Industrieller Fernzugriff, ehrlich verglichen
Trout Access Gate vermittelt Fernsitzungen in Ihrem eigenen Netzwerk: kein fremdes Rendezvous, Richtlinien pro Nutzer, Asset und Protokoll, und die Anlage dahinter segmentiert.
Zuletzt aktualisiert:
Zwei Fragen entscheiden, und keine betrifft die Box
Alle Produkte hier setzen Hardware oder Software an die Maschine und bringen einen Techniker dorthin. In dieser Aufgabe sind sie alle kompetent, und Ewon ist für Maschinenbauer, die eine Verbindung ohne Beteiligung der Kunden-IT brauchen, kaum zu schlagen.
Die erste unterscheidende Frage ist, wer das Rendezvous betreibt. Talk2M und IXON Cloud werden vom Anbieter betrieben, das ist eine Abhängigkeit und in einer NIS2-Lieferkettenprüfung eine Frage, die Sie beantworten müssen. Secomea und Siemens lassen sich selbst hosten. Access Gate hat überhaupt kein Rendezvous außerhalb Ihres Netzwerks.
Die zweite ist, worauf die Sitzung begrenzt ist. Ein VPN setzt den Techniker ins Maschinen-LAN und hat danach keine Meinung mehr. Eine vermittelte Sitzung benennt Asset und Protokoll, zeichnet das Geschehen auf und lässt den Rest der Anlage unerreichbar. Die Tabelle stützt sich auf öffentliche Anbieterdokumentation, und wo etwas nicht dokumentiert ist, sagt die Zelle das.
Optionen für industriellen Fernzugriff im Vergleich
Wettbewerberzellen stammen aus der öffentlichen Dokumentation des jeweiligen Anbieters, unten verlinkt. Wo eine Fähigkeit nicht öffentlich dokumentiert ist, sagt die Zelle das, statt zu unterstellen.
| Fähigkeit | Ewon + Talk2M | Secomea | Siemens SINEMA RC | IXON | Trout Access Gate |
|---|---|---|---|---|---|
| Wer den Broker betreibt | HMS, über Talk2M | Sie oder Secomea; GateManager bietet beides | Sie; der SINEMA-RC-Server gehört Ihnen | IXON, über IXON Cloud | Sie; das Gate vermittelt lokal |
| Läuft ohne Fremddienst | Nein; Talk2M ist das Rendezvous | Ja, mit selbstgehostetem GateManager | Ja; der Server läuft auf Ihrer Infrastruktur | Nein; IXON Cloud ist das Rendezvous | Ja; nichts verlässt Ihr Netzwerk |
| Worauf eine Sitzung begrenzt ist | Ein VPN ins Maschinen-LAN | Ein registriertes Gerät, erreicht über LinkManager | Ein Gerät oder Subnetz über den VPN-Tunnel | Ein registriertes Gerät | Ein Nutzer, ein Asset, ein Protokoll |
| Sitzungsaufzeichnung | Verbindungsprotokolle | Audit-Logs der Verbindungen | Verbindungsprotokolle | Verbindungsprotokolle; Detailtiefe je nach Tarif | Vollständige Sitzungsaufzeichnung und Wiedergabe |
| Segmentiert die Anlage dahinter | Nein | Nein | Teilweise; mit begleitend eingesetzten Scalance-Firewalls | Nein | Ja; Overlay-Enclaves, ohne VLAN-Umbau |
| Automatisches Asset-Inventar | Nein | Nein; Sie registrieren, was erreichbar sein soll | Nein | Teilweise; die von Ihnen eingebundenen Geräte | Ja; automatische Erkennung dessen, was im Netzwerk steht |
| Detektion und Alarmierung | Nein | Nein | Nicht Teil des Fernzugriffsprodukts | Nein | Ja; Snort-Regeln, kuratierte Alarmbibliothek, SIEM-Weiterleitung |
| Compliance-Nachweise (IEC 62443 / NIS2) | Nur Verbindungsprotokolle | Zugriffslogs, die Sie selbst zusammenstellen | Logs, die Sie selbst zusammenstellen | Verbindungsprotokolle | Ja; zugeordnet zu IEC 62443, NIS2 und CMMC |
| Wie ein Standort mit 15 Maschinen aussieht | Ein Cosy je Maschine, jeweils separat verwaltet | Ein SiteManager je Maschine oder Zelle | Ein Server plus ein Scalance je durchgesetzter Grenze | Ein Gateway je Maschine | Eine Appliance für den Standort, ein Richtliniensatz |
Quellen: Ewon / Talk2M · Secomea · Siemens SINEMA RC · IXON
Die Fragen, die es in der Anlage entscheiden
Wenn das Internet ausfällt, was funktioniert dann noch?
Bei einem cloudvermittelten Produkt ist das Rendezvous unerreichbar, Fernsitzungen enden also. Das ist meist akzeptabel. Wichtiger ist, ob auch Segmentierung und Zugriffsrichtlinie von diesem Dienst abhängen, denn dann wird eine Störung beim Anbieter zum Sicherheitsvorfall in Ihrer Anlage. Lokale Durchsetzung läuft in jedem Fall weiter.
Was erreicht der Techniker, sobald er drin ist?
Ein Tunnel setzt ihn in ein Netzwerksegment. Ab da ist erreichbar, was das Netzwerk erlaubt, in den meisten Anlagen also alles. Eine vermittelte Sitzung benennt ein Asset und ein Protokoll, die Antwort wird damit von der Richtlinie begrenzt und nicht von der Topologie.
Nach wem wird der Einkauf unter NIS2 fragen?
Artikel 21 verlagert das Lieferkettenrisiko zu Ihnen. Ein Fernzugriffspfad durch eine anbieterbetriebene Cloud ist ein Dritter im Geltungsbereich, mit der entsprechenden Dokumentations- und Nachweisarbeit. Den Broker im eigenen Netzwerk zu behalten beseitigt die Frage, statt sie zu beantworten.
Das läuft dort, wo Agenten nicht können
Trout Access Gate schützt Rüstungshersteller, Forschungseinrichtungen und Betreiber kritischer Infrastruktur: Umgebungen mit Legacy-SPS, SCADA und Anlagen, die keinen Agenten vertragen. Darunter Thales, Millbrook Machine, Elna Magnetics, Irish Manufacturing Research, HUN-REN SZTAKI und STBMA.
Kundenberichte ansehenFragen zum industriellen Fernzugriff
Access Gate vermittelt Fernsitzungen im eigenen Netzwerk und segmentiert die Anlage dahinter, ganz ohne fremdes Rendezvous.
Es ist die Art, wie ein Ingenieur, ein OEM oder ein Dienstleister Anlagen in einem Werk erreicht, ohne vor Ort zu sein. Da SPS, HMIs und Antriebe keine Agenten ausführen können und oft nicht patchbar sind, wird der Zugriff von etwas davor vermittelt: einer Gateway-Box, einem VPN-Konzentrator oder einem Proxy. Die Produkte unterscheiden sich vor allem darin, wer den Verbindungspunkt betreibt und wie eng die Sitzung begrenzt ist.
Es beantwortet Konnektivität, nicht Zugriffskontrolle. Steht der Tunnel, befindet sich der Ingenieur in einem Netzwerksegment, und Erreichbarkeit entscheidet die Topologie, nicht die Richtlinie. Für eine einzelne Maschine beim Kunden reicht das oft. Für eine eigene Anlage bedeutet es, dass ein Dienstleister an einer Linie jedes andere Gerät im Segment erreicht, und genau das ist der Weg lateraler Bewegung und der Punkt, den Auditoren heute prüfen.
Sie teilen dieselbe Form: ein Gateway an der Maschine, ein Client für den Techniker und ein Broker dazwischen. Der Unterschied liegt darin, wer den Broker betreibt. Talk2M (Ewon) und IXON Cloud betreibt der Anbieter. Secomeas GateManager können Sie selbst hosten, und Siemens SINEMA Remote Connect ist ein Server, den Sie selbst betreiben. Wenn Souveränität oder eine NIS2-Prüfung zählen, ist das die Unterscheidung, mit der Sie beginnen sollten.
Ja. Access Gate vermittelt Sitzungen auf der Appliance selbst, es gibt also kein externes Rendezvous und keinen Anbieterdienst im Pfad. Die Eigenschaft, die cloudvermittelte Produkte attraktiv macht, bleibt erhalten, nämlich keine eingehenden Firewallregeln zu öffnen, denn es veröffentlicht ebenfalls keinen Dienst im Internet.
Nein. Assets behalten IP-Adresse, Gateway und Routing. Access Gate wird über eine Routing- oder DNS-Änderung eingefügt und stellt jedes Asset über einen Overlay-Twin dar, in der Anlage wird also nichts umkonfiguriert, und die Änderung lässt sich wie jede Routing-Änderung stufenweise einführen und zurückrollen.
Häufig ist die Antwort keines davon allein. Es sind gute punktuelle Lösungen, um einen Techniker an eine Maschine zu bringen, und an einem Standort, der Ihnen nicht gehört, ist ein cloudvermitteltes Gateway wie Ewon oder IXON womöglich das Einzige, was sich einsetzen lässt. Das Risiko besteht darin, Konnektivität allein einzusetzen: ein Gateway je Maschine bedeutet ebenso viele Türen in die Anlage, ohne Sicht auf das, was hindurchgeht, und ohne Zugriffskontrolle an einem OT-Kontrollpunkt. Die belastbare Architektur ist beides. Behalten Sie das Gateway, wo es sich bewährt, setzen Sie eine Appliance im Pfad dahinter, und jede ankommende Sitzung trifft weiterhin auf Identität, Protokollrichtlinie, Aufzeichnung und ein segmentiertes Netzwerk.
Prüfen wir, ob Access Gate zu Ihrer Anlage passt
Dreißig Minuten mit einem Ingenieur reichen meist, um zu klären, ob ein selbstgehosteter Ansatz im Pfad zu Ihren Standorten passt oder ob ein cloudvermitteltes Gateway die bessere Wahl ist. Wir sagen es Ihnen in beiden Fällen ehrlich.