Public-Key-Infrastruktur Digitale Identitäten sicher im Griff

Anbieter zum Thema

ECOS Technology GmbH

PSI Software SE | Business Unit Discrete Manufacturing

becos gmbH

Mit der zunehmenden Vernetzung der Produktion steigt auch die Zahl digitaler Identitäten und der dafür eingesetzten Zertifikate, die zuverlässig geschützt und verwaltet werden müssen. Eine automatisierte Public-Key-Infrastruktur (PKI) schafft dafür die Grundlage.

Traditionelle industrielle Kommunikationsprotokolle wie Profibus oder Modbus wurden in einer Ära entworfen, in der Sicherheit noch kein primäres Designziel war. Netzwerke waren physisch isoliert und Vertrauen wurde durch den bloßen Zugang zur Infrastruktur gewährt. Diese Welt existiert in vielen Betrieben noch heute – zumindest auf der untersten Feldebene. Doch darüber hat sich die Landschaft grundlegend verändert. Protokolle wie OPC UA integrieren kryptografische Sicherheit als nativen Bestandteil des Standards. Verbindungen zwischen Steuerungsgeräten, SCADA-Systemen oder MES-Ebenen werden TLS-verschlüsselt, zudem müssen sich die Kommunikationspartner gegenseitig mit Zertifikaten authentifizieren. Cloud-Integration, Remote-Monitoring und die Vernetzung von Produktionsanlagen mit ERP-Systemen treiben den Bedarf nach zuverlässigen digitalen Identitäten weiter voran.

Schnell sind Tausende oder Zehntausende von Zertifikaten im Umlauf

Das Ergebnis: In mittelgroßen bis großen Produktionsumgebungen können schnell Tausende oder Zehntausende von Zertifikaten im Umlauf sein – für Geräte, Dienste, Benutzer, Maschinen bis hin zu KI-Agenten. Jedes dieser Zertifikate hat eine begrenzte Gültigkeitsdauer, muss bei Bedarf widerrufen werden können und in einen geordneten Lebenszyklus eingebunden sein. Wer das ohne systematisches Management betreibt, riskiert nicht nur Sicherheitslücken, sondern auch Produktionsstillstände durch unbemerkt abgelaufene Zertifikate.

Public-Key-Infrastruktur als organisatorisches Fundament

Im Zentrum jeder professionellen Zertifikatsverwaltung steht eine Public-Key-Infrastruktur (PKI). Sie definiert, wer Zertifikate ausstellen darf, welchen Richtlinien diese entsprechen müssen und wie Vertrauen zwischen Kommunikationspartnern hergestellt wird. Dabei bildet die Certificate Authority (CA) das Herzstück: Sie signiert Zertifikate mit ihrem privaten Schlüssel und bezeugt damit die Authentizität der ausgestellten digitalen Identitäten. Für Industrieunternehmen empfiehlt sich in der Regel eine hierarchische PKI-Struktur mit Root-CA und untergeordneten Sub-CAs. Die Root-CA steht dabei an der Spitze der Vertrauenskette und bleibt üblicherweise offline, um das höchste Schutzniveau zu gewährleisten. Für den operativen Betrieb stellen Sub-CAs die eigentlichen Zertifikate aus.

Ein solches mehrstufiges Modell ermöglicht eine differenzierte Segmentierung nach Organisationseinheiten, Produktionsbereichen oder Sicherheitsanforderungen. Zertifikate für Produktionssteuerungen können anderen Richtlinien unterliegen als jene für Webserver oder Benutzeridentitäten. Gleichzeitig bleibt die gesamte Infrastruktur durch die gemeinsame Vertrauenskette konsistent verwaltbar. Wichtig ist dabei, dass Zertifikate nicht nur ausgestellt, sondern auch widerrufen werden können, wenn ein Gerät außer Betrieb genommen wird, ein Schlüssel kompromittiert wurde oder eine Identität nicht mehr gültig ist.  

Automatisierung als Schlüssel zur Skalierbarkeit

Die wohl größte Herausforderung im industriellen Kontext ist die schiere Menge: In IoT-Umgebungen können einzelne Produktionslinien Hunderte von Geräten umfassen, die jede für sich eine gültige, aktuelle Maschinenidentität benötigen. Manuelle Prozesse stoßen hier rasch an ihre Grenzen. Dies gilt sowohl hinsichtlich der Effizienz als auch mit Blick auf die Fehleranfälligkeit.

Moderne PKI-Lösungen setzen daher auf weitreichende Automatisierung, gestützt auf etablierte Enrollment-Protokolle. SCEP (Simple Certificate Enrollment Protocol) gilt als industrieller Standard und wird von den meisten Geräten und Systemen unterstützt. EST (Enrollment over Secure Transport) bietet als HTTPS-basiertes Protokoll höhere Sicherheit durch TLS als Transportschicht und unterstützt neuere kryptografische Verfahren. ACME, ursprünglich für Web-Zertifikate entwickelt, ermöglicht eine automatisierte Ausstellung ohne manuelle Interaktion. Das Certificate Management Protocol (CMP) schließlich bietet als besonders umfassendes Protokoll Unterstützung für Registrierung, Verlängerung oder Sperrung.

Für Geräte, die keines dieser Standardprotokolle unterstützen, etwa ältere Switches, Router oder proprietäre Produktionsanlagen, bieten spezialisierte PKI-Lösungen sogenannte Enrollment Agents, die sich über SSH oder andere Schnittstellen auf Zielsystemen anmelden und die Zertifikatbereitstellung dort direkt übernehmen.  

Entscheidend ist dabei, dass alle Prozesse – Ausstellung, Verlängerung, Widerruf – nach vordefinierten Richtlinien (Policies) ablaufen. Diese Policies legen fest, welche Attribute ein Zertifikat aufweisen darf, welche Algorithmen zulässig sind und wie lang die Gültigkeitsdauer maximal sein darf. Zertifikatanfragen, die nicht den Richtlinien entsprechen, werden automatisch abgelehnt. Dies ist ein wesentlicher Mechanismus zur konsequenten Durchsetzung von Sicherheitsstandards in großen Umgebungen.

Sichere Schlüsselspeicherung und der Faktor Hardware

Zertifikate sind immer nur so sicher wie die privaten Schlüssel, die ihnen zugrunde liegen. In der Praxis ist die sichere Speicherung dieser Schlüssel oft ein unterschätztes Sicherheitsrisiko. Geraten private Schlüssel – etwa der private Schlüssel einer Root-CA – in unbefugte Hände, ist die gesamte Vertrauenshierarchie kompromittiert.

Hardware Security Modules (HSMs) adressieren dieses Problem durch eine hardwarebasierte Isolierung: Der private Schlüssel wird direkt im HSM erzeugt und verlässt dieses nie. Alle kryptografischen Operationen finden innerhalb des gesicherten Moduls statt. Der Schlüssel ist dselbst dann nicht extrahierbar, wenn ein Angreifer vollen Zugriff auf das System erlangt, das das HSM nutzt.

HSMs sind in verschiedenen Formfaktoren verfügbar, beispielsweise als USB-Geräte für lokale Umgebungen, als Netzwerk-HSMs für zentrale Infrastrukturen oder als Cloud-HSM-Dienste für hybrid betriebene Umgebungen. Für Produktionsumgebungen mit erhöhten Sicherheitsanforderungen ist der Einsatz eines HSM für die Schlüssel der Root-CA praktisch unverzichtbar. Neben asymmetrischen Schlüsselpaaren können moderne PKI-Systeme auch symmetrische Schlüssel und sonstige Geheimnisse wie Datenbankpasswörter oder API-Credentials sicher erzeugen und verwalten.  

Dezentrale Produktion, zentrale Kontrolle mit Edge Gateway

Produktionsunternehmen mit mehreren Standorten, Auslandswerken oder Fertigungslinien bei Dienstleistern stehen oft vor einer besonderen Herausforderung: Die Zertifikatinfrastruktur muss auch ohne permanente Internetanbindung und in Air-Gapped-Umgebungen funktionieren. Edge-Gateway-Konzepte wie das TMA Edge Gateway von Ecos adressieren dieses Problem, indem sie eine lokale Instanz der PKI-Funktionalität direkt in der Produktionsumgebung bereitstellen. Das Edge Gateway fungiert als Sub-CA, kann eigenständig Zertifikate ausstellen und auf den produzierten Geräten installieren – auch dann, wenn die Verbindung zur zentralen PKI-Infrastruktur unterbrochen ist. Bei der nächsten Online-Verbindung synchronisiert sich das Gateway mit dem Hauptstandort.

Solche Lösungen sind für den Betrieb durch nicht-spezialisiertes Personal ausgelegt und erfordern weder komplexe Administration noch tiefes PKI-Fachwissen. Geräte können bereits im Produktionsprozess mit ihrer digitalen Identität ausgestattet werden – noch bevor sie das Werk verlassen. Das schafft eine durchgängige Vertrauenskette vom Herstellungsprozess über den laufenden Betrieb bis zur späteren Außerbetriebnahme.

Die Verwaltung von Maschinenidentitäten ist kein rein technisches Nischenthema, sondern eine organisatorische Querschnittsaufgabe, die Produktions-IT, IT-Sicherheit und operativen Betrieb gleichermaßen betrifft. Dies gilt in Zeiten umso mehr, in denen auch KI-Agenten sinnvoll abgesichert werden müssen. Unternehmen, die eine strukturierte Infrastruktur aufbauen, schaffen nicht nur die Grundlage für eine sichere vernetzte Produktion – sie sind auch besser gerüstet für die regulatorischen Anforderungen, die in den kommenden Jahren weiter zunehmen werden

Gerald Richter ist Geschäftsführer der Ecos Technology GmbH.