Was ist IoT und Industrial IoT (IIoT)?
IoT vernetzt identifizierbare physische und virtuelle Dinge; IIoT nutzt vernetzte Sensoren, Instrumente, Maschinen und andere Geräte für industrielle und fertigungstechnische Prozesse und Anwendungen.
Technische Definition: Die ITU beschreibt das Internet of Things als Infrastruktur der Informationsgesellschaft, die fortgeschrittene Dienste durch die Vernetzung physischer und virtueller Dinge auf Grundlage bestehender und weiterentwickelter interoperabler Informations- und Kommunikationstechnologien ermöglicht. NIST bezeichnet als IIoT vernetzte Sensoren, Instrumente, Maschinen und andere Geräte, die Internetkonnektivität zur Unterstützung industrieller und fertigungstechnischer Geschäftsprozesse und Anwendungen nutzen.
Welche technische Grundlage bestimmt die Begriffe IoT und IIoT?
Für IoT bietet ITU-T Y.4000/Y.2060 eine allgemeine Begriffsgrundlage. Danach ist ein „Ding“ ein Objekt der physischen oder der Informationswelt, das identifizierbar und in Kommunikationsnetze integrierbar sein kann. Für IIoT konkretisiert NIST SP 800-82 Rev. 3 den industriellen und fertigungstechnischen Anwendungskontext. IIoT ist dabei eine technische Beschreibung und keine einheitlich festgelegte rechtliche Kategorie.
Quellengrenze: Die ITU- und NIST-Texte tragen die technische Einordnung. Aus ihnen wird weder eine konkrete rechtliche Zuordnung noch eine behördliche Vollzugspraxis abgeleitet.
Für wen und in welchem Anwendungsbereich ist IIoT relevant?
IIoT ist für Organisationen relevant, die vernetzte Geräte in industriellen oder fertigungstechnischen Prozessen einsetzen oder betreiben. Auslöser ist der vernetzte Einsatz zur Erfassung, Verarbeitung, Kommunikation oder Steuerung in solchen Prozessen oder Anwendungen. Für die Einordnung müssen Funktion und Einsatzkontext zusammen betrachtet werden: Internetanbindung allein macht ein Gerät noch nicht zu IIoT.
Wann erfordern IIoT-Verbindungen besondere Sicherheitsentscheidungen?
Organisationen mit Verantwortung für OT- oder IIoT-Systeme sollten neue und bestehende IIoT-Verbindungen risikobasiert bewerten, besonders Verbindungen zu Steuerungsfunktionen und Fernzugänge. Maßnahmen sind an Betriebs- und Sicherheitsanforderungen sowie an Verfügbarkeit, Zuverlässigkeit und Echtzeitverhalten anzupassen. Allgemeine IT-Sicherheitsmaßnahmen können Änderungen erfordern, wenn sie sonst OT-spezifische Betriebs-, Zuverlässigkeits- oder Sicherheitsanforderungen beeinträchtigen.
Autoritative technische Leitlinie: NIST formuliert hierfür Empfehlungen, keine aus dem Begriff IIoT allein folgende allgemeine Rechtspflicht.
Wie unterscheiden sich IoT, IIoT und OT?
IoT ist der weitere Vernetzungsbegriff. IIoT setzt zusätzlich voraus, dass die Vernetzung industrielle oder fertigungstechnische Prozesse oder Anwendungen unterstützt. OT ist ebenfalls weiter als IIoT: Sie umfasst programmierbare Systeme und Geräte, die mit der physischen Umgebung interagieren oder solche Geräte verwalten. Deshalb ist nicht jedes IoT-System IIoT und nicht jedes OT-System ein IIoT-System.
Redaktionelle Begrenzung: Die Zuordnung ist anhand von Funktion, Einsatzkontext und möglichen physischen Auswirkungen vorzunehmen. Aus dieser technischen Einordnung folgt für sich genommen keine bestimmte rechtliche Zuordnung; Produkt, Rolle, Dienst und Einsatzfall sind gegebenenfalls gesondert zu prüfen.
Welches Architekturmodell beschreibt NIST für IIoT?
NIST beschreibt ein Referenzmodell aus Edge-, Platform- und Enterprise-Tier. Edge-nahe Geräte erfassen Daten aus dem Prozess oder beeinflussen ihn. Die Plattform verarbeitet und bündelt Daten sowie Kontrollbefehle und kann lokal, extern oder in der Cloud betrieben werden. Die Enterprise-Ebene stellt Geschäftsanwendungen und Entscheidungsunterstützung bereit und kann Kontrollbefehle ausgeben. Für die Sicherheitsbetrachtung sind deshalb auch die Daten- und Kontrollflüsse zwischen den Ebenen relevant. Das Drei-Ebenen-Modell ist ein Referenzmodell und keine zwingende Architektur für jede IIoT-Implementierung.
Gelten für IoT oder IIoT allgemeine Fristen oder Schwellenwerte?
Nein. Der technische Oberbegriff IoT beziehungsweise IIoT setzt selbst weder eine allgemeine Frist oder einen einheitlichen Startzeitpunkt noch einen quantitativen Schwellenwert. Produkt-, sektor-, projekt- oder vertragsspezifische Vorgaben können jedoch eigene Fristen oder Schwellenwerte enthalten und müssen außerhalb dieser technischen Begriffsbestimmung gesondert ermittelt werden.
Welche Auswirkungen müssen bei IIoT berücksichtigt werden?
Die Bewertung sollte nicht bei digitalen Daten und Kommunikationswegen enden. Zu berücksichtigen sind auch Steuerungswirkungen, Prozessverfügbarkeit, Zuverlässigkeit, Echtzeitanforderungen sowie mögliche Folgen für Menschen, Umwelt, Anlagen und Produktion. Welche Kontrollen angemessen sind, hängt von der konkreten Architektur, der Funktion des Geräts und seinen Auswirkungen auf den physischen Prozess ab.
Häufige Fehlannahmen
Die folgenden Gleichsetzungen greifen technisch zu kurz:
- „Jedes internetfähige Gerät ist IIoT.“ Falsch: Zusätzlich ist ein industrieller oder fertigungstechnischer Prozess- oder Anwendungsbezug erforderlich.
- „IIoT und OT sind dasselbe.“ Falsch: OT umfasst auch Systeme und Geräte, die nicht als IIoT einzuordnen sind.
- „IIoT betrifft ausschließlich Steuerungen.“ Falsch: NIST erfasst auch Geräte, die industrielle und fertigungstechnische Geschäftsprozesse und Anwendungen unterstützen.
- „Das Drei-Ebenen-Modell ist für jedes IIoT-System vorgeschrieben.“ Falsch: Es ist ein Referenzmodell zur technischen Betrachtung.
- „Bewährte IT-Kontrollen können unverändert auf OT übertragen werden.“ Falsch: Anpassungen können wegen Verfügbarkeit, Echtzeitverhalten, Zuverlässigkeit, Betrieb und physischer Sicherheit erforderlich sein.
- „Die technische Bezeichnung bestimmt automatisch die rechtliche Einordnung.“ Falsch: Diese ist produkt-, rollen-, dienst- und einsatzbezogen gesondert zu prüfen.
Was die Geschäftsleitung tun sollte
Bei Planung, Beschaffung, Integration oder Betrieb von IIoT in einer OT-Umgebung sollte die Geschäftsleitung gemeinsam mit den verantwortlichen Risiko-, Betriebs- und Sicherheitsstellen mindestens folgende technische Maßnahmen veranlassen:
- Assets und Verbindungen inventarisieren: IIoT- und OT-Komponenten, Kommunikationsbeziehungen, Abhängigkeiten, Fernzugänge und verantwortliche Stellen vollständig erfassen und aktuell halten.
- Risikobasiert segmentieren: Zonen und Kommunikationspfade nach Funktion und Kritikalität trennen und nur erforderliche Verbindungen zulassen.
- Fernzugriffe kontrollieren: Zugänge begrenzen, authentisieren, freigeben, überwachen und bei Wegfall des Bedarfs entziehen.
- Schwachstellen und Änderungen steuern: Updates, Konfigurationsänderungen und kompensierende Maßnahmen geplant bewerten, testen, dokumentieren und nachverfolgen.
- Betrieb und physische Sicherheit schützen: Kontrollen so auswählen und einführen, dass Prozessverfügbarkeit und physische Sicherheit nicht unvertretbar beeinträchtigt werden.
Empfehlungscharakter: Dies sind autoritative technische Empfehlungen. Ihre konkrete Ausgestaltung muss aus der individuellen Risikoanalyse und den Betriebsanforderungen folgen.
Für die Geschäftsleitung
Reichweite: IIoT umfasst nicht jedes vernetzte Gerät, sondern Vernetzung zur Unterstützung industrieller oder fertigungstechnischer Prozesse und Anwendungen. Entscheidung: Sicherheitsmaßnahmen müssen Funktion, Kommunikationswege, Fernzugänge, Prozessfolgen, Verfügbarkeit und physische Sicherheit gemeinsam berücksichtigen. Nachweis: Ein aktuelles Asset- und Verbindungsinventar, dokumentierte Risikobewertungen, freigegebene Kommunikationspfade und Fernzugriffe sowie nachvollziehbare Schwachstellen- und Änderungsentscheidungen machen die Steuerung überprüfbar.
Quellen
- ITU-T Y.4000/Y.2060: Overview of the Internet of things, insbesondere Abschnitte 3.2.2–3.2.3.
- NIST SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security, insbesondere Abschnitte 2.3.8, 2.4, 4 bis 6 und Abbildung 12.
- NIST SP 800-82 Rev. 3 – amtliche PDF-Fassung.
- ENISA: Good Practices for Security of IoT in the context of Smart Manufacturing.
