Betriebs-/ Sicherheitshinweise

Das Gerät enthält elektrische Spannungen und hochempfindliche Bauteile. Eingriffe des Anwenders sind nur zum Verbinden der Anschlussleitungen vorgesehen. Sollen weitergehende Änderungen vorgenommen werden, so ist der Hersteller oder ein von diesem autorisierter Service zu Rate zu ziehen. Das Gerät muss bei Arbeiten spannungsfrei sein. Es sind geeignete Maßnahmen zur Vermeidung von elektrostatischen Entladungen auf Bauteile zu treffen. Wenn das Gerät von einer nicht autorisierten Person geöffnet wird, können Gefahren für den Benutzer entstehen und der Gewährleistungsanspruch erlischt.

Allgemeine Hinweise Die Montage, Inbetriebnahme und Bedienung darf nur von ausgebildetem und geschultem Personal erfolgen Die Sicherheitshinweise und die Betriebsanleitung sind von allen Personen zu beachten, die mit dem Gerät arbeiten Beim Einsatzort des Geräts müssen die geltenden Regeln und Vorschriften zur Unfallverhütung beachtet werden Die Betriebsanleitung enthält die wichtigsten Hinweise, um das Gerät sicherheitsgerecht zu betreiben Um einen sicheren und ordnungsgemäßen Betrieb des Geräts zu gewährleisten, wird eine sachgerechte Lagerung, sachgemäßer Transport, Aufstellung und Inbetriebnahme sowie sorgfältige Bedienung vorausgesetzt

Sicherheitshinweise

ACHTUNG

Das Anschließen von Leitungen (Stromversorgung, Schnittstellenkabel) darf nur in abgeschaltetem Zustand erfolgen, um Beschädigungen am Gerät zu vermeiden.

ACHTUNG

Montagearbeiten am Gerät sind nur in gesichertem und spannungsfreiem Zustand erlaubt.

Recommendation for use

Anwendungsempfehlung: Achten Sie bei der Handhabung elektrostatisch gefährdeter Bauteile auf die relevanten Sicherheitsmaßnahmen (DIN EN 61340-5-1 / DIN EN 61340-5-2).

Betriebsort

Das Gerät ist für den industriellen Einsatz konzipiert. Es ist darauf zu achten, dass die spezifizierten Umweltbedingungen eingehalten werden. Der Einsatz in nicht spezifizierter Umgebung, z. B. auf Schiffen, im EX-Bereich oder in extremer Höhe ist untersagt (vgl. Kapitel 11 Technische Daten).

ACHTUNG

Schäden durch Kondenswasser! Um Kurzschlüsse und Fehlfunktionen aufgrund von Kondensat zu vermeiden, darf das Gerät erst eingeschaltet werden, nachdem es sich der vorgeschriebenen Umgebungstemperatur angeglichen hat. Dasselbe gilt, wenn das Gerät extremen Temperaturschwankungen ausgesetzt wurde. Schäden durch Hitze! Setzen Sie das Gerät keiner direkten Bestrahlung durch Sonnenlicht oder anderen Licht- oder Wärmequellen aus!

Schäden durch unsachgemäßen Gebrauch

Weist das Bediensystem offensichtliche Schäden auf, verursacht durch z.B. falsche Betriebs-/ Lagerbedingungen oder unsachgemäße Handhabung, so ist das Gerät umgehend stillzulegen und gegen unbeabsichtigte Inbetriebnahme zu schützen.

Gewährleistung / Reparatur

Während der Gewährleistungszeit dürfen Reparaturen nur vom Hersteller oder durch vom Hersteller autorisierte Personen durchgeführt werden.

Bestimmungsgemäße Verwendung

Das Gerät wurde speziell für die IT-Sicherheit bei Maschinen und Anlagen und die sichere Fernwartung über Internet entwickelt.

Folgende Anwendungsbereiche werden durch die Industrial Firewall realisiert:

• Fernwartung, NAT-Router, Mobilfunk-Router, Maschinen-Firewall

Das Gerät darf nur innerhalb der zulässigen Spezifikationen montiert, installiert und betrieben werden. Der Einsatz in nicht spezifizierter Umgebung ist untersagt.

Nicht bestimmungsgemäße Verwendung

Ein anderer oder über den beschriebenen Betrieb des Geräts hinausgehender Betrieb gilt als nicht bestimmungsgemäße Verwendung.

Das Gerät darf nicht zur Steuerung von Fahrzeugen und nicht für Applikationen für welche weitere Zulassungen außerhalb der Herstellererklärung notwendig sind, z.B. Ex-Bereich, Medizintechnik, Schifffahrt, verwendet werden. Eine Verwendung für Zahlungsdienstleistungen ist ausgeschlossen. Eine Verwendung durch Privatpersonen gilt als nicht bestimmungsgemäß.

Das Gerät darf nicht bei Transportschäden oder bei Nichteinhaltung der Spezifikationen in Betrieb genommen werden und muss bei sich ändernden Bedingungen außer Betrieb genommen werden.

Bei nicht bestimmungsgemäßer Verwendung übernimmt ADS-TEC keine Verantwortung und keine Haftung für Personen und Sachschäden, welche sich direkt oder indirekt aus dem Umgang mit dem Gerät ergeben. Weist das Gerät offensichtliche Schäden auf, verursacht durch z.B. falsche Betriebs-/ Lagerbedingungen oder unsachgemäße Handhabung, so ist es umgehend stillzulegen und gegen unbeabsichtigte Inbetriebnahme zu schützen.

Netzwerkumgebung und Dienste

ACHTUNG

Sicherheitsrisiken durch Verwendung bestimmter Dienste in unsicheren Netzwerken. Beachten Sie die im Folgenden genannten Hinweise.

Dieses Gerät unterstützt eine Vielzahl optionaler Netzwerkdienste und Sonderfunktionen, die standardmäßig deaktiviert sind. Einige dieser Funktionen sind in ihrer Standardkonfiguration nicht sicher gegenüber Angriffen aus dem öffentlichen Internet. Dazu gehören unter anderem:

• USBIP Device Server (TCP 3240)
• gpsd-Dienst (TCP 2947)
• RIP v2 (UDP 520) und OSPF (IP Proto 89)
• Modbus/TCP Server
• DNS Proxy (UDP 53)
• SMS-Kommunikationsschnittstellen
• Virtual COM Port Services (TCP 3001/20000)
• Debug- und Diagnose-Services wie rpcap und SSH (Port 22)

Diese Dienste sind ausschließlich zur Verwendung in kontrollierten, vertrauenswürdigen Netzwerken vorgesehen — hinter einer aktiven Firewall, über ein sicheres VPN oder in vollständig isolierten Netzen. Die Aktivierung in ungesicherten oder öffentlich zugänglichen Netzwerken stellt ein erhebliches Sicherheitsrisiko dar (EN 18031-1:2024).

Schutz von Hardware-Schnittstellen

Das Gerät verfügt über mehrere physische Schnittstellen, die keine integrierten Authentifizierungs- oder Zugriffskontrollmechanismen aufweisen. Diese Schnittstellen stellen potenzielle Zugriffspunkte für unautorisierte physische Angriffe dar und müssen gegen Manipulation geschützt werden.

Schnittstelle	Risiko	Auswirkungen
Rücksetztaste (Factory Default)	Zurücksetzen auf unsichere Werkseinstellungen	Verlust sicherer Konfiguration, Entfernung von Zugangskontrollen
Digitaler Eingang	Direkter Zugriff auf interne Steuerungssignale	Steuerungsmanipulation, ungewollte Funktionsauslösung
Smartcard-Steckplatz	Zugriff auf kryptografische Schlüssel oder Identitäten	Identitätsdiebstahl, Missbrauch von Authentifizierungen
Modbus RTU / RS-485	Keine Authentifizierung, Verschlüsselung oder Ratenbegrenzung. Alle Daten werden im Klartext übertragen.	Abhören, Einschleusen manipulierter Nachrichten, Denial of Service

Das Gerät muss an einem Ort mit kontrolliertem physischen Zugang installiert werden (z. B. abgeschlossener Schaltschrank).

Übersicht der verfügbaren Netzwerkschnittstellen

Neben den oben genannten physischen Schnittstellen verfügt das Gerät über mehrere Netzwerkschnittstellen. Die im Folgenden beschriebene Konfiguration entspricht der werkseitigen Voreinstellung („Factory Default“) und ist für den sicheren Betrieb und die Netzwerkintegration relevant.

Schnittstelle	Zugehörigkeit	Verhalten in Werkseinstellung	Default IP-Adresse	DHCP	Paketweiter-leitung
WAN	Einzelport	Separat, nicht mit LAN1-LAN3 verbunden. DHCP aktiviert. Keine IP-Weiterleitung im Inbetriebnahmemodus	Keine (DHCP-Client)	Ja	Nein
LAN1 - LAN3	Interner Switchverbund	Als interner Ethernet-Switch verschaltet. Leitet jeglichen Datenverkehr durch, auch im Werkszustand. Optional konfigurierbar mit Paketfiltern	192.168.0.254 (fix)	Nein	Ja (Switch)

Hinweise:

• LAN1 bis LAN3 verhalten sich wie ein Layer-2-Switch ohne Routingfunktion. Es erfolgt keine Isolation zwischen den Ports.

• WAN ist physisch und logisch isoliert von LAN1-LAN3, was im Inbetriebnahme-Modus eine sichere Initialkonfiguration ermöglicht.

• Bei Aktivierung von Routing oder Firewallfunktionen kann das Verhalten modifiziert werden. Diese Funktionen sind in der Werkseinstellung nicht aktiv.

• Alle Ethernet-Ports sind physikalisch zugänglich und müssen im Rahmen einer Risikoanalyse entsprechend gesichert oder dokumentiert werden.

Paketfilterregeln

Das Gerät verfügt über eine integrierte Paketfilter-Engine mit Unterstützung für Layer-2- (Ethernet/MAC-basiert) und Layer-3- (IP-basiert) Paketfilterregeln. Die Paketfilter können im Whitelist-Modus (Deny-by-Default) oder Blacklist-Modus (Allow-by-Default) betrieben werden.

Filtertyp	Werkseinstellung	Beschreibung
Layer-2-Filter	Allow All	Keine Einschränkungen auf MAC-Ebene aktiv
Layer-3-Filter	-	Im Inbetriebnahme-Modus werden keine Pakete weitergeleitet (Drop-All). Es muss zwingend ein Betriebsmodus ausgewählt werden.

Die vollständige Konfigurationsreferenz finden Sie unter Paketfilter.

Schutz sensibler Daten

ACHTUNG

Auf dem Gerät gespeicherte Daten (kryptografische Schlüssel, Passwörter, Zertifikate, sicherheitsrelevante Konfigurationsparameter) sind nicht vor physischer Extraktion geschützt. Es sind keine sicheren Speichermethoden nach EN 18031-1 Abschnitt 6.4 implementiert.

Das Gerät muss in einem physisch geschützten Umfeld installiert werden (z. B. abgeschlossener Schaltschrank). Bei Verlust oder Diebstahl des Geräts ist davon auszugehen, dass alle gespeicherten Anmeldedaten kompromittiert sind — diese sind umgehend zu widerrufen.

Konfigurationsdaten dürfen erst am finalen Einsatzort auf das Gerät aufgespielt werden. Ersetzen Sie das werksseitige Gerätezertifikat durch ein organisationsspezifisches Zertifikat. Jedes Gerät wird mit einem Sicherheitssiegel versehen — prüfen Sie es bei Erstinbetriebnahme und in regelmäßigen Abständen auf Unversehrtheit.

Mobilfunk und Cybersicherheit

ACHTUNG

Die Mobilfunkverbindung des Geräts über das optional integrierte Modem stellt eine öffentlich zugängliche Netzwerkverbindung dar und gilt somit als nicht vertrauenswürdig im Sinne der EN 18031-1:2024.

Für den sicheren Betrieb über Mobilfunk oder andere Weitverkehrsverbindungen ist zwingend die Nutzung eines sicheren Kommunikationsmechanismus erforderlich (z. B. VPN über Big-LinX, OpenVPN, IPsec oder mutual TLS/HTTPS). Der Einsatz eines privaten APN wird empfohlen, um das Gerät vom öffentlichen Internet zu trennen.

Sicherheitshinweise zu Mobilfunk

WARNUNG

• Die Funkkarte darf NICHT in folgenden Umgebungen betrieben werden:
• in der Nähe von medizinischen und Lebensrettungseinrichtungen,
• in explosiver Atmosphäre (z.B. in der Nähe von Treibstofflagern oder Chemiefabriken),
• in der Nähe von Sprengarbeiten.
• Schalten Sie das Gerät in diesen Umgebungen AUS und sichern Sie es gegen versehentliche Inbetriebnahme. Funkstörungen könnten in bestimmten Umgebungen unvorhersehbare Auswirkungen haben! Die Funkkarte darf NICHT in folgenden Umgebungen betrieben werden:
• in der Nähe von medizinischen und Lebensrettungseinrichtungen,
• in explosiver Atmosphäre (z.B. in der Nähe von Treibstofflagern oder Chemiefabriken),
• in der Nähe von Sprengarbeiten. Schalten Sie das Gerät in diesen Umgebungen AUS und sichern Sie es gegen versehentliche Inbetriebnahme.

WARNUNG

• Das Gerät darf nicht für Anwendungen eingesetzt werden, bei denen Menschen oder Gegenstände aufgrund einer Störung der Funkverbindung zu Schaden kommen könnten. Eine Kommunikation über Funkverbindungen kann nicht garantiert werden. Das Gerät darf nicht für Anwendungen eingesetzt werden, bei denen Menschen oder Gegenstände aufgrund einer Störung der Funkverbindung zu Schaden kommen könnten.

WARNUNG

• Prüfen Sie, ob am Aufstellort ein Blitzschutz erforderlich ist (Schutz bei direktem Blitzeinschlag und Schutz vor induzierten Spannungen bei weiter entfernten Blitzeinschlägen). Gefahr durch Blitzeinschläge bei Anbringung der Antennen in exponierter Lage! Prüfen Sie, ob am Aufstellort ein Blitzschutz erforderlich ist (Schutz bei direktem Blitzeinschlag und Schutz vor induzierten Spannungen bei weiter entfernten Blitzeinschlägen).

WARNUNG

• Halten Sie gemäß den Vorgaben der amerikanischen Federal Communications Commission (FCC) und der ISED (Industry Canada) einen Mindestabstand von 20 cm zwischen den Sendeantennen und Menschen ein. Elektromagnetische Strahlung könnte gesundheitsgefährdend sein. Halten Sie gemäß den Vorgaben der amerikanischen Federal Communications Commission (FCC) und der ISED (Industry Canada) einen Mindestabstand von 20 cm zwischen den Sendeantennen und Menschen ein.

WARNUNG

• Halten Sie die maximal zulässige Signalstärke (EIRP) gemäß nationaler oder örtlicher Bestimmungen ein (siehe Berechnungsbeispiel zu EIRP).
• Beachten Sie die am Aufstellungsort geltenden Vorschriften und Normen (z.B. die Normen zur Antennenerrichtung VDE 0855 und zum Blitzschutz VDE 0185-305).
• Lassen Sie Planung, Installation und Abnahme von Antennensystemen ausschließlich von elektrotechnisch befähigtem Fachpersonal durchführen.
• Beim Betrieb in Nordamerika darf der Antennengewinn (inklusive Leitungsverlusten) gemäß den Vorgaben der US-amerikanischen Federal Communications Commission (FCC) und der kanadischen ISED (Industry Canada) die folgenden Werte nicht überschreiten: Funkstörungen und mögliche Gesundheitsschäden durch Überschreiten der zulässigen Sendeleistung! Bei Verwendung von Richtantennen mit hohem Antennengewinn kann die max. zul. Feldstärke überschritten werden. Halten Sie die maximal zulässige Signalstärke (EIRP) gemäß nationaler oder örtlicher Bestimmungen ein (siehe Berechnungsbeispiel zu EIRP). Beachten Sie die am Aufstellungsort geltenden Vorschriften und Normen (z.B. die Normen zur Antennenerrichtung VDE 0855 und zum Blitzschutz VDE 0185-305). Lassen Sie Planung, Installation und Abnahme von Antennensystemen ausschließlich von elektrotechnisch befähigtem Fachpersonal durchführen. Beim Betrieb in Nordamerika darf der Antennengewinn (inklusive Leitungsverlusten) gemäß den Vorgaben der US-amerikanischen Federal Communications Commission (FCC) und der kanadischen ISED (Industry Canada) die folgenden Werte nicht überschreiten: LTE Band 2 (1850–1910 Mhz) 6 dBi Band 4 (1710–1755 MHz) 6 dBi Band 5 (824–849 MHz) 6 dBi Band 7 (2500–2570 MHz) 9 dBi Band 12 (699–716 MHz) 6 dBi Band 13 (777–787 MHz) 6 dBi Band 25 (1850–1915 MHz) 6 dBi Band 26 (814–849 MHz) 6 dBi Band 30 (2305–2315 MHz) 1 dBi (externe Fahrzeugantennen nicht zulässig!) Band 41 (2496–2690 MHz) 9 dBi UMTS Band 2 (1850–1910 MHz) 6 dBi

Berechnungsbeispiel für die Sendeleistung (EIRP)

EIRP = P_out - C_loss + Ant_gain = 22 dBm - 8 dB + 9 dBi = 23 dBm (≙ 200 mW)

EIRP = Equivalent Isotropically Radiated Power

P_out = Sendeleistung der Funkkarte (siehe Datenblatt des Geräts)

C_loss = Verluste durch Dämpfung in Koaxialkabel und Steckern

Ant_gain = Antennengewinn

Schutz vor elektrostatischen Entladungen

ACHTUNG

• Achten Sie bei der Handhabung elektrostatisch gefährdeter Bauteile auf die einschlägigen Sicherheitsmaßnahmen (z.B. DIN EN 61340-5-1 / DIN EN 61340-5-2).
• Montage-/Servicearbeiten am Gerät sind nur in gesichertem und spannungsfreiem Zustand erlaubt. Schäden durch elektrostatische Entladungen! Durch elektrostatische Entladungen können Schäden am Gerät entstehen. Achten Sie bei der Handhabung elektrostatisch gefährdeter Bauteile auf die einschlägigen Sicherheitsmaßnahmen (z.B. DIN EN 61340-5-1 / DIN EN 61340-5-2). Montage-/Servicearbeiten am Gerät sind nur in gesichertem und spannungsfreiem Zustand erlaubt.

Verwendung des Geräts gemäß UL-Zulassung

Hinweise zur Verwendung des Geräts gemäß UL-Zulassung (Underwriter Laboratories, USA):

• Das Gerät darf nur innerhalb geschlossener Räume verwendet werden.

• Die Kabel der Kommunikationsverbindungen dürfen nur innerhalb eines Gebäudes oder maximal 42,7 m (140 feet) außerhalb von Gebäuden verlegt werden.

• Das Gerät enthält intern eine Sicherung am Spannungseingang. Diese Sicherung sowie alle weiteren internen Komponenten dürfen nicht von Service-Personal, sondern ausschließlich vom Hersteller getauscht werden.