Die Fernwartungslösung von team2work kann als plattformübergreifende Lösung in vielen Branchen und Unternehmen eingesetzt werden, in denen ein sicherer Zugriff auf entfernte Maschinen, Anlagen oder PCs auf eine sichere Stufe gehoben werden soll. So sorgen verschiedene Faktoren dafür, dass externe Partner oder firmeneigene Mitarbeiter immer mit Anlagen auf der ganzen Welt verbunden sein können. Dies geschieht Im Unterschied zu vielen herkömmlichen VPN-Lösungen nicht durch „Einklinken“ in das Netzwerk des zu wartenden Standorts. Es findet keine direkte Kopplung zwischen dem Netzwerk des Wartungsmitarbeiters und dem Kundennetzwerk statt. Denn RemoteService benutzt eine dedizierte Verbindung auf Anwendungsebene. Dabei werden alle Windows Plattformen wie Windows XP, Vista, Windows 7, 8, 10 und Windows CE sowie EC zuverlässig unterstützt. „Für Umgebungen in denen aus verschiedenen Gründen noch Windows XP im Einsatz ist und die bisher Ihre Fernwartung mit TeamViewer lösen konnten, sind wir aktuell die Lösung.“ so die team2work-Geschäftsführer Kai Zirlewangen und Andreas Krög.

Nachrüstbar und Skalierbar
Die Vorteile von RemoteService umfassen noch viel mehr als Unterstützung vieler Windows Plattformen. So ist RemoteService nachträglich auf bestehende Systeme installierbar und alle Programmteile lassen sich an das vom Kunden geforderte Sicherheitsniveau anpassen. Gleichzeitig sind alle Sicherheitsfunktionen skalierbar und die BSI Empfehlung „M 5.33 Absicherung von Fernwartung“ aus dem IT-Grundschutz-Katalog sowie BSI-CS 108 vom 12.01.2015 werden erfüllt. Zusätzlich haben die Anwender durch das zentrale Management der Remotezugriffe die volle Sicherheits-Kontrolle und die Sichtbarkeit der zur Verfügung stehenden Dienste auf den zu wartenden Maschinen lässt sich pro Benutzer über Filter individuell anpassen.

Einfach und sicher
Neben der sicheren Verbindung ist die einfache Handhabung von RemoteService ein wichtiger Pluspunkt. Nach dem Start der Software kann die Fernwartung direkt ausgeführt werden. Es ist in den meisten Fällen keine Installation nötig.

Weitere Informationen zu RemoteService finden Sie unter https://www.team2work.de/…

Der Kunde:
Die Dithmarsche Kältetechnik GmbH entwickelt und produziert Kühlhäuser, die weltweit zum Einsatz kommen. Die Kühlhäuser sind mit eaton Bedienterminals ausgestattet, die eine Steuerung und Überwachung der Kühlhäuser ermöglichen. Für diese Bedienterminals wurden sichere, verschlüsselte und autorisierte VPN-Remotezugriffe benötigt.

Projektanforderungen:
Das Ziel war Technikern einen Zugriff für die Wartung und Updates zu ermöglichen und Endkunden oder Drittfirmen dedizierten Zugriff auf einzelne Kühlanlagen zu bieten. Dabei sollte der Fernzugriff komplett Inhouse stattfinden, d.h. ohne weitere Server im Internet. Eine Anforderung, die die meisten "üblichen" Fernwartungslösungen ausschloss. Hier wird meist ein (nicht vertrauenswürdiger) Vermittlungsserver eines Betreibers im Internet benötigt, wie zum Beispiel teamviewer. Oft befinden sich diese Vermittlungsserver außerhalb des Bundesgebietes und sind daher nicht mit dem deutschen Datenschutz zu vereinbaren, da sie beispielsweise US-Recht unterliegen.
Eine weitere Anforderung war, dass beim Kunden vor Ort keine Ports in der Firewall nach Innen geöffnet werden müssen. Weiterhin musste gewährleistet werden, dass die einzelnen Software-Komponenten des eaton Terminal wie Bildübertragung, Dateiübertragung und -zugriff auf die Software des Herstellers (Gallileo), granular den Zugriffsrechten der Benutzer zugeordnet werden können. Das System sollte skalierbar sein und für beliebig viele neue Kunden und Bestandskunden nachrüstbar sein.

Ein beispielhaftes Szenario sieht konkret folgendes vor:
Der Inhouse Support der Dithmarscher Kältetechnik GmbH sollte vollen Zugriff auf den Bildschirm, das Dateisystem und die Steuerungssoftware aller eaton Terminals erhalten, die beim Kunden vor Ort sind. Supportmitarbeiter sollten auch mobil auf alle Anlagen zugreifen können (Software auf einem USB-Stick). Der Kunde und die Betreiber des Kühlhauses, sollten die Bedienoberfläche des Terminal sehen, jedoch kein Dateitransfer, kein Zugriff auf das Dateisystem und keinen API Zugriff auf die Software haben. Eine Drittfirma, z.B. ein Wartungsanbieter, sollte die Bedienoberfläche des Terminals sehen, und Zugriff auf das Dateisystem erhalten (um zum Beispiel Logfiles zu ziehen), jedoch kein API Zugriff auf die Software haben.

Realisierung:
Die Kernkomponente ist die team2work Standard Remote-Service Lösung für Fernwartung. Die zentrale Komponente, der Vermittlungsserver ist ein Phoenix Contact mGuard Delta² mit der team2work Erweiterung "SEC-Stick" und dem team2work Benutzermanagement, das bei der Ditmarschen Kältetechnik platziert wurde. Auf der Maschinen-Seite (Bedienterminals der Kühlhäuser) hat team2work einen eigenen SSH-VPN Client für Windows CE 4, CE 5 und Embedded programmiert, welcher sich voll automatisch mit der Zentrale bei der Dithmarscher Kältetechnik verbindet.
Zusammen mit dem eaton Product Support Softstarter and Drives wurde die Software auf den eaton Terminals erweitert, so dass der team2work VPN Client auch nachträglich in bestehende Anlagen implementiert werden kann. Die Modifikation umfasste Anpassungen am FTP Server für den Dateitransfer und die Installation von Windows .Net 3.5.
Für den Fernwartungscenter, welcher der Supportmitarbeiter, bzw. Kunde für den Zugriff von der Dithmarscher Kältetechnik zur freien Verfügung gestellt bekommt, wurde eine Modifikation entwickelt. Diese beschränkt den Zugriff auf einzelne Anwendungen des eaton Terminals über das Management des Fernwartungscenters.

Lösung:
Die Dithmarscher Kältetechnik GmbH hat nun eine eigene Inhouse Fernzugriffslösung für alle Kühlhäuser weltweit. Der Zugriff auf die Kühlhäuser und die erlaubten Anwendungen auf den eaton Terminals wird von der Dithmarscher Kältetechnik zentral verwaltet und kann über die Managementsoftware jederzeit aktiviert und deaktiviert werden. Der Support kann sämtliche Software und Wartungsarbeiten der IT vom Unternehmensstandort aus tätigen.

Fernwartung ist viel mehr als nur „Reparatur übers Netz“. Fernwartung ermöglicht einen direkten Draht zum Kunden. Zudem bietet Fernwartung durch Überwachung von Anlagen (Monitoring) eine Qualitätsmaximierung und dient der kostengünstigen Instandhaltung mit Updates und Support. Zu den Nutzern von Remote-Fernwartung gehören Hersteller von Anlagen, die einen reibungslosen Service garantieren müssen, sowie Wartungsunternehmen, deren Kapital die Sicherheit der Kunden ist. Aber auch Industrieunternehmen, die eine Fernwartungsschnittstelle zu unterschiedlichen Herstellern und Wartungsunternehmen benötigen profitieren: sie behalten die volle Kontrolle über alle Zugriffe.

Im Gegensatz zum persönlichen Kunden- und Wartungsdienst kann mit der sicheren Fernwartungslösung RemoteService von team2work von überall auf der Welt auf eine Industrie- oder Gebäudesteuerungsanlage zugegriffen werden. Das spart Zeit und Geld.
„Mit Remote Service sind unsere Anwender auf der „sicheren“ Seite: Im Unterschied zu vielen herkömmlichen VPN-Lösungen ist es nicht nötig, sich in das Netzwerk des Kunden „einzuklinken“. Es findet keine Kopplung Ihres Netzwerks mit dem Kundennetzwerk statt.“ Erläutert Andreas Krög. „Unsere Strategie ist es kundenorientierte und einfache Software zu entwickeln“ ergänzt Kai Zirlewagen. Und der Erfolg gibt den beiden Geschäftsführern von team2work aus Gaggenau seit über zehn Jahren recht.

Um eine sichere Fernwartung zu gewährleisten baut RemoteService einen direkten VPN-Tunnel zwischen Fernwartungsbetreiber und Anlage auf. Hier unterscheidet sich die Lösung von team2work von anderen VPN-Anbietern. Als Vermittlungsserver wird ein eigener SSH-Server auf Basis der Innominate mGuard verwendet. Der Zugang zur Anlage ist nur mit einem Schlüssel und speziellem Zertifikat möglich. Dies bedeutet zusätzliche Schutz und gibt dem Anlagenbetreiber die Sicherheit, dass nur auf eine bestimmte Anlage zugegriffen werden kann. Das zentrale Management der Remotezugriffe erleichtert eine sichere Planung und Dokumentation für beide Seiten.

Für team2work steht der Kundennutze immer im Vordergrund, denn alle Produkte sind aus konkreten Anforderungen der Industrie heraus entstanden. So ist die nachträgliche Installation auf bestehenden Systeme eine zwingende Anforderung an das System gewesen. „Wir möchten unsere Kunden durch Leistung überzeugen. Kontaktieren Sie uns einfach!“ fordern die Geschäftsführer auf. Das team2work-Unternehmenssymbol Rabe ist Programm: RAVEN (Remote Access Verified Encapsulated Network): intelligente Software für einfaches und sicheres mobiles Arbeiten.

Im Zeitalter der Globalisierung und Industrie 4.0 ist das weltweite Betreiben von Anlagen und Geräten ohne Fernwartung nicht mehr möglich. Anlagen in jeder Größe werden über Steuerungsbildschirme bedient und gewartet. Die Verbindung zwischen Service-Zentrale und Anlagenbetreibern ist häufig ein Panel-PC. Beim Bau von Anlagen werden diese Displays mit Steuerelementen von anderen Herstellern ausgestattet. Diese verwendeten Panel-PCs bieten meist auch eine Fernwartungsschnittstelle, die jedoch die vielfältigen Sicherheitsanforderungen oft nicht abdecken kann. Und Sicherheit ist ein wichtiger Faktor geworden. Schließlich kann ein Fremdzugriff auf eine Anlage für ein Unternehmen durch einen Produktionsausfall oder eine Fehlproduktion mehr als nur ein wirtschaftliches Risiko darstellen.

Panel-PCs als Sicherheitslücken
Die eingebetteten Systeme der Panel-PCs sind meist auf Basis von Windows Embedded CE modular aufgesetzt. Dies macht eine Anpassung der Anlagen an das Sicherheitsniveau vieler Hersteller teilweise unmöglich. Individual-Entwicklungen wären die Lösung, sind aber oft zu aufwändig. Die team2work GmbH bietet hier Abhilfe.

Remote Service für mehr Sicherheit
Unter dem Motto „Komplexität ist der schlimmste Feind von Sicherheit“ bietet das Unternehmen aus Gaggenau eine Fernwartungslösung in Kombination mit einem dezidierten Hardware SSH-Server von PHÖNIX CONTACT Cyber-Security AG an. „Unsere Remote Service-Lösung deckt zusammen mit der Hardware mGuard viele Panels und Geräte, sowie Windows PC ab. Somit können wir eine Vielzahl an Geräten mit einer sicheren Fernwartungslösung ausstatten“ so die Geschäftsführer Andreas Krög und Kai Zirlewagen. Sicher heißt, dass die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) mit den Maßnahmen „M 5.33 Absicherung von Fernwartung“ erfüllt werden.

Der Remote Service von team2work nutzt eine direkte Verbindung zwischen Fernwartungsanwendung und der zu wartenden Anlage. „Dadurch, dass wir uns in kein Netzwerk einklinken, bieten wir einen sicheren Tunnel ohne Abzweigungen oder Umwege.“ erklären die Geschäftsführer. Genau diese Besonderheit unterscheidet team2work von seinen Marktbegleitern, die einen Vermittlungsserver im Internet benutzen. „Jeder unsere Kunden betreibt sein eigenes sicheres Netz, mit eigenem Vermittlungsserver unter Kontrolle unseres Kunden“. So werden nur ausgehende Verbindungen zugelassen, offene Ports auf der Firewall werden vermieden. Zur sicheren Verbindung kommt noch ein Authentifizierungsmechanismus mit Schlüssel (Passwort) und Zertifikat. Das zentrale Management von Remotezugriffen und der Verzicht auf die Sichtbarkeit von Diensten und Maschinen runden das Sicherheitspaket ab.

Auf die Bedürfnisse der Industrie zugeschnitten
Die Vorteile liegen klar auf der Hand: einfach und direkt. So ermöglicht der Remote Service die von BSI empfohlene Skalierbarkeit der Sicherheitsfunktionen und kann sogar nachträglich auf bestehende Systeme installiert werden.