Aus dem Facharchiv: Elektropraxis
Sicherheit auf allen Ebenen
Die Digitalisierung bringt viele Vorteile mit sich. Durch immer professionellere Cyberangriffe steigt allerdings auch das Risiko für hohe finanzielle Verluste. Bei Infrastruktureinrichtungen wie Stromnetzen drohen sogar Versorgungsengpässe. Was das speziell für die Niederspannungsebene bedeutet, zeigt Siemens mit einem ganzheitlichen Cybersicherheit-Ansatz zum Schutz und sicheren Betrieb entsprechender Komponenten und Anlagen.
So setzt auch der Hersteller in den meisten kommunikationsfähigen Produkten nur signierte Firmware ein, damit ausschließlich herstellereigene Software auf dem jeweiligen IoT-Gerät installiert und betrieben werden kann. So wird verhindert, dass Dritte mit manipulierten Updates schädlichen Code aufspielen können. Ein Manipulationsversuch am Code zieht automatisch eine Änderung der Signatur nach sich, wodurch das Update vom Gerät als nicht vertrauenswürdig erkannt und somit eine Installation verhindert wird. Zudem kann in Geräten ein Passwortschutz gesetzt werden, der jede unautorisierte Veränderung an der Konfiguration unterbindet. Außerdem werden durch Konfiguration eines IP-Adressenfilters nur bestimmte, vom Anwender anerkannte IP-Adressen zur Kommunikation mit den Geräten freigegeben.
Sicher bis in die Cloud
Wie eine durchgängige Cybersicherheit von der Feldebene bis in die Cloud realisiert werden kann, zeigt zum Beispiel der offene Leistungsschalter 3WA: Am Gerät selbst schützen integrierte Sicherheitsmerkmale den Schalter gegen Manipulationsversuche. Das Profinet-IO/Modbus-TCP-Modul COM190 etwa verfügt über einen integrierten Hardware-Parameter-Schreib- und Fernschaltschutz. Das bedeutet: Bei aktiviertem Hardware-Schreibschutz können keine Parameter mehr verändert werden, während bei aktiviertem Fernschaltschutz das Ein- oder Ausschalten über einen der Kommunikationswege unterbunden wird. Beide Funktionen sind werksseitig immer aktiviert und müssen manuell und somit bewusst am Kommunikationsmodul selbst ausgeschaltet werden. Sofern der offene Leistungsschalter 3WA in einem zugangsbeschränkten Betriebsraum installiert ist, stellen der Parameter-Schreib- und der Fernschaltschutz für unbefugte Dritte ein unüberwindbares Hindernis beim Versuch des Zugriffs dar, da der Schutz nur lokal am Leistungsschalter deaktiviert werden kann.
Je nach Anwendung dieses offenen Leistungsschalters kann es nützlich sein, ihn über die Kommunikationsschnittstelle ferngesteuert ein- oder auszuschalten. Dass ein Fernschalten nur möglich ist, wenn der Betreiber dies vorsieht, erlaubt das Kommunikationsmodul COM190 mit seinem Fernschaltschutz. Dabei handelt es sich um zwei Klemmen, die zum Deaktivieren des Fernschaltschutzes überbrückt werden müssen. Wie der Parameter-Schreibschutz ist auch der Fernschaltschutz ab Werk aktiviert und muss bei Bedarf bewusst überbrückt werden.
Über einen separaten Kanal, beispielsweise eine speicherprogrammierbare Steuerung (SPS), wird das Fernschalten bedarfsgerecht freigeschaltet und anschließend wieder gesperrt. Die Fernschaltung selbst erfolgt über eine andere Anwendung, etwa ein Energiemanagementsystem. Eine Fernschaltung ist also nur bei Kontrolle über zwei voneinander unabhängige Wege möglich, was ein unbefugtes Schalten durch Hacker oder Malware deutlich erschwert.
Bluetooth-Zugriff sorgfältig abgesichert
Über die mobile App Sentron powerconfig kann mit Hilfe von Blutooth auf den offenen Leistungsschalter 3WA verschlüsselt zugegriffen werden. Dabei ist die Bluetooth-Schnittstelle werksseitig deaktiviert und muss bewusst über das Display der elektronischen Auslöseeinheit ETU600 eingeschaltet werden. Nach dem Gebrauch wird die Bluetooth-Schnittstelle automatisch ausgeschaltet, um missbräuchlichen Zugriff zu verhindern. Für das Pairing mit dem offenen Leistungsschalter 3WA wird mit Passkey Entry das sicherste Verfahren genutzt. Dabei ist die Eingabe einer einmaligen PIN notwendig, die vom Hersteller vergeben wird. Diese wird für jeden offenen Leistungsschalter 3WA neu generiert und während der Produktion auf die jeweilige Einheit geladen. Nach dem ersten Pairing sollte der Betreiber diese PIN ändern.