OT Security mit Max Weidele von sichere-industrie.de (2 von 2) #27

Moin zufolge 27 von einfach komplex. Heute geht es in Teil 2 des Gesprächs mit Max Weidel von sichereindustrie.de. Falls ihr den ersten Teil noch nicht gehört habt, würde ich euch empfehlen, die Folge 26 zunächst anzuhören. Dort geht es um Basics und Herausforderungen beim Thema OT Security, heute steigen wir direkt mit den Best Practices bei der OD Security ein und los geht's. Viel Spaß mit der Folge. Dann würde ich doch an dieser Stelle übergehen in die Best

Practices machst. Du hast da 5 Stück mitgebracht, die meisten davon sind jetzt schon gefallen im Gespräch, aber vielleicht gibt es noch eine kurze Einführung und dann dürft ihr wieder diskutieren. Also ich glaube, wenn man so in die Best practices halt reinguckt. Ich sag immer, es sind die uns sexy Basics. Es ist leider nach wie vor das das Zeug was man sage ich mal

was eigentlich alle wissen. Und dann reden wir über das Thema Netzwerk Architektur, wir reden darüber, uns zu überlegen, wie schützen wir auf netzwerkebene einzelne Produktionszellen vielleicht voreinander, gegeneinander. Und Netzwerkarchitektur klingt immer so einfach. In der Praxis sind es die schlimmsten Projekte überhaupt. Beispiel auch bei uns aus einem Projekt, Umfeld, Standort, 1000 Mitarbeiter, 4000 Assets, Netzwerk Architektur, Konzept, 100 Personen, Tage. So nur das Konzept.

Wir reden darüber, eine Netzwerk Konzeption zu entwickeln für einen Produktionsstandort so und das große Dilemma am Thema Netzwerk ist immer, ich sag mal ich schmeiß einen Stock in den Baum und ich krieg 20 zurück als Antwort und was meine ich damit ich da ein Netzwerk Projekt und ein netzwerkprojekt Trikot ganz schnell Active Directory, Zugriffsberechtigungen,

Fernwartung und und und. Trotzdem ist aber das Thema Zellen Schutz und Abkapseln von Netzwerk Bereichen ist der zentrale Dreh und Angelpunkt. Meiner gesamten OT und generell Security Strategie meist, aber es ist auch mit Abstand eines der schwersten Themen. Ich verstehe, dass man Netzwerke

Kapseln kann. Nesten kann ineinander und so weiter und ich verstehe auch den den Sinn, das hattest du ja vorher schon gesagt, dass wir irgendwas hochgeht, dann halt nicht gleich alles, also wie die Schotten im u Boot sag ich mal ja, säuft halt nur einen einen Raum ab so und der Rest ist noch trocken. Allerdings ist es ja so, dass wir, und das hat mir auch gerade, dass wir perspektivisch davon hin wollen, dass wir Transparenz schaffen.

Über alles. Und wenn wir das tun wollen, dann müssen wir doch wieder, das geht einfach nicht an, weil ich hier als softwerker müsst ihr doch wieder irgendwie auch Netze miteinander austauschen lassen können, weil wir sonst können, sonst haben wir einfach gekapselte Räume. Ist schön dann, aber dann muss ich da hingehen, mein Laptop da anklemmen und so und dann geh ich zum nächsten es ist nicht

praktikabel, das heißt? Bei aller lieben Trennung der Netzwerke wird es immer etwas geben und die haben ja auch Bridges oder Gateways oder wie auch immer. Also kleine Böckchen, ja die. Die dann doch technisches erlauben, dass die Netzwerke wenigstens temporär miteinander irgendwie verschaltet werden und auch zum Internet.

Ja, so, das hab ich erst mal kurz festgestellt, ich du nickst sehe ich schon eher nicht sehen, das scheint also scheint irgendwie zu sein und jetzt kommt meine wichtige Frage, ich werde ganz oft gefragt, bringt dann schon was wenn man diese

Zugänge nur temporär zulässt. Also wenn man sowas sagt und da gibt es viel Aufwand, dass man sagt okay ich schotte quasi abg Internet sag ich mal, dann in diesen lokalen OT Netzwerken sammeln irgendwelche Daten an dich o. Also vor Ort lokal hin speichert Irgendsowas, dann mach ich quasi kurz das Internet an, sag ich mal ja für ne halbe Stunde synchronisiert das alles mit meiner Cloud und mach Internet

wieder aus. Sagst du völliger Humbug und quatscht so, wenn du das Anmachst, dann hast du halt gemacht so oder bringt es tatsächlich irgendwie sogar die Zeitdimension reinzubringen ist eine sehr spezifische Frage ich mich, wie ich gerade jemanden hier irgendwie fest. Ich finde es ein bisschen schwierig. Aber ich kann keine dezidierte Antwort dazu geben. Ich sag mal so, na je weniger connect manchmal desto besser.

Aber es geht halt immer noch. Die Angriffs Vektoren hat zu beleuchten und die Frage ist ja immer was ist das für ein Kanal? In welcher Ecke geht der, wo schlägt er auf, ist darüber Rückkanal möglich ist, dass ein genereller Zugriff ins Internet oder. Heißt da sagen wir mal, dieses eine System mit diesem einen Port auf dieses dieses Protokoll genau dahin also sind viele, viele Facetten, die da halt irgendwie mit mit einspielen, kann halt ne Möglichkeit sein.

In dem Fall muss nicht sein und üblicherweise gibt es halt auch ganz viel, sagen wir mal drumherum ne. Eigentlich möchte ich immer die oder vielleicht anders als du den Sachverhalt davon so eingangs erläutert hattest. Die meisten bauen halt noch Netzwerke wie in den Achtzigern.

Netzwerkdesign wie in den Achtzigern also ich nehme irgendein altes Lehrbuch aus den Achtzigern raus, ja, so sehen die Netze noch heute aus, also, und wir haben auch also auch bei uns Leser auf dem Blog und oder auch Projekte, wo wir genau diese Frage halt einfach haben, die freuen sich eigentlich gerade oder haben sich bis vor kurzem noch gefragt, wir haben endlich durch segmentiert, wir haben das jetzt echt cool im Griff. Und dann sagt die

Geschäftsführung da oben, ich hätte jetzt Bock auf Datentransparenz. So, und dann haben wir ein echtes Problem, ne, weil jetzt geht es darum und. Und das ist genau so ein bisschen die Challenge dann im Bereich Netzwerk. Da, wo in der Vergangenheit halt wirklich, sagen wir mal sehr abgeschottete zählen Halt funktioniert haben, muss ich die jetzt aufmachen, muss gleichzeitig aber mehr Intelligenz in das Design halt reinbringen um mir da Lösungen zu überlegen.

Das heißt ich brauche zentrale Daten, übergabepunkte, ich brauche vielleicht ne One Way Kommunikation wirklich in einem bestimmten Sektor, ich brauche Netze, die vielleicht nur einmal im Monat für ein Wartungszyklus angeschlossen werden, kommen auf einmal in Ecken, die also viel komplexere. Einfach ne ganz andere Komplexität, halt einfach und benötigen und das ist gerade so ein bisschen auch die Challenge im Bereich der Netzwerk Architektur.

Das heißt auch, dass ich vielleicht Themen wie OPCUA Halt nutze und darüber halt vielleicht nicht alle meine Devices POPCUA vereinfacht gesagt Richtung Internet brüllen lasse, sondern ich sag halt, na ja, wir sprechen das sehr weit unten, wir sprechen das erstmal horizontal im Netz, sammeln das, geben das über einen Datenpunkt nach draußen und und das sind Modelle, die auf einmal dann so Netzwerk Architektur noch. Noch komplexer Halt werden lassen.

Und wenn man sich das jetzt noch also weiter anguckt, gerade der große Mittelstand hat da enorme Probleme, die sagen, na ja, wir entwickeln da jetzt eine passende Architektur, die sowas halt auch berücksichtigt. Ja, aber wenn man sich jetzt mal die Zeithorizonte anguckt, 100 Tage Aufwand für ein Standardkonzept, was passt für das Unternehmen? Jetzt haben die aber 16 Standorte. So, jetzt muss das noch ausgerollt werden.

Wir reden in diesem Größen Dimensionen schnell davon, dass ein Netzwerk Rollout ein bis 5 Jahre dauert, dann müssen Anlagenteile umgerüstet werden, da muss müssen Sachen vom Netz genommen werden, Down Times verplant werden, Material Ströme umgeleitet werden und jetzt muss man sich das Mal üben, vorstellen, dass so ein großer Mittelständler und ich rede jetzt vom großen Mittelständler, irgendwas zwischen 5000 und 10000 Mitarbeitern hat, jetzt da seine 15 Standorte.

Macht jetzt 100 Tage Netzwerk Konzern einen Standort und möchte das jetzt über die nächsten 4 Jahre an alle seine Standorte bringen. Was das heißt? Das ist, das ist krass. Also das ist so krass groß einfach. Und das ist gerade eine echte Challenge in Kombination wieder mit den Ressourcen Engpässen, auch intern. Und die Unternehmen kommen aber nicht drumherum, weil es also, weil es Themen sind, die sie 20

Jahre nicht gemacht haben. Sie haben 20 Jahre lang Ihre, sagen wir mal, ihre ihre OT nicht weiterentwickelt. Max, Challenge Dich nochmal noch ein Konzept. Es gibt ja die. Es gibt ja dieses Cloud, die Cloud Natives und so wie wir eigentlich sind, so irgendwie ne die es gibt ja auch den Begriff Embedded Cloud, den ich auch

ganz gerne mal fallen lasse. Jetzt haben wir ja genau das Gegenteil besprochen, wir haben besprochen, wir sind also quasi nahe, also nahe der Produktionsanlagen, wir wollen hier Netzwerke segmentieren und so weiter Daten vielleicht vor Aggregieren sammeln, Übergabepunkte klein und deutlich halten im krassen Kontrast dazu ist das, was wir

im Privaten schon machen, dass wir im Prinzip alle unsere Geräte. Irgendwas tun also mein Telefon, meine Smartwatch. Mein Was weiß ich so ja im Auto, Navigation und so weiter die kommunizieren ja alle selbstständig direkt mit der Cloud. Ja, also da haben wir quasi 0 Netz sondern einfach also ich ich formuliere es mal ganz krass hin so, ich hab meine Produktionsanlage und an die Steuerung klemme ich halt noch ne sim Karte ran ja also NGSM Modul.

Es gibt ja auch ja, und dann geh ich mit 5 g. Das ist jetzt übrigens auch was, wird ja, also brauchen wir 5 g und 6 g und so weiter weil wir wollten, das heißt ja, wir müssen die IOT Industrie 4 nach vorne bringen, so ja, aber das heißt n, das heißt dann, auf einmal habe ich 0 Netzwerk und jedes einzelne Gerät in meiner Produktion verbindet sich halt direkt mit der Cloud und das ganze Zusammengeschaltete verwalten und transparent gemacht passiert in der Cloud.

Ja, ich sag noch was provokatives vielleicht gar nicht so dumm, weil nur dass wir das Internet, also ich mag auch immer das böse Internet so, also wir können ja sehr sichere Verbindungen. Über lange Strecken nach Norden, so ganz im Süden sind wollen ganz nach Norden können wir trotzdem irgendwie über SL Verschlüsselung eine sichere Verbindung hinkriegen? Ja, wenn ich nur dem Traue, der da im Norden in der Wolke sitzt, so muss es keine schlechte Lösung sein sag ich. Was sagst du, Max?

Ich glaube, was man erstmal wissen muss ist, wir haben im Kontext der Produktion immer das Thema Geschwindigkeit und Reaktionszeiten. Das heißt, wir brauchen von dem einen Gerät zum anderen in einem sehr definierten Zeitpunkt eine Antwort. Eine Reaktion ist die nicht, da war, keine Ahnung warum nicht, eine Wolke zieht halt irgendwie oben drüber und wir haben keinen keinen Funk ne vereinfacht gesagt dann steht die Anlage. So, und deswegen sagt man halt

bestimmte Kommunikation so nah wie möglich an der Anlage. Halt einfach regeln. OK, das verstehe ich für die

korrigiere mich. Also jetzt sprechen wir mal nicht über die aktive Steuerung, sondern Transparentmachung heißt ja lesend irgendwie was sehen ne, also wenn jetzt der Chef sagt Ich will hier Transparenz haben, dann heißt das ja nicht, dass irgendwie Sekundentakt sehen will, sondern er will irgendwie einschätzen und sehend machen, da ist das kein Thema so, das kann ich ja auch neben dem, ich sag mal ja trotzdem letzten haben, sogar wenn sie sich irgendwie da gegenseitig

abstimmen müssen. Ein hoher Geschwindigkeit. Die Frage ist aus Netzwerk Sicht dann eher ein. Also ich, ich muss immer für Ordnung in meinem Netz sorgen, so und wenn ich sagen wir mal im im in der härtesten Ausprägung gesagt jedes Gerät funkt ins Internet jedes. Ist das ein Konzept, was man sicherlich mal spielen kann in Zukunft, was aber auch ganz andere Sachen voraussetzt? Nehmen wir mal an. Die weiß Security und und und. Also ganz viele verschiedene Themen, sichere Cloud

Plattformen und so weiter. Allein das alles ist ja schon so ein bisschen Utopie. Und dann kommt eigentlich Punkt. Ich möchte natürlich schon noch wissen, was hab ich denn alles, also was funkt alles in die Cloud, das heißt ich brauche irgendetwas vielleicht 147 das Tool dann was in der Lage ist mir dann zu sagen welche meine ganzen verschiedenen Anbieter,

Geräte, funken wohin und warum. Und da sage ich halt, die Frage ist ja auch immer mit, das ist auch ne andere Frage, mit welchen Mehrwert, also was ist der Mehrwert davon, wenn jedes Gerät direkt in die Cloud spricht, also was ist der Nachteil davon, wenn von den 100 Geräten die ich habe nicht 100 Geräte einfach auf alles auf das auf ein Gerät schicken und dann nach oben geben, also warum 100 mal direkt?

Sag ich dir, weil du gesagt hast, die Netzwerk Architektur 100 Tage. Und NGSM dran zu bleiben, gleich nur ein paar Cent, sondern ist fertig so.

Ja, mit dem wertvollen einfach. Ja, dass wir, aber wir reden dort von einer von einer anderen Art, von von Kommunikation also die Anlage legt ja ihre Daten zum Beispiel dann nicht in der Cloud Halt ab ne, sondern sie schiebt sie an die Anlage nebendran, sie schiebt sie anders, Unternehmens interne EP System, also wir haben ja verschiedene Arten von von Datenströmen und wenn ich beim Thema Cloud in der Produktion bin, dann sag ich halt immer, na ja, alles was da in diesem

Ökosystem predictive Maintenance. Unterwegs ist, das heißt irgendwelche Sensordaten auslesen, irgendwo verarbeiten, verwerten, analysieren, ja alles alles hoch damit in dem Moment, wo wir aber darüber sprechen, dass halt ein eine Siemens Workstation ein Projekt projektiert, was dann auf einer Anlage halt ausgerollt wird, dann passiert das üblicherweise Heil lokal. Das sind andere Arten von von Datenströmen.

Die Frage ist halt dann, ob ich halt, ich sag mal vielleicht eine Diskussion, ob ich halt ein lokales, also ich meine gesamte Verkabelung loswerde und das alles auf WLAN Basis Halt mache. Ne halte ich jetzt auch nichts von.

Und das Thema Funk in der Produktion ist oftmals ein heißes Thema, weil wenn ich mir so eine Produktion angucke, ich habe viel Metall, ich habe viele Bleche, ich habe Grundstrukturen, die alles andere sind, als um Funk durchzulassen, ne so, ich hab richtig richtig Probleme ganz oft da ich muss Löcher in die Beton Wände bauen um Funk von innen nach außen zu leiten, dann über eine Antenne also etwas halt ne teilweise kein Handyempfang.

Hat ja einen Grund warum die halt alle da ihre noch immer noch deckt. Anlagen halt überall ausrollen weil sie ihre Telefone da sonst nicht verwenden können. Ne und da wäre so also meine Antwort ist ich glaube alles das was ist auch das was wir gerade bekommen, wir kriegen immer mehr Predictive Maintenance Vielfalt, das heißt irgendwie Daten intern

erheben, irgendwohin leiten, irgendwo auswerten, unidirektionale Kommunikation in die Cloud auch nicht Echtzeit notwendig, nicht relevant, eher dashboard Design. Praktisch, wenn es halt mal ausfällt, ist doof, aber halt auch nicht. Die Produktion steht deswegen halt nicht und wir haben immer Kommunikation die wirklich dann Produkt absolut Produktions sagen wir mal auch Bandbreiten relevant vielleicht ist und die wird.

Sehr nah, immer in der Anlage passieren müssen, was aber vielleicht spannend ist, weil ich so sagte Unidirektionale Kommunikation, da wird was anderes kommen. Es wird nämlich eine bidirektionale Kommunikation kommen, das heißt, nehmen wir mal so n sehr ja, großes Beispiel vielleicht digital Twin, Mein Digital Twin läuft in der Cloud. Meine Daten kommen aus meiner Anlage in die Cloud, der macht dort oben etwas.

Rechnet da irgendetwas und gibt sein Ergebnis zurück zu mir an den Standort. Und dann habe ich die Rückkopplung. Ich bin jetzt nicht darauf angewiesen, dass der da oben in Echtzeit die Verbindung zwischen der Cloud und meiner Anlage Echtzeit ist.

Aber der hat die Daten halt da oben stückchenweise bekommen, hat sie verarbeitet, er schickt mir einen Ergebnis und ich hab das Ergebnis jetzt in meiner Anlage und kann sagen Scharfschalten so und und das das ist, das wird ein spannender Trend sein, weil da ist es nicht Zeit kritisch, aber es wird eine Rückkopplung geben zu dem was man rausgeflossen ist und wieder zurück gespielt wird und da bin ich mal gespannt was da noch da

noch kommt. Da wird eine Menge kommen, auch wenn man ich mein, wenn man sich die meisten Industrie 40 Modelle anguckt, dann ist es banales Predictive Maintenance, irgendwelche Werte von intern nach außen in einem hübschen Dashboard, das ist das, was wir alle machen, es darüber hinaus.

Auch zu schließen ist das richtig Mehrwert bietet nämlich dann kannst du ich hab ich hab ganz am Anfang so ein Beispiel genommen von meinem Staubsauger Roboter der spielt auch die Daten der auf dem Teppich festgefressen hat oder irgendwo nicht weiterkommt spielt er auch schon das Telefon und das Dashboard ging so aber wenn ich jetzt sagen könnte ich übernehme mal kurz deine Steuerung. Mit dem Telefon und ruckeln mal vor zurück, vor, zurück und er sagt mir ja nochmal rückwärts

und so weiter so jetzt bin ich wieder frei, fahr weiter und sauge weiter, während ich im Büro gesessen habe.

Bei der ganzen Aktion dann kommen wir nämlich dazu zu Mehrwert ist ein Staubsauger Roboter Beispiel es gibt s aber das kann man skalieren auf industrielle Anwendungen noch Löcher auch ein Grund warum wir warum wir existieren heißen wird, das ist natürlich ein Thema das wir auch scharf bearbeiten wollen so ich würde sagen wir sind natürlich total nah an diesen Anwendungen später weil die weil unsere Kunden da mit dem mit dem Low Code Tools quasi sich genau diese Dash

Boards, diese Ansichten von von Daten und so weiter. Claudia bauen ne, aber halt eben nicht nur die Dashboard, sondern hat auch quasi den Weg zurück. Haben wir quasi auch schon

vorbereitet. Ja und deswegen auch diese Experten bei uns dann hier müssen wir auch gucken, dass wir das möglichst sicher irgendwie gestalten, ne genau aber das, aber ich würde wahrscheinlich schon auch so sehen oder das würde ich daraus Diskussionen die Grundfunktionen Alität der Produktion zu produzieren wird lokal gelöst, während alles was optimiert aktuell noch also zum Beispiel Provence über die Cloud läuft und auch nicht realtime Anforderungen hat aber.

Da kommen wir wahrscheinlich. Ja. Vielleicht ist es am Ende nochmal, wo wir, ich glaube, es gibt halt ganz viele Anwendungsfälle, ne, also wir haben die Anwendungsfälle, die Personen kritisch Maschinen kritisch sind, wo wir extreme Realtime brauchen, jeden Fall zwischen den Geräten, dass Neuerungen, die absolut zuverlässig läuft, weil sonst hatte ich schon gesagt irgendwie Roboterarm mit irgendwie 200 Kilowatt gegen die Wand, so, ja

weil irgendwie zu spät das Signal kriegt aufzuhören, da sind wir nicht dabei, so ne, aber es gibt ja dann auf dem auf der Bandbreite der der Zeitdimension wir n bisschen 1000 anwendungen ja und wenn wir darüber die langsame zum Beispiel. So ein riesen Projekt, was sicher spannend finde, ist zum Beispiel auch Energieverteilung.

Ja, wenn die Kohlekraftwerke wir haben die Solar Dinger, wir haben die, also wir haben ja zig Abnehmer und Reingeben von Energie in das Netz und das ist alles ruhig, war langsam und ein bisschen schnell aber das kannst du ja super steuern ja über Cloud Sachen ja kannst du nich lesen und steuern, dann kannst du sagen Kohlekraftwerk jetzt kannst du mal ein bisschen runterfahren und das passiert ja nicht also das Kohlekraftwerk ja n runterfahren schon falls sie nicht 2 Stunden oder irgendwas

also das kannst du prima aber solche Cloud Lösungen lösen und da gibt es bestimmt noch 1000 andere Anwendungsfälle die.

Genau. Aber es muss halt, es muss halt irgendwie, und das ist also das hatten wir, ich habe das selber mit tatsächlich Berührungspunkte, nämlich bei dieser steuerungs Anlage, bei diesem Laser, das ist ja auch so, da gibt es gibt Systeme, das ist halt ein Hochvakuum und so weiter, gibt pumpen und so n Zeugs und da darf halt, das darf halt einfach nicht ausfallen, ja das ist halt ne gesamten gehen kaputt und es kostet viel Geld, wenn das Vakuum zum Beispiel da

ist und so weiter und gleichzeitig werden aber doch Steuerungssystem haben, also man will schon auch Ventile schalten und pumpen, pumpen ausschalten und so weiter und sofort ja das willst du schon auf das kann auch nicht jeder dürfen, so ja. Aber du willst halt quasi das Können von einem Rechner aus. Ja und und dann bist du auch auf dem TP Netz und dann hast du die Latenz ja und auch diese Dinger, selbst wenn sie nicht in der Cloud sind, haben wir ein gewisses Ausfallrisiko.

Ja wenn der Bagger da draußen das neue Gebäude macht und donnert das Kabel durch, dann ist halt dann war der Knopf für Pumpe außerhalb kommt dann an, ja. Und diese Probleme haben wir halt immer. Die kann man aber lösen, indem man quasi sagt, alles sicherheitsrelevante muss halt von den sogenannten PCS oder SPSN, da muss quasi so Not Lauf geben. Ja das wär nicht irgendwie nichts mehr höre Verbindung abgebrochen ist irgendwann irgendwie immer einen.

Für Geräte und Mensch und Maschine sicherer Zustand hergestellt werden können auf niedrigster Ebene. Es heißt aber nicht, dass ich nicht vielleicht steuern darf, ja von außen, das müssen wir sehr gut, Design glaube ich ja, das hatten wir natürlich ein bisschen mehr Vorteile, weil wir einen wie angefangen haben, wir jetzt in der Struktur gucken,

wie gewachsen ist das alles nicht mehr ganz so einfach ist schon klar. Also wir haben ja auch, sage ich mal, den klassischen Geschäftsführer sagt, Können wir das nicht alles in die Cloud packen. So, und und ich glaube, dass das das Thema ist, halt erstmal muss man sich darüber im Klaren sein Cloud es seltenst günstiger.

H also das muss man, muss das Finanzmodell Cloud sich immer genau angucken, was man halt da macht und man muss sich halt auch immer legen und das ist eigentlich die wichtigste Frage im Kontext der Produktion. Wie viele zusätzliche Unsicherheitsfaktoren bringe ich ins Spiel?

Auf einmal hänge ich wirklich vom Internetanschluss ab, auf einmal hänge ich wirklich von diesem einen Cloud Anbieter ab, auf einmal hänge ich wirklich von dem Betreiber der Cloud Infrastruktur ab, also ganz viele Themen dazwischen, auf die ich Zero Einfluss habe. Und, und das muss ich halt immer in Relation setzen zu dem, was ich halt bekomme, also eine wirtschaftliche Entscheidung ist eine strategische Entscheidung. Da gibt es auch keinen, kein richtig oder falsch.

Und wir drehen da auch so ein bisschen die Runde, vielleicht noch mal in Richtung Ressourcenmangel, Fachkräftemangel und viele Unternehmen versuchen, den Weg zu fahren in Richtung Outsourcing.

Exe über externe lösen und das ist nicht die Lösung so und die einzige Chance die ich halt habe, ist mich selbst als richtig geilen Arbeitgeber hat zu positionieren, so und dafür zu sorgen, dass ich noch Leute kriege, wenn andere Leute keine bekommen, dass ich Leute ausbilden und so weiter das ist, das ist nichts von jetzt auf gleich, aber das ist, was auf die nächsten 10 Jahre. So, und ich kann ja nicht.

Also wie schräg ist denn das bitte, ich gebe den Gesamtbetrieb meiner Kerninflation Ruktur gebe ich komplett nach extern, und ich habe selbst niemanden mehr, der das versteht, also bin ich denn wahnsinnig und ne, also das sind so. Das ist aber so ein Paradoxon bei aller Software man einfach weil man keinen Bock hat, sich damit zu befassen, aber man keinen, weil man es einfach nicht begreift, was wirklich komplex ist.

Das versuchen wir ja schon bisschen verbessern wir, fange ich an, wilde Sachen zu machen, ja bloß das vom Tisch haben, ja und? Outsourcen und sieht das genauso wie du magst, bin ich voll den krassen Punkt. Er ist ein wichtiger Punkt da und viele viele in einer Management Etage. Ich habe ich selber erlebt live in allen Bereichen unterschätzen komplett, dass das eigentlich also die Software und eine funktionierende Automatisierungstechnik und so weiter ist.

Ist die ist die Blutbahn? Sind die Adern ne, dann ist deines Körpers ja und wenn du. Und ich möchte doch immerhin für, also ich möchte ja auch mein Unternehmen weiterentwickeln, auf der technologischen Ebene und. Wer stellt mir dann sicher, dass auch die Dienstleister die ich habe, dich für den Dauerbetrieb einstellen? Dass die richtig coole Leute halt immer haben?

Also wer garantiert mir denn? Da ist der Dienstleister also ne, das ist also das ist ne ganz schwierige Spiel wo ich auf einmal meine meine sag ich mal meine Kernthemen hin verlagere und auch wenn selbst Unternehmer und ich kann immer nur sagen mit dem was ich inhouse erledigen kann, bin ich hundertmal schneller als mit externen so wenn ich den Experten inhouse habe, dann finde ich das heute mit dem Experten brauche ich einen Termin der holt seinen Kollegen dazu, der holt die

Agentur und so weiter so und das ist immer ein Abwägen, aber gerade wenn es um so Kern, Infrastruktur, Themen geht. Ich sag mal Übertragungstechnischen hat bei der Bundeswehr damals ganz gut gesehen. Die Bundeswehr hat alles an die B Halt ausgelagert und hatte selber keinen einzigen mehr, sag ich mal platt gesagt Cisco verstanden hat und musste das immer einkaufen.

Die konnten ihre eigene Infrastruktur sero machen und da muss man glaube ich echt aufpassen, wie man sich da positioniert, weil und da kommen wir noch ein bisschen in Richtung, vielleicht, ja, wie soll ich sagen, ja Trends vielleicht so ein bisschen so als kleinen Vorausblick. Die Automations wählt, wird sich noch viel mehr ändern als das, was wir jetzt gerade sehen. Das heißt, auch der Automatisierer, der heutzutage, sag ich mal SPSN programmiert.

Der wird immer mehr an das Thema Schnittstellen gehen, Daten bereitstellen, Daten integrieren. Das haben wir alles an vielen Ecken noch gar nicht, da kommt noch viel mehr auf uns zu, das heißt ohne ein cooles Recruiting Programm, ohne ein tolles Employer Branding und und und stehe ich nachher richtig alleine da.

Mein Bruder ist Instandhaltung Elektroniker in einem in einem Betrieb. Die Konfektionieren zum Beispiel Kabel und in diesem Bereich unterwegs und ich glaube so 200 Mitarbeitende vielleicht oder sowas in D. Ja und jetzt steiler wird natürlich auch für die Daten und die ich sag mal im weitesten Sinne.

Industrie 4.0 t plötzlich angefragt obwohl ja seine Kernaufgabe und nicht nur seine Aufgabe, aber des Teams ist natürlich, die Maschinen zu warten und wenn sie dann stehen sollten, möglichst schnell wieder in Gang zu kriegen, ne? Absolut. Und das wird richtig spannend. Also da kommt noch so viel auf die Leute zu.

OK, wir sind quasi bei den bei den beim Fundament, bei den Best Practices. Wir haben sind von der Netzwerk oder wir sind von der Netzwerk Segmentierung dem Netzwerk Schutz gekommen auf das Thema Kompetenz intern aufbauen und haben und sicherstellen, dass man nicht auf Externe angewiesen

ist. Ich glaube mit externen in dem Bereich zu arbeiten ist wahrscheinlich grundsätzlich nicht falsch und vielleicht gar nicht anders möglich in Anbetracht der Situation aber das Kern Know How das Kern wissen muss intern vorlegen und nicht. Muss von mindestens. Also ich brauche einen Plan um um mir irgendwie nen, dass ich muss langfristig halt irgendwie einen Plan überlegen und natürlich kann ich immer mit externen bestimmte Themen. Halt r machen und der Externe

ist also auch. Auch wir sind sicherlich Faktor x schneller, da jetzt netzwerkarchitektur halt an den Start zu bringen, aber muss sich genau überlegen wer betreibt die

denn nachher stellen wir bauen vielleicht Netzwerk Geräte ein, lassen wir das also einbauen vielleicht von externen ja aber das aber die interne Weiterentwicklung sollte vielleicht auch wirklich also von intern halt wie gesagt Halt passieren und das wirklich auch zu reflektieren, also auch gerade damit Betrieb und das Thema Betrieb unterschätzen die meisten Unternehmen. Die denken nämlich ein Projekt

und Projekt ist dann fertig. Naja Leute, nach Projekt kommt halt betrieb, das heißt irgendjemand hat nachher mehr Arbeit als vorher, wenn das Projekt durchaus ne. Und das wird halt ganz gerne halt außen vor gelassen. Bist du schon im nächsten Punkt von den 5, die du mitgebracht hast? Nee, noch nicht. Also lassen. Beibringen. Also ein bisschen in Richtung Netzwerk sind wir gegangen in dem Kontext auch ganz schnell. Fernwartung ist so ein Thema, was bei vielen einfach auch auch brennt.

Ich habe üblicherweise 20 Lieferanten und jeder hat einen eigenen fernwartungs Zugang, das sind, da kann man auch schnell sag ich mal Benefits herausziehen, indem man fernwartungs Zugänge standardisiert. Ist das klassische teamviewer Thema oder was häufig mit teamviewer, solchen Tools? Dann gelöst wird.

Auch ja, also fällt damit rein. Aber man hat mittlerweile heutzutage wirklich dann ganz schnell 567 verschiedene fernwartungs Zugänge durch jeden Lieferanten und egal wie bei manchen Lieferanten, egal wie groß man ist, manchen Lieferanten sind einfach Faktor 100 größer als man selbst und sagt Halt egal was ihr wollt, von mir als als Lieferant, ich mach mein Ding und du lieber Betreiber, du nimmst das oder du kriegst keinen Support ne und das sorgt immer für für

Diskussionen, da kann man aber viel tun, machen wir auch regelmäßig fernwartungs Projekte.

Und standardisieren fernwartungs Zugänge. Aber vielleicht mal auf die anderen Best practices. Wir hatten uns vorhin kurz Asset Management. Genau, und das fand ich gut, was du sagtest 99 von 10 Unternehmen haben das nicht eingeführt, wissen gar nicht, was zu schützen ist. Das glaub ich gesagt weniger. Absolut und und Asset Management ist halt mega geil.

Also ein Asset Management, richtig eingeführt mit einer coolen Software, sorgt wirklich dafür, dass ich weiß was ich habe, ich weiß welche Software stände drauf laufen, ich war, ich kann meinen Jungs in der Instandhaltung Tool an die Hand geben mit dem sie ihre Wartungszyklen verbessern können, ich kann je. Das ist also, wie soll ich sagen, jeder der seine Security Abteilung mal richtig nerven möchte schafft sich erst Management an weil die Security

Abteilung nämlich jetzt in die O kommt und sagt könnt ihr mir bitte mal eine Auflistung geben eurer Schanzen altbestands wie die gucken wenn die Instant ne Antwort kriegen ne also das Wissen darauf sind die gar nicht eingestellt also wenn ich so ja genau also da ich glaube die wenigsten hatten das Glück schon mal so ne Antwort zu bekommen, ich glaube da fehlen jetzt die Referenzwerte ob die sich wirklich freuen.

Weil man ist sofort aussagefähig, und das ist das Entscheidende. Es kommt eine neue Sicherheitslücke für System sowieso, wir tippen das da ein Zacken wissen wir sofort, ob es ein Thema ist. Und wir beschleunigen, wenn wir ein Asset Management haben, alle anderen Folgeprojekte, egal ob es Netzwerk ist, egal ob es Fernwartung ist, egal wo, ob es Endpoint Protection ist, wir beschleunigen alles und trotzdem ist es das Projekt, was gefühlt als letztes irgendwie mal gemacht wird.

Und wenn dann auch nur so. Hype die rütteln seit 20 Jahren auf ihre Excel Liste halt rum und die Krux sind auch die Security Berater, muss man fairerweise sagen, weil die kommen halt alle und sagen ja ihr könnt ja nur das Schützen

was sie erkennt. Dann kommen Sie mit Ihrer mit Ihrer Excel Liste um die Ecke. Dann macht man eine manuelle Istaufnahme, die Instant während der Durchführung schon alt ist und das ist immer noch heutzutage so und dann wird da basierend darauf eine eine Angriffs Matrix herstellt, wo ich sage, das ist ja ganz toll, nachhaltig ist da genau 0.

Aber selbst die Security Berater sorgen nicht dafür, dass dann ein richtiges Asset Management dann in den in den Flow Halt kommt, ne die machen ihre manuelle Erstaufnahme und dann kommt der Risk Audit und so nähert man sich ne. Das wird der Prozess dann ne, wie ist das? Du hast ja auch schon viel mit Hardware und Verschiedenes

gearbeitet. Hab ich ja die Geschichte vom XFL im Kopf. Ich habe angefangen als glaub 46. Mitarbeiter, das war ja quasi fing auch an wie ein Startup Startup, aber 1,3 Milliarden Euro verteilt zur Verfügung hatte waren genau als der damals eines der größten europäischen Forschungsprojekte und unser Management, also wir fingen auch an ohne Asset Management.

So jetzt haben wir so ein Beschleuniger Anlage aufgebaut und da gibt es ja so richtig viele Assets ja also mit Tunnel bohren und Kabeln und Pumpen und hast du nicht gesehen haben vom Büro abgesehen was du alles hast.

Und dann haben die irgendwann keine Ahnung, als Mitarbeiter 120 oder sowas eingestellt wurde, haben die dann gesagt, so, ja wir brauchen E Managementsystem, ja und alle haben geschrieben und gejault, ja weil das es gab ja auch keins und dann gucken wir einkaufen und wir hatten eine sehr gute it Abteilung sagen Sie waren ja softwaremäßig, wir haben ja n Beschleuniger hingestellt, also die und wir mussten alles planen so und sowieso am Limit von allem was Herrn D auf allen

Feldern also hat die IT Abteilung den besten Datenbank Entwickler Herangeholt und so weiter die haben was ich hab jetzt nochmal nachgefragt ob das System noch gibt weil es so geil

geworden ist. Sehr richtig cooles Asset Management, Tracking und allem drum und dran was vorstellen, Kategorisierung und so weiter geschrieben und intern zur Verfügung gestellt und dann wurde vom Management durchgezwungen und mit Prozessen, das musst du ja weil keiner wollte, das ist ja Mehraufwand ja also bei jedem Gerät und die haben alle Budget und so weiter und die ganze Physiker bestellen jeden Tag irgendein Zeugs ja das musste

alles und das war Prozess, ja es dürfte gar keine s durfte gar nicht abgeholt werden deine Bestellung wenn nicht vorher nachgewiesen wurde, dass das im Sauber im S Management System eingepflegt wurde. Und das hat tatsächlich, ich sag s mal platt, das hat uns den Arsch gerettet.

So, ja, weil es nimmt ja so eine Fahrt auf, wenn du dann auf einmal 500 Leute hast und das Ding geht in Betrieb und hier wird getauscht und da wird gemacht und das ist kaputt und so weiter und wir konnten genau diese Antworten geben, ne, könntest du genau so ja hier das das das System müsste irgendwie Datenbank Dinger werden nicht mehr unterstützt wo wo ist denn das alles eingebaut so ja tippst du dann Managementsystem raus kriegst du 1212 Dinger OK austauschen ja keine Ahnung

irgendwelche Dinger werden nicht mehr supported wo sind die denn ja? Zack, bumm, ja. Und also ich hab, also kann ich nur zustimmen.

Ich hab das mal live gesehen wie das funktioniert, muss selber irgendwie natürlich Mineralien gut als Software Kollege haben, nicht ganz so viele Hardware gekauft so das aber ab und zu hab ich auch mal bedienen, das hat mich gefreut und es ist eine sehr sehr sehr gute Sache ist Grundlage für alles was dann später machen willst du mit Sicherheit und so weiter was auch eigentlich also wir hatten es bei uns eigentlich auch nicht nur vom Sicherheitsaspekt der wichtig sondern auch einfach vom

abrechnungs Aspekt. Deine Assets sind ja. Werte, also materielle Werte, die jetzt nicht liquide als Geld

auf dem Konto liegen. Aber wenn du sagst, was bist du wert als Firma dann und es gibt ja erst jetzt die klar, wenn du jetzt irgendwie Bonbon dose nimmst ist nichts wert, aber wenn du jetzt irgendwie weiß ich nicht, also gerade wir haben ja example kaufst oder irgendwas, das kostet ja keine Ahnung 45000€ E.ON Pumpe oder irgendwas so, ja das ist halt mein Essen, da steht dann halt da rum und wenn es funktioniert ist ein Wert von der Firma und wenn du dann mal Business Aufstellung

machen willst du auch, bist du auch geschrieben wenn du wenn du weißt was da alles für Werte irgendwie stehen. In der Firma. Also ist ganz spannend was du sagst, weil und das ist auch so ein bisschen die Argumentation, die wir ja auch immer gucken, also dieses ein Asset Management tut mehr als nur Security, das zahlt auch so viele Themen ein. Wir haben Kunden, der also einen Kunden, der ermittelt über das Asset Management, den Innovationsgrad seiner Werke.

Der sagt, Wir haben irgendein Thema, was wir machen müssen und

erproben müssen. Zack, Zack, was ist unser modernes Werk, was hat welche Steuerung, was ist in welchem Patch Level und so weiter und sagt wir gehen an das Werk X und dort läuft der Prototyp so und da sind die sofort aussagefähig, die fahren Referenz Werte zwischen den Werken und sagen Modernitäts Index hier weil schon keine Ahnung auf Siemens Versionen sowieso hochgerüstet und hier noch sowieso und machen darüber baseline ne das heißt da kann man echt cooles Zeug

mitmachen. Und das hebelt halt einfach so krass es ist und und in der Praxis ist es. Soll ich sagen, es ist trotzdem, es ist kein kein kleines Projekt. Aber es ist ein sehr geradliniges Projekt, ganz oft OT Asset Management einzuführen.

Es ist relativ Straight Forward, es gibt mittlerweile auch coole Lösungen, die auch viel im Kontext von Device Scanning, Protokoll Discovery und so halt auch abnehmen und da ist halt einfach, also damit kann man richtig was holen und und die Meta die man da glaubt immer zu verlieren, die holt man nachher zehnfach rein, ne? Ich sag mal, was ein ganz moderner Anwendungsfall der Industrie 40 Paypal use und vielleicht auch schon mal gehört. Auch nur möglicherweise sauberes Asset Tracking.

Ja, also wenn ich quasi Assets habe, die ich per Leihe als Firma und quasi also Maschinen zum Beispiel, ja ich bin ich hab Maschinen und ich ich verkaufe die nicht an meine Kunden, sondern ich verleihe die vielleicht ganz raus sogar oder vielleicht direkt am Werk, ja, dass die bei mir stehen, aber ich die Kunden zahlen quasi nur für den Service, nicht für die Maschine, ja so, dann muss ich auch genau wissen, was hab ich da für Assets und und und welchem Auftrag wurde dem Asset

wieviel Stunden zugeordnet, zu welchem Kunden und so weiter und sofort ja alles Grundlage dafür wir machen auch ein kleines Projekt jetzt gerade mal gucken. Wie cool das denn.

Effizienz wird für einen mittelständischen Handwerker die Handwerker haben auch viele Assets, nämlich die Werkzeuge und so weiter ja und wenn man die auch gut tracken kann, steigert das auch schon selbst in einem kleinen Laden enorm die Effizienz, so, ja weil ich weiß halt auf einmal, wo meine ganzen und auch unter anderem sehr teuren Werkzeuge so sind und die kann ich sogar verstehen, aber jetzt kommen wir, jetzt kommen wir gleich bisschen alles gut, aber du sagst du sagst es,

Tracking geht jetzt sogar um den sich verändernden Standort, in dem Fall während es ne das ist nochmal Erweiterung. Genau, also ich meine SD Management. Das ist ja jetzt auch genauso wie OT. Ich würde sagen sehr sehr weiter Begriff und dann mal gucken wer versteht darunter was so ja und heute wenn du das eigentlich mit einer modernen Web Lösung machst, je nachdem wie das Datenbank Modell ist kannst du davon.

Also das Minimum brauchst mal wissen was ist da und wo ist das ist mal ganz klar und aber daraus kannst du dann so viele ableitende Systeme, erfolge und so weiter machen, aber ohne diese Basis ist übrigens alles nichts. Sagen kannst du nicht drauf, ne. Und das Thema ist halt also Thema, Definition erst Management.

Die meisten reden über Asset Management Mine, aber ein Inventory. So, es geht eigentlich um ein Inventory. Und wenn wir über Asset Management sprechen, dann reden wir wirklich von Asset Management. Das heißt, es geht darum, wir haben einen Inventory, was wir vielleicht automatisch auch

teilweise erhoben bekommen. Wird dieses Inventories angereichert mit Metadaten zu Standorten und so weiter es liest automatisch Daten auch von den erster Zeit aus und wir managen aber die Assets, das heißt wir.

Initiieren einen Service request an Ticket System über das e Management via planen, einen Austausch, einen Wartungszyklus über das Asset Management wir Daten, vielleicht sogar ein System ab, über das Esset Management und das ist das, das ist die Ecke, in die man nachher geht, aber es beginnt halt wie du sagst halt auch hier mit einem Inventory und idealerweise

ist das nicht das Inventory wo der Elektriker Halt durchs Werk läuft und seine Checkliste halt ausfüllt, was aber immer noch das Mittel der Wahl ist. Bei den meisten ne die verweigern sich diesem nachhaltigen Projekt oder verstehen es nicht. Ich weiß nicht, woher es kommt, man man glaubt halt da mal kurz mit dieser, das ist diese diese schnell schnell Mentalität in der Industrie auch ganz oft.

Wir jagen jetzt jemanden durch die die 10 Azubis, die nehmen das Werk mal kurz hier auf wenn Excel und dann wissen wir, dann machen wir die Analyse und Gutes ja aber läuft morgen wieder durch. Ich würd ganz gerne zum nächsten Punkt weitergehen, bevor wir unsere Zeit grenzen hier völlig reißen. Umgang mit Alt Systemen die haben wir jetzt auch schon angesprochen. Und das Thema Endpoint Protection? Was ist da zu beachten? Also ich glaube ganz klar.

Also einer der Klassiker des Practices ist, ich muss mir ein Konzept überlegen, wie ich mich mit dem ganzen Sachverhalt als Systeme in der Produktion auseinandersetze. Ich werde immer als Systeme haben und die Mission kann nicht sein, als Systeme loszuwerden. Weil ich werde immer als Systeme

haben. Also dann ist vielleicht, dass P, dann ist nachher das Windows 10 oder Windows 14 halt irgendwann auch wird immer eine breite Range haben, das heißt ich brauche einen Lifecycle Management für OT Systeme mit dem ich mich halt damit auseinandersetze. Und sage, was löse ich ab, was behalte ich, warum auch. Thema Endpoint Protection, also welche Möglichkeiten habe ich, um meine alten Oti Client oder anders meine OT Clients auf unterschiedlichsten Ebenen zu schützen?

Manchmal ist es das volle Paket mit einem mit einem Antivirus, einem White Listing, Netzwerk Schutz und so weiter und manchmal ist es aber vielleicht auch nur den Netzwerk Schutz den ich halt ziehen kann und das ist halt eigentlich so einer der Best Practices da auch sich mit auseinanderzusetzen weil hauptangriff Sektor, also unser großes Wir haben doch eigentlich nur ein Security. Probleme in der UCI war ein

Haufen altes Zeug haben. Das ist der Grund, so, das heißt, da muss ich halt irgendwie ran. Ich muss mir das überlegen. Und ich will noch einen Punkt hinzufügen, weil wir n Haufen altes Zeug haben und weil wir manchmal einfach Hardware haben, die ist nicht erlaubt.

Die modernste IT Sichere I Technologie zu fahren ja dann wenn wir also wenn wir ganz auf ganz kleiner auf kleinen Flughäfen e 32 so aber da geht halt auch nicht alles, manche Systeme und auch wenn wir jetzt gerade Geschwindigkeit sprechen ja auch ne ich kann es mir nicht leisten System irgendwie noch essen oder irgendwas zu fahren ja das das können auch heute noch die meisten Dinge nicht so, das wird immer besser. Aber das ist auch ein Grund, warum wir bei Sicherheit in der

IT ist. Hast du halt auch immer n bisschen Performance. Ein Buch ist, muss ich halt mir kaufen mit mehr Rechenleistung und oft bin ich jetzt gerade so NN auf kleinen. Auf einer Losgröße bin mit Hardware schnell arbeiten muss, dann schaffe ich das deswegen auch nicht. Also ich für mich gibt es diese 2 Punkte alt und ja vielleicht einfach nicht die Kapazität dafür. Ja ist gut r Punkt.

Bestes Beispiel Antiviren Schutz auf einem OT Client was ist wenn der Antivirus genau zu dem Zeitpunkt intensiv Scan des also des Geräts macht eigentlich gerade ein anderer Produktions relevanter Prozess läuft, das sind so n bisschen die die Themen die man da immer sag ich mal Challenge muss ja aber Lifecycle Management in der also für Otti vice. Ich habe jetzt noch nicht ganz verstanden, wie das Lifecycle Management mir jetzt hilft das aktiv sicherer zu machen.

Na ja, du müsstest quasi. Du müsstest quasi den Virenscanner nicht gerade dann laufen lassen, wenn die Anlage voll ist. Ja, wenn die gerade kurze Pause machen, dann kannst du auch. Dann kannst du also aber das weißt du ja nur, wenn du irgendwie sauber gemanagt hast, ja. Genau.

Es geht eigentlich darum, dass ich ich hab, also im Rahmen des Lifecycle Managements habe ich ein Bild darüber, was für verschiedene Kategorien Assets ich habe und das sind die XP Teile, da sind die XP Teile mit Service Pack 1, da ist Windows 7, Windows 10 und so weiter und im Rahmen meines Lifecycle Management Konzept oder auch Endpoint Protection Concepts wie auch immer. Habe ich einen einen System mir überlegt, wie ich damit bei mir umgehe?

Also im Prinzip wieso ein Filter System wo ich sage ich schmeiße diesen kleinen Mal da rein oder bleibt hier schon hängen, OK damit kriegt der mindestens die 3 Schutzmaßnahmen o der rutscht direkt durch, der kriegt alle 10 Schutzmaßnahmen und so schaffe ich mir ein Konzept wie ich damit umgehen kann und dann komme ich auch an einen Punkt wo ich vielleicht mal drin stehen habe, dass da ein sehr sensibles Gerät ist, was einen hohen Impact auch hätte, wenn es ausfällt.

Ich aber auch sehe. Hey, das könnte ich tauschen und das ist auch ganz cool. Es gibt auch in der O. Können wir Themen tauschen, da wird immer oftmals gesagt, ja das geht nicht und keine Down Times. Da muss man auch immer mal fragen, na ja, wie viele Down Times hatte die Produktion dieses Jahr und dann sagen die 1014 ne jede Produktion hat Down Times im Jahr so ungeplant.

Aber geplant ja auch zum Teil muss man ja auch sagen, genau, vielleicht nicht n nicht n Eisenhütte oder sowas, ja oder? Und auch das ist vielleicht ein Thema. Die Werke und die Produktion muss sich mit dem Thema geplante Wartungs Down Times für IT auseinandersetzen. Die haben Sie gerade nicht so und die müssen sie kriegen. Da kommen sie gar nicht drumherum und, und das ist auch so ein bisschen Mindset, denken, da kommen wir so, der Übergang in Richtung meines nächsten Best Practices.

OT Organisation. Was meine ich damit? Was jedes Unternehmen hat eine OT, das heißt Leute, die dafür sorgen, dass die Produktion und die IT relevanten Systeme der Produktion laufen, wir haben ja schon kurz gesprochen, man weiß manchmal nicht genau, wie die Leute heißen, weil das ist halt der Leiter der Instandhaltung, der nebenbei noch Netzwerk Admin

ist. Aber man kann und sollte in der OT sagen wir mal diese diese Leute die das machen und auch das Know How und auch die Prozesse standardisieren, genauso wie das in einer IT Welt passiert ist. Man hat sich einen IT Service Katalog vielleicht überlegt.

Gut wir überlegen uns einen OT Service Katalog, das heißt Wer stellt die Siemens Anwendung sowieso bereit, wer pflegt die, wer nutzt diese und wir professionalisieren damit Stück für Stück den ja den den IT BETRIEB in der OT letztendlich und dazu gehört auch genau das Thema.

Prozesse beispielsweise, wie dann auch so, Lifecycle Management und ähnliches, dass man darüber halt guckt, einfach seine, ja seine Prozess Vielfalt auch in der in der UCI, hat in den Griff zu bekommen und das Macht das Leben deutlich einfacher. Und kann man sich da wahrscheinlich Dinge auch von der IT abgucken? Nehme ich mal an oder muss man absolut aufräumen?

Thema Service Katalog also haben wir auch noch nicht viele IT Abteilungen, aber das grundsätzliche Thema Service, Katalog und die meisten Themen in der OT sind das nix neues. Also IT gesehen. Also klar hab ich jetzt ein Active Directory in der Produktion. Gut, aber ich muss eine IT Abteilung nicht erklären, wie sie ein Active Directory zu betreiben hat. Ich muss ihr die 20 oder 1020% Know-how mitgeben, worauf Sie achten sollten, wenn Sie es in der Produktion tut.

Genau so einem Thema Virtualisierungs Plattform worauf muss ich ich muss dem VMW Spezialisten nicht erzählen wie er seinen VMW Cluster halt deployed, ich muss ihnen aber sagen Hey du wenn Du hier Siemens, Siemens Vinci C Server instance betreibst, dann musst du die bitte auf die Hardware binden und die darf keine Emotion nutzen. So also darf nicht automatisch die Server Instanz halt

wechseln, wenn ein Server halt ausfällt und das sind die Feinheiten diese eigentlich geht. Eigentlich heißt es nur wir machen es genauso wie in der IT und passen aber auf die letzten 20% auf. Und, und dann klappt es auch an der auch in der O Tine, die die Grundkonzepte sind. Alles ist alles dasselbe. Dann haben wir schon die TOP 4 Jahre OT Management, Netzwerk Schutz, Umgang mit Alt Systemen oder Lifecycle Management. Die Organisation und dann hast du uns noch einen Fünften

mitgebracht. Standard also recht einfach OT Standards, das heißt zum Beispiel einen O, einen Standard für Backup und Recovery von OT System oder einen einen Standard für Active Directory in der Produktion, einen Standard für Asset Management. Also wir reden über baseline Standards wie auch ein Lifecycle Management Prozess ein Standard sein kann, nachdem man agiert und manche von den Standards

sind. Sind auch sehr klein fernwartungs Standard vielleicht oder ein Endpoint Protection Standard einen Standard für das Thema Virenschutz und es geht eher bei all den Themen die ich sage, es geht eher um einen eine Art Framework, was ich eigentlich haben möchte, was ich halt an dem ich arbeite und mit dem ich arbeite, genauso wie eine I das auch tut mit Ihren mit ihren Netzwerk Konzepten und Ihren sagen wir mal IT Frameworks genauso brauchen wir

s in der OT und bestimmte Themen muss ich halt mal mal entscheiden und unterschreiben und sagen halt. Ja, wir setzen halt bei uns in der OT nur dieses eine System ein. Unter den und den Anforderungen und das formuliere ich meine Mutti Standard und gebe das als Vorgabe raus an alle meine Werke.

Und das fehlt in der. Das fehlt in den Produktionsunternehmen. Wird sich das jetzt gerade wieder sagst alle meine Werke, wir bei der heißen Ware arbeiten ja auch mal mit durchaus kleineren Betrieben zusammen.

Handwerksbetrieb ist ein großer Handwerksbetrieb, war hat jetzt natürlich nicht mehrere Werke, aber auch immer mit produzierenden Unternehmen, die nur einen Standort haben, vielleicht noch im Nachbardorf nochmal einen zweiten, also man ist dann schon enger zusammen, weil jetzt weltweit aufgestellt habt ihr mit solchen Unternehmen auch Erfahrungen und kann man für die nochmal speziell irgendwas mitgeben oder kann man sich eigentlich angucken was für die Großen passt oder?

Größeren passt auch für die. Kleinen, also ich, ich würde sagen, also die Themen sind genau die gleichen. Das Glück manchmal ist, vorausgesetzt, eine Geschäftsführung bei den kleineren Unternehmern versteht, warum die Notwendigkeit da ist. Und auch, dass das notwendige Budget halt auch im Zweifel da ist.

Sind das die gleichen Themen? Und da ist ein Netzwerk Konzept dann auch mal nicht 100 Tage, sondern halt 20 ne oder 10 vielleicht sogar da den richtigen Eckpfeiler hat einfach mal mitzugeben es geht eher darum zu begreifen glaube ich. Es ist keine einmalige Gelegenheit, es ist nicht einmal zu machen, sondern etwas Dauerhaftes.

Es geht um regelmäßiges zu erweitern und man muss sich immer darüber im Klaren sein, egal wo man in die OT Halt auf dieser IT Infrastruktur Ebene hin fest sei, das Asset Management sei das irgendwie Netzwerk und so weiter es ist so als ob ich einen Stock in den Baum schmeißen und es kommt 10 zurück. Weil ich halt ganz schnell einfach nehme. Das Thema Asset Management. Auf einmal brauche ich einen Ortsverzeichnis. Also was sind meine offiziellen Beschriftungen?

Der Standortes der Abteilungen der Linien? Projekt ja, also auch richtig, weil ich genau das du glaubst ja nicht wie sie die Gemüter erhitzen können in der Firma, wie was genannt wird so ja und wenn du Standards sprichst also Standard Namen Standard namens Konvention sogar für Orte für Geräte für und so weiter ja Katastrophe also. Der eine Kunde, sprich, was immer noch gemacht, die sprechen immer noch von Tunnel. Ne, das ist der Tunnel, ist dann also Tunnel. Ist Standort spezifiziert?

Tunnel wurde vor 5 Jahren abgerissen, gibt keinen Tunnel mehr, ne, aber es ist immer noch Tunnel und das sind so diese Kontext Themen und die betreffen die Kleinen genauso der das schönere ist bei den kleineren Netzen kann man einfach auch mal einfacher Smart Fixes Halt machen, da sind es dann glücklicherweise statt statt 10 Lieferanten für Fernwartung glücklicherweise nur 2. Ne, die Krieg ich schneller in den Griff, aber auf der anderen Seite.

Sag ich mal so ein Dilemma von kleineren Unternehmen. Sie haben halt noch weniger Manpower, sie haben teilweise weniger Ressourcen, es gibt weniger Professionalisierung, auch leider manchmal in der IT einfach NN weniger reifen Zustand halt und das das ist so ne, das ist ne grundherausforderung und da steht so ein Fels einfach mit

dem Mindset der Geschäftsführung und wir haben auch die Unternehmen die ja sehr klein unterwegs sind keine Ahnung 50 bis 100000000€ Umsatz. Ist jetzt eher klein. Die aber total innovativ unterwegs sind und da wirklich auch sehr offen mit diesen Themen Halt umgehen. Ich würde aber sagen, je mehr man in Richtung vielleicht auch Maschinenbau und Ingenieur und so guckt, desto konservativer ist es halt ganz oft halt. Cool.

Ich würde dann jetzt zum Thema OK, wie kann man eigentlich starten, was macht man, ruft man euch an oder guckt man sich selber erstmal seine Situation an, was sind so? Gute erste Schritte, die man machen kann, oder was heißt erste Schritte? Aber was würdest du empfehlen? Noch nichts getan wird hat noch niemand. Ja das ist ja auch nicht so, aber wie kann man schauen und dann vielleicht noch die Trends gucken, paar Minuten und dann zum Ende kommen langsamer ich glaube.

Die. Die meisten wissen eigentlich schon so ein bisschen, was sie eigentlich tun müssten. So also ich glaube, auch jedes Unternehmen hat mittlerweile mindestens einen Risiko Audit irgendwo liegen. Und ich kann sagen, ganz ehrlich, vermutlich ist er noch genauso aktuell wie zu dem Zeitpunkt, wo er vor 5 Jahren geschrieben wurde. Es werden die gleichen Themen sein, das sind diese Standard Themen, die meisten Unternehmen schlichtweg hat einfach nicht haben.

Und auch eine Netzwerk Architektur kann man ja bis wir hier vorne hatten bis zum hochdynamischen Umfeld sag ich mal weiter bauen, das heißt es sind immer diese Themen, vielleicht in unterschiedlichen Ausbau stufen, aber es sind im Kern eigentlich diese Themen. Das Wichtigste ist eigentlich, sich erstmal einen Überblick zu verschaffen.

Das kann man mit externen tun. Ganz oft ist es aber auch schon eine, wie soll ich sagen, eine eine normal gute IT ist auch in der Lage einen eine Auflistung zu tun und sagt, Hey komm, wir müssten eigentlich Asset Management, wir brauchen halt eigentlich das das was und das. Kann man gerne auch mit Externen natürlich machen, geht manchmal schneller und der fremde Stempel ist manchmal halt auch der Thema.

Interner Prophet ist n ist ein Thema, aber da halt einfach mal ne ja ne Liste halt zusammenzubekommen mit was so alles die Projekte sind und diese Projekte zu scopen, das heißt sich zu überlegen, was müsste man denn da drin tun, wieviel externe Unterstützung, wieviel interne Unterstützung, wieviel vielleicht auch Budget man vielleicht auch einfach

dafür braucht. Und das wirklich als eine Art, ja, wir nennen es immer Security Programm oder Security Projekt halt zu fahren, wo man sagt, man hat bestimmte Themen und man nimmt sich für dieses Jahr diese 2 Themen vor, fürs nächste Jahr die nächsten 2 Themen und so weiter damit also es wird so ein Dauerprozess sein und letztendlich geht es darum Themen zu identifizieren, die zu priorisieren und dann halt in

die Umsetzung zu bringen. Ne es ist ein total klassisches einfaches Vorgehen, was trotzdem ganz oft halt nicht gemacht wird, also. Ich muss sagen, das ist nicht nur. Im Bereich Sicherheit

Klassisches liegt. Es liegt natürlich daran, weil es, weil es keine Attraktivität hat, ja es irgendwie leidig, es kostet mich irgendwie Ressourcen, ich würd mal sagen wollen was du selber gesagt hast, Max anfangen könnte es anders angehen und sagen ich denk mal über Effizienzsteigerungen nach, ich denk mal darüber nach wie kann ich meinen meine o Prozesse noch optimieren um noch mehr Geld zu verdienen und und zwar durch Digitalisierung und dann denk

ich mal und in diesem Zuge gucke ich mir vielleicht mal raus wer könnte mir dabei helfen und dann muss ich so. Bestandsanalyse machen an dieses Thema heran und in dem gleichen Zuge schneide ich mir dann das ganze die ganze Sicherheits Thematik mal mit und bringen Sie auf den neuesten Stand und

vielleicht bringt das mehr wert. Ja, also vielleicht sollte man sagen, wenn ihr etwas für ihre Sicherheit tun wollt, dann tut doch auch was für die Effizienzsteigerung, für die Digitalisierung ihrer Prozesse und macht macht 2 Fliegen mit einer Klappe fertig und dann hat man auch mehr Spaß an der ganzen Geschichte, vielleicht sogar Mitarbeiter ab der sich genau darum kümmert, der aber wirklich die Zeit bekommt mal einfach über den Tellerrand zu denken irgendwie und.

Sich das anzuschauen, ja, und auf ganz automatisch entstehen diese ganzen Listen und ganzen Ideen und so weiter und ich dann noch ein bisschen strukturiere und in die Standards, die du gesagt hast, irgendwie ein Pflege, da bin ich schon ein gutes Stück weiter und hab noch Mehrwert geschaffen, nicht. Nur absolut ja. Also wir drehen die Argumentation auch komplett um. Ich sag halt in einem Asset Management ist das Abfallprodukt der Mehrwert, den wir für die

Security haben. 10% vom Asset Management ist für die Security. Alles andere bringt mir cooles Zeug im Betrieb. Einfache Inbetriebnahme, schnellere und Störzeiten und so weiter und und so ist es für die ganzen anderen Themen halt auch. Also diese Benefits mit dem eher nach vorne denken sind viel viel größer, haben ein Netzwerk, bringt uns viel viel mehr als nur Security und da halt auch immer wieder die Argumentation halt hinzulegen und diese Business Case ist halt auch zu

zu challengen und. Jetzt sag ich mal das, was wir, also wir machen das seit seit Tag 1 und deshalb fehlt es uns auch ganz oft recht, recht einfach auch so. Nehmen wir mal ein Security Thema oder ein ein Netzwerk Projekt mit den strategischen Zielen der Geschäftsführung zu erleiden. Das ist das, was wir machen.

Das muss da oben mit rein, so und und üblicherweise sind da Themen, und ich und wir können mit diesen Themen darauf oben einzahlen, das ist nämlich meistens so, aber man muss diese diese Argumentation halt auch dann erarbeiten und finden. Aber zum Thema starten ist es um darauf nochmal zurückzukommen, ganz banal. Man setzt sich mit den 2 relevanten Personen im eigenen Unternehmen in einen Raum und schreibt einfach mal seine 12 Punkteliste auf.

So also ganz so super banal und ich bin glaube ich noch nie in

einem Unternehmen gekommen. Die dann, die sage ich mal, komplett leer da standen oder keinen, wie soll ich sagen, keinen Normalgeburten einschätzen, den Blick auf ihre eigene Lage hatten. Ne, also auch ne IT Leitung oder so. Also die üblicherweise ist es so die ersten 10 Themen die mir in den Kopf kommen bei einem Unternehmen sind auch die die der mir erzählen würde wenn ich

nicht fragen würde. Ne, also das heißt es geht um die Dinger die danach kommen und das in Reihenfolge bringen vielleicht, aber eigentlich ist es relativ relativ einfach und dann kann man natürlich so eine Liste auch das Thema Risikobewertung Priorität, Geld nur darauf wo es wirtschaftlich sinnvoll ist, kann man beliebig fokussieren. Ich tue mit Risikobewertung aktuell mittlerweile sehr, sehr

schwer. Ich glaube wie gesagt, jedes Unternehmen hat mittlerweile eine und die Basics werden im Zweifel aus jeder Risikobewertung herausfallen, auch wenn ich sie nicht mache. Also dafür sind die zu offensichtlich. Dann lass uns zum Ende kommen.

Ich hatte irgendwie die Trends und Zukunfts Trends, der letzte Punkt, ich will das jetzt aber gar nicht so, ich will das Gespräch jetzt nicht in Richtung drehen, die gar nicht so passt, weil was ich primär mitgenommen habe ist man sollte seine Basics zusammen haben und es ist gar nicht gar nicht irgendwelche tolle Joschi Objekts irgendwelche Technologie die man jetzt erstmal einen muss um da seine OT sicher zu machen, sondern man muss seine OT kennen, man muss das den

Lifecycle managen, man muss eine gute Organisation haben, Standards einführen und kann dann gezielt auch auch Technologie einsetzen um das zu unterstützen ja aber man muss jetzt nicht unbedingt auch wahrscheinlich nicht mehr welches hinterherrennen. Ja, also wenn ich Zukunft halt haben möchte, brauche ich ja wohl n geiles Fundament, auf das sich das aufbauen kann. Mein Fundament. In der Produktion ist aber gerade 20 Jahre alt und alles

andere als geil. Was will ich denn da drauf setzen und und darum geht es im Kern, ich muss meine meine meine Fundament Basis, meine Basics in Ordnung bringen und kann dann das coole neue Zeug oben draufsetzen und wir haben eher wie gesagt die Lage, die spielen hier gerade Industrie sag ich mal 1.0 und wollen jetzt 6.0 oben drauf packen. Das und das, das ist ein Gap. Und, und das ist das, was gerade so, so anstrengend halt ist, weil dieses Fundament nachziehen

ist alles andere als leicht. Wenn wir dann in die Richtung der Trends nämlich kommen, wo du schon so angedeutet hattest, der Spaß wird ja nur noch mehr, also die vernetzte Vernetzungsgrad wird weiter zunehmen, wir werden das Thema bezahlen oder das, was du benutzt, an den Anlagen halt bekommen, das heißt, ich Miete vielleicht nur noch eine Anlage, wir werden das Thema bekommen, dass Daten in die Cloud wandern, aber halt auch wieder zurück geschossen werden und intern verarbeitet werden.

Wir werden mehr Funkzellen kriegen. Wir werden generell mehr Funkverbindungen halt einfach bekommen. Und wir hatten es vorher halt noch einmal mit dem Thema Digital Twin. Das ganze Thema KI Machine Learning wird auch ein Thema sein, das heißt? Daten werden erhoben, meine KI in Anführungszeichen ermittelt, vielleicht irgendwelche Anomalien in meinem in meiner Art des den Prozess zu betreiben und sagt hier übrigens. Da ist irgendwie irgendwie

komisch. Dreh doch hier mal bitte weiter nach links und und du interagierst damit ne, also ganz andere Arten von Analysetechniken. Und wenn man dann noch den Sprung in Richtung Ressourcen macht und Richtung wirklich auch Berufsbilder. Werden die sich alle ändern? Das heißt, der Automatisierer, der heutzutage halt nur noch Steuerung programmiert, hat bereits jetzt die ersten Anfragen auf dem Tisch mit der Bitte könntest du uns bitte hier die und die Sensor Werte,

Messwerte und so weiter halt raus leiten. Wir kriegen bis auf die Frequenzumrichter Ebene unten mittlerweile wirklich ganz tief im Feld kleine smarte Devices, die nicht nur noch da ihren eigentlichen Job machen, sondern Daten von links nach rechts schubsen wollen und können. Und, und das wird noch für viel mehr Diversifizierung halt irgendwie im in unserem Asset Pool da unten halt sorgen.

Und dann hat mit einem Haufen altes Thema, kommen wir nicht drum an, dieses Fundament heranzugehen, ne? Ich glaub die Messe ist klar geworden. Ich finde das ein gutes Schlusswort. Max würde sagen vielen herzlichen Dank, dass du hier warst. Und wie können dich denn Zuhörende erreichen, wenn Sie das denn tun möchten im Nachgang? Vielen Dank erstmal, dass ich hier sein konnte. Ich hoffe es hat ein paar Einblicke geben können, aber am einfachsten wirklich über

linkedin. Max Weidele einfach mal googlen, da findet man mich üblicherweise oder natürlich über unsere Wissensplattform sicherer minus. Industrie.de relativ unkompliziert, einfach mal ne Mail da lassen oder eine Nachricht, dann können wir da gerne mal sprechen. Verlinken wir natürlich alles. Meine shots.

Max, vielen Dank war total interessant heute die Sicherheit, ich hab mir auch mitgenommen s wir können wir kommen nicht um den Altbestand drumherum, das wollte ich noch mitgeben, wir kümmern uns auch um den Altbestand, der ist bei uns Teil unserer Firmen Philosophie, dass wir auch alte XPS und so weiter noch an adaptieren und sie doch in die moderne Welt bringen auch wenngleich wir uns alle einig sind, dass wir über kurz oder lang die alten Dinger.

Schaffen ne, aber weil es nicht immer geht, sind wir auch dafür da. Vielen dank Max. Gerne. Also machts gut und. Danke, ja danke. Bis dann Tschüss.