Phoenix Contact sichert IoT Geräte mit moderner PKI-Plattform

Phoenix Contact ist ein weltweit führendes Unternehmen der Automatisierungstechnik und entwickelt seit über 100 Jahren innovative Lösungen in der Verbindungstechnik, Elektronik und Automatisierung. Das Unternehmen mit Hauptsitz in Deutschland bedient verschiedene Branchen, darunter die industrielle Produktion, erneuerbare Energien und Infrastruktur.

Die Einhaltung von Vorschriften in der Automatisierungsfertigung ist schwierig, insbesondere wenn es um die Sicherung von IoT Geräten geht. Die Vorschriften ändern sich ständig. Doch Phoenix Contact sah eine Chance, wo andere eine Herausforderung sahen. Indem sie ihren Ansatz zur Public Key Infrastructure (PKI) überdachten, veränderten sie ihren gesamten Betrieb.

"Cybersicherheit ist eine sehr schwierige Angelegenheit, und bis vor kurzem hat sich niemand wirklich um die Cybersicherheit von Geräten in der Produktion gekümmert. Das ändert sich jetzt dank der zunehmenden Bedrohungslage und neuer europäischer Vorschriften", erklärt Lutz Jänicke, Corporate Product & Solution Security Officer bei Phoenix Contact. Dies war eine Gelegenheit, die Sicherheitslage des Unternehmens zu verbessern und seine Kunden zu schützen.

Vor allem zwei kürzlich erlassene Verordnungen haben europäische Unternehmen wie Phoenix Contact dazu veranlasst, die Cybersicherheit auf ein neues Niveau zu heben. Die erste, NIS 2, zielt auf die Betreiber ab, indem sie Sicherheitsstandards innerhalb der Unternehmen und in den Betrieben selbst einführt, während die zweite, CRA, sich auf Verbraucher- und Industrieprodukte und das darin gebotene Schutzniveau konzentriert.

Als Reaktion darauf stärkt Phoenix Contact das Cybersicherheitsmanagement für seinen Betrieb und baut sichere Prozesse für Geräteidentitäten als Teil der IoT Produktentwicklung auf. Viele dieser Prozesse gibt es bereits in verschiedenen Bereichen des Unternehmens, aber sie müssen nun durchgängig auf das gesamte Unternehmen und Produktportfolio ausgeweitet werden.

"Einer der wichtigsten Punkte ist die Integrität unserer Produkte. Daher müssen wir sicherstellen, dass unsere gesamte software und Firmware korrekt signiert ist, was ein starkes PKI-Programm zur Verwaltung dieser Signaturen und Zertifikate erfordert. Gleichzeitig wollen wir unseren Kunden die Möglichkeit geben, zu überprüfen, ob sie echte Phoenix Contact-Produkte kaufen. Das bedeutet, dass wir auch sichere Geräteidentitäten unterstützen müssen", erklärt Jänicke.

Konkret nennt Jänicke die IEC 62443, eine Norm für die industrielle Automatisierung, die den Einsatz sicherer digitaler Signaturen und sicherer digitaler Identitäten vorschreibt. Er merkt an, dass das Sicherheitsteam von Phoenix Contact derzeit daran arbeitet, sicherzustellen, dass sie diesen Standard in allen ihren Prozessen vollständig erfüllen können. Die Erfüllung dieses Standards war ein wichtiger Meilenstein auf dem Weg von Phoenix Contact zu einer hervorragenden Compliance.

Das Phoenix Contact-Team wusste, dass es eine PKI-Lösung brauchte, um seine Compliance-Ziele auf standardisierte und rationalisierte Weise zu erreichen. Die Marktrecherche zu möglichen Lösungen führte Jänicke zu Keyfactor EJBCA .

"Mir gefiel sofort, dass Keyfactor ein Community-Edition-Produkt hatte, das es uns ermöglichte, es ohne große Diskussionen zu evaluieren und uns von der Qualität des Angebots zu überzeugen. Und nachdem wir dieses Produkt genutzt und mit anderen Angeboten verglichen hatten, entschieden wir uns für eine langfristige Zusammenarbeit mit Keyfactor ", sagt er.

Jänicke merkt an, dass eines der größten Verkaufsargumente für Keyfactor die Flexibilität war, die es bot, mit Optionen für PKI as a Service und mehr. Mit Keyfactor hat Phoenix Contact einen Partner gefunden, der ihnen helfen kann, die Komplexität zu durchbrechen und die Kontrolle über ihre PKI zu übernehmen.

Darüber hinaus erfüllte Keyfactor alle Anforderungen von Phoenix Contact, einschließlich eines vollständig automatisierten Prozesses für die Ausstellung von Geräteidentitäten und die Unterstützung sicherer digitaler Signaturen für eine Vielzahl von Anwendungsfällen.

Auf der anderen Seite teilt Jänicke mit, dass die meisten anderen Angebote, die das Team evaluierte, nicht so robust waren wie Keyfactor und mehr manuelle Prozesse erforderten, was es insgesamt schwierig machte, die Qualität dieser Lösungen zu überprüfen.

Nach mehr als vier Jahren der Arbeit mit Keyfactor hat Phoenix Contact die Cybersicherheit im gesamten Unternehmen erfolgreich standardisiert und optimiert. Im Einzelnen nennt Jänicke drei Schlüsselbereiche, in denen sich die Arbeit an der Einführung von Keyfactor EJBCA auswirkt:

Phoenix Contact hat eine Vielzahl von Anwendungsfällen, und dies erfordert, dass das Sicherheitsteam zahlreiche verschiedene Arten von Signaturen unterstützt. Obwohl Jänicke feststellte, dass Keyfactor nicht alle diese Anwendungsfälle von Haus aus unterstützte, konnte er mit dem Team von Keyfactor zusammenarbeiten, um bei Bedarf zusätzliche Signaturformate zu entwickeln. Diese Flexibilität und Reaktionsfähigkeit erwies sich als wertvoll, um sicherzustellen, dass Keyfactor für alle laufenden Anforderungen des Unternehmens eingesetzt werden kann.

Darauf aufbauend stellt Jänicke fest, dass er immer wieder neue Wege findet, Keyfactor für verschiedene PKI-Anforderungen zu nutzen. Er erklärt: "Wir evaluieren derzeit, wie wir unsere Nutzung von Keyfactor für das Identitätsmanagement von Geräten ausweiten können, da sich der Ansatz, den wir zur Sicherung unserer Produkte verfolgen, ständig weiterentwickelt. Außerdem prüfen wir, wie wir ein Produkt wie Keyfactor Command nutzen können, um unser Zertifikats-Lebenszyklus-Management zu verbessern."