LEITFADEN · INDUSTRIE
Aus dem Anlagennetz, ohne USB-Stick
Bedienstationen, Engineering-Workstations und Historian-Clients bleiben vom Büronetz getrennt. Ihre Protokolle, Chargenberichte, Alarmexporte und Rezepturen müssen trotzdem hinaus, und in vielen Werken gehen sie auf einem USB-Stick: dem Weg, den die meisten Sicherheitsprogramme schließen wollen.
Von Taha Bayar, Biologe, der an der Datenübergabe zwischen isolierten Systemen arbeitet.
Was Kionel in der Anlage tut
- Kein Datenträger, kein Netz, kein Agent. Die Station zeigt die Datei im Browser als Codes, ein Smartphone liest sie. Nichts wird eingesteckt oder installiert.
- Nachweisbare Integrität. Die Datei wird für das empfangende Gerät verschlüsselt, ihr SHA-256 mit dem Änderungsticket signiert, und der Empfänger signiert, dass sie unverändert ankam.
- Nur der Nachweis. Wo die Daten die Zone gar nicht verlassen dürfen, versiegelt die Station eine Datei: Nur ein kleiner signierter Datensatz mit Hash, Zeit und Ticket geht hinaus.
Unbeaufsichtigt: ein Ordner, der sich selbst sendet
Für Protokolle, die den ganzen Tag entstehen, soll niemand an der Station stehen. Mit einer Business-Lizenz überwacht die Station einen Ordner und sendet jede neue oder geänderte Datei über ein serielles Einwegkabel: verschlüsselt für die Karte des Empfangsrechners, mit dem Ticket signiert und auf der anderen Seite mit Bestätigung in einen Ordner geschrieben, den ein Historian oder SIEM abholt. Ohne Rückleitung erreicht nichts die Station.
Es ist eine Dateiverbindung, keine Netzbrücke: Dateien statt Protokolle, bis etwa 80 KB/s, und weil nichts zurückkommt, wird eine Datei, die bei ausgeschaltetem Empfänger gesendet wurde, nicht von selbst wiederholt. Das Protokoll der sendenden Station zeigt, was ging.
Die Richtung zählt
| Richtung | Passt | Warum |
|---|---|---|
| Aus der Anlage (Protokolle, Berichte, Alarmexporte) | Gut | Die Station braucht nur einen Bildschirm oder das Kabel. |
| In die Anlage (Rezepturen, Referenzdateien) | Mit Kamera am Ziel oder umgedrehtem Kabel | Ein umgekehrt verdrahtetes Einwegkabel bringt Dateien hinein, und nichts kann hinaus. |
| Große Dateien (Historian-Archive, Images) | Falsches Werkzeug | Zehntel Megabyte pro Sekunde reichen dafür nicht. Dafür gibt es Datendioden oder kontrollierte Netzübergänge. |
Hardware-Datendioden kosten je Verbindung von einigen Tausend bis weit über 100.000 US-Dollar. Kionel wird je Standort lizenziert; kontinuierliche Verbindungen je Link, sprechen Sie uns an. Kionel prüft keine Dateiinhalte auf Schadsoftware und hatte noch kein unabhängiges Sicherheitsaudit.