Shopfloor Access Management: Sicherheit und Effizienz in der Produktion

Das BSI beschreibt den Shopfloor in der Industrial Control System (ICS)-Sicherheit als produktionsnahe Feldebene, für die in der produzierenden Industrie andere Schutzanforderungen gelten als für die klassische Office-IT.

Mit wachsender digitaler Durchdringung von Instandhaltung, Fertigung und Produktionssteuerung steigen die Anforderungen an Sicherheitsmaßnahmen für Zugriffe von Mitarbeitenden, externen Dienstleistern und Systemen auf Geräte und Daten.

Zugriff ist in solchen Umgebungen ein Betriebsfaktor. Wenn Anmeldung zu langsam, zu kompliziert oder zu unscharf in der Benutzerzuordnung ist, entsteht Reibung genau dort, wo Prozesse stabil und zügig laufen müssen.

Zugang darf die Produktion nicht verlangsamen und muss Systeme ohne Abstriche sichern. Wie das funktioniert, zeigen wir in diesem Beitrag.

Typische Herausforderungen in der Produktion

Wechselnde Arbeitsplätze und Nutzer

Produktionsumgebungen sind oft keine One-User-One-Device-Welt. Konsistenter Zugriff von jedem Gerät und schnelle User-Wechsel mit nahtlosen Übergängen sind in der Produktionsumgebung eine Grundlage für fließende Abläufe.

Wenn Geräte während einer Schicht von mehreren Personen genutzt werden, steigt die Komplexität von Identitätsmanagement und Verantwortlichkeit in einer anderen Dimension als beim Zugriff im Büroumfeld.

Zeitkritische Logins im Schichtbetrieb

Für den Shopfloor ist nicht jeder Login gleich kritisch, aber in operativen Umgebungen zählt die Dauer des Zugriffs unmittelbar für den Workflow. Produktionsmitarbeiter benötigen in vielen Umgebungen schnellen Zugriff auf Shared Workstations, mobile Geräte und produktionsnahe Anwendungen.

In der Praxis zeigte sich, dass die Loginzeit von bis zu 30 Sekunden auf 2 bis 3 Sekunden reduziert werden konnte. Wo sich diese Werte auf mehrere Logins pro Schicht, mehrere Geräte und produktionsnahe Anwendungen oder sogar mehrere Standorte summieren, wird die Zeit bis zum Zugriff zu einer operativen Größe.

Geteilte Geräte und fehlende Benutzerzuordnung

Shared Workstations und gemeinsam genutzte mobile Geräte sind im Shopfloor besonders relevant, weil sie den Übergang zwischen Personen, Rollen und Anwendungen verdichten.

Als sicherer und effizienter Autorisierungsmechanismus ist der Badge Login an Shared Workstations und virtuellen Desktops eine beliebte Methode, die Fast User Switching und sicheren Zugriff auf gemeinsam genutzte Arbeitsplätze zu einer Sache von Sekunden macht.

Sicherheits- und Compliance-Risiken

Passwortbasierte Schwächen und Shared Accounts

Auf dem Shopfloor könnten gemeinsam genutzte Konten, lokale Ausnahmen und passwortbasierte Workarounds Angriffsflächen erhöhen, wenn geteilte Zugriffe schwer zu auditieren und zu kontrollieren sind. Sicherheitsrichtlinien empfehlen, lokale Konten möglichst zu vermeiden, Ausnahmen zu identifizieren und deren Einsatz zu auditieren.

Fehlende Nachvollziehbarkeit von Zugriffen

Nachvollziehbarkeit ist im Produktionsumfeld kein Luxus. Das BSI fordert für Operational Technology, kurz OT-Umgebungen, ein Protokollierungs- und Detektionskonzept für sicherheitsrelevante Ereignisse und empfiehlt die zentrale Speicherung von Protokollierungsdaten, damit verteilte Systeme und Komponenten gemeinsam ausgewertet werden können.

Die Zugriffskontrolle in OT-Umgebungen geht über den reinen Login hinaus: NIST SP 800-82 verweist im OT-Kontext auf Kontrollen wie Account Management, Least Privilege, Sitzungssteuerung und Remote-Access-Kontrollen, wodurch der Shopfloor-Bezug über reine IAM- oder MFA-Fragen hinausgeht.

Wenn mehrere Personen ein Gerät nacheinander nutzen, Logins geteilt werden oder lokale Konten weiterbestehen, sinkt die Qualität von Audit und Forensik. Das betrifft im Ernstfall die Rekonstruktion von Änderungen, Sessions und Verantwortlichkeiten.

Anforderungen durch NIS2 (Audit, Kontrolle, Transparenz)

Die NIS2-Richtlinie gilt für wesentliche und wichtige Einrichtungen bestimmter Sektoren. Sie folgt einer Größenlogik, schließt aber auch Sonderfälle mit hohem Risikoprofil ein.

In Anhang II werden für „Manufacturing“ unter anderem Hersteller von Medizinprodukten, Computer-, Elektronik- und optischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen sowie Kraftfahrzeugen und sonstigen Transportmitteln gelistet.

NIS2 verlangt für betroffene Einrichtungen wirksame Zugangskontrollen, angemessene Authentifizierung und ein insgesamt belastbares Cyber-Risikomanagement. Artikel 21 der Richtlinie nennt Human-Resources-Security, Access-Control-Policies und Asset Management als wesentliche Schutzmaßnahmen.

Außerdem nennt Artikel 21 den Einsatz von Multi-Faktor-Authentifizierung oder Continuous Authentication, wo Daten oder Maßnahmen das entsprechende Schutzniveau erfordern.

Enterprise Access Management im Shopfloor

Schnelle, passwortlose Authentifizierung (Tap & Go)

„Tap & Go“ beschreibt bei Imprivata den Schnellzugriff mit einem Badge. Mitarbeitende halten unabhängig von ihren Zugangsrechten und ihrer Rolle ein Badge an ein Lesegerät von Desktop-PCs, Fahrzeugen oder Maschinen und erhalten nach PIN-Eingabe Zugriff auf Shared Workstations. Komplexe, lange dauernde Logins oder vergessene Passwörter werden so reduziert.

Single Sign-On für effiziente Workflows

Single Sign-On (SSO) ist im Shopfloor vor allem dort relevant, wo mehrere Anwendungen und auch moderne und ältere Legacy-Anwendungen parallel laufen. Eine passende SSO-Lösung ist dort ein gutes Mittel, um Passwortmüdigkeit zu verringern und Passwort-Workarounds in modernen und älteren Anwendungen zu reduzieren.

Weiterhin elementar für den nahtlosen Betrieb ist der Offline-Zugriff mit SSO, der die Funktion der Anmeldungen aufrechterhalten kann, wenn Netzwerkausfälle auftreten.

MFA und kontextbasierte Zugriffskontrolle

Multi-Faktor-Authentifizierung (MFA) ist im NIS2 als Maßnahme der Zugriffskontrolle genannt. Mit Imprivatas MFA-Softwarelässt sich das optimal umsetzen. Die Kombination aus zwei verschiedenen Authentifizierungsmethoden ist mit dem Faktor Besitz (Badge) und Wissen (PIN)auf einem hohen Sicherheitsniveau angesiedelt und unterstützt schnelle Nutzerwechsel und passwortlose Verfahren für die Anforderungen des Shopfloors an Shared Workstations und virtuelle Desktops.

Nach NIST sollte auf AAL2-Niveau mindestens eine phishing-resistant Option angeboten werden, während CISA FIDO und PKI als Verfahren hervorhebt, die Phishing-Angriffe robuster adressieren als klassische Einmalcodes.

Audit-Logs und Nachvollziehbarkeit

Imprivata Vendor Privileged Access Management ermöglicht Audit-Logs, Session Recordings, granularen Zugriff und Credential Vaulting, welche die Nachvollziehbarkeit und Kontrolle von Drittzugriffen unterstützen können.

Solche Funktionen entsprechen gängigen Best Practices im Umfeld privilegierter Zugriffe, ihre Eignung zur Erfüllung konkreter BSI-Anforderungen hängt jedoch von der jeweiligen Implementierung, Integration und organisatorischen Ausgestaltung ab.

Gerade für externe Wartungsfirmen und sonstige Dritte sind überwachte Vendor Sessions, Identitätsprüfung und Credential Vaulting relevant, weil sie die Nachvollziehbarkeit und Kontrolle bei Drittzugriffen verbessern können.

Mehrwert für Unternehmen

Schnellere Arbeitsabläufe und weniger Stillstand

Ob Arbeitsstunden oder Maschinenstillstand – Zeit ist in der Industrie ein sensibler Faktor. Der Workflow-Effekt wird in der Fertigung durch schnelleren Zugriff, weniger Friktion bei der Passworteingabe und reduzierte Login-Zeiten hervorgehoben.

Schnellere und konsistentere Authentifizierung kann produktionsnahe Abläufe entlasten, wenn mehrere Nutzer, Geräte und Anwendungen in kurzer Folge aufeinandertreffen.

Höhere Sicherheit und NIS2-Compliance

Höhere Sicherheit lässt sich für den Shopfloor implementieren, wenn eindeutige Benutzerzuordnung, starke Authentifizierung und verwertbare Protokollierung zusammenkommen. Genau diese Elemente werden durch BSI-Empfehlungen für OT, durch IAM-Leitlinien von CISA/NSA und durch NIS2-nahe Anforderungen an Zugangskontrollen und MFA gestützt. Enterprise Access Management kann dabei Bausteine für NIS2-relevante Anforderungen wie Authentifizierung, Zugriffskontrolle und Nachvollziehbarkeit liefern

Fazit: Einklang von Effizienz und Sicherheit für den Shopfloor

Access Management im Shopfloor kann ein wichtiger Enabler für sichere und praktikable Produktionsprozesse sein. In einem Bereich, in dem digitale Prozesse, Shared Devices, ältere Anwendungen und hohe Verfügbarkeitsanforderungen aufeinandertreffen, ist Access Management weder reine Komfortfunktion noch reines Compliance-Thema, sondern sichert stabile, nachvollziehbare und praktikable Produktionsprozesse.

Für betroffene Unternehmen im NIS2-Kontext kommt hinzu, dass Zugangskontrollen, angemessene Authentifizierung und belastbare Nachvollziehbarkeit regulatorisch an Gewicht gewinnen.