IAM und PAM für Industrie und produzierendes Gewerbe
Gewachsene Werksstrukturen, SAP-Berechtigungen und Fernwartungszugänge von Maschinenherstellern: Wir bringen Identitäten und Zugriffe international in ein Modell, das die Produktion trägt und der Prüfung standhält.
Der Mehrwert für Industrieunternehmen
Zugriffe in einer international gewachsenen Werkslandschaft
Die Berechtigungslandschaft eines Industriekonzerns spiegelt seine Geschichte: übernommene Gesellschaften mit eigenen Verzeichnissen, Werke mit lokal beschafften Fachanwendungen, Vertriebseinheiten mit eigenen Personalprozessen. Ein konzernweit einheitliches Rollenmodell entsteht daraus selten über eine Migration; tragfähiger ist eine gemeinsame Ordnung, die über den bestehenden Systemen liegt. Wir binden die Personalsysteme als führende Quelle an, führen die Identitäten zu einem Bestand zusammen und leiten Berechtigungen aus Werk, Funktion und Kostenstelle ab. Lokale Besonderheiten bleiben dabei erhalten und werden als Varianten einer Rolle geführt.
Zwei Punkte entscheiden über die Akzeptanz eines solchen Rollouts. Der erste ist die Mitbestimmung: Wo Zugriffe protokolliert und ausgewertet werden, ist der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen, und eine früh geschlossene Betriebsvereinbarung verhindert, dass ein technisch fertiges Projekt am Ende stillsteht. Der zweite ist die Reihenfolge: Ein Werk, das in laufender Produktion umgestellt wird, verzeiht keine Fehlkonfiguration im Berechtigungsmodell. Wir planen den Rollout deshalb entlang der Produktionskalender und beginnen mit einem Standort, dessen Systemlandschaft repräsentativ, aber nicht kritisch ist.
SAP-Berechtigungen und Funktionstrennung
In vielen Industrieunternehmen laufen Produktion, Logistik, Einkauf und Finanzwesen in SAP zusammen, und die Berechtigungen dort sind über Jahre entlang von Einzelanforderungen gewachsen. Kritisch sind weniger die einzelnen Rechte als ihre Kombinationen: Wer Lieferanten anlegen und zugleich Zahlungen freigeben kann, vereint einen Ablauf in einer Hand, den die Abschlussprüfung getrennt sehen will. Diese Funktionstrennung – im Prüfungs- und SAP-Umfeld meist als Segregation of Duties oder SoD bezeichnet – lässt sich nur beurteilen, wenn die Rollen zentral vorliegen. Wir nehmen die SAP-Rollen deshalb in das übergreifende Berechtigungsmodell auf, machen Konflikte sichtbar und führen Antrag, Genehmigung und Rezertifizierung an einer Stelle zusammen. Genehmigte Ausnahmen bleiben möglich; sie werden dokumentiert, befristet und zum Ablauf erneut bewertet.
Produktionsnetz, Fernwartung und Sammelkennungen
Maschinen und Anlagen laufen über Jahrzehnte, ihre Steuerungen unterstützen häufig keine zeitgemäße Authentisierung, und die Bedienung an den Terminals erfolgt im Schichtbetrieb. Daraus entstehen die beiden typischen Muster im Produktionsnetz: Sammelkennungen an den Bedienplätzen und dauerhaft offene Fernwartungszugänge für Hersteller und Instandhalter. Beide sind im Alltag praktisch und im Angriffsfall der kürzeste Weg von außen an die Fertigung. Die IEC 62443 gibt für Zonen, Übergänge und Rollen im Produktionsnetz einen brauchbaren Rahmen vor, an dem wir das Berechtigungsmodell ausrichten.
Herstellerzugriffe führen wir deshalb über eine kontrollierte Strecke: auf Anforderung freigegeben, zeitlich begrenzt und protokolliert, anstelle eines dauerhaft bestehenden VPN-Tunnels. Für die Bedienplätze suchen wir gemeinsam mit der Instandhaltung nach einem Anmeldeverfahren, das im Takt der Fertigung funktioniert – häufig über Kartenleser oder gerätegebundene Anmeldung –, damit personalisierte Zugriffe die Arbeit nicht verlangsamen. Wo eine Umstellung an der Technik scheitert, wird die verbleibende Sammelkennung dokumentiert, in ihren Rechten beschnitten und kompensierend überwacht, statt unsichtbar weiterzulaufen.
NIS-2 erreicht auch das verarbeitende Gewerbe
Mit NIS-2 fallen Teile der Industrie erstmals unter eine Cybersicherheitsregulierung, die zuvor vor allem für Betreiber Kritischer Infrastrukturen galt. Erfasst sind unter anderem der Maschinenbau, die Herstellung von Datenverarbeitungsgeräten und elektronischen Erzeugnissen sowie der Fahrzeugbau, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Art. 21 der Richtlinie verlangt ausdrücklich Konzepte für die Zugriffskontrolle und die Sicherheit der Lieferkette; die Geschäftsleitung haftet für die Billigung und Überwachung der Maßnahmen persönlich. Für Zulieferer kommt die Anforderung zusätzlich über die Kundenseite: Wer an regulierte Abnehmer liefert, beantwortet deren Fragebögen zu Rollen, Zugriffsprotokollen und Least Privilege – und tut das leichter mit einem Modell, aus dem sich die Antworten auslesen lassen.
Vom gewachsenen Standortmodell zum konzernweiten Rollenmodell
Ausgangslage
Industrieunternehmen wachsen über Zukäufe und Standortgründungen, und die Benutzerverwaltung wächst mit: mehrere Active-Directory-Strukturen, mehrere Personalsysteme, lokale Fachanwendungen je Werk, dazu Leiharbeit, Werkverträge und Fremdpersonal in wechselnder Besetzung. Solange kein System führend ist, beschreibt jede Berechtigungsauswertung nur den Stand eines einzelnen Standorts. Fragen, die konzernweit gestellt werden – wer hat Zugriff auf die Konstruktionsdaten, wer kann in SAP Lieferanten anlegen und Zahlungen freigeben – lassen sich dann nicht in einem Durchgang beantworten.
Unser Vorgehen
Wir bauen zuerst die Grundlage und danach die Automatisierung: • Personalsysteme als führende Quelle anbinden und die Identitäten der Gesellschaften zu einem Bestand zusammenführen, • ein Rollenmodell entlang Werk, Funktion und Kostenstelle entwerfen, das internationale Unterschiede als Varianten abbildet statt als Sonderfälle, • SAP-Berechtigungen in das Modell aufnehmen und Konflikte in der Funktionstrennung sichtbar machen, • Joiner-, Mover- und Leaver-Abläufe automatisieren, einschließlich der Identitäten von Fremdpersonal mit Ablaufdatum, • Fernwartungs- und Administratorzugriffe über eine kontrollierte, protokollierte Strecke führen, • Betriebsrat und Datenschutz früh einbinden, da Protokollierung und Auswertung von Zugriffen mitbestimmungspflichtig sein können, • den Rollout je Werk in einer Reihenfolge planen, die Produktionsstillstände ausschließt.
Woran Sie den Erfolg messen
Belastbar sind Kennzahlen, die sich aus dem System auslesen lassen: Wie viele Tage vergehen zwischen Eintritt und vollständiger Arbeitsfähigkeit an einem Standort? Wie schnell sind Rechte nach einem Austritt konzernweit entzogen, nicht nur im lokalen Verzeichnis? Wie viele Konflikte in der Funktionstrennung bestehen in SAP, und wie viele davon sind bewusst genehmigt statt unbemerkt? Wie viele Fernwartungszugänge stehen dauerhaft offen? Und wie hoch ist der Anteil personalisierter Anmeldungen an den Bedienplätzen in der Fertigung?
Bereit für mehr IT-Sicherheit?
Kontaktieren Sie uns noch heute, um zu besprechen, wie wir Ihr Industrieunternehmen schützen können.