Data Diodes: Absicherung von Industrie-4.0-Netzwerken gegen moderne Cyber-Bedrohungen

Internet of Things und Industrie-4.0-Netzwerke verlangen zuverlässige, sichere Datenverbindungen. Doch selbst die robustesten traditionellen Abwehrmaßnahmen können durch moderne Cyber-Angriffe durchbrochen werden. Eine Data Diode – eine Hardware-und-Software-Lösung – erzwingt, dass Daten nur auswärts fließen, und verhindert jede Rückübertragung ins interne Netzwerk.

Die BSI-Studie (Bundesamt für Sicherheit in der Informationstechnik) zeigt, dass Malware – einschließlich Trojaner, Ransomware und Trickbots – zwischen Juni 2019 und Mai 2020 auf 117 Milliarden Vorfälle anstieg, was den kritischen Bedarf an gehärtetem Netzwerkschutz unterstreicht.

„Selbst mit konventionellen Sicherheitstools bleibt ein Residualrisiko“, sagt Steve Schoner, Strategic Product Marketing Manager bei Genua GmbH, einer Tochter der Bundesdruckerei. „Die Cyber-Diode schließt diese Lücke.“ Genua, 1992 gegründet, hat eine lange Historie im Schutz klassifizierter Informationen und ist ein führender Spezialist für die Absicherung industrieller und kritischer Infrastrukturnetzwerke.

Da IT und OT konvergieren, verzichten viele Anlagen auf die Vorteile der Internetkonnektivität, um Exposition zu vermeiden. Doch Industrie 4.0 gedeiht auf Echtzeit-Datenaustausch für Predictive Maintenance, Analytics und flexible Fertigung bis hin zu Losgröße 1. Das Risiko von Sabotage und Spionage wächst mit jedem verbundenen Gerät.

Maximierte Cybersicherheit

„Bestehende Lösungen sind entweder proprietär oder prohibitiv teuer“, erklärt Schoner. „Unsere industrielle Cyber-Diode bietet sichere, zuverlässige, hersteller- und plattformunabhängige Kommunikation. Sie ist der weltweit einzige zertifizierte vertrauliche Data Diode.“ Das Gerät unterstützt OPC UA, den offenen Standard für Machine-to-Machine-Daten, und kann verschlüsselte Daten via IPSec VPN übertragen. Wenn IPSec aktiviert ist, können externe Clients nur durch die integrierte Firewall der Diode kommunizieren, was sicherstellt, dass Daten sicher die Cloud oder jedes externe System erreichen.

Cyber-Diode im Detail

Die Hardware wird durch eine I/O Memory-Management Unit (IOMMU) geschützt, die Kompartimente isoliert. Das linke Kompartiment beherbergt den Transmitter (z. B. einen OPC UA Client), das zentrale patentierte One-Way-Task erzwingt unidirektionalen Fluss, und das rechte Kompartiment ist VPN-ready und sendet Daten durch die NIC zum externen Target. Ein zusätzliches Update-Kompartiment oben erlaubt sichere Firmware-Upgrades – neue Features können hochgeladen werden, aber die Kernkonfiguration bleibt unveränderlich. Das Design passt auf DIN-Schienen oder 19-Zoll-Rack-Gehäuse und beinhaltet UEFI und Secure Boot. Optionale LTE- oder WLAN-Interfaces erweitern die Konnektivität.

Blockdiagramm einer Cyber-Diode (Bildquelle: Genua)

Der Software-Stack basiert auf einem minimalistischen, gehärteten Microkernel und OpenBSD und enthält nur wenige Codezeilen, um Angriffsflächen zu reduzieren. „Eine solche Architektur ist extrem schwer zu kompromittieren“, merkt Schoner an. Selbst OS-Schwachstellen beeinflussen die patentierte One-Way-Funktion nicht. Nur Genua-Firmware läuft auf dem Gerät. Die Lifetime-Lizenz bündelt Hardware, Software und Support – inklusive Hotline und vollem Systemmanagement.

Sicherheitsfunktionen verbessern

Verglichen mit Air Gaps, Firewalls oder Glasfaser bieten Cyber-Dioden einen entscheidenden Vorteil. Air Gaps isolieren IT von OT, blockieren aber den essenziellen Datenaustausch für Industrie 4.0; manueller Transfer via USB ist ineffizient und kann Malware einschleusen. Firewalls können Einweg-Regeln erzwingen, sind aber komplex zu konfigurieren und können sich unbeabsichtigt ändern. Glasfaser-Dioden blockieren Rückverkehr, benötigen aber einen separaten Kanal für Acknowledgement; unsere Cyber-Diode bestätigt erfolgreichen Transfer mit einem einzelnen Bit, was Zuverlässigkeit und Integrationsfreundlichkeit verbessert.

>> Dieser Artikel wurde ursprünglich auf unserer Schwesterseite EE Times Europe veröffentlicht.