Wenn eine Anlage beim Kunden steht, muss der Maschinenhersteller im Störfall oft schnell reagieren. Eine sichere Fernwartung im Maschinenbau entscheidet dann darüber, ob der Service innerhalb kurzer Zeit helfen kann, ohne gleichzeitig Steuerungen, Konstruktionsdaten oder das gesamte Unternehmensnetz zu gefährden. Der Konflikt ist bekannt: Die Produktion braucht Verfügbarkeit, die IT klare Zugriffskontrollen. Beides lässt sich vereinbaren, wenn Fernzugriffe nicht als technische Ausnahme, sondern als geregelter Geschäftsprozess behandelt werden.
Gerade mittelständische Maschinenbauer arbeiten mit vielen externen Beteiligten: SPS-Programmierer, Elektroplaner, Komponentenhersteller, Servicetechniker und Kunden-IT. Häufig bestehen historisch gewachsene Zugänge über VPN, Fernwartungsrouter oder gemeinsam genutzte Konten. Das beschleunigt einzelne Einsätze, schafft aber Risiken, die im Ernstfall schwer nachvollziehbar sind. Wer war wann verbunden? Welche Anlage war erreichbar? Welche Änderung wurde vorgenommen? Ohne belastbare Antworten bleibt ein Sicherheitsvorfall ebenso schwer zu bewerten wie eine technische Störung.
Warum Fernwartung im Maschinenbau besondere Regeln braucht
Fernwartung berührt zwei unterschiedliche Schutzbereiche. Auf der einen Seite steht die Office-IT mit E-Mail, ERP, Dateien und Benutzerkonten. Auf der anderen Seite arbeitet die Produktions- und Automatisierungstechnik. Dort können Änderungen an Parametern, Programmen oder Rezepturen direkte Auswirkungen auf Qualität, Sicherheit und Lieferfähigkeit haben.
Ein klassisches VPN verbindet externe Geräte oft weitreichend mit einem internen Netz. Ist der Rechner eines Dienstleisters kompromittiert oder sind die Zugangsdaten abgeflossen, kann ein Angreifer diesen Zugang missbrauchen. Das bedeutet nicht, dass jedes VPN grundsätzlich ungeeignet ist. Seine Berechtigungen, seine Pflege und seine Sichtbarkeit müssen aber zum jeweiligen Szenario passen. Für den zeitlich begrenzten Zugriff auf eine einzelne Maschine ist ein pauschaler Netzzugang meist mehr als erforderlich.
Hinzu kommt die Frage der Verantwortung. Der Betreiber möchte den Zugriff auf seine Anlage kontrollieren. Der Hersteller benötigt im Supportfall die notwendigen Informationen und Werkzeuge. Eine gute Fernwartung bildet diese Interessen ab: Der Betreiber gibt Zugriffe gezielt frei, der Hersteller arbeitet nur im genehmigten Rahmen, und beide Seiten können den Vorgang nachvollziehen.
Sichere Fernwartung Maschinenbau beginnt mit klaren Zugriffswegen
Der sicherste Zugriff ist nicht der mit den meisten technischen Funktionen, sondern der mit der kleinsten notwendigen Reichweite. Dieses Prinzip wird oft als Zero Trust bezeichnet. Praktisch heißt es: Eine Identität erhält nicht automatisch Vertrauen, nur weil sie sich einmal erfolgreich angemeldet hat. Jede Verbindung wird anhand von Benutzer, starker Anmeldung, Gerät, Zielsystem und Berechtigung bewertet.
Statt einen externen Techniker in ein vollständiges Kundennetz zu lassen, sollte der Zugriff auf die konkret benötigte Anwendung, Engineering-Station oder Service-Schnittstelle beschränkt werden. Idealerweise erfolgt er browserbasiert oder über einen kontrollierten Vermittlungsdienst. Die interne Anwendung bleibt dabei im geschützten Netz und wird nicht direkt aus dem Internet erreichbar gemacht.
Für viele Maschinenbauer ist ein Zugriff ohne klassisches VPN sinnvoll. Er reduziert die Netzwerkreichweite und vereinfacht die Trennung zwischen Kundenumgebungen. Lösungen wie Kyvion Secure Access können interne Anwendungen gezielt veröffentlichen und den Zugang pro Benutzer, Kunde und Servicefall steuern. Entscheidend ist nicht der Produktname, sondern das Sicherheitsmodell: keine pauschale Netzfreigabe, keine offenen Ports und eine klare Zuordnung jeder Sitzung.
Identität vor Netzwerkzugang
Jede Person benötigt ein persönliches Konto. Sammelkonten wie „Service“ oder „SPS-Team“ wirken zunächst bequem, verhindern aber eine belastbare Nachvollziehbarkeit. Scheidet ein Mitarbeiter aus oder wechselt ein Dienstleister, muss der Zugang eindeutig und sofort entzogen werden können.
Eine Mehrfaktor-Authentifizierung sollte für externe Fernwartung verbindlich sein. Passwort und zweiter Faktor senken das Risiko deutlich, dass gestohlene Zugangsdaten allein ausreichen. Je nach Schutzbedarf kann auch geprüft werden, ob der Zugriff nur von verwalteten Geräten erfolgen darf. Das ist besonders sinnvoll, wenn sich Techniker mit Engineering-Software auf sensible Steuerungen verbinden.
Berechtigungen sollten zeitlich begrenzt sein. Ein Zugang für einen geplanten Wartungstermin muss nicht dauerhaft bestehen. Bei dringenden Störungen kann ein Verantwortlicher einen Zugriff kurzfristig freigeben. Nach Abschluss wird die Berechtigung automatisch deaktiviert. Das schafft Geschwindigkeit, ohne die Kontrolle dauerhaft aufzugeben.
Externe Dienstleister kontrolliert einbinden
Nicht nur der eigene Service benötigt Fernzugriff. Komponentenlieferanten und spezialisierte Dienstleister müssen gelegentlich auf Antriebe, Bildverarbeitung, Robotersteuerungen oder Diagnose-PCs zugreifen. Hier ist eine klare Rollenverteilung wichtiger als eine allgemeine Vertrauensbeziehung.
Ein Lieferant für ein Kamerasystem braucht keinen Zugang zur SPS und kein Recht, Anwenderdaten aus dem ERP einzusehen. Umgekehrt muss ein Maschinenhersteller nicht sämtliche Systeme eines Kunden erreichen, nur um einen einzelnen Fehler zu analysieren. Berechtigungen sollten daher nach Aufgabe, Anlage und Zeitraum vergeben werden.
Bei besonders weitreichenden Zugängen ist Privileged Access Management sinnvoll. Dabei werden administrative Rechte nicht dauerhaft verteilt, sondern kontrolliert bereitgestellt. Sitzungen können nach Freigabe gestartet, protokolliert und bei Bedarf aufgezeichnet werden. Eine Aufzeichnung ersetzt keine fachliche Prüfung, hilft aber bei der Ursachenanalyse und bei strittigen Änderungen. Sie sollte transparent geregelt sein, insbesondere mit Blick auf Datenschutz, Betriebsvereinbarungen und vertragliche Pflichten.
Für Dienstleister gilt zudem: Der Fernwartungszugang darf nicht zum indirekten Zugang für weitere Personen werden. Unterauftragnehmer, gemeinsam genutzte Herstellerkonten oder unklare Supportketten sind typische Schwachstellen. Verträge und technische Regeln sollten festlegen, wer zugreifen darf, wie Identitäten geprüft werden und wie Vorfälle gemeldet werden.
Die Netztrennung entscheidet über den Schadenradius
Sicherer Remote Access ersetzt keine saubere Netzwerkarchitektur. Wenn sich eine Engineering-Station frei durch das Unternehmensnetz bewegen kann, bleibt das Risiko hoch, selbst wenn die Anmeldung gut abgesichert ist. Die Produktionsumgebung sollte deshalb logisch von Office-IT, Gastnetz und weiteren Kundensystemen getrennt werden.
Firewalls spielen dabei eine zentrale Rolle. Sie erlauben nur die notwendigen Verbindungen zwischen definierten Zonen und protokollieren auffällige Zugriffsversuche. Eine auf Fortinet basierende Sicherheitsarchitektur kann diese Segmentierung, die Überwachung des Datenverkehrs und abgesicherte Übergänge zwischen IT und OT unterstützen. Welche Regeln erforderlich sind, hängt von Maschine, Steuerung, eingesetzten Protokollen und Servicekonzept ab. Pauschale Freigaben sollten die Ausnahme bleiben.
Besonders kritisch sind Fernwartungsrouter, die dauerhaft online sind und nur mit einem Passwort geschützt werden. Sie gehören in ein kontrolliertes Konzept mit aktueller Firmware, eindeutigen Zugangsdaten, Mehrfaktor-Authentifizierung und möglichst restriktiven Firewall-Regeln. Noch besser ist es, wenn der Kunde den Zugang aktiv freigibt, statt einen dauerhaften Kanal offen zu halten.
Fernwartung muss auch im Störfall funktionieren
Cybersicherheit und Betriebsfähigkeit gehören zusammen. Eine Fernwartungslösung ist wenig wert, wenn sie nach einem Ransomware-Vorfall, einem Identitätsproblem oder einem Ausfall der zentralen Verwaltung nicht mehr nutzbar ist. Deshalb gehört Daten-Resilienz in die Planung.
Konfigurationsdaten von Firewalls, Fernwartungskomponenten und zentralen Zugriffsregeln müssen gesichert werden. Ebenso wichtig sind Backups von Engineering-Projekten, Maschinenparametern und relevanten Dokumentationen. Diese Sicherungen sollten getrennt vom Produktivnetz gespeichert, regelmäßig getestet und gegen unbefugte Änderungen geschützt werden. Ein vorhandenes Backup ist erst dann hilfreich, wenn die Wiederherstellung unter realistischen Bedingungen funktioniert.
Auch ein Notfallverfahren ist notwendig. Wer darf einen Zugang freigeben, wenn der reguläre Ansprechpartner nicht erreichbar ist? Wie wird ein Servicezugang bei einem Verdacht auf Missbrauch sofort gesperrt? Welche Ansprechpartner müssen bei einer Änderung an sicherheitsrelevanten Maschinenfunktionen eingebunden werden? Solche Fragen sollten vor dem ersten Störfall geklärt sein.
So setzen Maschinenbauer die Fernwartung schrittweise um
Ein vollständiger Umbau aller Anlagen auf einmal ist selten sinnvoll. Besser ist ein priorisiertes Vorgehen. Zuerst sollten Unternehmen ihre bestehenden Zugänge erfassen: Fernwartungsrouter, VPN-Konten, Cloud-Portale, Teamviewer-ähnliche Werkzeuge, administrative Konten und Zugänge von Lieferanten. Oft zeigt sich dabei bereits, dass niemand den vollständigen Überblick besitzt.
Anschließend wird pro Zugriff entschieden, ob er weiterhin benötigt wird und welches Zielsystem tatsächlich erreichbar sein muss. Besonders kritische oder häufig genutzte Anlagen eignen sich für ein Pilotprojekt. Dort lassen sich Freigabeprozesse, Mehrfaktor-Authentifizierung, Protokollierung und Netzsegmentierung im Servicealltag prüfen.
Für die Umsetzung haben sich fünf Leitfragen bewährt:
- Wer greift persönlich auf welche Anlage oder Anwendung zu?
- Wer gibt den Zugriff frei und wie lange gilt diese Freigabe?
- Welche Anmeldung und welches Endgerät sind zulässig?
- Welche Aktivitäten müssen protokolliert oder aufgezeichnet werden?
- Wie werden Berechtigungen, Konfigurationen und Maschinenprojekte im Notfall wiederhergestellt?
Die Antworten gehören nicht nur in ein IT-Konzept. Sie müssen für Serviceleitung, Projektmanagement, Kundenbetreuung und externe Partner verständlich sein. Fernwartung ist Teil der Liefer- und Servicequalität. Unklare Zuständigkeiten führen im Störfall zu Verzögerungen oder zu spontanen Sicherheitsausnahmen.
Das passende Sicherheitsniveau hängt vom Einsatz ab
Nicht jede Wartungssituation erfordert dieselbe technische Tiefe. Ein kurzfristiger Blick auf einen Diagnosewert ist anders zu bewerten als ein Eingriff in SPS-Logik oder sicherheitsbezogene Parameter. Bei Anlagen mit hohen Verfügbarkeitsanforderungen, sensiblen Kundendaten oder weitreichenden Administrationsrechten sollten Freigaben, Sitzungsprotokolle und getrennte Zugriffswege strenger ausgestaltet sein.
Auch die Rollen unterscheiden sich. Der Maschinenbauer braucht ein skalierbares Modell für viele Kundenanlagen. Der Betreiber benötigt Transparenz und Kontrolle über seine Produktionsumgebung. Kleine Betriebe können mit klaren Freigabeprozessen und wenigen standardisierten Zugriffswegen viel erreichen. Größere Serviceorganisationen benötigen zusätzlich automatisierte Rechteverwaltung, detaillierte Audit-Protokolle und eine saubere Mandantentrennung.
Der richtige nächste Schritt ist daher nicht die schnelle Einführung eines weiteren Fernwartungstools. Er besteht darin, die realen Servicewege sichtbar zu machen und für jeden Weg eine angemessene Sicherheitsentscheidung zu treffen. So wird Fernwartung zu einem verlässlichen Teil des Maschinenservice: schnell genug für den Störfall, kontrollierbar für den Betreiber und nachvollziehbar für alle Beteiligten.
