Viele Maschinen und Anlagen verfügen heute über einen integrierten Webserver. Ob Frequenzumrichter, SPS, Energiezähler oder Steuerungseinheit: Über einen einfachen Browser lassen sich Betriebsdaten einsehen, Parameter anpassen oder Diagnoseinformationen abrufen. Im lokalen Netzwerk funktioniert das reibungslos. Doch sobald Sie sich außerhalb des Betriebsgeländes befinden, ist der Zugriff auf diese lokale Weboberfläche nicht mehr ohne Weiteres möglich.
In diesem Artikel erfahren Sie, warum das so ist, welche technischen Methoden es gibt, um lokale Weboberflächen remote aufzurufen, und worauf Sie beim Fernzugriff auf Anlagen-Weboberflächen aus Sicherheitsperspektive achten müssen. Wir bauen das Wissen schrittweise auf, von den Grundlagen des Web-Routings bis hin zur praktischen Umsetzung.
Was ist Web-Routing und wie funktioniert es in der Anlagentechnik?
Web-Routing bezeichnet den Prozess, durch den eine Anfrage aus dem Internet oder einem externen Netzwerk zu einem Webserver innerhalb eines lokalen Netzwerks weitergeleitet wird. In der Anlagentechnik ist dieser Webserver häufig direkt in eine Steuerung, ein HMI oder ein Feldgerät integriert.
Stellen Sie sich das lokale Netzwerk einer Anlage wie ein abgeschlossenes Bürogebäude vor. Innerhalb des Gebäudes können alle Mitarbeiter miteinander kommunizieren. Von außen ist das Gebäude jedoch nur über einen einzigen Eingang erreichbar, den Router mit seiner öffentlichen IP-Adresse. Web-Routing beschreibt nun die Regeln, nach denen eingehende Anfragen durch diesen Eingang zu dem richtigen Gerät im Inneren weitergeleitet werden.
In der Anlagentechnik sind typische Geräte mit integriertem Webserver:
- Speicherprogrammierbare Steuerungen (SPS) mit integriertem Webserver, zum Beispiel von Siemens, Beckhoff oder Schneider Electric
- Frequenzumrichter und Antriebssysteme mit Diagnoseschnittstelle
- Energiemessgeräte und Zähler
- Bedienpanels und HMIs mit HTML-basierter Visualisierung
- Netzwerkkomponenten wie Switches oder Gateways
Jedes dieser Geräte besitzt im lokalen Netzwerk eine private IP-Adresse, zum Beispiel 192.168.1.50. Diese Adresse ist außerhalb des lokalen Netzwerks nicht direkt erreichbar. Genau hier liegt die zentrale Herausforderung beim Fernzugriff auf Webvisualisierungen.
Warum lokale Weboberflächen nicht einfach über das Internet erreichbar sind
Das grundlegende Problem ist die Netzwerkarchitektur moderner Internetzugänge. Private IP-Adressen wie 192.168.x.x oder 10.x.x.x sind nicht im öffentlichen Internet routbar. Sie existieren nur innerhalb eines lokalen Netzwerks und werden vom Router nach außen hin verborgen, ein Mechanismus, der als Network Address Translation (NAT) bezeichnet wird.
NAT wurde ursprünglich eingeführt, um den knapper werdenden IPv4-Adressraum zu schonen. Als Nebeneffekt schützt NAT lokale Geräte jedoch auch vor direktem Zugriff aus dem Internet, da eingehende Verbindungen ohne explizite Konfiguration vom Router abgeblockt werden. Für die Fernüberwachung von Anlagen bedeutet das: Selbst wenn Sie die lokale IP-Adresse eines Webservers kennen, können Sie diese von außen nicht direkt aufrufen.
Hinzu kommen weitere Faktoren, die den Fernzugriff auf lokale Weboberflächen erschweren:
- Dynamische öffentliche IP-Adressen: Die meisten Internetanschlüsse erhalten vom Provider keine feste, sondern eine wechselnde öffentliche IP-Adresse. Selbst wenn Sie den Router konfigurieren, ändert sich die Adresse regelmäßig.
- Firewalls: Unternehmens-Firewalls blockieren standardmäßig eingehende Verbindungen auf unbekannte Ports, um das Netzwerk zu schützen.
- Fehlende Verschlüsselung: Viele eingebettete Webserver in Steuerungen unterstützen kein HTTPS, was eine direkte Exposition im Internet aus Sicherheitsgründen verbietet.
Das Ergebnis: Eine lokale Webseite aus der Ferne aufzurufen erfordert immer eine zusätzliche technische Lösung, die als Brücke zwischen dem öffentlichen Internet und dem privaten Anlagennetzwerk fungiert.
Gängige Methoden für den Fernzugriff auf lokale Weboberflächen
Aufbauend auf dem Verständnis, warum lokale Weboberflächen nicht direkt erreichbar sind, gibt es mehrere etablierte Ansätze, um dieses Problem zu lösen. Jede Methode hat ihre eigenen Stärken, Schwächen und Einsatzbereiche.
Port-Forwarding am Router
Port-Forwarding ist die direkteste Methode: Sie konfigurieren den Router so, dass Anfragen auf einem bestimmten Port an die interne IP-Adresse des Webservers weitergeleitet werden. Ruft jemand von außen die öffentliche IP-Adresse mit dem konfigurierten Port auf, landet die Anfrage direkt beim Gerät im lokalen Netzwerk.
Diese Methode funktioniert technisch, bringt jedoch erhebliche Nachteile mit sich. Sie setzt eine feste öffentliche IP-Adresse oder einen Dynamic-DNS-Dienst voraus, öffnet einen direkten Kanal durch die Firewall und exponiert den oft ungesicherten Webserver der Steuerung direkt im Internet.
VPN-Tunnel
Ein Virtual Private Network (VPN) baut einen verschlüsselten Tunnel zwischen dem entfernten Gerät und dem lokalen Netzwerk auf. Sobald die VPN-Verbindung steht, verhält sich der Fernzugriff so, als wären Sie physisch vor Ort. Sie können die lokale IP-Adresse des Webservers direkt im Browser eingeben und auf die Weboberfläche zugreifen.
VPN gilt als sicherer als Port-Forwarding, erfordert jedoch eine entsprechende Infrastruktur: einen VPN-Server im lokalen Netzwerk oder einen VPN-fähigen Router sowie die Installation eines VPN-Clients auf dem Endgerät. Die Konfiguration ist für Automatisierungstechniker ohne tiefere IT-Kenntnisse oft aufwendig.
Cloud-basiertes Web-Routing
Eine modernere Alternative ist das cloud-basierte Web-Routing. Dabei stellt ein lokaler Software-Agent eine ausgehende, verschlüsselte Verbindung zu einem Cloud-Server her. Da die Verbindung vom lokalen Netzwerk initiiert wird, muss die Firewall keine eingehenden Verbindungen zulassen. Der Cloud-Server fungiert als sicherer Vermittler und leitet Anfragen von autorisierten Nutzern an den lokalen Webserver weiter.
Dieser Ansatz kombiniert die Sicherheit eines VPN-Tunnels mit deutlich geringerem Konfigurationsaufwand. Lokale Webvisualisierungen lassen sich so direkt in eine übergeordnete Oberfläche einbetten und sind für berechtigte Nutzer weltweit erreichbar, ohne dass Port-Forwarding oder eine feste IP-Adresse erforderlich ist.
Sicherheitsrisiken beim Fernzugriff auf Anlagen-Weboberflächen
Bevor Sie eine der genannten Methoden einsetzen, sollten Sie die Sicherheitsrisiken kennen, die mit dem Fernzugriff auf industrielle Weboberflächen verbunden sind. Steuerungen und Feldgeräte wurden primär für Zuverlässigkeit und Echtzeitfähigkeit entwickelt, nicht für die Exposition im Internet.
Zu den häufigsten Risiken zählen:
- Fehlende Authentifizierung: Viele eingebettete Webserver bieten keinen oder nur einen rudimentären Passwortschutz. Wird der Webserver direkt über Port-Forwarding erreichbar gemacht, kann jeder mit der richtigen URL darauf zugreifen.
- Unverschlüsselte Übertragung: Webserver in Steuerungen unterstützen häufig nur HTTP, kein HTTPS. Übertragene Daten, einschließlich Passwörter und Prozessdaten, sind damit im Klartext lesbar.
- Veraltete Firmware: Eingebettete Systeme erhalten selten regelmäßige Sicherheitsupdates. Bekannte Schwachstellen bleiben oft über Jahre ungepatcht.
- Fehlende Protokollierung: Wer wann auf die Weboberfläche zugegriffen hat, lässt sich bei direktem Port-Forwarding kaum nachvollziehen.
Eine sichere Lösung für den Remote-Zugriff auf SPS-Webserver muss daher mindestens folgende Anforderungen erfüllen: verschlüsselte Übertragung, starke Benutzerauthentifizierung, Zugriffskontrolle auf Nutzerebene und eine Protokollierung aller Zugriffe. Methoden, die diese Anforderungen nicht erfüllen, sollten im industriellen Umfeld nicht eingesetzt werden.
Web-Routing mit einer Cloud-Plattform umsetzen
Nachdem Sie die Grundlagen, Methoden und Risiken kennen, geht es um die praktische Umsetzung. Cloud-Plattformen für industrielle Fernüberwachung bieten heute integrierte Lösungen für das Web-Routing, die speziell auf die Anforderungen der Anlagentechnik zugeschnitten sind.
Das Prinzip funktioniert so: Ein lokaler Cloud-Adapter wird im Anlagennetzwerk installiert und baut eine ausgehende, verschlüsselte Verbindung zur Cloud-Plattform auf. Über diese Verbindung können lokale Weboberflächen, zum Beispiel die HTML-Visualisierung einer SPS oder die Konfigurationsseite eines Frequenzumrichters, direkt in die Cloud-Oberfläche eingebettet werden. Der Nutzer sieht die lokale Webseite in seinem Browser, ohne dass eine direkte Netzwerkverbindung zur Anlage besteht.
Für Automatisierungstechniker bietet dieser Ansatz konkrete Vorteile gegenüber klassischen Methoden:
- Keine Änderungen an der Firewall-Konfiguration notwendig, da nur ausgehende Verbindungen genutzt werden
- Keine feste öffentliche IP-Adresse oder DNS-Konfiguration erforderlich
- Zugriffskontrolle über eine zentrale Benutzerverwaltung mit Multifaktorauthentifizierung
- Verschlüsselung der Daten bereits auf Ebene des Cloud-Adapters, nicht erst am Router
- Einbettung beliebiger lokaler Webinhalte, von der SPS-Visualisierung bis zur Konfigurationsseite eines Netzwerkgeräts
Ergänzend zum Web-Routing lassen sich über dieselbe Infrastruktur auch VNC-Verbindungen zu Panels sowie Kamera-Streams integrieren. Wer mehrere Zugriffsarten kombinieren möchte, findet in einem Vergleich der Möglichkeiten für sicheren Fernzugriff eine gute Orientierung, welche Methode für welchen Anwendungsfall am besten geeignet ist.
Wie wir Web-Routing und Fernzugriff in der Praxis unterstützen
Wir bei AnyViz haben unsere Cloud-Plattform von Grund auf für genau diese Anforderungen entwickelt: lokale Weboberflächen sicher und ohne aufwendige Netzwerkkonfiguration aus der Ferne zugänglich zu machen. Dabei ersetzen wir keine bestehenden Lösungen, sondern erweitern sie um leistungsstarke Fernzugriffsfunktionen.
Was wir konkret für das Thema Web-Routing und Fernzugriff auf Anlagen-Weboberflächen bieten:
- Einbettung lokaler Webvisualisierungen: HTML-basierte Visualisierungen von SPS, HMIs oder Feldgeräten lassen sich direkt in AnyViz-Ansichten integrieren und sind für berechtigte Nutzer weltweit erreichbar.
- Keine Firewall-Öffnung notwendig: Unser Cloud-Adapter baut ausgehende Verbindungen auf. Die bestehende Firewall-Konfiguration bleibt unverändert.
- Verschlüsselte Kommunikation: Unser eigens entwickeltes Kommunikationsprotokoll verschlüsselt Daten bereits auf Steuerungsebene, nicht erst auf dem Transportweg.
- Umfangreiche Benutzerverwaltung: Zugriffsrechte lassen sich granular pro Nutzer vergeben, ergänzt durch Multifaktorauthentifizierung für zusätzliche Sicherheit.
- Kombinierbar mit VNC und Kamera-Streams: Neben lokalen Weboberflächen können auch Panel-Inhalte per VNC und IP-Kamera-Streams in dieselbe Oberfläche eingebunden werden.
- Schnelle Inbetriebnahme: Die Anbindung gelingt in wenigen Minuten, ohne Programmierkenntnisse und ohne aufwendige IT-Infrastruktur.
Wenn Sie die Möglichkeiten selbst erkunden möchten, können Sie sich kostenlos registrieren und die Plattform testen. Die Mirasoft GmbH & Co. KG stellt alle notwendigen Komponenten für die Anbindung kostenlos zur Verfügung, für Linux, Windows und eine Vielzahl gängiger Steuerungsplattformen.