KNIPPING Kunststofftechnik beliefert die Automobilindustrie an sechs Standorten auf zwei Kontinenten. In ihrer Produktion laufen Maschinen aus dem Jahr 1990 neben moderner Fertigungstechnik. Sie funktionieren zuverlässig, sind wirtschaftlich nicht zu ersetzen und laufen auf Betriebssystemen, die seit Jahren keine Sicherheitsupdates mehr erhalten.

Die Frage, die Markus Frenzel, IT-Abteilungsleiter bei KNIPPING, lange beschäftigte: Wie verbindet man Maschinen, die aus den 1990er Jahren stammen, sicher mit einer modernen IT-Infrastruktur, ohne Umbau, ohne Stillstand, ohne neue Risiken?

Eine historisch gewachsene und stark verzahnte IT/OT-Umgebung macht eine saubere Trennung der Netzwerkbereiche schwierig. Der auf langfristige Investitionszyklen ausgelegte Maschinenpark bewährt sich in der Produktion, kommt hardware- und softwareseitig jedoch in die Jahre und lässt sich kaum aktualisieren, während ein sich rasch wandelndes Produktionsumfeld zunehmende Vernetzung verlangt und regulatorische Anforderungen wie NIS-2 sowie verpflichtende Zertifizierungen wie TISAX den Druck auf die IT/OT-Sicherheit gleichzeitig erhöhen.

»Der Werksleiter möchte dann verständlicherweise die schnelle Lösung für die Vernetzung, aber in der IT wissen wir, dass im Hintergrund eine Windows XP-Instanz mit veraltetem SMBv1-Protokoll läuft und wir erst für die Sicherheit sorgen müssen.«

Markus Frenzel, gruppenweiter IT Abteilungsleiter bei KNIPPING

Als TISAX auf Basis von VDA ISA 6 – der im Automotive-Bereich verpflichtende Standard zur Informationssicherheit – erstmals OT-Security als expliziten Prüfpunkt definierte, handelte KNIPPING frühzeitig: Die TISAX-Zertifizierung musste erneuert, die OT-Infrastruktur nachweislich abgesichert werden.

edge.SHIELDOR als Softwarelösung von TRIOVEGA legt eine schützende Netzwerkschicht um bestehende Anlagen, ohne diese anfassen zu müssen. Datenübertragung, Protokollumwandlung (z. B. SMBv1 zu SMBv3) und Zugriffskontrolle laufen durch den edge.SHIELDOR, und die OT-Umgebung bleibt dabei isoliert und dennoch erreichbar.

Es wurde vereinbart, drei Kernfunktionen des edge.SHIELDOR in einem ersten Proof of Concept (PoC) im Werk Leingarten zu integrieren: die sichere Prozessdatenübertragung von der Maschine an einen Server in der IT mithilfe des OPC-UA-Protokolls; die Dateisynchronisation zwischen IT und OT mit Protokollumwandlung vom unsicheren SMBv1 ins aktuelle SMBv3; und, im späteren Verlauf, die sichere Bildschirmübertragung des Human-Machine-Interfaces (HMI) per VNC (Virtual Network Computing), sodass remote über den Browser darauf zugegriffen werden kann.

Bei einem zweitägigen Onboarding-Workshop vor Ort wurde der edge.SHIELDOR an einer Spritzguss- und einer Fräsmaschine angebunden. Der edge.SHIELDOR lief nun und stülpt sich wie eine schützende Käseglocke über die Altmaschinen.

Der erfolgreiche Proof of Concept markiert den Beginn einer langfristigen Partnerschaft zwischen KNIPPING und TRIOVEGA. Aktuell laufen im Werk Leingarten rund 25 edge.SHIELDOR-Einheiten im produktiven Betrieb; im nächsten Schritt sind 40 bis 50 Einheiten geplant. Mexiko steht als nächste Rollout-Station auf der Agenda.

TISAX auf Basis VDA ISA 6, IEC 62443 und NIS-2-Anforderungen an die Lieferkette finden in der edge.SHIELDOR-Architektur ihre technische Antwort. Und weil TRIOVEGA selbst nach TISAX und IEC 62443 zertifiziert ist, beschleunigte das die Vendor-Freigabe bei KNIPPING erheblich.

Offline war sicher, vernetzt war riskant – heute ist beides kein Widerspruch mehr.

Mehrwerte im Überblick

Sichere Vernetzung von Legacy-Maschinen ohne Umbau und ohne Stillstand

Protokollumwandlung von SMBv1 zu SMBv3 für einen sicheren, bidirektionalen Dateiaustausch zwischen OT und IT

Vollständige SPS-Anbindung via Prozessdatentransfer und Remote-Zugriff

TISAX-Konformität, die Audits standhält

Zentrales OT-Security-Management für ein kleines IT-Team über alle Standorte hinweg, ohne Mehraufwand