Fernwartung für Maschinen: Sicherer Fernzugriff ohne offene Ports
Eine Maschine steht, der Kunde ruft an — und der nächste Servicetechniker ist hunderte Kilometer entfernt. Für Maschinenbauer und Instandhaltungsteams ist Fernwartung längst keine Option mehr, sondern Voraussetzung für wirtschaftlichen Service. Die Frage ist nicht ob, sondern wie: Wie erreichen Sie eine Maschine im Netzwerk Ihres Kunden, ohne dessen IT-Sicherheit zu kompromittieren — und ohne für jede Anlage ein eigenes VPN-Projekt zu starten?
Dieser Leitfaden zeigt, wie Fernwartung mit IronFlock funktioniert: über ausgehende, verschlüsselte Verbindungen, ohne einen einzigen offenen Port auf der Maschine.
Warum klassische Fernwartung an ihre Grenzen stößt
Die etablierten Ansätze bringen wiederkehrende Probleme mit sich:
- Site-to-Site-VPNs sind Projekte, keine Lösungen. Jede Kundenanbindung erfordert Abstimmung zwischen zwei IT-Abteilungen, Firewall-Regeln, IP-Adresskonzepte und laufende Pflege. Das skaliert nicht über hunderte Standorte.
- Offene eingehende Ports sind Angriffsfläche. Jeder von außen erreichbare Dienst auf einer Maschine — SSH, HTTP, VNC — ist ein potenzielles Einfallstor und in vielen OT-Netzwerken schlicht nicht genehmigungsfähig.
- Fernwartungsrouter schaffen Insellösungen. Ein Wartungsmodul pro Maschine bedeutet: eigene Hardware, eigene Verwaltung, eigene Zugänge — und keine gemeinsame Sicht auf die Flotte.
- Nachvollziehbarkeit fehlt. Wer hatte wann Zugriff auf welche Anlage? Ohne lückenlose Protokollierung lässt sich das gegenüber Kunden und Auditoren kaum beantworten.
Das Prinzip: Verbindungen von innen nach außen
IronFlock dreht die Richtung um. Auf der Maschine — oder einem Edge-Gerät daneben — läuft der IronFlock-Geräteagent. Er initiiert alle Verbindungen ausgehend zur Plattform, verschlüsselt über TLS. Das hat unmittelbare Konsequenzen:
- Keine offenen Ports auf dem Gerät. Die Maschine ist aus dem Internet weder auffindbar noch direkt adressierbar. Es gibt keinen Dienst, den ein Angreifer scannen könnte.
- Keine eingehenden Firewall-Regeln beim Kunden. Eine ausgehende HTTPS-/WSS-Verbindung genügt — dieselbe Art von Verbindung, die jeder Browser nutzt. Auch der Betrieb hinter Unternehmens-Proxys wird unterstützt.
- Fernzugriff über Reverse-Tunnel. Greifen Sie auf eine lokale Weboberfläche oder einen Dienst zu, baut die Plattform die Verbindung über eine verwaltete Reverse-Proxy-Architektur durch den bestehenden Kanal auf — die Richtung der ursprünglichen Verbindung bleibt ausgehend.
Diese Zero-Trust-Architektur ist im Detail in der Sicherheitsdokumentation beschrieben.
Was Sie aus der Ferne erreichen
Der Fernzugriff ist nicht auf ein Protokoll beschränkt. Pro App und Gerät lassen sich Tunnel für unterschiedliche Dienste aktivieren:
| Protokoll | Typische Anwendungsfälle |
|---|---|
http / https | Maschinen-HMIs, lokale Weboberflächen, Dashboards, Konfigurationsseiten |
tcp | Remote Desktop (VNC), Datenbankzugriff, SPS-Programmierung mit Siemens TIA Portal, CODESYS oder TwinCAT |
udp | Video-Streaming, VPN-Dienste, LoRaWAN-Gateway-Verwaltung |
Darüber hinaus stehen zwei Zugriffswege auf Systemebene bereit:
- Host-Zugriff — ein browserbasiertes Terminal auf dem Host-Betriebssystem des Geräts, für Systemdiagnose, Netzwerk-Debugging und Docker-Verwaltung. Kein lokaler Eingriff, kein Vor-Ort-Einsatz.
- SSH-Zugriff — für fortgeschrittenes Debugging mit Schlüssel-Authentifizierung; Passwort-Anmeldung ist standardmäßig deaktiviert.
Tunnel lassen sich außerdem per Embed-Widget direkt in ein Board einbetten: Ihr Serviceteam überwacht Flottendaten und interagiert mit der Weboberfläche einer einzelnen Maschine — im selben Dashboard.
So funktioniert es in der Praxis
Fernwartung mit IronFlock ist in drei Schritten eingerichtet:
- Ports deklarieren. Der App-Entwickler beschreibt in der
port-template.yml, welche Ports und Protokolle die App bereitstellt — etwa das HMI auf Port 8080. Das geschieht einmal, in der App, nicht pro Maschine. - Tunnel aktivieren. Ein berechtigter Benutzer aktiviert den Tunnel in den App-Einstellungen des Geräts — per Schalter, ohne Netzwerkkonfiguration.
- Sichere URL nutzen. Die Plattform erzeugt eine geschützte URL, hinter der der lokale Dienst erreichbar ist — nur für authentifizierte, berechtigte Benutzer.
Bricht die Netzverbindung ab, verbinden sich Agent und Tunnel automatisch neu — der Agent ist auf Konnektivität und Resilienz ausgelegt und versucht die Wiederverbindung unbegrenzt.
Ein typischer Servicefall
Wie sich das anfühlt, zeigt ein Durchlauf, wie er im Serviceteam eines Maschinenbauers täglich vorkommt:
- Meldung. Ein Alarm oder ein Anruf des Kunden meldet eine Störung an einer Anlage in Frankreich. Im Projekt sieht der Techniker sofort: Das Gerät ist online, die App läuft.
- Erste Diagnose im Board. Auf dem Board der Maschine zeigen Live-Daten und Verlaufsdiagramme, wann das Verhalten begonnen hat — oft ist die Ursache damit schon eingegrenzt.
- Zugriff auf das HMI. Der Techniker aktiviert den HTTPS-Tunnel und öffnet die Maschinenoberfläche im Browser — dieselbe Ansicht, die der Bediener vor Ort sieht.
- Tiefer einsteigen, falls nötig. Reicht das nicht, folgt der TCP-Tunnel zur Steuerung für die SPS-Programmierumgebung — oder der Host-Zugriff für einen Blick auf Container, Netzwerk und Systemlast.
- Dokumentiert abschließen. Jeder Schritt steht im Audit-Log. Der Kunde kann jederzeit nachvollziehen, wer wann auf seine Anlage zugegriffen hat.
Kein VPN-Client, keine Rufbereitschaft der Kunden-IT, keine Anfahrt — und im besten Fall ist die Anlage wieder produktiv, bevor ein Vor-Ort-Einsatz überhaupt geplant wäre.
| Klassischer Ansatz | Mit IronFlock | |
|---|---|---|
| Netzwerkintegration | VPN-Projekt pro Standort | Ausgehende TLS-Verbindung genügt |
| Offene Ports am Gerät | Häufig erforderlich | Keine |
| Zugriffskontrolle | Geteilte VPN-Zugänge | Berechtigung pro Benutzer und Gerät |
| Nachvollziehbarkeit | Manuell, lückenhaft | Audit-Log pro Tunnel-Nutzung |
| Skalierung auf die Flotte | Linear steigender Aufwand | Eine App, alle Maschinen |
Sicherheit und Kontrolle: Wer darf was — und wer hat was getan?
Fernzugriff ist Vertrauenssache. IronFlock macht ihn kontrollierbar und nachvollziehbar:
- Feingranulare Berechtigungen. Tunnel aktivieren kann nur, wer mindestens die Update-Berechtigung auf dem Gerät besitzt. Das Privilegienmodell arbeitet mit gezielten Berechtigungen pro Asset statt pauschaler Admin-Rollen.
- Lückenloser Audit-Trail. Jede Tunnel-Aktivierung und jede Nutzung wird im Audit-Log des Geräts protokolliert — wer, wann, welcher Port, inklusive der tatsächlichen Proxy-Verbindungen.
- Durchgehend verschlüsselt. Vom Browser bis zum Gerät kommunizieren alle Komponenten über TLS-gesicherte Kanäle; die Anmeldung erfolgt über OpenID Connect mit optionaler Zwei-Faktor-Authentifizierung.
- Zugriff jederzeit widerrufbar. Berechtigungen für externe Servicepartner lassen sich granular vergeben und jederzeit entziehen — der Projekteigentümer behält die Datenhoheit.
Für Maschinenbauer: Fernwartung als Teil des Produkts
Wer Maschinen ausliefert, will Service nicht pro Standort neu erfinden. Mit IronFlock wird Fernwartung Teil der Maschine selbst:
- Eine App, die ganze Flotte. Die Service-App wird auf Projektebene installiert und Geräten zugewiesen — ob zehn oder tausend Maschinen, der Zugriffsweg bleibt derselbe.
- Flexible Bereitstellung. Ob IronFlock Cloud, Appliance im lokalen Netz des Kunden oder Private Cloud — der Funktionsumfang, auch für den Fernzugriff, ist identisch.
- Sie liefern Maschinenwissen, nicht Infrastruktur. Tunnel-Verwaltung, Verschlüsselung, Benutzerverwaltung und Audit-Protokollierung bringt die Plattform mit.
Häufig gestellte Fragen
Muss die IT meines Kunden Ports in der Firewall öffnen?
Nein. Der Geräteagent baut ausschließlich ausgehende, TLS-verschlüsselte Verbindungen auf — vergleichbar mit einem Browser, der eine Website aufruft. Eingehende Firewall-Regeln, Portweiterleitungen oder feste IP-Adressen sind nicht erforderlich. Auch Umgebungen mit Unternehmens-Proxy werden unterstützt.
Kann ich meine SPS aus der Ferne programmieren?
Ja. Über TCP-Tunnel erreichen Sie Ihre Steuerung mit den gewohnten Engineering-Werkzeugen — etwa Siemens TIA Portal, CODESYS oder TwinCAT — so, als wären Sie im lokalen Netzwerk. Die Ports werden einmalig in der App deklariert und pro Gerät gezielt freigeschaltet.
Wie wird der Fernzugriff protokolliert und kontrolliert?
Tunnel kann nur aktivieren, wer die entsprechende Berechtigung auf dem Gerät besitzt. Jede Aktivierung und jede Nutzung landet im unveränderlichen Audit-Log des Geräts — einschließlich Benutzer, Zeitpunkt und Port. Damit können Sie Kunden und Auditoren jederzeit belegen, wer wann Zugriff hatte.
Was passiert, wenn die Maschine offline ist oder die Verbindung abbricht?
Der Geräteagent versucht die Wiederverbindung unbegrenzt und stellt Fernzugriffs-Tunnel nach einer Netzunterbrechung automatisch wieder her. Auch unter Speicher- oder Festplattendruck hält der Agent die Fernerreichbarkeit als oberste Priorität aufrecht — das Gerät bleibt remote verwaltbar.
Wie geht es weiter?
Der schnellste Weg zum ersten eigenen Fernzugriff: Legen Sie in der Schnellstart-Anleitung ein Projekt an, verbinden Sie ein Gerät und aktivieren Sie einen Tunnel — das dauert wenige Minuten und ist in der Cloud kostenlos. Die technischen Details finden Sie in der Dokumentation zu Fernzugriff und Sicherheit.