Fernwartung in der Produktion sicher organisieren

Fernwartung als Standardablauf statt als spontanen Zugriff behandeln

Fernwartung in der Produktion ist dann kontrollierbar, wenn jeder Einsatz einer Standard Operating Procedure, kurz SOP, folgt. Diese verbindliche Arbeitsanweisung beschreibt sieben Schritte: Antrag, Freigabe, Wartungsfenster, Begleitung, Abnahme, Schliessung und Notfallentzug. Technik wie VPN, Mehrfaktorauthentifizierung oder ein Wartungsrechner unterstützt diesen Ablauf, ersetzt ihn aber nicht.

In vielen Betrieben entstehen Fernzugänge einzeln: Eine Maschinenlieferantin richtet bei der Inbetriebnahme eine Verbindung ein, ein Integrator benötigt Zugriff auf die Steuerung, und die Instandhaltung möchte bei einer Störung rasch reagieren. Ohne gemeinsamen Prozess bleiben Zugriffsrechte, Zeitfenster und Verantwortung uneinheitlich. Für Industriebetriebe sollte deshalb vor jedem Zugriff klar sein, wer ihn beantragt, wer ihn fachlich genehmigt und wer ihn technisch öffnet und wieder schliesst.

Voraussetzungen für die SOP einmalig festlegen

Die SOP kann nur funktionieren, wenn die erreichbaren Anlagen und zugelassenen Zugangswege bekannt sind. Führen Sie pro Maschine oder Anlage ein kurzes Stammblatt mit interner Verantwortung, Servicepartner, technischem Ziel, erlaubtem Zugangsweg und Kontakt für Störungen. Halten Sie auch fest, welche Verbindung ausdrücklich nicht verwendet werden darf.

Zur Operational Technology, kurz OT, gehören Steuerungen, Maschinen und technische Systeme, die physische Prozesse beeinflussen. Ihre Risiken und Wiederanlaufanforderungen müssen gemeinsam mit Produktion, Instandhaltung, IT und dem Anlagenpartner beurteilt werden. Eine vertiefte Einordnung bietet der Artikel OT-Sicherheit für vernetzte Anlagen.

Der Fernzugang sollte auf das notwendige Ziel begrenzt sein. Ein VPN verschlüsselt die Verbindung, gewährt aber je nach Konfiguration trotzdem eine grosse Reichweite. Segmentierung trennt Netzbereiche und erlaubt nur definierte Übergänge; der Leitfaden zur Netzwerksegmentierung für KMU erklärt die Planung. Für die SOP genügt die klare Vorgabe: Zugelassen ist nur der dokumentierte Zugang zum bezeichneten Zielsystem. Abweichungen benötigen eine neue Prüfung.

Schritt 1: Antrag vollständig erfassen

Die anfordernde Stelle eröffnet vor der Wartung einen Auftrag oder ein Ticket. Darin stehen mindestens Anlass, betroffene Anlage, gewünschtes Ergebnis, externe Fachperson, geplante Arbeiten und vorgeschlagenes Zeitfenster. Bei einer Störung kann der Antrag kurz sein, muss aber trotzdem eine eindeutige Zuordnung ermöglichen. Telefonische Absprachen werden im Auftrag nachgeführt.

Der Antrag nennt auch erwartete Auswirkungen: Muss die Maschine stehen? Können Funktionen während der Arbeit eingeschränkt sein? Ist ein Neustart vorgesehen? Welche Konfiguration soll vorher gesichert werden? Unklare Formulierungen wie «Anlage prüfen» reichen nicht, wenn dafür weitreichende Änderungen möglich wären.

Schritt 2: Fachlich und technisch freigeben

Die fachlich verantwortliche Person beurteilt, ob Aufgabe und Zeitpunkt mit der Produktion vereinbar sind. Die technisch verantwortliche Stelle prüft Konto, Ziel, Zugangsweg und benötigte Berechtigung. Bei externen Personen werden persönliche Konten verwendet, soweit die Umgebung dies unterstützt. Gemeinsame Lieferantenkonten erschweren die Zuordnung und sollten nicht der Normalfall sein.

Die Freigabe nennt ausdrücklich, was erlaubt ist. Diagnose, Konfigurationsänderung, Softwareaktualisierung und Eingriff in eine Steuerungslogik sind unterschiedliche Tätigkeiten. Änderungen an Schutzfunktionen oder anderen sicherheitsrelevanten Funktionen benötigen vor der Ausführung eine fachliche Prüfung durch die für Anlage und Sicherheit zuständigen qualifizierten Personen. Fernzugriff ist keine Freigabe, solche Änderungen ohne diese Beurteilung vorzunehmen. Herstellerangaben, betriebliche Vorgaben und die konkrete Risikobeurteilung bleiben massgebend.

Schritt 3: Wartungsfenster vorbereiten

Vor Beginn bestätigt die koordinierende Person Zeitpunkt, erwartete Dauer und erreichbare Beteiligte. Erforderliche Sicherungen werden erstellt oder ihr aktueller Stand wird geprüft. Der Rückweg muss verständlich sein: Wer kann eine Änderung zurücknehmen, welche Konfiguration wird benötigt und wann wird die Wartung abgebrochen?

Der technische Zugang wird möglichst erst für das freigegebene Fenster aktiviert oder zeitlich befristet. Wo möglich, schützen persönliche Anmeldung und ein zweiter Anmeldenachweis das Konto. Die Reichweite bleibt auf die bezeichnete Maschine oder einen kontrollierten Wartungsrechner beschränkt. IT Security und OT-Sicherheit verbindet diese technischen Kontrollen mit den betrieblichen Zuständigkeiten.

Schritt 4: Zugriff intern begleiten

Eine benannte interne Person begleitet die Sitzung oder bleibt während weniger kritischer Arbeiten unmittelbar erreichbar. Sie bestätigt den Start, kennt den Auftrag und kann bei Abweichungen stoppen. Die Begleitung ist nicht bloss technisches Zuschauen: Sie stellt sicher, dass nur die freigegebenen Arbeiten ausgeführt und unerwartete Auswirkungen sofort eingeordnet werden.

Wesentliche Handlungen werden im Auftrag dokumentiert. Zugangsprotokolle sollen mindestens erkennen lassen, welches Konto sich wann mit welchem Ziel verbunden hat. Ob weitergehende Aufzeichnungen zulässig und angemessen sind, muss anhand der konkreten technischen, betrieblichen und datenschutzrechtlichen Anforderungen geprüft werden.

Schritt 5: Ergebnis fachlich abnehmen

Nach den Arbeiten beschreibt die Serviceperson Änderungen, Tests und offene Punkte. Die fachlich verantwortliche Stelle prüft die Anlage anhand zuvor festgelegter Kriterien. Ein erfolgreicher Verbindungsaufbau oder ein abgeschlossenes Lieferantenticket ist noch keine Abnahme. Entscheidend ist, ob die betroffenen Funktionen im vorgesehenen Betriebszustand geprüft wurden.

Bei Änderungen an Steuerungen, Schutzfunktionen oder sicherheitsrelevanten Parametern legt die fachliche Prüfung fest, welche Tests vor einer Wiederaufnahme erforderlich sind und wer diese bestätigt. Gibt es Zweifel, bleibt die Anlage im dafür vorgesehenen sicheren Zustand, bis die zuständigen Fachpersonen entschieden haben. Dieser Hinweis ist eine Prozessanforderung, keine Behauptung über eine bestimmte Norm.

Schritt 6: Zugang schliessen und Auftrag abschliessen

Nach der Abnahme beendet die externe Person die Sitzung. Die technische Stelle deaktiviert den temporären Zugang oder prüft, ob die automatische Befristung gegriffen hat. Offene Tunnel, Umleitungen und provisorische Konten werden entfernt. Der Auftrag enthält Beginn und Ende, beteiligte Personen, ausgeführte Änderungen, Abnahme und allfällige Folgearbeiten.

Bei wiederkehrenden Wartungen bleibt das Konto nicht automatisch dauerhaft aktiv. Die Berechtigung kann vorbereitet sein, der eigentliche Zugriff wird aber nach der festgelegten Regel pro Einsatz freigegeben. Prüfen Sie periodisch, ob Lieferanten, Ansprechpersonen und Zielsysteme noch stimmen.

Schritt 7: Notfallentzug jederzeit ermöglichen

Die SOP braucht einen sofort nutzbaren Abbruchweg. Definieren Sie, wer einen laufenden Zugriff sperren darf, wie die Verbindung technisch getrennt wird und wen diese Person danach informiert. Gründe können eine Abweichung vom Auftrag, ein verdächtiges Verhalten, eine unerwartete Anlagenreaktion oder der Verlust eines Lieferantenkontos sein.

Der Notfallentzug muss auch funktionieren, wenn die reguläre Administration nicht erreichbar ist. Hinterlegen Sie deshalb benannte Rollen, Kontaktwege und eine kurze technische Anleitung. Nach dem Entzug werden Ereignis, Anlagenzustand und nächste Entscheidung dokumentiert. Bei einem vermuteten Sicherheitsvorfall gelten zusätzlich die vorbereiteten Melde-, Isolations- und Wiederanlaufprozesse.

SOP-Checkliste für jeden Einsatz

• Antrag mit Anlage, Aufgabe, Person und Auswirkung erfasst
• fachliche und technische Freigabe dokumentiert
• Wartungsfenster, Begleitung und Abbruchkriterien bestätigt
• Sicherung und Rückweg geprüft
• persönlicher, begrenzter und befristeter Zugang aktiviert
• wesentliche Arbeiten und Abweichungen protokolliert
• Funktion durch die zuständige Stelle fachlich abgenommen
• Verbindung, provisorische Rechte und Konten geschlossen
• Notfallentzug, Kontakte und Folgearbeiten dokumentiert

Testen Sie die SOP zuerst an einem planbaren Wartungseinsatz. Danach sollten Produktion, Instandhaltung, IT und Servicepartner gemeinsam prüfen, welche Schritte unklar oder im Störungsfall zu langsam wären. So entsteht ein Ablauf, der Fernwartung ermöglicht, ohne die Kontrolle über Maschine, Zeitpunkt und Verantwortung abzugeben.