Drei Herausforderungen sind es, die Versorgungsunternehmen in Sachen 450-MHz-Migration derzeit vor allem umtreiben:
- Kann ich den Routerbestand kontrolliert erweitern?
- Ist das erforderliche Sicherheitsniveau dauerhaft gewährleistet?
- Bleiben die Geräte über viele Jahre effizient beherrschbar?
Das wurde nicht zuletzt in den Gesprächen auf unserem „Praxisforum 450 MHz“ deutlich. Diese Fragen sind nicht erst bei Hunderten oder Tausenden Geräten relevant. Auch ein kleinerer Routerbestand ist anspruchsvoll, wenn die Geräte räumlich verteilt, an kritischen Standorten installiert und über viele Jahre zu betreiben sind.
Was bedeuten sie konkret für die Routerlösung – welche Anforderungen muss diese erfüllen?
In Teil 2 unserer Serie zu LTE-450 zeigen wir, welche entscheidenden Merkmale Router und Managementsystem für Skalierbarkeit, Sicherheit und langfristige Beherrschbarkeit mitbringen sollten. (Lesen Sie in Teil 1, was Versorgungsunternehmen derzeit in der Umsetzungsphase ihrer LTE-450-Projekte besonders beschäftigt.)
Kann ich skalieren, ohne dass der Aufwand mitwächst?
Skalierbarkeit bedeutet nicht nur, mehr Router ins System bringen zu können. Entscheidend ist, ob das ohne manuelle Arbeitsschritte für jedes zusätzliche Gerät abläuft. Denn wenn Router einzeln im Feld konfiguriert werden, kostet das Zeit, bindet Fachkräfte und birgt das Risiko für Abweichungen in der Konfiguration.
Neue Geräte automatisiert in Betrieb nehmen
Zero-Touch-Provisioning reduziert diesen Aufwand: Beim ersten Start lädt der Router seine eigentliche Konfiguration und Firmware automatisch von einem zentralen Server. Zu diesem Zweck wird er bereits in der Produktion mit einer kundenspezifischen Bootstrap-Konfiguration ausgestattet. Sie enthält die grundlegenden Parameter, die der Router benötigt, um sich sicher in das Netz einzuwählen und den automatisierten Provisionierungsprozess zu starten.
Automatisierung sicher gestalten
Automatisierung darf dabei nicht zulasten der Sicherheit gehen. Nach dem Zero-Trust-Prinzip wird jeder Router überprüft und authentifiziert, bevor er im Netz kommunizieren darf. Ist die kundeneigene Public Key Infrastructure bereits bei der Auslieferung eingebunden, sind die Geräte von Anfang an eindeutig authentifiziert und können direkt in die vorhandene Sicherheitsarchitektur integriert werden.
Konfigurationen konsistent halten
Je größer und verteilter der Routerbestand, desto wichtiger ist eine einheitliche Konfigurationsbasis. Unbeabsichtigte Abweichungen können die Fehlersuche erschweren und dazu führen, dass einzelne Geräte nicht den vorgesehenen Betriebs- und Sicherheitsvorgaben entsprechen.
Die Grundlage für eine konsistente Konfiguration bilden zentral verwaltete Vorlagen. Wiederkehrende Einstellungen werden einmal definiert und auf weitere Router übertragen. Änderungen erfolgen zentral und werden automatisch übernommen. So müssen Anwender neue Geräte nicht jeweils vor Ort einrichten und können den Routerbestand kontrolliert erweitern.
Ist die Sicherheit gewährleistet?
Eine ordentliche Skalierung setzt voraus, dass neue Geräte sicher eingebunden werden können. Damit das Sicherheitsniveau dann über den gesamten Lebenszyklus erhalten bleibt, müssen Unternehmen auch die laufende Kommunikation, Firmware sowie Updates und den Umgang mit Schwachstellen berücksichtigen.
Kommunikation und Zugänge schützen
IPsec ist im KRITIS-Umfeld besonders relevant für die sichere Kommunikation. Die Protokoll-Suite verschlüsselt und authentifiziert auch Datenverkehr, der selbst nicht geschützt ist. Dadurch können selbst ältere Systeme, die keine eigene Verschlüsselung unterstützen, sicher eingebunden werden.
Bei der Frage, welche Verfahren sie für Authentifizierung, Hashing und Verschlüsselung einsetzen wollen, sollten Unternehmen sich an der BSI-Richtlinie TR-02102 orientieren. Für webbasierte Dienste, Fernzugriffe und Managementschnittstellen ist TLS (Transport Layer Security) erforderlich. Dabei sollten mindestens TLS 1.2, idealerweise TLS 1.3 sowie sichere Protokolle wie HTTPS, SSH und SNMPv3 unterstützt werden. Unsichere Protokolle wie Telnet oder FTP sollten Anwender konsequent vermeiden und vom Router blockieren lassen.
Sicherheit in der Routerarchitektur
Sicherheit muss darüber hinaus in der Architektur des Routers verankert sein. Ein default-sicheres Design sorgt dafür, dass Dienste, die nicht ausdrücklich konfiguriert wurden, deaktiviert bleiben. Secure Boot stellt sicher, dass beim Start ausschließlich korrekt signierte Firmware ausgeführt wird.
Konfigurationen und andere sensible Daten sollten verschlüsselt auf dem Gerät gespeichert sein. Dabei sollte jeder Router einen eigenen Schlüssel verwenden, den die Hardware in einem geschützten Bereich bereitstellt. So bleiben die Daten auch dann geschützt, wenn ein Gerät entwendet oder unbefugt ausgelesen wird.
Sicherheitsniveau durch Updates beibehalten
Ein guter Router für KRITIS-Anwendungen bietet einen Lebenszyklus von bis zu 15 Jahren. Entsprechend lange muss die Sicherheit gewährleistet sein. Dazu gehören regelmäßig verfügbare Sicherheitsupdates und die Möglichkeit, Firmwareupdates zentral und automatisiert einzuspielen. Für Standorte mit begrenzter Bandbreite können modularisierte Updates sinnvoll sein, die gestückelt ablaufen und dadurch den Übertragungsaufwand reduzieren.
Schwachstellen transparent bewerten
Transparenz im Schwachstellenmanagement schaffen eine Software Bill of Materials (SBOM) und VEX-Informationen. Eine SBOM dokumentiert, welche Softwarekomponenten im Router enthalten sind – wird eine Sicherheitslücke bekannt, können Verantwortliche anhand der SBOM schneller prüfen, ob das Gerät davon betroffen ist. VEX wiederum hilft einzuschätzen, ob eine Schwachstelle in der konkreten Umgebung tatsächlich für sicherheitskritische Machenschaften genutzt werden könnte.
Mit Blick auf den Cyber Resilience Act gewinnen zudem nachweisbare Prozesse an Bedeutung: für sichere Updates, einen sicheren Softwarelebenszyklus, sichere Standardkonfigurationen und für den Umgang mit Schwachstellen.
Bleibt der Routerbestand langfristig beherrschbar?
Sicherheit über viele Jahre zu erhalten, setzt voraus, dass auch große, verteilte Routerbestände zentral überwacht und gesteuert werden können.
Firmware und Konfiguration im Blick behalten
Ein zentrales Managementsystem schafft Transparenz über die aktive Firmware sowie die Konfiguration und die Sicherheitsrichtlinien jedes einzelnen Routers. Dadurch fallen Abweichungen auf, ohne die Geräte einzeln vor Ort prüfen zu müssen.
Ereignisse zentral überwachen
Über Syslog und SNMP-Traps können Router Ereignisse an zentrale Leitstellen übermitteln. Das macht Zustände und etwaige Störungen jederzeit in den Überwachungsstrukturen sichtbar.
Änderungen kontrolliert ausrollen
Anwender sollten die Möglichkeit haben, Konfigurations- und Firmwareupdates zu planen, zu automatisieren und gestaffelt zu verteilen. So können sie Änderungen vor dem Roll-out zunächst auf einem begrenzten Teil des Bestands erproben.
Router aus der Ferne warten
Fernwartung und Ferndiagnose ermöglichen es, Fehler remote zu analysieren. Die entsprechenden Zugriffe sollten verschlüsselt erfolgen und protokolliert werden.
APIs erleichtern die Einbindung des Managementsystems in bestehende Systeme; bei Bedarf sollte sich der Managementserver auch on premise betreiben lassen.
Die entscheidenden Merkmale frühzeitig prüfen
Skalierbarkeit, Sicherheit und langfristige Beherrschbarkeit werden nicht erst beim späteren Roll-out relevant. Sie sollten bereits in die Auswahl des Routers und die Konzeption eines Piloten einfließen. Bleibt ein Pilot hinter den Erwartungen zurück, lohnt ein genauer Blick auf diese Merkmale: Nicht jede Schwierigkeit lässt sich allein über Funkabdeckung, Schnittstellen oder einzelne Geräteeinstellungen erklären. Entscheidend ist das Zusammenspiel von Router, Sicherheitsarchitektur und zentralem Management.
Lesen Sie Teil 1 unserer LTE-450-Serie hier.
Sie beschäftigen sich bereits mit der Auswahl geeigneter Router? Unser kostenloser & anbieterneutraler Buyer’s Guide „LTE-450-Router – Welche Kriterien für den sicheren und langfristigen Betrieb in KRITIS zählen“ bietet eine strukturierte Orientierung.
Sie möchten die Anforderungen Ihres LTE-450-Projekts mit uns besprechen?
