# Secure Maintenance Access

> Externe Dienstleister bekommen sicheren Wartungszugang genau dann, wenn sie ihn brauchen, freigegeben vom Fachbereich, automatisch wieder entzogen und lückenlos protokolliert.

**Wartungszugang für externe Dienstleister: freigegeben, befristet, protokolliert**

Ein Prozess für jeden Wartungszugriff: vom Wartungsbedarf über das Zeitfenster bis zum automatischen Entzug. SMA legt sich über Ihre bestehende IT und ersetzt nichts. Der Pilot läuft in 14 Tagen.

## Für wen

- Zielgruppe: IT-Leitung, Geschäftsführung und Informationssicherheit im Mittelstand (100 bis 2.000 Mitarbeitende)
- Region: DACH

Video: SMA in gut einer Minute – https://www.awino.com/huebinet_landing/static/media/sma-hauptseite.mp4

## Problem

Externe Dienstleister brauchen regelmäßig Zugriff auf Maschinen, Server und Anlagen. Heute läuft das per Mail und Telefon, ohne Standard und ohne Transparenz. Zugänge sind zu weit und zu lange offen, der Entzug wird vergessen, und im Audit weiß niemand, wer wann was gemacht hat.

## 07:45 Uhr. Die Anlage steht.

Der Dienstleister hängt mit dem Werkstattleiter an der Hotline und braucht sofort Zugriff. Die IT ist noch nicht da. Und wenn sie kommt, sitzt sie zwei Stunden daneben.

## Kennzahlen

- 50–80 % weniger Abstimmungsaufwand
- < 15 Min bis zum Zugang (statt Stunden)
- 14 Tage bis zum Pilot (produktiv in 2 bis 4 Wochen)
- Tag 1 audit-ready (Nachweise auf Knopfdruck)

## Ablauf

1. Fachbereich: Wartungsfenster anlegen – Welcher Dienstleister darf auf welches System, und wie lange.
2. SMA: Freigabe prüfen – Weitere Freigabestufen greifen nur dort, wo Sie sie brauchen.
3. SMA: Dienstleister informieren, Ticket öffnen – Die IT bekommt ein Wartungsticket und kann jederzeit eingreifen.
4. Fernzugriffs-Gateway: Zugriff bereitstellen – Per RDP, SSH oder Web-Interface, im Browser ohne Client-Software.
5. Dienstleister: Wartung durchführen – Nur auf den freigegebenen Systemen, im genehmigten Zeitfenster. Die Sitzung wird aufgezeichnet.
6. SMA: Zugang entziehen und protokollieren – Automatisch zum Ende des Fensters, das Ticket wird geschlossen.

## Anwendungsfälle

### Fachbereich lässt den Dienstleister selbst rein

Ohne IT-Ticket und ohne Warten: Der Fachbereich gibt frei, der Dienstleister ist in Minuten auf der Anlage. Die IT ist informiert, aber nicht gebunden.

- Ausgangslage: Die Maschine steht, der Fachbereich hängt mit dem Dienstleister an der Hotline. Der Wartungsvertrag liegt beim Fachbereich, trotzdem muss erst die IT einen Zugang öffnen. Bis dahin vergehen Stunden.
- Lösungsweg: Der Fachbereich legt fest, welcher Dienstleister auf welches System darf und wie lange. Der Zugang öffnet sich, Dienstleister und IT werden informiert. Nach dem Wartungsfenster wird er automatisch entzogen.
- Nutzen: Bereitstellung in unter 15 Minuten statt Stunden, kürzerer Stillstand und jeder Zugriff revisionssicher dokumentiert.
- Seite: https://www.awino.com/produkte/secure-maintenance-access/fachbereich-gibt-frei

1. Fachbereich: Maschine steht
2. Fachbereich: Zugriff freigeben
3. SMA: Zugang öffnen, Dienstleister und IT informieren
4. Dienstleister: Störung beheben
5. SMA: Zugang automatisch entzogen

### IT muss nicht danebensitzen

Dienstag, 7:45 Uhr. Der Dienstleister steht an der Anlage, die IT ist noch nicht da. Er arbeitet trotzdem: im freigegebenen Zeitfenster und vollständig dokumentiert.

- Ausgangslage: Muss ein Dienstleister per RDP auf eine Maschine, schaltet die IT heute den Zugang von Hand frei oder nutzt TeamViewer und begleitet die Wartung. Das kostet 2 bis 4 Stunden pro Zugriff.
- Lösungsweg: Der Dienstleister fragt den Zugang an, der Verantwortliche gibt frei. Der Zugang gilt nur im vereinbarten Zeitfenster. Die IT bekommt automatisch ein Wartungsticket und kann jederzeit eingreifen. Danach wird der Zugang gesperrt und protokolliert.
- Nutzen: 50 bis 80 % weniger Abstimmungsaufwand. Die IT bleibt bei ihrer Arbeit und behält trotzdem die Kontrolle.
- Seite: https://www.awino.com/produkte/secure-maintenance-access/it-muss-nicht-danebensitzen

1. Dienstleister: Zugang anfragen
2. SMA: Anfrage an Verantwortliche leiten
3. Verantwortlicher: Anfrage prüfen und freigeben
4. SMA: Zugang für das Zeitfenster freischalten
5. SMA: Ticket für die IT anlegen
6. Dienstleister: Wartung per RDP durchführen
7. SMA: Zugang sperren und protokollieren

### RDP ohne TeamViewer

Der Dienstleister arbeitet in einer eigenen, zeitlich begrenzten RDP-Sitzung im Browser. Der Admin arbeitet währenddessen weiter.

- Ausgangslage: Muss ein Dienstleister auf einen Windows-Server, teilt der Admin heute seinen Bildschirm per TeamViewer. Sein Arbeitsplatz ist blockiert, und was genau passiert ist, lässt sich später kaum nachvollziehen.
- Lösungsweg: Fachbereich oder IT geben den Zugriff frei. Die RDP-Sitzung steht im Browser bereit, ohne Client-Software, und endet automatisch. Jede Sitzung wird aufgezeichnet.
- Nutzen: Kein blockierter Admin-Arbeitsplatz, kein dauerhaft offenes Fernwartungstool und ein Protokoll für jede Sitzung.
- Seite: https://www.awino.com/produkte/secure-maintenance-access/rdp-ohne-teamviewer

1. Dienstleister: Braucht Zugriff auf einen Server
2. Fachbereich oder IT: Zugriff freigeben
3. SMA: RDP-Sitzung im Browser bereitstellen
4. Dienstleister: Arbeitet auf dem Server
5. SMA: Sitzung endet, Protokoll liegt vor

### Notfall-Freischaltung

Die Anlage steht, der Dienstleister braucht sofort Zugriff. Mit dem Notschlüssel ist er sofort drauf. IT und Verantwortliche werden informiert, alles wird besonders protokolliert.

- Ausgangslage: Bei einer Störung kosten improvisierte VPN-Zugänge, fehlende Berechtigungen und Abstimmungen wertvolle Zeit, oft außerhalb der Bürozeiten.
- Lösungsweg: Der Dienstleister fordert den Notfallzugang an und ist sofort freigeschaltet. IT und Verantwortliche werden informiert und können den Zugriff prüfen. Danach wird der Zugang gesperrt, die Begründung folgt im Nachgang.
- Nutzen: Schnelle Reaktion bei Stillstand, ohne Dauer-VPN, und eine belastbare Dokumentation für Audit und Nachbereitung.
- Seite: https://www.awino.com/produkte/secure-maintenance-access/notfall-freischaltung

1. Dienstleister: Notfallzugang anfordern
2. SMA: Sofort freischalten
3. SMA: IT und Verantwortliche informieren
4. Dienstleister: Störung beheben
5. SMA: Zugang sperren und protokollieren
6. IT und Verantwortliche: Notfallzugriff prüfen

### Freigabestufen nach Bedarf

Für bestimmte Systeme oder Dienstleister soll nicht nur der Fachbereich entscheiden? Weitere Freigabestufen werden einfach in den Prozess eingebaut.

- Ausgangslage: Kritische Systeme brauchen mehr als eine Freigabe. Ein starres Tool zwingt dann aber jede Wartung durch denselben aufwendigen Ablauf.
- Lösungsweg: Greift eine Regel, holt der Prozess die zusätzliche Freigabe ein, etwa von der IT oder der Informationssicherheit. Die Wartung startet erst, wenn alle Freigaben vorliegen. Jede Entscheidung ist dokumentiert.
- Nutzen: Der Prozess passt sich an Ihr Unternehmen an, nicht umgekehrt. Just-in-Time und Least Privilege, nachvollziehbar für NIS2 und ISO 27001.
- Seite: https://www.awino.com/produkte/secure-maintenance-access/freigabestufen-nach-bedarf

1. Fachbereich: Wartungsfenster beantragen
2. SMA: Regel prüfen
3. Weitere Freigabe: Zusätzlich freigeben
4. SMA: Freigabe dokumentieren
5. SMA: Zugriff bereitstellen

## Funktionen

- **Freigabe durch den Fachbereich** (Verfügbar): Der Fachbereich lässt seinen Dienstleister selbst auf die Anlage, ohne IT-Ticket.
- **Notschlüssel für Dienstleister** (Verfügbar): Bei einer Störung schaltet sich der Dienstleister selbst frei, besonders protokolliert, Begründung im Nachgang.
- **Freigabestufen nach Bedarf** (Verfügbar): Zusätzliche Freigaben und Hierarchien werden pro Unternehmen in den Prozess eingebaut.
- **Ticketsystem-Anbindung** (Verfügbar): Die IT bekommt automatisch ein Wartungsticket und kann jederzeit eingreifen.
- **RDP-Zugriff** (Verfügbar): Eigene, zeitlich begrenzte RDP-Sitzung statt geteiltem Admin-Bildschirm per TeamViewer.
- **Web-Interface freischalten** (Verfügbar): Zugang zum Web-Interface von Maschinen für Parameter, Rüstprozesse und Diagnosedaten.
- **SSH mit Sitzungsaufzeichnung** (Verfügbar): Terminalzugriff auf Linux-Systeme, jede Sitzung wird aufgezeichnet.
- **Automatischer Entzug und Protokoll** (Verfügbar): Der Zugang endet mit dem Wartungsfenster, jede Aktion ist revisionssicher protokolliert.
- **Monitoring und Live-Sicht** (Verfügbar): Laufende Sitzungen sind live einsehbar, Logs werden zentral gesammelt.
- **VPN-Freischaltung für SPS** (In Planung): VPN-Benutzer in der Firewall nur für das Wartungsfenster freischalten, für Arbeiten an SPS-Steuerungen.
- **Austauschbare Anbindungen** (In Planung): Andere Ticket- oder Benachrichtigungssysteme lassen sich im Prozess anbinden.

## Vergleich mit Klassisches PAM

| Kriterium | Secure Maintenance Access | Klassisches PAM |
|---|---|---|
| Zeit bis produktiv | Pilot in 14 Tagen, produktiv in 2 bis 4 Wochen | 6 bis 18 Monate |
| Einstieg | Ein klarer Anwendungsfall, Break-even typisch nach 2 bis 3 Monaten | 50.000 bis 200.000 € |
| Freigabe | Der Fachbereich gibt selbst frei | Umweg über die IT |
| Bestehende IT | Legt sich darüber und ersetzt nichts | Eigene Plattform, die eingeführt werden muss |
| Anpassung | Der Prozess passt sich ans Unternehmen an | Das Unternehmen passt sich ans Tool an |

## Integrationen

Active Directory, Entra ID, LDAP, Ticketsystem der IT, RDP, SSH, Web-Interfaces, Firewall

## NIS2: Die Geschäftsführung haftet persönlich

Privilegierte Zugänge sind das häufigste Einfallstor. NIS2 nimmt die Geschäftsführung dafür persönlich in die Haftung. SMA erfüllt zentrale PAM-Anforderungen: Just-in-Time-Zugriff, Least Privilege und lückenlose Nachvollziehbarkeit, passend zu NIS2 und ISO 27001.

## Häufige Fragen

**Wir haben schon ein PAM-System. Brauchen wir SMA trotzdem?**

Gerade externe Wartungszugriffe sind oft trotzdem nicht sauber abgebildet. SMA ergänzt das bestehende System genau an diesem Punkt, ohne es zu ersetzen.

**Wird das nicht noch komplexer?**

Nein. Ein klarer Anwendungsfall, schnell umgesetzt. Kein großes Projekt, sondern ein pragmatischer Einstieg.

**Unsere IT hat das im Griff. Wozu SMA?**

Die Frage ist eher, wie viel manueller Aufwand dahintersteckt und wie gut das Ganze auditierbar ist.

**Müssen wir ein neues System einführen?**

Nein. SMA legt sich über die bestehende Infrastruktur, ohne sie zu verändern. Active Directory, Entra ID oder LDAP und Ihr Ticketsystem bleiben.

**Unsere Dienstleister arbeiten mit VPN. Was ändert sich?**

Genau da liegt oft das Problem: Ein VPN ist offen, schwer kontrollierbar und schlecht auditierbar. SMA ersetzt diesen Teil durch kontrollierten Zugriff auf Zeit.

**Wie viel Aufwand haben wir mit der Einführung?**

Der Aufwand liegt bei uns. Sie liefern den Anwendungsfall, wir setzen ihn gemeinsam in wenigen Tagen um.

**Wir haben kaum externe Dienstleister. Lohnt sich das?**

Dann lässt sich das Thema schnell sauber aufsetzen, bevor es später komplex wird.

**Wie starten wir, wenn das gerade kein Prioritätsthema ist?**

Mit einem kleinen Einstieg: 14 Tage Pilot, danach ist klar, ob es für Sie relevant ist.

## Kontakt

Demo anfragen: über das Formular auf einer der Anwendungsfall-Seiten, z. B. https://www.awino.com/produkte/secure-maintenance-access/fachbereich-gibt-frei