Digitale Geschäftsmodelle im Maschinenbau
DSGVO und Datenschutz – Bremse für das IoT?
Wer seinen Maschinenpark dem Internet öffnet, dem stellen sich Fragen zur Sicherheit der Daten. Wegen dieser Bedenken zögern Maschinenbauer oft, datenbasierte Geschäftsmodelle anzubieten und umzusetzen. Doch ist die Sorge berechtigt? Alexander Niemann, CEO bei Smartsquare, ordnet ein.
Wie können Maschinenbauer angesichts von günstig produzierender Konkurrenz und der digitalen Transformation wettbewerbsfähig bleiben? Eine Möglichkeit sind plattformbasierte digitale Geschäftsmodelle. Sie führen Anlagen und Kunden zusammen: Maschinenbauer erhalten Einblicke in Betriebsdaten der Maschinen und können Ersatzteile, Instandhaltung und Reparaturen als weitere After-Sales-Umsatzquellen etablieren. Maschinenbauer wissen jedoch oft nicht, wie sie die Datensicherheit gewährleisten sollen – das Internet erscheint unsicher und die DSGVO bereitet Sorgen. Doch so hoch sind die Hürden für eine sichere Datenverarbeitung nicht. Wichtig ist, die verschiedenen Problemstellungen getrennt zu betrachten, weil ihnen unterschiedlich zu begegnen ist.
Das Internet ist zu unsicher
Maschinenbauer halten das Internet für unsicher: Im Worst Case können Daten von Unbefugten gelesen oder manipuliert werden. Jede Internetverbindung bzw. Anwendung, die im Internet läuft, erhöht die Wahrscheinlichkeit eines Hackerangriffs. Jede Software kann quasi ein Einfallstor darstellen und Angreifer darüber Zugriff auf andere Systeme erhalten. Maschinenschäden, Produktionsstillstände oder Erpessungsversuche sind die Folge. Unternehmen sollten diese Gefahren zwar ernst nehmen und Abwehrstrategien aufsetzen. Hysterie ist jedoch der falsche Weg. Es ist wichtig, dass IoT-Software über eine solide Sicherheitsarchitektur verfügt und diese systematisch in allen Bereichen umgesetzt wird. Dazu gehören unter anderem die Segmentierung von Netzwerken und Systemen, eine starke Datenverschlüsselung sowie Authentifizierungs- und Autorisierungskonzepte. Die Softwarearchitektur muss so gestaltet sein, dass sie keinen direkten Zugriff von außen erlaubt. Mit nachrichtenbasierten Konzepten spezieller IoT-Protokolle ist das leicht möglich. Auf der Quelltextebene muss durch Coding und automatisierte Qualitätskontrolle das Risiko für versehentlich eingebaute Sicherheitslücken möglichst reduziert werden. Außerdem ist es wichtig, dass Anbieter einen Überblick über aktuelle Angriffstaktiken und potenzielle Sicherheitslücken wie die log4j-Schwachstelle haben und diese zeitnah schließen. Unternehmen sollten darüber hinaus einen Rechenzentrumsbetrieb mit gehärteten Netzwerken und Systemen nutzen – eigene Server sind oft nicht sicher. Sogenannte Denial of Service-Attacken, mit denen Angreifer Server überlasten, können mit der geeigneten Infrastruktur, Tools und Fachpersonal abgewehrt werden. Unternehmen müssen außerdem darauf achten, dass stets der gesamte Software-Stack in der aktuellen verfügbaren Version läuft und Betriebsfehler wie offene Ports oder einfache Passwort-Systeme vermeiden. Darüber hinaus bedarf es Backup-Strategien und Notfallplänen. Unternehmen können dies oft nicht selbst leisten, es aber als Cloud-Services einkaufen. Die gängigste Sicherheitslücke können Unternehmen selbst schließen: Mitarbeiter, die E-Mails mit Schadsoftware öffnen oder fremde USB-Sticks in die Geschäftscomputer stecken. Diese gilt es, zu sensibilisieren. Die neunte Ausgabe von Rockwell Automations „State of Smart Manufacturing“ Report liefert Einblicke in Trends und Herausforderungen für Hersteller. Dazu wurden über 1.500 Fertigungsunternehmen befragt, knapp 100 der befragten Unternehmen kommen aus Deutschland. ‣ weiterlesen
KI in Fertigungsbranche vorn
Hoher Aufwand für den Datenschutz
Maschinenbauer sind oft der Ansicht, dass mit höherem Digitalisierungsgrad auch die Aufwände für den Datenschutz wachsen. Hinzu kommen Unsicherheiten bezüglich DSGVO-bedingter Strafen. Zwar müssen Unternehmen einen gesetzeskonformen Datenschutz implementieren und diesen dokumentieren. Doch auch hier gilt, nicht in Hysterie zu verfallen. Bei Verstößen gegen die DSGVO drohen hohe Strafen bei Vorsatz, Missbrauch und Wiederholung. Einfache Fehler ziehen oft nur Verwarnungen nach sich und und es muss nachgebessert werden. Hinzu kommt, dass die zu verarbeitenden Daten richtig eingestuft werden müssen: Bei digitalen Geschäftsmodellen im Maschinenbau dreht es sich in der Regel um Informationen zu Auslastung, Taktung, Stillstandzeiten oder üblichen Fehlern. Diese fallen nicht unter die DSGVO, die nur personenbezogene Daten schützen soll. In den für Maschinenbauer relevanten Geschäftsmodellen fallen personenbezogene Daten wie Name oder E-Mail etwa für Useraccounts an. Diese sind technisch notwendig und dürfen verarbeitet werden. Für sie gelten dann verschiedene Maßnahmen: So muss im System sichergestellt werden, dass die Daten durch Authentifizierung und Autorisierung geschützt werden. Unternehmen benötigen zudem Konzepte für Datenauskunft und -löschung. Außerdem müssen sie dokumentieren, welche personenbezogenen Daten zu welchem Zweck gespeichert werden. Diese Maßnahmen gelten auch dann, wenn rein technische Daten durch die Software einen Personenbezug erhalten – etwa wenn über die Software ermittelt werden kann, wer an einer Maschine arbeitet. Doch diese Art der Datenzusammenführung findet zum einen meist nicht statt. Und wenn doch, gilt es bereits in der Konzeption wachsam und proaktiv zu sein. Das Manufacturing Execution System (MES) HYDRA optimiert Produktionsprozesse für Fertigungsunternehmen, um Wettbewerbsvorteile zu erzielen. ‣ weiterlesen
MES-Integrator und 360-Grad-Partner für optimierte Fertigung
Gängige Fehler vermeiden
Unternehmen sollten außerdem gängige Fehler vermeiden, etwa die Einbindung von Google Fonts durch Web-Designer. Werden Daten in externen Rechenzentren oder der Cloud verarbeitet oder gespeichert, benötigen Unternehmen eine Auftragsverarbeitungsvereinbarung. Handelt es sich um sensible Daten, sollten Unternehmen auf ein Hosting in der EU Wert legen – das gilt aber nicht, wenn es nur um Namen, E-Mails und Telefonnummern geht. Außerdem kann es sinnvoll sein, durch einen Datenschutzbeauftragten eine Datenschutzerklärung und bei Bedarf eine Auftragsverarbeitungsvereinbarung für die Kunden erstellen zu lassen. Generell ist das Vertragswerk zwischen Maschinenbauer und Softwarepartner kein Hexenwerk. Es regelt, wer welche Daten sehen und wie sie verarbeitet werden dürfen und kann rechtssicher aufgesetzt werden.
Fazit
Oft überschätzen Maschinenbauer die Rolle der DSGVO hinsichtlich ihrer digitalen Geschäftsmodelle. Denn für diese benötigen sie in der Regel nur wenige personenbezogene Daten, für die die Verordnung greift.
