Kurz gefasst
Talk2M ist nicht das Problem. Davon abzuhängen kann es sein. Die Gateways Cosy und Flexy von Ewon bauen eine ausgehende Verbindung zu Talk2M auf, dem von HMS Networks gehosteten Rendezvous, und der Techniker tritt über eCatcher demselben Treffpunkt bei, um ein VPN zur Maschine zu erhalten. Keine eingehenden Firewallregeln, keine öffentliche IP, ein kostenloser Tarif und eine Installationsbasis in Hunderttausenden. Für einen Maschinenbauer, der eine Maschine beim Kunden erreichen muss, ist das nahe am Idealfall.
Zwei Dinge ändern sich, sobald die Anlage Ihre eigene ist und nicht die Ihres Kunden. Ihre Fernwartung hängt nun an einem Dienst, den Sie nicht betreiben, und der Tunnel setzt Ihren Techniker ins LAN der Maschine, ohne dass irgendetwas entscheidet, was er sonst noch anfassen darf.
Warum sich das ausgehende Modell durchgesetzt hat
Man sollte genau benennen, was Ewon richtig gemacht hat, denn daran muss sich jede Alternative messen.
Das Schwierige an industrieller Fernwartung war nie die Verschlüsselung. Es war, die IT-Abteilung eines anderen um eine Firewallregel zu bitten. Eine von innen aufgebaute Verbindung umgeht dieses Hindernis vollständig: Der Cosy ruft hinaus, das Rendezvous verbindet beide Enden, und niemand muss einen Port öffnen oder eine eingehende Exposition rechtfertigen. Diese eine Entwurfsentscheidung erklärt die heutige Form der Kategorie und warum Ewon, IXON und andere alle darauf zugelaufen sind.
Jedes Produkt, das das ersetzen will, muss diese Eigenschaft erhalten. Verlangt Ihre Alternative, einen Dienst im Internet zu veröffentlichen, hat sie ein echtes Problem gegen ein schlimmeres getauscht.
Was sich ändert, wenn die Anlage Ihnen gehört
Das Rendezvous wird zum Lieferanten
Unter NIS2 verlagert Artikel 21 das Lieferkettenrisiko auf den Betreiber. Ein Fernwartungspfad, der eine anbieterbetriebene Cloud durchquert, ist ein Dritter in Ihrem Geltungsbereich, der dokumentiert, bewertet und erneut bewertet werden muss. Das ist kein Vorwurf an HMS, die Talk2M seriös und mit regionalen Rechenzentren betreiben. Es ist eine Feststellung darüber, wo die Papierarbeit landet, und sie landet zunehmend beim Einkauf statt in der Technik.
Gefragt wird selten, ob Talk2M sicher ist. Gefragt wird, was mit Ihrer Betriebsfähigkeit passiert, wenn dieser Dienst nicht verfügbar ist, und wer das so entschieden hat. Diese Fragen sind leichter zu beantworten, wenn die Antwort lautet, dass es kein externes Rendezvous gibt.
Ihr Unternehmensverzeichnis ist nicht eingeladen
Das ist der Punkt, der die meisten überrascht, und er gehört in der Dokumentation geprüft statt auf Zuruf geglaubt.
Talk2M-Nutzer sind lokale Konten. Sie erstellen sie im Talk2M-Konto, weisen eine Rolle zu (System Administrator, Administrator, Advanced User, User) und sichern sie mit Passwort und optional Zwei-Faktor per SMS oder E-Mail. Was die Dokumentation nicht beschreibt, ist irgendeine Föderation: kein SAML, kein OIDC, kein LDAP, kein Active Directory, kein Microsoft Entra ID. Ihr Unternehmensverzeichnis und Ihr Fernwartungsverzeichnis sind zwei getrennte Listen, gepflegt von zwei getrennten Personen.
Die Folge zeigt sich beim Offboarding. Endet der Einsatz eines Dienstleisters, deaktiviert die Personalabteilung das Konto in Entra ID, und jedes föderierte System entzieht den Zugriff automatisch. Talk2M gehört nicht dazu. Jemand muss daran denken, eCatcher zu öffnen und den Nutzer manuell zu löschen, und tut das niemand, behält ein ehemaliger Dienstleister einen funktionierenden Weg zu einer Maschine in Ihrer Halle. Diese Lücke ist in einer Zugriffsprüfung unsichtbar, die nur das Verzeichnis betrachtet.
HMS adressiert das in der neueren Linie Ewon Edge & Cloud, die SSO bewirbt. Wichtig zu wissen: Cosy- und Flexy-Gateways verbinden sich ausschließlich mit Talk2M. Für die Installationsbasis ist das also ein Hardwaretausch und keine Einstellung.
Access Gate geht den umgekehrten Weg: Nutzer und Gruppen werden aus Microsoft Entra ID synchronisiert, die Anmeldung läuft per OIDC mit den bestehenden Zugangsdaten, und Administratoren melden sich über Entra oder Google Workspace an. Der Zugriff folgt dem Verzeichnis, das Deaktivieren des Kontos ist also der Entzug.
Ein Tunnel hat keine Meinung
Steht das VPN, befindet sich der Techniker in einem Netzwerksegment. Ab da entscheidet die Topologie, was er erreicht, und in den meisten Hallen bedeutet Topologie: alles. Ein Dienstleister, der an einer Verpackungslinie arbeiten soll, erreicht ohne jede böse Absicht den Historian, das HMI der Nachbarlinie und den Windows-Rechner, den seit 2019 niemand gepatcht hat.
Das ist der Unterschied zwischen Konnektivität und Zugriffskontrolle. Konnektivität fragt, ob Sie hinkommen. Zugriffskontrolle fragt, ob diese Person an diesem Tag dieses konkrete Asset über dieses konkrete Protokoll erreichen darf. Ein VPN beantwortet das Erste und schweigt zum Zweiten.
Eine Box je Maschine skaliert nicht
Das Modell je Maschine ist bei einer Maschine unsichtbar und bei fünfzehn schmerzhaft.
Jedes Gateway ist eine Insel. Jedes hat eine Konfiguration, eine Firmware-Version, ein Zertifikat, einen Satz Nutzer und einen Supportfall, wenn es sich falsch verhält. Ein Standort mit fünfzehn Maschinen endet mit fünfzehn Boxen, und weil sie zu verschiedenen Zeiten von verschiedenen Leuten für verschiedene Linien gekauft wurden, laufen sie selten auf derselben Firmware oder in derselben Konfiguration. Niemand hat einen einheitlichen Blick darauf, wer was erreichen darf, weil es keine einzige Stelle gibt, an der das entschieden wird.
Multiplizieren Sie das mit den Standorten. Ein Betreiber mit acht Werken führt einen Bestand an Fernwartungshardware, den zentral niemand verantwortet, mit einer Zugriffsrichtlinie, die nur als Summe dutzender lokaler Konfigurationen existiert.
Die Alternative ist ein Durchsetzungspunkt je Standort statt je Maschine. Access Gate ist eine einzige integrierte Appliance: ein Gerät zum Patchen, ein Richtliniensatz für alle Assets dahinter, eine Stelle, die beantwortet, wer die Verpackungslinie erreichen darf. Eine Maschine hinzuzufügen ist ein Richtlinieneintrag und keine Bestellung, kein Einbauplatz und kein weiteres Gerät im Patchplan.
Was eine Alternative leisten muss
| Anforderung | Warum sie zählt |
|---|---|
| Keine eingehenden Firewallregeln | Die Eigenschaft, mit der Ewon gewonnen hat. Wer sie aufgibt, geht rückwärts. |
| Broker im eigenen Netzwerk | Beseitigt die Lieferkettenfrage, statt sie jedes Jahr zu beantworten. |
| Identitäten aus dem Unternehmensverzeichnis | Offboarding in Entra ID soll den Anlagenzugriff beenden, ohne zweite Liste. |
| Sitzung auf ein Asset und ein Protokoll begrenzt | Ein Dienstleister an einer Linie erreicht nicht den Rest der Anlage. |
| Aufzeichnung statt nur Verbindungsprotokolle | "Wer sich verbunden hat" ist nicht derselbe Nachweis wie "was getan wurde". |
| Eine Einheit je Standort, nicht je Maschine | Fünfzehn Boxen sind fünfzehn Firmware-Versionen und kein einheitlicher Zugriffsblick. |
| Segmentiert die Anlage dahinter | Fernwartung ist ein Zugangsweg. Laterale Bewegung ist die eigentliche Exposition. |
Access Gate erhält die erste Eigenschaft, indem es Sitzungen auf der Appliance selbst vermittelt statt irgendetwas im Internet zu veröffentlichen, und ergänzt den Rest. Der Techniker erreicht ein benanntes Asset über eine proxied Sitzung mit MFA, Zeitfenster und Aufzeichnung. Hinter dem Gate ist die Anlage in Overlay-Enclaves geteilt, der Schadensradius eines kompromittierten Dienstleisterkontos beträgt also eine Maschine statt eines Subnetzes. Und nichts davon verlangt eine Neuadressierung: Assets behalten IP, Gateway und VLAN.
Beides einsetzen, nicht eines statt des anderen
Hier ehrlich zu sein zählt mehr als die Auseinandersetzung zu gewinnen, deshalb die Empfehlung: In den meisten Anlagen sollten Sie Ewon behalten und einen Kontrollpunkt dahinter setzen.
Ewon ist eine gute punktuelle Lösung. Für einen OEM, der Maschinen an fremden Standorten betreut, ist es oft das Einzige, was sich einsetzen lässt, und es passt genau auf diese Aufgabe. Nichts hier spricht dafür, es zu entfernen.
Das Risiko ist Konnektivität allein. Ein Cosy je Maschine bedeutet ebenso viele Türen in die Anlage, ohne Sicht auf das, was hindurchgeht, und ohne Zugriffskontrolle an einem OT-Kontrollpunkt. Fünfzehn Maschinen sind fünfzehn Türen, und Ihre Sicherheitsarchitektur sieht keine davon.
Die belastbare Architektur ist beides. Behalten Sie das Gateway, wo es sich bewährt, setzen Sie Access Gate dahinter, und jede ankommende Sitzung trifft weiterhin auf Identität, Protokollrichtlinie und Aufzeichnung, in einer segmentierten statt flachen Anlage. Sie ersetzen keinen Lieferanten, Sie ergänzen den Kontrollpunkt, der dem Tunnel immer gefehlt hat.
Weiterlesen
- Access Gate gegenüber Ewon und Talk2M, der vollständige Vergleich
- Industrielle Fernwartung im Vergleich, fünf Optionen inklusive Secomea, Siemens und IXON
- NIS2-Compliance für OT