoren und Produktlieferanten. Aufbauend auf diesen Überlegungen wird das Sicherheitskonzept von PROFINET auf die verschiedenen Teile der IEC 62443 abgebildet.
Mehr lesen
IT Security-Erweiterungen für PROFINET
Karl-Heinz Niemann
Dieser Beitrag wurde auf der 17. Internationalen Konferenz für industrielle Informatik (INDIN) 2019 vorgestellt. Es bietet einen Überblick über die PROFINET-Sicherheitskonzepte.
Mehr lesen
Security-Erweiterungen für PROFINET: Konzepte, Status und Perspektiven
Karl-Heinz Niemann, Andreas Walz, Axel Sikora
Dieser Beitrag wurde auf der „Embedded World 2023 Exhibition & Conference” vorgestellt. Er beschreibt die technologischen Konzepte der PROFINET-Security.
Ein Mechanismus zur nahtlosen kryptografischen Neuverschlüsselung in Echtzeit-Kommunikationssystemen
Heiko Bühler, Andreas Walz, Axel Sikora
Der Beitrag wurde auf der 17. IEEE-Konferenz „Factory Communication Systems“ (WFCS 2021) vorgestellt. Es stellt einen neuartigen Ansatz zur nahtlosen Neuverschlüsselung vor, der in den zyklischen Datenaustausch von Anwendungen eingebettet werden kann. Der entwickelte Demonstrator ist zwar unabhängig vom zugrundeliegenden Echtzeit-Kommunikationssystem, kann jedoch das weit verbreitete industrielle Ethernet-System PROFINET IO emulieren und diesen Re-Keying-Mechanismus erfolgreich nutzen.
PROFINET Security: Ein Überblick über ausgewählte Konzepte für eine sichere Kommunikation in der Automatisierungstechnik
Andreas Walz, Karl-Heinz Niemann, Julian Göppert, Kai Fischer, Simon Merklin, Dominik Ziegler, Axel Sikora
Der Beitrag wurde auf der „21st International Conference on Industrial Informatics (INDIN)” im Jahr 2023 veröffentlicht. Es bietet einen kurzen Überblick über die kryptographischen Sicherheitserweiterungen für PROFINET, wie sie von PROFIBUS & PROFINET International (PI) definiert und spezifiziert wurden.
So entwickelt man ein sicheres PROFINET-Gerät: Organisatorische und technische OT-Sicherheitsmaßnahmen bei der Entwicklung von PROFINET-Geräten
Karl-Heinz Niemann, Andreas Walz, Simon Merklin, Andreas Ziegler, Boris Waldeck
Dieser Artikel erschien ursprünglich im atp-Magazin 09/2023. Er zeigt, welche technischen und organisatorischen Maßnahmen bei der Entwicklung eines PROFINET-Geräts, das PROFINET Security unterstützt, zu beachten sind. Als Beispiel dient ein Ethernet-APL-Transmitter. Auf dieser Grundlage werden Anforderungen an die sichere Gestaltung der Ethernet-APL-Kommunikation in Verbindung mit PROFINET abgeleitet.
Mehr lesen
OT-Sicherheitsanforderungen für Ethernet-APL-Feldgeräte
Karl-Heinz Niemann, Simon Merklin
Dieser Beitrag wurde im atp-Magazin 05/2022 veröffentlicht. Darin werden Angriffsszenarien auf die Cybersicherheit von Automatisierungssystemen beschrieben, die Stromschleifen mit HART, PROFIBUS PA und Ethernet APL in Kombination mit PROFINET verwenden.
Kryptographischer Schutz der zyklischen Echtzeitkommunikation in Ethernet-basierten Feldbussen. Wie viel Hardware wird benötigt?
Matthias Skuballa, Andreas Walz, Heiko Bühler, Axel Sikora
Dieser Beitrag wurde auf der 26. „IEEE International Conference on Emerging Technologies and Factory Automation“ (ETFA) im Jahr 2021 vorgestellt. Es bewertet die Leistung des EAS-GCM-Algorithmus, der für die PROFINET-Sicherheit eingesetzt wird.
Fachartikel: Passgenaue Security in drei Klassen
Dominik Ziegler
Dieser Beitrag wurde in der Ausgabe 01/2024 des Magazins elektrotechnik veröffentlicht.
IO-Link
Secure Deployment
IO-Link Secure Deployment Guideline
- Zweck: Unterstützung der Endanwender bei der Beurteilung und Umsetzung von Sicherheitsmaßnahmen für Cyber-Security für die Nutzung von IO-Link. Das Hauptziel besteht darin, ihnen das nötige Wissen und die Werkzeuge an die Hand zu geben, um Sicherheitsmaßnahmen für die Nutzung der IO-Link-Technologie effektiv zu beurteilen und zu implementieren.
- Ressourcen: IO-Link Secure Deployment Guideline
- Zielgruppe: Anwender, sowie Technologie- und Gerätehersteller
- Aktivitäten: Derzeit sind keine weiteren Aktivitäten geplant.
Secure Design and Development
IO-Link Secure Design and Development Guideline (in Arbeit)
- Zweck: Unterstützung von Entwicklern und Implementierern von IO-Link-Produkten bei der Interpretation der Sicherheitsstandards.
- Aktivitäten: Ein Leitfaden ist in Entwicklung.
- Zielgruppen: Technologiehersteller, Gerätehersteller
- Aktivitäten: Abschluss der redaktionellen Arbeit am Entwicklungsleitfaden.
Zusätzliche Quellen:
Pressemitteilung: IO-Link goes Secure: Erste Security Guideline jetzt verfügbar
Die IO-Link Community hat eine neue Security Deployment Guideline veröffentlicht. Diese soll Anwendern dabei helfen, Sicherheitsmaßnahmen für die Nutzung der IO-Link-Technologie zu bewerten und umzusetzen.
Mehr lesen
Non-Ethernet-Protokolle
Device/Tool Security
JWG: “Device / tool security for non-Ethernet-based protocols”
- Zweck: Einheitliche Interpretation und Implementierung von Cyber-Sicherheit in unseren digitalen Schnittstellen einschließlich der Tools für Non-Ethernet-basierte Protokolle.
- Ressourcen: Call For Experts
- Zielgruppe: Technologiehersteller, Gerätehersteller und Anwender
- Aktivitäten: : High-Level-Risikobewertung von Cyber-Security-Bedrohungen für Prozessautomatisierungsanlagen und die jeweiligen digitalen Schnittstellen.
omlox
omlox Hub
omlox Hub Spec with Security Recommendations (chapter 17)
- Zweck: Die omlox Hub API gewährleistet durch eine robuste Kombination aus OAuth-basierter Authentifizierung (z. B. über OpenID), fein abgestufter Autorisierung und rollenbasierter Zugriffskontrolle (RBAC) einen sicheren und kontrollierten Zugriff auf unternehmenskritische Standortdaten. Durch die Überprüfung der Identität von Benutzern und Anwendungen über branchenübliche OAuth-Protokolle sowie die Durchsetzung rollenspezifischer Berechtigungen stellt das System sicher, dass nur autorisierte Stellen auf sensible Standortdaten zugreifen oder diese ändern können. Dieses mehrschichtige Sicherheitsmodell schützt nicht nur vor unbefugtem Zugriff und Missbrauch, sondern bildet auch eine zukunftssichere Grundlage, die den EU Cyber Resilience Act (CRA) berücksichtigt. Somit stellt es das ideale Toolset zur Erfüllung der strengen Anforderungen an sichere, vernetzte Systeme in industriellen Umgebungen dar.
- Ressourcen: omlox Hub Spec with Security Recommendations (chapter 17)
- Zielgruppe: Endanwender
- Aktivitäten: Anpassung von PI Security an den omlox-Kernbereich für sichere Ultrabreitbandkommunikation und -ortung (geplant).
MTP
Das Thema Security im Kontext des MTP-Konzept wird aktuell aus zwei unterschiedlichen Perspektiven bewerten - im Engineering und im Betrieb.
Im Falle der Engineering-Perspektive steht das Module Type Package als containerisiertes Datenaustauschformat selbst im Zentrum der Bewertung und muss insbesondere gegen ungewollte Manipulation geschützt werden. Die hierfür notwendige Paket-Signatur ist derzeit in Bearbeitung innerhalb der JWG MTP Specification in engem Austausch mit den Security-Expertinnen und -Experten der PNO. Ein erstes PoC wurde durch die JWG Quality & Certification bereits durchgeführt.
Im Falle der Betriebs-Perspektive ist im ersten Schritt die Kommunikation zu Betrachten. Hierbei greift das MTP-Konzept auf OPC UA und die durch die OPC Foundation spezifizierten und etablierten Security-Mechanismen zurück. Der Bedarf an weiteren unterstützenden Dokumenten mit Hilfe von Guidelines und Whitepapern hinsichtlich der Anwendung von OPC UA Security Mechanismen im Kontext modularer Anlagen und dem MTP-Konzept sind zum jetzigen Zeitpunkt noch in Diskussion.
Weitere aus Sicht der Security notwendigen Maßnahmen befinden sich aktuell in der Konsolidierung.
Sollten hierfür neue Arbeitsgruppen gebildet werden, wird ein Call-for-Experts die Einrichtung einer entsprechenden Arbeitsgruppe bekannt geben.
Eine Initiale Security-Analyse des MTP-Konzepts wurde bereits 2023 durchgeführt und veröffentlicht - entsprechende Publikationen sind hier zu finden:
Security Analysis of the Module Type Package Concept
2023 IEEE 21st International Conference on Industrial Informatics (INDIN)
DOI: 10.1109/INDIN51400.2023.10218151
Security Analyse des MTP Konzepts
August 2023 - atp magazin 65(8):71-79
DOI: 10.17560/atp.v65i8.2673
NOA
Security
JWG "NOA Security-Validation“ (planned)
- Zweck: Die JWG sammelt Spezifikationen, die in anderen Cyber-Sicherheits-Arbeitsgruppen entwickelt wurden und validiert sie anhand von NOA-Anwendungsfällen.
- Ressourcen: NE 175: NAMUR Open Architecture – NOA Concept; NE 177 – NOA Security Zones and Security Gateway
- Zielgruppe: Technologiehersteller, Gerätehersteller und Anwender
- Aktivitäten: Zunächst findet ein Kick-off-Meeting für die JWG-Leiter des neuen NOA-Committees CF statt. Anschließend wird ein Call-for-Experts veröffentlicht.
SRCI
Security
- Das SRCI-Protokoll ist feldbus-agnostisch konzipiert und nutzt die etablierten Sicherheitsmechanismen des jeweils zugrunde liegenden Feldbusses sowie der jeweiligen Laufzeitumgebung.
- Infolgedessen sind zum gegenwärtigen Zeitpunkt keine zusätzlichen, SRCI-spezifischen Sicherheitsmaßnahmen oder Spezifikationen erforderlich oder vorgesehen.
Header Image Copyright: Adobe Stock/Miha Creative