IT im Produktionsbetrieb: wo Büro-IT endet

Nein, normale Büro-IT reicht in einer Produktionshalle in der Regel nicht aus. Ein Netzwerk, das für Laptops, Drucker und E-Mail ausgelegt ist, trifft in der Fertigung auf andere Anforderungen: Maschinen, die seit zehn Jahren mit demselben Betriebssystem laufen, Staub und Temperaturschwankungen, die Elektronik zusetzen, und eine Schicht, die bei einem Netzwerkausfall sofort stillsteht statt nur langsamer zu arbeiten. Wer Produktions-IT wie Büro-IT plant, baut an den eigentlichen Anforderungen vorbei.

Am besten gelingt die Planung, wenn IT und Produktionsleitung von Anfang an gemeinsam am Tisch sitzen: Die IT kennt die Netzwerktechnik, die Produktion kennt die Maschinen, ihre Zyklen und die Stellen, an denen ein Ausfall besonders teuer wird. Wird nur eine Seite gefragt, fehlt am Ende meist genau die Information, die den Unterschied macht.

Warum sollten Produktionsnetz und Büronetz getrennt sein?

Im Büro genügt meist ein gemeinsames Netzwerk für Arbeitsplätze, Drucker und WLAN. In der Produktion sind die Folgen eines Problems im gemeinsamen Netz deutlich größer: Eine infizierte Büro-Notebook-Freigabe darf nicht dieselbe Broadcast-Domäne erreichen wie die Steuerung einer CNC-Maschine. Die Trennung erfolgt über eigene VLANs oder, bei höheren Anforderungen, über physisch getrennte Netzwerke mit einer Firewall dazwischen, die genau festlegt, welcher Datenverkehr in welche Richtung erlaubt ist.

• Eigenes VLAN oder physisch getrenntes Netz für Produktionsanlagen, getrennt vom Büro- und Gäste-WLAN
• Firewall-Regeln, die nur die tatsächlich benötigten Verbindungen zulassen, nicht 'alles offen zwischen den Netzen'
• Getrennte Auswertung, welche Geräte im Produktionsnetz überhaupt aktiv sind – Transparenz vor Vertrauen

Wie geht man mit Maschinen mit alten Betriebssystemen um?

In den meisten Produktionshallen laufen Maschinen mit Steuerungsrechnern, deren Betriebssystem seit Jahren keine Sicherheitsupdates mehr erhält – oft, weil der Hersteller die Maschine für ein bestimmtes Windows-Embedded-Release zertifiziert hat und ein Update die Zertifizierung oder die Garantie kosten würde. Ein Austausch ist selten kurzfristig möglich, die Maschine läuft schließlich noch. Der praktikable Weg ist nicht das Update, sondern die Isolation: Die Maschine bekommt ein eigenes, streng abgegrenztes Netzsegment, ohne Internetzugang und ohne direkte Erreichbarkeit vom übrigen Netz aus. Was sie an Kommunikation tatsächlich braucht – etwa die Anbindung an ein Leitsystem –, wird gezielt freigeschaltet, alles andere bleibt zu.

• Alte Maschinensteuerungen in ein eigenes, isoliertes Segment ohne Internetzugang legen
• Nur die tatsächlich benötigten Verbindungen freischalten, nicht pauschal das ganze Netz öffnen
• Bestandsliste führen, welche Maschine mit welchem Betriebssystem läuft – Grundlage für jede spätere Entscheidung

Was bedeutet Verfügbarkeit während der Schicht wirklich?

Im Büro ist ein zehnminütiger Netzwerkausfall ärgerlich. In der Produktion kann derselbe Ausfall eine Linie stillstehen lassen, wenn Maschinen für Aufträge, Stücklisten oder Freigaben auf das Netzwerk angewiesen sind. Verfügbarkeit ist deshalb keine abstrakte Anforderung, sondern eine sehr konkrete: Welche Netzwerkkomponente darf ausfallen, ohne dass die Schicht steht? Redundante Uplinks zwischen den zentralen Switches, ein Ersatzgerät für kritische Komponenten im Haus statt einer Bestellung im Ernstfall, und eine Überwachung, die einen Ausfall meldet, bevor ihn die Werkstattleitung meldet, machen hier den Unterschied.

• Redundante Verbindungen zwischen den zentralen Netzwerkkomponenten in der Produktion
• Ersatzhardware für kritische Switches im Haus vorhalten statt im Störungsfall zu bestellen
• Aktive Überwachung mit Alarmierung, statt auf eine Meldung aus der Werkstatt zu warten

Worauf müssen Netzwerkkomponenten in einer Produktionshalle konstruktiv achten?

Standard-Netzwerktechnik aus dem Bürobereich ist für eine Halle mit Staub, Metallspänen, Vibration und Temperaturschwankungen zwischen Sommer und Winter nicht gebaut. Industrietaugliche Switches mit einer Schutzart von mindestens IP54, oft IP65, halten Staub und Spritzwasser stand, arbeiten in einem deutlich breiteren Temperaturbereich als Bürogeräte und sind meist lüfterlos aufgebaut, damit sich keine Ventilatoren mit Staub zusetzen. Auch bei der Verkabelung lohnt sich der Blick auf die Umgebung: geschirmte Kabel und robuste Steckverbinder halten der mechanischen Belastung in einer Fertigungshalle deutlich länger stand als Büromaterial.

Wie werden Fernwartungszugänge von Maschinenherstellern sicher eingebunden?

Viele Maschinenhersteller bestehen auf einem Fernzugriff für Wartung, Diagnose oder Software-Updates – nachvollziehbar, aber ein dauerhaft offener Zugang von außen auf das Produktionsnetz ist ein Risiko, das in keinem Verhältnis zum Nutzen steht. Sinnvoller ist ein Zugang, der nur bei Bedarf aktiv ist, auf die jeweilige Maschine beschränkt bleibt und protokolliert, wer sich wann eingewählt hat. Jeder Hersteller bekommt seinen eigenen Zugang statt eines gemeinsamen Einfallstors für alle Fernwartungen – so bleibt nachvollziehbar, welcher Zugriff zu welchem Zweck gehört, wenn später einmal etwas geklärt werden muss.

• Fernwartungszugang zeitlich begrenzt aktivieren, nicht dauerhaft offen lassen
• Je Maschinenhersteller einen eigenen, klar abgegrenzten Zugang statt eines gemeinsamen Zugangs für alle
• Protokollierung, wer sich wann eingewählt hat und auf welche Maschine zugegriffen wurde

Warum lohnt sich eine saubere Dokumentation der Produktionsverkabelung?

Eine Produktionshalle wird über Jahre hinweg immer wieder umgebaut, erweitert und neu belegt – neue Maschinen kommen dazu, alte werden versetzt, Linien werden umgestellt. Ohne eine Dokumentation, welches Kabel wohin führt und welcher Switch-Port zu welcher Maschine gehört, wird jede spätere Änderung zur Suche. Ein sauberer Kabelplan, konsequente Beschriftung an beiden Enden und eine aktuell gehaltene Übersicht der aktiven Geräte sparen genau in dem Moment Zeit, in dem eine Maschine steht und niemand sofort weiß, woran es liegt.

• Kabelplan und Portbelegung dokumentieren und bei jeder Änderung aktuell halten
• Beschriftung an beiden Enden jedes Kabels, nicht nur am Switch
• Übersicht führen, welches Gerät an welchem Port hängt – Grundlage für schnelle Fehlersuche im Störungsfall