Digitale Zwillinge sind schon seit einigen Jahren das große Ding der Industrie 4.0. Virtuelle Abbilder physischer Industrieprodukte, die helfen, Prozesse zu optimieren, Kosten zu senken und Stillstände zu verhindern, klingen auch sehr verlockend. Doch die bittere Wahrheit: Bis dorthin ist es mitunter ein mühsamer Weg. Schließlich fehlt es an einem Standard, der die Einführung und Nutzung in der Praxis erleichtert. Zumindest war das lange Zeit der Fall – vor der Asset Administration Shell (AAS).
Jeder kocht sein eigenes Digital-Twin-Süppchen
Die Industrie legt große Hoffnung in den Digitalen Zwilling: Bereits 2023 sahen knapp 60 Prozent der deutschen Produktionsunternehmen die Technologie laut Bitkom als essenzielle Basis für eine nachhaltige Entwicklung – auch weil sie neue Geschäftsmodelle eröffnen kann. Und ja, die Aussichten sind rosig. Digitale Zwillinge sammeln Daten aus Sensoren, Software und Prozessen, um Abläufe zu simulieren, zu analysieren und zu optimieren. In der Theorie können Organisationen damit beispielsweise vorausschauende Wartung betreiben, Kosten senken und ihre Produktivität steigern.
In der Praxis erklingen diese Benefits oft noch als ferne Zukunftsmusik, denn ohne einheitliche Standards blicken Verantwortliche auf unbrauchbare Dateninseln. Jede Firma entwickelt eigene Modelle. Maschinen und Software sind kaum kompatibel und Daten müssen manuell integriert werden – ein teurer und fehleranfälliger Prozess. Neue Systeme lassen sich nur mit großem Aufwand einbinden, da es keine gemeinsame Schnittstelle gibt. Echtzeit-Analysen scheitern oftmals, weil Daten aus unterschiedlichen Quellen wegen unterschiedlicher Formate nicht direkt zusammengeführt werden können. So bleibt das Konzept „Digitaler Zwillinge“ vielerorts hinter seinen Möglichkeiten zurück.
Gamechanger „Asset Administration Shell“
Der Schwierigkeitsgrad, ins nächste Level zu gelangen, ist in Wahrheit gar nicht hoch. Mit innovativem Konzept – der Asset Administration Shell (AAS) – schalten Unternehmen die neue Stufe frei. Diese Verwaltungsschale, wie sie zu Deutsch genannt wird, ist der Schlüssel, um Digitale Zwillinge nicht nur zu speichern, sondern standardisiert nutzbar zu machen.
Sie bildet das Rückgrat für die strukturelle Integration eines digitalen Zwillings, indem sie als standardisierte Informationsschicht zwischen physischem Asset und digitalen Repräsentationen fungiert. Während viele digitale Zwillinge heute noch isoliert und schwer integrierbar sind, sorgt der AAS dafür, dass Maschinen, Systeme und Software die gleiche Sprache sprechen. Langsam nähern wir uns den verheißungsvollen Vorteilen!
AAS in Kürze
Der AAS enthält die digitale Identität eines Assets – ob Maschine, Fahrzeug oder Produktionssystem. Sie stellt sicher, dass alle relevanten Informationen strukturiert, interoperabel und sicher erfasst werden. Ihr Aufbau folgt einem klaren Modell:
- Metadaten: Hier werden Identifikationsmerkmale des Assets gespeichert.
- Teilmodelle: Sie enthalten alle technischen und betrieblichen Eigenschaften eines Assets.
- Submodellelemente: Diese gehen ins Detail und erfassen spezifische Daten wie Sensorwerte, Wartungshistorien oder Betriebsparameter.
Verwaltungsschale sei Dank, lassen sich digitale Zwillinge einheitlich abbilden, Informationen über den gesamten Lebenszyklus hinweg verwalten und den sicheren Zugriff auf Daten steuern.
Für eine vielversprechende Zukunft des Digitalen Zwillings und somit moderner Industrien dank AAS, arbeitet auch die IDTA (Industrial Digital Twin Association). Die Allianz aus Technologieführern setzt dafür auf Branchenstandards. Fehlende Interoperabilität, erschwerte Integration oder mangelnde Sicherheitsmechanismen weichen einer nahtlosen, herstellerunabhängigen Integration, einer einfachen Einbindung neuer Maschinen oder Softwarelösungen und geschützten digitalen Identifikationen bzw. Identitäten.
Schutzmaßnahmen für eine zuverlässige digitale Identität
Unser USO-Stichwort ist gefallen: digitale Identitäten! Denn um den Schutz von Daten innerhalb der Asset Administration Shell zu gewährleisten und einen sicheren Informationsaustausch in Anlagen und Systemen bereitzustellen, braucht es passende Maßnahmen. Experten-Know-how vorausgesetzt! Deshalb sind wir gemeinsam mit der umbrella.associates GmbH – unserem Partnerunternehmen für strategische Identity-Security-Beratung – auch neues Mitglied im IDTA-Netzwerk.
Innerhalb der letzten zwei Jahre im Forschungsprojekt „6G-CampusSense“ haben wir so manchen Meilenstein passiert. Unser Highlight ist der Anforderungskatalog an sinnvolle Schutzmaßnahmen:
Kryptografische Absicherung – Vertrauen durch digitale Zertifikate
Damit digitale Zwillinge sicher kommunizieren, benötigen sie eine verlässliche Identifikation und Authentisierung. Dies kann etwa durch eine Public-Key-Infrastruktur (PKI) unterstützt werden, die kryptografische Zertifikate für Verwaltungsschalen ausstellt. Jede Verwaltungsschale erhält ein einzigartiges X.509-Zertifikat, das regelmäßig auf seine Gültigkeit überprüft wird und mit dessen privaten Schlüssel die Identität des Assets geprüft werden kann. Das Zertifikat kann zudem genutzt werden, um mit TLS 1.3 auch die Session-Keys für die Transportverschlüsselung zu etablieren.
Um die Sicherheit der Zertifikate auf dem physischen Device zu gewährleisten, sollten diese in den Trusted Platform Modules (TPM) oder einer „Secure Enclave“ hinterlegt werden. Für die Kommunikation virtueller Abbilder kann und soll zukünftig auf moderne Token-basierte Verfahren gesetzt werden, die aufgrund ihrer kurzen Gültigkeitsdauer weniger anfällig für Kompromittierung und Manipulation sind.
Zugriffskontrolle und Authentifizierung: Wer darf was?
Nicht jeder Nutzer oder jede Maschine darf auf alle Daten einer Verwaltungsschale zugreifen. Deshalb kommt ein rollenbasiertes Zugriffskontrollmodell (RBAC) zum Einsatz. Jede Anfrage auf ein Submodell wird überprüft – nur Nutzer mit den passenden Berechtigungen erhalten Zugriff.
Darüber hinaus kann durch eine Kombination attributbasierter (ABAC) und kontextbezogener (CBAC) Zugriffskontrollen für eine noch feinere Abstimmung gesorgt werden. Neben Rollen werden Faktoren wie Standort, Zeitstempel oder Geräteeigenschaften in die Entscheidungsfindung einbezogen.
Dieses Konzept der fein-granularen Zugriffsteuerung (FGA – Fine Granular Authorization) wird durch die Kollegen der umbrella.associates seit mehreren Jahren vorangetrieben und wurde unter anderem für die Sicherung des Zugriffs auf große industrielle Elektromotoren eines deutschen Industriegiganten umgesetzt.
Integrität und Manipulationsschutz: Daten gegen Angriffe absichern
Um sicherzustellen, dass die Daten innerhalb der AAS nicht verändert wurden, werden digitale Signaturen eingesetzt. Jedes Submodell erhält eine individuelle Signatur, die über eine signierte Hash-Kette (Merkle-Tree) überprüft werden kann.
Zusätzlich werden kryptografische Hashes (SHA-3 oder BLAKE2) verwendet, um Metadaten abzusichern. Diese Prüfsummen sorgen dafür, dass jede noch so kleine Veränderung im System sofort erkannt wird.
Netzwerksicherheit – von geschlossenen Toren
Die Verwaltungsschalen tauschen Daten über das Netzwerk aus – was sie anfällig für Cyber-Angriffe macht. Deshalb muss jede Verbindung mit TLS 1.3 und Mutual TLS (mTLS) abgesichert sein. Dies verhindert Man-in-the-Middle-Angriffe, bei denen sich ein Angreifer unbemerkt zwischen zwei kommunizierende Systeme schaltet.
Kritische Komponenten wie Identitätsserver werden on top in isolierte Netzwerke (VLANs) oder Mikrosegmentierungen verschoben. So können Angriffe im Ernstfall nicht auf das gesamte System zugreifen.
Fehlertoleranz und Wiederherstellung: Was tun im Notfall?
Auch mit den besten Sicherheitsmaßnahmen bleibt ein Restrisiko – sei es durch technische Fehler oder gezielte Angriffe. Deshalb müssen Schlüsselwiederherstellungsmechanismen existieren. Backup-Schlüssel werden in verteilten Schlüsselsystemen in einem sicheren HSM oder Shamir’s Secret Sharing gespeichert, sodass sie sich im Notfall wiederherstellen lassen.
Um Datenverluste zu vermeiden, werden regelmäßige Backups von Identitäts- und Zugriffskontrollsystemen erstellt. Diese werden offline gesichert, um sie vor Cyber-Angriffen zu schützen.
Secure Element – Hardware-Schutzschild für digitale Zwillinge
Ein Secure Element schafft eine isolierte, hochsichere Umgebung zur Speicherung von kryptografischen Schlüsseln und digitalen Identitäten. In Kombination mit FIDO (Fast Identity Online) ermöglicht es eine passwortlose, manipulationssichere Authentifizierung in industriellen IoT-Systemen.
Durch den kombinierten Einsatz von Secure Elements und der Asset Administration Shell werden Maschinen und ihre digitalen Abbilder eindeutig verifiziert. Nur autorisierte Software wird ausgeführt und sämtliche Datenübertragungen sind authentifiziert und verschlüsselt.
Use Case „Smarte Wartung“
Dank der Verwaltungsschale (AAS) und eines Digitalen Zwillings werden Maschinen nicht mehr einfach nur betrieben – sie werden intelligent überwacht. Ein Use Case verdeutlicht das.
Elektromotor im Produktionsbetrieb
Schon bei der Entwicklung hinterlegt der Hersteller technische Daten wie Drehmoment oder Wellenhöhe in der AAS. Nach der Inbetriebnahme sammelt der Digitale Zwilling kontinuierlich Echtzeitdaten – etwa Temperatur und Vibrationen.
Frühwarnsystem in Aktion
Die Vibration steigt unerwartet an? Die Verwaltungsschale erkennt die Abweichung, sendet eine automatische Wartungsanforderung an den Hersteller – und das Lager wird ausgetauscht, bevor die Maschine ungeplant ausfällt.
Das Ergebnis
Weniger Stillstand, geringere Wartungskosten und maximale Effizienz. Predictive Maintenance war nie einfacher!
USO im Spielezimmer
Ein komplexes Thema diese Verwaltungsschale? Aber wir wären nicht wir, wenn uns dafür nicht eine geniale Vereinfachung in den Sinn gekommen wäre: die AAS-Rollercoaster.
Es ist wie damals im Kinderzimmer. Die Carts flitzen auf der Achterbahn und alle verfolgen das Geschehen gespannt. Einziger Unterschied: Beim AAS-Rollercoaster lernen Zuschauer auch noch was – nämlich wie unterschiedlich gewinnbringend Digitale Zwillinge tatsächlich sein können.
Jedes unserer Carts stellt ein Flurförderfahrzeug dar in drei verschiedenen Entwicklungsstadien: ein Manuelles Legacy Cart, ein Basic Security Cart und das 6G CampuSense Car.
Manuelles Legacy Cart:
Das Bestandsfahrzeug ist bereits in der zentralen Datenbank erfasst.
❌ Statusabfrage und Logins für Operator oder Hersteller sind nicht möglich.
❌ Das Gerät gibt keine Echtzeitdaten aus.
❌ Die Abfrage der manuellen Eintragung in der Datenbank zeigt nur spärliche Informationen wie Seriennummer und allgemeine Leistungsdaten.
Basic Security Cart:
Das Fahrzeug ist noch nicht erfasst.
❌ Über ein sehr spärliches Web-User-Interface muss mit viel manuellem Aufwand eine Vielzahl an Pflichteinträgen ausgefüllt werden.
❌ Mit der Konfiguration verbunden: ein hoher manueller Aufwand!
❌ Ein Login für Operator oder Hersteller ist ausgeschlossen.
6G CampuSense Cart:
Das Fahrzeug wird im Unternehmen ausgeliefert und automatisch im 6G-Netzwerk erkannt.
✔️ Konfigurationsaufwand gleich null: Ein sicheres Web-Interface (HTTPS) öffnet sich. Durch das Early Binding mit dem Secure Element von Infineon wird das Cart vollautomatisch in die Datenbank hinzugefügt.
✔️ Es werden umfangreiche Informationen (Seriennummer, Leistungsdaten, Sensoren, Echtzeitparameter, Temperaturabfragen etc.) erkannt und eingelesen.
✔️ Operator und Hersteller können über eine gesicherte Verbindung in Echtzeit Live-Daten des Fahrzeugs abfragen sowie Wartungsarbeiten planen und vornehmen.
Schnell wird klar, welches Cart das Rennen gewinnt.
Was wir darüber hinaus auch simulieren können: das digitale Typenschild. In der Industrie bedeutet jede fehlende Information Verzögerungen, Kosten und unnötigen Mehraufwand. Wer jemals eine Betriebsanleitung gesucht oder technische Spezifikationen für eine Maschine händisch zusammengesucht hat, weiß, wie ineffizient dieser Prozess sein kann. Hier setzt das digitale Typenschild an – eine zentrale, digitale Informationsquelle, die alle relevanten Daten eines Assets auf Knopfdruck bereitstellt. In Kombination mit dem digitalen Produktpass (DPP), der aktuelle Wartungsinformationen, Spezifikationen sowie regulatorische Nachweise darstellt, kann so eine konsistente, digitale Dokumentation über den gesamten Lebenszyklus des Geräts hinweg sichergestellt werden.
Anstatt mühsam gedruckte Dokumentationen, Sicherheitszertifikate oder Wartungshandbücher zu durchforsten, genügt ein einfacher Scan eines QR-Codes oder NFC-Tags direkt an der Maschine. Sofort stehen alle hinterlegten Informationen aus der Asset Administration Shell zur Verfügung – von technischen Daten über Bedienhinweise bis hin zu Wartungshistorien.
Das müssen Sie mit eigenen Augen sehen? Trifft sich gut: Vom 17. bis 18. März 2025 sind wir in Berlin auf der Nationalen Konferenz für IT-Sicherheitsforschung und führen die Möglichkeiten Digitaler Zwillinge in Verbindung mit AAS spielerisch vor.
Fazit
Die Verwaltungsschale ist nicht nur eine technologische Weiterentwicklung – sie ist der Standard, der Digitale Zwillinge wirklich nutzbar macht. Unternehmen, die ihre digitalen Abbilder interoperabel, sicher und zukunftsfähig gestalten wollen, kommen an der AAS nicht vorbei. Doch ohne passende Sicherheitsmechanismen bleibt das System verwundbar.
Nicht mit USO! Wir freuen uns, dass wir unseren Teil zur Forschung beitragen dürfen, um nicht nur das Potenzial des Digitalen Zwillings voll auszuschöpfen, sondern die Strukturen auch vor Cyber-Attacken zu schützen.