Eine Möglichkeit für sichere M2M-Kommunikation: Es kommunizieren nur zwei Teilnehmer miteinander und sie tauschen nur Binärdaten aus.Pholidito – Fotolia.com
Bei der Fernwartung kommen zurzeit hauptsächlich zwei Techniken zum Einsatz: Virtual Private Networks (VPN) und zentrale Datenportale, die ihre Daten über Mobilfunk bekommen. VPN-Verbindungen nutzen einen meist mit SSL verschlüsselten Kommunikationstunnel, der in der Regel als Punkt-zu-Punkt-Verbindung zwischen zwei Teilnehmern aufgebaut wird. Als Geräte benötigt man einen VPN-Server im Bereich der Steuerung und einem VPN-Client, der auf dem PC des Wartungstechnikers als Software installiert ist. Über welche und wie viele physikalische Netzwerke diese Verbindung tatsächlich läuft, ist irrelevant. VPN ist jedoch für eine Sensorwert-Übertragung nicht die optimale Technologie. Spätestens dann, wenn Hunderte oder Tausende von Sensorknoten aktiv sind, lässt sich das über VPN praktisch kaum noch umsetzen.
M2M-Datentportale über Mobilfunk setzen vorwiegend große Unternehmen mit einheitlichen Anwendungen und vielen Teilnehmern ein. Dafür sind die verteilt installierten Maschinen, Fahrzeuge oder Automaten als Datenendpunkte (DEP) mit SIM-Karten ausgerüstet und senden Daten über Mobilfunk an einen zentralen Datenintegrationspunkt (DIP). Überregional präsente Mobilfunknetz-Betreiber bieten hierfür entsprechende Dienste an. Ein bekanntes Beispiel ist Toll Collect: Die ermittelten Daten der Fahrzeuge werden per Mobilfunk an eine Zentrale weitergeleitet. Auf ähnliche Weise wird zum Beispiel auch die bedarfsgerechte Bestückung von Getränkeautomaten organisiert. Diese Anwendungen kennzeichnen sich durch eine hohe Teilnehmerzahl auf der Senderseite, eine oder wenige Zentralen auf der Empfängerseite und einen eigenen, durch die hohe Teilnehmerzahl finanzierbaren und professionell betreuten, Sicherheitsdienst für den gesamten Kommunikationsweg. Für Anwendungen mit nur wenigen Teilnehmern, wie oft in der Automatisierungstechnik, kam eine derartige Lösung aus Kostengründen bisher kaum in Betracht.
Sicherheit auch für kleine Lösungen
Das Funkmodul sendet die Daten per Mobilfunk an den Cloud-Speicher.Schildknecht
Dass Sicherheit auch bei kleinen Anwendungen finanzierbar und einfach zu integrieren sein kann, zeigt die M2M-Lösung mit dem Funkmodul DE 7000 aus der Dataeagle-Serie von Schildknecht. Das Grundprinzip jeder Anwendung des Funkmoduls ist es, Informationen von einer oder mehreren Datenquellen, wie Sensoren, Messgeräten oder Steuerungen, einem oder mehreren Empfängern über einen Cloud-Speicher zugänglich zu machen. Die Lösung eignet sich für Anwendungen, bei denen vor Ort keine Netzwerk-Infrastruktur besteht oder der Zugang dazu von einer IT-Abteilung gesperrt ist. Beispiele hierfür sind Groß-Pumpen mit ihren Statusmeldungen oder Sensoren für Temperatur in der Landwirtschaft, für Pegelstände an Flüssen in Hochwassergebieten oder für Schneehöhen in Touristikregionen.
Das Funkmodul ist ein Gateway. Die Ein- und Ausgänge sind universell gestaltet: Neben analogen und digitalen Anschlüssen sind Verbindungen zu Profibus, Profinet, Modbus und CAN sowie zu unterlagerten Funknetzen oder Smartphons möglich. Es empfängt kontinuierlich Daten von verschiedenen Quellen und sendet diese über Mobilfunk, DSL, Ethernet oder Wlan an einen, im Gateway fest parametrierten, sicheren Cloud-Speicherplatz. Dort stehen die Daten den Nutzern zum Abruf durch baugleiche Gateways oder andere internetfähige Geräte bereit. Die Daten liegen als Binärformat vor und sind in eine HTML-Seite eingebettet. Über Webbrowser kann der Anwender die Daten auf der HTML-Seite visualisieren. Bei einer Gerätekopplung werden nur die Binärfile ausgetauscht. Eine weitere Lösung ist der Einsatz einer Portalsoftware von Drittanbietern, zum Beispiel Cockpit von der Firma M2M Soft. Cockpit liest und schreibt direkt auf dem Cloud-Speicher und kann Datenlogging, SPS-Funktionalität, Historienverwaltung sowie Visualisierung übernehmen. Die Zugriffsrechte lassen sich zuvor auf Cloud-Speicherebene individuell sowohl für jeden Sensorknoten, Datenlieferanten oder Datensenke als auch für jeden Benutzer. Bei den Empfängern kann es sich um eine geschlossene oder eine offene Gruppe handeln, also zum Beispiel um alle Mitarbeiter einer Wartungsabteilung oder um alle Bewohner einer bestimmten Region. Die Daten lassen sich auch automatisch an einen definierten Empfängerkreis senden. Mobilfunknetze werden nur zur Durchleitung an den Cloud-Speicher genutzt. Denn Mobilfunk-Provider wie Vodafone, T-Mobile oder O2 haben eine viele Einschränkungen für die M2M-Kommunikation aufgebaut. So ist keine Datenübertragung direkt zwischen Mobilfunknetzen möglich. Im Gegensatz dazu können bei Skype und Whatsapp Nachrichten zwischen Mobilfunkendgeräten übertragen werden. Dazu stellen diese Dienste ein Portal zur Verfügung. Es gibt spezielle M2M-Datenservices bei den Mobilfunk-Providern, die einige dieser Beschränkungen aufheben. Hier gibt es aber keine Flatrate-Tarife: Ab 50 MB Datenvolumen pro Monat liegt kommen schnell über 100 Euro zusammen. Die DE 7000-Lösung, bei der ein Sensor seine Daten von sich aus zu dem Cloud-Speicher sendet, benötigt keine speziellen M2M-Tarife.
Eingeschränkte Kommunikation: Nur mit der Cloud, mit niemandem sonst
M2M-Lösung des Gateways mit Cloud-Speicherplatz: Die Cloud kommuniziert nur mit zertifizierten Geräten und die Geräte nur mit einer parametrierten Cloud. So können dritte sich nicht als zusätzliche Teilnehmer einklinken.Schildknecht
Als Cloud-Speicher nutzt das Gateway den Amazon-Dienst Simple Storage Service (3S), der hohe Sicherheitsmechanismen sowohl bezüglich Zugriffsrechte als auch Speichersicherheit bietet. So sind beispielsweise die Software-Treiber von Amazon vorgegeben, um fehlerhafte Zugriffsimplementierungen zu verhindern. Außerdem wählt sich das mit Benutzername und Schlüssel ein. Der Schlüssel wird verschlüsselt im Gerät gespeichert und lässt sich nicht auslesen. Der mit dem verschlüsselten Datenpaket übertragene Zeitstempel lässt ein Zeitfenster von nur 1 s zu, in der die Übertragung gültig ist. Die Zeitsynchronisation erfolgt automatisch. Genutzt wird dafür ein kleiner Teil einer Serverfarm, die gegenüber möglichen Angriffsszenarien gesichert ist. Die Server werden ständig auf Angriffe hin überwacht und sind gegen DOS-Angriffe (Überlastung durch eine große Anzahl von Zugriffen geschützt. Ergänzend ist der Standort des tatsächlich genutzten Servers nach Kontinenten wählbar.
Im Unterschied zur Finanzierung eigener Server oder die Nutzung kompletter Mobilfunk-Dienste sind die anteiligen Speicher- und Durchleitungskosten der Funkmodul/Cloud-Lösung gering: Das Senden eines Datenpaketes im Minutentakt mit Speicherung in S3 verursacht Kosten von weniger als 10 Euro pro Monat. Dadurch, dass lediglich verschlüsselte Prozessabbilder übertragen werden, ist der Datenschutz nicht betroffen. Selbst wenn jemand die Daten mitlesen würde, ist auch kein Zusammenhang zum Standort des Sensors oder seinem Wert erkenntlich.
Die Verbindung zum Cloud-Speicher kann nur vom Endgerät selbst aufgebaut werden und erfolgt über ein SSL-gesichertes Protokoll. Der Server erlaubt einen Verbindungsaufbau nur von einem ihm bekannten Gerät, das sich bei der Einwahl über komplexe Authentifizierungsverfahren legitimieren muss. Der Cloud-Speicher-Betreiber erlaubt diese Einwahlprozedur nur, wenn eine von ihm bereitgestellte Software genutzt wird, die im embedded Linux des anfragenden Funkmoduls fest implementiert ist. Das leistet einen zusätzlichen Sicherheitsbeitrag. Ein Update der Software ist mit einem Fernsteuerkommando möglich. Dazu wird ein reserviertes Bit im Cloud-Speicher gesetzt, auf das der Anwender keinen Zugriff hat.
Übertragen und gespeichert werden keine Informationen wie Dokumente, Datenserien oder Bilder, sondern nur kurzlebige, ständig aktualisierte 32-bit-Werte. Diese repräsentieren zum Beispiel einen Zählerstand, eine Temperatur oder ein Prozessabbild. Dazu werden noch ein Zeitstempel sowie Statusinformationen als Binärdatei abgelegt, gegebenenfalls noch zusätzlich verschlüsselt. Im Gegensatz zu einer kompletten Dokument- oder Bilddatei stellen diese ständig wechselnden Datengruppen an sich keinen Wert dar: sie liefern keine Informationen, um welche Werte es sich handelt oder wer der Datenlieferant ist. Eine derartige Binärdatei ist für Außenstehende oder Datenschnüffler ohne Wert. Für den authentifizierten Empfänger dagegen bietet die Binärdatei entsprechend aufbereitet eine konkrete Information.
Sollte sich der gewählte Cloud-Dienst als unsicher erweisen, lassen sich bereits installierter Geräte auf einen alternativen Cloud-Dienst über einen Remote-Zugriff umstellen. Ein direkter externer Zugriff über das Gateway auf beispielsweise eine SPS ist physikalisch nicht möglich. Der Anwender definiert die Werte, die nach außen gehen und welche Werte gegebenenfalls geändert werden dürfen.
Thomas Schildknecht
(mf)
