Dezentrale Systeme sicher betreiben: mit Software-Containern und Edge-Plattform

Dezentral verteilte Maschinen, Anlagen und Betriebsstandorte benötigen sichere Verbindungen, lokale Rechenleistung und eine zentrale Verwaltung. Die integrierte Edge-Plattform secunet edge von secunet verbindet abgesicherte Hardware mit Container-Management von Portainer.io und standardisiert den Betrieb über viele Standorte hinweg.

Anwendungen lassen sich zentral installieren, konfigurieren, aktualisieren und überwachen. Gleichzeitig schützt die Plattform Netzwerke, kontrolliert Datenflüsse und trennt Netzsegmente voneinander. Systemintegratoren, Service-Provider und Hersteller erhalten eine einheitliche Grundlage für neue Anlagen und die Nachrüstung bestehender Systeme. Die Lösung ist im produktiven Einsatz erprobt und bei Systemintegratoren verfügbar. Projekte mit mehreren Tausend angebundenen Geräten laufen in KRITIS Branchen wie eHealth, Medizintechnik, Smart Manufacturing und im behördlichen Umfeld.

Die Herausforderung: Dezentrale Datenverarbeitung sicher beherrschen

Unternehmen vieler Branchen betreiben Standorte und technische Systeme in verschiedenen Regionen oder Ländern. Dadurch verlagert sich die Datenverarbeitung immer stärker an den Rand der Netze. Dieses Prinzip wird Edge Computing genannt. Dabei werden Daten direkt auf Computersystemen am Betriebsstandort verarbeitet und nicht in einer zentralen Anwendung oder in der Cloud.

So entsteht für Unternehmen, die Anwendungen an vielen dezentralen Standorten betreiben, eine neue Herausforderung. Sie betreuen Hunderte oder Tausende lokale Systeme, die sicher mit zentralen Systemen oder Cloud-Diensten verbunden werden müssen. Zugleich gibt es zusätzliche Anwendungen direkt am Einsatzort. So betreut beispielsweise ein Service-Provider im Gesundheitswesen auf diese Weise mehrere Tausend Zahnarztpraxen, die er zentral anbinden, absichern und mit lokalen Anwendungen versorgen muss.

Heterogene Edge-Umgebungen erschweren den Betrieb

Ohne eine standardisierte Edge-Plattform entstehen häufig uneinheitliche Einzellösungen mit den folgenden Herausforderungen:

• An den Standorten treffen verschiedene Hardwaregenerationen, Betriebssysteme, Kommunikationsprotokolle und Sicherheitsvorgaben aufeinander.
• In industriellen Umgebungen müssen moderne Anwendungen häufig mit älteren Maschinen und gewachsenen Produktionsnetzen zusammenarbeiten.
• Bei Störungen ist oft unklar, wo eine Anwendung installiert ist und wie der jeweilige Standort technisch aufgebaut ist.
• Unterschiedliche beteiligte Anbieter können eine Störungsursache in verschiedenen Bereichen vermuten. Dadurch dauert die Fehlersuche länger.
• KI-basierte Angriffe auf unübersichtliche und zeitlich aufwändig zu wartende Edge-Systeme erzeugen ein erhöhtes Cyber-Sicherheitsrisiko. Sie erfordern schnelle und effektive Handlungsfähigkeit auf allen Endpunkten in der Fläche.

Wenn Unternehmen eine Edge-Plattform einsetzen, können sie sichere Vernetzung, lokale Anwendungen, zentrale Steuerung und einheitliche Sicherheitsmechanismen nutzen.

Die Lösung: Edge-Plattform verbindet Sicherheit und Container-Management

Der Security-Anbieter secunet hat die Edge-Appliance secunet edge entwickelt. Im Rahmen der strategischen Partnerschaft mit dem Container-Spezialisten Portainer.io ist dessen Container-Management nativ in die secunet Edge Management Suite (EMS) integriert. So entsteht eine abgesicherte Infrastruktur, die Portainer mit zentralem Container- und Anwendungsmanagement ergänzt. Sie führt die bisher getrennten Ebenen von Edge-Hardware, Netzwerk- und Systemsicherheit, Gerätemanagement, Container-Orchestrierung und Anwendungsbetrieb zusammen. Beide Komponenten sind technisch aufeinander abgestimmt und arbeiten als integrierter Service.

Edge-Appliance schützt Netzwerk und lokale Anwendungen

Die technische Basis ist secunet edge, eine Hardware- und Softwareplattform für den Einsatz am Rand eines Netzwerks. Die Edge-Appliance befindet sich in der Nähe der zu schützenden Systeme. Das können Maschinen, Produktionsanlagen, medizinische Geräte, Pumpen, lokale Netzwerke oder vollständige Betriebsstandorte sein. Die Plattform verbindet sichere Kommunikation mit lokaler Rechenleistung und übernimmt die folgenden Funktionen:

• Sichere Vernetzung dezentraler Systeme: secunet edge verbindet lokale Geräte mit Rechenzentren oder Cloud-Diensten. Sie schützt dabei die Kommunikationswege und kontrolliert den Datenaustausch.
• Firewall und Netzwerksegmentierung: Die Edge-Appliance besitzt Firewall-Funktionen und trennt Netzbereiche voneinander. Verbindungen lassen sich nach dem Prinzip der minimal erforderlichen Berechtigungen einrichten.
• Geschützte lokale Ausführung von Anwendungen: secunet edge bietet eine abgesicherte Umgebung für Anwendungen wie Netzwerkmonitoring, Datenanalyse, Fernwartung, KI oder die Anbindung an IoT-Plattformen. Sie ersetzt dadurch mehrere Einzelgeräte.
• Zentrales Gerätemanagement: Die Edge Management Suite (EMS) von secunet erkennt neue Appliances, bindet sie in die zentrale Verwaltung ein und ermöglicht ihre Konfiguration. Damit lassen sich Netzwerk- und Firewall-Einstellungen sowie technische Parameter für Hunderte oder Tausende Geräte zentral verwalten.
• Überwachung und Absicherung: Das EMS überwacht zahlreiche Parameter der Hardware und des Basissystems. Darüber hinaus gibt es Sicherheitsfunktionen wie Secure Boot, Integritätsschutz, Geräteidentitäten, verschlüsselte Speicherbereiche und signierte Systemupdates.

Sicherheit ist ein grundlegendes Entwicklungsprinzip von secunet edge. Dieser Security-by-Design-Ansatz bezieht Hardware, Netzwerk und Anwendungsumgebung gleichermaßen ein und adressiert die Sicherheitsanforderungen, die in kritischen Infrastrukturen sowie bei Maschinen- und Anlagenherstellern gelten.

Container-Management steuert Anwendungen zentral

Portainer erweitert die Infrastruktur auf die Anwendungsebene. Viele moderne Edge-Anwendungen werden als Container ausgeliefert. Diese bündeln die jeweilige Software mit den für ihren Betrieb notwendigen Komponenten. Portainer verwaltet Container auf Basis von Docker und Kubernetes und bietet Funktionen zur Installation, Konfiguration, Aktualisierung, Orchestrierung und Überwachung.

Als Modul der EMS verwaltet Portainer Images und Container, installiert neue Anwendungen und aktualisiert vorhandene Software. Sie kann einzelne Container oder ganze Anwendungsgruppen bereitstellen. Zudem verwaltet sie die Anwendungsparameter, überwacht die laufenden Container und steuert den Zugriff über Rollen und Rechte. Unterschiedliche Nutzergruppen erhalten so gezielt die Rechte, die sie für ihre Aufgaben benötigen. Über die Anbindung eigener Registries – etwa GitLab – können Hersteller auch selbst entwickelte Anwendungen ausspielen.

Der eigentliche Mehrwert entsteht im Zusammenspiel der beiden Ebenen. secunet steuert systemnahe Schutzfunktionen bei, die sich auf Anwendungsebene nicht abbilden lassen – etwa einen sicheren Schlüsselspeicher, sodass Zugangsdaten nicht mehr im Klartext in Konfigurationsdateien wie Docker-Compose stehen. Umgekehrt erhält Portainer Einblick in den Zustand der Systembasis, etwa freien Speicher oder CPU-Last, den das Container-Management allein nicht hat. So greifen Anwendungs- und Systemebene in einer gemeinsamen Sicht ineinander.

Für das Zusammenspiel der beiden Komponenten gilt eine klare Aufgabenteilung. secunet kontrolliert die Hardware, das Basissystem, die Netzwerkverbindungen und die sichere Ausführungsumgebung. Portainer verwaltet die Anwendungen und deren Lebenszyklus. Die Edge-Plattform richtet sich vor allem an Unternehmen, die technische Dienstleistungen für ihre Kunden erbringen:

• Systemintegratoren entwickeln und implementieren vollständige Lösungen für Betreiber. Dabei ist die Edge-Appliance eine standardisierte technische Basis, die sie nicht mehr für jedes einzelne Projekt neu zusammenstellen müssen.
• Managed-Service-Provider betreiben IT- und Sicherheitsfunktionen an den Standorten ihrer Kunden. Sie können mit dieser Plattform sichere Edge-Services zentral anbieten.
• Maschinen- und Anlagenhersteller können secunet edge direkt in ihre Systeme integrieren. Die Edge-Appliance wird dadurch Bestandteil des Produkts und wird zusammen mit der jeweiligen Maschine ausgeliefert. So lässt sich die Appliance etwa in Kühlmöbel oder Medizingeräte einbetten und mit dem Produkt ausliefern.

Die kombinierte Lösung ist vollständig über secunet beziehbar; wer bereits eine eigene Portainer-Instanz betreibt, kann diese ebenso mit secunet edge kombinieren. Die Lösung setzt dabei auf offene Standards.

Das Ergebnis: Standardisierter Betrieb, höhere Sicherheit und schnellere Rollouts

Die gemeinsame Plattform von secunet und Portainer ermöglicht ein einheitliches Management von Hardware, Sicherheit, Gerätemanagement und Anwendungen über mehrere Standorte hinweg. Die Edge-Appliance ist damit eine schlüsselfertige technische Basis für verteilte Standorte. Sie bietet ihren Nutzern folgende Vorteile:

• Der Einsatz von secunet edge führt zu einer sichereren Vernetzung von Maschinen, Anlagen und dezentralen Standorten in Konformität mit NIS2 und CRA. Maschinen können damit Daten austauschen und digitale Dienste nutzen, ohne unkontrolliert mit externen Netzen verbunden zu sein.
• Die Lösung ist schnell einsatzbereit: Systemintegratoren starten mit dem vorkonfigurierten System nahezu sofort, statt für Beschaffung und Integration eigener Komponenten die sonst üblichen vier bis zwölf Wochen zu benötigen. Im laufenden Betrieb sinkt der wiederkehrende Aufwand nach Einschätzung von secunet um etwa den Faktor zehn.
• Die gemeinsame Sicht auf Infrastruktur- und Container-Ebene vereinfacht die Fehlersuche: Störungen lassen sich übergreifend analysieren, statt sie zwischen mehreren Anbietern hin- und herzureichen.
• Der Betriebsaufwand sinkt spürbar: Einstellungen und Aktualisierungen erfolgen zentral statt an jedem Standort einzeln, wodurch wiederkehrende Vor-Ort-Einsätze entfallen.
• Die lokale Verarbeitung an Maschinen, Anlagen oder Betriebsstandorten verkürzt Reaktionszeiten und verringert die zu übertragende Datenmenge. Anwendungen müssen Daten nicht zuerst in die Cloud senden.
• Die Edge-Appliance ist skalierbar und wächst mit dem Unternehmen. Neue Maschinen oder Standorte lassen sich schnell und einheitlich in Betrieb nehmen.
• Die Lösung unterstützt die Anschlussfähigkeit an übergeordnete Sicherheitsarchitekturen und Initiativen wie den Cyberdome und eignet sich für den Einsatz in regulierten KRITIS-Umgebungen.

Die gemeinsame Lösung von secunet und Portainer ist produktiv verfügbar und kann direkt in konkreten Projekten eingesetzt werden. Für Evaluierungen, Pilotprojekte oder die Prüfung individueller Einsatzszenarien stehen secunet und Portainer für einen direkten Austausch zur Verfügung.