Geht es nach den Anbietern, wird der zukünftige Mobilfunkstandard 5G nicht weniger als die Welt revolutionieren. Für den Endkundenbereich mag das zu einem gewissen Grad sogar stimmen. Greifen Millionen von Smartphone-Besitzern auf Dienste wie YouTube, Netflix & Co. zu, kann mehr Bandbreite nicht schaden. Wenn 5G in einigen Jahren eingeführt wird, sollen die Übertragungsgeschwindigkeiten selbst gegenüber dem LTE-Advanced-Netz noch einmal um das Zehnfache schneller werden. Die maximalen Speeds werden dann bei bis zu 1.250 MB/s liegen. Ein Vergleich mit GSM ließe den Klassiker zwischen Hase und Igel wie ein faires Rennen aussehen.

Doch wie der Igel in der bekannten Fabel haben die vergleichsweise langsamen Mobilfunkstandards wie GSM durchaus gute Gewinnchancen, wenn es um die wichtigen Business-Bereiche Internet of Things und M2M-Kommunikation geht. Denn bei der Vernetzung von Maschinen, Geräten und Geschäftsbereichen ist die Bandbreite zumeist Nebensache. Um Basisdaten zwischen Sensoren, Geräten und Anlagen zu kommunizieren, reichen auch die Geschwindigkeiten ausgereifter und somit zuverlässiger Mobilfunkstandards aus. Diese haben zudem den Vorteil, dass sie flächendeckend verfügbar sind – und dass in nahezu allen Ecken der Landkarte. Nicht selten befinden sich Betriebe und Produktionsanlagen jenseits der Ballungsgebiete. Auch in der Landwirtschaft bietet sich der Einsatz von IoT- und M2M-Lösungen an. Im Bereich eHealth können moderne Lösungen dafür sorgen, dass selbst Patienten, die weit vom nächsten Krankenhaus oder Arzt entfernt leben, aus der Ferne per automatisierter Kommunikation überwacht und betreut  werden. Doch in allen Fällen stehen und fallen die Lösungen mit der Verlässlichkeit der jeweiligen Verbindung.

Roaming steigert die Verfügbarkeit

„Bei Mobilfunk-basierten M2M-Lösungen spielen Faktoren wie Netzabdeckung, Verfügbarkeit, Roaming und Service-Leistungen eine deutlich wichtigere Rolle als Top-Speeds“, sagt Peter Matthes, Geschäftsführer bei Siwaltec. „Die SIM-Karten, die wir einsetzen, unterstützen beispielsweise Roaming, sodass diese sich unabhängig vom Mobilfunknetz einsetzen lassen. So kommt es zu keinen Übertragungsproblemen, wenn ein bestimmtes Netz mal nicht erreichbar sein sollte“, erklärt Matthes. 

Indem die GSM-SIM-Karten permanent überwacht werden, handelt es zudem um eine äußerst sichere Lösung. „Gleichzeitig ist für unsere Plug-and-play-Lösungen kein aufwändiger Genehmigungsprozess mit Administratoren notwendig, und es gibt auch keinen Ärger mit Sicherheitszertifikaten“, so Matthes weiter. Dass eine weltweite Konnektivität, die unabhängig von Distanzen und firmeninternen IT-Infrastrukturen funktioniert, für IoT- und M2M-Lösungen wichtiger ist als punktueller Highspeed-Mobilfunk, liegt eigentlich auf der Hand.

Eine aktuelle IDC-Studie unter mehr als 500 Entscheidungsträgern zeigt, dass sich die Unternehmen bewusst sind, wie wichtig eine solide und verlässliche Technologieinfrastruktur ist. So gaben viele der Befragten an, dass die Ursache für Verzögerungen oder gar das Scheitern von Projekten häufig eine inadäquate Infrastruktur sei. Wieso dennoch weiterhin viele Unternehmen denken, der Weg zu wichtigen IoT- und M2M-Systemen führe über hohe mobile Bandbreiten, wurde von der Studie leider nicht untersucht.

Künstliche Intelligenz wird aktuell als Heilsbringer für eine Vielzahl von Herausforderungen gehandelt. Seit einiger Zeit setzen auch IT-Sicherheitsdienstleister verstärkt auf das Konzept und versprechen damit mehr Cybersicherheit. Bislang fehlen jedoch handfeste Proof-of-Concepts. Vor allem im Bereich der industriellen Anomalieerkennung bleibt der Mensch auch in Zukunft der Entscheider.

Ein großes Problem bei der Diskussion ist die Vermischung der Begriffe. Immer wieder wird von Künstlicher Intelligenz oder „Artificial Intelligence“ (AI) geredet, wo eigentlich maschinelles Lernen oder „Machine Learning“ (ML) – nur als Teilaspekt von AI – gemeint ist.

Wie jedoch schon der Schweizer Netzwerksicherheits-Experte Raffael Marty im Januar auf Towards Data Science erläutert: „Bislang haben wir kein AI (oder, um präzise zu sein, AGI), also sollten wir uns auch nicht mit falschen Konzepten ablenken.“

Bleiben wir also bei dem eigentlich relevanten Begriff: „Maschinelles Lernen“. In gewissen Teilbereichen ist das maschinelle Lernen mittlerweile zu einer nicht zu unterschätzenden Hilfe geworden. Insbesondere für die Detektion von Malware und Spam unterstützen selbstlernende Algorithmen die Cybersicherheit in Unternehmen. Und IT-Sicherheitsdienstleister sehen in ML vor allem eine Unterstützung ihrer eigenen Mitarbeiter. Das amerikanische Forschungsunternehmen Cybersecurity Ventures geht für das Jahr 2021 von insgesamt 3,5 Millionen offenen Stellen im Bereich Cybersicherheit aus. Jedoch hat maschinelles Lernen gerade im Netzwerkmanagement klare Grenzen und nicht zu vermeidende Nachteile.

Jedes Netzwerk ist so individuell wie die störende Anomalie

Die große Herausforderung liegt in stark vernetzten Industrie-4.0-Umgebungen vor allem in der Detektion von Anomalien. Diese beschreiben jedes unerwünschte Verhalten und jede nicht planmäßige Kommunikation innerhalb eines Netzwerkes, die zu Störungen der Anlagenverfügbarkeit oder Produktion führen können. Die Grundbedingung für die Detektion solcher Anomalien ist demnach die Definition eines Normalzustandes ‒ und dafür bedarf es im Falle einer Lösung mit ML sehr vieler, sauberer Daten.

Lösungen auf Basis von ML sind letztlich nur so gut wie das Trainingsmaterial, auf dessen Basis sich der Algorithmus entwickelt. Für die gute Detektion klassischer Spam und Malware können Dienstleister auf sehr umfangreiche und ausdifferenzierte Datensätze zurückgreifen, um effektive Algorithmen zu trainieren. Bei Advanced Persistent Threats kommen die Algorithmen dennoch bereits an ihre Grenzen. Und für den Großteil aller anderen Anomalien ist es noch ein weiter Weg, wie auch Raffael Marty zu bedenken gibt: „In den meisten anderen Bereichen (Anomalieerkennung, Risikobewertung, Entity-Klassifikation, Datenexploration, direkte Angriffe aus dem Netzwerk; Anm. des Autors) fehlen uns entsprechend gute Trainingsdaten. Wir versuchen seit knapp zwei Jahrzehnten, Datensets zu erstellen, aber noch immer fehlt uns ein passendes. Das letzte Datenset, das wir für gut hielten, war MIT LARIAT. Das entpuppte sich letzten Endes aber doch als zu verzerrt (biased).«.

Die Individualität jedes einzelnen Steuerungsnetzes bzw. Prozesssteuerungssystems stellt ML vor einige Herausforderungen. Maschinelles Lernen lebt von statistisch relevanten Massen an Daten. Wo wenig Trainingsdaten bei hoher Individualisierung der Systeme vorherrschen, wird ML ineffizient. Das ist unabhängig davon, ob das maschinelle Lernen kontrolliert (supervised) oder unkontrolliert (unsupervised) erfolgt. Die initiale Lernphase wird nicht nur einiges an Zeit in Anspruch nehmen. Vor allem wird es schwierig, jemals mit Sicherheit sagen zu können: Das System kann jetzt fehlerfrei sowohl normale Kommunikation, also auch akzeptable Variationen aufgrund regulärer Produktionsanpassungen einordnen. Nicht umsonst benötigen Security Information and Event Management Systeme (SIEM) einen sehr langen Zeitraum (und hohe Investitionen), bis sie ein Unternehmen unterstützen können.

Denn sie wissen nicht, was sie tun

Begrenzte oder schlechte Daten bedeuten für die eigenständige Entwicklung des ML-Algorithmus jedoch eine sehr hohe Wahrscheinlichkeit von Fehlentscheidungen. „False-positive“- und „false-negative“-Meldungen sind Gang und Gäbe. Greift das System zudem aktiv in die Prozesse des Steuerungsnetzes ein (z. B. durch Blocken von Aktivitäten), können diese Meldungen zu Störungen, zur Unterbrechung der Echtzeitprozesse bis zu Produktionsausfällen führen. Für die betroffenen Unternehmen kommt es dadurch zu Auftragsverzögerungen, hohen Ausfallskosten und Verlusten.

Hinzu kommt ein entscheidender Faktor beim maschinellen Lernen: die Netzwerkbetreiber bleiben bei allen Aspekten im Dunkeln. Sie wissen weder, was in ihrem Steuerungsnetz passiert, noch wie die ML-basierte Lösung Entscheidungen darüber fällt, was im Netzwerk normale Kommunikation oder eine neue Anomalie ist.

Das Ziel eines effektiven Netzwerkmanagements ist jedoch die digitale Transparenz und kontinuierliche Sichtbarkeit aller Vorfälle im Steuerungsnetz. Hat eine Lösung mit maschinellem Lernen und der menschliche Trainer des Systems jedoch einmal „entschieden“, dass der Lernprozess abgeschlossen und ein Standard der Netzwerkkommunikation etabliert ist, funktioniert die Lösung im weiteren Betrieb als Black Box für den Netzwerkverantwortlichen. Denn das ist die Grundidee von ML: Die Maschine entscheidet und entwickelt sich mehr oder weniger selbstständig weiter, ohne die Menschen zu behelligen. Damit kann es jedoch auch passieren, dass sich die Maschine in die Unwissenheit hinein entwickelt ‒ und die Betreiber erfahren es erst, wenn es längst zu spät ist. Natürlich können die Verantwortlichen die Entscheidungsprozesse der Software auf Schritt und Tritt überprüfen.

Damit wird jedoch die Effektivität und der Kerngedanke des maschinellen Lernens ad absurdum geführt. Der Trade-Off eines Systems mit maschinellem Lernen ist damit die Transparenz. Diese ist jedoch Grundlage sowohl für das effiziente Management von Steuerungsnetzen, also auch der gesetzlichen und normativen Compliance mit z. B. dem IT-Sicherheitsgesetz oder dem IEC 62443. Denn diese fordern eine strikte und äußerst detaillierte Klarheit über die Teilnehmer und Vorgänge in industriellen Netzwerken, um die Verfügbarkeit der Ressourcen, Systemintegrität und eine rechtzeitige Reaktion auf Ereignisse sicherzustellen. Transparenz – die 100%ige Visualisierung aller Strukturen und Vorfälle – und Entscheidungshoheit und Echtzeit sind nach wie vor die entscheidenden Faktoren in industriellen Steuerungsnetzen.

Alternative zum maschinellen Lernen

Eine effektive industrielle Anomalieerkennung kann nicht auf die Menschen verzichten, denn sie bringen zwei entscheidende Faktoren mit: Kontext und Fachwissen.

Kontext: Anlagenbetreiber und Administratoren wissen um die Funktion und die Steuerung einer Anlage. Damit können sie auch einschätzen, welche Form der Kommunikation und Konnektivität für die Anlage sinnvoll und normal ist. Dieses Kontextwissen ist grundlegend für die Interpretation und die Risikobewertung von Anomaliemeldungen. Dieser Kontext kann z. B. auch durch entsprechende Filterfunktionen in einer industriellen Anomalieerkennung erreicht werden.

Fachwissen: Anlagenbetreiber und Administratoren bringen Expertise und spezifische Erfahrungswerte mit, die nicht über einen (einfachen) Algorithmus abgedeckt werden können. Netzwerkprobleme entstehen z.B. häufig durch eine Reihe verknüpfter Störungen, Konfigurationen und Zustände. Diese Komplexität bedarf dementsprechender Einzelfallbetrachtungen.

Um diese Faktoren optimal zu unterstützen, ist eine Monitoring-Lösung mit deterministischen Methoden deshalb effektiver als Machine-Learning-Algorithmen. Network-Condition-Monitoring-Werkzeuge wie eine industrielle Anomalieerkennung lernen dazu kontinuierlich unter menschlicher Kontrolle die Steuerungsnetzstruktur und darin auftretenden Anomalien. Die Überwachung des Lernzyklus wird – wie bei ML üblich – nie abgeschlossen. Entdeckt die Software einen Vorfall bzw. eine abweichende Kommunikation, meldet sie diese stattdessen dem Anlagenbetreiber mit einer Risikoeinschätzung. Die Entscheidung über die Anomalie verbleibt jedoch vollständig beim Betreiber. Dementsprechend wirkt die Anomalieerkennung passiv und rückwirkungsfrei, um Fehlentscheidungen seitens der Software zu vermeiden.

Im Gegensatz zur ML-Lösung gewährleistet die deterministische Methode damit vollständige Transparenz und Kontrolle über jegliche Vorgänge in Steuerungsnetzen. Solch ein Monitoringwerkzeug liefert den Anlagenbetreibern und Netzwerkverantwortlichen Klarheit und unterstützt die Entscheidungsfindung optimalerweise mit allen relevanten Informationen wie z.B. den Rohdaten zu einer Anomalie und einer Risikobewertung auf Basis vorab definierter Impact Scores.

In einem Steuerungsnetz, das durch Komplexität und eine Vielzahl möglicher Störungsvektoren gekennzeichnet ist, behält der Betreiber mit Hilfe deterministischer Methoden somit vollständige Kontrolle und Entscheidungshoheit. Nicht zuletzt vermeidet er wiederholte Produktionsunterbrechungen aufgrund intransparenter Fehlentscheidungen durch das Blackbox-Verhalten der Machine-Learning-Software.