IT trifft OT

In den Industriebetrieben Österreichs läuft die sogenannte Operational Technology (OT) Automatisierungs- und Netzwerk-Infrastruktur sowie Server für Industriesoftware. Während es bei IT typischerweise um Laptops, Rechenzentren, Server, Storage und Business-Applikationen geht, ist OT der Betrieb von Verarbeitungs- oder Produktions-Maschinen bzw. -Geräten, der oft als „Shop-Floor“ bezeichnet wird. Hier ein paar konkrete Beispiele:

• Lebensmittelproduktionslinien in einer Molkerei, Brauerei oder bei einem Fruchtsaft-Hersteller wie Tanks, Mischanlagen, Abfüllanlagen, Verpackungsanlagen, Pasteurisation

• Pharmazeutische Produktionsanlagen für medizinische Produkte

• Zellstoff- und Papierfabriken mit Papiermaschinen, Schneidemaschinen und Labor-Analysegeräten

• Kraftwerke, Energieversorgungsunternehmen, die Fernwärme und Strom in Industriekraftwerken „produzieren“ – also großtechnisch Energie umwandeln

• Montagelinien von Baumaschinen wie Bagger oder Rüttler

• Autozuliefer-Produktion wie etwa für Getriebe, Motoren oder Beleuchtungs-Elemente

• Produktion von Kunststoff-Teilen oder Produkten (etwa mit Spritzgussmaschinen)

• und auch IT-Komponenten werden mit OT-Technologien produziert.

Grenze zwischen IT und OT. 

In den Produktionshallen der österreichischen Industrie gibt es nicht nur sehr viel zu tun, was die eigentliche Herstellung betrifft, sondern es besteht auch großer Bedarf, was die Datenverarbeitung betrifft. Im Jahr 2025 hat praktisch jede Maschine oder jedes Gerät, das für die Produktionstechnik verwendet wird, zumindest einen Ethernet-Anschluss sowie drahtlose Kommunikationsschnittstellen wie WLAN oder Bluetooth und braucht damit eine Integration der Daten in das Unternehmensnetzwerk. Doch wo genau liegt hier die Grenze zwischen IT und OT und warum ist dieser Übergang so entscheidend, ja sogar kritisch?

Die Produktion wird typischerweise von übergeordneten IT-Systemen geplant und gesteuert, um je nach Auftragseingang oder anstehenden Wartungs- und Instandhaltungstätigkeiten die Auslastungen der Maschinen festzulegen. Laufende Rückmeldungen über den Status der an der Produktion beteiligten Anlagen ermöglichen eine kontinuierliche Optimierung der Arbeitsschritte. Dieser Prozess ist als Manufacturing Execution System (MES) bekannt. Bei der Umsetzung der geplanten Produktion in tatsächliche Produktionsschritte müssen viele Daten für Maschinen und Menschen zur Verfügung gestellt werden. Aber auch wie schon angesprochen müssen Daten von Maschinen und Menschen zurückgeliefert werden, um den Fortschritt der Produktion zu überwachen und zu optimieren. Da jedoch Daten aus der IT in die OT und umgekehrt benötigt werden, ergibt sich die besondere Herausforderung, die Systeme sauber zu trennen – den Datentransfer aber auf sichere Weise zu ermöglichen. Durch die Installation von eigenen physischen Netzwerk-Switches für OT-Systeme die über eine OT-Firewall zu Servern in der OT-Sicherheitszone (OT-DMZ) kommunizieren können, lässt sich das lösen. Mittels einer zweiten Firewall können Systeme aus der OT-DMZ dann wiederum abgesichert mit den IT-Systemen kommunizieren.

Normen und Richtlinien. 

Das minimale Setup für einen Aufbau einer sauberen OT-Infrastruktur besteht also aus Industrie-Switches, zwei Firewalls und einem DMZ-Server, wo Middleware, Gateways und Software laufen können. In großen Werkshallen kommt noch die Trennung von Produktion und Gebäudeleittechnik dazu, die ebenfalls ans Netzwerk angebunden werden muss (z.B. PV-Anlagen-Monitoring, Zutrittssysteme, Heizung, Lüftung, Klima, E-Ladestationen). Bei größeren Produktionshallen mit verteilten Maschinen und Systemen werden stets noch Lichtwellenleiter-Netzwerke aufgebaut, um die Systeme galvanisch zu trennen. Ein strukturierter und systematischer Ansatz für die Umsetzung eines OT-Netzwerkes ist die Anwendung der ISO-27001 durch ein entsprechendes Audit und die Anwendung der Handlungsempfehlungen aus der EN62443. Auf NIS 2 und besondere Anforderungen für Betreiber kritischer Infrastruktur (wie z.B. Energieversorgung) sei hier nur ansatzweise verwiesen.

Ein Industriebetrieb mit komplexen Maschinen muss im Störungsfall einen möglichst schnellen und kostengünstigen Support von externen Partnern ermöglichen. Hier kommt die dritte Netzwerk- und Sicherheitsebene „Außenwelt“ hinzu, also das öffentliche Internet, Cloud, Mobilfunk-Netzwerke, Funk- und Satelliten-Kommunikation.

Besonders langlebig.

Weitere Besonderheiten in der OT sind die Anforderungen an Echtzeitfähigkeit und Latenz sowie Redundanz und Ausfalls-Sicherheit. Eine Maschinenautomatisierung (SPS oder PLC) kommuniziert im Mikro- oder Millisekunden-Takt mit den Sensoren und Aktoren der Maschine. Hier darf es zu keinen unvorhergesehenen Verzögerungen in der Datenübertragung kommen. Sogenannte Industrie-Feldbus-Systeme müssen dann unter Umständen nochmals physikalisch mit eigenen Switches und Verkabelung getrennt aufgebaut werden. Dies ist insbesondere für Sicherheitssysteme von größter Bedeutung da z.B. bei Betreten des Bewegungsbereichs eines Roboters dieser sofort stoppen muss, um die Verletzung einer Person vollkommen sicher zu vermeiden. Industriemaschinen haben einen Lebenszyklus von bis zu 20 Jahren, teilweise sogar wesentlich länger. Im IT-Umfeld wird man wenig bis keine 20 Jahre alte Hard- oder Software vorfinden. Da eine Produktionsmaschine jahrzehntelang Produkte mit hervorragender Qualität erzeugen kann, steht man gelegentlich vor der Aufgabe, dass die Maschine sich nicht auf aktuelle, sichere Software oder Betriebssysteme aktualisieren lässt, aber für den Betrieb einer Produktionsanlage unverzichtbar und Datenaustausch mit der Maschine erforderlich ist.