Ob Energieversorgung, Wasserwirtschaft oder Verkehr: In all diesen zentralen Sektoren der Versorgungsinfrastruktur müssen Betreiber kritischer Infrastrukturen (Kritis) die Anbindung von dezentralen Liegenschaften wie Umspannwerken, Pumpstationen, Stellwerken und technischen Außenstellen mit Leitstellen und Rechenzentren gewährleisten.
Weil die Übermittlung der Daten häufig über gemeinsam genutzte oder öffentliche Netze läuft, müssen Steuerungs-, Status- und Betriebsdaten über den gesamten Übertragungsweg abgesichert sein. Nur so lassen sich unerlaubte Zugriffe oder Manipulationen zuverlässig verhindern. Welchen Beitrag können Netzwerkverschlüsseler dabei leisten?
Wo Netzwerkverschlüssler zum Einsatz kommen
Die Herausforderung bei der Übertragung sensibler Daten zwischen Liegenschaften und Leitstellen liegt in der Nutzung potenziell unsicherer Netze. Auf ihrem Weg können Datenpakete abgefangen und manipuliert werden. Das können Netzwerkverschlüsseler verhindern.
Die Netzwerkverschlüsseler kommen an den Endpunkten der Übertragungsstrecke zum Einsatz. Im Netzwerk fungieren sie wie ein transparentes, verschlüsseltes Kabel. Die Übertragung wird abschnittweise auf einem Layer-2-Link zwischen dem Sender und Empfänger abgesichert. Die Ethernet-Verbindung zwischen zwei Standorten ist auf diese Weise durchgängig geschützt, die Kommunikation dabei komplett von sämtlichen Applikationen auf höheren Layern entkoppelt.
Diese Layer-2-Verschlüsselung findet auf der Sicherungsschicht im Netzwerk statt. Ein Verfahren, das das Bundesamt für Sicherheit in der Informationstechnik (BSI) für Kritis empfiehlt. Es definiert Layer-2-Verschlüsseler als "Produkttyp, der dazu dient, einen sicheren Austausch von sensiblen Daten zwischen vertrauenswürdigen Netzen über potentiell unsichere Netze auf der Netzwerkschicht 2 zu realisieren". Das BSI erteilt Netzwerkverschlüsselern, die dieses Profil erfüllen, eine offizielle Zulassung für die Übertragung von Verschlusssachen der Geheimhaltungsstufe "VS-NfD" (Verschlusssache – Nur für den Dienstgebrauch).
So eignen sich Netzwerkverschlüsseler besonders, um Umspannwerke, Windkraftanlagen sowie andere Außenstellen für kritische Liegenschaften über eigene oder öffentliche Netze vor Manipulationen zu schützen. Die Steuerungs-, Status- und Betriebsdaten werden mittels Layer-2-Verschlüsselung des OSI-Schichtenmodells direkt auf der Ethernet-Ebene abgesichert.
Vorteile der Layer-2-Verschlüsselung für Versorger
Die Betreiber gewachsener Kritis- und OT-Infrastrukturen (Von Englisch: Operational Technology, Betriebstechnologien) profitieren in mehrerlei Hinsicht von Layer-2-Verschlüsselern: Erstens erhöhen sie das Sicherheitslevel ihrer Standortkommunikation, ohne dass dafür die vorhandene Netzwerkarchitektur grundlegend neu aufgebaut werden muss. Vorhandene Netzwerkstrukturen, Anwendungen oder Betriebsprozesse müssen nicht aufwändig angepasst werden, sondern können weitgehend erhalten bleiben.
Zweitens kann mit Layer-2-Verschlüsselung eine deutlich höhere Performance bei geringeren Latenzzeiten erreicht werden. Durch ihren geringen Overhead bietet die Layer-2-Verschlüsselung klare Geschwindigkeitsvorteile. Im Gegensatz zur klassischen Layer-3-Verschlüsselung (wie IPsec-VPN) verschlüsselt Layer 2 die Daten direkt auf der Hardware-Ebene. Das macht sie zu einer ausgesprochen schnellen und effizienten Methode.
Sicherheit, die nicht zu Lasten der Leistung geht
In OT-Umgebungen ist Verfügbarkeit oberstes Gebot, aber auch die Integrität der Steuerungsdaten hat hohe Priorität. Kompromittierte oder manipulierte Datenpakete müssen zuverlässig identifiziert werden. Dabei dürfen zeitkritische Prozesse in punkto Performance nicht beeinträchtigt werden.
Mit einer FPGA-basierten Architektur lässt sich Verschlüsselung mit nur wenigen Mikrosekunden zusätzlicher Latenz und nahezu vollständiger Nutzung der verfügbaren Bandbreite realisieren. Damit eignet sich diese Verschlüsselungstechnologie selbst für datenintensive oder zeitkritische Kritis- und OT-Anwendungen.
Von Außenstellen bis hin zum Rechenzentrum
Das Spektrum der Anwendungsmöglichkeiten ist breit gefächert: Es reicht von der Anbindung dezentraler Kritis-Liegenschaften über die Standortvernetzung via Provider-Netzen bis zur Kopplung redundanter Rechenzentren. Die Layer-2-Verschlüsselung spielt ihre Stärken aber auch bei der Absicherung von Video-, Zutritts-, Alarm- und Sensordaten kritischer Gebäudeinfrastrukturen aus. Diese Daten werden auf dem gesamten Übertragungsweg vor Einsicht und Manipulation geschützt.
Mit Netzwerkverschlüsselern für Standort- und Edge-Anbindungen bis 10 GBit/s sowie Hochleistungsmodellen bis 100 GBit/s für Rechenzentrums- und Backbone-Verbindungen lassen sich unterschiedlichste Anforderungen an Bandbreite und Einsatzszenarien flexibel erfüllen.
Fazit: Datenübertragung lückenlos schützen
Für eine cyberresiliente Infrastruktur müssen Behörden und Kritis-Betreiber sichere Kommunikationswege etablieren, die die Nutzung öffentlicher Netze ermöglichen, ohne die Sicherheit und Integrität der Daten zu bedrohen.
Die Layer-2-Verschlüsselung setzt direkt auf dem Datenweg auf, um geschäftskritische Datenübertragung lückenlos zu schützen. Betreiber aus Versorgungswirtschaft und Verwaltung erreichen so eine leistungsfähige Security-Schicht für ihre kritische Infrastruktur, die Vertraulichkeit und Integrität mit geringer Latenz und hoher Bandbreite kombiniert
Gleichzeitig sind Netzwerkverschlüsseler relativ unkompliziert zu integrieren. Damit tragen sie maßgeblich zu leistungsfähigen und resilienten IT- und OT-Netzwerken bei.
