Auf das Netzwerk einer Anlage lässt sich aus der Ferne über verschiedene Methoden zugreifen: klassische VPN-Verbindungen, Cloud-basierte Portallösungen sowie Protokoll-spezifische Fernwartungszugänge sind die gängigsten Ansätze. Welche Methode am besten geeignet ist, hängt von der vorhandenen Infrastruktur, den Sicherheitsanforderungen und dem gewünschten Komfort bei der Einrichtung ab. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um den industriellen Fernzugriff auf Steuerungsnetzwerke.
Welche Methoden ermöglichen den Fernzugriff auf ein Anlagennetzwerk?
Für den Fernzugriff auf ein industrielles Anlagennetzwerk stehen im Wesentlichen drei Methoden zur Verfügung: VPN-Verbindungen, Cloud-basierte Portallösungen und direkte Protokollzugänge über das Internet. Jede Methode bietet unterschiedliche Kompromisse zwischen Sicherheit, Einrichtungsaufwand und Flexibilität.
VPN-Verbindungen
Ein Virtual Private Network (VPN) baut einen verschlüsselten Tunnel zwischen dem Fernwartungsrechner und dem Anlagennetzwerk auf. Der Techniker arbeitet dabei so, als wäre er physisch vor Ort. Klassische VPN-Lösungen erfordern jedoch eine feste IP-Adresse, Portfreigaben in der Firewall sowie eine sorgfältige Konfiguration auf beiden Seiten. Das macht sie leistungsfähig, aber auch aufwendig in der Einrichtung und Pflege.
Cloud-basierte Portallösungen
Moderne Cloud-Portale verbinden die Anlage über einen lokal installierten Adapter mit einer zentralen Plattform. Der Fernzugriff erfolgt dann über den Browser oder einen leichtgewichtigen Client, ohne dass die Firewall eingehende Verbindungen zulassen muss. Diese Methode eignet sich besonders gut für Szenarien, in denen keine feste IP-Adresse vorhanden ist oder der Konfigurationsaufwand gering bleiben soll.
Protokollspezifische Fernzugänge
Für bestimmte Anwendungsfälle lassen sich auch einzelne Dienste gezielt freischalten, etwa ein Webserver der Steuerung oder ein VNC-Server für den Zugriff auf ein lokales HMI-Panel. Diese Methode ist oft die einfachste, birgt aber das höchste Sicherheitsrisiko, wenn sie ohne zusätzliche Absicherung betrieben wird.
Wie sicher ist der Fernzugriff auf industrielle Steuerungsnetzwerke?
Der Fernzugriff auf industrielle Steuerungsnetzwerke ist sicher, wenn er auf verschlüsselter Kommunikation, starker Benutzerauthentifizierung und einer klar definierten Netzwerktrennung basiert. Unsichere Implementierungen, etwa offene Ports ohne Authentifizierung, stellen dagegen ein erhebliches Risiko dar.
Zu den wichtigsten Sicherheitsmerkmalen einer zuverlässigen Fernzugriffslösung gehören:
- Ende-zu-Ende-Verschlüsselung: Alle übertragenen Daten werden bereits auf Steuerungsebene verschlüsselt, bevor sie das lokale Netzwerk verlassen.
- Benutzerauthentifizierung: Jeder Zugriff erfordert eine eindeutige Anmeldung, idealerweise mit Zwei-Faktor-Authentifizierung.
- Keine eingehenden Verbindungen: Seriöse Cloud-Lösungen bauen die Verbindung von der Anlage zur Cloud auf, nicht umgekehrt. Die Firewall muss keine Ports öffnen.
- Netzwerksegmentierung: Das Steuerungsnetzwerk bleibt vom Internet getrennt, etwa durch ein Edge Device mit zwei Ethernet-Ports oder eine serielle Schnittstelle als Datenpfad.
- Rollenbasierte Zugriffsrechte: Verschiedene Benutzer erhalten nur die Berechtigungen, die sie für ihre Aufgaben tatsächlich benötigen.
Besonders kritisch ist die Netzwerktrennung: Wenn der Cloud-Adapter über einen separaten Ethernet-Port mit dem Internet kommuniziert, während der erste Port ausschließlich mit der Steuerung verbunden ist, bleibt das Steuerungsnetzwerk vollständig isoliert. Alternativ lässt sich die Datenanbindung über eine serielle Schnittstelle wie Modbus RTU oder M-Bus realisieren, sodass die Steuerung physisch vom Netzwerk getrennt bleibt.
Was passiert beim Fernzugriff, wenn die Internetverbindung unterbrochen wird?
Wird die Internetverbindung während des Fernzugriffs unterbrochen, hängt das Verhalten von der eingesetzten Lösung ab. Bei gut konzipierten Cloud-Plattformen werden Prozessdaten lokal auf dem Cloud-Adapter zwischengespeichert und nach Wiederherstellung der Verbindung automatisch synchronisiert. Der Datenverlust ist damit minimal oder vollständig vermeidbar.
Für den aktiven Fernzugriff, etwa eine laufende VPN-Sitzung oder eine Fernsteuerungsaktion, bedeutet ein Verbindungsabbruch in der Regel, dass die Sitzung unterbrochen wird und manuell neu aufgebaut werden muss. Kritische Steuerungsaufgaben sollten daher so ausgelegt sein, dass die SPS auch ohne aktive Fernverbindung autonom und sicher weiterarbeitet.
Für Standorte mit instabiler Internetverbindung empfiehlt sich eine Anbindung über 4G/LTE als Fallback. Viele Edge Devices unterstützen diese Option direkt, sodass bei einem Ausfall der Festnetzverbindung automatisch auf Mobilfunk umgeschaltet wird. Das Datenvolumen moderner Übertragungsprotokolle ist dabei so optimiert, dass selbst langsame Mobilfunkverbindungen ausreichen. Pro Datenpunkt fallen durchschnittlich nur wenige Megabyte pro Monat an.
Welche Protokolle werden für den industriellen Fernzugriff unterstützt?
Für den industriellen Fernzugriff auf Steuerungsnetzwerke werden vor allem OPC-UA, Modbus TCP, Modbus RTU, Siemens TCP, Beckhoff ADS, EtherNet/IP, BACnet, M-Bus, CODESYS und MQTT unterstützt. Diese Protokolle decken den Großteil der in der Praxis eingesetzten Steuerungen und Feldgeräte ab.
Die Wahl des Protokolls richtet sich nach der vorhandenen Steuerungslandschaft:
- OPC-UA: Der offene Industriestandard für herstellerübergreifende Kommunikation, besonders geeignet für moderne Anlagen und Industrie-4.0-Szenarien.
- Modbus TCP / Modbus RTU: Weit verbreitet in der Energietechnik und bei älteren Anlagen; RTU läuft über serielle Schnittstellen wie RS-485.
- Siemens TCP: Direktanbindung an Siemens-Steuerungen ohne zusätzliche OPC-Server-Software.
- BACnet: Standard in der Gebäudeautomation für HLK-Systeme und Energiemanagement.
- M-Bus: Speziell für Zähler und Messgeräte in der Energieerfassung, oft über RS-232 mit Pegelwandler.
- MQTT: Leichtgewichtiges Publish-Subscribe-Protokoll, ideal für IoT-Szenarien mit vielen verteilten Geräten.
Für gemischte Anlagenlandschaften mit verschiedenen Steuerungsherstellern ist OPC-UA in der Regel die erste Wahl, da es eine einheitliche Schnittstelle über Hersteller- und Systemgrenzen hinweg bietet. Bei älteren Anlagen ohne Ethernet-Anbindung bleibt Modbus RTU über serielle Schnittstellen oft die einzige praktikable Option.
Wie schnell lässt sich ein Fernzugriff auf eine Anlage einrichten?
Mit modernen Cloud-basierten Lösungen lässt sich ein Fernzugriff auf eine Anlage in wenigen Minuten einrichten. Voraussetzung ist ein Internetanschluss am Standort sowie ein kompatibler Cloud-Adapter, der auf einem vorhandenen Edge Device oder direkt auf der Steuerung installiert wird. Eine Neuprogrammierung der SPS ist nicht erforderlich.
Der typische Ablauf sieht so aus:
- Cloud-Adapter auf dem Edge Device oder der Steuerung installieren (verfügbar für Linux, Windows und verschiedene Steuerungsplattformen).
- Verbindung zur Cloud-Plattform herstellen, indem der Adapter mit den Zugangsdaten des Portals konfiguriert wird.
- Kommunikationsprotokoll auswählen und die Steuerungsadressen angeben.
- Fernzugriff aktivieren, etwa VPN für den Netzwerkzugriff oder VNC für den Zugriff auf lokale Panels.
Klassische VPN-Lösungen erfordern dagegen deutlich mehr Vorarbeit: feste IP-Adressen, DNS-Konfiguration, Portfreigaben in der Firewall und die Installation sowie Pflege von VPN-Servern und Clients auf beiden Seiten. Der Zeitaufwand liegt hier je nach Infrastruktur bei Stunden bis Tagen. Cloud-Portallösungen reduzieren diesen Aufwand erheblich, weil die Verbindung von der Anlage zur Cloud aufgebaut wird und keine eingehenden Verbindungen in der Firewall freigegeben werden müssen.
Wann ist eine Cloud-Plattform die bessere Wahl als ein klassisches VPN?
Eine Cloud-Plattform ist die bessere Wahl, wenn keine feste IP-Adresse vorhanden ist, der Konfigurationsaufwand gering bleiben soll oder mehrere Standorte zentral verwaltet werden müssen. Klassische VPN-Lösungen sind dagegen sinnvoll, wenn vollständige Kontrolle über die Netzwerkinfrastruktur gefordert ist oder regulatorische Vorgaben eine On-Premises-Lösung vorschreiben.
Im direkten Vergleich zeigen sich klare Unterschiede:
- Einrichtungsaufwand: Cloud-Plattformen benötigen keine feste IP, kein DNS und keine Firewall-Konfiguration. VPN erfordert all das.
- Skalierbarkeit: Bei vielen Standorten wächst der Verwaltungsaufwand klassischer VPN-Lösungen erheblich. Cloud-Portale verwalten beliebig viele Standorte zentral über eine Oberfläche.
- Datenzugriff: Cloud-Plattformen bieten neben dem Netzwerkzugriff auch direkte Visualisierung, Alarmierung und Datenanalyse. Ein reines VPN liefert nur den Netzwerktunnel.
- Mobilfunkanbindung: Standorte ohne Festnetz lassen sich über 4G/LTE problemlos anbinden. VPN-Lösungen funktionieren zwar auch über Mobilfunk, sind aber auf optimierte Übertragungsprotokolle angewiesen.
- Neue Geschäftsmodelle: Wer Maschinen als Service vermietet statt verkauft, benötigt dauerhaften Fernzugriff für Wartung und Monitoring. Cloud-Plattformen unterstützen dieses Modell direkt, ohne dass der Kunde eigene VPN-Infrastruktur betreiben muss.
Für Automatisierungstechniker, die mehrere Anlagen bei verschiedenen Kunden betreuen, ist die Cloud-Plattform in den meisten Fällen die praktischere Wahl. Wer dagegen eine einzelne, hochsensible Anlage mit strengen Sicherheitsanforderungen betreibt und die volle Kontrolle über jeden Netzwerkknoten behalten möchte, kann mit einem klassischen VPN besser bedient sein. Viele moderne Lösungen kombinieren beide Ansätze: Die Cloud übernimmt Monitoring und Visualisierung, während ein integrierter VPN-Fernzugriff bei Bedarf den vollständigen Netzwerkzugang ermöglicht.
Wie wir bei AnyViz den Fernzugriff auf Anlagennetzwerke unterstützen
Wir von AnyViz haben eine Cloud-Plattform entwickelt, die Fernüberwachung, Fernsteuerung und Netzwerkzugriff in einer einzigen Lösung vereint, ohne dass Sie dafür feste IP-Adressen, aufwendige Firewall-Konfigurationen oder separate VPN-Server benötigen. Mirasoft, das Unternehmen hinter AnyViz, hat dabei konsequent auf einfache Inbetriebnahme und industrielle Sicherheitsanforderungen geachtet.
Was wir konkret für den Fernzugriff auf Ihr Anlagennetzwerk bieten:
- Integrierter VPN-Zugriff ohne Zusatzkosten: Mit zwei Klicks stellen Sie eine verschlüsselte 1-zu-1-Netzwerkverbindung zur entfernten Anlage her und arbeiten so, als wären Sie mit einem Netzwerkkabel verbunden.
- Keine feste IP-Adresse, kein DNS, kein Port-Forwarding: Unser Cloud-Adapter baut die Verbindung aktiv zur Plattform auf. Ihre Firewall muss keine eingehenden Verbindungen zulassen.
- Unterstützung aller gängigen Protokolle: OPC-UA, Modbus, Siemens TCP, Beckhoff ADS, BACnet, M-Bus, MQTT und weitere sind direkt integriert.
- VNC und lokale Visualisierungen einbetten: Vorhandene HMI-Panels und Web-Oberflächen lassen sich sicher in die Plattform einbinden, ohne bestehende Lösungen zu ersetzen.
- Datenpufferung bei Verbindungsunterbrechung: Fällt die Verbindung aus, speichert der Adapter die Daten lokal und synchronisiert sie automatisch nach Wiederherstellung.
- Optimiertes Übertragungsprotokoll: Auch langsame Mobilfunkverbindungen reichen für eine stabile Anbindung aus.
Wenn Sie die Möglichkeiten des industriellen Fernzugriffs selbst erkunden möchten, können Sie sich kostenlos registrieren und die Plattform mit Ihren eigenen Anlagen testen.