2015-2016年中国激光产业市场分析与展望

激光各种应用市场份额也发生了变化,根据全国大部分激光企业从事的产品与销售额,可测算出目前激光应用的份额分布。人们常说激光打标占据“半壁江山”,其实更早的时候,我国工业激光应用就是从简单的激光打标(包括激光雕刻)起步,后来发展到切割、焊接等,在2005年激光打标占据了超过65%的市场份额,而当时还没有光纤激光切割机,钣金行业逐渐推广激光切割,主要是YAG、CO2激光切割,激光切割市场份额约20%。而到2015年,激光打标的市场份额低于40%,激光切割、激光焊接的份额上来了。

2016年上半年国内激光产业迅速回暖,一些上市激光公司半年报也令人鼓舞:大族激光上半年同比增长22.69%,华工科技同比增长30.43%,联赢激光同比增长70.55%,天弘激光同比增长10.9%…….行业内传出光纤激光器、紫外激光器还出现供不应求的局面。许多加工设备商收到的订单增加,交货期不得不延长,这些都是令人欣喜的局面。

可以预见,2016年以及未来几年国内激光产业发展状态逐渐改善,相比过去几年更加健康、更加稳定发展。本土企业研发实力更强,产能更大,销售与服务网络更完善。

随着本土企业崛起,外国企业尤其是德国、美国等激光强国在国内面临挑战更大。通快集团2015/16财年在中国的业绩为3.6亿欧元,同比下降了2%,而另一巨头IPG光子2016年第二季度在中国的业绩增长仅有4%,以往该公司在中国占据光纤激光器大部分市场份额,每季度/每年均有20%以上的增长。

基于上述2016年国内激光产业迎来2011后最好的发展局面,预测2016年国内激光产业市场增速可达20%以上。乘着政府大力推动智能制造与“中国制造2025”的计划,国内激光产业有望在2017年延续较快发展的良好机遇。

Neue KEP-Dienste erfordern Optimierung der Distributionslogistik

Hochentwickelte Lieferservices und individuelle Lieferbedingungen zu niedrigen Kosten – die Distributionslogistik wird derzeit getrieben von neuen Zustell-Modellen und den steigenden Erwartungen der Kunden. Insbesondere im B2B-Geschäft gehören unabhängig von der Branche spezielle Anforderungen, beispielsweise an Verpackung oder Sendungszusammenhalt, längst zum Alltag. Der Versand an unterschiedliche Kundengruppen erfordert von der Intralogistik zusätzliche Flexibilität.

Optimierungsmaßnahmen für die Distribution

Um die steigenden Anforderungen an die Distributionslogistik zu erfüllen, suchen viele Unternehmen nach Möglichkeiten zur Optimierung. Mit einzelnen Maßnahmen, wie der Verbesserung von Auftragszusammenführung und Packvorgang oder einer optimierten IT-Anbindung der Pack-Abwicklung an die Versanddienstleister, lassen sich Liefergeschwindigkeit und Lieferqualität bereits deutlich erhöhen. Wenn noch größere Verbesserungen erzielt werden sollen, ist meist die Einrichtung zusätzlicher Lager oder Umschlag-Hubs sinnvoll. Möglicherweise ist auch die Verlagerung eines ganzen Distributionsstandortes notwendig.

Viele Unternehmen stellen ihre Standort-Struktur vor allem dann grundsätzlich auf den Prüfstand, wenn neue Märkte versorgt oder hohe Investitionen für Bestandsgebäude getätigt werden müssen. Im Vordergrund steht dabei meist die Frage, ob die Distribution über Zentrallager oder Regionallager erfolgen soll. Insbesondere, wenn eine Reduktion der Distributionskosten angestrebt wird, ist es sinnvoll eine Zentralisierung zu prüfen.

Berechnung, Visualisierung und Lagerplanung

Im ersten Schritt erfolgt eine Erfassung der IST-Struktur sowie die Analyse ihrer Stärken und Schwächen. Im zweiten Schritt werden alternative Distributionsszenarien entwickelt und mit Unterstützung spezieller Software berechnet und visualisiert. Dabei stehen qualitative Kriterien, zum Beispiel die strategische Ausrichtung des Unternehmens, ebenso wie quantitative Faktoren, insbesondere Transport-, Bestands- und Handlingskosten, im Fokus. Um belastbare Ergebnisse zu erhalten ist es darüber hinaus wichtig, auch Investitionen in die Standorte sowie die daraus resultierenden laufenden Kosten anhand einer Lagerplanung zu ermitteln und einzubeziehen. Die Bewertung der Optimierungsszenarien sollten Unternehmens- und Logistikleitung gemeinsam und mit fachlicher Unterstützung vornehmen.

Besonderheiten europäischer Distributionsstrategien

Wenn eine Distributionsstrategie neben dem deutschen Markt auch weitere europäische Länder abdecken soll, sind einige Besonderheiten zu beachten. In Deutschland ist es auf Grund der guten Infrastruktur und effizienter KEP-Dienstleister möglich, Lieferungen innerhalb von 24 Stunden im ganzen Land zuzustellen. In anderen Ländern bestehen diesbezüglich zum Teil signifikante Unterschiede. Auch Lohnniveau, Arbeitskultur, Rechtsgrundlagen sowie andere wirtschaftliche und politische Faktoren können stark abweichen. Diese Unterschiede sollten im Detail ermittelt werden und in die Entwicklung einer europäischen Distributionsstrategie einfließen.

Es gibt zahlreiche Möglichkeiten, um Distributionsstrukturen zu optimieren. Welche Maßnahmen sinnvoll sind, hängt von den Unternehmenszielen und dem Branchenstandard ab. Wichtig ist es eine Distributionsstrategie so zu konzipieren, dass sie praxisnah, umsetzbar und wirtschaftlich ist. Zudem muss sie so flexibel angelegt sein, dass sie jeder Zeit erweitert und an die Bedürfnisse des Unternehmens angepasst werden kann.

Sicherheit auf Baustellen per Wireless Kommunikation

Die Remtec AG entwickelt, konzipiert und implementiert Mess-, Steuer- und Regelungssysteme, u.a. für Wasserversorgungen und Strassenverkehr. In den Systemen spielen die NB1600-Router von NetModule eine Schlüsselrolle.

Nicht nur die größere Mobilität, sondern auch das Bestreben nach guten Infrastrukturen sind Treiber für den Tunnelbau. Zu den vielfältigen Aufgabenstellungen zählen Strassen, Bahn, Ver- und Entsorgung im Wasser-, Abwasser- und Elektrobereich sowohl für Neuanlagen als auch zur Sanierung bzw. Instandhaltung bestehender Tunnels. Der Tunnelbau zählt zu den risikoreichsten und anspruchsvollsten Aufgaben im Bauwesen, umso mehr liegt die höchste Priorität auf der Sicherheit – so auch in einem Projekt in der Schweiz, das sich auf mehrere Baustellen aufteilt, an denen rund um die Uhr auch mit schwerem Gerät gearbeitet wird. Um Unfällen vorzubeugen, muss man also schnellstmöglich feststellen, wer sich wann und wo aufhält.

Die Lösung sollte die Daten erfassen und schnell und zuverlässig vom Feld auf das zentrale Verwaltungssystem und retour übertragen, und dabei folgende Anforderungen erfüllen:

  • Nutzung des Mobilfunknetzes,
  • Aufbau von VPN-Tunneln mittels OpenVPN zur sicheren Datenübertragung,
  • Anbindungsmöglichkeit von SPS,
  • Industrietauglichkeit 

Technische Lösung zur Personenüberwachung

Die in der Schweiz ansässige Remtec AG übernimmt die immer wichtiger werdende Fernüberwachung und –steuerung von Anlagen über ein Netzwerk. Sie installierte ein System bestehend aus  einem zentralen Server und jeweils einer Scanner-Säule mit Industrie-PC, Barcodeleser, Wireless Router NB1600 und einem Touchpanel bei jedem Tunnelportal sowie auf dem Installationsplatz. Über eine Web-Applikation registrieren sich die Arbeiter und vor Ort involvierte Personen und erhalten per E-Mail einen QR-Code, welchen sie auf Papier ausdrucken oder auf dem Handy speichern können. Beim Betreten der Baustelle muss sich jeder mit seinem eigenen QR-Code einchecken, was über ein Barcode-Lesegerät in der Säule erfolgt. Die Daten werden im Industrie-PC registriert, und über den Wireless Router per Internet zum zentralen Server übertragen. Das zentrale System meldet retour und bestätigt die Anwesenheit. Dasselbe erfolgt beim Verlassen der Baustelle.

Die Scannersäulen am Tunneleingang integrieren jeweils einen Industrie-PC, Barcodeleser, Wireless Router NB1600 und ein Touchpanel zum Datenabgleich mit der Zentrale.
Über die am Tunneleingang installierten Scannersäulen loggen sich die an den Baustellen tätigen Personen ein und gleichen ihre Daten mit einem zentralen Server ab.
Bei der Wireless Datenübertragung übernehmen die NB1600 eine Schlüsselrolle, die sichere Übertragung erfolgt via OpenVPN.

Zur wireless Datenübertragung kommen Geräte der NB1600-Produktlinie von NetModule zum Einsatz. Diese leistungsfähigen und programmierbaren Router sind mit Erfüllung der Normen EN 61000-6-2 und EN 60950-1 für den Einsatz im industriellen Bereich konzipiert. Sie verfügen über eine hohe elektromagnetische Verträglichkeit und sind für den Temperaturbereich von -25 °C bis +70 °C ausgelegt. Indem sie ein 4G (LTE) oder 3G (UMTS) Mobilfunkmodul mit bis zu 100 Mbit/s downlink und 50 Mbit/s uplink integrieren, bringen sie einen mobilen Breitbandanschluss auf die Hutschiene. Als Besonderheit bieten diese Geräte zwei flexibel einsetzbare Ethernet-Ports, die einzeln konfigurierbar sind bzw. entweder als LAN oder als WAN Port ausgestaltet werden können. So lassen sich die Ports im LAN-Modus als Switch zusammenfassen oder sie trennen zwei einzelne Netze.

Für die sichere Datenübertragung zwischen NB1600 und Zentrale unterstützt die Router-Firmware die gängigen VPN-Technologien wie OpenVPN und IPsec. Über die Web-Oberfläche können mit wenigen Klicks die verschiedenen Parameter wie Serveradresse, Verschlüsselung, etc. angegeben und der Tunnel aufgebaut werden. Mittels QoS (Quality of Service) können die ausgehenden Daten priorisiert werden, so dass die wichtigsten Betriebsdaten immer Vorrang haben.

Zwei isolierte binäre Eingänge und zwei Relais-Ausgänge ermöglichen den Anschluss von  Sensoren und Aktoren. Die Remtec nutzt dazu vor Ort eine SPS, die über Ethernet mit dem NB1600 vernetzt ist. Weil dessen Software die gängigen VPN-Technologien (IPsec und OpenVPN sowohl im Client- als auch im Server-Modus) unterstützt, kann der Router einen OpenVPN-Tunnel aufbauen, der durch den zentralen Server terminiert wird, und so die ein- und ausgehenden Daten sicher auf das Verwaltungssystem überträgt. So wird hinterlegt, wer wann und wo beschäftigt ist – als Voraussetzung für die Gewährleistung der Sicherheit der Arbeiter in einem Ereignisfall. Zugleich stellt das System sofort fest, ob sich unbefugte Besucher beispielsweise mit manipulierten QR-Codes Zutritt zu den Tunnels verschaffen. Dass die Zeiterfassung, Arbeitsschichten und Personen auch gleich ausgewertet werden können, ist ein weiterer Zusatznutzen.

Flexibel nutzbar

Bei Bedarf kann Remtec Funktionen und kleinere Applikationen schnell und einfach über das mit der Software des NB1600 gelieferte SDK (Software Development Kit) realisieren. Sollte also beispielsweise ein Sensor kritische Werte liefern – etwa einen manipulierten QR-Code – könnte der NB1600 Router optional direkt einen SMS-Alarm auslösen. Auch die Schnittstellen lassen sich über das SDK ansprechen und programmieren. Die Bedienung des Routers erfolgt durch den Web Manager oder per Kommandozeilen. Über den USB-Anschluss ist die dateibasierte Konfiguration möglich ebenso wie das bequeme Einspielen neuer Firmware.

IoT Security – Ein Optimierungsproblem

Regelmäßig erscheinen neue Nachrichtenberichte über „klassische“ Cyberangriffe auf IT-Systeme großer Unternehmen wie Apple, JP Morgan Chase, Sony und viele weitere [1]. Angriffsziele sind meist sensible Informationen über neue Entwicklungen, Kundendaten oder strategisch wichtige Dokumente. Ergebnisse solcher Angriffe sind oftmals Imageschäden und Kosten bis in den Millionen Bereich. Trotz der schwerwiegenden Schäden bei klassischen IT-Systemen, sind die Auswirkungen im Internet of Things-Bereich weitaus tiefgreifender. Bei der Erweiterung einer IT-Landschaft um IoT-Komponenten, wird der Nutzer und dessen physische Umgebung durch die direkte Vernetzung Teil des IoT-Systems und damit Teil der Angriffsoberfläche. So kann in Zukunft ein Angreifer die Kontrolle über ein Auto erhalten [2] oder Gesundheitssysteme in einem Krankenhaus stören [3], was zu Verletzungen der Privatsphäre und darüber hinaus zu schwerwiegenden Personenschäden führen kann.

Unter Internet of Things (IoT) oder zu Deutsch dem Internet der Dinge wird allgemein die enorme Vernetzung von intelligenten Objekten mittels eingebetteten Systemen verstanden, wodurch fortgeschrittene Anwendungen und Dienstleistungen realisiert werden können (siehe auch Definition des DigitalWikis [4]).

Der Hype um die Integration von IoT hat mittlerweile sein Ende gefunden [5]. Gemäß dem Gartner Hype Cycle sind neben der IoT Integration auch weitere zentrale Themen von IoT auf dem Weg in das „Tal der Ernüchterung“ (vgl. Gartner Hypecycle: Through of Disillusionment [5]). Der langjährige Hype führte zu überspitzen Erwartungen und Hoffnungen, die das Geschäftsfeld IoT nie hätte erfüllen können. Dennoch hat die Vergangenheit bereits bewiesen, dass mittels dem IoT nachhaltige Geschäftsmodelle realisierbar sind, welche einen enormen Nutzen bei geringen Aufwänden aufweisen. So wird IoT bereits erfolgreich in traditionellen Branchen wie Logistik [6], Umwelt [7] oder Infrastruktur [8] genutzt. Zudem sind im Zuge der ersten IoT-Welle neue Geschäftsideen und Marktnischen wie Smart Home, eHealth, Building Technologie, Connected Car (Car IT) oder Smart Energy entstanden (neue Hype-Themen vgl. Gartner Hypecycle). Trotz des Endes der ersten Hype-Welle ist und wird die Integration von IoT als eines der bedeutungsvollsten Geschäftsfelder bestehen.

Technologievielfalt

Eine der großen Herausforderungen bei der Realisierung von IoT sind die heterogenen Anforderungskonstellationen und Technologie-Eigenschaften. Nur sehr schwer lassen sich anwendungsübergreifende Best Practices oder Standards für IoT etablieren (siehe Beispiel „Vernetzung im IoT-Umfeld“).

Beispiel: Vernetzung im IoT-Umfeld
Vielseitige Anforderungskonstellationen führen zu der Auswahl von unterschiedlichen Technologien und Standards. So können zum Beispiel zur Datenübertragung Technologien wie Bluetooth, ZigBee, Z-Wave, WLAN, Ethernet, GSM, UMTS, LTE oder KNX zum Einsatz kommen. Während Ethernet vorzugsweise bei statischen und geographisch eingeschränkten Systemen zum Einsatz kommt, wird UMTS bei geographisch unabhängigen und dynamischen Systemen verwendet. Beispiele sind hierfür der Smart Home und der Connected Car Bereich. Im Smart Home Bereich sind überwiegend stationäre Endgeräte per Kurzstreckenfunk (z.B. Bluetooth, ZigBee, BidCos) vernetzt und über zentrale Gateways mit lokalen Netzwerken und dem Internet verbunden. Die Vernetzung von Autos erfordert hingegen dynamische und wesentlich robustere Technologien.

IoT Security im Einklang mit Geschäftsmodellen

Einer der aufsteigenden Trends im Kontext von IoT ist IT-Sicherheit – gerne betitelt als IoT Security. Bei kaum einem anderen Innovationstrend ist das Thema Sicherheit und Datenschutz so umstritten, wie bei IoT. Hierfür gibt es zwei Begründungen, welche eng zusammenspielen:

(A1) Die Wechselwirkungen von IoT, IT-Sicherheit und dem Geschäft

(A2) Das kritische Risikoprofil von IoT

Um die Problematik der beiden Aussagen besser zu verstehen und das Optimierungsproblem zu schildern, werden zunächst die Ziele von IT-Sicherheit und IoT sowie das Risikoprofil beschrieben.

Das Ziel von IoT kann abstrakt als Optimierung von Geschäftsprozessen und -abläufen beschrieben werden. Konkret bedeutet das entweder die umfangreiche Generierung von Daten zu Analysezwecken oder die standortunabhängige Steuerung von Objekten. Hierfür bilden eine vielseitige Sensorik, unterschiedliche Technologien, eine großflächige Vernetzung, eine hohe Abtastfrequenz (Echtzeit-Fähigkeit) sowie eine dynamische Umwelt sogenannte (IoT-) Multiplikatoren (siehe Abbildung 1). Multiplikatoren werden in diesem Zusammenhang als Elemente, Konfigurationen und Eigenschaften einer Geschäfts- oder IT-Landschaft verstanden, welche den Nutzen dieser verstärken. Eine Übersicht über unterschiedliche Sensoren bietet [9], verschiedene Technologien zur Datenübertragung listet [10].

Das Ziel von IT-Sicherheit kann als Verminderung von Schaden, gemessen in Schadenersatz, Reputation oder Kundennutzen beschrieben werden. Konkret bedeutet das, dass Bedrohungen abgeschwächt oder Schwachstellen eines Systems geschlossen werden, sodass diese Schwachstellen von potentiellen Bedrohungen nicht mehr ausgenutzt werden können. Mögliche (IT-Sicherheits-) Multiplikatoren zur Erreichung dieses Ziels bilden jegliche Maßnahmen, welche zur Gewährleistung der Schutzziele beitragen. Die drei verbreitetsten Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit (siehe hierzu [11]).

Das Ziel des Geschäfts kann abstrakt als größtmöglicher Nutzen bei geringer Time-to-Market und niedrigen Aufwänden definiert werden (siehe beispielsweise „Magisches Dreieck“ [12]).

Wie bereits mit Aussage A1 beschrieben, verbirgt sich eine grundlegende Problematik hinter den Wechselwirkungen von IoT, IT-Sicherheit und dem Geschäft, welche Abbildung 1 visualisiert. Diese wird nachfolgend näher erläutert.

null

Abbildung 1 – IoT Security Auswirkungen Big Picture

Die IoT-Multiplikatoren sind das Fundament des Geschäftsnutzens, stellen jedoch auch Komponenten des Angriffsvektors dar. Ein Angriffsvektor beschreibt das Vorgehen eines Angreifers, mit dem er ein oder mehrere Schutzziele verletzt, um eine bösartige Handlung durchzuführen. Eine Komponente eines Angriffsvektors kann dabei die Ausführungen der Möglichkeiten erleichtern oder vervielfachen. Das bedeutet: Je stärker ein IoT-Multiplikator ausfällt, desto leichter ist es, damit das System anzugreifen. Mit jedem weiteren Sensortyp oder Technologie (Angriffsoberfläche) besitzt der Angreifer zusätzliche Einstiegsmöglichkeiten (Angriffsvektor) in das System. Die schwächste Komponente bildet den Bottleneck des Angriffsvektors. 

Andersherum vermindern IT-Sicherheitsmaßnahmen die Effektivität von IoT:

  1. Der Einsatz von Standards und Sicherheitsroutinen schränkt die Umsetzung von anwendungsspezifischen Anforderungen ein. Das hat Auswirkungen auf Eigenschaften wie Anwendungsperformanz oder Funktionalität einer Lösung und kann damit zum Beispiel das Kaufverhalten der Abnehmer negativ beeinflussen.
  2. Die Verwendung von Verschlüsselungsalgorithmen, Hashwerten und weiteren Funktionen vermindern die Performanz und verletzen somit die Echtzeitfähigkeit des Systems.
  3. Zusätzliche Sicherheitskomponenten erhöhen die Komplexität des Systems, was Betriebs- und Änderungsprozesse umfangreicher und dadurch aufwändiger gestalten kann.

Aus wettbewerbsstrategischer Sicht ist das Ziel einer IoT-Dienstleistung oder eines IoT-Produkts, den höchsten Nutzen (z.B. umfangreiche Funktionalität) zu einem geringen Preis anbieten zu können. Oftmals und irrationaler Weise wird aus Sicht des Geschäfts die IT-Sicherheit als zweitrangig eingestuft. IT-Sicherheit benötigt Zeit, Kapital und Wissen, jedoch bringt die Risikoabschwächung keinen unmittelbar sichtbaren Nutzen (Stichwort: Return of Investment). So ist in vielen Geschäftsbereichen der Verzicht auf IT-Sicherheit die Reaktion auf die Unmittelbarkeit von Risikoprävention und kurzfristiger Return of Investment. Dieses Entscheidungsmuster führt zu der zweiten Seite des Problems: Dem kritischen Risikoprofil von IoT (Aussage A2).

Mit IoT steigt die Fähigkeit persönliche Informationen, wie Name, Alter, Anschrift, Nationalität, Mailadresse, IP-Adresse, Identität bis hin zu den Einkaufsgewohnheiten zu sammeln und Zugriff auf Elemente der unmittelbaren, physischen und virtuellen Welt des Nutzers zu erhalten. Während demnach bei Angriffen auf klassische Systeme die physische Umgebung unberührt bleibt, erhält ein Angreifer von IoT die Möglichkeit, der physischen Umgebung und der Gesundheit des Menschen in direkter Weise zu schaden. Die Kritikalität des Risikoprofils steigt somit immens.

Durch die eben beschriebenen Wechselwirkungen der verschiedenen Ziele, wird die Entwicklung von neuen IoT-Systemen zunehmend zum Balanceakt zwischen sicherer Systemgestaltung, Wirtschaftlichkeit und Anwendungsperformance (siehe Abbildung 2). Dieser Balanceakt kann als Optimierungsproblem betrachtet werden.

null

Abbildung 2 – Visualisierung der Wechselwirkung

Da die IT-Sicherheit einen großen Kostenfaktor darstellt, der zudem einen negativen Einfluss auf den Nutzen von IoT haben kann, sieht die Geschäftsseite selten einen direkten Nutzen bei der Investition in IT-Sicherheit. Lediglich das kritische Risikoprofil erzwingt die Wahrnehmung und Investition. Ohne IT-Sicherheit können die Konsequenzen von Angriffen verheerend sein, was sich letztlich auf das Image des Produkts und des Unternehmens auswirkt. Genauso wenig darf der Versuch unternommen werden, eine absolute Sicherheit zu erreichen, da diese zum einen nicht wirtschaftlich ist und zum anderen der Effektivität des IoT-Systems schadet (zudem auch praktisch unmöglich). Eine ausgewogene Planung und Realisierung von IoT und IT-Sicherheit ist hierbei der Schlüssel zum Erfolg. Im Vorhinein muss der Schutzbedarf und der gewünschte Nutzen definiert werden. Nur wenn beides erreicht wird, sollte die IoT-Lösung eingesetzt werden.

IoT-Projekte in der Realität

In der Wirtschaft sieht die Situation jedoch oft anders aus: Bei vielen Initiativen ist unklar, wie das Ergebnis aussehen soll und Rahmenbedingungen werden anfangs nicht ausreichend analysiert. Zu Beginn der jeweiligen Initiative wird diese unzureichende Vorbereitung dann durch Einsatz agiler Methoden gerechtfertigt, das Vorhaben abgenickt und mit der Realisierung begonnen – selbstverständlich hat dies nichts mit der eigentlichen Doktrin hinter agiler Entwicklung zu tun.

Stattdessen sollte initial die aktuelle Situation analysiert werden. Allen Beteiligten muss der Ist-Zustand (A) klar sein. Anschließend soll sich über den Ziel-Zustand (B) Gedanken gemacht werden. Im dritten Schritt ist die Planung an der Reihe, in welcher grob definiert wird, wie man von A nach B kommt. Die starke Konzentration auf Kostensenkung und eine möglichst geringe Time-to-Market führt zur Vernachlässigung zentraler Fragestellungen. Dadurch fällt in der Realität der oben beschriebene Balanceakt meist zulasten der IT-Sicherheit, des Schutzes der Privatsphäre und zulasten einer stabilen IT-Architekturentwicklung aus. Das mangelnde Bewusstsein für IT-Sicherheit verschlimmert die Situation. Das Ergebnis sind unausgereifte IoT-Systeme, IoT-Produkte und IoT-Services, bei denen erst nach der Markteinführung das Ausmaß der Sicherheitslücken deutlich wird. Mit unzureichenden Update- und Patch-Prozesse schließt sich der Teufelskreis, denn die Lücken können im Nachhinein nur mit hohen finanziellen und zeitlichen Aufwänden geschlossen werden. Diese Herausforderung war ebenfalls Thema bei der Veranstaltung IoTcamp der Cassini Consulting GmbH im Jahr 2016 [13], auf der die Auswirkungen von IoT auf die Prozesslandschaft diskutiert wurden.

Kritische Reflexion

Die Architekturen und Prozesse derzeitiger IoT-Lösungen sind nicht zu Ende gedacht. Ein kritischer Bereich sind beispielsweise die eben genannten Release-, Update- und Patch-Prozesse. Diese sind für vielen IoT-Produkte nicht vorhanden oder schlecht realisiert. Das führt dazu, dass entsprechende Produkte bei der Feststellung von Mängeln oder bei der Markteinführung von Nachfolgeprodukten quasi entsorgt werden können oder ungeschützt weiter betrieben werden, da das Risiko eines Angriffes unterschätzt wird (fehlendes Bewusstsein). Hier sollte über ein ganz neues Konzept nachgedacht werden. Einige IoT-Experten argumentieren mit „ausgeklügeltem Geschäftsmodell“, aber auch davon sind wir meiner Meinung nach weit entfernt. Vor der Arbeit mit neuartigen Technologien oder Konzepten sollte eine Vorstudie, gefolgt von einer umfangreichen Anforderungsanalyse durchgeführt werden. Der Druck auf eine möglichst geringe Time-to-Market sowie das zusätzlich benötigte Kapital und Know-how verhindern dies in vielen Fällen. In den Initiativen, in denen die notwendige Zeit, Kapital und Know-how zur Verfügung gestellt werden, haben eine wesentlich höhere und nachhaltige Erfolgschance.

Quellen

[1] https://www.heise.de/thema/Sony_Pictures_Hack

[2] http://www.car-it.com/gefaehrliche-schwachstellen/id-0048095

[3] http://e-health-com.de/newsletter-2016-2/it-sicherheit-in-krankenhaeusern/

[4] http://www.digitalwiki.de/internet-of-things/

[5] http://www.gartner.com/smarterwithgartner/7-technologies-underpin-the-hype-cycle-for-the-internet-of-things-2016/

[6] https://www.mittelstandswiki.de/wissen/Gastbeitrag:IoT-L%C3%B6sungen_f%C3%BCr_die_Logistik

[7] http://www.gemalto.com/deutschland/iot/inspiration/wie-hilft-das-iot-der-umwelt

[8] http://www.businessinsider.de/internet-of-things-infrastructure-architecture-management-2016-10?r=US&IR=T

[9]http://www.postscapes.com/trackers/video/the-internet-of-things-and-sensors-and-actuators/

[10] https://www.efxkits.us/different-types-of-wireless-communication-technologies/

[11] http://www.kryptowissen.de/schutzziele.php

[12] https://www.gbcc.eu/3709/magisches-dreieck-kosten-zeit-qualitaet/

[13] http://www.iotbarcamp.de/

 

 

 

 

 

Wie geht ganzheitliche IoT Security?

Beim Thema IoT die IT Security zu betrachten liegt nahe und ist ein wichtiger Punkt. Es ist aber nur eine von mehreren Sicherheitsebenen die bei Entwicklung und Betrieb von IoT basierten Produkten und Services zu beachten sind. Nur unter Berücksichtigung aller Sicherheitsebenen können sichere IoT Services entwickelt werden.

Sicherheitsrelevante Ebenen

Ein IoT-Produkt besteht aus mehreren Teilkomponenten, die allesamt sicherheitsrelevant sind. Dies sind:

  • Kommunikation: Bei der Kommunikation über öffentliche Netze (Internet, Mobilfunk) müssen die Sicherheitsvorkehrungen der Kritikalität gerecht werden
  • Rechenzentrum: Nicht jedes Rechenzentrum eignet sich für kritische Anwendungen, die Daten übertragen und Maschinen steuern
  • Software: Absicherung der eingesetzten Softwareprodukte ist die Grundlage einer sicheren IoT Lösung.
  • Betriebsprozesse: Prozesslücken bei Verantwortungsübergang (z.B. von IT zu OT) stellen oft kritische Sicherheitsschwachpunkte dar
  • Menschen: Die meisten durch Menschen verursachten Sicherheitsvorfälle entstehen durch Insider, Tendenz steigend.

Für alle oben genannten Ebenen gibt es bereits Regulierungen und Best Practices aus verschiedenen Branchen. Hervorzuheben sind hierbei sicherlich die Kreditkartenbranche, das Gesundheitswesen und die Energiebranche.

Kommunikation – Der Weg

So ziemlich jeder Plattformbetreiber bietet Schutz vor unbefugten Zugriffen auf die angeschlossenen Geräte und übertragenen Daten. In den meisten Fällen verbirgt sich hierhinter eine technische oder organisatorische Lösung. Die Daten werden zum Beispiel in einem verschlüsselten Kanal übertragen oder die Verbindung kann nur von dem Gerät selbst aufgebaut werden. Oftmals ist es auch ein spezielles Gerät, welches im industriellen Umfeld die Maschine vom Netz abschottet. All diese Dinge sind naheliegend und teilweise auch wirkungsvoll. Man muss sich jedoch im Klaren sein, dass bei solchen Verfahren nicht die Daten selbst sondern nur der Transportkanal verschlüsselt werden. Das bedeutet im Umkehrschluss, dass die Daten an mehreren Stellen unverschlüsselt vorliegen und somit gefährdet sind. Abhilfe schafft hier nur eine End to End Verschlüsselung bei der nur die berechtigten Parteien im Besitz der nötigen Schlüssel sind, um die für sie bestimmten Daten zu entschlüsseln. Ein weiteres, nicht unwichtiges Feature der End to End Verschlüsselung ist die gegenseitige eindeutige Feststellung der Authentizität der miteinander kommunizierenden Partner.
Vorgaben für eine wirkungsvolle Verschlüsselung wurden vor allem im Bereich des Kreditkarten- (z.B. durch PCI), Gesundheits- (z.B. durch Gematik) und Energiewesens (z.B. durch BSI) definiert.

Rechenzentrum – Die Drehscheibe

In nahezu allen Fällen steht im Zentrum einer IoT Anwendung eine Plattform, in der die Daten gesammelt, gespeichert und verarbeitet werden. Das bedeutet aber auch, dass das Rechenzentrum der Ort ist, an dem Daten möglicherweise unverschlüsselt vorliegen und abgegriffen werden können. Daher ist auch hier auf ein hohes Maß von physischen und organisatorischen Sicherheitsmechanismen zu achten. Neben Zugangsbeschränkungen, Videoaufzeichnung und Alarmvorkehrungen muss der Rechenzentrumsbetrieb dafür Sorge tragen, dass alle für alle anfallenden Tätigkeiten erprobte Prozesse definiert sind und diese auch eingehalten werden. Im Umfeld eines Rechenzentrums nach dem „Hey Joe Prinzip“ zu arbeiten mag zwar manchmal schneller zum kurzfristigen Ziel führen, gefährdet aber den gesamten Betrieb. Es sollte also bei der Auswahl des Rechenzentrums darauf geachtet werden, dass die physische und organisatorische Sicherheit vorhanden und am besten sogar zertifiziert ist. Auch im Bereich des Rechenzentrumsbetriebs existieren bereits Vorgaben, Empfehlungen und Regulierungen aus den verschiedenen Branchen. Einige Besipiele wären hier der PCI-DSS (Payment Card Industry Data Security Standard), die Vorgaben des DK (Deutsche Kreditwirtschaft, ehem. Zentraler Kreditausschuss), BSI Grundschutz oder die ISO 2700X.

Software – Das Vehikel

Ist die Software einmal im Einsatz, kann der Betrieb nur noch für den sicheren Betrieb der Software sorgen. Die Sicherheit der Software selbst jedoch muss bereits während der Entwicklung gewährleistet werden. Hierzu gibt es verschiedenste Konzepte, wie ein sicherer Softwareentwicklungsprozess aussehen kann. Weiterhin gibt es Spezifikationen der Anforderungen an die Sicherheit von Software. So definiert der im Kreditkartengeschäft etablierte Standard PCI PA DSS (Payment Card Industry Payment Application Data Security Standard) 14 Grundanforderungen auf gut 80 Seiten. Hierbei handelt es sich um Anforderungen zur Datenspeicherung, Datenverarbeitung, Verschlüsselung und Testverfahren. Ein weiterer Ansatz ist das „Security by Design“ Prinzip, das bei vielen Firmen wie z.B. Microsoft, Apple, Google und Oracle im Einsatz ist. Hierbei wird ein Security Development Lifecycle definiert, der während der Softwareentwicklung durchlaufen wird. Dies bedeutet, dass die Sicherheit eine explizite Anforderung des Entwicklungsprozesses ist und während der gesamten Softwareentwicklungsphase ganzheitliche Sicherheitsmaßnahmen berücksichtigt, umgesetzt und getestet werden.

Betriebsprozesse – Das Fundament

Sauber definierte Prozesse, die von den an der Serviceerbringung beteiligten Parteien auch gelebt werden, sind die Grundlage eines gut organisierten Services. Die Prozesse definieren Handlungsvorgaben, Zuständigkeiten und Dokumentationsanweisungen für alle relevanten Vorfälle und werden im besten Falle durch IT Tools unterstützt. Besondere Sorgfalt ist bei dem Übergang von Verantwortlichkeiten wie z.B. zwischen Softwareentwicklung und Betrieb oder von der IT zur OT erforderlich, da gerade diese Schnittstellen oft Angriffspotential bieten. Auch für die Definition von Prozessen rund um den Servicebetrieb gibt es bereits Standards, derer man sich bedienen kann. Ein weitverbreitetes Beispiel ist hierbei die ITIL V3 (IT Infrastructure Library), die Prozesse, Funktionen und Rollen in einer Sammlung von Best Practice-Vorschlägen definiert. Die ISO/IEC 20000:2005 stellt das daran angelehnte Zertifizierungsmodell dar.

Menschen – Die Nutzer

Die Entwicklung und der Betrieb eines IoT Services entsteht aus der Arbeit vieler Menschen. Somit ist naturgemäß auch das Wissen über die Funktionsweisen, Mechanismen und Absicherungen etwas breiter gestreut. Es gibt also immer eine nicht kleine Anzahl an Insidern, von denen Studien zufolge ein großer Teil der von Menschen verursachten Sicherheitsvorfälle ausgehen. In vielen Fällen geschieht dies nicht etwa aus Bosheit oder krimineller Energie sondern aus Unwissenheit. Vielen Menschen sind die Risiken einer unbedachten Äußerung, eines unsicheren Passwortes oder der Weitergabe von Informationen an Kollegen und Partner einfach nicht bewusst – Und das, obwohl sie in der IT Branche arbeiten. Daher setzen viele Unternehmen mittlerweile auf gezielte, kontinuierliche Schulungsmaßnahmen in den Bereichen Data Safety und Data Security. In manchen Branchen, wie z.B. in der Finanzbranche wird dies von den Regularien sogar gefordert.

Fazit

Jede Sicherheitsebene ist wichtig und muss gemäß den Ansprüchen und Erfordernissen eines Unternehmens implementiert werden. Wirksam werden die Ebenen allerdings erst im Zusammenspiel. Selbst ein gut geschulter Mitarbeiter verrät ggf. nachdem er gekündigt wurde sein Passwort. Ist an dieser Stelle ein Prozess implementiert, der zusammen mit einer Kündigung auch die Passwörter deaktiviert, ist die Gefahr bereits gebannt.

Es ist also wichtig, bei der Einführung eines IoT Services alle Ebenen zu beleuchten und abzuschätzen, welche Sicherheitsebenen selbst und welche ggf. mit Partnern umgesetzt werden können. Der Gedanke des alles selber machen wollens kann, wenn es um Sicherheit geht, ein gefährlicher Gedanke sein.

Festplattenformate korrekt setzen

Wählen Sie die Option „Thin Provision“ („schlanke Speicherzuweisung“) aus, wird der virtuellen Festplatte nur so viel Platz zur Verfügung gestellt, wie sie aktuell braucht. Benötigt die virtuelle Festplatte mehr Speicher, wird dieser nach und nach bereitgestellt. Darunter leidet natürlich die Leistung der VM, da die Dateien ständig vergrößert werden müssen.

Das Format „Thick-Provision Lazy-Zeroed“ ist das Standardformat für neue virtuelle Festplatten. Durch diese Auswahl werden die Dateien der virtuellen Festplatte automatisch auf die Größe gesetzt, die der Größe der virtuellen Festplatte entspricht. Das heißt, die Dateien der virtuellen Festplatte müssen nicht wachsen, was bessere Leistung mit sich bringt. Bei diesem Vorgang werden die einzelnen Bereiche der Festplatten zwar bereits reserviert, aber nicht mit Nullen gefüllt.

Die dritte Option „Thick-Provision Eager-Zeroed“ wird vor allem dann ausgewählt, wenn Sie die VM spiegeln wollen (Fault Tolerance, FT). Bei dieser Option werden die reservierten Bereiche der Festplatte automatisch mit Nullen gefüllt. Daher dauert auch die Erstellung dieser virtuellen Festplatte länger, als bei den beiden anderen Versionen. Diese Art der virtuellen Festplatte, benötigen Sie zum Beispiel auch für einen virtuellen Windows-Cluster.

VMs in vSphere 6.5 verschlüsseln

Mit dem Menüpunkt KMS hinzufügen erstellen Sie zunächst einen neuen  KMS-Cluster, Dazu nehmen Sie eine Verbindung zu einem KMS auf, der in Ihrer Umgebung vorhanden sein muss. VMware vSphere 6.5 unterstützt die folgenden Hersteller:

  • SafeNet KeySecure
  • Vormetric Data Security Manager
  • HyTrust KMIP Server
  • Thales KMS

Im Rahmen der Verbindung müssen Sie dem KMS vertrauen. Dazu blendet der Web-Client ein Fenster ein, mit dem Sie die Verbindung als vertraut konfigurieren. Sobald der KMS und seine Verbindung mit dem vCenter funktioniert, können Sie die VM-Verschlüsselung einrichten. Dazu benötigen Sie zunächst eine neue Speicherrrichtlinie.

Speicherrichtlinie zur Verschlüsselung von VMs konfigurieren

Über das Kontextmenü von VMs rufen Sie den Menüpunkt „VM-Richtlinien“ auf und klicken auf „VM-Speicherrichtlinie bearbeiten“. Wählen Sie bei VM-Speicherrrichtlinie den Menüpunkt „VM Encryption Policy“ auf und klicken Sie auf OK.

Achten Sie darauf, dass Sie die Speicherrrichtlinie zur Verschlüsselung entweder beim Erstellen der VM zuweisen, oder die VM vor Aktivierung der Speicherrichtlinie ausschalten.

Natürlich können Sie auch jederzeit neue Speicherrichtlinien erstellen und konfigurieren. Auf der Seite „Gemeinsame Regeln für von Hosts zur Verfügung gestellte Dateidienste“, fügen Sie mit „Komponente hinzufügen die Verschlüsselung hinzu.

Verschlüsselte VM erstellen

Sobald Sie den KMS-Server eingerichtet und mit vCenter verbunden haben, können Sie neue VMs auch gleich verschlüsselt erstellen. Dazu verwenden Sie den herkömmlichen Assistenten zum Erstellen von neuen VMs. Auf der Seite „Speicher auswählen“, aktivieren Sie bei „VM-Speicherrichtlinie“ die Richtlinie „“VM Encryption Policy“.

Darüber hinaus können Sie in den Eigenschaften von VMs über den Menüpunkt „VM-Optionen“ im Bereich „Verschlüsselung“ die verschlüsselte Übertragung der VM mit vMotion aktivieren.