Sichere Fernwartung für Bedienterminals in Kühlhäusern

Das Unternehmen:
Die Firma team2work GmbH ist seit über 10 Jahren Softwarehersteller, mit dem Fokus auf sichere Daten-Verbindungen und Zugriffsmanagement. Die innovativen Produkte wurden bereits mehrfach ausgezeichnet, unter anderem mit dem Innovationspreis des Landes Baden-Württemberg des Wirtschaftsministeriums und dem Sonderpreis des Forschungszentrum Informatik. Zu den Kunden zählen namhafte Konzerne aus den Branchen Industrie, Rüstung, Finanz, und Medizin. Insbesondere Firmen, die seit je her besonders hohe Anforderungen an die Sicherheit der Datenübertragung haben. Seit Industrie 4.0 in aller Munde ist, hat sich das Sicherheitsbewusstsein auf alle Gebiete erweitert. In den meisten Fällen werden die Lösungen von team2work als OEM / Lizenz-Produkt in Software von Herstellern integriert und treten somit nach außen nicht in Erscheinung. Als eigenes Produkt wird die Lösung im Fallbeispiel als team2work Remote-Service vertrieben.

Der Kunde:
Die Dithmarsche Kältetechnik GmbH entwickelt und produziert Kühlhäuser, die weltweit zum Einsatz kommen. Die Kühlhäuser sind mit eaton Bedienterminals ausgestattet, die eine Steuerung und Überwachung der Kühlhäuser ermöglichen. Für diese Bedienterminals wurden sichere, verschlüsselte und autorisierte VPN-Remotezugriffe benötigt.

Projektanforderungen:
Das Ziel war Technikern einen Zugriff für die Wartung und Updates zu ermöglichen und Endkunden oder Drittfirmen dedizierten Zugriff auf einzelne Kühlanlagen zu bieten. Dabei sollte der Fernzugriff komplett Inhouse stattfinden, d.h. ohne weitere Server im Internet. Eine Anforderung, die die meisten "üblichen" Fernwartungslösungen ausschloss. Hier wird meist ein (nicht vertrauenswürdiger) Vermittlungsserver eines Betreibers im Internet benötigt, wie zum Beispiel teamviewer. Oft befinden sich diese Vermittlungsserver außerhalb des Bundesgebietes und sind daher nicht mit dem deutschen Datenschutz zu vereinbaren, da sie beispielsweise US-Recht unterliegen.
Eine weitere Anforderung war, dass beim Kunden vor Ort keine Ports in der Firewall nach Innen geöffnet werden müssen. Weiterhin musste gewährleistet werden, dass die einzelnen Software-Komponenten des eaton Terminal wie Bildübertragung, Dateiübertragung und -zugriff auf die Software des Herstellers (Gallileo), granular den Zugriffsrechten der Benutzer zugeordnet werden können. Das System sollte skalierbar sein und für beliebig viele neue Kunden und Bestandskunden nachrüstbar sein.

Ein beispielhaftes Szenario sieht konkret folgendes vor:
Der Inhouse Support der Dithmarscher Kältetechnik GmbH sollte vollen Zugriff auf den Bildschirm, das Dateisystem und die Steuerungssoftware aller eaton Terminals erhalten, die beim Kunden vor Ort sind. Supportmitarbeiter sollten auch mobil auf alle Anlagen zugreifen können (Software auf einem USB-Stick). Der Kunde und die Betreiber des Kühlhauses, sollten die Bedienoberfläche des Terminal sehen, jedoch kein Dateitransfer, kein Zugriff auf das Dateisystem und keinen API Zugriff auf die Software haben. Eine Drittfirma, z.B. ein Wartungsanbieter, sollte die Bedienoberfläche des Terminals sehen, und Zugriff auf das Dateisystem erhalten (um zum Beispiel Logfiles zu ziehen), jedoch kein API Zugriff auf die Software haben.

Realisierung:
Die Kernkomponente ist die team2work Standard Remote-Service Lösung für Fernwartung. Die zentrale Komponente, der Vermittlungsserver ist ein Phoenix Contact mGuard Delta² mit der team2work Erweiterung "SEC-Stick" und dem team2work Benutzermanagement, das bei der Ditmarschen Kältetechnik platziert wurde. Auf der Maschinen-Seite (Bedienterminals der Kühlhäuser) hat team2work einen eigenen SSH-VPN Client für Windows CE 4, CE 5 und Embedded programmiert, welcher sich voll automatisch mit der Zentrale bei der Dithmarscher Kältetechnik verbindet.
Zusammen mit dem eaton Product Support Softstarter and Drives wurde die Software auf den eaton Terminals erweitert, so dass der team2work VPN Client auch nachträglich in bestehende Anlagen implementiert werden kann. Die Modifikation umfasste Anpassungen am FTP Server für den Dateitransfer und die Installation von Windows .Net 3.5.
Für den Fernwartungscenter, welcher der Supportmitarbeiter, bzw. Kunde für den Zugriff von der Dithmarscher Kältetechnik zur freien Verfügung gestellt bekommt, wurde eine Modifikation entwickelt. Diese beschränkt den Zugriff auf einzelne Anwendungen des eaton Terminals über das Management des Fernwartungscenters.

Lösung:
Die Dithmarscher Kältetechnik GmbH hat nun eine eigene Inhouse Fernzugriffslösung für alle Kühlhäuser weltweit. Der Zugriff auf die Kühlhäuser und die erlaubten Anwendungen auf den eaton Terminals wird von der Dithmarscher Kältetechnik zentral verwaltet und kann über die Managementsoftware jederzeit aktiviert und deaktiviert werden. Der Support kann sämtliche Software und Wartungsarbeiten der IT vom Unternehmensstandort aus tätigen.