Wenn ein Industriestandort nicht über Glasfaser verfügt, darf die Überwachung kein dauerhafter Kompromiss sein. Eine gut konzipierte SCADA-Architektur über 4G LTE ermöglicht die Anbindung von Pumpstationen, Umspannwerken, landwirtschaftlichen Anlagen, abgelegenen Standorten oder mobilen Einheiten mit einem permanenten VPN, kontrollierter Dienstqualität, doppelter Netzbetreiber-Konnektivität und Sicherheitsregeln, die auf OT-Netzwerke zugeschnitten sind.
Warum sollte man ein SCADA-System über 4G LTE verbinden?
Herkömmliche SCADA-Architekturen wurden oft für private kabelgebundene Netzwerke konzipiert: dedizierte Glasfaserverbindungen, MPLS, Mietleitungen oder ausgedehnte industrielle Ethernet-Netzwerke. In der Praxis verfügen viele Standorte jedoch nicht über diese Möglichkeit. Sie nutzen mangels zuverlässiger Konnektivität nach wie vor 2G-, 3G- oder GPRS-Zugänge, private Funkverbindungen, instabiles ADSL oder müssen auf manuelle Eingriffe zurückgreifen.
Industrielles 4G LTE eignet sich für diesen Anwendungsfall, sofern man es nicht wie eine einfache Internet-Box behandelt. Ein Mobilfunknetz für Privatkunden weist für eine SCADA-Umgebung mehrere Einschränkungen auf:
- Unkontrollierte IP-Adressierung hinter dem NAT des Netzbetreibers;
- Schwankende Latenz je nach Funkzelle, Funkauslastung und Signalqualität;
- fehlende Priorisierung der industriellen Datenströme;
- Abhängigkeit von einem einzigen Mobilfunkbetreiber;
- Schwierigkeiten beim Aufbau eingehender Verbindungen aus dem Kontrollraum;
- zu große Angriffsfläche, wenn der Router zum Internet hin offen ist;
- unzureichende Überwachung der Funkqualität, des VPN-Tunnels und der OT-Datenströme.
Eine robuste 4G-LTE-SCADA-Architektur basiert daher auf drei Schichten: einem industriellen Mobilfunkzugang, einem kontrollierten VPN-Tunnel und einer strikten Trennung zwischen IT, DMZ und OT.
Zielarchitektur
Das empfohlene Verfahren besteht darin, am Remote-Standort ein Eziwan-Industrie-Gateway zu installieren. Dieses richtet einen ausgehenden VPN-Tunnel zu einem zentralen Konzentrator ein, der sich im Kontrollraum, im Rechenzentrum oder in einer kontrollierten Cloud-Umgebung befindet. Der SCADA-Server kommuniziert anschließend über private Adressen des Tunnels mit den SPSen, so als befände er sich in einem standortübergreifenden Netzwerk.
Dieser Ansatz verhindert, dass die Steuerungen dem Internet ausgesetzt sind. Der Remote-Standort initiiert die VPN-Verbindung selbst, was die Durchleitung über die Mobilfunknetze der Betreiber vereinfacht und den Bedarf an Firewall-Regeln vor Ort begrenzt.
Die unverzichtbaren Komponenten
Eine zuverlässige mobile SCADA-Architektur hängt nicht von einem einzigen Gerät ab. Sie vereint mehrere technische Funktionen, die gemeinsam konzipiert werden müssen.
| Komponente | Funktion | Bewährte Vorgehensweisen |
|---|---|---|
| Industrielles 4G-LTE-Gateway | Verbindet den Remote-Standort mit dem Mobilfunknetz | Robustes Modell, DIN-Schiene, industrielle Stromversorgung, geeignete Antennen |
| Dual-SIM | Verringert die Abhängigkeit von einem Netzbetreiber | SIM-Karten von zwei verschiedenen Netzbetreibern, Funk-Tests vor Ort |
| Permanentes VPN | Verschlüsselt und stabilisiert den Datenverkehr | Ausgehender OpenVPN- oder IPsec-Tunnel, Zertifikate, feste Tunnel-IP |
| QoS | Priorisiert wichtige SCADA-Datenströme | DSCP-Markierung, Prioritätswarteschlangen, Begrenzung nicht kritischer Datenströme |
| OT-Firewall | Reduziert die Angriffsfläche | Whitelist nach IP, Port und industriellem Protokoll |
| Netzwerküberwachung | Erkennt Abweichungen vor einem Ausfall | Überwachung von RSSI, RSRP, SINR, Latenz, Paketverlusten und Tunnelstatus |
| Zentraler Konzentrator | Aggregiert die Standorte | Hochverfügbarkeit, Protokollierung, Segmentierung nach Standort |
Bei einem standortübergreifenden SCADA-System ist es vorzuziehen, einen zentralen VPN-Konzentrator zu verwenden, anstatt unabhängige Direktverbindungen zu jedem einzelnen 4G-Router herzustellen. Die Verwaltung von Zertifikaten, Routing-Regeln, Protokollen und Zugriffsrechten wird dadurch wesentlich vereinfacht.
SCADA-VPN: OpenVPN oder IPsec?
Beide Ansätze sind möglich. Die richtige Wahl hängt vom Netzwerkkontext, den Sicherheitsanforderungen und den Gewohnheiten des IT-Teams ab.
| Kriterium | OpenVPN | IPsec |
|---|---|---|
| Durchquerung von mobilem NAT | Sehr gut | Je nach Konfiguration unterschiedlich |
| Zertifikatsverwaltung | Einfach und übersichtlich | Strenger, manchmal komplexer |
| Integration in Unternehmens-Firewall | Einfach über einen einzigen Port | Standard in Netzwerkumgebungen |
| Leistung | Ausreichend für die meisten SCADA-Datenflüsse | Sehr gut mit Hardwarebeschleunigung |
| Fehlerbehebung vor Ort | In der Regel einfacher | Erfordert fundiertere Netzwerkkenntnisse |
In beiden Fällen muss der Tunnel vom Remote-Standort zum Konzentrator initiiert werden. Dadurch werden die Einschränkungen nicht-öffentlicher mobiler IP-Adressen umgangen und das Öffnen eines eingehenden Ports zum OT-Netzwerk vermieden.
Servicequalität: Die richtigen Datenströme priorisieren
Ein SCADA-System benötigt in den meisten Fällen keine enorme Bandbreite. Es benötigt vor allem eine stabile Latenz, einen geringen Paketverlust und eine klare Priorisierung für den kritischen Datenverkehr.
Zu den typischen Abläufen, die vorrangig behandelt werden sollten, gehören:
- Modbus TCP auf Port 502;
- OPC UA auf Port 4840;
- EtherNet/IP auf Port 44818;
- DNP3 auf Port 20000;
- Industrielles MQTT, wenn es prioritäre Telemetriedaten überträgt;
- VPN-Überwachung und Tunnelüberwachung.
Die Ströme, die begrenzt oder isoliert werden müssen, sind:
- Software-Updates;
- grafischer Fernzugriff;
- Übertragung großer Dateien;
- Videoüberwachung;
- nicht kritische Cloud-Synchronisierung;
- Surfen im Internet vom Standort aus.
Die QoS muss so nah wie möglich am Standort angewendet werden, bevor die Funkverbindung ausgelastet ist. Sie kann DSCP-Markierung, Durchsatzbegrenzung, Priorisierung nach Port sowie Regeln nach Quell- oder Ziel-IP-Adresse kombinieren.
Dual-SIM und Netzbetreiber-Redundanz
Die Dual-SIM-Funktion ist nur dann sinnvoll, wenn sie richtig genutzt wird. Zwei SIM-Karten desselben Anbieters im selben Funkbereich bieten keinen Schutz vor einem Antennenausfall, Netzwartungsarbeiten oder lokaler Überlastung. Bewährt ist es, zwei verschiedene Anbieter zu nutzen, deren Antennen richtig positioniert sind und bei denen eine tatsächliche Funkmessung vor Ort durchgeführt wurde.
Die Umschaltung kann anhand verschiedener Kriterien ausgelöst werden:
- vollständiger Verbindungsverlust;
- VPN-Tunnel nicht verfügbar;
- Latenzzeit über einem festgelegten Schwellenwert;
- anhaltender Paketverlust;
- unzureichendes Funksignal;
- Fehler bei der DNS-Auflösung oder beim Routing zum Konzentrator.
Ein zu drastischer Wechsel kann mehr Instabilität verursachen, als er beseitigt. Die Schwellenwerte sollten eine Verzögerung vorsehen, beispielsweise mehrere aufeinanderfolgende Fehlversuche, bevor die SIM-Karte gewechselt wird.
OT-Sicherheit: Steuerungen niemals ungeschützt lassen
Ein an eine SPS angeschlossener 4G-Router darf nicht zu einem offenen Gateway zwischen dem Internet und dem industriellen Netzwerk werden. Die Regeln müssen dem Prinzip der geringsten Berechtigungen folgen: Es sind nur die für das SCADA-System notwendigen Datenströme zu identifizierten Geräten zulässig.
Zu einer sicheren Konfiguration gehören in der Regel:
- verschlüsselter VPN-Tunnel mit individuellen Zertifikaten;
- Deaktivierung nicht benötigter Dienste auf dem Gateway;
- Stateful-Firewall zwischen dem VPN und dem OT-LAN;
- Whitelist der zugelassenen SCADA-Adressen;
- Filterung nach industriellen Ports;
- Segmentierung nach VLAN, falls mehrere OT-Zonen nebeneinander bestehen;
- Protokollierung der Verbindungen;
- vom Überwachungsverkehr getrennter Administratorzugriff;
- starke Authentifizierung für Remote-Bediener;
- Rotation und Widerruf von Zertifikaten.
Um die Architektur an einem Ansatz zur industriellen Cybersicherheit auszurichten, beachten Sie bitte die Grundsätze der IEC 62443 und die Empfehlungen der ANSSI zur Cybersicherheit industrieller Systeme.
Kompatibilität mit Schneider, Siemens, AVEVA und Ignition
Eine SCADA-Architektur über 4G LTE funktioniert mit den gängigen Überwachungsplattformen, sofern das Routing, die Ports und die Zykluszeiten korrekt konfiguriert sind.
| Ökosystem | Häufige Protokolle | Zu prüfende Punkte |
|---|---|---|
| Schneider EcoStruxure | Modbus TCP, OPC UA | Timeout, Polling, SPS-Adressierung |
| Siemens WinCC und TIA Portal | S7, OPC UA, Profinet je nach Verwendung | Routing, zulässige Ports, Lesezyklen |
| AVEVA Wonderware | OPC DA, OPC UA, SQL, Anwendungsdienste | Windows-Abhängigkeiten und Segmentierung |
| Ignition | OPC UA, MQTT, SQL | Store-and-Forward, OPC-UA-Zertifikate |
| Historische Überwachung | SQL, MQTT, API | Ausfalltoleranz und Wiederherstellung |
Man muss jedoch zwischen Überwachung und Echtzeitsteuerung unterscheiden. 4G LTE eignet sich sehr gut für Überwachung, Telemetrie, Alarme, nicht kritische Steuerungen und Fernbetrieb. Es ist nicht dazu gedacht, einen deterministischen Feldbus für schnelle Regelkreise oder Sicherheitskreise zu ersetzen.
Latenz, Polling und SCADA-Einstellungen
Die Stabilität eines SCADA-Systems über 4G hängt sowohl von der Anwendungskonfiguration als auch vom Netzwerk ab. Zu aggressive Abfragezyklen können die Verbindung unnötig überlasten und Schwankungen in der Latenz verstärken.
Bewährte Verfahren für die Einstellung:
- die Modbus-Abfragen in zusammenhängende Bereiche gruppieren;
- wiederholte Einzelabfragen auf verstreute Register vermeiden;
- die Timeouts erhöhen, um dem Mobilfunknetz Rechnung zu tragen;
- kritische Tags von Komfort-Tags trennen;
- die Daten lokal speichern, sofern ein Netzwerkausfall akzeptabel ist;
- MQTT oder Store-and-Forward für nicht-interaktive Daten verwenden;
- den Paketverlust überwachen, anstatt nur die Datenrate zu betrachten.
Bei einer klassischen Überwachung kann ein Zyklus von 500 ms bis zu einigen Sekunden realistisch sein, je nach Abdeckung, Funkauslastung, Anzahl der Standorte und Anzahl der Tags. Die genauen Werte müssen durch Messungen vor Ort überprüft werden, da sie stark vom Netzbetreiber, der Antenne, der Funkzelle und der industriellen Umgebung abhängen.
Typische Implementierung an einem Standort ohne Glasfaseranschluss
Eine gut vorbereitete Einführung lässt sich zwar schnell durchführen, muss aber nach einer klaren Methode erfolgen.
1. Radio-Audit
Messen Sie vor der Installation die Netzabdeckung der vor Ort verfügbaren Netzbetreiber. Nützliche Kennzahlen sind RSSI, RSRP, RSRQ und SINR. Ein guter Signalpegel allein reicht nicht aus: Ein niedriger SINR-Wert kann trotz eines hohen Empfangsbalkens zu Instabilität führen.
2. Adressierungsschema
Legen Sie die IP-Bereiche für das OT-LAN, den VPN-Tunnel und die zentralen Netzwerke fest. Vermeiden Sie allzu häufig verwendete Bereiche wie 192.168.0.0/24 oder 192.168.1.0/24, da diese bei der Vernetzung mehrerer Standorte häufig zu Konflikten führen.
3. VPN-Konfiguration
Richten Sie das Zertifikat des Standorts, die feste Tunneladresse, die zulässigen Routen und die Firewall-Regeln ein. Jeder Standort muss unabhängig identifizierbar und widerrufbar sein.
4. OT-Filterung
Erlauben Sie nur die erforderlichen Datenverbindungen. So kann beispielsweise einem SCADA-Server gestattet werden, über Modbus TCP auf Port 502 eine Verbindung zu einer SPS herzustellen, ohne dass er allgemeinen Zugriff auf das gesamte industrielle Netzwerk erhält.
5. Funktionstests
Überprüfen Sie die Messwerte, Alarme, die Protokollierung, die zulässigen Befehle und das Verhalten bei vorübergehenden Ausfällen. Testen Sie auch die SIM-Umschaltung, nicht nur den Nennbetrieb.
6. Unterstellung unter Aufsicht
Fügen Sie das Gateway zum Netzwerküberwachungs-Dashboard hinzu. Die Warnmeldungen sollten den VPN-Tunnel, die Funkqualität, die Latenz, den Paketverlust und SIM-Wechsel abdecken.
Beispiel für Filterregeln
Hier ist ein typisches Firewall-Schema für eine fernüberwachte Pumpanlage.
| Quelle | Ziel | Port | Aktion | Kommentar |
|---|---|---|---|---|
| SCADA-Server | Pumpensteuerung | 502 | Zulassen | Modbus-TCP-Lese- und Schreibzugriff |
| Historian-Server | Eziwan-Gateway | 161 | Zulassen | SNMP-Überwachung, falls verwendet |
| OT-Admin-Workstation | Eziwan-Gateway | 443 | Zulassen | Verwaltung ausschließlich über VPN |
| Alle anderen VPN-Verbindungen | OT-LAN | Alle | Blockieren | Standardmäßig abgelehnt |
| OT-LAN | Internet | Alle | Blockieren | Kein direkter, unkontrollierter Datenausgang |
Diese Vorgehensweise verhindert, dass ein VPN-Zugang zu einem uneingeschränkten Zugang zum gesamten industriellen Netzwerk wird.
Beispiel für eine Anwendungskonfiguration
Bei einem SCADA-Server, der eine SPS über Modbus TCP abfragt, sind in der Regel folgende Parameter zu überprüfen:
IP-Adresse der SPS: 10.80.12.10
Port : 502
Timeout: 2 bis 5 Sekunden, je nach Messung vor Ort
Retries : 2 ou 3
Cycle tags critiques : 1 seconde
Nicht kritische Zyklus-Tags: 5 bis 30 Sekunden
Auftragsbuchung: Bestätigung durch die Anwendung erforderlich
Diese Werte dienen als Richtwerte für die Auslegung und stellen keine allgemeingültigen Garantien dar. Sie müssen nach Tests hinsichtlich Latenz, Verlusten und tatsächlicher Belastung angepasst werden.
Überwachung der Konnektivität
Ein 4G-LTE-SCADA-Dashboard soll den OT- und IT-Teams einen Überblick verschaffen. Die nützlichsten Kennzahlen sind:
- Status des VPN-Tunnels;
- Aktiver Netzbetreiber;
- Aktive SIM-Karte;
- RSRP-Pegel;
- SINR-Qualität;
- Durchschnittliche und maximale Latenz;
- Paketverlust;
- Verbrauchte Datenmenge;
- Letzter Neustart;
- Letzter SIM-Wechsel;
- Firewall-Fehler oder blockierte Versuche.
Anhand dieser Überwachung lassen sich Ausfälle der SPS, Ausfälle des lokalen Netzwerks, Funküberlastung und Unterbrechungen des VPN-Tunnels unterscheiden.
Häufige Anwendungsfälle
Die industrielle Überwachung über 4G LTE eignet sich besonders für Standorte, an denen die Kosten, die Zeitaufwände oder die Machbarkeit einer Glasfaserverbindung mit dem Betrieb nicht vereinbar sind.
Beispiele für Szenarien:
- Pump- und Wasseraufbereitungsanlagen;
- Umspannwerke;
- landwirtschaftliche Silos und Bewässerungsanlagen;
- Steinbrüche, Bergwerke und temporäre Standorte;
- Häfen, Logistikterminals und abgelegene Gebiete;
- Heizungsanlagen, dezentrale Produktionsanlagen und Technikgebäude;
- bei Kunden installierte OEM-Maschinen;
- standortübergreifende Überwachung mit schrittweiser Einführung.
In solchen Umgebungen geht es nicht nur darum, eine Verbindung herzustellen. Es geht darum, diese Verbindung langfristig nutzbar, überprüfbar und sicher zu machen.
Häufige Fallstricke
Bei SCADA-Projekten im Mobilfunknetz treten häufig bestimmte Fehler auf.
- eine handelsübliche SIM-Karte ohne Garantie und ohne Überwachung zu verwenden;
- den 4G-Router mit Portweiterleitung offen zu lassen;
- die werkseitigen Passwörter beizubehalten;
- die Dual-SIM-Umschaltung nicht zu testen;
- die SINR-Qualität zu ignorieren und nur auf die Signalstärke zu achten;
- den gesamten VPN-Datenverkehr ungefiltert in das gesamte OT-LAN durchlassen;
- Fernwartung, Videoüberwachung und SCADA-Abfragen ohne QoS vermischen;
- zu kurze Abfragezyklen konfigurieren;
- die Sperrung von Zertifikaten für Dienstleister vergessen;
- die zulässigen Routen und Datenflüsse nicht dokumentieren.
Führen Sie vor der Inbetriebnahme einen Unterbrechungstest durch: Trennen Sie die Hauptantenne, erzwingen Sie einen Tunnelausfall und überprüfen Sie anschließend die Wiederherstellung auf der SCADA-Seite. Ein zuverlässiges System zeigt sich auch in Übergangsphasen.
Wo lässt sich Eziwan in Ihre Architektur integrieren?
Eziwan kann als industrielles Gateway vor Ort, als VPN-Konzentrator für mehrere Standorte oder als komplette OT-Konnektivitätsarchitektur eingesetzt werden. Ziel ist es, einen kontrollierten Fernzugriff bereitzustellen, der den Anforderungen industrieller Umgebungen und den Bedürfnissen der Betriebsteams gerecht wird.
Weitere Informationen finden Sie auf den Seiten zum Eziwan-Gateway, zu den Cloud-Angeboten und zu den Lösungen für die industrielle Konnektivität. Diese Bausteine lassen sich kombinieren, um ein glasfaserloses SCADA-Überwachungssystem mit zentraler Verwaltung und einheitlichen Sicherheitsrichtlinien aufzubauen.
Fazit
SCADA über 4G LTE ist eine realistische Lösung für die Anbindung von Industrieanlagen ohne Glasfaseranschluss, vorausgesetzt, die Regeln einer soliden OT-Architektur werden eingehalten: ausgehender VPN-Tunnel, Dual-SIM, QoS, strenge Filterung, Netzwerküberwachung und Failover-Tests. 4G ersetzt zwar kein lokales deterministisches Netzwerk, kann jedoch zu einer zuverlässigen Überwachungsverbindung für abgelegene, mobile oder schwer anzuschließende Standorte werden.
Mit einem industriellen Eziwan-Gateway, einem VPN-Konzentrator und einer auf industrielle Protokolle abgestimmten Konfiguration können die Teams ihre Steuerungen überwachen, ihre Daten protokollieren und Fernzugriffe durchführen, ohne das OT-Netzwerk zu gefährden oder auf eine lange und kostspielige Glasfaserverlängerung angewiesen zu sein.
Weiterführende Informationen
- SCADA-Cloud – in der Cloud gehostete SCADA-Architektur für Standorte ohne Glasfaseranschluss
- Industrieller Fernzugriff – Sichern Sie den Zugriff auf SCADA-Geräte über das 4G-Netz
- Industrieller 4G-Router – Wählen Sie den richtigen 4G-Router für Ihre SCADA-Feldarchitektur
- Industrieprotokolle — Modbus, DNP3, IEC 104 und weitere SCADA-Protokolle im IP-Netzwerk
- Überwachung und Fernwartung — Ergänzen Sie Ihr 4G-SCADA-System um eine Ebene für die operative Fernwartung