Kurz gefasst
Siemens hat die Architektur richtig und stellt sie Ihnen in Hardware in Rechnung. SINEMA Remote Connect ist ein Server, den Sie selbst betreiben. Es gibt also keine Anbieter-Cloud im Zugriffspfad und kein fremdes Rendezvous, das unter NIS2 dokumentiert werden müsste. Bei der Frage, an der Talk2M und IXON Cloud scheitern, steht Siemens bereits auf der richtigen Seite.
Die Segmentierung ist der separate Kauf. Um die Anlage zu unterteilen, setzen Sie Scalance-Firewalls an den Grenzen ein, die Sie durchsetzen wollen. Das bedeutet Hardware je Grenze, Konfiguration je Grenze und in den meisten Retrofits auch Verkabelung. Die Architektur ist solide. Rechnung und Wartungsfenster wachsen mit der Zahl der Zonen, die Sie tatsächlich wollen.
Wo Siemens stark ist
Standardmäßig selbstgehostet. SINEMA RC läuft auf Ihrer Infrastruktur. Wenn der Einkauf fragt, wer den Weg in Ihre Anlage betreibt, lautet die Antwort: Sie. Das beseitigt eine ganze Kategorie an Lieferkettenpapier, und es ist der Grund, warum Siemens und Secomea Gespräche überstehen, die cloudvermittelte Gateways nicht überstehen.
In den Automatisierungsstack integriert. Ist die Anlage durchgängig Siemens, spricht das Fernwartungsprodukt dieselbe Sprache wie die SPS, die Engineering-Werkzeuge und der Supportvertrag. Diese Geschlossenheit ist bares Geld wert und sollte nicht kleingeredet werden.
Scalance ist eine richtige Firewall. Das ist keine Kritik an der Hardware. Sie leistet, was Industrie-Firewalls leisten, und zwar von einem Hersteller, der industrielle Umgebungen kennt.
Wo die Kosten wirklich anfallen
Die Lücke liegt nicht in der Fähigkeit, sondern in der Einheit der Bereitstellung.
Zonenbasierte Segmentierung mit Firewalls heißt: ein Gerät je Grenze. Zehn Zonen sind zehn Geräte zum Kaufen, Einbauen, Verkabeln, Konfigurieren und Patchen. Im Neubau ist das eine Position im Angebot. In einer laufenden Anlage ist es ein Projekt: Sie fügen Hardware in Pfade ein, die heute Produktionsverkehr tragen, mit Planung, Wartungsfenster und einem Rückfallszenario für jede einzelne.
Das ist der Grund, warum so viele IEC-62443-Zonen-und-Conduits-Konzepte als Dokument existieren statt als Konfiguration. Der Entwurf ist abgestimmt, die Hardware ist kalkuliert, und das Retrofit findet nie sein Fenster.
Dieselbe Rechnung gilt auf der Fernwartungsseite. Ein Gateway je Maschine plus eine Firewall je Grenze ergibt einen Gerätepark: ein Standort mit fünfzehn Maschinen und sechs Zonen sind einundzwanzig Geräte, jedes mit eigener Firmware-Version, eigenem Zertifikat und einer Konfiguration, die von der Nachbarin abweicht. Der Betriebsaufwand ist nicht der Kauf, sondern dass keine einzige Stelle beantwortet, wer was erreichen darf.
Die Overlay-Alternative
Der andere Weg, eine Grenze durchzusetzen, besteht darin, sie nicht mehr als physischen Ort zu behandeln. Ein Overlay legt jedes Asset in eine software-definierte Enclave, mit dem Durchsetzungspunkt im Pfad, aber unangetasteter Topologie. Assets behalten IP-Adresse, Gateway und VLAN. Es gibt keine Hardware je Grenze, weil die Grenze eine Richtlinie ist und kein Kasten, und eine Zone hinzuzufügen ist eine Konfigurationsänderung statt einer Bestellung.
Praktisch führt das die beiden Käufe in einer Appliance zusammen: Fernwartungs-Broker und Segmentierungs-Durchsetzungspunkt sind dasselbe Gerät. Die Sitzung des Technikers und die Enclave-Richtlinie werden an derselben Stelle entschieden und im selben Datensatz protokolliert.
Der Vergleich in einer Tabelle
| SINEMA RC + Scalance | Trout Access Gate | |
|---|---|---|
| Ort des Brokers | Ihr Server | Ihre Appliance |
| Anbieter-Cloud im Pfad | Nein | Nein |
| Segmentierungsmethode | Firewall je Grenze | Overlay-Enclaves in Software |
| Kosten einer zusätzlichen Zone | Ein weiteres Gerät | Eine Richtlinienänderung |
| Neuverkabelung zum Segmentieren | Im Retrofit meist ja | Keine |
| Asset-Inventar | Nicht Teil des Produkts | Automatische Erkennung |
| Detektion und Alarmierung | Nicht Teil des Fernwartungsprodukts | Snort-Regeln, kuratierte Alarmbibliothek, SIEM-Weiterleitung |
Beides einsetzen, nicht eines statt des anderen
Behalten Sie SINEMA RC. Es ist selbstgehostet, in den Automatisierungsstack integriert, und bei der Souveränitätsfrage steht es bereits auf der richtigen Seite. Nichts hier spricht dafür, es zu entfernen.
Das Risiko ist Fernwartung ohne Kontrollpunkt dahinter. Ein Gateway je Maschine bedeutet Türen in die Anlage, und solange nichts auf Protokollebene regelt, was hindurchgeht, ist Ihre einzige Durchsetzung das, was Sie an Scalance-Grenzen finanzieren und installieren konnten.
Die belastbare Architektur ist beides. Behalten Sie SINEMA RC für die Konnektivität, setzen Sie Access Gate dahinter als Durchsetzungs- und Sichtbarkeitsebene, und Sie erhalten das IEC-62443-Zonenmodell als Software-Richtlinie statt als Hardware-Rechnung, die nie ihr Retrofit-Fenster findet.
Weiterlesen
- Industrielle Fernwartung im Vergleich, darunter SINEMA RC, Secomea, Ewon und IXON
- IEC 62443 Zonen und Conduits erklärt
- Overlay-Networking gegenüber VLANs