Verfahren und IntegritätsprüfSystem zur rückwirkungsfreien Integritätsüberwachung

Die Erfindung bezieht sich auf ein Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem Netzwerk mit hoher Sicherheitsanforderung angeordnet ist durch eine Integritätsprüfeinrich- tung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, sowie ein IntegritätsprüfSystem mit einer Integritätsprüfeinrichtung und einer Integritätsmeldeeinrichtung . Sicherheitslösung für die Übertragung von Daten zwischen Netzen mit unterschiedlichen Sicherheitsanforderungen, sogenannte Cross-Domain-Security Lösungen werden bislang für speziel ^¬ le Bereiche, wie Behördenkommunikation, verwendet. Darin gel ^¬ ten hohe Sicherheitsanforderungen, insbesondere für Dokumente mit Sicherheitsklassifikation. Durch eine Cross-Domain-

Lösung, wie beispielsweise in der DE 10 2013 226 171, wird ein automatisierter sicherer Austausch von Dokumenten und Nachrichten zwischen Zonen mit unterschiedlich hohen Sicherheitsanforderungen realisiert.

Andererseits weisen Automatisierungsnetze hohe Anforderungen bezüglich einer Betriebssicherheit auf, d.h. einen störungs ^¬ freien und anwendungssicheren Betrieb der einzelnen Komponenten, sowie bezüglich Echtzeitfähigkeit, Verfügbarkeit und In- tegrität, und wurden daher als isolierte Teilnetze geplant und betrieben. Für die Kopplung von solchen industriellen Steuerungsnetzen mit einem Büronetz, einem öffentlichen Internet oder einem Diagnosenetzwerk, die üblicherweise nur geringen Sicherheitsanforderungen genügen, werden beispielswei- se unidirektionale Daten-Gateways mit Sende- und Empfangskno ^¬ ten, wie in der US 2012 0331 097 AI beschrieben, verwendet. Eine wesentliche Komponente ist dabei eine Datendiode, die einen Transport von Daten lediglich in eine Richtung sicherstellt .

Für die Kopplung von industriellen Steuerungsnetzen mit einem Büronetzwerk oder anderen weiger sicherheitsrelevanten Netzwerken werden auch herkömmliche Firewalls verwendet, die die Datenkommunikation nach konfigurierbaren Filterregeln filtern. Es sind auch Firewalls bekannt, die ein Windows-Lauf ^¬ werk eines Automatisierungsnetzwerks auf der anderen Seite der Firewall, beispielsweise im wenig sicherheitskritischen

Netzwerk, als Nur-Lese-Laufwerk sichtbar machen, das Laufwerk dabei also spiegeln. Dadurch kann außerhalb des Automatisie ^¬ rungsnetzwerks der Inhalt des Netzlaufwerks auf Viren und un ^¬ zulässige Änderungen analysiert werden. Die Datenkommunikati- on wird dabei abhängig von den Adressen der Kommunikationspartner und dem verwendeten Kommunikationsprotokoll zugelas ^¬ sen oder blockiert.

Es ist desweiteren bekannt, eine Netzwerkverbindung über eine Applikations-Proxy zu führen, der auf Transportebene bei ^¬ spielsweise eine TCP-Verbindung terminiert. Solchen Lösungen garantieren jedoch keine Rückwirkungsfreiheit in der erforderlichen Güte. In sicherheitskritischen Netzen, wie beispielsweise einem

Bahnsicherungsnetz, muss die Integrität der Datenkommunikati ^¬ on und die Integrität der Software, die auf den verschiedenen Einrichtungen bzw. Komponenten ablaufen, sichergestellt sein, um einen sicheren Ablauf zu garantieren. Dies muss insbeson- dere in sicherheitskritischen Netzen, die für funktionale Sicherheit (Safety) verwendet werden, mit hoher Verlässlichkeit realisiert sein. Herkömmliche Firewalls sind dafür nicht ge ^¬ eignet. Es muss einerseits sichergestellt sein, dass eine Kommunikation von Daten aus dem sicherheitsrelevanten Netz in ein weniger sicherheitsrelevantes Netz rückwirkungsfrei durchgeführt wird. Diese Rückwirkungsfreiheit bedeutet, dass durch die Übertragung keinerlei Daten in das sicherheitskritische Netzwerk eingebracht werden. Zum anderen muss jede neue Software, die die Datenkommunikation im sicherheitskritischen Netz betrifft, von offizieller Stelle zugelassen werden. Eine solche Zulassung dauert üblicherweise mehrere Tage bis Wochen oder sogar Monate. Dies erschwert beispielsweise das Verwenden von aktualisierten Virenpattern zur Überwachung der einzelnen Netzkomponenten innerhalb des sicherheitskriti ^¬ schen Netzwerks.

Es ist somit die Aufgabe der vorliegenden Aufgabe der Erfin- dung, eine Integritätsüberwachung der Datenkommunikation und der Softwarekonfiguration von Einrichtungen in einem sicherheitskritischen Netzwerk zu gewährleisten ohne dabei zusätzliche Daten in das sicherheitskritische Netz einzubringen oder die Kommunikation innerhalb der sicherheitskritischen Netzwerke zu stören.

Die Aufgabe wird durch die in den unabhängigen Ansprüchen beschriebenen Maßnahmen gelöst. In den Unteransprüchen sind vorteilhafte Weiterbildungen der Erfindung dargestellt.

Das erfindungsgemäße Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem ersten Netzwerk mit hoher Sicherheitsanforderung angeordnet ist, durch eine Integritätsprüfeinrichtung, die in ei- nem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, weist folgende Verfahrensschritte auf:

- ein Bereitstellen von PrüfInformation der zu überwachenden Daten der ersten Einrichtung an eine Integritätsprüfeinrich- tung mittels einer rückwirkungsfreien Einweg- Kommunikationseinheit,

- ein Überprüfen der PrüfInformation im zweiten Netzwerk gegenüber mindestens einer Referenzinformation und

- ein Übertragen einer Statusmeldung an eine Integritätsmeldeeinrichtung im ersten Netzwerk. Die rückwirkungsfreien Einweg-Kommunikationseinheit, kann da ^¬ bei beispielsweise eine Datendiode umfassen, die beispiels ^¬ weise als eine Mithöreinrichtung, die lediglich im sicherheitsrelevanten ersten Netzwerk übertragene Daten kopiert und in das zweite Netzwerk ausleitet, oder durch einen unidirek- tional übertragenden Lichtwellenleiter ausgebildet sein. Dadurch ist die Anforderung der Rückwirkungsfreiheit gewähr ^¬ leistet. Die PrüfInformation aus dem ersten Netzwerk kann nun im zweiten Netzwerk also ohne die sicherheitsbedingten Ein- schränkungen des ersten Netzwerkes auch gegenüber neuen Vi- renpatter oder gegenüber einer Positivliste für ausführbare Dateien etc. geprüft werden. Es kann somit eine Überprüfung zu beliebiger Zeit und gegenüber beliebiger Referenzinformation durchgeführt werden. Durch das Übertragen einer Status- meidung an eine Integritätsmeldeeinrichtung im ersten Netzwerk erfolgt eine erste Rückmeldung in das sicherheitskriti ^¬ sche Netz, die dort ausgewertet und auf die reagiert werden kann. Somit ist eine verbesserte Integrität innerhalb des ab ^¬ geschlossenen sicherheitskritischen ersten Netzwerks gegeben.

In einer vorteilhaften Ausführungsform werden Konfigurationsdaten und/oder ausführbare Dateien und/oder daraus abgeleitete Kennwerte als PrüfInformation bereitgestellt. Es kann somit beispielsweise manipulierte Software, insbeson ^¬ dere unzulässig eingebrachte ausführbare Dateien erkannt wer ^¬ den. Auch eine Manipulation der ersten Einrichtung durch neue Virensoftware kann durch aktuelle Virenscanner außerhalb des ersten Netzwerks viel früher aufgespürt werden, da nicht auf eine Zulassung solcher aktuellen Virenscanner für das beispielsweise zulassungsbeschränkte erste Netzwerk gewartet werden muss. Durch das Übertragen von Messwerten, die von den Konfigurationsdaten oder auch ausführbaren Dateien abgeleitet wurden, kann die PrüfInformation in ihrer Größe stark redu- ziert werden. Solche Messwerte sind beispielsweise Hash-Werte der PrüfInformation, die die Konfigurationsdaten bzw. ausführbaren Dateien eindeutig kennzeichnen. In einer vorteilhaften Ausführungsform werden zusätzlich Meta-Daten von allen zu überwachenden Daten der Integritätsprüfeinheit bereitgestellt und anhand der Meta-Daten die Vollständigkeit der bereitgestellten Daten überprüft.

Dies führt zu einer hohen Verlässlichkeit und stellt sicher, dass tatsächlich alle zu überwachenden Daten zur Prüfung bereitgestellt wurden. Solche Meta-Daten können beispielsweise in Form einer Manifest-Datei, wie beispielsweise zur Vertei- lung von Java-Klassenbibliotheken und Java-Programmen eingesetzt werden, übermittelt werden.

In einer vorteilhaften Ausführungsform enthalten die Meta- Daten mindestens einen Kennwert für Prüfdaten und mindestens eine kryptographische Prüfsumme des mindestens einen Kennwer ^¬ tes der Prüfdaten und/oder eine Aktualitätsinformation der Meta-Daten .

Dies wiederum garantiert die Integrität der Meta-Daten und gibt beispielsweise über einen Zeitstempel als Aktualitätsin ^¬ formation die Erfassungszeit an, zu der die PrüfInformation zusammengestellt und damit auch aktiv war.

In einer vorteilhaften Ausgestaltungsform ist die Referenzin- formation mindestens eine Soll-Dateninformation oder ein mindestens ein Schadstoffsoftware-Muster .

Eine Soll-Dateninformation kann beispielsweise eine Positivliste aller für die erste Einrichtung zugelassenen Dateien, insbesondere aller zugelassenen ausführbaren Dateien sein. Insbesondere bei geschlossenen Netzwerken ist eine Soll- Dateninformation beispielsweise über Zulassungsprotokolle be ^¬ kannt. Durch eine Überprüfung der in der ersten Einrichtung enthaltene PrüfInformation, insbesondere implementierte Soft- wäre, außerhalb des sicherheitskritischen Netzwerks unter ^¬ liegt die Referenzinformation nicht der Zulassungspflicht. Die auf der ersten Einrichtung implementierte Software kann somit insbesondere gegenüber nicht zugelassener Referenzin- formation, wie beispielsweise aktuelle Schadsoftware-Muster (patchbare Virenscanner) geprüft werden.

In einer vorteilhaften Ausführungsform wird die Statusmeldung über einen Rückkanal der Einweg-Kommunikationseinheit an eine Integrationsmeldeeinrichtung übertragen .

Dies hat den Vorteil, dass zeitnah Maßnahmen im ersten Netzwerk abhängig vom gemeldeten Status eingeleitet werden kön- nen. So können beispielsweise Warnhinweis an alle anderen

Komponenten des ersten Netzwerkes verteilt werden oder Funktionen deaktiviert werden. Auch kann ein Sicherheitslevel in ^¬ nerhalb des ersten Netzwerkes entsprechend gesetzt und kommu ^¬ niziert werden, der wiederum auf die Ausführung bestimmter Funktionalitäten Einfluss hat. Eine Integritätsmeldeeinrichtung kann insbesondere als eine im ersten Netzwerk übliche Komponente sein. Beispielsweise kann die Integritätsmeldeeinrichtung ein Feldgerät, insbesondere ein Sensor, sein, das die empfangene Statusmeldung über ein im herkömmlichen Be- trieb verwendetes Protokoll innerhalb des ersten Netzwerks weiterleiten kann.

In einer vorteilhaften Ausführungsform wird die Statusmeldung von einem Ladeserver im zweiten Netzwerk über eine Lade- Schnittstelle an die mindestens eine erste Einheit übertra ^¬ gen .

Dies hat den Vorteil, dass die Einführung oder das Einbringen von Daten in das erste Netzwerk über den üblichen Weg des La- deservers verwendet wird und somit keine zusätzliche neue

Schnittstelle, die wiederum überwacht werden müsste, benötigt wird .

In einer vorteilhaften Ausführungsform werden in Abhängigkeit von der Statusmeldung Maßnahmen im ersten und/oder im zweiten Netzwerk eingeleitet. So kann ein Automatisierungssystem auf eine Integrationsverletzung reagieren beispielsweise durch Aktivieren einer eingeschränkten Notbetriebsart oder durch Einnehmen eines Fail- Safe-Betriebszustands . Bei einem Fail-Safe-Betriebszustand wird lediglich eine fehlerhafte Komponente deaktiviert ohne das gesamte System lahmzulegen. Im zweiten Netzwerk können Maßnahmen, wie z.B. eine kurzfristige Bereitstellung neuer Konfigurationsdaten ergriffen werden. In einer vorteilhaften Ausführungsform wird im zweiten Netzwerk überwacht, ob tatsächlich relevante Daten in der Prüfinformation enthalten sind und tatsächlich eine Prüfung durch die Integrationsprüfeinrichtung durchgeführt wurde. Dadurch ist mit hoher Verlässlichkeit gewährleistet, dass die Integrationsüberprüfung tatsächlich erfolgt. Das Vorgaukeln einer Überprüfung oder ein Ausfall der Überprüfung wird somit detektierbar . Wird eine gewünschte Überprüfung als nicht durchgeführt erkannt, so kann daraus ebenfalls auf eine Mani- pulation im ersten Netzwerk geschlossen werden und Maßnahmen eingeleitet werden.

Das erfindungsgemäße IntegritätsprüfSystem zur rückwirkungs ^¬ freien Integritätsüberwachung mindestens einer ersten Ein- richtung, die in einem ersten Netzwerk mit hoher Sicherheitsanforderung angeordnet ist, umfasst eine Einweg-Kommunika ^¬ tionseinheit und eine Integritätsprüfeinrichtung, wobei die Einweg-Kommunikationseinheit derart ausgebildet ist, dass die PrüfInformation von der ersten Einrichtung an die Integri- tätsprüfeinrichtung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, zu übertragen und die Integritätsprüfeinrichtung derart ausgebildet ist, die PrüfInformation gegenüber mindestens einer Referenzinformation zu überprüfen.

Das IntegritätsprüfSystem ist somit außerhalb des sicherheitskritischen ersten Netzwerks angeordnet und muss damit nicht bei der Betriebssicherheitszulassung betrachtet werden, das es rückwirkungsfrei ist. Dadurch kann es flexibel aktua ^¬ lisiert werden. Das IntegritätsprüfSystem ist insbesondere derart ausgebildet, ein Verfahren gemäß den beschriebenen Merkmalen auszuführen.

Eine erfindungsgemäße Integritätsprüfeinrichtung zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung umfasst eine Empfangseinheit, die derart ausge ^¬ bildet ist, PrüfInformation zu empfangen und eine Statusin- formation auszugeben. Sie umfasst desweiteren eine Speichereinheit, die derart ausgebildet ist, Referenzinformation zu speichern. Desweiteren umfasst die Integritätsprüfeinrichtung eine Auswerteeinheit, die derart ausgebildet ist, dass die PrüfInformation gegenüber der Referenzinformation zu prüfen.

Eine erfindungsgemäße Integritätsmeldeeinrichtung zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung ist als ein Automatisierungsgerät in einem als Automatisierungssystem ausgebildeten ersten Netzwerk ausge- bildet.

Dies ermöglicht eine einfache Übermittlung einer Statusinformation innerhalb des ersten Netzwerks und somit einer schnel ^¬ len Verbreitung und Reaktion darauf.

Es wird desweiteren ein Computerprogrammprodukt beansprucht, das direkt in einem programmierbaren Computer ladbar ist und Programmcodeteile umfasst, die dazu geeignet sind die Schrit ^¬ te des Verfahrens durchzuführen.

Ausführungsbeispiele des erfindungsgemäßen Verfahrens, des IntegritätsprüfSystems bzw. der enthaltenen Einrichtungen sind in den Zeichnungen beispielhaft dargestellt und werden anhand der nachfolgenden Beschreibung näher erläutert. Es zeigen:

Figur 1 ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens in Form eines Ablaufdiagramms ; ein erstes sicherheitsrelevantes Netzwerk, das an ein zweites weniger sicherheitskritisches Netzwerk gekoppelt ist mit einem ersten Ausführungsbeispiel eines erfindungsgemäßen IntegritätsprüfSystems in schematischer Darstellung; ein zweites Ausführungsbeispiel eines erfindungsge ^¬ mäßen IntegritätsprüfSystems mit abgesetzter Integ ^¬ ritätsprüfeinrichtung in schematischer Darstellung; und

Figur 4 ein Ausführungsbeispiel einer erfindungsgemäßen Integritätsprüfeinrichtung in Blockdarstellung.

Aneinander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.

Anhand eines Ablaufdiagramms in Figur 1 wird nun eine Lösung zur rückwirkungsfreien Integritätsüberwachung von Einrichtungen eines ersten sicherheitskritischen Netzwerks, beispielsweise eines Automatisierungssystems beschrieben. Im Ausgangs ^¬ zustand 10 befindet sich in einem ersten Netzwerk mit hoher Sicherheitsanforderung mindestens eine Einrichtung. Dies kön- nen beispielsweise Feldgeräte oder Komponenten eines Bahnsi ^¬ cherungsnetzwerks, wie beispielsweise Fahrsignale, Schranken oder auch Weichen, die beispielsweise über einen Steuerungs ^¬ rechner, der ebenfalls im abgeschlossenen Bahnsicherungsnetz angeordnet ist, sein. Zwischen diese Einrichtungen werden Nachrichten innerhalb des ersten Netzwerks ausgetauscht. Jede Einrichtung umfasst Mikroprozessoren, die mit Software konfiguriert sind um verschiedenste Funktionen auszuführen.

Um die Integrität dieser Komponenten sicherzustellen können einerseits die zwischen den Einrichtungen übermittelten Daten geprüft werden. In der vorliegenden Erfindung wird daneben insbesondere die in den einzelnen Einrichtungen vorliegende Software auf Integrität überprüft. Information zur enthalte- nen Software einer Einrichtung, die zur Integritätsprüfung verwendet wird, ist im Folgenden als PrüfInformation bezeichnet . Zur Integrationsüberwachung stellen diese ersten Einrichtungen im Verfahrensschritt 11 PrüfInformation an eine Integritätsprüfeinrichtung, die in einem zweiten weniger sicherheitsrelevanten Netzwerk, wie beispielsweise einem Büronetz angeordnet ist, bereit. Als PrüfInformation überträgt eine Einrichtung im ersten Netzwerk beispielsweise ihre Konfigura ^¬ tionsdaten und/oder ihre ausführbaren Dateien und/oder daraus abgeleitete Kennwerte, wie beispielsweise ein Hash-Wert der Konfigurationsdaten bzw. Dateien. Die Übertragung der Daten findet dabei über eine rückwirkungsfreie Einweg-Kommunika- tionseinheit , beispielsweise eine Datendiode statt. Zusätz ^¬ lich zur den eigentlichen PrüfInformation werden vorzugsweise Meta-Daten bereitgestellt, um die Vollständigkeit bzw. Kor ^¬ rektheit der Einwegdaten zu gewährleisten. Dazu wird beispielsweise eine Manifest-Datei mit Hash-Werten der zu prü- fenden Daten und einer kryptographischen Prüfsumme übermittelt .

In der Integritätsprüfeinrichtung wird nun im Verfahrensschritt 12 die PrüfInformation gegenüber mindestens einer Re- ferenzinformation überprüft. Eine solche Referenzinformation ist typischerweise eine Soll-Dateninformation, wie beispiels ^¬ weise eine Positivliste erlaubter ausführbarer Dateien oder ein Konfigurationsstand der installierten Software der Ein ^¬ richtung. Diese Referenzinformation ist die insbesondere in geschlossenen und/oder Zulassungspflichtigen Netzen bekannt. Die PrüfInformation kann aber auch gegen mindestens einem Schadsoftware-Muster, insbesondere den aktuellsten Virenmustern, als Referenzinformationen geprüft werden. Bei einer Integritätsverletzung wird beispielsweise ein

Alarmsignal durch das Übertragen einer Statusmeldung in das erste Netz übermittelt und dort bereitgestellt, siehe Verfah ^¬ rensschritt 13. Vorzugsweise wird die Statusmeldung dem ers- ten Netzwerk bzw. Automatisierungssystem über einen Rückka- nal, insbesondere in Form eines elektrischen Schaltsignals oder in Form einer Datenübertragung über eine weitere Einweg- Kommunikationseinheit bereitgestellt. Eine Statusmeldung „OK" zeigt für unbedenklich verifizierte Prüfdaten an. Es kann aber auch eine unkritische Integritätsverletzung als

„uncritical integrity vialation" oder eine kritische Integri ^¬ tätsverletzung als „critical integrity vialation" gemeldet werden, worauf das erste Netzwerk mit unterschiedlichen Maß- nahmen reagieren kann. So kann beispielsweise eine einge ^¬ schränkte Notbetriebsart aktiviert werden oder ein Fail-Safe- Betriebszustand eingenommen werden.

Die Verlässlichkeit der Integritätsprüfung kann durch einen sogenannten Liveliness-Check erhöht werden. Dabei wird überwacht, ob tatsächlich PrüfInformation übertragen wird bzw. eine entsprechende Nachricht tatsächlich PrüfInformation ent ^¬ hält, und ob in der Integritätsprüfeinrichtung tatsächlich eine Überprüfung durchgeführt wurde.

Figur 2 zeigt ein industrielles Automations- und Steuerungs ^¬ system 103, das in einem ersten sicherheitsrelevanten Netz 101 betrieben wird. Alle Komponenten und Einrichtungen in diesem ersten Netzwerk 101 sowie deren Software-Konfiguration und Anwendungsdateien unterliegen typischerweise einer Zulassungspflicht. Das heißt, die Konfiguration der Einrichtungen oder auch die Software als Überbegriff für alle Steuerungs ^¬ programme oder Anwendungsprogramme können lediglich über spe ^¬ zielle Ladeserver, nicht dargestellt, und zu bestimmten Zeit- punkten in das erste Netzwerk 101 eingebracht werden. Das in ^¬ dustrielle Automatisierungs- und Steuerungssystem 103 umfasst beispielsweise Feldgeräte, Steuerrechner, Diagnoserechner und ähnliche Einrichtungen. Typischerweise ist ein solches erstes Netzwerk 101 sehr sensibel bezüglich seiner Betriebssicher- heit und erfordert echtzeitkritische Datenübertragung zwi ^¬ schen den Einrichtungen. Das erste Netzwerk 101 ist aus Netzwerksicht ein geschlossenes Netzwerk, das physikalisch von externen Netzen, wie beispielsweise dem zweiten Netzwerk 102 separiert ist.

Eine Ankopplung des ersten Netzes 101 an ein weniger sicher- heitskritisches Netz 102, wie beispielsweise ein Büronetz des Automatisierungsnetzbetreibers oder auch an öffentliche Netze wie das Internet oder an ein spezielles Integritätsüberwa- chungsnetzwerk sind dennoch gewünscht, um beispielsweise Di ^¬ agnosemeldung auszuwerten oder eben den Softwarezustand der Einrichtungen im ersten Netzwerk durch jeweils aktuellste Virenmuster oder auch andere PrüfInformationen überprüfen zu können .

Die Einweg-Kommunikationseinrichtung 104, bspw. ein Datendio- de oder Datenschleuse, ermöglicht lediglich einen Datenstrom aus dem ersten Netzwerk 101 hinaus. Eine solche Einweg-Kommu ^¬ nikationseinrichtung 104 stellt dabei sicher, dass keinerlei Signale in der entgegengesetzten Richtung vom zweiten Netzwerk 102 in das erste Netzwerk 101 eingebracht werden können oder auch von der Einweg-Kommunikationseinheit 104 selbst er ^¬ zeugt und ins erste Netzwerk eingetragen werden.

Eine solche rückwirkungsfreie Übertragung kann beispielsweise durch Lichtwellenleiter oder Netzwerkauskoppler, sogenannte Network-Taps, erfolgen. Die eingezeichnete PrüfInformation

IM, die von einer oder mehreren oder auch allen Einrichtungen des Netzwerks 103 bereitgestellt werden, sind beispielsweise Dateien, Hash-Werte einer Datei oder auch Hash-Werte von mehreren Dateien, die beispielsweise Konfigurationsdaten oder Programmcode enthalten. PrüfInformation IM kann aber auch eine Liste der laufenden Softwareprozesse einer Einrichtung enthalten oder Überwachungsdaten, sogenannte Log-Dateien, umfassen . Eine Integritätsprüfeinrichtung 106 im zweiten Netzwerk 102 führt eine Integritätsüberprüfung der PrüfInformation IM durch. Die Prüfeinrichtung 106 überprüft weiterhin, ob eine erforderliche PrüfInformation IM tatsächlich Daten erhält und führt eine Selbstüberwachung durch. In einer Variante umfasst die PrüfInformation IM eine Aktualitätsinformation, z.B. einen Zeitstempel oder einen Zählerwert, anhand der die Aktua ^¬ lität der PrüfInformation IM verifiziert wird. Die Integri- tätsprüfeinrichtung 106 prüft also, ob tatsächlich eine Über ^¬ prüfung von PrüfInformation stattfindet. Dazu kann die Integ- ritätsprüfungseinrichtung 106 einen Watchdog aufweisen, der jeweils bei erfolgreicher Abarbeitung eines Integritätsprüf- Schritts zurückgesetzt wird. Ein solcher Watchdog ist eine Einheit, die Funktion anderer Komponenten überwacht. Wird da ^¬ bei eine mögliche Fehlfunktion erkannt, so wird entweder dies gemäß Systemvereinbarung signalisiert und eine geeignete Sprunganweisung eingeleitet, die das anstehende Problem be ^¬ reinigt. Die Integritätsprüfeinrichtung 106 ist bevorzugt mit einer Integritätsdatenbank 107 verbunden, in der Referenzinformation zur Integritätsprüfung, wie beispielsweise Soll- Dateninformation oder Schadsoftwaremuster hinterlegt sind.

Eine Integritätsmeldeeinrichtung 105 ist beispielsweise als virtueller Sensor ausgebildet, da er innerhalb eines Automa ^¬ tions- und Kontrollsystems 103 wie ein herkömmlicher physika ^¬ lischer Sensor angesprochen werden kann. Dadurch kann die Statusmeldung einfach, z.B. in dem Steuerungsprogramm einer speicherprogrammierbaren Steuerung abgefragt und benutzt wer- den. Ein solcher virtueller Integritätssensor ist beispielsweise ein integrierter Schaltkreis, der über einen sogenannten GPIO-Kanal an entsprechenden Kontakten angesprochen werden kann. Über diese GPIO-Signale können Statusmeldungen, wie beispielsweise „Integrity Monitoring Running" oder auch „Integrity OK" empfangen werden und als Sensorwerte in das

Automatisierungs- und Kontrollnetzwerk 103 weitergeleitet und dort bereitgestellt werden, z.B. über ein OPC UA-Protokoll oder über ein TCP/IP-Protokoll oder über ein http-Protokoll oder über ein MQTT-, XMPP- oder AMQP-Protokoll . Neben GPIO- Signalen ist z.B. auch eine optische Signalübertragung möglich, beispielsweise über einen Lichtwellenleiter. Die Verbindung zwischen einer Integritätsprüfungseinheit 106 und der Integritätsmeldeeinrichtung 105 ist als einen Rückka- nal ausgebildet, der unabhängig von der Einweg-Kommunika ^¬ tionseinrichtung 104 ist. Auf diesem Rückkanal werden die Statusmeldungen SM übertragen.

In Figur 3 ist nun ein ähnliches Automatisierungs- und Kont ^¬ rollnetzwerk 103 in einem ersten sicherheitskritischen Netzwerk 101 dargestellt, aus dem PrüfInformation IM über die Einweg-Kommunikationseinheit 104 in ein zweites weniger sicherheitskritisches Netzwerk getragen wird. In der darge ^¬ stellten Variante wird die Integritätsüberwachung nicht im direkt angeschlossenen zweiten Netzwerk 103 durchgeführt, sondern von einer Integritätsprüfanwendung 203 in einer

Cloud-Platform 202 durchgeführt. Dazu wird die PrüfInformati ^¬ on IM von einem Cloud-Dienst oder mit Unterstützung eines Cloud-Dienstes erfolgen. Die PrüfInformation IM wird von einer lokale Integritätsprüfeinheit 202 über eine Cloud-Verbin- dungseinheit 201, die eine sichere Datenverbindung zur Cloud- Platform 202 einrichtet, an die Integritätsprüfanwendung 203 übermittelt. Die Datenverbindung kann beispielsweise durch ein sicheres TLS- oder ein IPsec-Protokoll erfolgen.

Figur 4 zeigt eine Integritätsprüfeinrichtung 106. Diese um- fasst eine Empfangseinheit 120, über die die PrüfInformation IM der Integritätsprüfeinrichtung 106 bereitgestellt wird. Desweiteren umfasst die Integritätsprüfeinrichtung 106 eine Speichereinheit 123, die Referenzinformation, gegen die die PrüfInformation IM überprüft wird, gespeichert sind. Die Ver- bindungseinheit 120 sowie die Referenzdatenbank 123 sind mit einer Auswerteeinheit 122 verbunden, in der die Prüfinforma ^¬ tion IM gegenüber der Referenzinformation aus der Referenzdatenbank 123 überprüft wird. Eine Statusmeldung kann ebenfalls über die Verbindungseinheit 120 ins erste Netzwerk 101 über- mittelt werden.

Alle beschriebenen und/oder gezeichneten Merkmale können im Rahmen der Erfindung vorteilhaft miteinander kombiniert wer- den. Die Erfindung ist nicht auf die beschriebenen Ausführungsbeispiele beschränkt.