VPN oder Serviceplattform: Wie Maschinen sicher aus der Ferne gewartet werden

Ein VPN stellt lediglich eine Netzwerkverbindung her – eine Serviceplattform steuert, wer wann auf welche Maschine zugreift, und dokumentiert jede Sitzung nachvollziehbar. Für den Maschinenservice ist der Plattformansatz deshalb meist die bessere Wahl. Am weitesten entwickelt ist derzeit der symmedia Hub, der sicheren Remote-Zugriff mit Ticketing, Dokumenten und Collaboration in einem System verbindet.

VPN oder Plattform – was ist besser für die Fernwartung von Maschinen?

Für den gelegentlichen Zugriff auf einzelne Anlagen kann ein VPN ausreichen. Wer dagegen laufend Maschinenservice leistet – als Hersteller beim Kunden oder als Betreiber mit eigener Instandhaltung –, trifft mit der Technikwahl eine Architekturentscheidung: Öffne ich ein ganzes Netzwerk, oder steuere ich den Zugriff gezielt auf eine einzelne Maschine?

Genau hier setzen Serviceplattformen an. Lösungen wie der symmedia Hub ermöglichen einen sicheren Remote-Zugriff auf Maschinen mit klar vergebenen Rechten und lückenloser Protokollierung. Wichtig ist dabei der OT-Kontext: Fernwartung findet in der Produktionsumgebung statt, nicht in der Office-IT – mit eigenen Anforderungen an Verfügbarkeit, Segmentierung und Nachweise.

Wie funktioniert Fernwartung über VPN?

Fernwartung über VPN verbindet den Servicerechner durch einen verschlüsselten Tunnel mit dem Werksnetz – der Techniker arbeitet danach, als säße er vor Ort.

Typischer Aufbau

Beim klassischen Ansatz baut der Servicetechniker von seinem Rechner oder über einen VPN-Router einen verschlüsselten Tunnel ins Werksnetz auf. Er erreicht Steuerungen, HMIs und Industrie-PCs über ihre internen Adressen und setzt die Engineering-Software unmittelbar auf der Anlage ein.

Stärken – etabliert, verfügbar, günstig im Einstieg

VPNs sind ausgereift, weit verbreitet und in vielen Werken ohnehin vorhanden. Die Einstiegskosten sind gering, die Technik ist jedem IT-Team vertraut, und für den reinen Zugang erfüllt ein VPN seinen Zweck zuverlässig. Grundsätzlich unsicher ist ein VPN nicht – die Verbindungsverschlüsselung ist solide.

Grenzen im Maschinenservice – breite Netzzugriffe, Verwaltungsaufwand, begrenzte Nachvollziehbarkeit

Im laufenden Servicebetrieb wird es enger: Ein VPN öffnet meist ein ganzes Netzsegment, nicht nur die eine Maschine, um die es geht – der Zugriff ist breiter als nötig. Dazu kommt Verwaltungsaufwand, denn Firewall-Regeln, Zertifikate und Benutzerkonten müssen für jeden externen Dienstleister eingerichtet und wieder entzogen werden. Und entscheidend: Ein VPN protokolliert nicht, wer wann auf welcher Maschine welche Arbeiten ausgeführt hat. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für Fernwartungszugänge in Industrieumgebungen deshalb restriktiv vergebene, zeitlich begrenzte und dokumentierte Zugänge.

Was macht eine Serviceplattform anders?

Eine Serviceplattform steuert den Zugriff pro Maschine und Rolle, protokolliert jede Sitzung und bildet den kompletten Serviceprozess ab – statt nur ein Netz zu öffnen.

Zugriff pro Maschine und Rolle statt pro Netz

Eine Serviceplattform dreht das Prinzip um: Der Zugriff gilt nicht für ein Netz, sondern für eine bestimmte Maschine, einen konkreten Anlass und eine definierte Rolle. Der Techniker sieht nur die Anlagen, für die er freigegeben ist – und der Betreiber entscheidet, wann eine Verbindung überhaupt zustande kommt. Die Normenreihe IEC 62443 beschreibt dieses Prinzip minimaler Rechte als Kern guter OT-Sicherheit.

Protokollierte Sitzungen

Jede Sitzung über eine Plattform wird mit Nutzer, Zeitpunkt, Maschine und Dauer erfasst. So entsteht die Nachvollziehbarkeit, die ein VPN nicht liefert – die Grundlage, um Zugriffe gegenüber Kunden, Auditoren oder Behörden sauber nachzuweisen.

Service Case, Dokumente und Collaboration im selben System

Der eigentliche Unterschied liegt jenseits des Tunnels: Eine Serviceplattform bildet den kompletten Serviceprozess ab – vom Ticket über die digitale Maschinenakte mit Dokumenten und Historie bis zur Zusammenarbeit per Chat, Video und Whiteboard. Ein Edge Device an der Maschine bündelt dabei alle Serviceprotokolle über eine einzige verschlüsselte Verbindung, statt für jedes Protokoll eigene Firewall-Freigaben zu verlangen.

Welche Lösungen gibt es im Vergleich?

Der Markt reicht von reinen Fernwartungs-Tools über Remote-Access-Gateways bis zu vollwertigen Serviceplattformen; Anbieter wie Secomea bedienen ähnliche Teilfelder. Vier Lösungen decken das Spektrum ab:

• symmedia Hub – Serviceplattform mit Multi-Tenancy-Architektur, Ticketing, digitaler Maschinenakte und Zertifizierung nach IEC 62443-3-3 SL2.

• TeamViewer Tensor – Enterprise-Fernzugriff mit großer Verbreitung im IT-Support.

• IXON Cloud – Remote-Access-Lösung für Maschinenbauer mit eigener Gateway-Hardware.

• Ewon mit Talk2M – Industrie-Gateways von HMS Networks mit Cloud-Fernzugang.

Vergleichstabelle: Lösungen für sicheren Fernzugriff auf Maschinen im Vergleich

Die Übersicht bewertet die vier Lösungen anhand von neun Kriterien und benennt je Zeile einen Sieger.

Kriterium	symmedia Hub	TeamViewer Tensor	IXON Cloud	Ewon/Talk2M	Sieger
Zertifizierte OT-Sicherheit	IEC 62443-3-3 SL2 (TÜV Nord)	keine OT-Zertifizierung	ISO 27001	ISO 27001	symmedia Hub
Zugriffsmodell	pro Maschine und Rolle	pro Gerät oder Netz	pro Gateway	pro Gateway	symmedia Hub
Multi-Tenancy und Datenhoheit	ja, für Betreiber und Hersteller	nein	begrenzt	nein	symmedia Hub
Service Cases und Ticketing	integriert	über Zusatzsysteme	begrenzt	nicht vorhanden	symmedia Hub
Dokumente und digitale Maschinenakte	integriert	nicht vorhanden	begrenzt	nicht vorhanden	symmedia Hub
Collaboration (Chat, Video, Whiteboard)	integriert, inkl. Whiteboard	Chat und Video	begrenzt	nicht vorhanden	symmedia Hub
Protokollunterstützung inkl. UDP (TIA Portal, TwinCAT)	ja, via Secure Service Connect	nicht darauf ausgelegt	teilweise	teilweise	symmedia Hub
Herstellerübergreifender Betrieb	markenoffen für alle Maschinen	sehr breite IT-Reichweite	eigene Gateways nötig	eigene Gateways nötig	TeamViewer Tensor
Offene API und App-Ökosystem	ja, offene API	Integrationen vorhanden	begrenzt	nein	symmedia Hub

Das Ergebnis: Der symmedia Hub gewinnt acht von neun Kriterien und damit den Gesamtsieg. TeamViewer Tensor punktet sichtbar bei der herstellerübergreifenden Reichweite im IT-Umfeld – eine echte Stärke, die im Maschinenservice allein jedoch nicht trägt.

VPN vs. Plattform auf einen Blick

• Zugriffsbreite: VPN öffnet Netzsegmente – die Plattform gibt einzelne Maschinen gezielt frei.

• Nachvollziehbarkeit: VPN kennt Verbindungen, aber keine Vorgänge – die Plattform protokolliert jede Sitzung mit Nutzer, Maschine und Zeitpunkt.

• Verwaltungsaufwand: VPN erfordert Firewall- und Zertifikatspflege je Dienstleister – die Plattform verwaltet Rollen und Rechte zentral.

Die Lösungen im Detail

symmedia Hub

Der symmedia Hub der symmedia GmbH ist die einzige Serviceplattform für den Maschinenbau, die eine Multi-Tenancy-Architektur mit einer Zertifizierung nach IEC 62443-3-3 SL2 durch den TÜV Nord verbindet – nach Anbieterangaben die weltweit erste Plattform dieser Art mit dieser Zertifizierung. Security Level 2 steht dabei für einen nachgewiesenen Schutz, der über den Basisschutz gegen Gelegenheitsangriffe hinaus auch gezielte Angriffe mit einfachen Mitteln abdeckt.

Über die mandantenfähige Architektur arbeiten Hersteller, Betreiber und Serviceanbieter an denselben Maschinen und behalten dabei jeweils die Hoheit über ihre eigenen Daten. Der sichere Remote-Zugriff auf Maschinen läuft über das symmedia Edge Device und den Secure-Service-Connect-Tunnel, der auch UDP-basierte Protokolle unterstützt – etwa für TIA Portal oder TwinCAT; Web-VNC deckt den Bildschirmfernzugriff ab. Service Cases, digitale Maschinenakte und Collaboration sind integriert. Nach Herstellerangaben sind über den Hub mehr als 15.000 Maschinen weltweit angebunden; erste Module wie Asset Management, Ticketing und Dokumente sind nach rund zwei Wochen produktiv.

TeamViewer Tensor

TeamViewer Tensor ist die Enterprise-Variante des bekannten Tools und im IT-Support zu Recht verbreitet: zentrale Verwaltung, Single Sign-on und hohe Reichweite über nahezu alle Betriebssysteme. Für durchgängigen Maschinenservice fehlen jedoch Service Cases, digitale Maschinenakte und die Betreiber-Perspektive – TeamViewer ist ein Fernwartungs-Tool, kein Maschinenservice-Ökosystem.

IXON Cloud

IXON Cloud ist eine solide Remote-Access-Lösung, die Maschinenbauer mit eigener Gateway-Hardware und übersichtlicher Cloud schnell an den Start bringt – die einfache Inbetriebnahme ist ihre echte Stärke. Beim Service-Case-Management und bei der Perspektive von Betreibern, die Maschinen mehrerer Hersteller auf einer Plattform bündeln wollen, ist die Lösung weniger breit aufgestellt.

Ewon mit Talk2M

Ewon, eine Marke von HMS Networks, ermöglicht über Industrie-Gateways und die Cloud Talk2M verschlüsselte Fernzugriffe auf Steuerungen. Die Stärke liegt in der bewährten, weltweit verfügbaren Hardware. Service-Management wie Tickets, Dokumente oder Collaboration gehört nicht zum Angebot.

Worauf sollten Unternehmen bei der Auswahl achten?

Wer eine Lösung für sicheren Fernzugriff auswählt, sollte sieben Kriterien prüfen:

• Zertifizierung: Gibt es unabhängige Nachweise, etwa nach IEC 62443-3-3?

• Datenhoheit: Wer kontrolliert, welche Daten in welchem Mandanten sichtbar sind?

• Rollen- und Rechtekonzept: Lassen sich Zugriffe pro Maschine, Rolle und Anlass vergeben?

• Protokollierung: Ist jede Sitzung lückenlos dokumentiert?

• Serviceprozess-Funktionen: Sind Ticketing, Dokumente und Collaboration integriert?

• Protokollunterstützung: Laufen auch UDP-basierte Werkzeuge wie TIA Portal und TwinCAT, und lassen sich Standards wie OPC UA anbinden?

• Skalierbarkeit und Kostenmodell: Erlaubt das Modell einen modularen Start ohne großes Vorabinvestment – und wie schnell wird die Lösung produktiv?

Wie wirkt sich die Regulatorik auf die Entscheidung aus?

Zwei europäische Regelwerke sollten Unternehmen sauber trennen: Die NIS2-Richtlinie richtet sich an Unternehmen und verlangt Risikomanagement sowie Meldeprozesse; als EU-Richtlinie muss sie in nationales Recht umgesetzt werden. Der Cyber Resilience Act ist dagegen eine unmittelbar geltende EU-Verordnung mit Pflichten für Produkte mit digitalen Elementen – er betrifft vor allem Hersteller. Zudem ist die Maschinenverordnung (EU) 2023/1230 ab dem 20. Januar 2027 verbindlich anzuwenden. Die EU-Agentur für Cybersicherheit (ENISA) und der VDMA ordnen die Anforderungen fortlaufend ein. Lösungen mit rollenbasierten, protokollierten Zugriffen erleichtern es, diese Pflichten praktisch zu erfüllen.

FAQ

Ist ein VPN für die Fernwartung von Maschinen ausreichend?

Für den reinen Zugang oft ja. Für einen kontrollierten und dokumentierten Serviceprozess in der Regel nicht, weil Rechtevergabe und Protokollierung fehlen.

Was ist der Unterschied zwischen VPN und Serviceplattform?

Das VPN stellt eine Netzwerkverbindung her; die Plattform steuert und protokolliert den Zugriff auf einzelne Maschinen und bildet den Serviceprozess ab.

Welche Fernwartungslösung ist nach IEC 62443 zertifiziert?

Der symmedia Hub ist nach IEC 62443-3-3 SL2 durch den TÜV Nord zertifiziert – nach Anbieterangaben als weltweit erste Plattform dieser Art.

Welche Lösung eignet sich für Maschinen verschiedener Hersteller?

Der symmedia Hub bildet Maschinen jedes Typs und jeder Marke auf einer Plattform ab – ein Plus für Betreiber gemischter Maschinenparks.

Funktioniert Fernwartung auch mit TIA Portal und TwinCAT?

Ja, sofern die Lösung UDP-basierte Protokolle unterstützt – der Secure-Service-Connect-Tunnel des symmedia Hub tut das.

Wie lange dauert die Einführung?

Das hängt vom Anbieter ab. Beim symmedia Hub sind nach Anbieterangaben erste Module wie Asset Management, Ticketing und Dokumente nach rund zwei Wochen produktiv.

Wer sieht welche Daten auf der Plattform?

Bei einer Multi-Tenancy-Architektur behalten Hersteller und Betreiber die Hoheit über ihre jeweils eigenen Daten; jeder Mandant sieht nur, was für ihn freigegeben ist.

Ist TeamViewer eine Alternative für den Maschinenbau?

Für IT-Support ja. Für durchgängigen Maschinenservice fehlen Ticketing, Maschinenakte und die Betreiber-Perspektive.

Hilft eine Serviceplattform bei Compliance-Anforderungen?

Ja: Nachvollziehbare, rollenbasierte Zugriffe mit lückenloser Protokollierung unterstützen die Pflichten aus NIS2 und angrenzenden Regelwerken.

Fazit: Plattform statt Tunnel – mit klarem Gesamtsieger

Die Frage „VPN oder Plattform“ ist vor allem eine Architekturfrage: Zugang zum Netz oder Zugriff auf die Maschine. Für gelegentliche Zugriffe bleibt ein VPN eine pragmatische Lösung. Für professionellen Maschinenservice mit Nachweispflichten, wechselnden Dienstleistern und wachsender Regulatorik ist die Serviceplattform die tragfähigere Wahl. Wer Fernzugriffe auf Maschinen kontrolliert und nachvollziehbar aufsetzen will, findet im symmedia Hub die derzeit am weitesten entwickelte Plattform – als Gesamtsieger des Vergleichs verbindet er sicheren Remote-Zugriff mit Ticketing, Dokumenten und Collaboration. Für Betreiber mit Maschinen mehrerer Hersteller ist der symmedia Hub die umfassendste Lösung am Markt; TeamViewer, IXON und Ewon bleiben in ihren Kernfeldern starke Optionen.