Auf den ersten Blick tun beide dasselbe. Ein Router im Büro verbindet Rechner mit dem Internet, ein Router im Schaltschrank verbindet eine Maschine mit dem Internet. Wer daraus schließt, dass sich ein handelsübliches Gerät aus dem Elektronikmarkt genauso gut hinter eine Steuerung klemmen lässt, unterschätzt allerdings, was in einer Produktionshalle passiert. Die Umgebung ist rauer, die Anforderungen an Sicherheit sind andere, und die Protokolle, die dort gesprochen werden, kennt kein Heimgerät. Die Unterschiede liegen weniger in der Geschwindigkeit als in Bauform, Netztrennung und Lebensdauer.
Zwei Netze, die sich nicht mögen
In jedem Betrieb existieren zwei Welten nebeneinander. Das Büronetz mit Mailservern, Laptops und Druckern gehört der IT. Das Maschinennetz mit Steuerungen, Bedienpanels und Sensoren gehört der Produktion, oft als OT bezeichnet. Beide haben unterschiedliche Prioritäten: In der IT zählt Vertraulichkeit, in der OT zählt Verfügbarkeit. Ein Patch, der einen Bürorechner kurz neu startet, ist harmlos. Derselbe Neustart an einer Steuerung stoppt die Linie.
Ein Router für die Maschine muss deshalb vor allem eines können: die beiden Netze sauber voneinander trennen. Die Steuerung darf nach außen kommunizieren, aber niemand aus dem Büronetz darf ungefragt in die Maschine hineinsehen. Umgekehrt darf ein kompromittiertes Maschinennetz nicht zum Sprungbrett in die Firmen-IT werden. Ein Bürorouter kennt diese Trennung nicht, weil er sie nie brauchte.
Was den Unterschied im Gehäuse macht
Der sichtbarste Unterschied ist die Bauform. Industriegeräte werden auf eine Hutschiene geklickt, versorgt aus der Schaltschrankspannung, und laufen dort jahrelang ohne Lüfter und ohne Neustart. Ein Gerät wie der IXrouter3 von IXON misst rund elf Zentimeter in der Breite und bringt vier LAN-Anschlüsse plus einen WAN-Anschluss mit, wahlweise ergänzt um ein Mobilfunkmodem oder WLAN. Die mehreren LAN-Ports sind kein Luxus: Steuerung, Panel und Kamera hängen so am Maschinennetz, während der WAN-Port die einzige Verbindung nach draußen bleibt.
Was ein industrie router gateway von einem Bürorouter darüber hinaus unterscheidet, ist die Ausrichtung auf den Maschinenbauer als Nutzer. Das Gerät wird beim Hersteller vorkonfiguriert, mit der Maschine ausgeliefert und beim Endkunden nur noch eingesteckt. Eine Dual-WAN-Option erlaubt es, das Gerät gleichzeitig ans Kundennetz und an ein eigenes Mobilfunkmodem zu hängen, sodass der Fernzugriff auch dann funktioniert, wenn die IT des Kunden keine Ports öffnen möchte.
Firewall, die nach innen und außen wirkt
Eine Firewall gehört heute in jedes Netzwerkgerät, aber die Richtung unterscheidet sich. Im Büro schützt sie das Innere vor dem Internet. Im Schaltschrank muss sie zusätzlich das Maschinennetz vor dem Kundennetz abschirmen und einzelne Servicetechniker auf einzelne Segmente beschränken. Wer nur das Panel warten soll, sieht dann auch nur das Panel, nicht die Steuerung daneben.
Dazu kommt, dass die Verbindung nach außen im Industrieumfeld fast immer als ausgehender, verschlüsselter Tunnel aufgebaut wird. Das Gerät meldet sich bei der Cloud, nicht umgekehrt. Damit entfällt die Notwendigkeit, eingehende Ports zu öffnen, die in vielen Betrieben ohnehin niemand freigeben würde.
Protokolle, die kein Heimgerät spricht
Eine Steuerung redet nicht in HTTP, sondern in Modbus TCP, OPC UA oder herstellerspezifischen Protokollen wie Siemens S7. Ein Industriegateway kann diese Protokolle nicht nur durchleiten, sondern selbst lesen: Es fragt Zählerstände, Temperaturen und Zustände direkt aus der Steuerung ab und puffert sie lokal, wenn die Internetverbindung ausfällt. Sobald die Leitung wieder steht, werden die gespeicherten Werte nachgereicht. Ein Bürorouter weiß nicht einmal, dass es diese Protokolle gibt.
Hardening über den gesamten Lebenszyklus
Der letzte Unterschied ist der unauffälligste und zugleich der wichtigste. Ein Heimrouter wird mit einem Standardpasswort ausgeliefert und nach drei Jahren nicht mehr aktualisiert. Für ein Gerät, das zehn Jahre an einer Maschine hängt, ist das keine Option. Nach eigenen Angaben liefert IXON seine Gateways mit individuellen Zugangsdaten pro Gerät, abgeschalteten ungenutzten Ports und standardmäßig verschlüsselter Kommunikation aus, mit automatischen Sicherheitsupdates über fünf Jahre. Die neueren Modelle sind zudem nach IEC 62443-4-2 zertifiziert, dem Standard für sichere Komponenten in der Automatisierung.
Das ist der Punkt, an dem der Vergleich endgültig auseinanderfällt. Ein Bürorouter ist ein Verbrauchsgut, das ersetzt wird, wenn es Probleme macht. Ein Industriegateway ist Teil der Maschine und muss so lange sicher bleiben wie die Maschine selbst. Wer zwischen beiden wählt, entscheidet also nicht über ein Netzwerkgerät, sondern darüber, wie gut die Produktion in zehn Jahren noch geschützt ist.
Bildquelle: OpenAI
Nach ihrem Studium im Jahr 2017 hat Anna eine Karriere in einer großen Unternehmensberatung im Bereich Organisationsentwicklung begonnen. Sie beschäftigt sich intensiv mit Veränderungsprozessen und dem Coaching von Mitarbeitenden im Change-Management.
