Eziwan SaaS (Zero Trust) vs. TeamViewer + IPSec-VPN (herkömmlich)
| Kriterium | Eziwan SaaS (Zero Trust) | TeamViewer / IPSec-VPN |
|---|---|---|
| Einführung der neuen Website | ✓ Automatische ZTP < 1 Stunde | ✗ 2–4 Tage (Netzwerkingenieur) |
| Sicherheitsarchitektur | ✓ Zero Trust, Zero-Inbound-Port | ✗ Perimeter-VPN (Netzwerkzugang) |
| Detaillierter Prüfpfad | ✓ Protokollierung nach Aktion + wer + wann | ✗ Einfache Verbindungsprotokolle (IP-Adresse + Dauer) |
| Einhaltung der NIS2-Vorschriften | ✓ Native Integration (Zugriff, Protokolle, 2FA) | ✗ Teilweise mit Ausgleichszahlungen |
| Infrastrukturkosten (CAPEX) | ✓ Null (kein Hub/PKI) | ✗ Hoch (Konzentrator, PKI, FW) |
| Gesamtbetriebskosten über 5 Jahre (10 Standorte) | ✓ 70 000-100 000€ | ✗ 95 000-195 000€ |
| Typische MTTR | ✓ < 30 Minuten (sofortiger Zugriff) | ✗ 2–8 Stunden (Anfahrt möglich) |
| Lösungsquote beim ersten Anruf | ✓ 65-80% | ✗ 30-50% |
| Mobilität des Technikers | ✓ Webbrowser oder mobile App | ✗ VPN-Client + TeamViewer auf dem PC erforderlich |
| Kompatibilität mit OT-Steuerungen | ✓ Modbus RTU/TCP, SNMP, RS-485 | ✗ Nur Windows (TeamViewer) |
| CMMS/EAM-Integration | ✓ Native REST-API (SAP PM, Maximo) | ✗ Nicht vorhanden (manueller Zugriff) |
| Zwei-Faktor-Authentifizierung (2FA) | ✓ Integriert (TOTP/FIDO2) | Optional (manuelle Konfiguration) |
| DSGVO-Konformität – Protokolle | ✓ Hosting in der EU, Artikel 28 der Datenschutzrichtlinie | Je nach Konfiguration unterschiedlich |
| Skalierbarkeit über mehrere Standorte hinweg | ✓ Sofort (Selbstbedienung) | ✗ Komplex (Netzwerkkonfiguration pro Standort) |
| Instandhaltung der Infrastruktur | ✓ Null (verwaltete Cloud, automatische Updates) | ✗ Aufwändig (Server + Zertifikate + Regeln) |
8 Aspekte zum Vergleich von SaaS-basierter und herkömmlicher industrieller Fernwartung
Die Inbetriebnahme eines Eziwan-Gateways an einem neuen Standort dauert dank Zero-Touch-Provisioning weniger als eine Stunde: anschließen, mit Strom versorgen, SIM-Karte einlegen. Das Gateway verbindet sich mit der Cloud-Plattform, lädt seine Konfiguration herunter, baut den OpenVPN-Tunnel auf und ist betriebsbereit. Eine herkömmliche IPSec-VPN-Infrastruktur erfordert: die Konfiguration des Konzentrators in der Zentrale, Firewall-Regeln auf beiden Seiten, die Erstellung von PKI-Zertifikaten pro Standort, Tests der Verbindung in beide Richtungen sowie die Netzwerkdokumentation. Bei 10 Standorten beläuft sich der Vorteil von Eziwan auf 2 bis 4 Wochen eingesparte Entwicklungsarbeit, was 20.000 bis 40.000 Euro entspricht.
Der IPSec-VPN-Ansatz mit Perimeter-Sicherheit gewährt nach der Verbindung einen umfassenden Netzwerkzugang. Ein Techniker mit VPN-Zugang kann potenziell auf alle Geräte im OT-Netzwerk zugreifen, nicht nur auf diejenigen, für die er berechtigt ist – dies ist die „Seitwärtsbewegung“, ein wesentlicher Angriffsvektor bei Vorfällen im Bereich der industriellen Cybersicherheit. Eziwan wendet das Zero-Trust-Prinzip an: Jeder Zugriff wird authentifiziert, anhand detaillierter Richtlinien autorisiert (Techniker X, Gerät Y, von 9 bis 17 Uhr, an Werktagen) und protokolliert. Das ist der Unterschied zwischen „Zugang zum Gebäude“ und „Zugang zu Raum X zwischen 9 und 17 Uhr mit Anwesenheitsprotokoll“.
Bei 10 Industriestandorten unterscheiden sich die Gesamtbetriebskosten (TCO) über einen Zeitraum von 5 Jahren erheblich. Herkömmliches IPSec-VPN: CAPEX für Concentrator 10.000 bis 20.000 Euro + Firewalls 10.000 bis 20.000 Euro + PKI 5.000 Euro + Implementierungsaufwand 30.000 bis 50.000 Euro + jährliche Wartung10.000 bis 20.000 Euro × 5 = 105.000 bis 195.000 Euro. Eziwan SaaS: Gateway 1.000 Euro × 10 = 10.000 Euro + Abonnement 100 Euro × 10 Standorte × 60 Monate = 60.000 Euro = Gesamt-TCO 70.000 Euro. Einsparung: 35.000 bis 125.000 Euro über 5 Jahre. Je größer die Infrastruktur, desto deutlicher ist der SaaS-Vorteil.
NIS2 (seit Oktober 2024 in nationales Recht umgesetzt) schreibt für wichtige und kritische Einrichtungen ein Zugriffsmanagement, eine Protokollierung sowie die Fähigkeit zur Reaktion auf Vorfälle vor. Eziwan stellt den erforderlichen Prüfpfad von Haus aus bereit: Jede Verbindung, jede Modbus-Aktion und jeder Download wird mit einem Zeitstempel versehen und einem Benutzer zugeordnet, der anhand seines Geräts identifiziert wird. Die Norm IEC 62443 (Cybersicherheit von Automatisierungs- und Steuerungssystemen) empfiehlt eine Segmentierung nach Zonen und Kanälen, die von Eziwan ohne Änderung der OT-Infrastruktur umgesetzt wird. Ein NIS2-Audit mit einer Eziwan-Lösung lässt sich innerhalb weniger Stunden dokumentieren; bei einem herkömmlichen VPN müssen die Protokolle manuell rekonstruiert werden.
Die MTTR (Mean Time To Repair) ist der konkreteste ROI-Indikator für die Fernwartung. Bei einer herkömmlichen VPN-Lösung muss ein Techniker, der keine Fernverbindung herstellen kann, vor Ort anreisen: 2 bis 8 Stunden Anfahrt zu einem entfernten Standort + 1 Stunde Einsatzzeit = MTTR von 3 bis 9 Stunden. Mit Eziwan wird die Verbindung in weniger als 5 Minuten über jeden beliebigen Browser hergestellt: MTTR < 30 Minuten in 70 % der Fälle. Die First-Call-Resolution-Rate (ohne Anfahrt gelöste Vorfälle) steigt von 30 bis 50 % bei VPN auf 65 bis 80 % mit Eziwan. Bei 50 Standorten mit 200 Vorfällen pro Jahr bedeutet die Reduzierung der Vor-Ort-Einsätze eine Einsparung von 50.000 bis 100.000 Euro jährlich.
Eziwan lässt sich über REST-APIs und Webhooks nativ in Instandhaltungsmanagementsysteme (CMMS) und Anlagenmanagementsysteme (EAM) integrieren. Wenn Eziwan einen Alarm erkennt (überschrittener Modbus-Schwellenwert, Gerät offline, ungewöhnliche Stromschwankung), löst es automatisch einen Webhook aus, der einen Arbeitsauftrag in SAP PM, IBM Maximo, Infor EAM oder CARL Source erstellt. Die historischen Gerätedaten (Verbrauchskurven, Betriebsstundenzähler) ergänzen das CMMS und dienen der Optimierung der Intervalle für die vorbeugende Instandhaltung. Diese Integration ist der erste Schritt in Richtung vorausschauender Instandhaltung: Die Eziwan-Daten speisen Algorithmen zur Anomalieerkennung, die Ausfälle vorhersagen, bevor sie auftreten.
Die SaaS-Fernwartung wirft berechtigte Fragen hinsichtlich des Dateneigentums und der DSGVO-Konformität auf. Eziwan hostet die Daten in Europa (EU) auf der Grundlage einer Datenverarbeitungsvereinbarung (DPA), die Artikel 28 der DSGVO entspricht und die Verpflichtungen des Auftragsverarbeiters abdeckt. Die OT-Daten (Modbus-Werte, Alarme, Verlaufsdaten) bleiben Eigentum des Betreibers – Eziwan nutzt sie nicht für kommerzielle Zwecke. Die Zugriffsprotokolle sind verschlüsselt und nur über die authentifizierte API zugänglich. Im Falle einer Kündigung können die Daten im JSON-/CSV-Format exportiert und gemäß den Vertragsbedingungen innerhalb von 30 Tagen gelöscht werden.
Bei einer herkömmlichen VPN-Lösung muss der Techniker einen VPN-Client auf seinem PC installieren (oft nur unter Windows), die persönlichen Zertifikate konfigurieren, eine Verbindung zum Concentrator herstellen und anschließend TeamViewer separat nutzen. Vor Ort, über ein Smartphone oder Tablet, ist dies ohne zusätzliche Konfiguration oft nicht möglich. Eziwan bietet den Zugriff über einen Webbrowser oder eine native iOS-/Android-App: Der Techniker öffnet seinen Browser, authentifiziert sich mit 2FA TOTP (Google Authenticator, Authy) und greift direkt auf die autorisierten OT-Geräte zu. Die Verkürzung der Störungsbehebungszeit ist messbar: Bei Eziwan-Kunden wurde im Durchschnitt eine Verringerung der MTTR um 40 % festgestellt.
4 Beispiele aus der Praxis für den Wandel in der industriellen Fernwartung
Hintergrund: Hersteller von Verpackungsmaschinen mit 300 Maschinen bei Kunden in Frankreich, den Benelux-Ländern und Spanien
Vor der Einführung von Eziwan erforderte jeder Einsatz an einer entfernten Maschine eine Reise von 1 bis 3 Tagen (Anreise + Hotel + Einsatzzeit). Mit Eziwan werden 75 % der Einsätze per Fernwartung in weniger als 2 Stunden vom Ingenieurbüro aus gelöst. Die durchschnittliche MTTR wurde von 18 Stunden auf 2,5 Stunden reduziert. Jährliche Einsparungen bei Service-Reisen: 180.000 Euro. Die Servicetechniker greifen über Modbus TCP von ihrem Browser aus mit 2FA-Authentifizierung auf die Schneider-SPSen vom Typ M340 zu.
Hintergrund: Interkommunaler Verbund, der als bedeutende Einrichtung im Rahmen von NIS2 eingestuft ist, mit 55 Pumpwerken und 3 Kläranlagen
Die Gewerkschaft wurde im Jahr 2025 einem NIS2-Audit durch die ANSSI unterzogen. Dank der Eziwan-Lösung konnten innerhalb von zwei Stunden alle Zugriffsprotokolle der letzten 18 Monate vorgelegt werden: wer, wann, von welchem Gerät aus und auf welche Geräte zugegriffen wurde. Das bisherige IPSec-VPN speicherte lediglich die IP-Verbindungsprotokolle, was für das Audit nicht ausreichte. Die NIS2-Konformität wurde ohne zusätzliche Abhilfemaßnahmen bestätigt. Im Auditbericht wurde Eziwan als bewährtes Verfahren für die OT-Zugangskontrolle genannt.
Hintergrund: Ein Ingenieurbüro, das jährlich für 20 Industriekunden Automatisierungslösungen implementiert
Vor der Einführung von Eziwan umfasste jede Inbetriebnahme die Einrichtung eines kundenspezifischen VPN (2 bis 3 Arbeitstage für die Netzwerkkonfiguration). Mit dem Eziwan-ZTP dauert die Bereitstellung des Gateways vor Ort nur 30 Minuten. Der Systemintegrator hat seine Inbetriebnahmekosten um 3.500 Euro pro Projekt gesenkt. Bei 20 Projekten pro Jahr ergibt sich eine Einsparung von 70.000 Euro. Die Kunden profitieren von einem Lesezugriff auf ihr eigenes Eziwan-Dashboard zur eigenständigen Überwachung.
Hintergrund: Pharmazeutische Produktionsstätte, die den Anforderungen von GAMP5 und 21 CFR Part 11 hinsichtlich der Rückverfolgbarkeit von Eingriffen entspricht
GAMP5 (Good Automated Manufacturing Practice) und 21 CFR Part 11 schreiben vor, dass alle Änderungen an den Geräteparametern mit einer elektronischen Signatur nachverfolgt werden müssen. Eziwan protokolliert jeden Modbus-Eintrag mit der Benutzer-ID, dem zertifizierten NTP-Zeitstempel und dem Hashwert der Aktion, um die Nachvollziehbarkeit zu gewährleisten. Die Eziwan-Protokolle lassen sich im CSV-Format exportieren, das mit pharmazeutischen Auditsystemen kompatibel ist. Die GAMP5-Validierung der Eziwan-Lösung wurde in 3 Wochen abgeschlossen, im Vergleich zu 3 Monaten beim vorherigen VPN.
Die 5 kostspieligsten Fehler bei der Einführung der industriellen Fernwartung
TeamViewer greift auf Windows-Rechner zu, nicht auf Steuerungen. Eine Siemens S7-SPS, ein Schneider-Frequenzumrichter oder ein Modbus-Zähler verfügen über keinen TeamViewer-Agenten. Für echte OT-Fernwartung (Lesen/Schreiben von Modbus-Registern, Ändern von SPS-Parametern) ermöglicht nur ein Netzwerk-Gateway wie Eziwan den Zugriff auf die Geräte über deren native Protokolle.
Das Einrichten einer NAT-Regel auf dem Router, um direkt über das Internet auf eine SPS zuzugreifen, setzt die SPS allen automatischen Scannern aus. Tausende von industriellen Steuerungen sind öffentlich über Ports wie 502 (Modbus) oder 102 (Siemens S7) erreichbar. Der Fernzugriff muss immer über einen ausgehenden VPN-Tunnel (OpenVPN Eziwan) erfolgen, ohne dass eingehende Ports geöffnet werden.
Ohne die Erfassung der MTTR, der First-Call-Resolution-Rate und der Anzahl der vermiedenen Einsätze ist es unmöglich, dem Management den ROI einer Fernwartungslösung nachzuweisen. Legen Sie vor der Einführung KPIs fest, führen Sie drei Monate lang Messungen durch und präsentieren Sie anschließend die Kosten-Nutzen-Analyse. Eziwan exportiert diese Kennzahlen über seine Analyse-API.
Eine SaaS-Fernwartungslösung, die nicht in das CMMS integriert ist, führt zu einer doppelten Erfassung: Der Techniker greift über Eziwan auf die Anlage zu und muss anschließend den Arbeitsauftrag manuell im CMMS anlegen. Die Webhook-Integration von Eziwan → CMMS automatisiert diese Erstellung und ergänzt die Anlagenakte in Echtzeit mit den Einsatzprotokollen.
Ein VPN-Konto, das von drei Technikern gemeinsam genutzt wird, macht die Rückverfolgbarkeit nach NIS2 unmöglich: Wer hat wann was getan? NIS2 schreibt die individuelle Zuweisung von Zugriffsrechten vor. Jeder Techniker muss über ein eigenes Eziwan-Konto mit individuellen Berechtigungen, einer eigenen 2FA und Zugriffsrechten verfügen, die auf die Standorte und Geräte in seinem Zuständigkeitsbereich beschränkt sind.
Welches Fernwartungsmodell eignet sich für Ihre Branche?
Die NIS2-Anforderungen für Betreiber kritischer Infrastrukturen (OIV) verlangen einen lückenlosen Prüfpfad und eine detaillierte Zugriffskontrolle. Eziwan erfüllt diese Anforderungen von Haus aus. Die Fernwartung der 40 bis 200 verstreut liegenden Pumpstationen würde ohne Eziwan Dutzende von wöchentlichen Fahrten erfordern.
Maschinenhersteller betreuen weltweit Hunderte von Maschinen bei ihren Endkunden. Eziwan ermöglicht die Fernwartung direkt vom Konstruktionsbüro aus, ohne dass ein Einsatz vor Ort erforderlich ist, wodurch sich die MTTR von 4 Stunden auf 30 Minuten verkürzt. Für die Kundendienstteams ergibt sich ein sofortiger ROI.
An Standorten, die als SEVESO-Standorte eingestuft sind oder ATEX-Auflagen unterliegen, schreibt die Norm IEC 62443 hohe Sicherheitsstandards vor. Eziwan Zero Trust eignet sich für die meisten Zugriffssituationen. Bei Sicherheitssystemen (SIS) kann je nach den internen Verfahren des Betreibers eine zusätzliche Authentifizierungsebene erforderlich sein.
Die Verwaltung eines Bestands von 50 bis 500 Gebäuden mit reduzierten Wartungsteams ist der ideale Anwendungsfall für Eziwan. Die zentrale Überwachung, automatische Warnmeldungen und die Fernwartung per Smartphone ermöglichen eine Senkung der Betriebskosten um 25 bis 40 % im Vergleich zu herkömmlichen physischen Rundgängen.
Die O&M-Teams (Operations & Maintenance) von Windparks und Solarkraftwerken überwachen Hunderte von Anlagen an Dutzenden von Standorten. Eziwan reduziert die Anzahl der Korrekturmaßnahmen, indem es die Früherkennung von Störungen verbessert und Fernkonfigurationen ohne Vor-Ort-Einsätze ermöglicht.
Die herkömmliche Fernwartung (Modem, selbst gehosteter VPN-Server, Direktzugriffe) funktioniert zwar, wird aber im Maßstab einer gesamten Flotte unüberschaubar und risikobehaftet. Das SaaS-Modell zentralisiert Bereitstellung, Sicherheit und Audit. Hier sind die normativen und betrieblichen Kriterien für die Entscheidung.
Erfordert Zugriffsverwaltung, Nachverfolgbarkeit und Störungsbehebung. Ein SaaS-Portal ermöglicht die zentralisierte Überwachung, die bei verstreuten VPN-Zugriffen nur schwer aufrechtzuerhalten ist.
Anforderungen an Dienstleister und Systeme: namentlich zuordenbare Konten, Prinzip der geringsten Berechtigungen, Protokollierung – nativ in einer Fernwartungsplattform integriert.
Informationssicherheitsmanagement: Ein zertifizierter SaaS-Anbieter bietet ein Sicherheitsniveau, das bei eigenem Hosting durch KMU nur selten erreicht werden kann.
Standort und Datenschutz: Überprüfen Sie den Hosting-Standort (EU/Frankreich) und die Auftragsvergabe des SaaS-Anbieters.
Verschlüsselte Datenübertragung und gegenseitige Authentifizierung mittels Zertifikaten: der gemeinsame Baustein, der jedoch im SaaS-Modell koordiniert und automatisch erneuert wird.
Massenbereitstellung ohne Techniker: Das Gateway lädt beim ersten Start seine Konfiguration und seinen Tunnel herunter – was mit einem manuell eingerichteten VPN-Server nicht möglich ist.
Bei SaaS werden Bereitstellung, Updates, Zugriffssperrung und Audits über ein einziges Portal gesteuert. Beim herkömmlichen Modell muss man VPN-Server, PKI, Datensicherungen und die Verfügbarkeit rund um die Uhr selbst gewährleisten.
| Kriterium | SaaS | Traditionnel |
|---|---|---|
| Einführung | ZTP (Minuten) | Manuelle Konfiguration pro Standort |
| Aktualisierungen | Zentralisierte OTAs | Einsatz nach Ausrüstung |
| Kostenmodell | Vorhersehbare Betriebskosten | Investitionen + versteckte Instandhaltungskosten |
| Hohe Verfügbarkeit | Vom Herausgeber gewährleistet (SLA) | Zu Lasten des Betreibers |
| Audit / Compliance | Zentralisiert, NIS2-nativ | Manuelle Rekonstruktion |
| Skalierung | Linear (1 bis 1000) | Zunehmende Komplexität |
Die wahren Kosten der „herkömmlichen“ Lösung liegen im Verborgenen: Betriebszeit, PKI, Datensicherungen, Bereitschaftsdienst und Sicherheitsrückstand – all dies wird zu Beginn selten beziffert.
Migration von einem überlasteten internen VPN-Server auf eine mandantenfähige SaaS-Plattform: ZTP-Provisioning, benutzerspezifische Zugriffe für Techniker, NIS2-Audit.
Weitere Informationen zur industriellen Fernwartung
In weniger als einer Stunde einsatzbereit. Greifen Sie über Ihren Browser auf Ihre Steuerungen zu. Protokollieren Sie jede Aktion. Entspricht NIS2 und IEC 62443. Native CMMS-Integration.