atp edition Ganzheitliches anlagenweites Security Management (Vorschau)

3 / 2012 

54. Jahrgang B3654 

Oldenbourg Industrieverlag 

Automatisierungstechnische Praxis 

Ganzheitliches anlagenweites 

Security Management | 34 

Hardware-basierte 

Informationssicherheit | 42 

Integriertes System- und 

Dienste-Management | 50 

Entwicklung von IT-Security- 

Tests für Profinet IO | 58

editorial 

Der Stuxnet-Effekt – Wird die 

IT-Security zur Innovationsbremse? 

Sicherheitslücke bei Blackberry“ ... „Hackerangriff auf Sony“. Uns Automatisierer 

betrifft das nicht! Das dachten wohl einige, die glaubten, Automatisierungssysteme 

wären noch eine unberührte Insel mit gekapselten Funktionen. 

Entkoppelt von den Risiken der Consumer-IT und Office-Anwendungen. Dann 

griff ‚Stuxnet’ gezielt Automatisierungssysteme an. Es folgte der Virus ‚Duqu’ 

und auch zukünftig wird es für unsere Industrieanlagen oder kritische Infrastrukturen 

weitere Bedrohungen geben. 

Wir brauchen daher eine effektive Gegenoffensive. Dabei müssen wir Betreiber 

konsequent unsere Verantwortung wahrnehmen, um die Sicherheit, Verfügbarkeit 

und Integrität unserer Produktionsprozesse und -anlagen zu gewährleisten. 

Gleichzeitig müssen aber Hersteller und Lieferanten die Herausforderung 

annehmen, eine fast zehn Jahre alte Forderung der Endanwender umzusetzen: 

Informationssicherheit muss stets ein grundlegendes Designziel von Automatisierungssystemen 

und -komponenten sein. 

Zusätzliche Schutzmaßnahmen auf Betreiberseite können auf Dauer nur bedingt 

systematische Designfehler auf Systemseite kompensieren. Gehärtete 

Betriebssysteme, klare Autorisierungsmechanismen, auf die Kernanwendung 

reduzierte Kommunikationskanäle et cetera sind nur einige der Ideen, die als 

Designkriterien dienen können. 

Bislang gilt, dass moderne Kommunikationstechnologien, die sich in der IT 

etabliert haben, als „Enabler“ für Innovationen auch in der Automatisierungstechnik 

wirken. Der Einsatz von IT-Komponenten ist derzeit in der Systementwicklung 

von Automatisierungslösungen Standard. Die intensive Vernetzung 

von Geschäftsprozessen durch die horizontale und vertikale Informationsintegration 

bildet die Grundlage für viele Optimierungsvorhaben in unseren 

Unternehmen. Auch weiterführende Abläufe wie in der Instandhaltung oder 

der Logistik profitieren von konsistenten und flexibel nutzbaren Prozess- und 

Assetinformationen. Daher können Defizite in der IT-Sicherheit und ein damit 

einhergehender Vertrauensverlust zur Innovationsbremse werden. Dem gilt es 

gezielt und mit Nachdruck entgegen zu treten. 

Endanwender der Namur fordern daher seit geraumer Zeit quasi ‚eigensichere‘ 

Automatisierungssysteme, die sich selbst vor Angriffen schützen. Heute ist 

diese Forderung keine Vision mehr, sondern eine Notwendigkeit. Die Herausforderung 

ist es, geeignete Technologien zu finden, die dies effizient ermöglichen. 

Die klassischen Antworten der IT – etwa Virenscanner oder automatisierte 

Sicherheitsupdates – taugen hierfür aufgrund der notwendigen Verfügbarkeit 

und der deutlich längeren Lebenszyklen der Automatisierungstechnik 

nur bedingt. Neue, innovative Konzepte, wie effektive Whitelistingverfahren, 

sind gefragt. Gleichzeitig müssen die Endanwender durch eine konsequente 

Fokussierung ihrer Anforderungen auf die Kernaufgaben der Prozessautomation 

zu einer Entflechtung von den Risiken der Standard-IT beitragen. 

Wenn man diese Herausforderung meistert, dann werden auch zukünftig IT 

und Automation gemeinsam bleiben, was sie bislang waren: Innovationstreiber, 

die es ermöglichen Produktions- und Geschäftsprozesse in einer global vernetzten 

Welt weiterzuentwickeln und zukunftsfähig zu gestalten. 

Martin Schwibach, 

BASF SE, Senior Automation 

Manager – Produktionsnahe 

Kommunikationstechnik 

atp edition 

3 / 2012 

3

Inhalt 3 / 2012 

Verband 

6 | AALE 2012 in Aachen – Internationale Akademie 

für Angewandte Automatisierungstechnik geplant 

Standardtestfälle sollen für Transparenz bei der 

Auswahl von Funklösungen sorgen 

Neuer Leitfaden für Betriebsanleitungen 

7 | Übergreifende Lösungen für die Sicherheit 

Namur-Award für beste Nachwuchsautomatisierer 

Forschung 

8 | Funktionsfähige Modell-Anlage für 

interdisziplinäres Studienprojekt fertiggestellt 

Kolloquium: Beiträge für „Kommunikation 

in der Automation“ gesucht 

Smart-Card-Preis geht an langjährigen 

IT-Sicherheitsexperten Walter Fumy 

branche 

10 | Prozessindustrie in Asien sichert den Feldbuslösungen 

zweistellige Wachstumsraten 

EtherCAT jetzt auch koreanischer Standard 

11 | Sensorik kehrt im Jahr 2012 zu einer „normalen“ 

Zuwachsrate zurück – China rückt in den Fokus 

FDI-Implementierung erstmals demonstriert 

GMA-Tagung parallel zur Messe Sensor + Test 

interview 

26 | „Viele Anlagen sind nur unzureichend geschützt“ 

Eckhard eberle im Interview mit atp edition 

4 


3 / 2012

Praxis 

12 | Optimierte Echtzeitüberwachung von Prozess- und 

Systemdaten steigert Produktion in Textilfabrik 

14 | Fernwirkcontroller mit IEC-Protokoll bei den 

Stadtwerken in Völklingen eingesetzt 

16 | Kleinsteuerung alarmiert Lkw-Fahrer vor zu 

niedrigen Tunneln für ihr Fahrzeug 

20 | FDT2-Standard optimiert Zuverlässigkeit und baut 

rollenbasierte Sicherheitsanwendung aus 

24 | Software statt Hardware: Neue Funktechnik 

erlaubt völlig neue Wireless-Lösungen 

30 | Public Key Infrastructure schließt die Schutzlücke 

und gewährleistet eine sichere Kommunikation 

Hauptbeiträge 

34 | Ganzheitliches anlagenweites Security Management 

A. Palmin, S. Runde und P. Kobes 

42 | Hardware-basierte Informationssicherheit 

M. Runde, K.-H. Niemann und C. Tebbe 

50 | Integriertes System- und Dienste-Management 

R. Lehmann, R. Frenzel und M. Wollschlaeger 

58 | Entwicklung von IT-Security-Tests für Profinet IO 

H. Adamczyk und T. Doehring 

rubriken 

3 | Editorial 

66 | Impressum, Vorschau 


3 / 2012 

5

verband 

AALE 2012 in Aachen – Internationale Akademie 

für Angewandte Automatisierungstechnik geplant 

die Konferenz für angewandte Automatisierungstechnik 

in Lehre und Entwicklung an Fachhochschulen 

D 

(AALE), findet 2012 an der FH Aachen statt. Das Programm 

am 3. und 4. Mai umfasst 40 Übersichts- und Fachvorträge, 

unter anderem mit Schwerpunkten in der Lehre, der 

Robotik, der Prozessautomatisierung oder der 3D-Simulation 

gesteuerter Systeme. 

Das aktualisierte Programm steht abrufbereit unter 

www.fh-aachen.de/aale2012. Dort kann auch die Anmeldung 

erfolgen. Die AALE ist das Forum, auf dem sich Professoren 

der Automatisierungstechnik oder verwandter 

Gebiete austauschen und aktuelle Themen diskutieren 

können. Verliehen wird bei der Tagung wieder der AALE 

Student Award: Damit werden Absolventen mit herausragenden 

Bachelor- beziehungsweise Master-Arbeiten in der 

Automatisierungstechnik ausgezeichnet. 

Der Verein der Freunde und Förderer der Angewandten 

Automatisierungstechnik an Fachhochschulen (VFAALE 

Standardtestfälle sollen für Transparenz bei der 

Auswahl von Funklösungen sorgen 

Mit einem neuen Richtlinienblatt zur VDI/VDE-Richtlinie 

2185 will der GMA-Fachausschuss 5.21 für mehr Transparenz 

bei Funksystemen sorgen und deren Einsatz vorantreiben. 

Denn wegen mangelnder Kenntnis der detaillierten Systemeigenschaften 

würden heute einige Funksysteme nicht genutzt 

oder sogar prinzipienbedingt generell abgelehnt, beklagt der 

FA 5.21 „Funkgestützte Kommunikation“. Damit würden die 

wirtschaftlichen Möglichkeiten der Funkkommunikation 

nicht ausgeschöpft. Daher bestehe dringender Bedarf für Testverfahren 

zur Bewertung unterschiedlicher Funklösungen. 

Entwickelt werden sollen Standardtestfälle zur einheitlichen 

Zeit- und Fehlerbewertung industrieller Funklösungen 

mit Bezug auf Klassen industrieller Automatisierungsanwendungen. 

Schwerpunkte sollen liegen auf: 

e.V.) plant auch die Gründung einer Plattform für kooperative 

Promotionen. Etwa zehn Vertreter von Hochschulen 

und Instituten haben bereits eine Absichtserklärung 

zur Gründung der Internationalen Akademie für Angewandte 

Automatisierungstechnik (IAAA) unterzeichnet. 

Hauptaufgabe soll die Förderung der wissenschaftlichen 

Zusammenarbeit von nicht-promotionsberechtigten 

Hochschulen Deutschlands, Österreichs und der Schweiz 

mit promotionsberechtigten Universitäten und Unternehmen 

sein, um kooperative Promotionen zu ermöglichen. 

Für dieses Projekt sucht der VFAALE weitere Unterstützung 

von Universitäten und Unternehmen. 

VFAALE E.V., 

c/o Fachhochschule Düsseldorf, 

Fachbereich Elektrotechnik, 

Josef-Gockeln-Str. 9, D-40474 Düsseldorf, 

Tel. +49 (0) 211 435 13 08, Internet: www.vfaale.de 

Der Arbeitskreis Technische Dokumentation im ZVEI- 

Fachverband Automation hat seinen Leitfaden „Anforderungen 

an Betriebsanleitungen für elektrotechnische 

Produkte der Automatisierung“ überarbeitet. Der überarbeitete 

Leitfaden des ZVEI-Fachverbands Automation gibt einen 

Überblick über die aktuellen rechtlichen Vorschriften im 

Europäischen Wirtschaftsraum (EWR), die Einfluss auf die 

inhaltliche Gestaltung von Betriebsanleitungen haben. 

Behandelt werden die vier wesentlichen für Betriebsanleitungen 

relevanten Rechtsbereiche Haftungsrecht, Gemehr 

Transparenz durch einheitliche Verfahren, 

Förderung der Kommunikation und Vermeidung von 

Missverständnissen zwischen Automatisierungstechniker 

und Nachrichtentechniker, 

Unterstützung der Realisierung zuverlässiger Funklösungen 

sowie 

Vermeidung von Fehlinvestitionen. 

Im Rahmen der Arbeiten will der FA 5.21 Kenngrößen 

und statistische Parameter zur Zeit- und Fehlerbewertung 

sowie relevante Einflussgrößen spezifizieren und auf dieser 

Basis Anwendungsprofile und dazu passende Testfälle 

definieren. Interessierte Experten ruft der Fachausschuss 

zur aktiven Mitarbeit auf (gma@vdi.de). 

Verbesserung der Produktbewertung durch validierte 

Methoden und Modelle, 

Unterstützung des Qualitätsmanagements durch 

systematisches Vorgehen, 

VDI/VDE-Gesellschaft Mess- und Automatisierungstechnik 

(GMA) VEREIN DEUTSCHER INGENIEURE E.V., 

VDI-Platz 1, D-40468 Düsseldorf, 

Tel. +49 (0) 211 621 40, Internet: www.vdi.de 

Neuer Leitfaden für Betriebsanleitungen 

währleistungsrecht, Strafrecht und Vorschriften zum 

In-Verkehr-Bringen. Ebenfalls erläutert werden die daraus 

folgenden Anforderungen, etwa zu Formvorschriften, 

Aufbewahrungspflichten und Verantwortlichkeiten. Der 

Leitfaden ist unter www.zvei.org/automation erhältlich. 

ZVEI – Zentralverband Elektrotechnik- und 

Elektronikindustrie e.V., 

Lyoner Straße 9, D-60528 Frankfurt am Main, 

Tel. +49 69 6302-0, Internet: www.zvei.org 

6 


3 / 2012

Übergreifende Lösungen 

für die Sicherheit 

Erik Kahlert ist neuer Vorsitzender 

des Lenkungskreises im ZVEI- 

Fachverband Sicherheit. Er ist Nachfolger 

der langjährigen Vorsitzenden 

Angelika Staimer, die aus Altersgründen 

nicht mehr für eine Wiederwahl 

zur Verfügung stand. Hauptberuflich 

leitet der 43-jährige Elektroingenieur 

die Business Unit „Fire Safety and 

Security“ bei Siemens Building Technologies 

Deutschland. Neben dem 

Schwerpunkt Sicherheit verfügt Kahlert 

über umfangreiche internationale 

Erfahrung im Anlagengeschäft, insbesondere 

im Energiesektor. 

Der Fachverband Sicherheit bündelt 

die Leitmärkte Safety (Schutz 

von Menschenleben, technische Sicherheit 

von Anlagen und Gebäuden), Security (Schutz 

von Infrastruktur wie Flughäfen und Energieversorgung, 

ITK sowie Bevölkerungs- und Katastrophenschutz) und 

Defence (äußere Sicherheit). Dem Fachverband gehören 

mehr als 90 Unternehmen der Sicherheitsbranche an. 

ZVEI – ZENTRALVERBAND ELEKTROTECHNIK- 

UND ELEKTRONIKINDUSTRIE E.V., 

Lyoner Straße 9, D-60528 Frankfurt am Main, 

Tel. +49 (0) 69 630 20, Internet: www.zvei.org 

Erik Kahlert: 

„Die hohen 

deutschen 

Sicherheitsstandards 

können nur 

im internationalen 

Kontext erhalten 

werden.“ Bild: ZVEI 

| EK12-06G | 

So kompakt sieht 

ein vollständiger 

Servoverstärker aus. 

Direkter Anschluss von Servomotor 

und Resolver an 12-mm-Busklemme. 

Namur-Award für beste 

Nachwuchsautomatisierer 

Für die Bewerbung um den Namur-Award 2012 können 

noch bis zum 29. Juni herausragende Abschlussarbeiten 

zum Thema „Intelligente Prozess- und Betriebsführung“ 

eingereicht werden. Mit dem Preis möchte die Namur die 

Attraktivität des zukunftsträchtigen, interdisziplinären 

Arbeitsgebiets Prozessautomatisierung weiter erhöhen und 

junge Absolventen ermutigen, sich darin zu vertiefen. Prämiert 

werden die beste Diplom-/Masterarbeit mit 1000 Euro 

sowie die beste Promotionsarbeit mit 2000 Euro. 

Die Arbeiten können beispielsweise aus folgenden Fachgebieten 

stammen: Automatisierungstechnik, Elektrotechnik, 

Informationstechnik, Mess-, Regelungstechnik, 

Prozessleittechnik sowie Verfahrenstechnik. Lehrstuhlinhaber 

entsprechender Fachgebiete können formlos Anträge 

für die beste Abschlussarbeit einreichen. Zur Unterstützung 

der Bewerbung können zugehörige Veröffentlichungen 

ebenfalls eingereicht werden. Die Unterlagen 

erbittet die Namur per E-Mail an office@namur.de. Die 

Preisverleihung findet im Rahmen der Namur-Hauptsitzung 

am 9. November in Bad Neuenahr statt. 

Namur-Geschäftsstelle, 

c/o Bayer Technology Services, 

Gebäude K 9, D-51368 Leverkusen, 

Tel. +49 (0) 214 307 10 34, 

Internet: www.namur.de 

IPC 

I/O 

Motion 

Automation 

www.beckhoff.de/EL7201 

Halle 9, Stand F06 

Die Servoklemme EL7201 für das Beckhoff-EtherCAT-Klemmensystem 

integriert im Standardklemmengehäuse einen vollständigen 

Servoverstärker für Motoren bis 200 W: 

Direkter Anschluss von Servomotor, Resolver und Haltebremse 

an 12-mm-Busklemme 

Deutliche Reduzierung des Platzbedarfs sowie der Verdrahtungsund 

Inbetriebnahmekosten 

Die integrierte, schnelle Regelungstechnik ist für hochdynamische 

Positionieraufgaben ausgelegt. 

Die Servoklemme unterstützt Synchronmotoren mit einem 

Nennstrom bis 4 A. 

Die Kombination aus Servomotorserie AM3100 und Servoklemme 

bietet eine kostengünstige Servoachse im unteren Leistungsbereich.

8 

Forschung 

Funktionsfähige Modell-Anlage für 

interdisziplinäres Studienprojekt fertiggestellt 

Der Hochschule Darmstadt ist es gelungen, eine Montageanlage 

in Betrieb zu nehmen, die Automatisierungsvorgänge 

in einer Fabrik abbildet. An dieser interdisziplinär 

betriebenen Anlage können 300 Studierende 

jährlich unter realen industriellen Bedingungen ausgebildet 

werden. 

An dieser 

„Trainings“-Anlage 

können bis zu 300 Studenten 

Abläufe in der industriellen 

Produktion erlernen. 

Bild: Deutsche Messe GmbH 

Kolloquium: Beiträge für „Kommunikation 

in der Automation“ gesucht 

Für das Kolloquium „Kommunikation in der Automation“ 

(KommA) können Interessierte noch grundlagen- oder 

anwendungsorientierte Beiträge einreichen. Das Jahreskolloquium 

befasst sich mit industrieller Kommunikation, die 

das Rückrat jeder dezentralen Automatisierung bildet. Die 

Veranstalter ifak e.V. und inIT (Institut für Industrielle Informationstechnik) 

der Hochschule Ostwestfalen-Lippe 

nehmen noch Beitragsvorschläge, die eine Länge von einer 

Seite nicht überschreiten sollten, bis zum 11. Mai entgegen. 

Einzureichen sind die Papers unter www.init-owl.de/kom- 

Smart-Card-Preis geht an langjährigen 

IT-Sicherheitsexperten Walter Fumy 


3 / 2012 

Prof. Stephan Simons vom Fachbereich Elektrotechnik 

und Informationstechnik konzipierte das Modell gemeinsam 

mit Prof. Stephan Neser vom Fachbereich Mathematik 

und Naturwissenschaft. Es stellt eine vollständige Fabrikmontage 

dar: vom Hochregallager und der damit verbundenen 

Logistik über die Montage mittels Robotersystemen 

sowie die automatisierte Endprüfung der Waren zeichnet 

die Fertigungsstraße alle nötigen Produktionsschritte nach. 

Mit der Montageanlage soll auch die mittelständische 

Industrie in Darmstadt und der Region Automatisierungstechniken 

erarbeiten und erproben. 

Ganz aktuell läuft in der Anlage ein Projekt zur Anbindung 

von Code-Readern an speicherprogrammierbare 

Steuerungen. Diese Forschung im Rahmen einer Bachelorarbeit 

dient der Identifikation von Produkten in einer 

modernen Fabrik. 

Hochschule Darmstadt, 

University of Applied Sciences, 

Haardtring 100, D-64295 Darmstadt, 

Tel. +49 (0) 6151 16 02, Internet: www.h-da.de 

Dr. Walter Fumy erhielt für seine Verdienste im Bereich 

Sicherheit für intelligente Karten Anfang Februar den 

Fraunhofer-Smart-Card-Preis 2012. „Chipkarten sind das 

Sicherheitstoken in IT-Infrastrukturen. Security ist deshalb 

die wichtigste Säule, auf denen Smartcard-Architekturen 

aufbauen“, lautete die Begründung der Jury. 

Walter Fumy hat auf dem Gebiet der IT-Sicherheit und 

bei der Entwicklung von Sicherheitsstandards jahrzehntelange 

Erfahrung gesammelt. Die bekannteste Standardisierung, 

die er voran trieb, ist die ISO-Normenreihe 

2700x über Informationssicherheits-Management-Systeme. 

Ein wichtiges Prüfsystem, an dem er mitgewirkt hat, 

sind die Common Criteria, nach denen etwa Chips im 

Bereich Telekommunikation, Payment und elektroma2012. 

Dort finden sich weitere Informationen zur Agenda 

der Veranstaltung. Das Kolloquium findet am 14. November 

2012 zum dritten Mal statt. Dieses Jahr laden die Veranstalter 

ins Centrum Industrial IT in Lemgo. 

InIT – Institut für Industrielle 

Informationstechnik 

Hochschule Ostwestfalen-Lippe, 

Liebigstraße 87, D-32657 Lemgo, Tel. +49 (0) 5261 702 138, 

Internet: www.init-owl.de/komma2012 

nische Ausweise weltweit auf ihre 

Sicherheit hin geprüft werden. 

Fumy studierte in Erlangen Informatik 

und promovierte dort auch. Er 

kam 1986 zu Siemens und arbeitete 

dort zum Thema IT-Sicherheit in unterschiedlichen 

Bereichen. Heute ist 

Fumy Chief Scientist bei der Bundesdruckerei. 

Dr. Walter Fumy 

wurde mit dem 

Fraunhofer-Smartcard-Preis 

(Statuette) 

ausgezeichnet. 

Bild: Frauhofer SIT 

Fraunhofer-Institut für 

Sichere Informationstechnologie SIT, 

Rheinstraße 75, D-64295 Darmstadt, 

Tel. +49 (0) 6151 86 90, Internet: www.sit-fraunhofer.de

Weltweiter 

Fernzugriff 

Fernwirken 

Alarmieren 

Fernwarten 

… sicher und zuverlässig 

Überwachen Sie Ihre dezentralen Anlagenteile 

und kommunizieren Sie sicher mit 

entfernt gelegenen oder mobilen Maschinen. 

Phoenix Contact bietet Ihnen dafür: 

• Industrie-Modems für den welt weiten 

und universellen Fernzugriff auf 

Steuerungen und Ethernet-Netzwerke 

• Security-Router für sichere VPN- 

Verbindungen mit IPsec- Verschlüsselung 

• SPSen und Software zur Steuerung 

entfernter Anlagen und zum stetigen 

Anlagenüberblick 

Mehr Informationen unter 

Telefon (0 52 35) 31 20 00 oder 

phoenixcontact.de 

© PHOENIX CONTACT 2012

anche 

Prozessindustrie in Asien sichert den 

Feldbuslösungen zweistellige Wachstumsraten 

Der Markt für Feldbuslösungen in der Prozessindustrie 

wird in den kommenden fünf Jahren stärker wachsen 

als im Durchschnitt aller Industrien. Zu diesem Ergebnis 

kommt eine Studie der ARC Advisory Group. Das Marktforschungs- 

und Beratungsunternehmen sieht als Wachs- 

2011 2012 2013 2014 2015 2016 

Weltweit wird 

der Umsatz mit 

Feldbuslösungen 

kontinuerlich 

weiter wachsen. 

Quelle: ARC 

tumsmotor vor allem die Emerging Markets China und 

Indien. In Asien sei mit jährlichen Zuwächsen von 24 

Prozent zu rechnen – proportional zum Wachstum der 

Prozessindustrie in der Region. Das zweitstärkste Wachstum 

erwartet ARC mit über zehn Prozent in Lateinamerika, 

dort allerdings von einem sehr niedrigen Niveau aus. 

In den entwickelten Märkten, besonders in den Nordamerika, 

erwarten die Berater ein unterdurchschnittliches 

Wachstum der Feldbussysteme in der Prozessindustrie. 

Eine Beschleunigung der Feldbuseinführung in diesen 

Regionen prognostiziert ARC, da die Hersteller verbesserte 

Nachrüstlösungen entwickeln und Anwender auf 

dieser Basis auf Feldbussysteme umstellen. Unter Berufung 

auf die ARC-Studie teilte die Fieldbus Foundation 

mit, dass 2011 fast drei Viertel des Marktes der digitalen 

Feldbusse auf Foundation-Fieldbus-Lösungen entfielen. 

ARC Advisory Group, 

3 Allied Drive, Dedham, MA 02026 USA, 

Tel. +1 781 471 10 00, Internet: www.arcweb.com 

EtherCAT jetzt auch koreanischer Standard 

EtherCAT ist nun auch als koreanischer Industriestandard 

(KS) anerkannt worden. Das koreanische 

Büro der EtherCAT Technology Group (ETG) hatte sich 

zwei Jahre um diese Anerkennung durch das Amt für 

Technologie und Standards bemüht. Key Yoo, Leiter 

des ETG-Büros Korea, betont: „EtherCAT ist nicht nur 

der Systembus der größten koreanischen Steuerungshersteller, 

sondern hat Verbreitung in den Schlüsselbranchen 

unseres Landes gefunden, wie etwa der Herstellung 

von Halbleitern und Flachbildschirmen, 

Schiffsbau und Robotik. Dass EtherCAT jetzt nationaler 

Standard ist, macht es für andere koreanische Hersteller 

und Anwender noch einfacher, die Technologie 

einzuführen.“ 

ETHERCAT TECHNOLOGY GROUP, 

Ostendstraße 196, D-90482 Nürnberg, 

Tel. +49 (0) 911 540 56 20, Internet: www.ethercat.org 

Assistenzsysteme für Planung und Betrieb 

In Ausgabe 6/2012 der atp edition 

möchten wir das Thema Assistenzsysteme 

für Planung und Betrieb von Automatisierungssystemen 

diskutieren. 

Aktuelle Diskussionspunkte an der Nahtstelle 

von Wissenschaft und Praxis reichen 

von mathematisch-algorithmischen 

Grundlagen und formalen Modellen zur 

Beherrschung von Komplexität in Planung 

und Betrieb bis hin zu Entwicklungsmethodiken 

und Metriken zur Bewertung 

von gebrauchstauglichen Unterstützungssystemen. 

Besondere Herausforderungen sind dabei 

zunehmende Anforderungen an die 

Kompetenzförderlichkeit der Systeme bei 

zunehmender Heterogenität der Zielgruppen 

im Hinblick auf Ausbildung und 

Altersstruktur. 

Wir bitten Sie, bis zum 30. April 2012 zu 

diesem Themenschwerpunkt einen gemäß 

atp-Autorenrichtlinien ausgearbeiteten 

Beitrag per E-Mail an urbas@oiv.de 

einzureichen. Ziel ihres Beitrags sollte 

der „Brückenschlag“ zwischen aktuellen 

Erkenntnissen und Innovationen, den methodischen 

Grundlagen und den zukünftigen 

Anwendungen in der industriellen 

Praxis sein. Ansprechen soll Ihr Aufsatz 

technische Führungskräfte, Entscheider 

und Key Experts der Automatisierungsbranche. 

Alle Beiträge werden von einem 

Fachgremium begutachtet. Sollten Sie 

sich selbst aktiv an dem Begutach-tungsprozess 

beteiligen wollen, bitten wir um 

kurze Rückmeldung. Für weitere Rückfragen 

stehen wir Ihnen selbstverständlich 

gern zur Verfügung. 

Ihre Redaktion der atp edition: 

Leon Urbas, Gerd Scholz, Anne Hütter 

Call for 

Aufruf zur Beitragseinreichung 

Thema: Assistenzsysteme für Planung 

und Betrieb von Automatisierungssystemen 

Kontakt: urbas@oiv.de 

Termin: 30. April 2012 

10 


3 / 2012

Sensorik kehrt im Jahr 2012 zu einer „normalen“ 

Zuwachsrate zurück – China rückt in den Fokus 

Nach einem Rekordumsatz im Jahr 2011 gehen die 

Hersteller von Sensorik und Messtechnik trotz der 

Euro-Schuldenkrise von einem weiteren Umsatzwachstum 

um fünf Prozent im laufenden Jahr aus. Das ergab 

eine Umfrage, die der AMA-Fachverband für Sensorik 

im Januar unter seinen Mitgliedern durchführte. Im 

vergangen Jahr hatten die Erlöse einen Sprung um 15 

200% 

180% 

160% 

140% 

120% 

100% 

2003 2004 2005 2006 2007 2008 2009 2010 2011 2012 

Der Trend stimmt: Nach der Krisendelle sind die 

Hersteller von Sensorik und Messtechnik wieder auf 

dem Wachstumspfad. Quelle: AMA Fachverband für Sensorik 

Prozent gemacht und sich damit deutlich besser entwickelt 

als die deutsche Industrie im Durchschnitt, der 

2011 bei elf Prozent lag. 

Einen deutlichen Umsatzschub verzeichnete die Sensorik 

und Messtechnik durch den zunehmenden Export, 

wie der Verband mitteilte. AMA-Mitglieder steigerten 

das Exportvolumen in den Jahren 2004 bis 2011 um 75 

Prozent. Besonders deutlich zeigt sich das Exportwachstum 

in europäische Länder, Exporte in Länder außerhalb 

Europas hingegen stagnieren seit Jahren. Um seinen Mitgliedern 

den Weg auch ins nichteuropäische Ausland zu 

ebnen, will der Verband seine Wirtschaftskontakte im 

Wachstumsmarkt China weiter ausbauen. 

Der Aufschwung spiegelt sich auch in den Investionen 

der Hersteller von Sensorik und Messtechnik wider. 2011 

steigerten die Unternehmen ihre Investitionen um 16 

Prozent. 2012 sollen es vier Prozent werden, was dem 

Wert der Vorkrisenzeit entspricht. Auch bei der Beschäftigung 

legte die Branche deutlich zu. In den vergangenen 

sechs Jahren sei die Zahl der Mitarbeiter um 22 Prozent 

gestiegen, betont der Fachverband. 

AMA FACHVERBAND FÜR SENSORIK E.V., 

Sophie-Charlotten-Str. 15, D-14059 Berlin, 

Tel. +49 (0) 30 221 90 36 20, Internet: www.ama-sensorik.de 

FDI-Implementierung erstmals demonstriert 

Kurz nach ihrer Gründung zeigte die FDI Cooperation 

eine erste Implementierung von FDI anhand eines 

Funktionsmodells. Bei der Demonstration wurden Foundation-Fieldbus-, 

Hart- und Profibus-Feldgeräte verschiedener 

Hersteller erstmals mithilfe von FDI Device Packages 

in ein ABB-Prozessleitsystem integriert und typische Anwendungsfälle 

wie Parametrierung, Konfigurierung, Diagnose 

und Wartung vorgeführt. Das System nutzte bereits 

Prototypen der von der FDI Cooperation entwickelten 

Standard-FDI-Host-Komponenten. Am Rande der Präsentation 

verkündete die FDI Cooperation auch die nächsten 

Schritte: Fertigstellung der FDI-Konformitätstestkonzepte 

(Mitte 2012), Abschluss der Validierung und Freigabe der 

FDI-Spezifikationen für den Mitglieder-Review in den 

Foundations (Mitte 2012) und Fertigstellung der FDI-Standard-Host-Komponenten 

wie EDD Engine und User Interface 

(UI) Engine durch die FDI Cooperation (Ende 2012). 

FDI COOPERATION LLC, 

c/o Dr. Sigrun Ebert-Heffels, 

Östliche Rheinbrückenstraße 50, D-76187 Karlsruhe, 

Tel. +49 (0) 721 595 56 76, Internet: www.fdi-cooperation.com 

GMA-Tagung parallel zur Messe Sensor + Test 

Parallel zur Messe Sensor + Test findet am 22. und 

23. Mai in Nürnberg die Tagung „Sensoren und 

Messsysteme“ der VDI/VDE-Gesellschaft Mess- und 

Automatisierungstechnik (GMA) statt. In vier parallelen 

Sessions werden aktuelle Lösungen aus der 

Sensorik und Messtechnik aufgezeigt. Begleitet von 

einer Posterausstellung bietet sich die Möglichkeit 

zur Diskussion mit allen Referenten und Tagungsteilnehmern. 

Die Themenschwerpunkte reichen von der mechanischen, 

chemischen und optischen Sensorik über 

Temperaturmessung, Bioanalytik und Magnetsensoren 

bis hin zu Messunsicherheit und Strukturmoni- 

toring. Diese Vielfalt ermöglicht den Teilnehmern 

einen Überblick über das heute Machbare und regt 

dazu an, eigene Lösungen für aktuelle und kommende 

Aufgabenstellungen abzuleiten. Details zum Programm 

und das Anmeldeformular sind zu finden unter 

www.sensoren2012.de. 

VDI/VDE-Gesellschaft Mess- und 

Automatisierungstechnik (GMA) 

VEREIN DEUTSCHER INGENIEURE E.V., 

VDI-Platz 1, D-40468 Düsseldorf, 

Tel. +49 (0) 211 621 40, Internet: www.vdi.de 


3 / 2012 

11

Praxis 

Optimierte Echtzeitüberwachung von Prozess- und 

Systemdaten steigert Produktion in Textilfabrik 

Moxa modernisiert Ethernet-basierte Kommunikationsstruktur bei Fabrik-eigener Stromversorgung 

Turbo-ring: Das Turbo-Ring- 

Protokoll garantiert Wiederherstellungzeiten 

unter 20 ms 

bei voller Auslastung mit 250 

Ethernet Switches. 

KommunikationsstarK: 

16+2G-Port 

Gigabit Managed 

Ethernet Switch. 

Effizient: Die moderne 

Industrial- Ethernet-Struktur 

sorgt für die Effizienzsteigerung 

in der Textilproduktion durch 

optimierte Echtzeit-Prozessund 

Systemdatenüberwachung. 

Bilder: Moxa 

Eine Textilfabrik in Moldawien benötigte eine zuverlässige 

Ethernet-basierte Kommunikationsstruktur mit 

dem Fabrik-eigenen Stromversorgungssystem. Für die 

Energieversorgung der Produktionsanlagen sind neben 

einer 330 kV-Umspannstation (eine so genannte Feldstation) 

dreißig 10-kV-Transformator-Unterwerke sowie ein 

Stromversorgungs-Unterwerk verantwortlich. Alle Stationen 

nutzen, neben den nach IEC 61850-3 zertifizierten 

Lösungen für die Stromerzeugung des Energieanbieters 

Areva, eine Industrial-Ethernet-Netzwerkinfrastruktur, 

um das Energieübertragungs- und Verteilungssystem zu 

optimieren und eine verbesserte Energieeffizienz für die 

Textilfabrik zu erzielen. 

Die Feldstationen übertragen Daten mittels Fernbedienungsterminals 

(Remote Terminal Unit, RTU) und speicherprogrammierbaren 

Steuerungen (Programmable 

Logic Controller, PLC). Deshalb muss zur Weiterleitung 

dieser Daten über das Ethernet-Netzwerk an das automatisierte 

SCADA-System des Energienetzwerks in der Leitstelle 

eine seriell-zu-Ethernet-Lösung eingesetzt werden. 

HOHE ANLAGENVERFÜGBARKEIT IST ESSENzIELL 

Die Verfügbarkeit des SCADA-Systems in der Leitstelle 

muss sieben Tage pro Woche rund um die Uhr garantiert 

sein, damit jederzeit Steuerungs- und Überwachungsdaten 

von Systemen und Prozessen innerhalb der Produktionsanlage 

verfügbar sind. Ein redundanter Gigabit-Ethernet-Backbone 

mit minimalen Wiederherstellungszeiten 

muss deshalb sicherstellen, dass die Energieübertragung 

und -verteilung konstant und ohne 

Ausfallzeiten durch Verbindungsunterbrechungen 

stattfinden kann. Seriell-zu-Ethernet-Geräteserver, die 

12 


3 / 2012

Relais und Sensoren an ein Ethernet-Netzwerk anbinden, 

übertragen Echtzeitdaten an das SCADA-System 

in der Leitstelle. Da sich die Endgeräte an verteilten, 

entfernt von der Leitstelle gelegenen Orten befinden, ist 

eine schnelle Datenübertragung über lange Strecken 

mit ausreichender Bandbreite notwendig. Die strengen 

Anforderungen an die technische Ausrüstung von Umspannstationen 

erfordern überdies die Ausstattung des 

gesamten Netzwerks mit industriellen Geräten, die die 

entsprechenden Standards erfüllen, wie beispielsweise 

Anforderungen an den Betrieb innerhalb erweiterter 

Temperaturtoleranzen. 

GERINGE AUSFALLRATEN DANK TURBO RING 

Die Textilfabrik wählte für diese Aufgabe eine Energiemanagement-Lösungen 

von Areva für die Energieübertragung 

und -verteilung und kombinierte sie mit Moxas 

redundanten Ethernet Switches. 

So wird die zuverlässige und effiziente Kommunikation 

zwischen den RTUs und dem zentralen SCADA- 

System gewährleistet. Der gesamte Netzwerkring nutzt 

Moxas Gigabit-Managed-Ethernet-Switches EDS-518A 

um sich die selbstheilende proprietäre Turbo-Ring-Technologie 

zunutze zu machen. Turbo Ring erzielt bei einem 

Ausfall Wiederherstellungszeiten von weniger als 20 ms 

und stellt somit sicher, dass im Falle einer Verbindungsunterbrechung 

keine Daten verloren gehen und keine 

Unterbrechung der Energieversorgung stattfindet. 

Dank zweier Gigabit-Glasfaserschnittstellen sowie 

zweier Fast-Ethernet-Schnittstellen bieten die Switches 

ausreichend Bandbreite für eine zügige und zuverlässige 

Datenübertragung über lange Strecken. Darüber hinaus 

verfügen die Switches über fortschrittliche Managementfunktionen, 

erweiterte Sicherheitseinstellungen, Medienredundanz, 

redundante Spannungseingänge, sind immun 

gegen den Einfluss von Störstrom und arbeiten zuverlässig 

im erweiterten Temperaturbereich von -40 bis 

75 °C, wodurch sie den besonderen Umgebungsbedingungen 

im Bereich der Generatoren gerecht werden. 

Um die Kommunikation zwischen dem SCADA-System 

und den zahlreichen entfernt gelegenen Endgeräten, 

wie Stromzähler und Schutzrelais zu erleichtern, 

ist jede Umspannstation mit einem seriellen Geräteserver 

ausgestattet. Moxas NPort-5650-Geräteserver binden 

die RS-422/485 Geräte direkt an den Ethernet-Backbone 

an und übertragen die Daten in Echtzeit an das SCADA- 

System, damit dank einer aktuellen und vollumfänglichen 

Informationssammlung eine effiziente Netzführung 

erfolgen kann. 

Neben der optimierten Stromerzeugung, -übertragung 

und -verteilung konnte die Textilfabrik durch den Einsatz 

der Kombination aus Lösungen von Areva und Moxa 

auch eine Effizienzsteigerung der Produktion verzeichnen, 

die sich aus der stark verbesserten Echtzeit-Prozessund 

Systemdatenüberwachung ergab. Der Kunde entschied 

sich darüber hinaus für diese Lösung, weil er mit 

der Kooperation der beiden Lieferanten eine Komplettlösung 

für seine Anforderungen aus einer Hand erhielt. 

DER STANDARD IEC 61850 

Eine intelligente Umspannstation muss folglich in allen 

Bereichen über intelligente Primärgeräte verfügen, alle 

Sekundärgeräte müssen vernetzt sein, und Betrieb sowie 

Verwaltung müssen automatisiert sein. Zur Erfüllung 

dieser Anforderungen kommen die Standards IEC 61850 

für gemeinsame Kommunikationsmodelle und IEEE 

1588 für präzise Zeitsynchronisation von und zwischen 

Geräten und Systemen innerhalb einer Umspannstation 

zum Einsatz. 

IEEE 1588 ist ein Zeitsynchronisierungsstandard, der 

die Ausführung komplexer koordinierter Anwendungen 

und fortlaufender Ereignisse innerhalb der Umspannstation 

durch akkurate Zeitstempel bis auf Nanosekunden 

genau ermöglicht. IEC 61850 ist ein Automatisierungsstandard 

für Umspannstationen und ein Teil der 

internationalen Stromversorgungsnetze. Die abstrakten 

Datenmodelle, die in IEC 61850 definiert sind, können 

auf zahlreiche Kommunikationsprotokolle einschließlich 

MMS (Manufacturing Message Specification), GOO- 

SE und SMV abgebildet werden. Diese Protokolle können 

auf Hochgeschwindigkeits-TCP/IP-Netzwerken laufen, 

um eine schnelle Response-Zeit von unter 4 ms zu erzielen, 

wie sie für Schutzrelais erforderlich ist. 

Der IEC-61850-Standard bringt Stromversorgungsnetzen 

zahlreiche Vorteile. IEC 61850 schafft die Interoperabilität 

und Integration von Geräten durch die Standardisierung 

technischer und mechanischer Abläufe und 

verbessert durch eine einheitliche Kommunikationsstruktur 

die Zuverlässigkeit des Systems. Daraus folgen 

eine einheitliche Geräte- und Datenmodellierung sowie 

einheitliche Namen, eine schnellere Kommunikation 

und niedrigere Kosten für Installation, Konfiguration 

und Wartung dank desselben Gerätestandards im ganzen 

Automationssystem. 

Autor 

Martin Jenkner 

ist Business Development 

Manager bei der Moxa 

GmbH. 

Moxa Europe GmbH, 

Einsteinstraße 7, D-85716 Unterschleißheim, 

Tel. +49 (0) 89 370 03 99 53, 

E-Mail: martin.jenkner@moxa.com 


3 / 2012 

13

praxis 

Fernwirkcontroller mit IEC-Protokoll bei den 

Stadtwerken in Völklingen eingesetzt 

Kompakte Bauweise und aktuelle Kommunikationsstandards machten Wago-Angebot zum Favoriten 

Leitsystem: Thomas Klein, Prokurist und 

Abteilungsleiter Netzbetrieb bei den Stadtwerken 

Völklingen Netz: Der Betrieb ersetzt 

Fernwirkbausteine mit dem alten SEAB-1F- 

Telegramm durch den Wago-Fernwirkcontroller 

750-872. Er beherrscht das genormte 

IEC-Fernwirkprotokoll. 

Trafostation- 

Schaltanlage mit 

Motor antrieb: 

Bei der Auswahl neuer 

Fernwirktechnik spielte 

der begrenzte Platz in den 

meisten Unterstationen 

die entscheidende Rolle. 

Wago überzeugte durch 

ein modulares Konzept. 

Trafostation-Fernwirkanbindung: 

Der Wago-Fernwirkcontroller 

(oben links) ist eine Komponente 

des modularen, feldbusunabhängigen 

I/O-Systems zur Einbindung 

von Fernwirksignalen. Bilder: Wago 

Die Stadtwerke Völklingen Netz GmbH hat mit Wago 

einen kompetenten Partner bei der Einführung des 

IEC-Protokolls gefunden. Weil der Strom-, Gas- und 

Wasserversorger aus Völklingen ohnehin ein neues 

Leitsystem bei sich installierte, entschied er sich für 

die kompakte und zeitgemäße Fernwirktechnik aus 

Minden. Der Fernwirkcontroller 750-872 erhielt den 

Vorzug, weil er zwei wichtige Anforderungen erfüllt: 

Er beherrscht das genormte IEC-Fernwirkprotokoll 

und braucht nur wenig Platz. 

KOMPAKTES MODULSYSTEM STATT BLOCKBAUWEISE 

Die Fernwirktechnik für die serielle Kommunikation 

mit der Leittechnik basiert auf der genormten IEC-Telegrammstruktur 

60870-5-101. Bei der Auswahl eines geeigneten 

Lieferanten spielte begrenzter Platz in vielen 

Unterstationen die entscheidende Rolle. Herkömmliche 

Fernwirktechnik in Blockbauweise ist zu groß. Der Wago-Fernwirkcontroller 

dagegen ist eine Komponente des 

modularen, feldbusunabhängigen I/O-Systems zur Einbindung 

von Sensor- und Aktorsignalen. 

Das System wird seit Jahren erfolgreich in der Automatisierungstechnik 

eingesetzt. Angepasst an zahlreiche 

industriellen Anforderungen, sind für unterschiedliche 

analoge oder digitale Ein- und Ausgänge über 400 

verschiedene I/O-Module verfügbar. Die Module sind 

12 mm breit und können je nach Bedarf hinzugefügt werden. 

So braucht ein kompletter Fernwirkcontroller mit 

beispielsweise vier Modulen nur einen Platz von 111 mm, 

während traditionelle Hersteller hier fertige Module mit 

16 oder 32 I/O-Eingängen/Ausgängen anbieten. Das 

macht sich auch preislich bemerkbar. Weiterer Wago- 

14 


3 / 2012

Vorteil: die direkte Kontaktierung, sodass der Platz für 

eine zusätzliche Klemmleiste eingespart wird. 

ANGEPASSTE NETZWERK-LÖSUNG 

Der Fernwirkcontroller beherrscht das IEC-Protokoll 

normgerecht. Er war während des Ersteinsatzes bei den 

Stadtwerken zunächst für Punkt-zu-Punkt-Verbindungen 

zwischen der Leistelle und einer Unterstation eingerichtet. 

Die Stadtwerke jedoch benötigten die Technik für eine 

Netzwerk-Topologie in Linienstruktur. „Wago hat sich auf 

unseren Bedarf eingestellt und mit uns gemeinsam eine 

erweiterte Lösung gefunden“, berichtet Thomas Klein, 

Prokurist und Abteilungsleiter Netzbetrieb bei den Stadtwerken 

Völklingen Netz GmbH. 

An der Zusammenarbeit schätzt er vor allem die 

schnelle Reaktion auf Anforderungen und deren konsequente 

Umsetzung, obwohl sein Haus nicht zu den großen 

Stadtwerken gehört. Das sei insgesamt perfekt gelaufen. 

Thomas Klein: „Das habe ich noch nicht erlebt, 

dass sich ein namhafter Hersteller so flexibel zeigt.“ 

BENUTZERFREUNDLICHES BAUKASTEN-SYSTEM 

In der Praxis haben die Stadtwerke die Flexibilität 

der Technik schätzen gelernt. Feldbus, Ein- und Ausgangsmodule 

und die Programmiersprache können 

frei gewählt werden. Die große Auswahl an I/O-Busklemmen 

reicht von hochverdichteten 16-Kanal-Digitalklemmen 

bis zu Spezialklemmen, wie eine 

3-Phasen-Leistungsmessklemme zur Überwachung 

von Transformatorstationen. Der Hersteller liefert 

gleich die Anschlusstechnik, Relais, Netzteile und 

der gleichen mit. Auch die Kommunikation per GPRS 

ist integrierbar. 

„Wir haben aktuell elf dieser Anlagen in Betrieb und 

sind begeistert. Wir müssen nur die Bausteine anschließen, 

die wir aktuell brauchen und können nach 

Bedarf erweitern. Für die Programmierung nutzen wir 

Der Fernwirkcontroller 750-872 

Der Fernwirkcontroller setzt die Daten gemäß der verschiedenen IEC-Protokolle 

um. Die Lösung ist skalierbar vom 32-Bit-Controller bis zum Industrie- 

PC. Die feldseitigen Messwerte werden über angereihte I/O-Module eingebunden. 

Es existieren Lösungen für die Gasversorgung und -verteilung mit 

EX-i-eigengesicherten Baugruppen (EX-geschützt). 

Die Zeitsynchronisierung erfolgt für IEC, SNTP, NTP, DCF77 oder GPS. 

Optional ist eine Wireless-Kommunikation via GPRS. Mittels Import und 

Export von CSV-Dateien erfolgt der Datenaustausch mit anderen Konfigurationstools. 

Ergänzend ist eine Anbindung von Elementen der Gebäudetechnik 

möglich. Klassische Fernwirk- und Automationsanwendungen werden mit 

einem System umgesetzt. 

die Entwicklungsumgebung CoDeSys mit seinen fertigen 

Programmbausteinen. Das funktioniert gut und 

erfüllt alle professionellen Anforderungen“, vergibt 

der Leiter des Bereichs Netzbetrieb gute Noten für den 

praktischen Einsatz. 

Aus seiner Sicht ist es für den Betrieb des Energieversorgungsunternehmens 

von Vorteil, dass sich die 

Technik bereits in der Automatisierung als fehlerfrei, 

zuverlässig und robust bewährt hat. Sie ist auch bei 

härteren Umfeldbedingungen einsetzbar. Zusätzlich 

mache die zertifizierte Federklemmtechnik den Einsatz 

der Fernwirktechnik flexibler. 

Die Fernwirktechnik wird nun schrittweise mit Wago- 

Technik erneuert. Pro Jahr sollen fünf bis zehn Fernwirkstationen 

umgebaut werden. An einer Erweiterung der 

GPRS-Funkübertragung wird gearbeitet. 

IEC-Protokolle 

Autor 

Der Fernwirkcontroller unterstützt die Fernwirkprotokolle 

IEC 60870-5-101 für die serielle Übertragung oder gemäß 

IEC 60870-5-104 für die TCP/IP-basierte Kommunikation. 

Innerhalb dieser signalorientierten Protokolle werden 

Meldungen, Messwerte, Bitmuster, Zählwerte und (Stell-) 

Befehle jeweils mit und ohne Zeitstempel ausgetauscht. 

Außerdem deckt er die Norm IEC 61850 ab, welche die 

Schutz- und Leittechnik in elektrischen Schaltanlagen der 

Mittel- und Hochspannungstechnik beschreibt. Hierzu 

gehört unter anderem die Überwachung und Steuerung 

bei Windenergieanlagen, bei Wasserkraftwerken oder bei 

einer verteilten Energieerzeugung wie Blockheizkraftwerken 

oder PV-Anlagen. 

Kontakttechnik GmbH & Co. KG, 

Hansastr. 27, D-32432 Minden, 

Tel. +49 (0) 571 887 90 11, 

E-Mail: martin.paulick@wago.com 

Martin Paulick 

ist Produktmanager Automation 

bei der Wago. 


3 / 2012 

15

praxis 

Kleinsteuerung alarmiert Lkw-Fahrer vor zu 

niedrigen Tunneln für ihr Fahrzeug 

Kleinsteuerung warnt in Echtzeit mit betreffendem Lkw-Kennzeichen vor drohender Unfallgefahr 

Bild 1: Signalbrücke mit mechanischen Sensoren 

und dem neuen Lichtschranken-Sensor 

Bild 2: Überblick über das Gesamtsystem mit den 

verschiedenen Signalbrücken 

Zu hohe Lkw tragen immer wieder zu Verkehrsstörungen 

bei, indem sie Tunnel beschädigen. Damit Sperrungen 

und die daraus resultierenden Staus vermieden 

werden, bieten sich moderne Signalbrücken von HIG 

Traffic Systems an. Die Kleinsteuerung ILC 170 ETH 

2TX koordiniert die schnelle und reibungslose 

Funktions weise der Anlage (Bild 1). 

UNFÄLLE IN TUNNELN VERURSACHEN KOSTEN 

UND ARBEITSAUSFÄLLE 

In den Niederlanden ist das steigende Verkehrsaufkommen 

jeden Tag spürbar. Deshalb hat das Land in den vergangenen 

Jahren viel Geld in die Infrastruktur investiert. 

Insbesondere die Autobahnen sind gut ausgebaut und um 

viele Tunnelanlagen erweitert worden. Diese Tunnel machen 

den größten Kostenfaktor des Straßenbaus aus. Jeder 

Zentimeter zusätzlicher Bohrdurchmesser lässt die Investitionsausgaben 

anwachsen, sodass die Tunnel grundsätzlich 

nur so hoch gebaut werden, dass Lkw mit Standardmaß 

ungehindert passieren können. 

Aufgrund steigender Frachtmengen sind immer mehr 

Fahrzeuge mit Überhöhe auf den Straßen und somit in 

Tunneln unterwegs, die dafür nicht ausgelegt wurden. 

Die Unfälle beschädigen die Bauwerke und führen zu 

Staus. Beides kostet den Staat viel Geld. Auch die Menschen, 

die ihre Arbeitsstätte nicht erreichen können, 

erwirtschaften nichts, was letztendlich Mindereinnahmen 

der öffentlichen Hand nach sich zieht. 

Vor diesem Hintergrund bemühen sich die verantwortlichen 

Stellen, Staus vor Tunneln zu unterbinden, 

deren Ursache in zu hohen Lkw liegt. 

WARTUNGSARME UND VERSCHLEISSFREIE SENSORIK 

Bisher wurden Fahrzeuge mit Überhöhe durch eine 

mechanische Sensorik erfasst, welche unter der 

Schilderbrücke aufgehängt ist. Die Signale werden 

dann an die nächste Brücke weitergeleitet. Dort zeigt 

ein Leuchtzeichen den Verkehrsteilnehmern an, dass 

ein Lkw mit Überhöhe detektiert worden ist und der 

Tunnel daher teilweise oder komplett gesperrt werden 

muss. Diese Lösung erwies sich als unvorteilhaft, 

weil die mechanischen Sensoren anfällig für Verschleiß 

sind und folglich relativ häufig gewartet werden 

müssen. 

Die Wartung führt zur Sperrung von mindestens einer 

der Autobahn-Spuren. Das verursacht zusätzliche 

Kosten und möglicherweise sogar einen Stau. Darum 

suchten die Verantwortlichen nach einer wartungsarmen 

und verschleißfreien Lösung. Sie sollte durch Einsatz 

moderner Smart-Sensoren einen deutlichen Mehrwert 

bieten. Fündig wurde man bei der in Bodegraven 

ansässigen HIG Traffic Systems, einem auf die Verkehrsleittechnik 

spezialisierten Unternehmen. 

DYNAMISCHES VERKEHRSMANAGEMENT IN ECHTZEIT 

In den vergangenen 40 Jahren hat sich HIG Traffic Systems 

auf dem niederländischen Markt als wichtiger 

Partner im Verkehrsbereich etabliert. Etwa die Hälfte 

seines Umsatzes generiert das Unternehmen aus der 

Bereitstellung entsprechender Produkte. Außerdem 

setzt HIG Traffic Systems komplette Projekte um und 

fungiert als Systemintegrator. Der Anbieter stellt sein 

Fachwissen und Dienstleistungen rund um die in der 

16 


3 / 2012

Bild 4: 

Steuerung im 

Schaltschrank: 

Der ILC 170 ETH 

2TX übernimmt 

die Steuerung 

und das Daten- 

Management 

für das System. 

Bilder: Phoenix Contact. 

Bild 3: Das am ersten Brückenkopf installierte 

Lichtschrankensystem erfasst die Geschwindigkeit 

und Fahrspur des zu hohen Lkw. 

Verkehrserkennung genutzten Sensoren zur Verfügung. 

Das Produkt-Portfolio umfasst unter anderem Sensoren 

zur Fahrzeugerfassung, Geräte für die Achsgewichtsbestimmung 

beim Überfahren sowie Höhen- und Geschwindigkeitssensoren. 

Durch die Kombination von Kommunikationstechnologien 

unterstützen die von HIG Traffic Systems gelieferten 

Lösungen ein dynamisches Verkehrs-Management 

in Echtzeit. 

SYSTEM WARNT MIT NUMMERNSCHILD-ANGABE 

Das System zur Erfassung, Identifikation und Selektierung 

von Lkw mit Überhöhe besteht aus Sensoren und 

Aktoren, die in einiger Entfernung vor dem Tunnel montiert 

werden. So lässt sich das jeweilige Fahrzeug aus 

dem Autobahnverkehr ziehen und umleiten, ohne das 

der Tunnel gesperrt werden muss. Das System beinhaltet 

mehrere vor dem Tunnel angeordnete Signalbrücken, 

wobei sich die erste Brücke je nach geografischer Gegebenheit 

bis zu zehn Kilometer vom Tunnel entfernt befinden 

kann (Bild 2). So stellt das System die rechtzeitige 

Reaktion des Lkw-Fahrers auf die durch das System 

erzeugte Warnmeldung sicher. 

Das am ersten Brückenkopf installierte patentierte 

Lichtschrankensystem Tirtl (The Infra-Red Traffic Logger) 

der CEOS Industrial Pty. Ltd., welches aufgrund 

der Bauform an eine Schildkröte erinnert, detektiert 

die Geschwindigkeit, Fahrspur und die Objekt-Abmessungen 

des zu hohen Lkw (Bild 3). 

Das Messsignal wird mittels in die Fahrbahn eingelassener 

Induktionsschleifen verifiziert. Ein intelligentes 

Kamerasystem generiert beim Überfahren der 

Schleifen ein Bild des Fahrzeugs, wertet es aus und 

stellt die Beschriftung auf dem Kennzeichen, die 

durch eine integrierte Bildverarbeitung ermittelt worden 

ist, zur Verfügung. Das Kamerasystem ist an einen 

Industrie-PC angekoppelt, während die Induktionsschleifen 

und Lichtschranken direkt mit der Steuerung 

kommunizieren. 

Ist das Messergebnis durch den Auswerte-Algorithmus 

als Fahrzeug mit Überhöhe erkannt, steuert die SPS 

ein auf der zweiten Signalbrücke angebrachtes Leuchtschild 

an. Dieses blendet die Warnung mit dem Kennzeichen 

des zu hohen Lkw ein, damit sich dessen Fahrer 

tatsächlich angesprochen fühlt. Nun kann er die 

Autobahn an der nächsten Ausfahrt verlassen und den 

Tunnel über eine Landstraße umgehen. 

Sollte der Fahrer dennoch nicht reagieren, kontrolliert 

das auf dem letzten Brückenkopf montierte System, 

ob sich sein Lkw noch immer auf der Autobahn befindet. 

Ist dies der Fall, wird entweder eine Fahrspur oder 

der komplette Tunnel gesperrt. 

KLEINSTEUERUNG ALS ZENTRALES BINDEGLIED 

Als SPS (Speicherprogrammierbare Steuerung) wählte 

HIG Traffic Systems die Kleinsteuerung ILC 170 ETH 

2TX von Phoenix Contact (Bild 4). In der Anlage dient 

der Controller als zentrales Bindeglied zwischen den 

Sensoren, der Bildverarbeitung, den Leuchtschildern 

und dem Leitsystem. Er erfasst die Daten der Sensoren, 

prüft diese auf Plausibilität und initiiert die Anzeige 

der fahrzeugspezifischen Warnmeldung. Ferner kom- 


3 / 2012 

17

praxis 

Prozesse steuern mit ILC 1xx 

Die Steuerungen der 100er Leistungsklasse von Phoenix 

Contact eignen sich nicht nur für Anwendungen der Verkehrstechnik. 

Aufgrund ihrer vielen Funktionen bieten sie sich zur 

Steuerung und Überwachung prozesstechnischer Applikationen 

beispielsweise im Bereich Nahrungsmittel und Getränke 

sowie Chemie und Pharmazie an. 

Zu den Eigenschaften der ILC 1xx zählt die flexible Erweiterbarkeit 

um die Standard- und Funktionsklemmen des 

Automatisierungsbaukastens Inline, sodass alle Anforderungen 

der Anwendung passgenau umgesetzt werden können. 

Die einfach mit der Software PC Worx Express programmierbaren 

Controller unterstützen sämtliche relevanten Automatisierungs- 

und IT-Protokolle, damit eine durchgängige 

Kommunikation vom Sensor bis in die Unternehmensleitebene 

sichergestellt ist. 

Ein integrierter Webserver erlaubt in Kombination mit dem 

Tool WebVisit die einfache Erstellung eigener Webseiten, die 

dann auf die Steuerung geladen werden. So kann der 

Anwender seine Maschine oder Anlage aus der Ferne per 

Standard-Webbrowser bedienen und überwachen. Über den 

ebenfalls eingebauten FTP-Server lassen sich Rezepturdaten 

via Netzwerk auf die Steuerung schreiben oder protokollierte 

Applikationsdaten einlesen. 

In Verbindung mit einer SQL-Bibliothek bauen die ILC 1xx die 

direkte Kommunikation zu SQL-Datenbanken auf, um etwa Daten 

aufzuzeichnen oder zu verwalten. Der ILC 170 ETH 2TX und der 

ILC 190 ETH 2TX verfügen über einen steckbaren Parametrierungsspeicher. 

So können Programme oder Log-Files einfach 

durch den Wechsel der SD-Memory-Card ersetzt werden, ohne 

dass ein Zugriff über den PC erfolgen muss. 

muniziert der ILC 170 ETH 2TX mit dem Leitsystem, 

sodass die ermittelten Daten dort gespeichert und zur 

weiteren Verarbeitung durch öffentliche Stellen verwendet 

werden können (Bild 5). 

„Wir haben diese Kleinsteuerung aufgrund ihrer 

Kommunikationsfähigkeit sowie der einfachen Programmierung 

und flexiblen Erweiterbarkeit ausgewählt. 

Da alle Steuerungen von Phoenix Contact über mindestens 

eine Ethernet-Schnittstelle verfügen und beliebig 

um Übertragungsstandards wie RS232, RS422, RS485, 

CAN oder Profibus ergänzt werden können, eignen sie 

sich insbesondere als zentrale Kommunikationseinheit“, 

sagt Erwin Wagemans, Vertriebsmitarbeiter von 

HIG Traffic Systems. 

Überzeugt hat den Verkehrstechnik-Spezialisten 

auch die Zuverlässigkeit der für den industriellen Einsatz 

konzipierten SPS, weil sich die Wartungsintervalle 

der Gesamtanlage deutlich senken lassen: „Die 

Kleinsteuerung bietet die Möglichkeit, Parameter und 

Daten aus der Anwendung auf eine SD-Karte zu 

schreiben. So wird beispielsweise die Applikation auf 

der SD-Karte gespeichert, um im Bedarfsfall sofort per 

FTP darauf zugreifen zu können. Via FTP werden die 

aktuellen Betriebszustände der Anlage und die ermittelten 

Daten übertragen. Falls erforderlich werden diese 

dann in der jeweiligen Verkehrszentrale archiviert 

und ausgewertet. 

So lassen sich Anlagenausfälle und Probleme mit den 

Sensoren im Vorfeld erkennen und eine gezielte Wartung 

durchführen, was die Betriebskosten der Anlage 

senkt“, sagt Wagemans. 

INDUSTRIELLE STEUERUNG STABILISIERT DAS SYSTEM 

Indem HIG Traffic Systems eine industrielle Steuerung 

nutzt, erweist sich das Gesamtsystem stabiler als 

in der Vergangenheit mit proprietären Lösungen. Der 

MTBF-Wert (Mean Time Between Failures) ist deutlich 

gestiegen, weshalb sich der Kosten- und Zeitaufwand 

für Wartungsarbeiten entsprechend reduziert. 

Durch die freie Programmierbarkeit unterstützt die 

Kleinsteuerung von Phoenix Contact außerdem nahezu 

alle gängigen IT-Protokolle. HIG Traffic Systems 

kann also die vom jeweiligen Anwender gewünschten 

IT-Standards einfach in der entsprechenden Applikation 

umsetzen. 

Autor 

Dipl.-Ing. Michael Gulsch 

ist Mitarbeiter im Systemmarketing 

Steuerungstechnik 

bei der Phoenix Contact 

Electronics GmbH in Bad 

Pyrmont. 

Phoenix Contact Electronics GmbH, 

Dringenauer Str. 30, D-31812 Bad Pyrmont, 

Tel.: +49 (0) 5281 94 60, 

E-Mail: mgulsch@phoenixcontact.com 

18 


3 / 2012

Abo plus 


als Heft 

+ als ePaper 

Die Referenzklasse fü r die 

Automatisierungstechnik 

Erfahren Sie auf höchstem inhaltlichen Niveau, was die 

Automatisierungsbranche bewegt. Alle Hauptbeiträge 

werden in einem Peer-Review-Verfahren begutachtet, 

um Ihnen maximale inhaltliche Qualität zu garantieren. 

Sichern Sie sich jetzt dieses erstklassige Lektü reerlebnis. 

Als exklusiv ausgestattetes Heft oder als praktisches 

ePaper – ideal fü r unterwegs, auf mobilen Endgeräten 

oder zum Archivieren. 

Gratis für Sie: Der Tagungsband AALE 2011 als ePaper 

Das Kompendium bietet eine Zusammenstellung der Fachreferate des 8. Fachkolloquiums fü r 

angewandte Automatisierungstechnik in Lehre und Entwicklung an Fachhochschulen. 

Die Veranstaltung versteht sich als Forum fü r Fachleute der Automatisierungstechnik aus Hochschulen 

und Wirtschaft. Sie wird von der Fakultät Mechatronik und Elektrotechnik der Hochschule Esslingen mit 

Unterstü tzung des VFAALE und dem Kompetenzzentrum Mechatronik BW e.V. organisiert und ausgerichtet. 

1. Aufl age 2012, 350 Seiten 

atp edition erscheint in der Oldenbourg Industrieverlag GmbH, Rosenheimerstr. 145, 81671 Mü nchen 

Oldenbourg-Industrieverlag 

www.atp-online.de 

Vorteilsanforderung per Fax: +49 (0) 931 / 4170 - 492 oder im Fensterumschlag einsenden 

Ja, ich möchte atp edition im Abo-plus-Paket lesen. 

Bitte schicken Sie mir die Fachpublikation fü r zunächst ein Jahr (12 Ausgaben) als gedrucktes Heft 

+ digital als ePaper (PDF-Datei als Einzellizenz) fü r € 638,40 (Deutschland) / € 643,40 (Ausland). 

Als Dankeschön erhalte ich den Tagungsband AALE 2011 gratis als eBook. 

Nur wenn ich nicht bis von 8 Wochen vor Bezugsjahresende kü ndige, verlängert sich der Bezug um 

ein Jahr. 

Die sichere, pü nktliche und bequeme Bezahlung per Bankabbuchung wird mit einer Gutschrift von 

€ 20,- auf die erste Jahresrechung belohnt 

Antwort 

Leserservice atp 

Postfach 91 61 

97091 Würzburg 

Firma/Institution 

Vorname/Name des Empfängers 

Straße/Postfach, Nr. 

Land, PLZ, Ort 

Telefon 

Telefax 

E-Mail 

Branche/Wirtschaftszweig 

Bevorzugte Zahlungsweise □ Bankabbuchung □ Rechnung 

Bank, Ort 

✘ 

Bankleitzahl 

Kontonummer 

Widerrufsrecht: Sie können Ihre Vertragserklärung innerhalb von 14 Tagen ohne Angabe von Gründen in Textform (Brief, Fax, E-Mail) oder durch 

Rücksendung der Sache widerrufen. Die Frist beginnt nach Erhalt dieser Belehrung in Textform. Zur Wahrung der Widerrufsfrist genügt die rechtzeitige Datum, Unterschrift 

PAATPE0212 

Absendung des Widerrufs oder der Sache an den Leserservice atp, Franz-Horn-Str. 2, 97082 Wü rzburg 

Nutzung personenbezogener Daten: Für die Auftragsabwicklung und zur Pfl ege der laufenden Kommunikation werden personenbezogene Daten erfasst, gespeichert und verarbeitet. Mit dieser Anforderung erkläre ich mich damit einverstanden, dass ich vom 

Oldenbourg Industrieverlag oder vom Vulkan-Verlag □ per Post, □ per Telefon, □ per Telefax, □ per E-Mail, □ nicht über interessante Fachangebote informiert und beworben werde. Diese Erklärung kann ich mit Wirkung für die Zukunft jederzeit widerrufen.

Praxis 

FDT2-Standard optimiert Zuverlässigkeit und 

baut rollenbasierte Sicherheitsanwendung aus 

Plattform zur Integration intelligenter Geräte durch weiterführende Spezifikation sicherer gemacht 

Bild 1: 

Programmtechnische 

Verifizierung des DTM 

Herstellers 

Während der vergangenen acht Jahre hat sich die 

FDT-Technologie einen Namen als Standard gemacht, 

der einerseits einen offenen Zugang zu Geräte- 

Informationen ermöglicht und andererseits die Netzwerkstandards 

aus Prozess- und Fertigungsautomatisierung 

auf einer gemeinsamen Plattform zusammenführt. 

Selbstverständlich verlangt die große 

Verbreitung des FDT-Standards eine kontinuierliche 

Weiterentwicklung, um den neuesten Sicherheitsstandards 

und -risiken Rechnung zu tragen. Darüber 

hinaus erfordern die Echtzeit-Automatisierungsumgebungen, 

in denen FDT eingesetzt wird, dass jede 

Weiterentwicklung des Standards stets auf eine bestmögliche 

Qualitätssicherung abzielt. Daher standen 

diese vom Markt vorgegebenen Anforderungen beim 

erst kürzlich freigegebenen Standard FDT2 immer im 

Zentrum der aufwendigen Entwicklungsarbeiten. 

Qualitätssicherung 

Die FDT Group besitzt seit vielen Jahren Erfahrung in 

der Entwicklung, Wartung und Unterstützung des FDT 

Standards (IEC-62345/ISA 103). Hieraus ergibt sich 

eine Fülle von gewonnenen Erkenntnissen und typischen 

Einsatzszenarien – sowohl in Bezug auf die Anwender 

als auch auf die Hersteller –, die alle in die 

Entwicklung des neuen FDT2-Standards eingeflossen 

sind. Daher können sich Anwender wie gewohnt auf 

FDT2 als robuste und zuverlässige Integrationstechnologie 

verlassen. 

Um die Qualität der Produkte, die den FDT-Standard 

nutzen, sicherzustellen, betreibt die FDT Group 

ein Netzwerk unabhängiger Testzentren. Dort wird 

die Konformität jedes einzelnen Produkts überprüft 

und bescheinigt. Sobald ein Produkt die Konformitätstests 

in einem dieser Prüflabore erfolgreich absolviert 

hat, werden die Testergebnisse an die Zertifizierungsstelle 

der FDT Group übermittelt, die anschließend 

ein Konformitätszertifikat ausstellt. Damit erhält 

das Produkt außerdem den Anspruch, in den 

Katalog zertifizierter Produkte auf der FDT Group 

Website (www.fdtgroup.org) aufgenommen zu werden. 

Bild 1 illustriert die einzelnen Schritte des Zertifizierungsverfahrens. 

Die FDT Group beauftragt 

zudem einen unabhängigen Prüfer, der die Verfahren, 

Vorgehensweisen und Aufzeichnungen dieser Testzentren 

regelmäßig auditiert, um auf diese Weise eine 

lückenlose Funktionsfähigkeit des gesamten Programms 

zu gewährleisten. 

Alle Produkte, die nach dem neuen FDT2-Standard 

zertifiziert sind, erhalten ein digital signiertes Zertifikat, 

das zum Zeitpunkt der Installation oder während 

des Betriebs elektronisch ausgelesen werden 

kann. Dieses digital signierte Zertifikat nutzt das 

System einer Public-Key-Infrastruktur (PKI) mit Zer- 

20 


3 / 2012

Bild 2: Darstellung der digitalen Signatur. Bilder: FDT-Group 

tifizierungsstelle (Certificate Authority – CA). Damit 

ist eine FDT-Rahmenapplikation jederzeit in der 

Lage, programmtechnisch festzustellen, ob das Zertifikat 

tatsächlich von der FDT Group ausgestellt 

wurde (die sogenannte Nichtabstreitbarkeit – Non- 

Repudiation) und zum jeweiligen Produkt gehört. 

Diese Informationen können dem Anwender dynamisch 

unter Verwendung von Symbolen oder sonstigen 

Methoden angezeigt werden. Das heißt, es ist 

auf einen Blick zu erkennen, welche der installierten 

Produkte von der FDT Group zertifiziert wurden und 

welche nicht. 

Wie im Artikel „Common Components gewährleisten 

eine „eingebaute“ Interoperabilität bei FDT 2.0“ 

(atp edition 6/2011, S. 18-21) beschrieben, entwickelte 

ein Konsortium innerhalb der FDT Group sogenannte 

Common Components zur Herstellung FDTkonformer 

Produkte. Diese Komponenten beinhalten 

den Großteil der FDT-Spezifikation. Und da diese für 

DTMs und Rahmenapplikationen verfügbaren Common 

Components – sowohl einzeln als auch im Verbund 

– umfassend getestet wurden, ist eine hohe 

Interoperabilität garantiert. Durch die Nutzung der 

Common Components können sich Hersteller auf die 

eigentlichen Mehrwert-generierenden Aspekte ihrer 

Software konzentrieren und erreichen zudem eine 

deutlich schnellere Markteinführung ihrer FDT-basierten 

Produkte. Darüber hinaus sorgen die ausführlich 

vorgetesteten Common Components dafür, dass 

sich der Zertifizierungsprozess aller mit diesen Komponenten 

ausgestatteten Produkte erheblich einfacher 

gestaltet. 

Software-Authentizität und Integrität 

Die Implementierung des FDT-Standards erfolgt in der 

Regel über Software-Komponenten aus der Hand verschiedener 

Anbieter, die zu einer interagierenden Automatisierungs- 

oder Asset-Management-Umgebung zusammengestellt 

werden. Es wäre für eine einzelne FDT-Anwendung 

also keineswegs ungewöhnlich, über mehrere dutzend 

DTMs (die Gerätetreiber) von verschiedenen Herstellern 

zu verfügen, die alle in einer gemeinsamen Rahmenapplikation 

(dem Host) installiert werden. Während die Möglichkeit 

der freien Anbieterauswahl einerseits einen erheblichen 

Vorteil des FDT-Standards darstellt, drohen 

andererseits Sicherheitsprobleme, wenn die Installation 

und Wartung des Automatisierungs- beziehungsweise 

Asset-Management-Systems nicht stringent koordiniert 

werden. Die Entwickler von FDT2 haben diese potenziellen 

Fallstricke vorausgesehen und entsprechende Industriestandards 

eingebunden, um das Fehlerrisiko zu minimieren. 

Zunächst einmal basiert der neue FDT2-Standard 

auf der .NET-Technologie. In der Microsoft-Implemen- 


3 / 2012 

21

Praxis 

Bild 3: 

Zertifizierungsverfahren 

Autoren 

M&M Software GmbH, 

Industriestr. 5, 

D-78112 St. Georgen, 

Tel. +49 (0) 7724 94 15 52, 

E-Mail: vht@mm-software.com 

Volker Herbst 

ist Regional Sales Manager 

bei der M&M Software 

GmbH. 

Katrien Peeters 

führt das Geschäfts- und 

Zertifizierungsbüro der 

FDT Group in Belgien. 

Ihre Hauptaufgaben liegen 

in der Organisation von 

Veranstaltungen der FDT 

Group und der Administration. 

2006 graduierte sie an 

der Université Catholique de Louvain in 

Louvain-la-Neuve. 

FDT Group, Business Office, 

Certification Office, Culligan Laan 1B, 

1831 Diegem, Belgium, 

Tel. +32 2 403 13 33, 

E-Mail: katrien.peeters@fdtgroup.org 

tierung einer .NET-gestützten Software-Installation 

garantiert das zugehörige Sicherheitsmodell, dass die 

digitalen Signaturen sämtlicher auf dem Zielsystem 

installierten Komponenten verifiziert werden. Während 

des Installationsvorgangs wird die Quelle der 

digitalen Signatur angezeigt, sodass sich der Anwender 

davon überzeugen kann, dass die installierte Software 

tatsächlich vom gewünschten Anbieter stammt. 

Über den Signatur-Prozess selbst wird zudem sichergestellt, 

dass die Software nach Erhalt der Signatur 

nicht verändert wurde. Die Microsoft-Marke dieser 

Technologie ist ‚Authenticode‘. Sie basiert auf der 

Protokoll-Strukturnorm X.509. 

Unternehmen, die FDT-basierte DTMs oder Rahmenapplikationen 

mit digitaler Authenticode-Signatur 

entwickeln wollen, müssen bei einer Zertifizierungsstelle 

(Certificate Authority, CA) oder lokalen 

Registrierungsstelle (Local Registration Authority, 

LRA) ein Zertifikat beantragen. Mit diesem 

Zertifikat können sie dann ihren Software-Code 

digital signieren. Im Rahmen dieses Beantragungsverfahrens 

stellt die CA beziehungsweise LRA sicher, 

dass die Identität des Antragstellers sorgfältig 

geprüft wird. Durch die Nutzung elektronischer 

Signaturen ist das Betriebssystem somit in der Lage, 

die Quelle und den Hersteller einer Software programmtechnisch 

zu verifizieren (Bild 1 und Bild 2). 

Genauso kann auf diese Weise ausgeschlossen werden, 

dass die Software nach der Signierung durch 

den Hersteller versehentlich oder in betrügerischer 

Absicht manipuliert wurde. 

Digitale Signaturen sind keine zwingende Voraussetzung, 

um eine Software zu installieren. Der Anwender 

wird jedoch unmissverständlich darauf hingewiesen, 

wenn eine Signatur fehlt oder nicht ordnungsgemäß 

verifiziert werden kann. In solchen 

Fällen erscheint die bei Software-Installationen be- 

22 


3 / 2012

kannte Meldung in der Art „Windows kann den Herausgeber 

nicht verifizieren...“. Anwender von FDT2- 

basierter Technologie sollten unbedingt sicherstellen, 

dass die von der Installationsroutine gemeldete Quelle 

der Software tatsächlich mit der gewünschten 

übereinstimmt, bevor sie den Software-Installationsvorgang 

fortsetzen. 

Skalierbare Sicherheit 

Seit seiner Einführung unterstützt der FDT-Standard ein 

rollenbasiertes Sicherheitsmodell. Auf diese Weise können 

die Rechte und Bedienmöglichkeiten der einzelnen 

Anwender genau auf deren Aufgabenbereich eingegrenzt 

werden: Beobachter, Bediener und Ingenieure. 

Der FDT2-Standard bietet nun erstmals die Möglichkeit, 

diese rollenbasierte Sicherheit noch genauer 

zu spezifizieren. So können beispielsweise einzelne 

Geräteparameter je nach Aufgabe des Anwenders vor 

dem Zugriff geschützt werden. Damit kann der Hersteller 

eines DTMs genau festlegen, in welchem Maße 

Anwender aus einem bestimmten Aufgabenbereich 

Änderungen vornehmen dürfen. 

Datensicherheit 

Die FDT2-Rahmenapplikation erzeugt eine einheitliche 

Projektdatenbasis, in der die Daten aller per DTM in ein 

Automatisierungssystem integrierten Geräte gespeichert 

werden. So können Projektdaten von einer zentralen 

Stelle aus als Backup gesichert und bei Bedarf wiederhergestellt 

werden. Diese Datenbasis erlaubt somit die 

Datenspeicherung und -sicherung aller Geräte eines 

Systems in einer einzigen Projektdatei. Ein solcher zentralisierter 

Ansatz unterstützt den Anwender wirksam 

bei der Wahrung der Datensicherheit. 

Fazit 

Bei der FDT-Technologie handelt es sich um eine robuste 

Plattform zur Integration intelligenter Geräte 

unabhängig von den verwendeten Netzwerktypen. Der 

Standard FDT2 erhöht diese Zuverlässigkeit durch 

verbesserte Sicherheit und Interoperabilität. Der Anwender 

kann sich damit voll und ganz auf die betrieblichen 

Abläufe konzentrieren, statt sich aufwendig um 

die Infrastruktur kümmern zu müssen. 

Feldbusunabhängig 

in den Ex-Bereich! 

Das WAGO-I/O-SYSTEM 750 - Your intelligent link 

between field and control system 

Kompakt, Flexibel & Modular: 

• Kleinste, feldbusunabhängige Steuerung (PLC) 

• Programmierbar nach IEC 61131-3 

• Über 400 verschiedene I/O-Module 

• Standard-I/O- und Ex i-Module kombinierbar 

• Einspeisungen verschiedener Potentiale in einer Station 

• Unterstützung der Fernwirkprotokolle IEC 60870 und IEC 61850 

Ausgelegt für den Ex-Bereich: 

• Zugelassen für den Einsatz in Zone 2/22 

• Ex i I/O-Module zum Anschluss eigensicherer Sensorik/Aktorik 

• Zertifiziert nach ATEX, IEC-Ex, UL ANSI/ISA 12.12.01, UL508, Schiffbau, GOST-R, etc. 

CAGE CLAMP ® -Technologie: 

• Federkraftbasierte und gasdichte Klemmverbindung 

• Wartungsfrei & vibrationsfest 

• Hohe Verfügbarkeit und Zuverlässigkeit von Anlagen und Geräten 

www.wago.com

Praxis 

Software statt Hardware: Neue Funktechnik 

erlaubt völlig neue Wireless-Lösungen 

Software Defined Radio und Cognitive Radio bieten mehr Flexibilität und Zusatzfunktionen 

Software Defined Radio (SDR) und Cognitive Radio 

(CR) eröffnen der Funkkommunikation in der Automatisierungstechnik 

völlig neue Möglichkeiten. Das 

zeigt eine Studie, die das Institut für Automation und 

Kommunikation (ifak) im Auftrag der Deutschen Forschungsgesellschaft 

für Automation und Mikroelektronik 

(DFAM) erstellt hat. 

Im Unterschied zu herkömmlichen in Hardware implementierten 

Funksystemen werden bei einem SDR 

einige oder alle Physical-Layer-Funktionen, wie beispielsweise 

Filterung, (De-)Modulation und (De-)Kodierung 

durch Software realisiert. Die damit erreichbare 

(Re-)Konfigurierbarkeit steigert die Flexibilität eines 

Funkgerätes erheblich. Diese hohe Flexibilität bildet die 

ideale technische Basis für Multistandard-Funkgeräte 

und für die Realisierung von Cognitive Radios, die in 

der Lage sind, ihre Umgebung zu beobachten, Veränderungen 

wahrzunehmen und darauf entsprechend vorgegenbener 

Ziele zu reagieren. Im Unterschied zu adaptiven 

Radios, die heute bereits Stand der Technik sind, 

berücksichtigen Cognitive Radios neben dem Kommunikationskanal 

auch weitere Einflüsse wie Anforderungen 

der Applikation, Eigenschaften des Netzwerkes oder 

Zustand und Verhaltensmuster des Nutzers. 

Effizientes Koexistenzmanagement 

Damit bieten SDR und CR das Potenzial, die neuen Herausforderungen 

bei Funkanwendungen in der Automatisierungstechnik 

effizient zu bewältigen: beispielsweise das 

Koexistenzmanagement verschiedener Funksysteme in den 

Produktionsanlagen unter Einhaltung internationaler Standards, 

einheitliche Inbetriebnahme- und Diagnosewerkzeuge 

sowie die weltweite Einsetzbarkeit von Funksystemen für 

Maschinen und Anlagen. Heute müssen sich Hersteller 

dafür auf einen geeigneten internationalen Standard festlegen 

oder eine breite Produktpalette anbieten. In den 

Funkkomponenten müssen sie zur Minimierung des Investitionsrisikos 

langfristig verfügbare Chipsätze oder 

Module verwenden, was angesichts der rasanten Entwicklung 

der Funktechnologien schwierig ist und mitunter zu 

Kompromisslösungen führt, die nicht optimal für industrielle 

Funkanwendungen geeignet sind. 

SDR hingegen ermöglicht beispielsweise flexible Signal- 

und Frequenzwahl, dynamische Anpassung der 

Luftschnittstelle, die Aggregierung von Spektrum, verkürzte 

Entwicklungszeiten, kleinere Risiken bei der Geräteentwicklung 

und kundenspezifische Anpassungen, 

optimale Ausnutzung moderner Antennentechnologien, 

den globalen Einsatz von Funklösungen sowie die Realisierung 

von optimierten Funklösungen für die industrielle 

Automation. Dem gegenüber stehen Nachteile wie 

aufwendigere Security-Maßnahmen, eventuell schlechteres 

Zeitverhalten, noch hoher Energie- und Platzbedarf 

sowie hohe Material- und Zertifizierungskosten für Multistandard-Radios. 

Cognitive Radio bringt zusätzliche Vorteile wie Erhöhung 

der spektralen Effizienz, Vermeidung der Reservierung 

von Spektrumressourcen, effizientere Algorithmen 

für das Koexistenzmanagment durch Selbstkonfiguration 

sowie die zeitliche Optimierung der Übergänge zwischen 

Anwendung, drahtgebundener Kommunikation und der 

Funkkommunikation. Nachteile könnten die Behinderung 

von Nicht-CR-Anwendungen, Beeinflussung durch 

Denial-of-Service(DoS)-Attacken sowie die komplizierten 

Algorithmen und der Ressourcenbedarf sein. 

verschiedene Funkstandards – eine Hardware 

Mit SDR wird beispielsweise die Realisierung von Geräten 

und Basisstationen ermöglicht, die verschiedene Funkstandards 

auf einer Hardware unterstützen. Es könnten 

Diagnosesysteme realisiert werden, die flexiblen Zugang 

zum Funkmedium haben und eine einheitliche Schnittstelle 

zum Benutzer bereitstellen. Darüber hinaus kann 

SDR im Vorfeld der Geräteentwicklung dazu dienen, Klarheit 

über eine Funktechnologie oder Implementierung für 

einen bestimmten Einsatzfall in Bezug auf Echtzeitfähigkeit, 

Gerätedichte, Systemdichte, Interferenz, Koexistenz 

und den Einfluss des Abstandes zwischen den Funkkomponenten 

zu erhalten und minimal mögliche Applikationszyklen 

und Sendeintervalle zu ermitteln. 

Auch die Verwendung in einem universellen Konformitätstestsystem 

für verschiedene Funkstandards ist 

denkbar, da mit SDR auch Fehler in der physikalischen 

Schicht emuliert werden können. Wichtig ist auch die 

Möglichkeit, moderne Antennentechnologien für die 

Umgehung von Hindernissen und die optimale Ausrichtung 

der Antennenhauptkeule in Richtung des (mobilen) 

Kommunikationspartners zu verwenden oder mehrere 

Ausbreitungspfade für die redundante Übertragung von 

Informationen zu nutzen. 

Adaptive beziehungsweise kognitive Funksysteme 

können zusätzlich die temporäre Installation eines Funksystems 

in unbekannter Funkumgebung ermöglichen. 

Für Safety-Anwendung besteht die Chance, verbesserte 

Redundanzkonzepte in die Funkgeräte zu implementieren 

und eventuell mit flexiblen Methoden zur Ortsbestimmung 

zu kombinieren. 

kosten und energieverbrauch als hürde 

SDR ist heute in Funkkommunikationssystemen des Militärs, 

der Satellitenkommunikation und der Public Safety 

bereits etabliert. Verstärkt wird SDR auch in Mobilfunk-Basisstationen 

eingesetzt und auch in mobile Endgeräte 

dringt die Technik zunehmend vor. In der Automatisierungstechnik 

allerdings bestand bisher keine 

Notwendigkeit, neue Funktechniken einzusetzen, da der 

Bedarf an drahtloser Kommunikation durch existierende 

Funkkommunikationssysteme abgedeckt werden kann. 

Dennoch eröffnet die SDR-Technologie auch dort völlig 

neue Möglichkeiten. Allerdings stehen hohe Bauteilkosten, 

der Platzbedarf und vor allem die hohe Energieaufnahme 

einer breiten Nutzung von SDR in industriellen Funksystemen 

heute noch im Wege. Diese Nachteile müssen erst 

durch einen funktionalen und wirtschaftlichen Gewinn 

für den Anwender aufgewogen werden. Am ehesten könnte 

das in naher Zukunft bei Speziallösungen für Safety- 

24 


3 / 2012

prozentuale 

Anzahl 

der Kunden 

Mobilfunk 

Basisstationen 

Satelliten 

Modems 

Im militärischen Bereich 

befindet sich Sofware Defined 

Radio schon in einem fortgeschrittenen 

Marktstadium – 

in der Automatiserungstechnik 

steht diese Technik noch vor 

der Einführung. Bild: ifak 

Innovatoren, 

Technologie- 

Enthusiasten 

funkgestützte 

Automation 

Erstanwender, 

Visionäre 

Mobilfunkgeräte 

frühe Mehrheit, 

Pragmatiker 

BOS 1 -Funk 

späte Mehrheit, 

Konservative 

militärische 

Kommunikation 

Nachzügler, 

Skeptiker 

Zeit 

Kunden wollen 

Technologie und 

Leistungsfähigkeit 

Kunden wollen 

komfortable 

Produkte 

1 Behörden und Organisationen mit Sicherheitsaufgaben (Public Safety) 

Anwendungen oder Funk-Diagnosesysteme gelingen. Auch 

bei der Entwicklung von optimierten Funklösungen für die 

Automatisierungstechnik kann SDR zeitnah helfen. Nach 

diesen Speziallösungen könnte SDR, ähnlich wie im Mobilfunksektor, 

mittelfristig Einzug in die Basisstationen 

halten. Wann die Technik in Geräten wie Sensoren, Aktoren 

oder in Remote-I/O-Module integriert werden kann, 

hängt maßgeblich von der technologischen und preislichen 

Entwicklung der Hardwarekomponenten ab. 

mit herkömmlicher funktechnik nicht lösbar 

Aber gerade die zunehmende Anzahl an eingesetzten 

Funkkommunikationssystemen könnte in Zukunft zu 

neuen Herausforderungen führen, die mit herkömmlicher 

Funktechnik nicht mehr zu lösen sind. Die in den Produktionsanlagen 

eingesetzten Funksysteme teilen sich 

eine begrenzte Spektrumressource. Hinzu kommen 

Funksysteme, die außerhalb der Produktion genutzt werden, 

aber dasselbe Frequenzband nutzen. Ein Koexistenzmanagement 

ist deshalb zwingend erforderlich, um den 

störungsarmen parallelen Betrieb der Funksysteme zu 

gewährleisten. Adaptive oder kognitive Funksysteme 

können dabei helfen, das aufwendige manuelle datenbankgestützte 

Koexistenzmanagement zu unterstützen 

oder langfristig sogar überflüssig machen. 

In der Studie „Software Defined Radio und Cognitive 

Radio in der industriellen Automation“ werden auch der 

aktuelle Stand sowie die Perspektiven der technologischen 

und regulatorischen Entwicklungen mit Bezug auf 

SDR und CR detailliert dargestellt. 

SDR UND CR WERDEN SICH DURCHSETZEN 

In der Automatisierungstechnik wird mittel- und langfristig 

kein Weg an SDR und CR vorbeiführen. Die Vorteile von 

SDR und CR liegen auf der Hand, und mit Verbesserung 

der Hardwarekomponenten und mit fallenden Preisen wird 

auch die Hemmschwelle sinken, diese Technologien in der 

Automatisierungstechnik einzusetzen. Es gibt somit eigentlich 

keinen Grund, nicht schon heute die Anforderungen 

an eine industrietaugliche SDR-Plattform zusammenzutragen, 

Konzepte zu entwickeln, industrielle Funkstandards 

exemplarisch zu implementieren und somit erste 

praktische Erfahrungen mit den SDR- und CR-Technologien 

zu sammeln sowie deren Zeitverhalten zu untersuchen. 

Auch die Methoden und Algorithmen für das automatisierte 

Koexistenzmanagement können unabhängig von 

der Hardware entwickelt werden. Hier ist noch einiges 

an Vorarbeit zu leisten. Warten lohnt nicht, da die spezifischen 

Anforderungen für industrielle Anwendungen 

und die eigens für diesen Applikationsbereich definierten 

Funkstandards nur in Zusammenarbeit mit den Herstellern 

von Automatisierungsgeräten berücksichtigt 

werden können. Unabhängige externe Zulieferer wird es 

nicht geben. 

Autoren 

Dr. Lutz Rauchhaupt ist Leiter des 

Forschungsschwerpunktes „Drahtlose 

industrielle Kommunikation“ am ifak 

und Mitautor der Studie „Software 

Defined Radio und Cognitive Radio 

in der industriellen Automation“. 

ifak – Institut für Automation und Kommunikation e.V. Magdeburg, 

Werner-Heisenberg-Str. 1, D-39106 Magdeburg, 

Tel. +49 (0) 391 990 14 95, E-Mail: lutz.rauchhaupt@ifak.eu 

André Gnad beschäftigt sich am ifak 

mit Test- und Diagnosesystemen für 

industrielle Funksysteme und war 

Projektleiter der DFAM-Studie „Software 

Defined Radio und Cognitive Radio 

in der industriellen Automation“. 

ifak – Institut für Automation und Kommunikation e.V. Magdeburg, 

Werner-Heisenberg-Str. 1, D-39106 Magdeburg, 

Tel. +49 (0) 391 990 14 90, E-Mail: andre.gnad@ifak.eu 


3 / 2012 

25

interview 

eckhard eberle: 

„Durch eine steigende Vernetzung 

ist die Anzahl der 

Schnittstellen gewachsen, 

die potenzielle Angriffspunkte 

bieten. Anwender 

und Hersteller müssen 

nun gemeinsam dafür 

Sorge tragen, dass daraus 

kein Schaden entsteht", 

fordert der CEO Industrial 

Automation Systems der 

Siemens-Division Industry 

Auto mation. 

26 


3 / 2012

„Viele Anlagen sind nur 

unzureichend geschützt“ 

Eckard Eberle im Interview mit atp edition 

Automatisierungsanlagen werden immer stärker vernetzt. Und mit dem Trend zu offenen Systemen haben 

Standard-Technologien aus der Bürowelt Einzug gehalten – das schafft neue Einfallstore für Angriffe auf die IT. 

atp edition sprach darüber mit mit Eckard Eberle, CEO Industrial Automation Systems, Siemens-Division Industry 

Automation. Der Informationssicherheit widmen sich auch alle Hauptbeiträge dieser Ausgabe der atp edition. 

Bilder: Siemens 

atp: Herr Eberle, wo steht die IT-Security für die Automatisierungstechnik 

heute? Wie gut geschützt sind die Anlagen? 

ECKARD EBERLE: IT-Security in der Automatisierung 

hat in den letzten zwei Jahren enorm an Bedeutung gewonnen. 

In der Pre-Stuxnet-Ära war IT-Security bei dem 

Großteil unserer Kunden hauptsächlich in der Office- 

Welt ein Thema. Im Vordergrund stand dort ganz klar die 

Datensicherheit. Seit Stuxnet wissen wir, dass auch industrielle 

Automatisierungsnetze Ziel von Angriffen sein 

können. Aus unserer Sicht sind noch viele Anlagen unzureichend 

geschützt. Viel zu oft wird den potenziellen 

Bedrohungen auf Anwenderseite nicht die notwendige 

Aufmerksamkeit gewidmet. Wir spüren aber ganz klar, 

dass dieses Thema für Anwender und Hersteller immer 

wichtiger wird. 

atp: Worüber reden wir, wenn wir heute von Industrial Security 

in der Prozess- oder Fertigungsautomatisierung 

sprechen – wie lautet Ihre Definition? 

ECKARD EBERLE: Industrial Security in der Prozess- oder 

Fertigungsautomatisierung umfasst alle – einschließlich 

datentechnischer – Maßnahmen, die Manipulation von Abläufen 

in Prozessen der Industrie und Infrastruktur sowie 

den Verlust des geistigen Eigentums verhindern sowie 

Schäden an Umwelt, Reputation und Finanzen vermeiden 

helfen sollen. Dabei kann niemand 100-prozentige Sicherheit 

garantieren. Industrial Security muss als Prozess gelebt 

und als Management-Aufgabe verstanden werden. 

atp: Wo liegen die größten Herausforderungen? 

ECKARD EBERLE: Industrieanlagenbetreiber wurden 2010 

vom Stuxnet-Angriff überrascht. Die wenigsten Anlagenbetreiber 

hatten es bis zu diesem Zeitpunkt für möglich 

gehalten, dass industrielle Anlagen durch gezielte Angriffe 

über Datennetze attackiert werden. Noch ist es eine große 

Herausforderung, dafür ein Bewusstsein zu schaffen und 

die Notwendigkeit von Schutzmechanismen überall zu verankern. 

Denn oft geschieht solch ein Angriff unbemerkt und 

das konkrete Schadensausmaß ist nicht direkt erkennbar. 

atp: Geht es eher um Hardware, um Software oder um die 

Psychologie der Anwender? 

ECKARD EBERLE: Es geht um alle drei Faktoren. Industrial 

Security darf nicht mit einem Produkt oder gar einem 

Tool verwechselt werden, das einfach per Katalog gekauft 

werden kann. Genauso wenig reichen umfangreiche Listen 

von Vorschriften aus, die für sich genommen zwar alle richtig 

und gut sind, aber erst dann wirken, wenn diese auch 

gelebt werden. 

atp: Können Sie dafür ein Beispiel nennen? 

ECKARD EBERLE: Ein hochentwickeltes Sicherheitskonzept 

ist machtlos, wenn ein Mitarbeiter einen USB-Stick 

am Netz anschließt und dieses infiziert. In einem solchen 

Fall können Hard- und Software-Mechanismen die Ausbreitung 

eines etwaigen Virus zwar eindämmen, aber 

nicht verhindern. Nur eine umfassende Security-Strategie 

hilft, präventiv Angriffen entgegen zu wirken. Hier 

stehen Richtlinien und Schulungen der Mitarbeiter an 

erster Stelle. Dieses Vorgehen ist sehr effizient, und es 

lässt sich schon viel mit geregelten Prozessen und 

Richtlinien erreichen. 

atp: Existiert bereits eine allgemein anerkannte und verbindliche 

Definition der Schutzziele? 

ECKARD EBERLE: Sicherlich gibt es allgemeine Schutzziele 

wie in der ISA 99 beschrieben oder allgemein die Verhinderung 

von Umweltschäden und der Gefahr für Leib und 

Leben oder des Verlusts von geistigem Eigentum. Doch im 

Kern muss man sich darum bemühen, dass kein unkontrollierter 

Zugriff auf Anlagen und Produktionsprozesse 

möglich ist. Gerade in diesem Bereich haben wir in den 

letzten Jahren im Bereich Safety-Automatisierung viele 

Erfahrungen gemacht, die wir auf den Security-Bereich 

übertragen können. 

atp: Immer komplexere Produkte und Produktionskonstellationen 

erfordern eine immer weiter gehende Vernetzung 

mit immer neuen Schnittstellen, die wiederum 

potenzielle Einfallstore für Angreifer sind. Wie lässt sich 

diese Gefahr bannen? 

ECKARD EBERLE: Diese Gefahren lassen sich durch Security-Strategien 

reduzieren. Das fängt bei der Systemhärtung 

an, wobei zum Beispiel ungenutzte USB-Ports 

abgeschaltet werden oder LAN-Anschlüsse hardwareseitig 

blockiert werden. Dies führt weiter über eine konsequente 

Umsetzung von Sicherheitsmaßnahmen, etwa der 

Netzwerksegmentierung und dem Aufbau sicherer Auto- 


3 / 2012 

27

interview 

matisierungszellen, hin zu Einzelmaßnahmen wie Anti- 

Virus-Programmen und Whitelisting-Software auf PCbasierten 

Systemen oder auch zu definierten Security- 

Richtlinien für die Mitarbeiter. Die Hersteller sind natürlich 

angehalten, immer effizientere Sicherheitsfunktionen in 

ihren Produkten zu integrieren. Wir arbeiten stetig an der 

kontinuierlichen Verbesserung unserer Produkte im Bereich 

der Industrial Security. 

atp: Eine absolute Abschottung scheint oft unmöglich; zwischen 

der Produktion und der Außenwelt kann man zwar 

Schleusen aufbauen – aber irgendwann muss doch ein 

Mitarbeiter mit Laptop oder Datenträger Kontakt zur Produktionssteuerung 

aufbauen. Wie lässt sich ausschließen, 

dass auf diesem Weg Angriffe erfolgen? 

ECKARD EBERLE: Es gibt Verfahren, um Systeme zu härten 

und somit dieser Art von Angriffen zu begegnen. So 

lässt sich zum Beispiel die Kommunikation zwischen HMI/ 

Steuerung und Engineering-Station mit einem Passwort 

absichern. Ebenso lassen sich die Bausteine im PLC-Programm 

vor unautorisiertem Zugriff schützen. Will ein 

Service-Mitarbeiter aus der Ferne auf die Anlage zugreifen, 

steht ein sicherer VPN-Tunnel einschließlich Passwortabfrage 

bereit. 

Wenn ein Mitarbeiter – etwa in einem Servicefall – per 

Laptop oder Datenträger an die Anlage muss, sollte gewährleistet 

sein, dass sowohl auf PC-Systemen wie auch 

auf Servicegeräten ein entsprechender Virenschutz vorhanden 

ist. 

atp: Zunehmend werden unternehmensweite Systeme wie 

ERP mit der Produktionsebene vernetzt. Wie lässt sich das 

unter Security-Aspekten verantworten? 

ECKARD EBERLE: Systeme wie ERP oder DCS lassen sich 

einfach in ein Sicherheitskonzept integrieren. Gerade bei 

ERP-Systemen kann man auf das breite Angebot der IT- 

Sicherheit zurückgreifen und auf Basis Front und Back 

Firewall mit einer DMZ (demilitarised Zone) für umfassenden 

Schutz sorgen. Die einzelnen Zonen des Netzwerkes 

können auf diese Weise voneinander getrennt werden, 

was die Sicherheit wesentlich erhöht. 

atp: Auch unter dem Dach der digitalen Fabrik soll eine 

zunehmende Vernetzung und Datendurchgängigkeit realisiert 

werden – lässt sich das sicherheitstechnisch beherrschen? 

ECKARD EBERLE: Die Beherrschung der digitalen Fabrik 

unter Sicherheitsgesichtspunkten ist machbar, wie wir 

beispielhaft in unserem Werk in Amberg zeigen. Es wird 

sicher noch einige Jahre in Anspruch nehmen, bis dieser 

visionäre Ansatz flächendeckend anzutreffen ist. Wir untersuchen 

dort das Zusammenspiel von digitalem Engineering 

und Produktion seit einiger Zeit sehr erfolgreich. 

Sicherheitstechnisch lässt sich ein hochkomplexes Gebilde 

nur durch konsequente Umsetzung von übergreifenden 

Security-Maßnahmen beherrschen. Das heißt: Hersteller 

und Anwender müssen effizient zusammenarbeiten. Gerade 

auf Anwenderseite ist eine Kooperation von IT und 

Automatisierung sehr wichtig. 

atp: Schaffen der Einsatz von Wireless-Technologien und 

von immer mehr mobilen Endgeräten neue Risiken? 

ECKARD EBERLE: Wir empfehlen unseren Kunden, auf 

industriell erprobte Lösungen zurück zugreifen, wenn eine 

mobile Lösung gewünscht ist. Diese lassen etwa die Bedienung 

einer Maschine nicht zu, wenn sich das Endgerät 

außerhalb des definierten Bedienbereichs befindet. Wireless-Technologien 

an sich bieten eine ausreichende Sicherheit, 

da aktuelle Verschlüsselungsmechanismen nutzbar 

sind. 

atp: Wer ist für ausreichende IT-Security verantwortlich: 

der Hersteller oder der Anwender? 

ECKARD EBERLE: Für eine ausreichende Sicherheit 

können nur beide Parteien gemeinsam sorgen. Auf der 

einen Seite steht der Hersteller, der mit seinen Produkten 

die Grundlage für die Umsetzung einer konsequenten 

Sicherheitsstrategie schafft. Auf der anderen 

Seite steht der Anwender, der durch den konsequenten 

Einsatz der Produkte sowie ihrer Sicherheitsfunktionen 

und die Umsetzung von Sicherheitsrichtlinien ein umfassendes 

Konzept erstellen kann. Eine 100-prozentige 

Sicherheit ist allerdings nicht realisierbar. Sicherheit ist 

ein Prozess, der, einmal eingeführt, einer kontinuierlichen 

Überwachung und Erneuerung bedarf. Wir helfen 

unseren Kunden dabei mit Dienstleistungen im Security- 

Umfeld wie dem Security Assessment, um Sicherheitsrisiken 

und Strategien zusammen mit dem Kunden zu 

definieren und zu implementieren. 

atp: Welche Managementebene beim Anwender sollte aus 

Sicht eines Herstellers das Thema IT-Security verantworten, 

um die besten Erfolge zu erzielen? 

ECKARD EBERLE: Nach unserer Auffassung liegt die 

Aufgabe, für das Bewusstsein des Themas Industrial 

Security in einem Unternehmen zu sorgen, in der obersten 

Managementebene. Die Erfahrung zeigt, dass sich 

IT-Abteilung und Automatisierungsabteilung im Bereich 

Security nicht immer einig sind. Bei IT-Security innerhalb 

der Prozess- und Fertigungsindustrie gelten verschärfte 

Anforderungen an die jeweilige Lösung. Während 

in der Office-IT-Security die Datensicherheit im 

Vordergrund steht, besitzt in der Industrial Security die 

Verfügbarkeit der Anlage die höchste Priorität. Es ist 

Aufgabe des oberen Managements, diese Differenzen im 

Vorfeld auszuräumen. 

atp: Wie verhalten sich funktionale Sicherheit und IT-Security 

zu einander: ergänzen sie sich, bedingen sie sich, 

behindern sie sich ...? 

ECKARD EBERLE: Ganz klar: Funktionale Sicherheit und 

IT-Security ergänzen sich. IT-Security schützt gegen Cyber-Angriffe 

auf das Automatisierungssystem. Funktionale 

Sicherheit kann hier bis zu einem gewissen Maße auch 

hilfreich sein, dient aber in erster Linie zur Absicherung 

gegen zufällige Fehler im System. 

atp: Es existiert ein „Dschungel“ domänenspezifischer 

Standards für IT-Security in der Automatisierung. 

28 


3 / 2012

Reichen diese aus? Sind es zu viele? Besteht Harmonisierungsbedarf? 

ECKARD EBERLE: Aus heutiger Sicht existieren noch viele 

verschiedene Standards. Bislang gibt es noch keine international 

gültige Norm. Daher versuchen Hersteller zusammen 

mit unabhängigen Partnern, wie den CERT-Organisationen, 

deren Entwicklung und Harmonisierung weiter 

voran zu treiben. 

atp: Standardisierung erlaubt einerseits, Systeme mit höherer 

Sicherheit zu entwickeln, weil mehr Unternehmen 

„Sicherheit ist 

ein Prozess, der, 

einmal eingeführt, 

einer kontinuierlichen 

Überwachung 

und Erneuerung 

bedarf“, hebt Eckard 

Eberle hervor. 

Know-how einbringen. Das erhöht zwar den Aufwand für 

potenzielle Angreifer – aber wenn ein Angreifer die Systeme 

„geknackt“ hat, gewinnt er direkt Zugang zu allen Unternehmen, 

die diese Technologie einsetzen. Schafft die 

Standardisierung also größere Sicherheit oder größere 

Gefahren? 

ECKARD EBERLE: Gemeinsam mit den Anwendern haben 

die Hersteller von Automatisierungsprodukten die Offenheit 

ihrer Systeme vorangetrieben. Dies war auch immer 

wieder von den Anwendern gefordert worden, um mit 

offenen Systemen Produktivität zu erhöhen. Standard- 

Technologien aus der Bürowelt, wie Microsoft-Technologien, 

Internet-Kommunikation oder Ethernet-Kommunikationsnetze, 

haben daher Einzug in die automatisierte 

Industrieproduktion und Infrastruktur gehalten. Durch 

eine steigende Vernetzung ist die Anzahl der Schnittstellen 

gewachsen, die potenzielle Angriffspunkte bieten. 

Anwender und Hersteller müssen nun gemeinsam dafür 

Sorge tragen, dass daraus kein Schaden entsteht. 

atp: Kann die Security in der Automatisierung von den Sicherheitsbemühungen 

der nichtindustriellen IT profitieren? 

ECKARD EBERLE: Bei der Standardisierung von IT-Komponenten 

spielen auch die Sicherheitsexperten, die sich 

zunehmend dem Industrieautomatisierungsumfeld widmen, 

eine nicht zu unterschätzende Rolle. Meist aus dem 

IT-Umfeld stammend, tragen sie mit ihren Analysen dazu 

bei, dass die Automatisierungshersteller ihre Produkte 

hinsichtlich IT-Verwundbarkeiten optimieren 

können. Für Siemens ist das 

Thema wichtig und wir nehmen die Hinweise 

dieser Experten sehr ernst. Wir 

veröffentlichen regelmäßig Updates 

und arbeiten stetig an der kontinuierlichen 

Verbesserung unserer Produkte 

in diesem Bereich. 

atp: Was erwarten Sie von Microsoft 

mit Blick auf IT-Security? Wird 

dieses Betriebssystem angesichts 

der Bedrohungen auch künftig 

eine Rolle in der Automatisierung 

spielen? 

ECKARD EBERLE: Microsoft hat 

gerade in den letzten Jahren 

einiges im Bereich Security 

geleistet. Wir sehen Microsoft 

auch in Zukunft als starken 

Partner in der Automatisierung. 

Die Erfahrung zeigt, dass 

eine kooperative Partnerschaft 

auf diesem Gebiet Früchte trägt. 

Die Fragen stellten Leon Urbas 

und Gerd Scholz 


3 / 2012 

29

Praxis 

Public Key Infrastructure schließt die Schutzlücke 

und gewährleistet eine sichere Kommunikation 

Hardwaremodule und Herstellerzertifikate verhindern zudem Produktpiraterie 

Automatisierungstechnische Systeme besitzen meist keine 

inhärenten sicherheitsrelevanten Eigenschaften. Der 

Einsatz einer Public Key Infrastructure (PKI) schafft die 

Grundlage für den Aufbau von sicheren Kommunikationsverbindungen. 

Bei einer Verwendung von Hardwaremodulen 

(TPM) und Herstellerzertifikaten kann darüber hinaus 

ein Schutz vor Produktpiraterie ermöglicht werden. 

In der Automatisierungstechnik werden zunehmend 

IT-Standardtechnologien aus der Welt der Office IT eingesetzt. 

Dies gilt insbesondere für die Nutzung von 

Ethernet und der vom Internet bekannten auf TCP/IP 

basierenden Protokolle. Daraus ergeben sich einerseits 

zahlreiche Vorteile. Es werden aber auch Bedrohungen 

hinsichtlich der IT-Sicherheit relevant. 

Einige Beispiele für fehlende sicherheitsrelevante Eigenschaften 

in automatisierungstechnischen Systemen 

sind: 

Auf Feldbus-Ebene besitzen die Kommunikationsprotokolle 

keine integrierten Schutzmechanismen. 

Teilnehmer und Daten werden nicht authentifiziert, 

sodass im Rahmen eines möglichen Angriffs Systeme 

auf Feldebene beliebig erweitert und beliebige Nachrichten 

eingespielt werden können. 

Die Konfiguration und Bedienung von Automatisierungssystemen 

setzt in der Regel keine Authentifizierung 

voraus, sodass beispielsweise keine Überprüfung 

von Berechtigungen zum Starten/Stoppen 

von SPS-Programmen möglich ist. 

Eine Übertragung von SPS-Programmen findet in der 

Regel ohne Verwendung von Sicherheitsmaßnahmen 

(Nutzerauthentifizierung, Verschlüsselung) statt. 

Um einen gewissen Schutz zu erreichen, sehen bestehende 

Richtlinien wie die „Profinet Security Guideline“ eine 

Segmentierung von Automatisierungsnetzen in Teilnetze 

und die Absicherung dieser Teilnetze mit sogenannten 

Security-Gateways (SG) vor. Die Kommunikation in den 

Teilnetzen selber ist bei einem solchen Konzept allerdings 

weiterhin ungeschützt. Außerdem erfordern Anschaffung, 

Integration und Wartung von Security Gateways 

einen erheblichen Aufwand. 

PKI-LÖSUNG LÄSST SICH FLEXIBEL INTEGRIEREN 

Um umfassende IT-Sicherheitslösungen flexibel in 

Automatisierungsnetze integrieren zu können, bietet 

sich die Etablierung einer geeigneten Public Key Infrastructure 

(PKI) an. Eine entsprechende PKI-Lösung 

wird derzeit im Rahmen des aktuell laufenden 

FuE-Projekts „SEC_PRO – Sichere Produktion mit 

verteilten Automatisierungssystemen“ prototypisch 

umgesetzt. Weitere hiermit zusammenhängende Themen, 

die im Rahmen von SEC_PRO untersucht werden, 

sind: 

Einsatz von hardwareunterstützten Schutzmaßnahmen 

(Smartcard, TPM) im Bereich der Automatisierungstechnik, 

auch zum Schutz gegen Produktpiraterie, 

Konfigurationsstation 

Geräte-Hersteller 

Root-Zertifikat (CA-Zertifikat) 

Bedienstation 

IO-Controller 

Teilnehmerzertifikate 

(CA-Zertifikat) 

IO-Device 

Teilnehmerzertifikate 

IO-Device 

Bild 1: Durch die Zertifizierung von Signaturschlüsseln, 

können auch mehrstufige PKIs mit 

einer hierarchisch organisierten CA-Struktur 

realisiert werden. 

Bild 2: Teilnehmer einer PKI am Beispiel von Profinet IO. 

Neben IO-Controller, IO-Devices sowie Bedien- und Konfigurationsstationen 

und deren Nutzern sind auch Gerätehersteller zu 

berücksichtigen, da sie Geräte bereits bei der Produktion mit 

Schlüsseldaten und entsprechenden Zertifikaten ausstatten können. 

Bilder: Hochschule Ostwestfalen-Lippe 

30 


3 / 2012

Herausforderung 


Maßnahmen zum verbesserten Schutz der Automatisierungsanlagen 

durch die Sicherstellung der Authentizität 

der Nutzdatenübertragung und eine Analyse 

des Echtzeitverhaltens derartig geschützter 

Netzwerke unter realen Bedingungen, 

Handhabbarkeit und Akzeptanz von PKI-Lösungen 

in der Automatisierungstechnik. 

INTEGRITÄT UND AUTHENTIZITÄT ALS BASIS 

Zum Aufbau sicherer Kommunikationsbeziehungen 

ist es erforderlich, dass der Empfänger einer Nachricht 

überprüfen kann, ob die Nachricht unverändert (Integrität) 

von einem bestimmten Teilnehmer (Authentizität) 

gesendet wurde. Ist dies möglich, so können 

hierauf aufbauend weitere Mechanismen realisiert 

werden, wie beispielsweise eine teilnehmerspezifische 

Rechteverwaltung (Access Control) oder ein Austausch 

von Sitzungsschlüsseln, die zur Absicherung der zwischen 

zwei Teilnehmern ausgetauschten Nutzdaten 

zum Einsatz kommen. 

Integrität und Authentizität von Nachrichten können 

durch Einsatz digitaler Signaturverfahren sichergestellt 

werden. Bei einem solchen Verfahren besitzt der 

Sender ein Schlüsselpaar, bestehend aus einem privaten 

Schlüssel (private key) und einem zugehörigen öffentlichen 

Schlüssel (public key). Mit dem privaten 

Schlüssel kann sein Besitzer Signaturen für beliebige 

digitale Daten erzeugen. Die Signaturen können anschließend 

mithilfe des öffentlichen Schlüssels verifiziert 

werden. Zur Überprüfung von Integrität und Authentizität 

muss der entsprechende öffentliche Schlüssel 

also bekannt sein. Damit nun ein Teilnehmer nicht 

von allen anderen Teilnehmern die öffentlichen 

Schlüssel vorab sicher speichern muss, werden Public 

Key Infrastrukturen (PKI) genutzt. 

Im Rahmen einer PKI werden Zertifikate verwendet, 

die einen öffentlichen Schlüssel durch eine Signatur 

an eine Teilnehmeridentität binden. Die Zertifikate werden 

hierbei von einer für alle Teilnehmer vertrauenswürdigen, 

übergeordneten Stelle (Certification Authority 

(CA)) signiert, sodass letztendlich jeder Teilnehmer 

nur den öffentlichen CA-Schlüssel sicher speichern 

muss, um die Authentizität eines beliebigen in einem 

Zertifikat übermittelten öffentlichen Teilnehmerschlüssels 

überprüfen zu können. Durch die Zertifizierung 

von Signaturschlüsseln, können auch mehrstufige PKIs 

mit einer hierarchisch organisierten CA-Struktur realisiert 

werden (siehe Bild 1). 

BINDUNG ZWISCHEN SCHLÜSSEL UND GERÄT 

Bild 2 zeigt am Beispiel von Profinet IO verschiedene 

Teilnehmer, die innerhalb einer PKI für die Automatisierungstechnik 

zu betrachten sind. Neben IO-Controller, 

IO-Devices sowie Bedien- und Konfigurationsstationen 

und deren Nutzern sind auch Gerätehersteller 

zu berücksichtigen, da sie Geräte bereits bei der 

Produktion mit Schlüsseldaten und entsprechenden 

Zertifikaten ausstatten können. Mit geeigneten Hard- 

Mit dem atp-award werden zwei Autoren der atp edition für 

hervorragende Beiträge ausgezeichnet. Ziel dieser Initiative 

ist es, Wissenschaftler und Praktiker der Automatisierungstechnik 

anzuregen, ihre Ergebnisse und Erfahrungen in Veröffentlichungen 

zu fassen und die Wissenstransparenz in der 

Automatisierungstechnik zu fördern. Teilnehmen kann jeder 

Autor der zum Zeitpunkt der Veröffentlichung nicht älter als 

35 Jahre ist. Nach Veröffentlichung eines Beitrags ist der Autor, 

wenn er die Bedingung erfüllt, automatisch im Pool. Die 

Auswahl des Gewinners übernimmt die atp-Fachredaktion. 

Derjenige Autor, der im Autorenteam der jüngste ist, erhält 

stellvertretend für alle Autoren die Auszeichnung. Der Preis 

wird in zwei Kategorien ausgelobt: Industrie und Hochschule. 

Die Kategorien ermittlung ergibt sich aus der in dem Beitrag 

angegebenen Adresse des jüngsten Autors. 

Veröffentlichungen – Beitrag zum Wissenspool im 

Fachgebiet Automatisierungstechnik 

Die Entwicklung eines Wissensgebietes erfolgt durch einen 

kooperativen Prozess zwischen wissenschaftlicher Grundlagenforschung, 

Konzept- und Lösungsentwicklung und Anwendung 

in der Praxis. Ein solcher Prozess bedarf einer gemeinsamen 

Informationsplattform. Veröffentlichungen 

sind die essentielle Basis eines solchen Informationspools. 

Der atp-award fördert den wissenschaftlichen Austausch 

im dynamischen Feld der Automationstechnik. Nachwuchsinge 

nieure sollen gezielt ihre Forschungen präsentieren 

können und so leichter den Zugang zur Community erhalten. 

Der Preis ist mit einer Prämie von jeweils 2000€ dotiert. 

Die Auswahl erfolgt in zwei Stufen: 

Voraussetzung für die Teilnahme ist die Veröffentlichung 

des Beitrags in der atp edition. Jeder Aufsatz, der als Hauptbeitrag 

für die atp edition eingereicht wird, durchläuft das 

Peer-Review-Verfahren. Die letzte Entscheidung zur Veröffentlichung 

liegt beim Chefredakteur. Wird ein Beitrag veröffentlicht, 

kommt er automatisch in den Pool der atp-award- 

Bewerber, vorausgesetzt einer der Autoren ist zum Zeitpunkt 

der Veröffentlichung nicht älter als 35 Jahre. Ausgezeichnet 

wird der jüngste Autor stellvertretend für alle Autoren der 

Gruppe. Eine Jury aus Vertretern der atp-Fachredaktion 

und des -Beirats ermittelt schließlich den Gewinner in den 

jeweiligen Kategorien Hochschule und Industrie. 

Der Rechtsweg ist ausgeschlossen. 

Beiträge richten Sie bitte an: 

Oldenbourg Industrieverlag GmbH 

Herrn Prof. Leon Urbas 

Chefredakteur atp edition / automatisieren! by atp 

Rosenheimer Straße 145 • 81761 München 

Tel. +49 (0) 89 45051 418 • E-Mail: urbas@oiv.de 

Beachten Sie die Autorenhinweise der atp edition 

für Hauptbeiträge unter folgendem Link: 

http://www.atp-online.de 

Bitte senden Sie Ihre Beiträge an: urbas@oiv.de

Praxis 

waremodulen (TPM) kann zusätzlich eine feste physikalische 

Bindung der privaten Schlüssel an die Geräte 

erreicht werden. 

Durch den Einsatz einer PKI in der Automatisierungstechnik 

ergeben sich folgende Vorteile: 

Eine sichere Authentifizierung aller Teilnehmer ist 

möglich. 

Auf Grundlage der Teilnehmerauthentifizierung ist 

eine feingranulare Rechteverwaltung (Access Control) 

möglich (beispielsweise rollen- oder gruppenbasiert). 

Mithilfe digitaler Signaturen können beliebige Teilnehmer 

Daten (etwa im Rahmen eines Schlüsselaustauschprotokolls, 

wie dem Diffie-Hellman-Protokoll) 

authentisch austauschen. 

Werden die Geräte schon vom Hersteller mit Schlüsseln 

und Zertifikaten einer herstellereigenen PKI 

ausgeliefert, ist eine eindeutige Authentifizierung 

dieser Geräte bei der ersten Inbetriebnahme möglich 

und eine initiale Konfiguration kann bereits über 

eine gesicherte Verbindung stattfinden. 

Werden darüber hinaus fest mit dem Gerät verbundene 

Hardwaremodule (etwa TPM) zur Generierung 

und sicheren Speicherung des privaten Teilnehmerschlüssels 

eingesetzt, so kann der Diebstahl (oder die 

Anfertigung einer Kopie) dieses Schlüssels sicher 

verhindert werden. Darüber hinaus kann diese feste 

Bindung des privaten Schlüssels an das individuelle 

Gerät als Grundlage für einen Schutz vor Produktpiraterie 

dienen. 

KOMPLEXITÄT VOM ANWENDER FERNHALTEN 

Eine besondere Herausforderung ist eine einfache Erstellung, 

Verwaltung und Verteilung der Schlüssel 

und Zertifikate durch den Anwender. Die Anwender 

einer Automatisierungslösung haben in aller Regel 

keine Kenntnisse über kryptographische Verfahren 

und PKI. Daher muss ein Konfigurationsprogramm 

diese Komplexität von dem Anwender fernhalten. Beispielsweise 

sollten schon verfügbare Konfigurationsprogramme 

um entsprechende PKI-Funktionalitäten 

erweitert werden, deren Nutzung von Anwendern 

keine PKI-spezifischen Detaileingaben bei der Konfiguration 

erfordern. 

Eine weitere Herausforderung bei einem Einsatz einer 

PKI in der Automatisierungstechnik stellt die Sperrung 

von Zertifikaten dar, da bestehende Lösungen zum Sperren 

von Zertifikaten auf zentrale Server aufbauen. Eine 

Sperrung eines Zertifikats ist beispielsweise nötig, wenn 

ein privater Schlüssel kompromittiert wurde oder ein 

Mitarbeiter ausgeschieden ist. 

Bei einer Realisierung einer PKI-Lösung für die Automatisierungstechnik 

ist schließlich zu beachten, dass in 

den eingesetzten Komponenten meist stark ressourcenbeschränkte 

eingebettete Systeme eingesetzt werden, 

sodass auf die Auswahl geeigneter kryptographischer 

Verfahren zu achten ist, die hinreichend effizient auf 

solchen Systemen implementierbar sind. 

FAZIT 

Durch den Einsatz einer PKI in der Automatisierungstechnik 

ist die Grundlage für den Aufbau von sicheren 

Kommunikationsverbindungen geschaffen. Bei einer Verwendung 

von Hardwaremodulen (TPM) und Herstellerzertifikaten 

kann darüber hinaus ein Schutz vor Produktpiraterie 

ermöglicht werden. 

Eine besondere Herausforderung stellt die Entwicklung 

einer einfachen und möglichst transparenten Konfigurations- 

und Verwaltungslösung für eine PKI zum 

Einsatz in der Automatisierungstechnik dar. Im Rahmen 

des laufenden FuE-Projekts SEC_PRO sollen anhand von 

Profinet IO die Einsatzmöglichkeiten einer PKI aufgezeigt 

und erprobt werden. 

Autoren 

M. Sc. Stefan Hausmann 

(geb. 1984) ist Wissenschaftlicher 

Mitarbeiter am inIT 

– Institut Industrial IT der 

Hochschule Ostwestfalen- 

Lippe. Sein Hauptarbeitsgebiet 

ist die IT-Sicherheit in 

der Automatisierungstechnik. 

inIT – Institut Industrial IT, 


Fachbereich Elektrotechnik und Technische Informatik, 

Liebigstraße 87, D-32657 Lemgo, 

Tel. +49 (0) 5261 702 59 74, 

E-Mail: stefan.hausmann@hs-owl.de 

Prof. Dr. rer. nat. Stefan 

Heiss (geb. 1960) ist 

stellvertretender Institutsleiter 

des inIT – Institut 

Industrial IT der Hochschule 

Ostwestfalen-Lippe und 

vertritt die Lehrgebiete 

Mathematik und IT-Sicherheit. 

Seine Forschungsgebiete 

sind die Kryptographie und IT-Sicherheit 

in vernetzten Systemen. 

inIT – Institut Industrial IT, 


Fachbereich Elektrotechnik und Technische Informatik, 

Liebigstraße 87, D-32657 Lemgo, 

Tel. +49 (0) 5261 70 25 39, 

E-Mail: stefan.heiss@hs-owl.de 

32 


3 / 2012

Jetzt 

doppelt sparen: 

Edition 

15% Rabatt 

gwf Praxiswissen 

im Fortsetzungsbezug 

20% Rabatt 

für gwf-Abonnenten 

Diese Buchreihe präsentiert kompakt aufbereitete Fokusthemen aus der Wasserbranche und Fachberichte 

von anerkannten Experten zum aktuellen Stand der Technik. Zahlreiche Praxisbeispiele zeigen individuelle 

Lösungen und vermitteln praktisches Know-how für ökologisch und wirtschaftlich sinnvolle Konzepte. 

Band I – Regenwasserbewirtschaftung 

Ausführliche Informationen für die Planung und Ausführung von Anlagen zur Regenwasserbwirtschaftung 

mit gesetzlichen Rahmenbedingungen sowie Anwendungsbeispielen aus der Praxis. 

Hrsg. C. Ziegler, 1. Auflage 2011, 184 Seiten, Broschur 

Buch + Bonusmaterial für € 54,90 € 46,70 

Buch + Bonusmaterial + eBook auf DVD für € 69,90 € 59,40 

Band II – Messen • Steuern • Regeln 

Grundlageninformationen über Automatisierungstechnologien, die dabei helfen, Wasser effizienter 

zu nutzen, Abwasser nachhaltiger zu behandeln und Sicherheitsrisiken besser zu kontrollieren. 

Hrsg. C. Ziegler, 1. Auflage 2011, ca. 150 Seiten, Broschur 



Band III – Energie aus Abwasser 

Abwärme aus dem Kanal und Strom aus der Kläranlage: Wie aus großen Energieverbrauchern 

Energieerzeuger werden. Methoden und Technologien zur nachhaltigen Abwasserbehandlung. 




Band IV – Trinkwasserbehälter 

Grundlagen zu Planung, Bauausführung, Instandhaltung und Reinigung sowie Sanierung von 

Trinkwasserbehältern. Materialien, Beschichtungssysteme und technische Ausrüstung. 




Oldenbourg Industrieverlag München 

www.gwf-wasser-abwasser.de 

VORTEILSANFORDERUNG PER FAX: +49 (0)201 / 82002-34 oder per Brief einsenden 

Ja, ich bestelle die Fachbuchreihe gwf Praxiswissen im günstigen Fortsetzungsbezug, 

verpasse keinen Band und spare 15%. Ich wünsche die 

Lieferung beginnend ab Band 

als Buch + Bonusmaterial für € 46,70 (gwf-Abonnenten: € 37,30) 

als Buch + Bonusmaterial + eBook auf DVD für € 59,40 

(gwf-Abonnenten: € 47,50) 

Wir beziehen gwf im Abonnement nicht im Abonnement 

Jeder aktuelle Band wird zum Erscheinungstermin ausgeliefert und 

separat berechnet. Die Anforderung gilt bis zum schriftlichen Widerruf. 

Die pünktliche, bequeme und sichere Bezahlung per Bankabbuchung 

wird mit einer Gutschrift von € 3,- auf die erste Rechnung belohnt. 


Vorname, Name des Empfängers 


PLZ, Ort 

Telefon 

E-Mail 

Telefax 

Antwort 

Vulkan Verlag GmbH 

Versandbuchhandlung 

Postfach 10 39 62 

45039 Essen 


Bevorzugte Zahlungsweise Bankabbuchung Rechnung 

Bank, Ort 

Bankleitzahl 

✘ 

Datum, Unterschrift 

Kontonummer 

PAGWFP2011 

Widerrufsrecht: Sie können Ihre Vertragserklärung innerhalb von zwei Wochen ohne Angabe von Gründen in Textform (z.B. Brief, Fax, E-Mail) oder durch Rücksendung der Sache widerrufen. Die Frist beginnt nach Erhalt dieser Belehrung in Textform. Zur Wahrung der Widerrufsfrist genügt 

die rechtzeitige Absendung des Widerrufs oder der Sache an die Vulkan-Verlag GmbH, Versandbuchhandlung, Huyssenallee 52-56, 45128 Essen. 

Nutzung personenbezogener Daten: Für die Auftragsabwicklung und zur Pflege der laufenden Kommunikation werden personenbezogene Daten erfasst und gespeichert. Mit dieser Anforderung erkläre ich mich damit einverstanden, dass ich vom Oldenbourg Industrieverlag oder vom 

Vulkan-Verlag per Post, per Telefon, per Telefax, per E-Mail, nicht über interessante, fachspezifische Medienund Informationsangebote informiert und beworben werde. Diese Erklärung kann ich mit Wirkung für die Zukunft jederzeit widerrufen.

hauptbeitrag 

Ganzheitliches anlagenweites 

Security Management 

Werkzeuge für die automatisierte Unterstützung 

Eine der wesentlichen Maßnahmen im Rahmen eines ganzheitlichen Security Managements 

ist die Erfassung von gemeldeten Ereignissen verschiedener Komponenten, die einen 

Angriff erkennen lassen. Eine übergeordnete Einheit sammelt alle Ereignisse und wertet 

sie aus, um aus Einzelereignissen oder einer Zusammensetzung mehrer Ereignisse zu erkennen, 

ob ein Angriff tatsächlich stattfindet und diesen an die geeignete Stelle zu melden. 

Diese Funktionalität wird als Security Event Management (SEM) bezeichnet. Eine weitere 

Funktionalität, Berichte zu erzeugen, um das Einhalten von Richtlinien nachzuweisen, 

wird als Security Information Management (SIM) bezeichnet. Vereint eine Einheit beide 

Funktionalitäten, so wird sie als Security Information und Event Management (SIEM) 

bezeichnet. Der Beitrag beschreibt Werkeuge für die automatisierte Unterstützung eines 

ganzheitlichen anlageweiten Security Managements, unter anderem ein Industrial SIEM. 

SCHLAGWÖRTER Security / Security Management / Security Information Event 

Management (SIEM) / Enterprise SIEM / Industrial SIEM 

IT security management for industrial plants – 

An automated support tool 

One of the key IT measures relating to security management is the monitoring of reports 

from various components which indicate an attack. This overall functionality is referred 

to as security event management (SEM). The generation of reports showing compliance 

with guidelines is known as security information management (SIM). If a unit combines 

both functionalities this is referred to as Security Information and Event Management 

(SIEM). This article describes automated tools for an holistic plant security management. 

KEYWORDS Security / Security Management / Security Information Event Management 

(SIEM) / Enterprise SIEM / Industrial SIEM 

34 


3 / 2012

Anna Palmin, Stefan Runde, Pierre Kobes, Siemens 

Einen wichtigen Bestandteil der Vorfeldentwicklungsarbeiten 

zum Thema Security bildet die 

Mitarbeit in nationalen und internationalen Security-Gremien 

wie zum Beispiel im GMA-Fachausschuss 

5.22, der DKE 931.1 und der ISA SP99. 

Das Ergebnis der Mitarbeit in diesen Gremien sind unter 

anderem die IEC 62443 [1] und die ISA-99 [2], welche zum 

Beispiel das Generieren sowie die Auswertung von Events, 

sogenannte Audit Events, fordern. Weiterhin fordert die 

Richtlinie NERC-CIP 007-3 [3] ein „Security Status Monitoring“. 

Auf Basis der in den Gremien definierten Standards 

und ausgehend von Security-relevanten Anwenderanforderungen 

[6] [7] bilden seit 2006 die Arbeiten hinsichtlich 

eines ganzheitlichen, anlagenweiten Security 

Management – noch unabhängig von den oben genannten 

„Treibern“ des Themas „Security“ – einen wichtigen Bestandteil. 

Diese Arbeiten umfassen unter anderem die 

Konzeption und die Entwicklung von Werkzeugen für die 

automatisierte Unterstützung eines anlagenweiten Security 

Managements, insbesondere von Werkzeugen für eine 

kontinuierliche Überwachung und eine optimale Anpassung 

des Schutzniveaus einer Anlage. Im Rahmen der 

Vorfeldarbeiten unter dem Titel Security Station sind das 

Konzept und der Prototyp eines Software-Werkzeugs für 

die automatisierte Unterstützung eines anlageweiten Security 

Managements entwickelt worden. Der Prototyp 

wurde unter realitätsnahen Bedingungen in der Forschungsanlage 

Smart Automation evaluiert. Die entwickelte 

Expertise sowie die Erfahrungen aus den Arbeiten 

mit der Security Station fließen maßgeblich, neben den 

Anforderungen aus den Standards, in die Entwicklung 

des Konzepts eines Industrial SIEM. 

1. Security in der industriellen 

Automatisierung 

Diverse Vorteile bei der Realisierung moderner Automatisierungssysteme 

führen zum verstärkten Einsatz von IT- 

Technologien wie Ethernet und dem Internet Protocol (IP). 

Diese IT-Technologien lassen sich jedoch selten 1:1 in die 

Automatisierungswelt übernehmen. Der unbedachte Einsatz 

erhöht die Risiken, wie unberechtigte Eingriffe in die 

jeweiligen Automatisierungssysteme. Um diesen gestiegenen 

Risiken zu begegnen, beschäftigt sich die Security 

Community im Wesentlichen mit zwei Aufgabenfeldern: 

1 | Bestrebungen in der Security Community führen zu 

neuen Regelwerken (zum Beispiel Normen, Richtlinien 

und gesetzlichen Bestimmungen), welche bei 

Einhaltung bestimmte Risiken ausschließen. Diese 

Regelwerke adressieren explizit die Automatisierungstechnik. 

Sie sind heute „Treiber“ für neue Security-Werkzeuge, 

welche die verschiedenen Maßnahmen 

und Technologien zum Schutz beinhalten. 

2 | Wie zahlreiche Veröffentlichungen, unter anderem 

[6], [7], belegen, ist es nicht möglich, die Security- 

Werkzeuge aus der IT-Welt ohne Anpassungen auf 

Systeme der Automatisierungstechnik zu übertragen. 

Die speziellen Anforderungen aus der Automatisierungstechnik, 

aus den Regelwerken wie auch unterschiedliche 

Anwenderanforderungen sind zwingend 

zu berücksichtigen. Die Mechanismen, Maßnahmen 

und Technologien aus der IT-Welt adressieren diese 

Anforderungen nicht explizit. Sowohl die Umsetzung 

von Anforderungen und Regelwerken als auch die 

Entwicklung der Werkzeuge sind unter anderem damit 

verbunden, dass bestimmte Aufgaben und Verantwortlichkeiten 

entstehen. Diese sollen zwischen 

Anlagenbetreibern, Integratoren, Herstellern und 

gegebenenfalls Verbänden und Normungsgremien 

klar verteilt werden. Ein guter Wegweiser für die Verteilung 

der Aufgaben und Verantwortlichkeiten ist in 

der Richtlinie VDI 2182 [8] beschrieben. 

Im Automatisierungsumfeld werden zunehmend spezielle 

Gesamtlösungen entwickelt und evaluiert [12], [13]. 

Diese Lösungen erfüllen die oben genannten Anforderungen 

wie die Ansätze für Risikoanalysen, Berücksichtigung 

von funktionaler Sicherheit sowie neuen Sicherheitsstrategien. 

Essenziell wichtig sind ganzheitliche Security- 

Konzepte für die industrielle Automatisierung [11]. 


3 / 2012 

35

Hauptbeitrag 

Im folgenden Abschnitt wird das im Kontext der (Prozess-)Automatisierungstechnik 

stehende Software-Werkzeug 

Security Station vorgestellt, welches die beiden 

zuvor beschriebenen Punkte adressiert. 

2. Security Station 

2.1. Konzept 

Bild 1 zeigt die strukturelle Einordnung der Security Station 

in ein Prozessleitsystem (PLS). Die Operator Station 

sowie die Security Station können gemeinsam auf einem 

PC oder auf zwei separaten PCs laufen. Wichtig ist lediglich, 

dass das auf der Engineering Station vorhandene 

Projekt mit der jeweiligen anlagenspezifischen Hardwarekonfiguration 

nach jeder Aktualisierung automatisch 

auf die Security Station übertragen wird. Diese erstellt 

eine Abbildung für das Security Management und 

dessen Visualisierungssystem. Dabei ist das Visualisierungssystem 

entweder integraler Bestandteil der Security 

Station oder einer entsprechenden Einheit (zum Beispiel 

Operator Station, Engineering Station) des PLS. 

Das Visualisierungssystem stellt die gesamte Hardware-Struktur 

des jeweiligen automatisierten technischen 

Systems mit ihren diagnosefähigen Komponenten 

hierarchisch dar. Zu diesen Komponenten zählen beispielsweise 

die Rechnersysteme, Controller, Netzwerkkomponenten 

und intelligente Feldgeräte. 

Das Konzept der Security Station basiert auf einer bereits 

vorhandenen Maintenance Station und sieht vor, die Security 

Station und somit das Security Management in ein PLS 

zu integrieren und parallel zur Anlagenautomatisierung 

laufen zu lassen. So werden die vorhandenen Sichten (wie 

Betriebssicht, Maintenance-Sicht) um eine zusätzliche, integrierte 

Security-Sicht auf die Anlage ergänzt. Des Weiteren 

lässt sich das vorhandene Melde- und Archivierungssystem 

nutzen, um die Security Events zu verarbeiten. 

Durch die Integration sowie den parallelen Betrieb kann 

ein einmal eingestelltes optimales Schutzniveau über den 

gesamten Lebenszyklus einer Anlage sichergestellt werden, 

da die Security Station Änderungen im Schutzniveau zeitnah 

erkennt und meldet, sodass auf diese Änderungen sofort 

reagiert werden kann. Überdies kann das Schutzniveau in 

bestimmten Fällen durch die Security Station selbst (beispielsweise 

durch Aktivierung oder Deaktivierung entsprechender 

Schutzmechanismen) automatisch angepasst werden. 

Somit ist eine wichtige Voraussetzung für die Sicherstellung 

des bestimmungsgemäßen und insbesondere im 

Sinne von Security sicheren Betriebes der Anlage erstellt. 

Der Schutz der Anlage wird unter Verwendung unterschiedlicher 

Security-Mechanismen und -Maßnahmen realisiert. 

2.2 Prototypische Implementierung 

In der Tabelle 1 sind ausgewählte Funktionen aufgelistet, 

welche in der Security Station realisiert wurden. 

Der bestehende, auf Basis der Maintenance Station entwickelte 

Prototyp der Security Station kann Rechnersysteme, 

wie Operator Station, Controller, Netzwerkkomponenten, 

Feldgeräte mit integrierten Security-Mechanismen, 

sowie weitere Komponenten eines automatisierten 

technischen Systems überwachen. In Bild 2 wird der 

Startbildschirm der Security Station mit einzelnen Komponenten-Bildbausteinen 

und Symbolbildern dargestellt. 

2.3. Zwischenfazit 

Die Akzeptanz hinsichtlich der Security Station wurde bei 

zahlreichen Vorführungen abgefragt. Die hohe Akzeptanz 

resultierte vor allem aus der Gewährleistung einer komfortablen 

kontinuierlichen Überwachung aller Security-relevanten 

Ereignisse in einer Anlage sowie einer zeitnahen 

und angemessenen Reaktion auf diese Ereignisse. Die Diskussionen, 

zum Beispiel ob die Security Station generell auf 

einem separaten Rechner oder auf einem Rechner gemeinsam 

mit der Operator Station laufen sollte und somit der 

Operator (der in der Regel keine fundierten IT- beziehungsweise 

IT-Security-Kenntnisse hat) mit Security-relevanten 

Meldungen konfrontiert werden sollte, zeigten auf, dass 

ausgewählte Funktionen, je nach Anwendungsfall, unterschiedlich 

zu realisieren sind. Die Akzeptanz des Werkzeugs 

wurde dadurch nicht beeinträchtigt. 

Im Rahmen der langjährigen Arbeiten wuchs jedoch die 

Erkenntnis, dass der ursprünglich smarte Ansatz mit seinen 

Vorteilen, die Security Station basierend auf der Maintenance 

Station zu realisieren, sich als perspektivisch nachteilig 

erweist. Dafür gibt es vor allem drei Gründe: 

Bei der typischerweise kontinuierlichen Weiterentwicklung 

eines PLS ist ein integriertes Werkzeug wie 

die Security Station stets weiterzuentwickeln. 

Ein grundsätzlicher Wechsel im Konzept eines PLS 

zieht ein neues Konzept und Implementierungen in 

einem intergrierten Werkzeug wie der Security Station 

nach sich. 

Die Kompatibilität eines in ein spezifisches PLS integrierten 

Werkzeugs mit einem weiteren PLS ist nicht 

sichergestellt – der Einsatz in Anlagen mit mehr als 

einem PLS ist nur suboptimal realisierbar. 

Eine zweckmäßige Alternative zum integrierten Tool ist ein 

Werkzeug, welches unabhängig von spezifischen Produkten 

ist und klar definierte Schnittstellen besitzt. Somit ist es flexibel 

im Kontext von PLS und SCADA-Systemen (Supervisory 

Control und Data Acquisition) einsetzbar. Ferner ist es sinnvoll, 

bei der Erarbeitung eines neuen Konzeptes für ein Security 

Management im Kontext der Automatisierungstechnik die 

Entwicklungen hinsichtlich von Enterprise SIEM (Security 

Information-Event Management) in der IT zu berücksichtigen. 

Unter Berücksichtigung des im Enterprise-Bereich inzwischen 

etablierten Begriffes SIEM werden Werkzeuge, 

die ein Security Information Event Management in der 

industriellen Automatisierung realisieren und somit eine 

kontinuierliche Überwachung des Schutzniveaus einer 

Anlage ermöglichen, im Weiteren als Industrial SIEM bezeichnet. 

Im folgenden Abschnitt wird das Konzept eines 

Industrial SIEMs beschrieben [9]. 

3. Industrial SIEM 

3.1 Enterprise SIEM versus Industrial SIEM 

Die überwiegende Anzahl angebotener SIEM ist für Enterprise-Netzwerke 

entwickelt worden. Sie erfordern somit 

36 


3 / 2012

Engineering 

station 

Projektierungsdaten, 

Hardwarestruktur 

Security 

station 

Ethernet 

AS 

AS 

Firewall 

Profibus-DP 

Wireless HART 

Profibus-PA 

Security-Zelle 

Bild 1: Strukturelle Einordnung der Security Station 

im Kontext eines Prozessleitsystems 

Bild 2: Startbildschirm des bestehenden Prototyps 

der Security Station 

Funktion 

Fkt. 1 

Fkt. 2 

Fkt. 3 

Fkt. 4 

Fkt. 5 

Fkt. 6 

Beschreibung 

Nahtlose Integration in ein PLS und SCADA-System, das heißt jedes PLS-Projekt kann mit einer zusätz lichen 

Security-Sicht (analog zur Maintenance-Sicht) ergänzt werden. 

Automatische Generierung einer umfassenden integrierten Security-Sicht in der Hardware-Konfiguration des 

entsprechen PLS oder SCADA-Systems. 

Übersichtliche Visualisierung des Security-Zustands der eingebundenen Komponenten mit einheitlichen Symbolbildern. 

Jede Komponente stellt dabei ihre individuellen Funktionalitäten im Gesamtkonzept zur Verfügung. 

Erfassung, Auswertung und Archivierung von Security Events aller relevanten Komponenten unter Verwendung 

von Mechanismen des PLS und SCADA-Systems 

Einstellung des Soll- und Ist-Zustands der Security-relevanten Parameter (zum Beispiel Schutzstufen einer CPU). 

Erzeugung von Security-relevanten Meldungen (kategorisiert in „Alarm“, „Anforderung“ und „Bedarf“) im Falle 

eines erkannten unberechtigten Zugriffs oder bei einer identifizierten Abweichung des Ist-Security-Zustands einer 

Komponente von dem voreingestellten Soll-Security-Zustand. 

Tabelle 1: Funktionen der Security Station 

Funktion 

Beschreibung 

Funktion Security Station 

( in der Tabelle 1) 

Fkt. 7 

Erfassung, Auswertung und Archivierung von Security Events aller relevanten 

Komponenten 

Fkt. 4 

Fkt. 8 Senden von Alarmen und Meldungen an die Operator Station (bei Bedarf) Fkt. 6 

Fkt. 9 Senden von SMS oder E-Mails an zuständige Personen (bei Bedarf) nicht umgesetzt 

Fkt. 10 Generierung von Reports Fkt. 4 

Fkt. 11 Weiterleitung von erfassten Security Events an Enterprise SIEM (bei Bedarf). nicht vorgesehen 

Tabelle 2: Funktionen des Industrial SIEM 


3 / 2012 

37

Hauptbeitrag 

die Normalisierung von eingehenden Security-relevanten 

Ereignissen, im Weiteren als Security Events bezeichnet. 

Beispiele dafür sind ein erkannter fehlgeschlagener Anmeldeversuch 

an einem PC (der im Windows Event Log 

erfasst wird) und ein erkannter unberechtigter Zugriff auf 

eine IP-Adresse, der durch eine Firewall abgewehrt und 

gegebenenfalls in eine Logdatei geschrieben wird. Die 

Normalisierung wird in der Regel als Abbildung von einzelnen 

Bestandteilen beziehungsweise Parametern der 

eingehenden Events auf die Datenstruktur des SIEM realisiert. 

Dies ist die Aufgabe der Konnektoren. Gängig sind 

vorgefertigte Konnektoren zur Integration von Syslogund/oder 

SNMP-fähigen Komponenten wie Switches, 

Firewalls und Routern sowie vorgefertigte Konnektoren 

zur Integration von Windows-Komponenten über die 

WMI-Schnittstelle, siehe zum Beispiel [14]. 

Bei genauerer Betrachtung sind Enterprise SIEM im 

Umfeld der Automatisierungstechnik weniger geeignet. 

Folgende Punkte verdeutlichen dies: 

Im Enterprise-Umfeld erfassen SIEM nicht selten die 

Security Events einiger tausend Komponenten – hingegen 

ist die Anzahl dieser Komponenten in einem 

Automatisierungssystem deutlich geringer. 

Die Höhe des Datenaufkommens im Automatisierungsumfeld 

ist im ungestörten Fall deutlich genauer 

vorhersagbar. 

Die Enterprise SIEM werden typischerweise als Appliance 

(Hardware, die nur einem einzigen Zweck, 

in diesem Fall nämlich nur dem Firewall-Zweck 

dient) mit Linux-Betriebssystem verkauft, was gegebenenfalls 

eine Anpassung hinsichtlich eines Windows-Betriebssystems 

notwendig macht 

Die Enterprise SIEM sind sehr leistungsfähig und 

dementsprechend sehr teuer, was im Automatisierungsumfeld 

ein Ausschlusskriterium darstellt 

Des Weiteren reichen die zum Standardumfang eines 

Enterprise SIEM gehörenden Konnektoren erfahrungsgemäß 

nicht aus, um die herstellerspezifischen Automatisierungskomponenten 

einzubinden, die häufig proprietäre 

Transportwege zur Weiterleitung von Security Events verwenden. 

Die notwenige Anpassung erfordert einen hohen 

Aufwand, was sich wiederum in erhöhten Kosten für den 

Kunden der Automatisierungstechnik niederschlägt. 

3.2 Funktionen eines Industrial SIEM 

Ein Industrial SIEM besitzt klar definierte Schnittstellen 

zum verwendeten PLS und/oder SCADA-System und läuft 

auf einem separaten Rechner. Somit werden die zuvor 

genannten Defizite der Security Station vermieden. In der 

Tabelle 2 werden ausgewählte Funktionen eines Industrial 

SIEM aufgelistet und der Bezug zu den Funktionen 

der Security Station hergestellt. 

Für die Realisierung der Funktion 7 sind folgende Vorarbeiten 

notwendig: 

Spezifikation der in relevanten Komponenten zu erfassenden 

Security Events, 

Spezifikation der für die Übertragung der Events an 

das Industrial SIEM zu verwendenden Transportwege, 

Spezifikation eines einheitlichen Formats, in welchem 

alle erfassten Security Events durch das Industrial 

SIEM ausgewertet und archiviert werden sollen. 

Im Zusammenhang mit den Funktionen 7 und 8 ist zu 

beachten, dass zur Absicherung der Kommunikation zwischen 

allen relevanten Komponenten einer Anlage und 

dem Industrial SIEM gegen unberechtigte Zugriffe adäquate 

Vorkehrungen zu treffen sind. Dies gilt auch bezüglich 

der Kommunikation zwischen dem Industrial 

SIEM und der Operator Station. Beispielsweise kann je 

nach Anwendungsfall die Verwendung von bestimmten 

Schutzmechanismen erforderlich sein. 

Wie aus den Beschreibungen in Abschnitt 3 hervorgeht, 

sind die Schwerpunkte eines Industrial SIEM 

Referenzen 

[1] International Electrotechnical Commission: IEC 62443, 

Industrial communication networks – Network and system 

security 

[2] Industry Standard Architecture: ISA99.03.03, Security for 

industrial automation and control systems - System 

security requirements and security assurance levels, 2010 

[3] Standard CIP–007–3 — Cyber Security — Systems Security 

Management, 2009 

[4] U.S. Department of Homeland Security and the Chemical 

Sector Coordinating Council: Roadmap to Secure Control 

Systems in the Chemical Sector, 2009. Verfügbar unter: 

http://www.uscert.gov/control_systems/pdf/ChemSec_ 

Roadmap.pdf, zuletzt geprüft am 15.07.2011 

[5] WIB, Report M-2784-X-10,Process Sontrol Domain - 

Security Requirements for Vendors, Version 2.0, 

2010 

[6] NAMUR: IT-Sicherheit für Systeme der Automatisierungstechnik: 

Randbedingungen für Maßnahmen beim Einsatz in der 

Prozessindustrie, Arbeitsblatt NA 115, 2006 

[7] Lüders, S.: Anforderungen an die Cyber-Sicherheit von 

Kontrollsystemen, CERN, 2006 

[8] Siemens AG: Sicherheitskonzept PCS 7 und WinCC, Verfügbar 

unter: http://support.automation.siemens.com/WW/llisapi.dll? 

func=cslib.csinfo&lang=de&siteid=csius&aktprim=0&extranet= 

standard&viewreg=WW&objid=38616083&treeLang=de, 

zuletzt geprüft am 05.07.2011 

[9] Kobes, P.; Gummersbach, J.-L.; Palmin, A.; Talanis, T.; Schönmüller, 

B.: Security Management in der industriellen Automatisierung, 

In: Tagungsband der „Automation 2011“, Baden-Baden 2011 

[10] VDI/VDE GMA FA 5.22: Informationssicherheit in der industriellen 

Automatisierung – Allgemeines Vorgehensmodell, 

Richtlinie VDI/VDE 2182, Blatt 1, 2007 

38 


3 / 2012

andere als bei einem Enterprise SIEM. Letzteres sammelt 

die durch diverse Komponenten der Automatisierungsanlage 

erfassten Security Events und versendet 

selektiv Meldungen an die Operator Station. Dabei 

muss darauf geachtet werden, dass eine Meldung nur 

dann erzeugt wird, wenn der Operator auch tatsächlich 

eingreifen muss. Weitere wichtige Unterscheidungsmerkmale 

eines Industrial SIEM sind der geringe Konfigurationsaufwand, 

die einfache Bedienbarkeit sowie 

ein überschaubarer Wartungsaufwand. Das Verarbeiten 

einer möglichst hohen Anzahl Events pro Sekunde und 

die sehr leistungsfähige und komplexe Korrelationsfunktion 

sind eher zweitrangig. 

Durch die Realisierung der genannten Funktionen 

werden sowohl eine schnelle Reaktion auf kritische Security 

Events als auch forensische Auswertungen aller 

erfassten Security Events ermöglicht und die Anforderung 

nach Rückverfolgbarkeit erfüllt. 

Bild 3 veranschaulicht die wesentlichen Funktionen 

eines Industrial SIEM. 

Die Referenzklasse für die 


Erfahren Sie auf höchstem inhaltlichem Niveau, 

was die Automatisierungsbranche bewegt. Alle 

Hauptbeiträge werden im Peer-Review-Verfahren 

begutachtet, um Ihnen maximale inhaltliche 

Qualität zu garantieren. 

Genießen Sie ein einzigartiges Lektüreerlebnis, 

das ausgezeichnete Layout und die exklusive 

Produktausstattung. 

NEU 

Jetzt als Heft 

oder als ePaper 

erhältlich 

Fazit 

Ausgehend von Normen und Richtlinien wird gefordert, 

die Security in automatisierten technischen Systemen 

der Industrie zu erhöhen. Diese Standards sind in Zusammenarbeit 

von Anlagenbetreibern, Integratoren und 

Herstellern entstanden und für alle Parteien hilfreich 

und verbindlich. 

Eine kontinuierliche Überwachung des Security-Zustands 

eines solchen Systems ist dazu notwendig. Die Basis 

dafür ist, dass alle Komponenten des Automatisierungssystems 

relevante Security Events detektieren und an eine 

Einheit melden. Diese übergeordnete Einheit sammelt die 

Security Events und wertet sie aus, um Berichte zu generieren 

sowie, im Bedarfsfall, Alarme und Meldungen an die 

Operator Station eines PLS oder eines SCADA-Systems zu 

senden. Käufliche, für den Einsatz im Enterprise-Umfeld 

[11] Kästner, J.; Palmin, A.: Ganzheitliches Security-Konzept 

für die industrielle Automatisierung, In: Tagungsband der 

„Automation 2008“, Baden-Baden, 2008 

[12] ARC Advisory Group: Risiko als Anstoß für verstärkte 

Investitionen in die Cybersicherheit von Industriesteuerungen, 

Whitepaper, 2011. Verfügbar unter: 

http://www.industry.siemens.com/topics/global/en/ 

industrialsecurity/Documents/ARC-Siemens-CyberSecurity- 

2011-v1_d.pdf, zuletzt geprüft am 15.07.2011 

[13] Siemens AG, Industrial Security, Webseite, 2011. Verfügbar 

unter: http://www.industry.siemens.com/topics/global/de/ 

industrialsecurity/seiten/Default.aspx, zuletzt geprüft am 

15.07.2011 

[14] Schwenkler, T.: Sicheres Netzwerkmanagement: Konzepte, 

Protokolle, Tools, Springer-Verlag, Berlin Heidelberg, 2006 

Wählen Sie einfach das Bezugsangebot, 

das Ihnen zusagt! 

· Als Heft das gedruckte, zeitlos-klassische Fachmagazin 

· Als ePaper das moderne, digitale Informationsmedium für 

Computer, Tablet oder Smartphone 

· Als Heft + ePaper die clevere Abo-plus-Kombination 

ideal zum Archivieren 

Alle Bezugsangebote und Direktanforderung 

finden Sie im Online-Shop unter 


Oldenbourg Industrieverlag 


atp edition erscheint in der Oldenbourg Industrieverlag GmbH, Rosenheimer Str. 145, 81671 München

Hauptbeitrag 

Enterprise 

SIEM 

Verdichtete 


Events 


Log 

entwickelte, SIEM-Systeme eignen sich nicht für diese Aufgabe. 

Es müssen speziell für die Automatisierungstechnik 

angepasste SIEM-Systeme entwickelt werden. 

Die Bestrebungen, eine SIEM-Funktionalität für die Systeme 

der industriellen Automatisierung anzubieten, ist die 

Operator 

Station 

Alarme, 

Meldungen 

Industrial SIEM 

GUI 

Reporting 

Tool 

Correlation 

Engine 

E-Mails, 

SMS 

Reports 

Customer 

Connector 

Syslog 

Connector 

SNIP Trap 

Connector 

Bild 3: Ein möglicher Aufbau 

eines Industrial SIEM 

Security Events 

Firewall 

Switch 

SPS 

PC-Station 

Weitere Komponenten 

Antwort von Herstellern dieser Systeme auf neue Risiken 

– häufig ausgehend von verwendeten IT-Technologien – und 

entsprechenden Anforderungen der wichtigsten Standards. 

Ein ganzheitliches, anlagenweites Security Management 

– wie der im Rahmen der Arbeiten zu einer Security Station 

angestrebte und im vorliegenden Beitrag dargestellte – 

beinhaltet zudem Funktionalitäten, welche weder ein 

Enterprise SIEM noch ein Industrial SIEM bereitstellt. Zu 

dieser Funktionalität zählt beispielsweise eine optimale 

und gegebenenfalls automatische Anpassung des Schutzniveaus 

eines automatisierten technischen Systems. Diese 

Anpassung kann beispielsweise durch Aktivierung beziehungsweise 

Deaktivierung von entsprechenden Diensten, 

Einstellungen und Schutzmechanismen beziehungsweise 

deren Konfiguration realisiert werden. Im Rahmen der 

Vielzahl perspektivisch noch anstehenden Aufgaben im 

Umfeld „Security“ sind unter anderem diese Funktionalitäten 

zu diskutieren. 

Manuskripteingang 

06.12.2011 

Danksagung 

Im Peer-Review-Verfahren begutachtet 

Die Autoren danken Karl-Heinz Kirchberg für die 

gemeinsame Entwicklung des Konzepts und des 

Prototyps der Security Station. Weiterhin danken die 

Autoren Thomas Talanis und Bernd Schoen mueller 

sowie allen anderen beteiligten Kollegen des Sektors 

Industry für die gemeinsame erfolgreiche Arbeit am 

Konzept eines Industrial SIEM. 

Autoren 

Dipl.-Math. Anna 

Palmin (geb. 1973) 

ist Entwicklungsingenieurin 

im 

Themenfeld 

„Security in der 

Prozessautomatisierung“ 

in der 

Vorfeldentwicklung 

des Sektors Industry der Siemens AG in 

Karlsruhe. Sie hat Mathematik mit dem 

Schwerpunkt Kryptographie an der 

Justus-Liebig-Universität Gießen 

studiert. Ihre Hauptarbeitsgebiete sind 

Security Management, Security als 

Systemeigenschaft sowie praktische 

Evaluierung von Security-Konzepten 

und Security-Mechanismen. 

Siemens AG – I IA ATS 3 1, 

Östliche Rheinbrückenstraße 50, 

D-76187 Karlsruhe, 

Tel. +49 (0) 721 595 63 41, 

E-Mail: anna.palmin@siemens.com 

Dr.-Ing. Stefan 

Runde (geb. 1980) ist 

Projektleiter für das 

Thema "Future Architectures 

for Process 

Automation" bei 

Siemens. Nach der 

Ausbildung zum 

Energieelektroniker, 

studierte er Elektro- und Informationstechnik 

an der FH Hannover und promovierte an 

der Helmut-Schmidt-Universität Hamburg. 

Seine Forschungsinteressen sind Beschreibungsmittel, 

Methoden und Werkzeuge für 

verbesserte Engineering-Unterstützung und 

Architekturen von Automatisierungssystemen 

unter Berücksichtigung von Qualität, 

Effizienz und Einfachheit. 

Siemens AG – I IA ATS 3 1, 



Tel. +49 (0) 721 595 79 77, 

E-Mail: stefan.runde@siemens.com 

Dr.-Ing. 

Pierre Kobes 

(geb. 1954) ist 

Principal 

Engineer für das 

Thema „lT 

Security in 

Automation“ bei 

der Siemens AG 

in Karlsruhe. Er ist diplomierter 

Ingenieur der École Nationale 

Supérieure de Physique de Strasbourg 

und promovierte an der 

Universität Strasbourg. 

Siemens AG – I IA ATS 3 SP, 



Tel. +49 (0) 721 59584 33, 

E-Mail: pierre.kobes@siemens.com 

40 


3 / 2012

ISO 26000 

in der Praxis 

Der Ratgeber zum Leitfaden 

für soziale Verantwortung 

und Nachhaltigkeit 

Eine Norm zur Verbesserung der Welt? 

Nein, die ISO 26000 ist ein Leitfaden – nicht mehr, aber auch nicht weniger! 

Auch wenn die ISO 26000 kein zertifizierbarer Managementsystem-Standard 

und die Anwendung freiwillig ist, wird ihre Tragweite für Unternehmen 

beträchtlich sein. Denn sie ist ein Leitfaden, der anhand von beispielhaften Verhaltensregeln 

(Best Practices) Orientierung gibt, wie sich Organisationen verhalten 

sollten, damit sie nach internationalem Verständnis als gesellschaftlich 

verantwortungsvoll angesehen werden. Er stimmt sowohl mit den Richtlinien 

der Vereinten Nationen UN als auch mit den Richtlinien der internationalen 

Arbeitsorganisation ILO überein. Im besonderen Fokus dieses höchst aktuellen 

Ratgebers steht das Wirtschaftsleben im Zeitalter der Globalisierung. 

Hrsg.: K.-C. Bay 

1. Auflage 2010, 228 Seiten, Hardcover 

Oldenbourg Industrieverlag München 

www.oldenbourg-industrieverlag.de 

✁ 

Sofortanforderung per Fax: +49 (0)201 / 82002-34 oder im Fensterumschlag einsenden 

Ja, ich bestelle gegen Rechnung 3 Wochen zur Ansicht 

Ex. 

ISO 26000 in der Praxis 

1. Auflage 2010 – ISBN: 978-3-8356-3222-6 

für € 49,90 (zzgl. Versand) 

Die bequeme und sichere Bezahlung per Bankabbuchung wird 

mit einer Gutschrift von € 3,- auf die erste Rechnung belohnt. 


Vorname, Name des Empfängers 


PLZ, Ort 

Telefon 

Telefax 

E-Mail 

Antwort 

Vulkan Verlag GmbH 

Versandbuchhandlung 

Postfach 10 39 62 

45039 Essen 

Widerrufsrecht: Sie können Ihre Vertragserklärung innerhalb von zwei Wochen ohne Angabe von Gründen in 

Textform (z.B. Brief, Fax, E-Mail) oder durch Rücksendung der Sache widerrufen. Die Frist beginnt nach Erhalt 

dieser Belehrung in Textform. Zur Wahrung der Widerrufsfrist genügt die rechtzeitige Absendung des Widerrufs 

oder der Sache an die Vulkan-Verlag GmbH, Versandbuchhandlung, Huyssenallee 52-56, 45128 Essen. 


Bevorzugte Zahlungsweise Bankabbuchung Rechnung 

Bank, Ort 

Bankleitzahl 

Kontonummer 

✘ 

Datum, Unterschrift PAISO12010 

Nutzung personenbezogener Daten: Für die Auftragsabwicklung und zur Pflege der laufenden Kommunikation werden personenbezogene Daten erfasst und gespeichert. Mit dieser Anforderung erkläre ich mich damit einverstanden, dass ich vom 

Oldenbourg Industrieverlag oder vom Vulkan-Verlag per Post, per Telefon, per Telefax, per E-Mail, nicht über interessante, fachspezifische Medienund Informationsangebote informiert und beworben werde. Diese Erklärung kann 

ich mit Wirkung für die Zukunft jederzeit widerrufen.

hauptbeitrag 

Hardware-basierte 

Informationssicherheit 

Einsatz von Security-Token-Technologien 

Die Nutzung Ethernet-basierter Kommunikationssysteme in der Automatisierungstechnik 

erfordert zunehmend den Einsatz von IT-Security-Maßnahmen zum Schutz der Automatisierungsnetzwerke. 

Ausgehend von einer Darstellung der IT-Security-Schutzziele beschreibt 

dieser Beitrag Maßnahmen zur Erhöhung der Informationssicherheit von Automatisierungskomponenten 

beziehungsweise der Datenkommunikation, wobei hardwarebasierte 

Komponenten zur Informationssicherheit beitragen können. 

SCHLAGWÖRTER Informationssicherheit / Ethernet / Automatisierungsnetzwerk / 

Security Token 

Hardware-based IT security – 

Security Token Technologies in Automation 

The use of Ethernet-based communication systems in automation requires IT security 

measures to protect the automation networks. Based on the IT security objectives, methods 

are described to protect the automation components and communications infrastructure, 

including ways in which hardware-based components can be used to ensure security. 

KEYWORDS IT Security / Ethernet / Automation Network / Security Token 

42 


3 / 2012

Markus Runde, Karl-Heinz Niemann, Christopher Tebbe, Hochschule Hannover 

Der verstärkte Einsatz Ethernet-basierter Kommunikationssysteme 

in der Automatisierungstechnik 

erleichtert die vertikale Integration von der 

Feldebene bis zur Betriebsleitebene [1]. Eine Anbindung 

an das Internet ermöglicht darüber hinaus 

eine globale Vernetzung der Automatisierungskomponenten, 

zum Beispiel für Remote Services. 

Diese zunehmende Vernetzung führt zu einer Ausbreitung 

der IT-Security-Probleme aus der Bürowelt auf die Ebene der 

Automatisierung (beispielsweise Malware). Dadurch wächst 

der Bedarf an Maßnahmen zum Schutz der IT-Security von 

Automatisierungsanlagen. Inzwischen befassen sich Institutionen, 

wie IEC [2] und VDI/GMA [3], sowie Hersteller- und 

Anwendervereinigungen, wie die Profibus-Nutzerorganisation 

[4] und die ODVA [5], mit der Informationssicherheit in 

der Automatisierungstechnik. Maßgeblich werden hier Vorgaben 

zu einem Information Security-Management-System 

(ISMS) [6] sowie technische, personelle und organisatorische 

Maßnahmen behandelt, die im Wesentlichen an allgemeine 

Informations-Sicherheitskonzepte angelehnt sind. Bild 1 

zeigt die Struktur einer Automatisierungsanlage, wobei diese 

Vorgaben berücksichtigt werden. 

Die Vorgaben beschreiben primär den Aufbau einer Automatisierungsanlage, 

bei der Teilnetze, zum Beispiel durch 

Firewalls, abgeschottet werden. Innerhalb dieser Teilnetze 

gilt die Kommunikation als abgesichert (Trusted Zones). In 

[7] wird jedoch beschrieben, dass es möglich ist, Datenströme 

innerhalb dieser Teilnetze zu verfälschen und somit die Steuerung 

und die Sicherheit der Anlage zu beeinflussen. Um 

diesen Einfluss einzugrenzen, sind Maßnahmen erforderlich, 

die den Schutz der Anlage verbessern. Als Ausgangspunkt 

dienen die Schutzziele der Informationssicherheit. 

Dieser Beitrag beschreibt einen komponentenbasierten 

Schutz der Kommunikationsinfrastruktur von auf Ethernet 

basierenden Automatisierungsnetzwerken, welcher im Rahmen 

des vom Bundesministerium für Bildung und Forschung 

geförderten Projekts „Sichere Produktion in verteilten Automatisierungsanlagen 

(SEC_PRO)“ erarbeitet werden. Dabei 

verfolgt das Vorhaben den Einsatz von Hardware-basierten 

Security-Token-Technologien zur Wahrung der Informationssicherheit 

in automatisierungstechnischen Anlagen. 

1. Definition der IT-Schutzziele und MaSSnahmen 

Die Durchsetzung von Schutzzielen ist zur Erhaltung 

der IT-Security von datenhaltenden Systemen maßgeblich. 

Dabei ist es die Aufgabe der IT-Security-Maßnahmen, 

Beeinträchtigungen des Systems abzuwenden. 

Hieraus ergeben sich definierte IT-Schutzziele, 

die für Büro und Automatisierung gelten. Die Schutzziele 

folgen den allgemeinen in der IT-Sicherheit gültigen 

Vorgaben. 

Insbesondere die Verfügbarkeit, Vertraulichkeit und Integrität 

werden in Übereinstimmung mit den Ausführungen 

in [3] als grundlegende Schutzziele aufgeführt. Häufig 

wird diesen Schutzzielen in Anwendungen der Automatisierungstechnik 

eine andere Priorität zugeordnet als in 

der Bürowelt [2]. 

1.1 Maßnahmen zur Erfüllung der Schutzziele 

Auch innerhalb von geschützten Bereichen ist ein Angriff 

auf Automatisierungskomponenten denkbar. Folglich ist 

die Einbindung der Automatisierungsgeräte selbst zur 

Wahrung der IT-Schutzziele sinnvoll. Dazu können kryptografische 

Maßnahmen angewendet werden, die bereits 

in der Standard-IT üblich sind [8]. Nachfolgend werden 

diese Maßnahmen erläutert [9] [10]. 

Authentizität und Verbindlichkeit 

Die Authentizität von Netzwerkteilnehmern wird über 

den Austausch eindeutiger Identifikationsmerkmale sichergestellt. 

Bild 3 zeigt die Abfolge zur Authentifizierung 

zweier Teilnehmer. 

Die Nutzung der eindeutigen Identifikationsmerkmale 

ermöglicht darüber hinaus eine direkte Zuordnung von 

Vorgängen zu bestimmten Teilnehmern in einem Netzwerk. 

Hierdurch kann das Schutzziel der Nichtabstreitbarkeit 

erfüllt werden. Teil der Identifikationsmerkmale können 

zudem zusätzliche Daten enthalten, die der weiteren Absicherung 

der Kommunikation dienen. Ein Beispiel wäre der 

Austausch von Sitzungsschlüsseln. 


3 / 2012 

43

Hauptbeitrag 

Bild 2: Grundlegende Schutzziele 

der Informationssicherheit [3] 

Verfügbarkeit 

Vertraulichkeit 

Integrität 

Nichtabstreitbarkeit 

Authentizität 

sonstige 

Schutzziele 

Bild 1: IT-Security-Maßnahmen in Automatisierungsnetzwerken 

Header Klartext Trailer 

Header Anfrage Idenfikaonsmerkmal T1 Trailer 

Erstellen einer 

Prüfsumme der Daten mit 

geheimen Schlüssel 

Prüfsumme 

Header Anfrage Idenfikaonsmerkmal T1 Trailer 

Header 

Klartext 

Verschlüsselte 

Prüfsumme 

Trailer 

Bild 3: Authentifizierungsvorgang 

Bild 5: Schutz der Integrität der Daten 



Verschlüsseln 

der Daten 


Header 

Verschlüsselter Text 

Trailer 

Bild 4: Ungesicherte Datenkommunikation 

Bild 6: Schutz der Vertraulichkeit der Daten 

Integrität und Vertraulichkeit 

Die Übertragung von Daten in einem Netzwerk erfolgt in 

der Regel im Klartext (Bild 4). Dies kann sinnvoll sein, da 

sich die Kommunikation im Wartungsfall mit einem Diagnosegerät 

analysieren lässt. Allerdings stellt die Datenübertragung 

im Klartext ein potenzielles Informationssicherheitsrisiko 

dar [7]. 

Zum Schutz der Daten werden zwei Ansätze verfolgt, 

um die Integrität beziehungsweise die Vertraulichkeit der 

Daten zu erhalten [10]. 

Schutz der Integrität: Um eine Datenintegrität zu erzielen, 

sind Prüfsummenverfahren zu verwenden, die Manipulationen 

an den übertragenen Informationen erkennbar 

machen (siehe Bild 5). 

Eine sichere Prüfsumme wird mit Hilfe eines gemeinsamen 

Geheimnisses erzeugt, dass der Empfänger und 

der Sender kennen. Dazu wird das Geheimnis (Schlüssel) 

während der Erzeugung der Prüfsumme so eingebunden, 

dass ein Berechnen der Prüfsumme durch einen Dritten, 

der nicht über den Schlüssel verfügt, unmöglich ist. Bei 

diesem Verfahren bleiben die Daten weiterhin lesbar 

(beispielsweise mit einem Netzwerkdiagnosewerkzeug 

wie Wireshark). Veränderungen an den Inhalten sind 

jedoch erkennbar. 

Schutz der Vertraulichkeit: Die Erhaltung der Vertraulichkeit 

der zu übertragenden Daten lässt sich durch eine 

Verschlüsselung erreichen, welche mit Hilfe eines gemeinsamen 

Geheimnisses durchgeführt wird (siehe Bild 7). 

Bei der Verschlüsselung werden die Ursprungsdaten 

durch die verschlüsselten Daten unter Anwendung eines 

gemeinsamen geheimen Schlüssels ersetzt. In diesem Fall 

sind die Daten durch Dritte nicht mehr lesbar, auch nicht 

für ein Netzwerkdiagnosewerkzeug. 

Nachweis der Verfügbarkeit 

Eine häufig erfolgreiche Angriffsstrategie ist, einzelne Komponenten 

außer Gefecht zu setzen und durch Angreiferkomponenten 

zu ersetzen. Im Sinne der Informationssicherheit 

können Maßnahmen getroffen werden, die die Verfügbarkeit 

eines Teilnehmers beziehungsweise einer Verbindung zweifelsfrei 

nachweisen. Dazu werden kryptografische Merkmale 

eingesetzt. Diese dürfen durch unautorisierte Dritte nicht 

reproduzierbar sein. Das einfachste Beispiel hierfür ist die 

Verwendung von verschlüsselten Sequenznummern. 

44 


3 / 2012

1.2 Herausforderung bei der Erfüllung 

der Schutzziele 

Neben organisatorischen und personellen kommen technische 

Maßnahmen, wie Firewalls, zum Einsatz, um die 

Schutzziele zu wahren. Entsprechende Maßnahmen 

können durch den Einsatz von kryptografischen Verfahren 

unterstützt werden. Dazu müssen Schlüsselinformationen 

sicher in den Baugruppen der Automatisierungsanlage 

verwahrt werden. 

Dies stellt jedoch besondere Herausforderungen an Automatisierungsanlagen, 

was die Schlüsselverwahrung und 

Schlüsselverwaltung betrifft. Im Folgenden werden ein mögliches 

Verfahren zur sicheren Verwahrung von Schlüsselinformationen 

in Automatisierungskomponenten beschrieben 

und die Problematik der Schlüsselverwaltung behandelt. 

2. Security-Token-Technologien 

Für die Anwendung kryptografischer Verfahren werden 

Schlüsselinformationen benötigt, welche sicher verwahrt 

werden müssen. In der Regel liegen diese Schlüsselinformationen 

im Speicher des jeweiligen Automatisierungsgeräts 

vor. Diese Schlüsselinformationen könnte ein Angreifer 

über eine Schwachstelle im Automatisierungsgerät 

möglicherweise auslesen. Solch ein Zugriff auf Schlüsselinformationen 

würde die kryptografischen Maßnahmen 

unwirksam machen. 

Da eine Aufbewahrung der Schlüsseldaten im Speicher 

des Automatisierungsgeräts selbst nicht sicher ist, empfiehlt 

sich ein Speicher, der von äußeren Einflüssen unabhängig 

arbeitet. Security Token verfügen über diese Art von sicherem 

Speicher und bieten zudem zahlreiche weitere kryptografische 

Funktionen, die auf ihnen ausgeführt werden [11]. 

Bei den Security Token handelt es sich um Halbleiterbausteine, 

welche speziell zur Ausführung und Beschleunigung 

von kryptografischen Funktionen und zur sicheren Verwahrung 

von Schlüsseln entwickelt wurden. Der Aufbau des 

Token verhindert dabei einen Zugriff auf intern abgespeicherte 

Informationen sowie die Einflussnahme auf kryptografische 

Funktionen, die im Token implementiert sind. 

2.1 Aufbau eines Security Token 

Bild 7 zeigt den grundlegenden Aufbau eines Security 

Token und der darin enthaltenen Komponenten. 

Anbindung des Security Token 

Die Anbindung eines Security Token erfolgt über Leiterplattenbusse, 

wie den I²C- oder Low-Pin-Count-Bus (LPC), 

kann jedoch auch über andere Busse erfolgen. Dabei verarbeitet 

das Token bei entsprechenden Befehlen über die 

Schnittstelle mitgelieferte Daten. Auf Vorgänge innerhalb 

des Token besteht kein Zugriff. 

Funktionen des Kryptoprozessors 

Der im Token enthaltene Kryptoprozessor stellt verschiedene 

Funktionen (Kryptofunktionen) zur Berechnung von 

kryptografischen Verfahren zur Verfügung. So kann das 

überlagerte System den Kryptoprozessor mit der Verarbeitung 

wie der Verschlüsselung und Entschlüsselung von Datenpaketen 

beauftragen. Durch die direkt im Token realisierten 

kryptografischen Funktionen ist gewährleistet, dass 

für die Informationssicherheit kritische Berechnungen, wie 

Verschlüsselungen, die geheimer Schlüsselinformationen 

bedürfen, durch äußere Einflüsse unbeeinflusst bleiben. 

Speicher des Security Token 

Ein Security Token verfügt über flüchtige und nichtflüchtige 

Speicher. Der nichtflüchtige Speicher hält Informationen 

vor, die zur eindeutigen Identifikation des Token dienen. In 

der Regel verlassen die Informationen im nichtflüchtigen 

Speicher niemals das Token. Im Gegensatz dazu hält der 

flüchtige Speicher Daten während der Laufzeit der Plattform 

vor, wie beispielsweise temporär genutzte Schlüssel. Handelt 

es sich um geheime Schlüssel, verlassen diese niemals 

unverschlüsselt das Token. Deshalb können Dritte die 

Schlüsselinformationen weder beeinflussen noch auslesen. 

Maßnahmen gegen Manipulationen 

Security Token verfügen häufig über konstruktive Maßnahmen 

im Aufbau, die das physische Auslesen von Informationen 

aus dem Token verhindern sollen. Allerdings 

sind Fälle bekannt, in denen die Informationen ausgelesen 

werden konnten [12]. Solche Verfahren sind jedoch äußerst 

aufwendig und setzen ein spezielles Equipment voraus. 

2.2 Vergleich von Technologien 

Derzeit werden verschiedene Security-Token-Technologien 

auf dem Markt vertrieben. Die häufigste Variante sind 

die Smartcards [13], wie sie zum Beispiel für den elektronischen 

Zahlungsverkehr oder für den neuen Personalausweis 

verwendet werden. Dazu lassen sich die Smartcards 

mit beliebigen Funktionen ausstatten. Neben diesen 

tragbaren Token werden seit einigen Jahren auch Security 

Token in Chipform verwendet. Ein Beispiel ist das 

Trusted-Platform-Module (TPM) [14], welches ähnliche 

Funktionen wie eine Smartcard zur Verfügung stellt und 

im Rahmen des Trusted Computing eingesetzt wird [15]. 

Neben diesen beiden Security-Token-Technologien gibt 

es weitere Varianten. Jedoch sind diese weniger wichtig 

für Anwendungen in der Automatisierungstechnik. Tabelle 

1 bringt einen Vergleich der beschriebenen Technologien 

für einen Einsatz in der Automatisierungstechnik. 

Trotz der geringen Anzahl an Kryptofunktionen eignet 

sich das TPM aufgrund seiner Bauweise besonders für eingebettete 

Systeme. Durch die feste Bindung des TPM an eine 

Plattform ist im Falle eines Defekts der Plattform das TPM 

mit auszutauschen. Daher muss die Plattform mit dem entsprechenden 

TPM nach einem Tausch über entsprechende 

Verfahren wieder in die Anlagenstruktur eingebunden werden. 

Smartcards hingegen sind, insbesondere aufgrund 

ihrer Kontaktierung, für den industriellen Einsatz (Vibration, 

Schock, aggressive Atmosphäre) nicht geeignet. Weiterhin 

ist die Integration der Smartcard deutlich teurer. 

Wenngleich sich die Smartcard für eingebettete Systeme 

weniger eignet, so ist eine Anwendung zur personengebundenen 

Benutzerauthentifizierung (zum Beispiel an 

Leitstationen) sinnvoll. Sowohl TPM als auch Smartcard 

verfügen über einen sicheren Speicher, um kryptografische 

Informationen aufzubewahren. 

3. Security Token in der Automatisierungstechnik 

Die Funktionen eines Security Token bieten die Möglichkeit, 

die jeweilige Komponente beziehungsweise deren Datenkommunikation 

zu schützen.. Bild 8 zeigt eine Automatisie- 


3 / 2012 

45

Hauptbeitrag 

rungskomponente mit integriertem Security Token (TPM). 

Durch die Integration des TPM und der darin enthaltenen 

weltweit eindeutigen Schlüsselinformationen ist die 

Automatisierungskomponente zweifelsfrei im Netz identifizierbar. 

Durch diese Eigenschaften und die Bindung an 

ein einziges Gerät stellt das Security Token ein vertrauenswürdiges 

System (Trusted Platform) im Netzwerk dar. 

So können sich alle Teilnehmer eines Netzwerks gegenseitig 

eindeutig authentifizieren. 

Durch diese Kombination ist es denkbar, eine homogene 

IT-Security-Infrastruktur von der Betriebsleitebene bis zur 

Feldebene umzusetzen. Aufgrund der eindeutigen Identifizierbarkeit 

eines Systems mittels TPM lässt sich somit 

eine sichere Kommunikation in Ethernet-basierten Automatisierungsnetzwerken, 

über die Grenzen eines Teilnetzes 

hinaus, ermöglichen. 

Dies führt zu neuen Aufgaben hinsichtlich der Verwaltung 

der Schlüssel der verschiedenen Automatisierungskomponenten. 

Da dies insbesondere im Umfeld der Automatisierungstechnik 

aufgrund des Mengengerüsts und 

der Komplexität von Anlagen mit hohem Aufwand verbunden 

ist, ist es sinnvoll, ein öffentliches Schlüsselmanagement 

zu verwenden. Hierbei kann beispielsweise ein 

Public-Key-Management (PKI) zum Einsatz kommen, 

welches automatisch die Schlüssel und Identifikationsmerkmale 

verteilt. Im Rahmen des Projektes SEC_PRO 

wird in einem Teilprojekt zurzeit ein Verfahren zur 

Schlüsselverwaltung in automatisierungstechnischen 

Anlagen auf Basis einer PKI erarbeitet und der damit verbundene 

Aufwand analysiert [17]. 

3.1 Evaluierung der Echtzeitfähigkeit 

Der Einsatz der Security-Token-Technologie in der Automatisierungstechnik 

stellt weiterhin Anforderungen an die 

Automatisierungskomponenten hinsichtlich der Echtzeitfähigkeit. 

Für die folgende Betrachtung zur Echtzeitfähigkeit 

ist der offene industrielle Profinet-Standard entsprechend 

der aktuellen Spezifikation herangezogen worden [18]. 

Profinet ermöglicht eine zyklische echtzeitfähige Kommunikation 

im Bereich unter 1 ms. Um eine Verarbeitung 

der übertragenen Daten in diesem Taktzyklus zu ermöglichen, 

werden die Daten vor Ablauf dieser Zeit zur Verfügung 

gestellt. Um daher die Echtzeitfähigkeit zu erreichen, 

ist die Verarbeitung aller Informationen unterhalb von 

500 µs sinnvoll. 

Nutzung kryptografischer Funktionen 

Hinsichtlich der dabei einzusetzenden Kryptofunktionen 

geben das National Institute of Standards and Technology 

(NIST) und das Bundesamt für Sicherheit in der Informationstechnik 

(BSI) Empfehlungen über die Verwendung 

dieser Funktionen in der Informationstechnik heraus (Tabelle 

2). Diese Empfehlungen berücksichtigen einen sicheren 

Einsatz der jeweiligen Kryptofunktion über das Jahr 

2030 hinaus. Dabei wird zwischen symmetrischen, zu 

welchen im weitesten Sinne auch Prüfsummenverfahren 

gehören, und asymmetrischen Verfahren unterschieden 

[10]. Da wegen der langen Laufzeiten von Produktionsanlagen 

ein Einsatz von Kryptofunktionen in der Automatisierungstechnik 

über das Jahr 2030 hinaus erforderlich 

ist, sind entsprechende Verfahren zu verwenden. 

Grundlage dieser Beurteilung ist die jeweilige kryptografische 

Stärke. Diese wird oftmals anhand des Aufwandes 

zur Lösung des zugrunde liegenden mathematischen 

Problems der kryptografischen Funktion und der dabei 

verwendeten minimalen Schlüsssellänge definiert. Da mit 

steigender kryptografischer Stärke der notwendige Aufwand 

zur Berechung dieser Funktionen zunimmt, ist insbesondere 

der Aspekt der Ressourcenbeschränkung in 

Automatisierungsgeräten maßgebend bei der Verwendung 

dieser Funktionen. Daher erfolgt im weiteren Verlauf eine 

Bewertung auf Basis der Laufzeit der Algorithmen, um die 

Echtzeitfähigkeit zu gewährleisten. Um die Vergleichbarkeit 

zu wahren, werden dabei stets die kryptografischen 

Funktionen eingesetzt, die die jeweiligen Plattformen zur 

Verfügung stellen. 

Anbindung und Echtzeiteignung 

Die Anbindung eines Security Token erfolgt über eine für 

das Token erstellte Schnittstelle. Bild 9 verdeutlicht diese 

Anbindung. 

Um die Echtzeiteignung festzustellen, ist eine Messung 

der Laufzeit der auf den Token implementierten Kryptofunktionen 

durchgeführt worden. Da das Token die Berechnungen 

eigenständig durchführt, hat das System, auf 

dem das Token eingesetzt wird, keinen Einfluss auf die 

Messung. Sämtliche Funktionen werden im Kryptoprozessor 

des Token durchgeführt, weshalb die Schlüsseldaten 

nur intern im Token verwendet werden. 

Zur Messung der Laufzeit der Funktionen sind dem Token 

Daten zur Verarbeitung übermittelt worden. Diese entsprachen 

einer maximalen Größe der Profinet-Nutzdaten (1440 Byte). 

Wie die gemessenen Zeiten in Tabelle 3 zeigen, ist bei 

alleiniger Nutzung des Security Token beziehungsweise 

der implementierten Kryptofunktionen aufgrund der begrenzten 

Rechenleistung keine echtzeitfähige Kommunikation 

unter den zuvor definierten Bedingungen möglich, 

da entsprechende Operationen, je nach Verfahren, schon 

zwischen 3 ms und zirka 1,8 s benötigen. 

Wegen der niedrigen Rechenleistung sowie der begrenzten 

Anzahl von Kryptofunktionen in den Security Token, erfolgte 

eine Evaluierung eines weiteren Konzepts unter zusätzlicher 

Nutzung einer softwarebasierten Kryptobibliothek. 

Einsatz einer Kryptobibliothek 

Durch die Verwendung einer softwarebasieren Kryptobibliothek 

(beispielsweise OpenSSL [24]) werden die zuvor 

auf dem Security Token durchgeführten Kryptofunktionen 

auf eine Rechnerplattform ausgelagert. Bild 10 zeigt 

die Anbindung des Token an die Anwendung bei Nutzung 

einer softwarebasierten Kryptobibliothek. 

Durch diese Anbindung kann die größere Rechenleistung 

der jeweiligen Rechnerplattform zur Berechnung der 

Kryptofunktionen in Anspruch genommen werden. Dadurch 

verringert sich die Laufzeit der Berechnung. Die 

kritischen Schlüsselinformationen werden jedoch weiterhin 

im Token belassen und bei Bedarf im Token direkt 

erstellt. Diese werden im Kontext der Anwendung nur 

geschützt verwendet und verlassen das Token gegebenenfalls 

nur verschlüsselt. Somit dient das Token als externer, 

sicherer Schlüsselspeicher. Dadurch ist gewährleistet, dass 

trotz der Berechnung der Kryptofunktionen außerhalb des 

Token auf der Rechnerplattform die Schlüsseldaten geschützt 

und die genannten Schutzziele gewahrt bleiben. 

Tabelle 4 zeigt die Auswertung einer Messung bei Nutzung 

einer Kryptobibliothek auf einem niedrig-performanten 

System mit einem CPU-Takt von 600 MHz, wie es zum 

Beispiel in eingebetteten Systemen anzutreffen ist. Die 

Bewertungskriterien sind analog zur vorherigen Messung 

bei alleiniger Nutzung der Security Token. 

46 


3 / 2012

3.2 Bewertung der Einsatzfähigkeit 

Ein Security Token selbst ist nicht in der Lage, kryptografische 

Funktionen zur Aufrechterhaltung einer Profinet- 

Echtzeitkommunikation zu verarbeiten (Tabelle 3). Aufgrund 

der begrenzten Rechenleistung eines Security 

Token bietet sich die Auslagerung der Kryptofunktionen, 

zur Berechnung außerhalb des Token, an. Durch die stark 

angestiegene Rechenleistung, auch im Umfeld der Automatisierungsgeräte, 

ist so eine rechtzeitige Verarbeitung 

der kryptografischen Funktionen gewährleistet, wenngleich 

hierdurch die Komplexität der Anbindung des Token 

erhöht wird (Tabelle 4). 

Bei diesem kombinierten Ansatz zeigt sich, dass asymmetrische 

Verfahren wie das RSA-Kryptosystem und Elliptic- 

Curve-Cryptography (ECC) aufgrund der in Tabelle 4 dargestellten 

hohen Laufzeiten dennoch ungeeignet sind. Symmetrische 

Kryptofunktionen hingegen, wie AES oder Verfahren 

auf Basis von Prüfsummen, sind für die echtzeitfähige Profinet-Verbindung 

einsetzbar. Da jedoch im Allgemeinen Verfahren 

wie RSA und ECC primär zur Authentifizierung eingesetzt 

werden, bietet sich deren Einsatz für den einmaligen 

Verbindungsaufbau zwischen Teilnehmern im Netzwerk an. 

Die Verarbeitungszeit des kryptografischen Algorithmus ist 

dabei als unkritisch zu sehen. Auf diesem Wege kann ein 

Sitzungsschlüssel für ein symmetrisches Verfahren übertra- 

Schnistelle 


Kryptoprozessor 

Kryptofunkonen 

Flüchger Speicher 

Nichlüchger 

Speicher 

Bild 7: Grundaufbau eines Security Token 

Auswahlkriterien 

Smartcard 

TPM 

Kryptografische Algorithmen + - 

Eindeutige Identifizierbarkeit o + 

Anwendungsentwicklung o + 

Herstellerunabhängigkeit + + 

Datentransferrate o + 

Komplexität der Integration - + 

Austauschbarkeit + - 

Kosten - + 

Anwendung in 

Automatisierungskomponenten 

Bewertung o + 

o 

+ 

Tabelle 1: Vergleich von Smartcard und TPM [16] 

Bild 8: Anwendung eines Security Token 

in Automatisierungskomponenten 

Rechnerplattform 

Rechnerplattform 


Bild 9: 

Anbindung des 

Security Token an 

die Anwendung 


Bild 10: 

Nutzung einer 

Kryptobibliothek 

Jahr 

Minimale 

Schlüssellänge 

Symmetrisches 

Kryptosystem 

Asymmetrisches Kryptosystem 

RSA [10] ECC [21] 

Prüfsummenverfahren 

2011 - 2030 112 3DES [19] 2048 224 SHA-244 [22] 

2030+ 128 AES-128 [20] 3072 256 SHA-256 

2030++ 192 AES-192 7680 284 SHA-384 

2030+++ 256 AES-256 15360 512 SHA-512 

Tabelle 2: 

Empfohlene 

kryptografische 

Funktion nach 

NIST [23] 


3 / 2012 

47

Hauptbeitrag 

gen werden, der sich zur weiteren gesicherten echtzeitfähigen 

Profinet-Kommunikation nutzen lässt. 

3.3 Anwendungsmöglichkeiten eines Security Token 

Die Nutzung eines Security Token erlaubt Anwendungsmöglichkeiten, 

die im Kontext der Automatisierungstechnik 

eine hohe Relevanz aufweisen. Dabei kann das oben 

gezeigte Konzept aus Security Token und Kryptobibliothek 

genutzt werden. Diese sind: 

A: Authentifizierung der Automatisierungskomponenten 

Durch die Nutzung des Token entsteht eine vertrauenswürdige 

Plattform. Diese Plattform weist sich gegenüber 

allen Teilnehmern des Netzwerkes eindeutig aus. 

S: Schutz der echtzeitfähigen Datenkommunikation 

Bei Authentifizierung erfolgt der Austausch von 

Schlüsselinformationen. Diese gewährleisten den Aufbau 

einer sicheren echtzeitfähigen Kommunikation. 

S: Schutz vor Produktpiraterie 

Die eindeutige Identität ermöglicht die Überprüfung 

der Echtheit einer Plattform. So ist eine Erkennung 

plagiatierter Automatisierungsgeräte möglich. 

V: Verteilte Überwachung der Komponenten 

Das TPM ermöglicht eine Attestierung des Zustands 

der Plattform gegenüber anderen Teilnehmern im 

Netzwerk. Damit erfolgt eine verteilte Überwachung 

der Gerätefunktionalität, die den Zustand der Anlage 

im Sinne der Informationssicherheit erfasst. 

Es zeigt sich, dass der Einsatz der Security-Token-Technologie 

zahlreiche Möglichkeiten bietet, die Informationssicherheit 

in Automatisierungsnetzwerken zu verbessern. 

Zusammenfassung und Ausblick 

Die Verwendung Ethernet-basierter Kommunikationssysteme 

in der Automatisierungstechnik fordert den 

Einsatz geeigneter Maßnahmen zum Schutz des Automatisierungsnetzwerks 

gegen Eingriffe in die IT-Security. 

Die Darstellung der Schutzziele zeigte, dass eine 

Absicherung der Automatisierungsnetzwerke durch 

geeignete kryptografische Maßnahmen unterstützt werden 

kann. Die dabei angewandten kryptografischen 

Funktionen sind auf den Automatisierungskomponenten 

direkt auszuführen, um einen Schutz innerhalb der 

abgeschotteten Teilnetze zu etablieren. Dies ergibt neue 

Herausforderungen für die sichere Verwahrung von 

Schlüsselinformationen in den Komponenten. 

Um darüber hinaus eine Verwaltung der Schlüssel im 

Umfeld komplexer Automatisierungsanlagen zu ermöglichen, 

ist der Einsatz eines automatischen und offenen 

Schlüsselmanagements via PKI denkbar. Dies muss jedoch 

hinsichtlich des damit verbundenen Aufwandes 

analysiert werden. Durch die hybride Verwendung von 

Security Token und einer Softwarelösung kann die Informationssicherheit 

in einem Automatisierungsnetzwerk 

verbessert und die Echtzeitfähigkeit dieses Ansatzes 

auf einem Profinet-Netzwerk erhalten werden. Allgemein 

zeigt sich, dass der Einsatz von Security Token 

auf Automatisierungskomponenten wichtige Beiträge in 

der Automatisierungstechnik leistet. 


01.11.2011 


Anzahl der Messungen: N = 20 

Angaben: Mittelwert 

± Standardabweichung 

Verschlüsseln / 

Signieren 

TPM (Security Token) 

Entschlüsseln / 

Verifizieren 

Smartcard (Security Token) 


Signieren 


Verifizieren 

AES-Kryptofunktion (256 Bit) nicht vorhanden 1 784 130 ± 12 833 μs 1 782 677 ± 1 729 μs 

Prüfsummenverfahren 

(AES-basiert / 128 Bit) 

nicht vorhanden 564 349 ± 3 824 μs 536 402 ± 1 284 μs 

RSA-Kryptofunktion (2048 Bit) 3603 ± 63 μs 4 595 471 ± 19 270 μs 1 014 050 ± 2 341 μs 3603 ± 63 μs 

ECC-Kryptofunktion (192 Bit) nicht vorhanden 569 212 ± 2 873 μs 511 219 ± 1 872 μs 

Tabelle 3: 

Laufzeitauswertung 

der Ansätze [16] 

Anzahl der Messungen: N = 20 

Angaben: Mittelwert 

± Standardabweichung 

Verwendung einer Kryptobibliothek (OpenSSL) 


Signieren 


Verifizieren 

AES-Kryptofunktion (256 Bit) 75 ± 1,5 μs 74 ± 2,4 μs 

Tabelle 4: 

Performance-Auswertung 

bei Nutzung einer 

Kryptobibliothek [16] 

Prüfsummenverfahren (AES-basiert / 128 Bit) 56 ± 0,4 μs 55 ± 0,2 μs 

RSA-Kryptofunktion (2048 Bit) 4 369 ± 430 μs 323 277 ± 3248 μs 

ECC-Kryptofunktion (192 Bit) 3 290 ± 1352 μs 4 950 ± 54 μs 

48 


3 / 2012

Referenzen 

Autoren 

[1] Schwab, C. et al.: Totally horizontal and vertical integration 

for automation systems - virtual automation networks, 

ETFA 2005. IEEE, 2006 

[2] ISA 99.01.01: Terminology, Concepts and Models, 2007 

[3] VDI/VDE 2182: Informationssicherheit in der industriellen 

Automatisierung. Beuth, 2008 

[4] PNO: PROFINET Security Guideline. PROFIBUS Nutzerorganisation 

e.V., (http://www.profibus.com/nc/downloads/ 

downloads/profinet-security-guideline/download/159/., 

Karlsruhe, 2005) 

[5] ODVA/Rockwell Automation: Security Whitepaper - Ethernet/ 

IP. Increasing Plant Floor Security Today, 

http://www.ethernetip.de/downloads/files/RA%20security% 

20whitepaper%208-25-03.pdf 2008 

[6] ISO 27001: Information technology - Security techniques 

- Information security management systems - Requirements, 

2008 

[7] Akerberg, J. et al.: Exploring Security in Profinet IO. 

COMPSAC 2009. IEEE, 2009 

[8] ISO 27002: Information technology -- Security techniques 

-- Code of practice for information security management, 

2008 

[9] Eckert, C.: IT-Sicherheit. Oldenbourg, München [u.a.], 6., 

überarb. und erw. Auflage, 2009 

[10] Schneier, B.: Angewandte Kryptographie. Protokolle, 

Algorithmen und Sourcecode in C. Addison-Wesley, Bonn 

[u.a.], 1999 

[11] Mayes, K. E. et al.: Smart cards, tokens, security and 

applications. Springer, New York ; London, 2008 

[12] Tarnovsky, C.: How to Crack a Smartcard Chip. BlackHat DC 

Conference, BlackHat, 2010 

[13] Rankl, W.: Smart card handbook. Wiley, Chichester, West 

Sussex, U.K, 2010 

[14] Trusted Computing Group: Trusted Platform Module (TPM) 

Main Specification. Part 1: Design Principles. v1.2, 2007 

[15] Pohlmann, N. et al.: Trusted Computing. Ein Weg zu neuen 

IT-Sicherheitsarchitekturen. Vieweg, Wiesbaden, 2008 

[16] Tebbe, C: Auswahl und Erprobung einer Security-Token- 

Technologie für den Einsatz in Windows-basierten Automatisierungskomponenten, 

Master Thesis. Hannover, 2011 

[17] Hausmann, S.; Heiss, S.: Einsatz einer PKI in der Automatisierungstechnik. 

In atp edition Automatisierungstechnische 

Praxis 3/2012. Oldenbourg Industrieverlag GmbH, München, 

2012, S. 30-32 

[18] IEC 61784-2: Industrial communication networks - Profiles 

-- Additional fieldbus profiles for real-time networks based 

on ISO/IEC 8802-3, 2007 

[19] FIPS 46-3: Specification of Data Encription Standard (DES). 

Federal Information Processing Standards, 1999 

[20] FIPS 197 Specification for the Advanced Encription Standard 

(AES). Federal Information Processing Standards, 2001 

[21] Darrel Hankerson et al.: Guide to Elliptic Curve Cryptography. 

Springer-Verlag New York, Inc., Secaucus, NJ, USA, 2003 

[22] FIPS 180-2 Specification for the Secure Hash Standard (SHA). 

Federal Information Processing Standards, 2001 

[23] Barker E. et al.: Recommendation for Key Management 

- Part 1: General – Revision http://csrc.nist.gov/groups/ST/ 

toolkit/documents/SP800-57Part1-Revision3 May2011.pdf, 

Mai 2011 

[24] Ralf S. Engelschall: OpenSSL: The Open Source toolkit for 

SSL/TLS (Website) http://www.openssl.org/, Februar 2011 

Dipl.-Ing. (FH) Markus 

Runde M.Eng. (geb. 1984) 

ist seit 2010 wissenschaftlicher 

Mitarbeiter an der 

Fakultät I - Elektro- und 

Informationstechnik der 

Hochschule Hannover im 

Fachbereich Prozessinformatik 

und Automatisierungstechnik. 

Zuvor studierte er an der 

Fachhochschule Hannover Automatisierungstechnik 

und Prozessinformatik. Forschungsschwerpunkt: 

Entwicklung von informationstechnischen 

Sicherheitslösungen für vernetzte 

Automatisierungskomponenten. 

Hochschule Hannover, Fachbereich Elektrotechnik, 

Postfach 92 02 61, D-30441 Hannover, 

Tel. +49 (0) 511 92 96 12 40, 

E-Mail: Markus.Runde@FH-Hannover.de 

Prof. Dr.-Ing. Karl-Heinz 

Niemann (geb. 1959) 

vertritt seit dem Jahr 2005 

die Lehrgebiete Prozessinformatik 

und Automatisierungstechnik 

an der 

Hochschule Hannover. Von 

2002 bis 2005 war er an der 

Fachhochschule Nordostniedersachsen 

für das Lehrgebiet Prozessdatenverarbeitung 

verantwortlich. Davor war er in 

leitender Stellung in der Entwicklung von 

Prozessleitsystemen unter anderem bei ABB, 

Elsag Bailey und Hartmann & Braun tätig. 



Tel. +49 (0) 511 92 96 12 64, 

E-Mail: Karl-Heinz.Niemann@FH-Hannover.de 

Christopher Tebbe 

M.Sc. (geb. 1984) ist seit 

2012 wissenschaftlicher 


Fakultät I - Elektro- und 

Informationstechnik der 

Hochschule Hannover 

im Fachbereich Prozessinformatik 

und Automatisierungstechnik. 

Zuvor studierte an der 

Fachhochschule Hannover angewandte 

Informatik mit dem Schwerpunkt sichere 

Informationssysteme. 



Tel. +49 (0) 511 92 96 12 40, 

E-Mail: Christopher.Tebbe@FH-Hannover.de 


3 / 2012 

49

hauptbeitrag 

Integriertes System- und 

Dienste-Management 

Ein Weg zur verbesserten Informationssicherheit 

Das Management von Eigenschaften von Automatisierungskomponenten, die Einfluss auf 

die Informationssicherheit haben können, ist eine komplexe Herausforderung. Dieser 

Beitrag stellt einen Ansatz zum Systemmanagement vor und zeigt, wie sich durch ein 

einheitliches, durchgängiges Vorgehen die Informationssicherheit in automatisierungstechnischen 

Anlagen positiv beeinflussen lässt. Anhand zweier Anwendungsfälle wird 

dargestellt, wie das Web Based Enterprise Management in die Automation überführt 

werden kann. 

SCHLAGWÖRTER Serviceorientiertes Management / Web Based Enterprise Management / 

IT-Security-Management / Netzwerkmanagement 

A way to improve System Security – 

Integrated System and Service Management 

Managing the complex security related features of automation components is a challenging 

task. This article presents an approach to system management and describes how an homogeneous, 

integrated approach can have a positive impact on overall IT security in automated 

plant. Two applications are presented showing how Web-based enterprise management 

can be implemented for industrial automation. 

KEYWORDS Service oriented Management / Web Based Enterprise Management / 

Security-Management / Network Management 

50 


3 / 2012

Robert Lehmann, Roman Frenzel, Martin Wollschlaeger, Technische Universität Dresden 

Moderne Automatisierungssysteme zeichnen 

sich neben stetig wachsender Funktionalität 

durch eine Zunahme der Komplexität aus. 

Dies trifft auf die Komponentenanzahl und 

die Vielfalt der eingesetzten Technologien zu. 

Um diese Komplexität über den Lebenszyklus hinweg beherrschen 

zu können, ist es notwendig, umfassende Managementsysteme 

in der Automatisierung zu etablieren. 

Durch die zunehmende Komplexität wachsen auch die 

Herausforderungen an ein durchgängiges, handhabbares 

und vor allem verständliches Management von Funktionen 

und Eigenschaften, die die Informationssicherheit [1] 

betreffen. Eine solche Art von IT-Security-Management 

findet in modernen Automatisierungsanlagen weitestgehend 

proprietär statt – sofern relevante Funktionen und 

Eigenschaften überhaupt aktiv gemanagt werden. 

Eine einheitliche Sicht auf die Informationssicherheit 

gewinnt in der Automatisierungstechnik deutlich an Relevanz. 

Dies verdeutlichen die intensiven Bemühungen 

der nationalen (VDI, Namur, BSI) und internationalen Gremien 

(ISA) und das wachsende Bewusstsein der Anwender 

und Hersteller. 

Die Thematik Datenschutz und Datensicherheit ist für den 

Anwender in der Regel fest verwoben mit den Begriffen Verfügbarkeit, 

Integrität und Verschlüsselung. Es ist offensichtlich, 

dass diese Punkte für die Informationssicherheit eines 

Gesamtsystems, eines Geschäftsbereiches oder sogar eines 

ganzen Unternehmens signifikant sind. Einen bedeutenden 

Anteil an der Gesamtsicherheit haben jedoch auch vermeintlich 

kleine Faktoren, die aus funktionaler, administrativer 

oder betrieblicher Sicht einen Beitrag leisten. Eine einfache 

Möglichkeit, Dienste im Netzwerk von zentraler Stelle ausoder 

einschalten zu können, dürfte einen stärkeren Einfluss 

auf die Systemsicherheit haben, als beispielsweise die gleichen 

Dienste ausschließlich über eine zusätzliche Firewall 

zu reglementieren. Das Abschalten von nicht benötigten 

Diensten ist nachhaltiger als das Blockieren derselben. Derartige 

kleine Faktoren werden durch moderne Systemmanagementansätze 

(Bild 1) adressiert, die im Wesentlichen 

dem FCAPS-Gedanken folgen. Hinter FCAPS verbergen sich 

Managementfunktionen, die die Aufgabenbereiche Failure-, 

Configuration-, Accounting-, Performance- und eben auch 

(IT)-Security-Management adressieren [2]. 

1. Management in der Automatisierung 

In Automatisierungssystemen werden bereits Management- 

Ansätze verfolgt, wobei das Netzwerkmanagement im Fokus 

steht. Das Systemmanagement adressiert über das Netzwerkmanagement 

hinaus alle Bestandteile eines verteilten 

Systems. Dazu zählen neben IT-Strukturen prinzipiell auch 

verteilte Automatisierungssysteme. Systemmanagement 

mit offenen Standards hat heute in der Automatisierung 

jedoch nur eine untergeordnete Bedeutung. Durch die zunehmende 

Integration von IT-Basistechnologien (Ethernet, 

Web, XML) in die Automation ist es naheliegend, auch die 

Ansätze zum Management dieser Technologien auf ihre 

Anwendbarkeit für die Automation zu überprüfen. In IT- 

Systemen ist eine Reihe von Managementstandards für 

verschiedenste Anwendungsbereiche verfügbar. Diese reichen 

von spezifischen Managementverfahren für Webservices 

oder für Zertifikate über die auch in der Automation 

bekannten Managementverfahren SNMP (Simple Network 

Management Protocol) bis hin zu vollständigen Systemmanagementverfahren 

wie WBEM (Web Based Enterprise Management). 

Alle genannten Standards haben einen mehr 

oder weniger starken Anspruch an das Management von 

Eigenschaften, die die Informationssicherheit betreffen. 

SNMP ist bis heute der einzige Managementstandard 

aus der IT, der in der Automation verbreitet ist. So ist zum 

Beispiel für alle Profinet-IO-Geräte ab Conformance Class 

B SNMP zwingend zu unterstützen. In der IT selbst kommt 

SNMP flächendeckend zum Einsatz. Die Mehrheit der Systemhersteller 

bietet umfassende SNMP-Implementierungen 

im Rahmen ihrer Produkte an. 

Eine verwaltete Komponente (engl. managed component) 

wird im SNMP als Agent bezeichnet. Sie nimmt Anfragen 

des Managers entgegen und führt sie aus. Der Agent ist das 

Bindeglied zwischen Management-Protokoll und der 

Funktion beziehungsweise Hardware der Komponente. Die 

Kommunikation erfolgt meist vom Manager zum Agenten, 


3 / 2012 

51

Hauptbeitrag 

eine Ausnahme bilden die SNMP-Traps, die ereignisbasiert 

Nachrichten vom Agenten zum Manager übermitteln. 

SNMP spezifiziert nicht, welche Daten (managed objects) 

ein Agent liefern muss, sondern legt mit der Management 

Information Base (MIB) als Informationsmodell lediglich 

Struktur und Notation der Daten fest. Ein explizites Funktionsmodell, 

das funktionale Zusammenhänge beschreibt, 

existiert in SNMP nicht. 

SNMP zeichnet sich vor allem durch seine Einfachheit 

und geringe Komplexität aus. Die flache Struktur der Datagramme 

lässt – allerdings nur bei genauer Kenntnis der 

managed objects – einen direkten lesenden und schreibenden 

Zugriff zu. SNMP ist leistungsstark, solange bekannt 

ist, welche Daten angefragt werden sollen. Ein SNMPwalk, 

das sukzessive Abfragen von Datengruppen, ist hingegen 

aufwendig, da für jeden Iterationsschritt eine neue Anfrage 

gestellt wird. 

Obwohl SNMP in vielen Bereichen eingesetzt wird, zeigt 

sich doch, dass es bei komplexen Anwendungsfällen an 

technische Grenzen stößt. So ist das Informationsmodell 

nur bedingt erweiterbar, zumindest führen Erweiterungen 

zu großer Redundanz der MIBs. Eine für die Anwendung 

in der Automation wesentliche Einschränkung ist, dass 

Zusammenhänge struktureller oder funktionaler Art innerhalb 

des Modells, die über einfache Gliederungen in 

Tabellen hinausgehen, in der MIB nicht modellierbar sind. 

Während in SNMP zum Beispiel einfach darstellbar ist, 

über wie viele Ethernetanschlüsse ein Gerät verfügt und 

wie viele davon aktuell genutzt werden, muss die Anzahl 

der freien Anschlüsse hingegen als neuer Wert in das Informationsmodell 

eingeführt werden und kann nicht aus 

den beiden bekannten Werten abgeleitet werden. Erweitert 

man den Anwendungsfall um die Frage, welche der Anschlüsse 

wie projektiert sind, etwa um die Nutzung nicht 

autorisierter Anschlüsse zu erkennen, so ist dies in SNMP 

nur durch funktionale Verknüpfungen außerhalb des Informationsmodells 

möglich. 

Ursprünglich als Zwischenlösung bis zur Einführung 

komplexerer Managementansätze gedacht, hat sich SNMP 

bis heute behaupten können. SNMP hatte in Version 1 massive 

Sicherheitseinschränkungen. Bis einschließlich Version 

2c werden keinerlei Authentifizierung oder Verschlüsselung 

unterstützt. Die mit der aktuellen Version 3 

eingeführten Sicherheitsmechanismen adressieren dies, 

werden in der Praxis auf Grund ihrer Komplexität jedoch 

nur sporadisch eingesetzt. 

2. Web Based Enterprise Management 

Mitte der 90er-Jahre wurde von einem Konsortium bestehend 

aus Cisco Systems, Microsoft Corporation, Compaq 

Computer, BMC Software und der Intel Corporation der erste 

Vorschlag zu Web Based Enterprise Management (WBEM) 

eingereicht, mit dem eine einheitliche und offene Plattform 

zum übergreifenden Management von Systemen geschaffen 

werden sollte. Diese soll Management nicht mehr auf Lesen 

und Setzen von Werten reduzieren, sondern Managementaufgaben 

als funktionsbezogene Dienste anbieten und dabei 

soweit möglich bestehende Technologien und Standards 

integrieren. Mittlerweile ist WBEM [3] die Basis für eine 

ganze Reihe von Managementinitiativen, die auf den durch 

die Distributed Management Task Force (DMTF) standardisierten 

Konzepten und Technologien aufsetzen. 

Innerhalb der IT wird WBEM durch eine Vielzahl von 

Unternehmen unterstützt und ist untrennbar mit der Erfolgsgeschichte 

der Internettechnologien verbunden. So 

nutzt WBEM Technologien wie http und XML, trägt aber 

auch Informationssicherheitsüberlegungen Rechnung. Anders 

als bei SNMP sind sowohl Authentifikation, Autorisation, 

Integrität, Verschlüsselung und auch Logging fester 

Bestandteil der WBEM-Infrastruktur. 

WBEM ist kein monolithischer Standard, sondern bezeichnet 

eine Gruppe von Technologien zum System-Management. 

Anders als bei den klassischen Management- 

Ansätzen gibt es in einer WBEM-Infrastruktur eine zentrale 

Kommunikationskomponente, den CIM Object Manager 

(CIMOM) (siehe Bild 2). Der CIMOM nimmt Anfragen 

von WBEM-Clients und Antworten der Provider (dem 

Pendant zu SNMP-Agents) entgegen. In der Kommunikation 

fungiert der CIMOM somit als Broker zwischen beiden 

Elementen. Die Provider dienen als Schnittstelle zwischen 

WBEM und dem Managed Node. 

Die Provider stellen Softwarekomponenten dar, die für 

spezifische Aufgaben geschaffen werden. Sie können Werte 

lesen, manipulieren oder Funktionen ausführen. Dabei 

ist offen, wo ein Provider implementiert ist. Es besteht 

keine Notwendigkeit, dass der Provider auf dem gleichen 

Host wie der CIMOM ausgeführt wird, er kann auch direkt 

auf dem Managed Node oder einem beliebigen anderen 

Host laufen. Es ist ebenfalls möglich, einen vollständigen 

WBEM-Server auf einem Kompaktgerät zu betreiben, ein 

Ansatz wird in [4] erläutert. 

3. Common Information Model (CIM) 

Die letzte wesentliche Komponente eines WBEM-Systems 

ist das CIM-Repository. Es enthält das Informationsmodell, 

das gemäß der CIM-Spezifikation aufgebaut ist. Alle 

Managed Objects in einem WBEM-System sind durch 

einen entsprechenden Eintrag im CIM repräsentiert. Wie 

erwähnt, ist CIM das Informationsmodell, das nicht nur 

hinter WBEM, sondern auch hinter einer Anzahl an spezifischen 

Management-Initiativen steht. CIM zeichnet 

sich vor allem durch einen vollständig objektorientierten 

Ansatz aus [5][6]. Anders als in MIB können in CIM komplexe 

Zusammenhänge zwischen Informationen durch 

Modellelemente ausgedrückt werden. 

CIM stellt sich als einheitliches, erweiterbares und 

durch einen hohen Grad an Wiederverwendung gekennzeichnetes 

Modell dar. Das Modell selbst besteht aus drei 

Teilen, die als Schema [7] verfügbar sind. Das zentrale 

Schema ist das Core-Schema, es enthält die grundlegenden 

Modellelemente und ist nur wenigen Veränderungen unterworfen. 

Die Common-Schemas decken die üblichen 

Anwendungsfälle ab und werden an technologische Änderungen 

angepasst. Die Extension-Schemas sind der dynamischste 

Teil. Mit ihnen werden spezifische Managementfunktionen 

und detaillierte Ausprägungen modelliert. 

Neue Technologien sind zunächst ebenfalls in Extension-Schemas 

modelliert. Prinzipiell können alle 

Schemateile durch den Anwender umgestaltet werden, 

wobei die Kompatibilität zur WBEM-Infrastruktur solange 

erhalten bleibt, wie nicht gegen die Konventionen im Meta-Schema 

verstoßen wird. 

Die Core- und Common-Schemas werden von der DMTF 

gepflegt und verwaltet und beinhalten bereits eine Viel- 

52 


3 / 2012

zahl an Schemas, die direkt in der Automation angewendet 

werden können. So befasst sich das Network-Schema mit 

logischen Eigenschaften der Kommunikationsinfrastruktur, 

das Physical-Schema mit physischen Eigenschaften 

von Managed Objects (unter anderem Abmessungen, 

Steckplätze) und das Setting-Schema mit deren aktuellen 

Konfigurationen. 

4. Einsatzmöglichkeiten von WBEM 

Einfache Aufgaben im Bereich des Managements von Automatisierungsanlagen 

lassen sich mit Systemen wie SNMP 

gut lösen. Gewinnen die Szenarien an Komplexität, steigt 

der Aufwand der Umsetzung mit solchen Systemen überproportional. 

Im Folgenden wird an zwei Anwendungsfällen 

veranschaulicht, in welchen Bereichen Web Based 

Enterprise Management die Komplexität für den Anwender 

reduziert und in welchem Umfang moderne Managementsysteme 

die Informationssicherheit positiv beeinflussen. 

4.1 Versionsmanagement 

Automatisierungskomponenten besitzen Software in 

Form von Firmware. Durch verschiedene Randbedingungen 

kann es notwendig werden, die Software auf den Geräten 

zu aktualisieren, um den korrekten Betrieb weiterhin 

zu gewährleisten, oder bei bekannten Schwachstellen 

angemessen zu reagieren. 

Die Aktualisierung der Software erfolgt in der Regel mit 

herstellerspezifischen Werkzeugen und beinhaltet eine 

Hier entstehen Paketverluste! 

Manager 

. 

. 

. 

ERP 

. 

. 

. 

MES 

Mana- 

gement- 

Server 

Welche Komponenten sind nicht aktuell? 

Welche Dienste werden (von wem) angeboten? 

Schaltet alle Dienste ab, die nicht in Policy_X sind! 

... 

F 

C 

A 

P 

S 

Bild 1: 

Dienstorientiertes 

Management 

Operator Station / WBEM-Client 

Operator 

Informationsmodell 

(CIM) 

WBEM-System 

XML 

RMI 

Authentifizierungs- 

Server 

Nutzer r/w Rechte, 

Namespace-Rechte 

CMPI 

CIMOM 

Java 

Repository 

(CIM) 

Provider Provider Provider 

. . . 

Bild 2: 

Architektur einer 

WBEM-Anwendung 


3 / 2012 

53

Hauptbeitrag 

Profinet 

Get_Instance: CIM_ComputerSystem 

Get_Instance: TUDIC_ Device (abstractclass) 

I&M 

I&M 

Get_Instance:TUDIC_DevicePN Get_Instance:TUDIC_DevicePB 

Device 

Device 

Provider 

generischer 

WBEM-Client 

Get_Instance: Linux_Computer System 

Web 

Server 

Web Service 

Auslösung I&M 

Web Service 

Updateserver 

Provider 

Provider 

CIMOM 

spezifischer 

WBEM-Client 

WBEM 

Web Server 

(Hersteller) 

Bild 3: Anwendungsfall 

Versionsmanagement mit WBEM 

Abfolge von Schritten, die sich für jedes Gerät annähernd 

wiederholt. Hierzu gehören Schritte wie das Feststellen 

des Ist-Standes, das Ermitteln und Auswählen des Soll- 

Standes aus den vom Hersteller angebotenen Versionen 

sowie gegebenenfalls das Einspielen des gewählten Softwarestandes 

nach anlagenspezifischen Richtlinien. Jeden 

dieser Teilschritte für eine große Anzahl von Geräten manuell 

zu wiederholen, beansprucht relativ viel Zeit. Während 

dieser Reaktionszeit verbleibt das System in einem 

potenziell gefährdeten Zustand. 

WBEM ermöglicht es, die Einzelschritte für das Überprüfen 

der Möglichkeit und Notwendigkeit einer Softwareaktualisierung 

zu einem einzelnen Arbeitsschritt 

zusammenzufassen. Dabei ist die Anzahl an Geräteinstanzen, 

für die eine Updateüberprüfung durchgeführt werden 

soll, kein limitierender Faktor. WBEM kann ganze Klassen 

und Klassenhierarchien von Informationen als Block abfragen 

(Bild 3). Mit einer einzigen Anfrage an das System 

können zum Beispiel alle aktualisierbaren Profinet-Geräte 

eingesehen werden. Die Verknüpfung der Informationen, 

ob eine Aktualisierung verfügbar ist, übernimmt das Informationssystem 

selbst. 

Für die Realisierung des Anwendungsfalls ist es erforderlich, 

Geräteinformationen zu gewinnen, anhand derer 

festgestellt werden kann, ob für die Geräte neue Softwarekomponenten 

vorliegen. Für Profibus und Profinet hat 

die Profibus International (PI) die Identification & Maintenance-Functions 

(I&M) [8] definiert. Sie beinhalten Informationen, 

die als numerische Werte in den Geräten abgespeichert 

sind. Darunter befinden sich Angaben über Hersteller, 

Gerätetyp, Seriennummer, Revisionsnummern, 

Installationsdatum. Sind die Informationen ausgelesen, 

können sie mithilfe externer Systeme interpretiert werden, 

sodass ein Zugriff auf weitere Informationen wie Einbauanleitungen 

oder Zertifikate ermöglicht wird. 

Im vorliegenden Szenario wird das I&M-Feld SoftwareRevision 

aus jedem Gerät ausgelesen. Dazu ist der 

I&M-Datensatz in CIM modelliert (Bild 4). Für die Feldbustechnologien 

kommen dabei unterschiedliche Provider 

zum Einsatz. Die Vererbungshierarchie stellt sicher, dass 

zukünftige Technologien, die I&M-Daten unterstützen, 

mittels geringfügiger Modellerweiterung und eigenen Providern 

eingebunden werden können. Aktualisierungen auf 

Clientseite sind nicht notwendig. 

Nachdem über die Provider die Softwareversion eines 

oder mehrerer Geräte ermittelt wurde, lässt sich mit Hilfe 

eines externen I&M-Datensatzes [9] die Adresse eines 

WebService-Servers beim Hersteller abfragen. So kann der 

WBEM-Provider feststellen, ob eine neue Version vorliegt 

und weitere Angaben zu Beschreibung, Priorität und Ausgabedetails 

der neuen Version abfragen. Da Softwareupdates 

in Automatisierungssystemen nicht unkritisch sind, 

sieht der Anwendungsfall vor, dass ein Verantwortlicher 

in geeigneter Weise darauf hingewiesen wird, dass ein 

Softwareupdate vorliegt. Er kann bei Bedarf und nach 

gründlicher Prüfung die Aktualisierung mittels WBEM- 

Funktionsaufruf einspielen. 

Hersteller moderner Systeme und Geräte sehen entsprechende 

Maßnahmen in der Regel bereits vor. Es handelt 

sich dabei jedoch um proprietäre Systeme, die auf bestimmte 

Geräte (die des Herstellers) und Feldbussysteme 

beschränkt sind. WBEM dagegen bietet eine durchgängige 

Lösung an, die feldbusunabhängig ist und für alle Geräte 

angewandt werden kann, sofern die Gerätehersteller bereit 

sind, entsprechende Schnittstellen zu schaffen. WBEM 

erlaubt es, über die Provider einen Schutz von Hersteller- 

Know-how zu wahren. 

4.2 Änderung an Netzwerkverbindungen 

Ein weiteres reales Problem von Automatisierungssystemen 

ist der unbefugte Zugriff auf Daten, die zwischen 

Beteiligten eines Systems ausgetauscht werden. Die Über- 

54 


3 / 2012

Bild 4: 

Schemaerweiterung 

zum Einbinden von 

I&M in bestehende 

CIM-Schemas 

wachung des physischen Zugriffs auf die Kommunikationsinfrastruktur 

an allen Orten ist – insbesondere in 

komplexen Installationen – eine Herausforderung. 

Bekommt eine unbefugte Person Zugriff zu einem 

Switch, kann sie unter Umständen einen noch ungenutzten 

und ungesicherten Ethernetanschluss nutzen, um Geräte 

in die Infrastruktur einzubinden oder eine Kabelverbindung 

zu ersetzen. Das Abgreifen beziehungsweise 

Einschleusen von Daten wird dadurch vereinfacht oder 

überhaupt erst ermöglicht. 

Deshalb ist es wünschenswert, über Änderungen von 

Kabelverbindungen informiert zu werden. An dieser Stelle 

kommen zum Beispiel SNMP-Agents zum Einsatz. Sie 

können Traps auslösen und diese an einen vorher definierten 

Host senden. Hier endet die Funktionalität von SNMP. 

Wie mit dieser Trap umgegangen und wie darauf reagiert 

wird, ist nicht mehr Bestandteil von SNMP. WBEM liefert 

weiterführende Informationen, etwa wo sich die auslösende 

Geräteinstanz befindet, wie viele physische Ports sie 

insgesamt hat, wie viele Ports laut Projektierung genutzt 

werden. Eine WBEM-Lösung verlangt dabei nicht nach 

einer vollständigen Neukonfiguration von bestehenden 

Lösungen auf SNMP-Basis, sondern integriert diese und 

erweitert sie. 

Damit WBEM zusätzliche Daten liefern kann, ist es notwendig, 

die Informationsmodelle um entsprechende Informationsquellen 

zu erweitern. Das ist nicht notwendig, 

wenn die Quellen bereits für einen anderen Anwendungsfall 

modelliert wurden. Quellen können fast beliebige Formen 

haben, etwa Herstellerdatenbanken, Projektierungsinformationen 

oder auch Live-Daten von Geräten. Sind 

Informationsquellen modelliert, können Beziehungen 

zwischen ihnen aufgebaut werden. Eine ist-verbundenmit-Beziehung 

würde beispielsweise auf Grundlage der 

eingebundenen Informationsquelle Projektierungsdatenbank 

die Information liefern, mit welcher Gegenstelle das 

umgesteckte Kabel verbunden sein sollte. 

Im vorliegenden Anwendungsfall wäre lediglich die 

Anbindung an die Projektierungsdatenbank neu zu modellieren. 

Die Integration von SNMP-Traps (DMTF: CIM_ 

SNMPTrapIndication) und die ist-verbunden-mit-Beziehung 

(DMTF: CIM_ConnectedTo) sind in den Common- 

Schemas der DMTF bereits enthalten und lassen sich direkt 

wiederverwenden. 

5. Potenziale von WBEM 

Immer, wenn Technologien neu in eine Domäne eingebracht 

werden, stellt sich die Frage nach dem Nutzen und 

dem Mehrwert. Sicherlich trifft das bei WBEM – vor allem 

zu Beginn – auch zu. Modelle müssen erst erweitert oder 

geschaffen, Provider müssen zunächst erzeugt werden. 

WBEM bietet jedoch eine Reihe von Vorteilen gegenüber 

den bestehenden Lösungen. Durch die starke und noch 

zunehmende Verbreitung von WBEM in der IT können 

durch den Einsatz in der Automation die beiden Domänen 

besser gekoppelt werden. Hier besteht Potenzial für erhebliche 

Kosteneinsparungen durch Wiederverwendung 

von Informationen, Geräte-Beschreibungen, Modellelementen 

und Schnittstellen. 

In der IT gibt es Anwendungsszenarien, die in Management 

Profiles beschrieben werden. Sie geben detailliert an, 

wie die WBEM-Informationsmodelle für eine spezielle 

Management-Aufgabe einzusetzen sind. Ähnliches wäre 

auch für die Automation denkbar und würde die Interoperabilität 

noch einmal deutlich steigen. Weiterhin sind 

für WBEM Ansätze vorhanden, die explizit das Thema 

IT-Security adressieren [10] und vollständig innerhalb des 

Informationsmodells arbeiten. Ähnlich zu den aus dem 

Datenbankbereich bekannten Anfragesprachen bietet 

WBEM mit WQL eine vergleichbare Sprache an. Damit ist 

es möglich, im instrumentierten Modell sehr komplexe 

Sachverhalte während der Laufzeit einfach abzufragen. 


3 / 2012 

55

Hauptbeitrag 

Wesentlich bei WBEM ist auch die Möglichkeit, bestehende 

Lösungen nahtlos zu integrieren. Dadurch ist es nicht 

nur machbar, Legacy-Systeme weiter zu betreiben, sondern 

dies führt auch zu einer Abstraktion und Harmonisierung 

der Schnittstellen. Letztlich sind für WBEM und CIM eine 

Reihe von leistungsfähigen Werkzeugen und Frameworks 

verfügbar, die Spezifikation und Implementierung von 

Modellen und Providern stark vereinfachen. 

Fazit 

Für heterogene Anwendungsgebiete wie die Automation 

erfordert das Management von Eigenschaften mit Auswirkungen 

auf die Informationssicherheit leistungsfähige 

Ansätze. Nur so kann die notwendige ganzheitliche Betrachtung 

erreicht werden. WBEM bietet dafür einen Ansatzpunkt. 

Die Konzepte, die hinter WBEM liegen, eignen 

sich gut für Ethernet-basierte Automatisierungssysteme, 

da eine Vielzahl von Modellen bereits vordefiniert ist. 

Eine Erweiterung auf spezifische Kommunikationslösungen 

wie Feldbusse ist relativ gut möglich. Dies kann zum 

Beispiel durch Beteiligung an der Standardisierung des 

Informationsmodells und durch Definition von automatisierungsspezifischen 

Managementprofilen erfolgen. 

Wie jede leistungsfähige Lösung bringt auch WBEM einigen 

initialen Aufwand mit sich. Allerdings sinkt dieser 

Aufwand besonders durch die hohe Wiederverwendbarkeit. 

WBEM bietet vor allem im Vergleich zu bestehenden 

Management-Lösungen auf Basis von SNMP größere Flexibilität 

und eine deutlich bessere inhärente Informationssicherheit. 


15.11.2011 


Referenzen 

[1] VDI/VDE 2182: Informationssicherheit in der industriellen 

Automatisierung. Beuth. 2008 

[2] ISO/IEC 10040: Information technology -- Open 

Systems Interconnection -- Systems management 

overview, 1998 

[3] Distributed Management Task Force, Web-Based 

Enterprise Management (WBEM) Initiative 2011, 

(http://www.dmtf.org/standards/wbem/) 

[4] Hutter, M. Szekely, A. und Wolkerstorfer J.:. 

Embedded System Management using WBEM, 

Integrated Network Management, IM '09, 2009 

[5] Distributed Management Task Force, 

CIM Infrastructure Specification 2010, 

(http://www.dmtf.org/standards/cim) 

[6] Hobbs, C.: Practical Approach to WBEM/CIM 

Management, CRC Press; 1st edition, 2004 

[7] Distributed Management Task Force, 2.29.0 CIM 

Schema 2011, 

(http://www.dmtf.org/standards/cim/ 

cim_schema_v2291) 

[8] Profibus Profile Guidelines, Part 1, Identification 

& Maintenance Functions. Version 1.1,Profibus 

International, May 2003, Order-No. 3.502 

[9] Wollschlaeger, M., Frenzel, R.: An Information 

Model for Life Cycle Support of Field Device related 

Documents. WFCS 2006 6th IEEE Workshop on Factory 

Communication Systems, 28. 30.06.2006, Turin, 

Proceedings pp.231-234 

[10] Pilz, A.: Policy-Maker, a Toolkit for Policy-Based 

Security Management, Network Operations and 

Management Symposium - NOMS 2004, 2004 

Autoren 

Univ.-Prof. Dr.-Ing. 

habil. Martin 

Wollschlaeger 

(geb. 1964) ist seit 

2003 Inhaber der 

Professur Prozesskommunikation 

an 

der TU Dresden. 

Arbeitsgebiete sind 

industrielle Automatisierungsnetze, 

Management von heterogenen industriellen 

Netzen, Informationsmodelle und 

Beschreibungssprachen sowie Integrationsprozesse 

in der Automation. 

Dipl. Inf. Robert 

Lehmann 

(geb. 1980) ist seit 

2007 wissenschaftlicher 

Mitarbeiter 

an der Professur 

Prozesskommunikation 

an der 

TU Dresden. 

Arbeitsgebiete sind Datensicherheit 

in industriellen Automatisierungsnetzen, 

Management von heterogenen 

industriellen Netzen sowie Industrial 

Ethernet. 

Dipl. Inf. Roman 

Frenzel (geb. 1980) 

ist seit 2007 wissenschaftlicher 


Professur Prozesskommunikation 

an 

der TU Dresden. 

Arbeitsgebiete sind 

Geräteintegration in industriellen 

Automatisierungsnetzen, Management 

von heterogenen industriellen Netzen 

sowie die Unterstützung von Profibus 

International bei der Umsetzung von 

Softwareprojekten. 

Technische Universität Dresden, 

Institut für Angewandte Informatik, 

D-01062 Dresden, 

Tel. +49 (0) 351 46 33 96 70, 

E-Mail: Martin.Wollschlaeger@tu-dresden.de 




Tel. +49 (0) 351 46 33 82 38, 

E-Mail: Robert.Lehmann@tu-dresden.de 




Tel. +49 (0) 351 46 34 20 13, 

E-Mail: Roman.Frenzel@tu-dresden.de 

56 


3 / 2012

Überarbeitete 

Neuauflage 

74,00 € 

MES – Grundlage der Produktion von morgen 

Effektive Wertschöpfung durch die Einführung von Manufacturing Execution Systems 

Entscheidungsträger, die sich mit zukunftsweisenden Produktionssystemen und Rentabilitätsfragen beschäftigen, kommen an MES nicht 

mehr vorbei. Nutzen Sie das umfassende Know-how und sichern Sie Ihrem Unternehmen eine hohe Rentabilität. Nach einer Betrachtung 

der funktionalen und technologischen Sicht von MES werden Strategien zur exanten Wirtschaftlichkeitsbetrachtung bei der Einführung 

von entsprechenden Systemen dargelegt. Dieses einzigartige Buch informiert herstellerneutral und bietet konkrete Einführungshilfen, 

Informationen zu Mitarbeiterschulung und Support sowie zwei konkrete Beispiele aus der Industrie. 

K. Thiel, H. Meyer, F. Fuchs • 2. Auflage 2010, 296 Seiten, Hardcover • ISBN: 978-3-8356-3183-0 

Handbuch der Prozessautomatisierung 

Prozessleittechnik für verfahrenstechnische Anlagen 

Dieses Handbuch vermittelt das relevante Wissen zur Planung automatisierungstechnischer Einrichtungen für verfahrenstechnische Anlagen 

und deckt das ganze Feld der Prozessautomatisierung ab. Behandelt werden Perspektiven der Prozessautomatisierung, informationstechnisch 

integrierte Betriebs- und Prozessleittechnik, Methoden, Geräte und Systeme zur Prozessführung, Kommunikation im Feld, Sensorik, Aktorik 

sowie die Planung, die Errichtung und der Betrieb automatisierungstechnischer Einrichtungen. Das aktualisierte und erweiterte schlagewerk gibt Hinweise zur Anwendung von Methoden, Systemen und Geräten sowie Marktübersichten mit den technischen Daten. 

Standardnach- 

K. F. Früh, U. Maier, D. Schaudel • 4. Auflage 2008, 828 Seiten, Hardcover • ISBN: 978-3-8356-3142-7 

178,00 € 

Top-aktuelle 

Neuerscheinung 

59,90 € 

Automatisierung für die Prozessindustrie 

NAMUR-Kompendium 2010 

Was interessiert Betreiber von verfahrenstechnischen Anlagen in Zeiten der Krise am meisten? Wie können Krisen als Chance genutzt 

werden? Antworten gibt dieses Kompendium, in dem die wichtigsten NAMUR-Aufsätze aus der atp der letzten Jahre zusammengestellt 

sind. Schärfen Sie Ihren Blick für neue Märkte, verschaffen Sie sich einen Überblick über den Stand der Technik und informieren Sie sich 

über Aspekte, die gerade jetzt besonders interessieren. Mit diesem Sammelband bekommen Sie wichtige Anregungen zu den Themen 

Anlagensicherheit, Feldbusse, Asset Management, Geräteintegration, Instandhaltung oder Umbau bestehender Produktionsanlagen. 

Diese Zusammenstellung gibt einen anschaulichen Überblick über die Arbeit der NAMUR. 

Hrsg. NAMUR • 1. Auflage 2010, 254 Seiten, Broschur • ISBN: 978-3-8356-3157-1 

Wörterbuch der Leit- und Automatisierungstechnik 

Im Zuge der Globalisierung werden Übersetzungen von automatisierungstechnischen Fachbegriffen immer wichtiger. Auch die veröffentlichten 

Werksnormen sind immer häufiger zweisprachig abgefasst. Entscheider wie auch Praktiker kommen im Berufsalltag mit 

fachspezifischen Englischkenntnissen schneller und besser voran. Das neue Wörterbuch (Deutsch – Englisch / Englisch – Deutsch) deckt 

alle wichtigen Begriffe der Leit- und Automatisierungstechnik ab und ist deshalb ein überaus nützliches, kompaktes Werk für Ingenieure 

und Techniker der Leit- und Automatisierungstechnik. 

W, Schorn, N. Große • 1. Auflage 2010, 150 Seiten, Broschur • ISBN: 978-3-8356-3170-0 

Top-aktuelle 

Neuerscheinung 

39,90 € 

Sofortanforderung im Online-Shop www.oldenbourg-industrieverlag.de 

oder telefonisch +49 (0)201 / 82002-14 

OLDENBOURG INDUSTRIEVERLAG GMBH 

VULKAN-VERLAG GMBH 

www.oldenbourg-industrieverlag.de • www.vulkan-verlag.de

hauptbeitrag 

Entwicklung von IT-Security- 

Tests für Profinet IO 

Schwachstellenminimierung bei der Geräteentwicklung 

Im Rahmen des Forschungsvorhabens VuTAT (Vulnerability Tests of AT Components) 

wird ein Testframework auf Basis frei verfügbarer Open Source Software entwickelt. Die 

Testmethodik fokussiert auf eine weitgehend automatisierte Identifikation und Analyse 

von IT-Security-Schwachstellen Ethernet-basierter Automatisierungskomponenten. Der 

Beitrag analysiert etablierte Testmethoden und Werkzeuge und die spezifiziert anwendungs- 

und kommunikationsbezogenen Kenngrößen, um die Testansätze systematisch zu 

erweitern. 

SCHLAGWÖRTER Informationssicherheit / Test / Robustheit / Profinet IO 

Development of IT Security Tests for Profinet IO – 

Manage Vulnerabilities in the Device Development 

In the VuTAT research project, a test framework will be defined and implemented which 

is based on open source software. The test method focusses on the identification and analysis 

of IT security vulnerabilities of Ethernet-based automation components. Established 

test methods and tools are analysed, as well as application and communication related 

characteristic parameters, with the aim of systematically extending the test approach. 

KEYWORDS IT security / robustness / test / Profinet IOx 

58 


3 / 2012

Heiko Adamczyk, Tino Doehring, ifak e.V. Magdeburg 

Mit der VDI/VDE-Richtlinie 2182 wird aus dem 

Blickwinkel der industriellen Automation aufgezeigt, 

dass ein kausaler Zusammenhang zwischen 

Bedrohung (zum Beispiel Virus), 

Schwachstelle (beispielsweise Design-, Implementierungs-, 

Konfigurationsfehler im Kommunikations- 

Stack) und Risiko besteht. Zerlegt man das Risiko in seine 

zwei klassischen Faktoren, so erhält man das Schadensausmaß 

und die Eintrittswahrscheinlichkeit. Wird weiterhin 

angenommen, dass Bedrohungen (zum Beispiel nach BSI- 

Grundschutzkatalog [5]) latent vorhanden sind und sie nicht 

ohne Weiteres eliminiert werden können – auch nicht, wenn 

auf jegliche Kommunikationstechnik verzichtet wird. Bereits 

über einen externen Speicher kann ein Virus jederzeit in ein 

Automatisierungsgerät eingebracht werden, vorausgesetzt, 

das Gerät verfügt über eine solche externe Speicherschnittstelle. 

Geht man nun einen Schritt weiter und betrachtet auch 

die vorhandene Feldbusschnittstelle, dann wird klar, dass 

ein gewisses Bedrohungspotenzial immer prinzip- beziehungsweise 

konstruktionsbedingt existiert. Mit der Einführung 

Ethernet-basierter Automatisierungsprotokolle, vertikaler 

Integration, Fernwartung und Fernsteuerung steigt 

automatisch die Bedeutung der Einhaltung von Anforderungen 

an die Informationssicherheit (IT-Security). 

Im Forschungsvorhaben VuTAT [1] wurde die beschriebene 

Wirkungskette näher beleuchtet. Dabei ging es darum, 

wie Hersteller von Automatisierungslösungen einen wirkungsvollen 

Beitrag zur Berücksichtigung von IT Security 

bei der Geräteentwicklung leisten können. Letztlich war 

die Frage zu beantworten, an welchem Hebel der Wirkungskette 

einfach und effektiv angesetzt werden kann. Das Risiko 

mit den Faktoren Eintrittswahrscheinlichkeit und 

Schadensausmaß bedingt Wissen über die Endanwendung, 

inklusive der Assets. Dieser Hebel steht allerdings mehr 

dem Endanwender und weniger dem Hersteller zur Verfügung. 

Wenn die genannten Faktoren aus der Wirkungskette 

gestrichen werden, bleibt allein die Schwachstelle übrig. 

Liegen dem Hersteller keine IT-Security-Anforderungen 

vor, besteht nicht die Notwendigkeit einer Implementation 

von speziellen IT-Security-Schutzfunktionen (zum Beispiel 

Mechanismen zur Verschlüsselung, der Integritätssicherung). 

Trotzdem kann und sollte er einen Beitrag zur 

Gewährleistung von IT-Security während der Produktentwicklung 

leisten. Die Etablierung eines IT-Security-relevanten 

Entwicklungsprozesses wäre ein zielführender 

Beitrag, wie er unter anderem in den Forschungsvorhaben 

Mosaik [7] und flexWARE [8] beschrieben wird. VuTAT 

liefert einen entscheidenden Beitrag zur Identifikation und 

Analyse von IT-Security-Schwachstellen in Ethernet-basierten 

Automatisierungsgeräten. Erste Ansätze werden 

dabei in diesem Beitrag vorgestellt. 

1. Standardisierung von IT-Security-Tests 

Ein wesentlicher Aspekt bei der Umsetzung eines IT-Security-relevanten 

Entwicklungsprozesses ist es, Schwachstellen 

zu reduzieren. Unter Schwachstellen werden Fehler im Sinne 

von Design-, Implementierungs- beziehungsweise Konfigurationsfehlern 

betrachtet. Grundlage der Analyse sind 

dabei Standards und Guidelines aus dem IT-Security-Umfeld, 

insbesondere aus dem Anwendungsbereich der industriellen 

Automatisierung. Als besonders relevant wurden 

Standards der ISO/IEC 27000-Serie und der IEC 62443 bewertet. 

Darüber hinaus hat sich in Deutschland die VDI/ 

VDE-Richtlinie 2182 etabliert. Erwähnenswert sind ebenfalls 

die Arbeitsergebnisse des National Institute of Standards and 

Technology [2], die Open Information System Security 

Group [3], das Open Source Security Testing Methodology 

Manual [4], das Bundesamt für Sicherheit in der Informationstechnik 

[5] sowie die Profibus-Nutzerorganisation e.V. [6]. 

Die von diesen Organisationen veröffentlichten Methoden 

wurden im Vorhaben VuTAT analysiert und bewertet. 

Aus dem Blickwinkel der aufgeführten Aktivitäten erscheinen 

vor allem die Ansätze des ISA Security Compliance 

Institute (ISCI), das in direktem Zusammenhang mit 

der IEC 62443 steht, und die Aktivitäten innerhalb der 

PNO, konkret im Arbeitskreis Profinet-Security, relevant. 

Im folgenden Abschnitt werden diese ausgewählten Aktivitäten 

eingehender beleuchtet. VuTAT verfolgt einen 

Best Practice-Ansatz, in dem möglichst viele bestehende 

Ansätze aufgegriffen werden. 


3 / 2012 

59

Hauptbeitrag 

2. Analyse IT-Security-relevanter Tests 

Im Umfeld der PNO wurde Ende 2009 das Profinet IO Net 

load Whitepaper [11] erarbeitet. Ziel ist, anhand von definierten 

Netzlast-Parametern, qualitative Aussagen zum 

Netzlastverhalten von Profinet IO (PNIO)-Geräten treffen zu 

können. Basierend auf diesem Whitepaper existiert seit Anfang 

2011 ein Werkzeug, das für PNO Mitglieder als „Profinet 

Security Level 1 Tester“ auf der PNO-Webseite zum 

kostenfreien Download zur Verfügung steht. Inwieweit nun 

IT-Security-Aspekte, wie zum Beispiel Denial of Service 

(DoS), damit abgedeckt werden, wurde im Vorhaben VuTAT 

speziell untersucht. Ergebnis der Analyse: Das Werkzeug 

Profinet Security Level 1-Tester, das eine Implementierung 

der Konzepte des Whitepapers darstellt, führt eher Robustheitstests 

und weniger dedizierte Security-Tests durch. So 

werden beispielsweise DoS-Tests explizit ausgeklammert. 

2.1 Profinet IO Net load Whitepaper 

Das Profinet IO Net load Whitepaper beschreibt Robustheitstests 

ausschließlich für PNIO-Geräte. Es wurden ausgewählte 

Parameter definiert, die eine qualitative Aussage 

zum Netzlastverhalten von PNIO-Geräten ermöglichen. 

Diese Aussagen werden während des Zertifizierungsprozesses 

gesammelt und sind informativer Bestandteil des 

Profinet-IO-Device-Zertifikats. Unter dem Begriff Net class 

IO 

Controller 

Monitoring 

via TAP 

Level 1 Level 2 

Level 3 

Software Development Security Assessment 

IO Device 

(Switch) 

IO Device 

under Test 

(DUT) 

IO Device 

(Switch) 

Functional Security Assessment 

Load Generator 

Communication Robustness Testing 

(all levels) 

Bild 1: Testsystem des Profinet Security Level 1-Tester 

Bild 2: ISASecure EDSA-Programm 

Certification scheme 

(100) 

Maintenance of 

ISASecure 

certification (301) 

ISASecure 

certification 

requirements (300) 

Chartered lab 

operations and 

accreditation (200) 

CRT tool 

recognition 

(201) 

ISCI certification 

scheme 

operation (101) 

Bild 3: 

Zertifizierungsschema 

nach ISCI [9]. 

FSA 

(311) 

SDSA 

(312) 

CRT 

common 

(310) 

Report 

example 

(303) 

Symbol and 

certificates 

(204) 

ASCI Chartered 

Test Lab Process 

ISO/IEC Guide 65 

ans IAF version 

ISO/IEC 17025 

ISO/IEC 17011 

CRT 

"Ethernet" 

(401) 

CRT 

ARP 

(402) 

CRT 

IPv4 

(403) 

CRT 

ICMPv4 

(404) 

CRT 

UDP 

(405) 

CRT 

TCP 

(406) 

PNIO Kommunikationskanal 

Anwendungsschnittstelle 


PNIO Kommunikationskanal 



Anwendung 

(Producer) 

Anwendung 

(Consumer) 

Anwendung 

(Producer) 

comm.req 

1 

PNIO Controller 

PNIO Device 

1 

Anwendung 

(Consumer) 

comm.ind 

Übertragungs 

-zeit 

Sendezyklusinterval 

comm.req 

1 

2 

PNIO Controller 

PNIO Device 

1 

2 

comm.ind 

Aktualisierungs 

-zeit 

Bild 4: Definition der Übertragungszeit 

Bild 5: Definition der Aktualisierungszeit 

60 


3 / 2012

wird so jedem zertifizierten PNIO-Device die Robustheit 

gegenüber definierten Netzlasten bescheinigt. 

Eine Umsetzung des Whitepapers erfolgte mit dem 

Werkzeug Profinet Security Level 1-Tester. Das Linuxbasierte 

Testwerkzeug (Kanotix, basiert auf Debian) arbeitet 

mit vordefinierten Testfällen, den KTpnio_NetzlastSequenzen. 

Sie sind als Skripte realisiert und lassen 

sich so einfach vom Nutzer ausführen. Dafür wird lediglich 

ein Paketgenerator benötigt (PackETH), der vorab in 

das Kanotix zu installieren ist. Während der Tests werden 

verschiedene Protokolle eingesetzt. Mit ihnen werden 

folgende zwei Klassen von Netzwerklasten erzeugt: 

Ungerichtete Netzwerklast: Hierbei werden Garbage- 

Telegramme mit unterschiedlichen Längen und undefiniertem 

Inhalt als Unicast, Multicast und Broadcast 

verwendet. Diese Telegramme sind direkt an das zu 

testende Gerät adressiert. 

Gerichtete Netzwerklast: Hier wird der Prüfling unter 

anderem mit den IT-Standard-Protokollen ARP, RARP, 

LLDP, IP, ICMP, TCP, UDP sowie den PNIO-Protokollen 

RTC, RTA, MRP, DCP und PTCP stimuliert (Broadcast, 

Multicast, Unicast). 

Die Testfälle werden in drei Klassen unterteilt: 

Normal Operation: Dabei behält ein Gerät seine vollständige 

Funktionalität bei, was beispielsweise den Erhalt 

der Echtzeitkommunikation und die Erreichbarkeit zusätzlicher 

Dienste, wie zum Beispiel SNMP, bedeutet. 

Limited Communication: Ein Gerät erfüllt seine Hauptaufgabe 

weiterhin, wobei die Echtzeitkommunikation 

ebenfalls nicht gestört sein soll. Allerdings muss die 

Erreichbarkeit von zusätzlichen Diensten, beispielsweise 

FTP, nicht gesichert sein. 

Faulty Communication: In dieser Klasse kann es vorkommen, 

dass die Hauptaufgabe eines Geräts stark beeinträchtigt 

wird. In diesem Fall ist die Echtzeitkommunikation 

nicht länger gesichert. Als Akzeptanzkriterium 

ist dabei wichtig, dass das Gerät nach Beendigung 

der Tests ohne einen Neustart oder Defekt wieder 

die normale Kommunikation (Echtzeit, zusätzliche 

Dienste) aufnehmen kann. 

Der Testsystemaufbau wird im Bild 1 dargestellt. Er verdeutlicht, 

dass das Monitoring der bestehenden Profinet- 

Echtzeitkommunikation zwischen dem IO-Controller 

und dem IO-Device-under-Test und der vom LoadGenerator 

erzeugten Netzwerklast anhand eines separaten, 

hoch performanten Monitors erfolgen muss. Die Performance 

ist deshalb wichtig, da eine große Anzahl versendeter 

Pakete ein Software-seitiges Monitoring, zum Beispiel 

durch Wireshark, kaum ermöglicht. Dies tritt insbesondere 

bei Messungen über einen längeren Zeitraum 

auf. Messungen sind jedoch zwingend notwendig, da 

außer der Aufzeichnung keine weiteren Ergebnisse, beispielsweise 

aus Sicht der Anwendung, erzeugt werden. 

Es erfolgt demnach auch keine automatische Bewertung 

der Akzeptanzkriterien. Dies ist mit Hilfe der Protokoll- 

Aufzeichnungen und anhand des Zustandes des Prüflings 

manuell durchzuführen. Das Whitepaper bietet 

dazu keine Hilfestellung, Es definiert auch nicht den 

Ausgangszustand des Prüflings. Zum geforderten Ausgangszustand 

der Anwendung und der Kommunikation 

des Prüflings werden keine Aussagen getroffen. 

2.2 Spezifikationen des ISA Security Compliance Institute 

Das ISCI wurde 2007 von Organisationen der Industrial 

Automation Controls Community mit dem Ziel gegründet, 

ein höheres Sicherheitslevel für industrielle Automatisierungssysteme 

zu erreichen Dies soll durch Zertifizierungstests 

angestrebt werden, die im Prüfling den Standard- 

Protokoll-Stack auf seine Robustheit hin testen. Dazu 

wurde für eingebettete Systeme das ISASecure EDSA 

Certification-Schema entwickelt (EDSA – Embedded Device 

Security Assurance Certification), das sich an etablierten 

Testprozeduren orientiert. Beispiel dafür ist die 

Safety Integrity Level- (SIL) Zertifizierung nach dem internationalen 

Standard IEC 61508 (funktionale Sicherheit). 

Das ISASecure EDSA Programm bietet für ein Gerät drei 

Zertifizierungslevel an (siehe Bild 2). Auf Basis der Level 

werden folgende Testziele verfolgt: 

Software Development Security Assessment (SDSA): 

Begutachtung des Softwareentwicklungsprozesses und 

Erstellung der Anforderungen für die Entwicklungsphasen, 

Functional Security Assessment (FSA): Begutachtung 

der Sicherheitsfunktionen des Gerätes, 

Communication Robustness Testing (CRT): Dieses Element 

der Zertifizierung bildet den Robustheitstest. 

Durch die Level erfolgt eine Abstufung der Testtiefe hinsichtlich 

der Testziele SDSA, FSA und CRT. Aus Sicht des 

Vorhabens VuTAT ist allein das CRT interessant. Für VuTAT 

werden diese Robustheitstests zur Schwachstellenidentifikation 

und -analyse von Ethernet-basierten Automatisierungsgeräten 

herangezogen. Eine Begutachtung des Softwareentwicklungsprozesses 

und der im Gerät möglicherweise 

implementierten IT-Sicherheitsfunktionen spielen 

in VuTAT keine Rolle. Letzteres trifft zu, da PNIO gemäß 

IEC 61158 keine expliziten IT-Sicherheitsfunktionen definiert. 

Selbst die IEC 62443 enthält derzeit keine technischen 

IT Sicherheitsfunktionen für PNIO-Geräte. 

Hinter dem CRT verbirgt sich eine Vielzahl von Protokoll- 

Testspezifikationen, die von der Webseite kostenfrei bezogen 

werden können [9]. Einen Überblick vermittelt Bild 3. 

Das CRT ist in fünf Prioritätsgruppen von Netzwerkprotokollen 

eingeteilt, wobei bis heute lediglich Gruppe 1 

umgesetzt wurde. Die Gruppen 2 bis 5 sollen später folgen. 

Zur Gruppe 1 gehören IEEE 802.3 (Ethernet), ARP, IPv4, 

ICMPv4, TCP und UDP. Interessant unter dem Aspekt 

VuTAT ist jedoch die Gruppe 4, zu der unter anderem die 

PNIO-Protokolle zählen. Aus heutiger Sicht bedeutet dies, 

dass keine existierenden ISCI-Testcases adaptiert beziehungsweise 

integriert werden können. 

Auf Basis dieser Ausgangssituation wird eine Testmethodik 

definiert, die möglichst viel von den aufgezeigten 

Ansätzen übernimmt. 

3. Definition von anwendungsbezogenen 

KenngröSSen 

Standardtests zur einheitlichen Bewertung industrieller 

Kommunikationslösungen müssen in erster Linie anwendungsorientierte 

Ergebnisse liefern. In den bisher vorgestellten 

Ansätzen fehlte diese Sichtweise. Hersteller, 

Dienstleister oder Anwender müssen in der Lage sein, die 

Ergebnisse der Tests mit Bezug zur automatisierungstech- 


3 / 2012 

61

Hauptbeitrag 

nischen Anwendung beurteilen zu können. Im Vergleich 

eignet sich die Angabe reiner kommunikations- und gerätespezifischer 

Parameter weniger für eine Beurteilung. 

Es gilt nun, anwendungsbezogene Kenngrößen zu definieren. 

Dabei stellt sich die Frage, welcher essentiellen 

Anwendung basierend auf PNIO können Kenngrößen 

zugeordnet und im Testverlauf einfach ermittelt werden? 

Hier lohnt es sich, zunächst einen Blick in die zahlreichen 

ISCI-Spezifikationen zu werfen. In EDSA310 [10] findet 

sich die Definition der Essential Services. Das sind jene 

Gerätefunktionen, die vor der Testdurchführung gemeinsam 

vom Hersteller und Testlabor als Beobachtungsgrundlage 

zu definieren sind. Auf sie beziehen sich dann die zu 

definierenden Akzeptanzkriterien. Entscheidend ist, dass 

die Festlegung der Essential Services individuell ausfällt. 

Es lässt sich demnach keine einheitliche Definition finden. 

3.1 Definition der Essential Services 

Im Vorhaben VuTAT werden für PNIO die Dienste auf Basis 

der Realtime Cyclic, Realtime-Acyclic-Protokolle und 

des Contextmanagements als Essential Services betrachtet. 

Die Grundlage bildet eine Application Relationship (AR). 

Eine AR beschreibt unter anderem die Art und Menge der 

Kommunikationsbeziehungen (Communication Relationship 

– CR) zwischen zwei PNIO-Geräten. Eine CR bildet 

quasi echte Kommunikationsflüsse ab, in denen sich zyklische 

Nutzdaten mithilfe des Realtime-Cyclic-Protokolls 

(RTC) und azyklische Nutzdaten mittels des Realtime- 

Acyclic-Protokolls (RTA) austauschen lassen. Diese Protokolle 

sind in der IEC 61158 definiert. Sie bilden den echtzeitfähigen 

Kern eines PNIO-Kommunikationssystems 

und gelten damit als Essential Services mit der höchsten 

Bedeutung. Mittels RTC werden hauptsächlich periodische 

Daten, meist I/O-Daten wie zum Beispiel Sensorwerte, 

ausgetauscht. Die dafür verwendeten Dienste sind unbestätigte 

Dienste (Consumer-Provider-Modell). Mittels 

RTA werden hingegen aperiodische Daten ausgetauscht, 

das können beispielsweise Alarme oder Diagnoseinformationen 

sein. RTA-basierte Dienste sind bestätigte Dienste. 

Neben RTA/RTC definiert PNIO ein Contextmanagement, 

das für Verbindungsaufbau, Konfiguration und Parametrierung 

zuständig ist. Das Contextmanagement nutzt hier Remote 

Procedure Call (RPC), einen in der Office-Welt etablierten 

Dienst. RPC selbst ist in RFC-1057 und RFC-5531 

beschrieben. Der RPC-Dienst ist ebenfalls ein bestätigter 

Dienst und arbeitet nach dem Client-Server-Modell. Darüber 

hinaus gehört zum Contextmanagement noch das Profinetspezifische 

Discovery and Configuration Protocol (DCP), 

das zur Namens- und Adressauflösung verwendet wird. 

3.2 Übertragungszeit 

Die Übertragungszeit (Transmission Time) ist eine grundlegende 

Kenngröße, die es ermöglicht, die Verfügbarkeit und 

Echtzeitfähigkeit eines PNIO-Systems zu bewerten. Dabei ist 

von Interesse, wie lange die Übertragung eines Nutzdatums 

vom Producer (zum Beispiel ein Sensor) bis zum Consumer 

(beispielsweise einer Steuerung) dauert. Ein einheitliches 

Verständnis dieser Zeitspanne erfordert die genaue Festlegung 

des Starts der Messung und deren Ende. Gemäß VDI/ 

VDE Richtlinie 2185 ist die Übertragungszeit der Zeitabschnitt 

von der Übergabe des ersten atomaren Bestandteils 

der Nutzdaten (Bit, Oktet) an der Schnittstelle zwischen Anwendung 

und PNIO-Kommunikation eines Producers und 

der Übergabe des letzten atomaren Bestandteils derselben 

Nutzdaten an der Schnittstelle zwischen PNIO-Kommunikation 

und Anwendung eines Consumers (siehe Bild 4). 

Die Übertragungszeit eignet sich als Kenngröße der Echtzeitfähigkeit 

besonders für Anwendungen mit aperiodischem 

Kommunikationsbedarf. Unabhängig vom zeitlichen 

Abstand zweier Übertragungen lässt sich der Zeitpunkt der 

Bereitstellung der Nutzdaten am Consumer bewerten. 

3.3 Aktualisierungszeit 

Die Aktualisierungszeit (Update time) entspricht im Idealfall 

dem Sendezeitintervall (siehe Bild 5). Das heißt, die 

übertragenen Nutzdaten werden an der Anwendungsschnittstelle 

des Consumers in denselben zeitlichen Abständen 

übernommen, wie sie an der Anwendungsschnittstelle 

des Producers übergeben wurden. Die Aktualisierungszeit 

ist definiert als der Zeitabschnitt von der Übergabe des letzten 

atomaren Bestandteils der Nutzdaten eines Producer an 

der Anwendungsschnittstelle eines Consumer bis zur Übergabe 

des letzten atomaren Bestandteils der unmittelbar 

nachfolgend übertragenen Nutzdaten vom gleichen Producer. 

Die Aktualisierungszeit eignet sich besonders für die 

Bewertung der Echtzeitfähigkeit von Anwendungen mit 

periodischem Kommunikationsbedarf. Sie kann auch zur 

Ermittlung der Verfügbarkeit genutzt werden. 

3.4 Fehlerkenngrößen 

Weitere anwendungsbezogene Kenngrößen sind Fehlerkenngrößen. 

Dazu gehören: 

Anzahl korrekt empfangener Pakete: Für die Anzahl korrekt 

empfangener Pakete gilt, dass der Dateninhalt des 

empfangenen mit dem Dateninhalt des gesendeten Paketes 

übereinstimmt und die Reihenfolge der empfangenen Pakete 

mit der Reihenfolge der gesendeten Pakete identisch 

sein muss. Überholte Pakete werden als Verlust gewertet. 

Anzahl verlorener Pakete: Ein Paket gilt als verloren, 

wenn das an der Anwendungsschnittstelle des Producers 

übergebene Paket nicht oder außerhalb eines definierten 

Zeitfensters an der Anwendungsschnittstelle 

des Consumers übergeben wird. 

3.5 Weitere Kenngrößen 

In der derzeitigen Bearbeitungsphase (Stand: Januar 2012) 

sind weitere Kenngrößen identifiziert, deren Relevanz für 

IT-Security-relevante Tests jedoch noch nachzuweisen 

ist, Beispiel Verbindungsaufbauzeit. Sie definiert die Zeitspanne 

zwischen dem Namensauflösungsalgorithmus 

mithilfe des Discovery and Configuration Protocol (DCP) 

und der „ApplicationReady“-Quittierung des Prüflings. 

3.6 Einführung von Robustheitsklassen 

Eine Klassifikation der Robustheit ermöglicht es dem Hersteller, 

sein Produkt für eine definierte Situation robust 

zu gestalten. Da er ohnehin einen Spagat zwischen Per- 

62 


3 / 2012

Service Client 

IOC 

Index Bedeutung 

Service Server 

IOD 

0xAFF0 

0xF841 

0x802A 

0xC000 

I&M0 

PDRealData 

PDPortDataReal 

ExpectedIdentification 

for one Slot 

ClientCall.Request 

I&M0 

Index 

MIB 

Parameter 

0xC001 

0xE000 

0xF000 

… 

RealIdentification 

forone Slot 

ExpectedIdentificationData 

for one AR 

RealIdentificationData 

for one API 

… 

MIB 

ServerCall.Response 

VendorID, 

OrderID, 

SerialNumber, 

HWRevision,… 

I&M0 

PDRealData 

… 

VendorID, 

OrderID, 

SerialNumber, 

HWRevision ,… 

…, 

PortID , 

PeerPortID, 

PeerChassisID, 

PeerMAC, 

MAUType , 

LinkState, 

MediaType 

… 

Bild 6: Auslesen 

der PNIO-MIB 

Index Bedeutung Informationen 

0xAFF0 I&M0 Hersteller ID, Ordernummer, Seriennummer, Hardwarerevisionsnummer,… 

0xF841 

PDRealData 

0x802A PDPortDataReal Bestandteil von PDRealData 

0xC000 

0xC001 

0xE000 

… 

0x8072 

0xF830 

ExpectedIdentification for one Slot 

RealIdentification for one Slot 

ExpectedIdentificationData for one AR 

… 

Fkt.4 

PDPortStatistic LogData 

Eigene Portinformationen (MAUType, LinkStatus, MediaType), Nachbarschaftsinformationen 

(Portinformationen, Chassis ID, MAC), … 

Slotnummer, ModuleID, Anzahl der Subslots, 

Subslotliste mit Slotnummer und SubmoduleID 

Slotnummer, ModuleID, Anzahl der Subslots, 


Anzahl der Slots , Liste mit Slotnummer, ModuleID, Anzahl der Subslots, 


Anzahl von empfangenen/gesendet Paketen, verworfenen Paketen 

(In/Out) und aufgetretenden Fehlern (In/Out) 

Lokaler Zeitstempel im IOD, Anzahl der Log-Einträge, Log-Einträge 

(AR, Status, Details) 

Bild 7: Inhalte der PNIO-MIB (Auszug) 

Single Port IUT 

Testwerkzeug (PC-basiert) 

Applikation 

PC 

GUI 

Ergebnis 

PN RT 

API (upper layer) 

PN CM 

PN NRT 

ETH 

IT Standard 

Protokolle 

Testtool 

(Open Source) 

Auswertung 

(Protokollierung) 

Testadapter 

(Lower Tester)) 

Testfall 

Parameter 

API 

(lower layer) 

Controller 

Strack 

MIB 

Kenngrößen 

API 

(lower layer) 

Controller 

Strack 

PN CTL 

Bild 8: 

Architekturvorschlag 

des VuTAT-Testsystems [1] 


3 / 2012 

63

Hauptbeitrag 

formance, Ressourcenbedarf und Herstellungskosten zu 

bewältigen hat, ist es sinnvoll, Geräte verschiedenen Klassen 

zuordnen zu können. Dieser Ansatz ist also zweckoptimiert, 

denn nicht jedes Gerät muss letztlich so leistungsfähig 

sein, dass es die höchsten Robustheitsanforderungen 

erfüllt. Der Betreiber kann so ein für seine Anforderungen 

optimales Produkt auswählen. 

Die im Folgenden vorgestellten Robustheitsklassen spiegeln 

einen ersten Ansatz wider. Zur tatsächlichen Bestimmung 

sinnvoller Robustheitsklassen müssen in weiteren 

praktischen Untersuchungen Bedingungen variiert werden, 

um die optimalen Kenngrößen und Beobachtungszeiträume 

festzulegen. 

Diskussionsgrundlage ist die zuvor definierte Aktualisierungszeit 

für die mit dem RTC-Protokoll zu übertragenden 

Nutzdaten. Bei der messtechnischen Ermittlung dieser 

Kenngröße ist zu beachten, dass es sich um einen 

statistischen Messwert handelt. Die Angabe des Perzentil 

95 (p95)-Wertes ist ein erster Ansatz. Anhand der unter 

Idealbedingungen ermittelten Aktualisierungszeit lassen 

sich nun Grenzwerte in unterschiedlicher Größe definieren, 

wovon sich letztlich die Robustheitsklassen ableiten. 

Beispielsweise erfüllt ein Prüfling die Klasse 1, wenn im 

gesamten Testverlauf seine gemessene Aktualisierungszeit 

den unter Idealbedingungen ermittelten Wert um 

nicht mehr als 10 % übersteigt. Weiterhin wurden für die 

Klasse 2 zunächst 30 % und für die Klasse 3 zunächst 

50 % als Initialwerte vorgeschlagen. Der Begriff Initialwerte 

verdeutlicht, dass diese Werte noch angepasst werden. 

Dazu ist eine Testspezifikation notwendig, die in 

Referenzen 

[1] VuTAT – Vulnerability Tests of AT Components, Laufzeit: 

10/2009 bis 12/2012, FKZ:16231 BG1, BMWi über AiF 

[2] NIST, Creating a Patch and Vulnerability Management 

Program, Special Publication 800-40 Version 2.0 

[3] Information Systems Security Assessment Framework 

(ISSAF) draft 0.2, 01, OISSG, 2005 

[4] OSSTMM 3 - The Open Source Security Testing 

Methodology Manual, 2010 

[5] Bundesamt für Sicherheit in der Informationstechnik, 

IT-Grundschutz-Kataloge, Online auf https://www.bsi. 

bund.de/ContentBSI/grundschutz/kataloge/kataloge.html 

[6] Profibus Nutzerorganisation e.V., Arbeitskreis Profinet 

Security, 2012 

[7] MOSAIK – Modellbasiertes Software Engineering für 

IT-sichere eingebettete Geräte von KMU, Laufzeit: 

07/2009 bis 06/2012, FKZ: VF081029, BMWi 

[8] flexWARE – Flexible Wireless Automation in Real-Time 

Environments, Laufzeit: 09/2008 bis 02/2012, FKZ: EU 

ICT-224350 

[9] ISA Security Compliance Institute; http://www.isasecure.org/, 

letzter Zugriff am 17.02.2012 

[10] EDSA-310, ISA Security Compliance Institute – Embedded 

Device Security Assurance – Common requirements 

for communication robustness testing of IP-based 

protocol implementations; Version 1.7; September 2010 

[11] White Paper Profinet IO Net load, Version 1.0, Ausgabe 1, 

Profibus &Profinet Nutzerorganisation e. V., 2009-11-23 

ihrer ersten Umsetzung zeigen wird, was die Geräte unter 

den Testbedingungen überhaupt erreichen. Erste Testcases 

werden im Vorhaben VuTAT entworfen und derzeit 

im Profinet-Security-Arbeitskreis der PNO diskutiert [6]. 

4. Kommunikationsbezogene KenngröSSen 

Für die Diagnose im Rahmen der IT-Security-Tests wurden 

im Vorfeld Kenngrößen zur Verhaltensbeurteilung des 

Prüflings aus Anwendersicht eingeführt. Akzeptanzkriterien 

allein auf Basis dieser Kenngrößen sind zwar neu 

und zudem wünschenswert, aber letztlich nicht ausreichend. 

Eine vollständige Verhaltensbeurteilung des Prüflings 

muss sämtliche Schnittstellen in Betracht ziehen. 

Die Stimulation des Prüflings erfolgt ausschließlich über 

die PNIO-Schnittstelle. Bei näherer Betrachtung kann sie 

auch als Diagnoseschnittstelle fungieren. Natürlich muss 

dies differenziert betrachtet werden, da die Diagnosefähigkeit 

dieser Schnittstelle im Testverlauf möglicherweise 

stark eingeschränkt ist. So wird beispielsweise bei einem 

Test zur Überprüfung des Verhaltens bei Denial of Service 

beziehungsweise Volllastsituationen die Schnittstelle so 

stark belastet, dass sie keine oder nur unzuverlässige Diagnoseinformationen 

liefert. 

Ungeachtet derartiger Randbedingungen wurde untersucht, 

welche Diagnoseinformationen überhaupt an der 

Kommunikationsschnittstelle zur Verfügung stehen. Dabei 

werden zwei Ansätze verfolgt. Der erste prüft die Möglichkeiten 

zur Bewertung des Zeit- und Fehlerverhaltens durch 

Monitoring der PNIO-Kommunikation, beispielsweise mit 

dem Monitoring-Werkzeug Wireshark. Der zweite prüft die 

Möglichkeit, geräte- und kommunikationsspezifische Parameter 

für eine Diagnose beziehungsweise Verhaltensbewertung 

heranzuziehen. Der Ansatz basiert darauf, MIB-Parameter 

des Kommunikations-Stacks über die PNIO-Schnittstelle 

oder mithilfe der zugrunde liegenden Ethernet- 

Schnittstelle aktiv auszulesen. Parameter der Management 

Information Base (MIB) können über definierte Lese- und 

Schreibdienste angesprochen werden. MIB sind nahezu für 

alle Ebenen des OSI-Referenzmodells definiert. Für den 

MIB-Zugriff hat sich der SNMP-Dienst etabliert, der sich 

insbesondere im Bereich des Managements von IT-Landschaften 

als De-facto-Standard herauskristallisiert hat. 

Trotz des hohen Verbreitungsgrades muss erwähnt werden, 

dass die Implementierung des SNMP-Dienstes und 

der verschiedenen MIB optional ist. So bleibt eine systematische 

Nutzung der MIB-Parameter für eine Gerätediagnose 

schwierig. Daher wird zunächst theoretisch untersucht, 

welche MIB und welche Parameter sich prinzipiell 

für eine Diagnose eignen. Es ist die Frage zu beantworten, 

welche Information sie im Einzelnen und im 

Zusammenhang liefern, zum Beispiel mit den anwendungsbezogenen 

Kenngrößen. Grundlage der Untersuchungen 

sind die globale Internet MIB (RFC-1156) und 

weitere MIB-Module wie zum Beispiel MIB-II für TCP/IP 

(RFC-1213). Auch Profinet hat eine MIB definiert. Sie findet 

unter anderem Anwendung bei der Akquise von Nachbarschaftsinformationen 

mittels LLDP-Protokoll. Die vom 

PNIO eingesammelten Informationen lassen sich dann 

über PNIO-CM-Read-Dienste auslesen. 

In Bild 6 ist der Zugriff auf diese Kommunikations-relevanten 

Parameter skizziert. Einen Ausschnitt der Kommunikations-relevanten 

Parameter zeigt Bild 7. Greifen wir 

exemplarisch auf PDRealData beziehungsweise PDPortDa- 

64 


3 / 2012

taReal zu, so können Port-Kenngrößen ausgelesen werden. 

Durch den Autonegotiation-Mechanismus wird zum Beispiel 

die maximal mögliche Baudrate durch Handshake 

über Ethernet ausgehandelt. Dieser Parameter ist unter 

anderem hilfreich, um die Bandbreitenberechnung für die 

Robustheitstests (zum Beispiel DoS) durchzuführen. 

Wie Bild 7 zeigt, stehen weitere interessante Kenngrößen 

zur Verfügung. Der Parameterblock PDPortStatistic 

kann Fehler-Kenngrößen auf Kommunikationsebene auslesen. 

Während einer späteren Gesamtauswertung sind 

sie dann in Verhältnis zu den Fehlerkenngrößen auf Anwendungsebene 

zu stellen. Dabei werden Rückschlüsse 

hinsichtlich des Fehlerverhaltens im Kommunikations- 

Stack erwartet. Wie solche Rückschlüsse aussehen können, 

wird derzeit erarbeitet. 

5. Konzept für Systemtest 

Auf Basis der definierten Testziele und Kenngrößen wird 

nun ein Testsystemkonzept abgeleitet. Die spezifische 

Ausprägung eines Testsystems könnte wie in Bild 8 aufgebaut 

sein. In diesem Fall wird auf das Testsystem über 

eine GUI zugegriffen. Der auszuführende Testfall umfasst 

mehrere Testskripte, die jeweils für eine „Implementierung 

Under Test“ (IUT) abgearbeitet werden. Auf diese 

Weise lässt sich eine verteilte Testdurchführung mit zentraler 

Koordination im Testwerkzeug modellieren. 

Als Testwerkzeug wird zunächst der Open-Source- 

Schwachstellenscanner OpenVAS favorisiert. Mit diesem 

Werkzeug lassen sich zahlreiche Anforderungen des Vu- 

TAT Projektes umsetzen. OpenVAS unterstützt zwei Testbeschreibungssprachen, 

die Nessus-Attack-Scripting- 

Language (NASL) und „Open-Vulnerability and Assessment-Language 

(OVAL). Im Gegensatz zur ausführbaren 

Skriptsprache NASL ist OVAL eine XML-basierte Beschreibungssprache, 

die verwendet wird, um den Zustand 

eines Prüflings beziehungsweise seiner Bestandteile textuell 

und letztlich einheitlich zu beschreiben. In VuTAT 

wird zunächst NASL zur Testfall-Notation verwendet. 

Mittels OpenVAS werden diese dann ausgeführt. 

Zentraler Punkt des Testkonzeptes ist die Ermittlung 

von Kenngrößen und MIB-Parametern, die ausreichend 

detailliert ausagen, wie sich der Prüfling verhält. Eine erste 

prototypische Umsetzung ist für Mitte 2012 geplant. Die 

Umsetzung der Testcases wird zudem eng abgestimmt mit 

dem PNO-Arbeitskreis Profinet Security erfolgen. 

Fazit 

In diesem Beitrag wurden erste Arbeitsergebnisse des Vorhabens 

VuTAT vorgestellt. Dabei geht es um die Definition einer 

Methodik für die Identifikation und Analyse von IT Securityrelevanten 

Schwachstellen Ethernet-basierter Automatisierungsgeräte. 

Grundlage der aufgeführten Definitionen waren 

einerseits die Spezifikationen des ISCI und anderseits das 

von der PNO erarbeitete Profinet IO Net Load Whitepaper. 

Das ISCI hat die Profinet IO-Technologie zwar im Scope, eine 

Testspezifikation ist jedoch noch nicht verfügbar. Dafür 

konnten auf Basis der ISCI-Spezifikation EDSA-310 die Essential 

Services für Profinet IO definiert werden. Sie bilden 

die notwendige Grundlage für eine einheitliche Bewertung 

des Zeit- und Fehlerverhaltens des Profinet IO-Gerätes während 

der späteren Testdurchführung. Für diese Bewertung 

wurden die Kenngrößen Übertragungszeit, Aktualisierungszeit 

und verschiedene Fehlerkenngrößen definiert. 

Da das ISCI für Profinet IO noch keine Testspezifikation 

erarbeitet hat, wurde hierzu das Profinet IO Net Load Whitepaper 

herangezogen. Auf Basis dieses Whitepapers wurden 

Robustheitsklassen eingeführt, die derzeit im Forschungsvorhaben 

VuTAT weiter konkretisiert werden. Der Beitrag 

endet mit der Vorstellung eines Testsystemkonzeptes. Ab 

Mitte 2012 wird eine Implementierung der ersten Testcases 

und auch des VuTAT-Testwerkzeuges erwartet. 


23.01.2012 


Autoren 

Dipl.-Ing. Heiko Adamczyk (geb. 1974) 

studierte Elektrotechnik an der Otto-von- 

Guericke-Universität Magdeburg mit dem 

Schwerpunkt Nachrichtentechnik. Seit 

Anfang 2005 ist er am ifak für den Forschungsschwerpunkt 

„Sichere industrielle 

Kommunikation“ verantwortlich, aus dem 

nun der „Schwerpunkt eingebettete und 

kooperative Systeme“ hervorgegangen ist. 

Adamczyk ist in der DKE offizieller Mitarbeiter der Arbeitsgruppe 

UK931.1. In der PNO ist er Mitglied der Gruppe TC3 WG18 „Profinet 

Security“ und innerhalb des ZVEI im Lenkungsausschuss 

„Security“ engagiert. Zudem ist er seit Mitte 2006 Obmann des 

Fachausschusses 5.22 „IT-Security“ innerhalb der VDI/VDE-GMA. 

ifak e.V. Magdeburg, 

Werner-Heisenberg-Str.1, D-39106 Magdeburg, 

Tel. +49 (0) 391 990 14 93, E-Mail: heiko.adamczyk@ifak.eu 

Dipl.-Ing. Tino Doehring 

(geb. 1976) studierte Elektrotechnik 

an der Otto-von-Guericke-Universität 

Magdeburg mit dem Schwerpunkt 

Automatisierungstechnik. 

Nach dem Studium Anfang 2006 

begann er seine Tätigkeit am ifak 

für den Forschungsschwerpunkt 

„Industrielles Ethernet“, aus dem 

nun der „Schwerpunkt eingebettete und kooperative 

Systeme“ hervorgegangen ist. Seine Arbeitsschwerpunkte 

sind unter anderem der industrielle Kommunikationsstandard 

Profinet und IT-Security-Aspekte im 

Bereich der industriellen Automation. 

ifak e.V. Magdeburg, 

Werner-Heisenberg-Str.1, D-39106 Magdeburg, 

Tel. +49 (0) 391 990 14 88, E-Mail: tino.doehring@ifak.eu 


3 / 2012 

65

impressum / Vorschau 

Impressum 

Vorschau 

Verlag: 

Oldenbourg Industrieverlag GmbH 

Rosenheimer Straße 145 

D-81671 München 

Telefon + 49 (0) 89 4 50 51-0 

Telefax + 49 (0) 89 4 50 51-3 23 

www.oldenbourg-industrieverlag.de 

Geschäftsführer: 

Carsten Augsburger 

Jürgen Franke 

Herausgeber: 

Dr. T. Albers 

Dr. G. Kegel 

Dipl.-Ing. G. Kumpfmüller 

Dr. N. Kuschnerus 

Beirat: 

Dr.-Ing. K. D. Bettenhausen 

Prof. Dr.-Ing. Ch. Diedrich 

Prof. Dr.-Ing. U. Epple 

Prof. Dr.-Ing. A. Fay 

Prof. Dr.-Ing. M. Felleisen 

Prof. Dr.-Ing. G. Frey 

Prof. Dr.-Ing. P. Göhner 

Dipl.-Ing. Th. Grein 

Prof. Dr.-Ing. H. Haehnel 

Dr.-Ing. J. Kiesbauer 

Dipl.-Ing. R. Marten 

Dipl.-Ing. G. Mayr 

Dr. J. Nothdurft 

Dr.-Ing. J. Papenfort 

Dr. A. Wernsdörfer 

Dipl.-Ing. D. Westerkamp 

Dr. Ch. Zeidler 

Organschaft: 

Organ der GMA 

(VDI/VDE-Gesell schaft Messund 

Automatisierungs technik) 

und der NAMUR 

(Interessen gemeinschaft 

Automatisierungs technik der 

Prozessindustrie). 

Redaktion: 

Gerd Scholz (verantwortlich) 

Telefon + 49 (0) 89 4 50 51-3 44 

Telefax + 49 (0) 89 4 50 51-3 23 

E-Mail: scholz@oiv.de 

Anne Hütter 

Telefon + 49 (0) 89 4 50 51-4 18 

Telefax + 49 (0) 89 4 50 51-3 23 

E-Mail: huetter@oiv.de 

Einreichung von Hauptbeiträgen: 

Prof. Dr.-Ing. Leon Urbas 

(Chefredakteur, verantwortlich 

für die Hauptbeiträge) 

Technische Universität Dresden 

Fakultät Elektrotechnik 

und Informationstechnik 

Professur für Prozessleittechnik 

D-01062 Dresden 

Telefon +49 (0) 351 46 33 96 14 

E-Mail: urbas@oiv.de 

Fachredaktion: 

M. Blum 

Prof. Dr. J. Jasperneite 

Dr. B. Kausler 

Dr.-Ing. N. Kiupel 

Dr. rer. nat. W. Morr 

Dipl.-Ing. I. Rolle 

Dr.-Ing. S. Runde 

Prof. Dr.-Ing. F. Schiller 

Bezugsbedingungen: 

„atp edition – Automatisierungstechnische 

Praxis“ erscheint 

monatlich mit Doppelausgaben im 

Januar/Februar und Juli/August. 

Bezugspreise: 

Abonnement jährlich: € 468,– + € 30,–/ 

€ 35,- Versand (Deutschland/Ausland); 

Heft-Abbonnement + Online-Archiv: 

€ 638,40; ePaper (PDF): € 468,-; 

ePaper + Online-Archiv: € 608,40; 

Einzelheft: € 55,– + Versand; 

Die Preise enthalten bei Lieferung 

in EU-Staaten die Mehrwertsteuer, 

für alle übrigen Länder sind es 

Nettopreise. Mitglieder der GMA: 30% 

Ermäßigung auf den Heftbezugspreis. 

Bestellungen sind jederzeit über den 

Leserservice oder jede Buchhandlung 

möglich. 

Die Kündigungsfrist für Abonnementaufträge 

beträgt 8 Wochen zum Bezugsjahresende. 

Abonnement-/ 

Einzelheftbestellung: 

Leserservice atp 

Postfach 91 61, D-97091 Würzburg 

Telefon + 49 (0) 931 4170-1615 

Telefax + 49 (0) 931 4170-492 

E-Mail: leserservice@oiv.de 

Verantwortlich für 

den Anzeigenteil: 

Annemarie Scharl-Send 

Mediaberatung 

sales & communications Medienagentur 

Kirchfeldstraße 9, D-82284 Grafrath 

Tel. +49 (0) 8144 9 96 95 12 

Fax +49 (0) 8144 9 96 95 14 

E-Mail: ass@salescomm.de 

Es gelten die Preise der Mediadaten 2012 

Anzeigenverwaltung: 

Brigitte Krawczyk 

Telefon + 49 (0) 89 4 50 51-2 26 

Telefax + 49 (0) 89 4 50 51-3 00 

E-Mail: krawczyk@oiv.de 

Druck: 

Druckerei Chmielorz GmbH 

Ostring 13, 

D-65205 Wiesbaden-Nordenstadt 

Gedruckt auf chlor- und 

säurefreiem Papier. 

Die atp wurde 1959 als „Regelungstechnische 

Praxis – rtp“ gegründet. 

© 2012 Oldenbourg Industrieverlag 

GmbH München 

Die Zeitschrift und alle in ihr enthaltenen 

Beiträge und Abbildungen sind urheberrechtlich 

geschützt. Mit Ausnahme der 

gesetzlich zugelassenen Fälle ist eine 

Verwertung ohne Ein willigung des Verlages 

strafbar. 

Gemäß unserer Verpflichtung nach § 8 

Abs. 3 PresseG i. V. m. Art. 2 Abs. 1c DVO 

zum BayPresseG geben wir die Inhaber 

und Beteiligungsverhältnisse am Verlag 

wie folgt an: 

Oldenbourg Industrieverlag GmbH, 

Rosenheimer Straße 145, 81671 München. 

Alleiniger Gesellschafter des Verlages 

ist die ACM-Unternehmensgruppe, 

Ostring 13, 

65205 Wiesbaden-Nordenstadt. 

ISSN 2190-4111 

Die Ausgabe 4 / 2012 der 

erscheint am 11.04.2012 

Mit folgenden Beiträgen: 

Simulationsbasierte 

Steuerungstests 

Emulation dezentraler 

Steuerungslogik 

Neuer Prozessschritt im 

Anlagenengineering 

Automatisierter Steuerungstest 

in der Fabrikautomation 

Maschinenschutz in 

verfahrenstechnischen Anlagen 

Flugsimulator für 

Spritzgießmaschinen 

...und vielen weiteren Themen. 

Aus aktuellem Anlass können sich die Themen 

kurzfristig verändern. 

LeserService 

e-Mail: 

leserservice@oiv.de 

Telefon: 

+ 49 (0) 931 4170-1615 

66 


3 / 2012

Erreichen Sie die Top-Entscheider 

der Automatisierungstechnik. 

Sprechen Sie uns an wegen Anzeigenbuchungen 

und Fragen zu Ihrer Planung. 

Annemarie Scharl-Send: Tel. +49 (0) 8144 9 96 95 12 

E-Mail: ass@salescomm.de

atp kompakt 

Methoden Verfahren Konzepte 

Sonderpreise 

für 

Abonnenten 

der atp edition 

Die Automatisierungstechnik wird durch neue Forschungen und Entwicklungen bestimmt. Damit Ingenieure 

fit für ihren Job sind und die entscheidenden Trends in der Automatisierungstechnik schnell zur Hand haben, 

legt die Fachpublikation atp edition die Buchreihe atp kompakt auf. Alle darin enthaltenen Beiträge haben 

ein wissenschaftliches Gutachterverfahren durchlaufen. 

Herausgeber Prof. Dr.-Ing. Frank Schiller leitet am Lehrstuhl für Informationstechnik im Maschinenwesen der 

TU München das Fachgebiet Automatisierungstechnik. 

atp kompakt Band 1 

Erfolgreiches Engineering – Die wichtigsten Methoden 

Diese Ausgabe befasst sich mit den Methoden, Verfahren und Standards, die Sie in den nächsten Jahren im Engineering beschäftigen 

werden. Wichtige Kriterien sind die einfache Wiederverwendbarkeit von Komponenten, die Unterstützung durch geeignete Werkzeuge, 

die Erhöhung der Flexibilität von Anlagen sowie geeignete Modellierungs- und Gerätebeschreibungssprachen. 

1. Auflage 2010, 138 Seiten mit CD-ROM, Broschur, € 79,- • ISBN: 978-3-8356-3210-3 

Für Abonnenten 

€ 74,- 


Effiziente Kommunikation – Die bedeutendsten Verfahren 

Sie bekommen Einblick in die wachsende Bedeutung der industriellen Kommunikation und dem Wandel in der Gerätekommunikation. 

Einen Schwerpunkt bildet die Kommunikationstechnik in der Prozessautomatisierung mit deren besonderen Rahmenbedingungen wie 

dem Explosionsschutz. Die bedeutendsten Verfahren und Methoden der modernen Kommunikation werden praxisnah veranschaulicht. 



€ 54,- 


Praktische Messtechnik – Die besten Konzepte 

Dieser Band vermittelt wertvolles Know-how zu allen Aspekten der praktischen Messtechnik und fokussiert besonders die Prozessmesstechnik. 

Lernen Sie die Fortschritte in der Sensortechnik entlang der Technologie-Roadmap kennen und profitieren Sie von erstklassigen 

Konzepten zu kostengünstigen und effizienten Lösungen. 



€ 54,- 

atp kompakt Kollektion (Bände 1-3) 

Erfolgreiches Engineering Effiziente Kommunikation Praktische Messtechnik 

Mit dieser dreibändigen Kollektion zu den Themen Engineering, Kommunikation und Messtechnik erhalten Sie ein nützliches, 

kompakt und praxisnah aufbereitetes Kompendium zu den Kernthemen der Automatisierungstechnik. Die wertvolle Grundlage 

für Ihre tägliche und zukünftige Arbeit. 

1. Auflage 2010, ca. 282 Seiten mit CD-ROM, Broschur • € 179,- • ISBN: 978-3-8356-3221-9 


€ 169,- 

Sofortanforderung im Online-Shop www.oldenbourg-industrieverlag.de 

oder telefonisch +49 (0)201 / 82002-14 

OldenbOurg IndustrIeverlag gmbH 

vulkan-verlag gmbH 

www.oldenbourg-industrieverlag.de • www.vulkan-verlag.de

atp edition Ganzheitliches anlagenweites Security Management (Vorschau)

Verwandeln Sie Ihre PDFs in ePaper und steigern Sie Ihre Umsätze!

Template löschen?

Als Template speichern ?