Industrielle Netze mit Azure IoT Edge
Nix Schicht im Schacht!
Veröffentlicht in Ausgabe 08/2025 - SCHWERPUNKT
Azure stellt ein umfassendes Ökosystem für industrielle IoT-Anwendungen bereit, das sich sowohl für Pilotprojekte als auch für flächendeckende Rollouts eignet. Azure IoT Edge ist das zentrale Bindeglied zwischen operativer Technik (OT) und Cloud-IT. Die Plattform ermöglicht eine Verarbeitung von Sensordaten direkt an der Quelle und eine nachgelagerte Analyse in der Cloud.
Azure IoT Edge bildet die technologische Grundlage für die lokale Datenverarbeitung und Container-Orchestrierung am Netzwerkrand. Um diese Funktionen in industrielle Produktionsumgebungen zu integrieren und über Standorte hinweg konsistent zu betreiben, ergänzt Azure IoT Operations das Edge-Framework um zentrale Management-, Konfigurations- und Sicherheitsfunktionen. Die Plattform erlaubt es, Geräte, Datenflüsse, Transformationsregeln und Richtlinien über eine gemeinsame Steuerungsebene zu verwalten.
Azure Arc als Bindeglied
Azure Arc erweitert diese Möglichkeiten, indem es Edge-Komponenten wie Sensoren, Gateways und Container-Cluster in das Azure-Portal einbindet. Lokale Assets erscheinen in der gleichen Verwaltungsoberfläche wie Cloudienste, sodass das Setzen von Richtlinien, Monitoring, Patching und Skalieren mit bekannten Azure-Tools erfolgen können. Ähnlich funktioniert das auch mit der Anbindung von Windows-Servern, die sich ebenfalls in die Cloud integrieren lassen, um von Funktionen wie Azure Update Manager oder Azure Monitor zu profitieren.
Azure stellt ein umfassendes Ökosystem für industrielle IoT-Anwendungen bereit, das sich sowohl für Pilotprojekte als auch für flächendeckende Rollouts eignet. Azure IoT Edge ist das zentrale Bindeglied zwischen operativer Technik (OT) und Cloud-IT. Die Plattform ermöglicht eine Verarbeitung von Sensordaten direkt an der Quelle und eine nachgelagerte Analyse in der Cloud.
Azure IoT Edge bildet die technologische Grundlage für die lokale Datenverarbeitung und Container-Orchestrierung am Netzwerkrand. Um diese Funktionen in industrielle Produktionsumgebungen zu integrieren und über Standorte hinweg konsistent zu betreiben, ergänzt Azure IoT Operations das Edge-Framework um zentrale Management-, Konfigurations- und Sicherheitsfunktionen. Die Plattform erlaubt es, Geräte, Datenflüsse, Transformationsregeln und Richtlinien über eine gemeinsame Steuerungsebene zu verwalten.
Azure Arc als Bindeglied
Azure Arc erweitert diese Möglichkeiten, indem es Edge-Komponenten wie Sensoren, Gateways und Container-Cluster in das Azure-Portal einbindet. Lokale Assets erscheinen in der gleichen Verwaltungsoberfläche wie Cloudienste, sodass das Setzen von Richtlinien, Monitoring, Patching und Skalieren mit bekannten Azure-Tools erfolgen können. Ähnlich funktioniert das auch mit der Anbindung von Windows-Servern, die sich ebenfalls in die Cloud integrieren lassen, um von Funktionen wie Azure Update Manager oder Azure Monitor zu profitieren.
Die Kombination aus Microsoft Fabric, Azure Machine Learning, Azure Data Explorer, Azure Kubernetes Service (AKS), Azure Monitor, Power BI und Defender for IoT bildet eine durchgängige Infrastruktur, vom Sensor über die Datenverarbeitung bis hin zur Visualisierung, Analyse und Bedrohungserkennung. Azure IoT Edge erlaubt es dabei, KI-Modelle lokal auszuführen, containerisierte Work-loads gezielt zu verteilen und auch in netzwerkisolierten Bereichen funktionsfähig zu bleiben.
Struktur und Integration von Azure IoT Edge
Azure IoT Edge basiert auf einem modularen Konzept mit containerisierten Komponenten, die Sie auf Edge-Geräten ausrollen können. Die Module übernehmen lokal Aufgaben wie Datenerfassung, Transformation, Filterung und Entscheidungsvorbereitung. Dadurch entlasten Sie zentrale Systeme und minimieren die Latenz bei kritischen Prozessen. Die Kommunikation mit dem IoT Hub ist bidirektional, erfordert aber keine ständige Verbindung zur Cloud. Auch in abgeschotteten Netzwerken, bei intermittierender Konnektivität oder in abgelegenen Produktionsumgebungen läuft der Ansatz stabil weiter.
Azure IoT Edge unterstützt gängige Industrieprotokolle wie OPC UA, MQTT oder OTEL und eignet sich damit für die Integration von Bestandsanlagen mit proprietären Schnittstellen. Für den Betrieb empfiehlt es sich, Geräte gruppenweise zu organisieren, Rollenzuweisungen zu definieren und Logs über Azure Monitor oder Defender for IoT zu erfassen. Bei der Überwachung mit Azure Monitor lassen sich die erfassten Daten darüber hinaus mit Grafana direkt im Azure-Portal visualisieren.
Datenströme zwischen Echtzeit, Analyse und Speicherung
Die Azure-IoT-Architektur trennt Datenflüsse in einen "Hot Path" für zeitkritische Reaktionen und einen "Cold Path" für umfangreiche Analysen. Im Hot Path verarbeiten Sie entscheidungsrelevante Informationen in Echtzeit, etwa Statusdaten, Temperaturschwellen, Fehlerzustände oder Positionsdaten. Diese lassen sich direkt auf Edge-Geräten analysieren. Bei Abweichungen können Sie automatisiert Maßnahmen einleiten, etwa über Azure Event Grid oder Azure Functions.
Im Cold Path erfassen Sie umfassende Telemetriedaten mit hoher Auflösung. Diese Rohdaten werden lokal gepuffert und zu festgelegten Zeitpunkten in Cloudspeicher überführt. Für die Ablage eignen sich komprimierte Formate wie Parquet, um große Datenmengen effizient zu speichern. Durch die Organisation in Delta-Lake-Tabellen und eine strukturierte Ablage nach Standort, Zeitstempel und Gerätekategorie vereinfachen Sie spätere Abfragen über KQL oder Spark. Legen Sie frühzeitig fest, welche Parameter kritisch sind und in den Hot Path gehören. Dazu zählen häufig fünf bis zehn Kennzahlen. Diese Werte visualisieren Sie direkt über Power BI oder leiten sie an zentrale Überwachungsfunktionen weiter.
Im Cold Path speichern Sie alle übrigen Daten für Trainingszwecke, Langzeitanalysen oder Auditierungen. Vermeiden Sie, unnötig viele Rohdaten unkontrolliert in die Cloud zu senden. Das reduziert Speicherkosten und beschleunigt spätere Auswertungen. Nutzen Sie zudem die in Azure IoT Operations enthaltenen Tools, um Filter, Aggregationen oder Datenbereinigungen direkt im Edge-Gerät zu definieren.
Intelligente Verarbeitung direkt an der Quelle
Mit Azure IoT Edge führen Sie KI-Modelle direkt auf Edge-Geräten aus, ohne dass Daten dafür in die Cloud übertragen werden müssen. Für Echtzeitanalysen lassen sich Modelle, die Sie in Azure Machine Learning trainieren, als Container bereitstellen und über Azure Container Instances auf Edge-Devices deployen. Alternativ können Sie Azure Kubernetes Service verwenden, sollten Sie eine skalierbare Container-Orchestrierung benötigen.
Wenn Sie größere Datenmengen in Intervallen auswerten wollen, integrieren Sie Batch-Prozesse über Spark-Notebooks oder Azure Data Explorer direkt in Ihre Pipeline. Modelle im PKL-Format, zum Beispiel aus Scikit-learn oder PyTorch, lassen sich problemlos in die Edge-Umgebung einbinden. Auch Videodaten aus Produktionslinien können Sie am Ort der Erfassung verarbeiten. Unterstützt werden ONVIF-konforme Kameras, deren Streams über Azure Media Services und Medienkonnektoren in der Edge-Umgebung verfügbar sind. Das reduziert den Bandbreitenbedarf und ermöglicht es Ihnen, nur relevante Informationen zu übertragen.
Definieren Sie klare Grenzwerte, bei deren Überschreitung ein Modell aktiv werden soll. Nutzen Sie außerdem die Möglichkeit, Modelle vorab mit synthetischen oder historischen Daten zu testen, bevor Sie diese in der Edge-Umgebung produktiv einsetzen.
Visualisierung und digitale Zwillinge
Die Visualisierung von Sensordaten erfolgt über Power BI in Verbindung mit Microsoft Fabric. Sie können Rohdaten aus dem IoT Hub oder dem Data Lake in Echtzeit abfragen und in Dashboards einbinden. Stromaufnahme, Temperatur, Druck und andere Betriebsparameter werden als Zeitverläufe, Zustandsanzeigen oder Verteilungen dargestellt. Diese Informationen lassen sich dynamisch filtern, sortieren und nach Standort oder Gerätetyp gruppieren.
Für industrielle Szenarien können Sie diese Daten mit 3D-Modellen aus dem Digital Twin koppeln. Die Integration mit NVIDIA Omniverse [1] erlaubt es, CAD-basierte Modelle direkt mit aktuellen Betriebsdaten zu verknüpfen. Einzelne Komponenten eines Produktionssystems lassen sich anklicken, wobei zugehörige Livedaten eingeblendet oder hervorgehoben werden. Sie sehen etwa die Drehzahl eines Motors oder die Temperatur eines Kühlkreises direkt an der virtuellen Position im Modell.
Sie können Power-BI-Komponenten bidirektional mit Digital-Twin-Objekten verknüpfen. Änderungen im Dashboard lösen Ereignisse im Modell aus und umgekehrt. Statt sich durch Messdatenlisten zu klicken, navigieren Sie im 3D-Modell zu den relevanten Anlagen. Die Datenbasis stammt aus synchronisierten Datenflüssen, die Sie zum Beispiel mit Azure IoT Operations definieren.
Die Kommunikation erfolgt über standardisierte Schnittstellen wie MQTT, OPC UA oder REST. Sie können mehrere Anlagenstandorte einbinden und deren Visualisierungen zentral verwalten. Die Darstellung lässt sich rollenbasiert einschränken, etwa nach Werken, Maschinenklassen oder Benutzergruppen.
Sicherheit im industriellen IoT
Edge-Geräte und Container werden über deklarative Ressourcenmodelle verwaltet. Neue Geräte lassen sich über den Device-Provisioning-Service automatisiert in die Umgebung integrieren. Die Bereitstellung erfolgt skriptgesteuert per REST-API, Terraform oder auch GitHub Actions.
Für die Sicherheit in OT-Netzwerken ist Defender for IoT die zentrale Komponente. Die Sensoren analysieren den Datenverkehr passiv entweder per SPAN oder über TAP-Ports. Eine aktive Netzwerkintegration ist nicht notwendig, da der Datenstrom lediglich beobachtet wird. Es erfolgt eine detaillierte Geräteerkennung durch Deep Packet Inspection. Dabei werden unter anderem Firmwarestände, Kommunikationsprotokolle, Herstellerinformationen, VLANs und Kommunikationsverhalten erkannt.
Die Plattform unterstützt industrielle Standards wie Modbus, OPC UA, BACnet oder PROFINET. Alle Daten sind in einer grafischen Oberfläche sichtbar, darunter Geräteinventar, Protokollnutzung, Bandbreite und erkannte Anomalien.
Die Sensoren lassen sich auf zertifizierter Hardware installieren oder auf eigener Infrastruktur, sofern diese den spezifizierten Anforderungen genügt. Auch virtuelle Maschinen sind möglich. Nach der Inbetriebnahme beginnt die mehrwöchige Tuningphase. In dieser Zeit werden DHCP-Bereiche definiert, Subnetze bestätigt, Broadcast-Traffic bewertet und irrelevante Alarmierungen reduziert. Die Daten fließen in eine Baseline ein. Diese lässt sich zur Überwachung der Sicherheit nutzen.
Ein tägliches Backup sichert Konfiguration und Geräteinformationen automatisch in der Nacht. Sie können dieses Backup auf externe Speicherziele umleiten. Microsoft empfiehlt, die Softwareversion mindestens alle sechs Monate zu aktualisieren. Die Unterstützung je Release läuft jeweils ein Jahr. Die Bedrohungsdaten stammen aus zentralen Microsoft-Sicherheitsquellen und beinhalten aktuelle Signaturen, Angriffsmuster und Protokollerweiterungen. Der Sensor erhält diese Informationen unabhängig vom Release-Stand der eigenen Software.
Die Integration in Microsoft Sentinel ermöglicht eine Korrelation von OT-Vorfällen mit zentralen IT-Sicherheitsereignissen. Vordefinierte Regeln wie "kein eingehender Traffic seit zwei Stunden" oder "keine Alarmierung in definiertem Zeitraum" helfen beim operativen Monitoring. Sie können eigene KQL-Regeln definieren, um spezifische Schwellenwerte und Vorfälle abzubilden.
Die Konnektivität der Sensoren zu Azure erfolgt optional auch über einen Proxy. Für Managementzugriffe werden dedizierte IP-Adressen, Gateways und DNS konfiguriert. Die Aktivierung der Sensoren erfolgt über eine Azure-basierte Aktivierungsdatei. Auch Multicloud-Umgebungen werden unterstützt. Die Integration in Microsoft Entra ID ermöglicht rollenbasierte Zugriffssteuerung, MFA, Conditional Access und Zertifikatsverwaltung. Hier liegen die Vorteile von Azure IoT: Es lassen sich die verschiedenen Azure-Komponenten in die Umgebung mit einbinden – dadurch entsteht allerdings auch eine gewisse Abhängigkeit.
Einheitliches Management von Cloud und Edge
Azure IoT Operations folgt dem Prinzip der "Adaptive Cloud" und schafft damit eine durchgehende Infrastruktur vom physischen Shopfloor bis zur cloudbasierten Steuerungsebene. Sämtliche zentralen Edge-Komponenten wie MQTT-Broker, OPC-UA-Connectoren, Datenprozessoren, Medienkonnektoren für Kameras sowie Schema-Registries laufen als Kubernetes-Services in Azure-Arc-verbundenen Clustern. Diese Cluster können entweder in der Cloud oder vollständig lokal betrieben werden.
Auch Azure Local wird vollständig unterstützt. Sie können so auch in isolierten Netzsegmenten oder regulierten Branchenumgebungen ein zentrales Management durchsetzen, ohne Daten oder Steuerungsbefehle nach außen freizugeben. Das umfasst auch Edge-Assets wie Maschinen, Sensoren oder virtuelle Gateways. Sie können identische Policies, Monitoringregeln, Updateverfahren und Security-Richtlinien verwenden wie bei klassischen Azure-Diensten. Edge-Geräte, Dienste und Container lassen sich damit einheitlich überwachen, verwalten, sichern und skalieren, unabhängig davon, ob sie sich in der Cloud, im Rechenzentrum oder in einer Werkhalle befinden.
Die gesamte Betriebsplattform ist nach dem Motto "API-first" konzipiert. Das bedeutet, dass sämtliche Konfigurationen, von Assets und Datenflüssen über Konnektoren bis zu Transformationen, per Skript oder GitHub Actions ausgerollt werden können. Auch DevOps-Pipelines, Infrastruktur-Templates und GitOps-Workflows lassen sich in Azure IoT Operations einbinden. So testen Sie Projekte zum Beispiel zunächst in einer Pre-Production-Umgebung und rollen sie später standardisiert in der Produktion aus.
Die Plattform ist darauf ausgelegt, sowohl moderne Maschinen als auch bestehende Altanlagen zu integrieren. Protokollkonnektoren, standardisierte Datenmodelle und Transformationspipelines machen es mit überschaubarem Aufwand möglich, selbst komplexe OT-Umgebungen mit hoher Systemvielfalt zu harmonisieren.
Durch die zentrale Datenverarbeitung auf Kubernetes-Ebene, direkt am Edge, lassen sich Signale filtern, anreichern und mit Kontext versehen, bevor sie in Data Lakes oder Event Hubs weitergeleitet werden.
Deployment-Phasen und operative Umsetzung
Die Einführung von Azure IoT Edge folgt einem strukturierten Ablauf in vier Phasen: Planung, Vorbereitung, Bereitstellung und Baseline. Dieses Vorgehen sorgt für Konsistenz in verteilten Industrieumgebungen und reduziert Risiken bei Rollout und Betrieb.
In der Planungsphase analysieren Sie zunächst Ihre bestehende OT-Netzwerkarchitektur. Ziel ist, die Kommunikationswege zwischen Steuerungen, Sensoren, HMI-Stationen und übergeordneten Systemen zu erfassen. Dabei identifizieren Sie die Subnetze, auf denen produktionsrelevanter Datenverkehr stattfindet. Parallel bestimmen Sie Bandbreite, Gerätezahl und Protokollverteilung pro Standort.
Anhand dieser Kriterien wird das passende Sensorprofil ausgewählt. Möglich sind vorkonfigurierte Hardwarelösungen sowie virtuelle Maschinen oder Container auf eigener Infrastruktur. Wichtig ist, die Geräteklasse so zu wählen, dass sie auch Lastspitzen bei Broadcast- oder Multicast-Traffic zuverlässig erfassen kann.
In dieser Phase sollten Sie auch klären, welche Produktionslinien Sie als Erstes überwachen wollen. Bewährt hat sich ein Pilotbetrieb in einem repräsentativen Werk mit typischen OT-Topologien. Zusätzlich sind Change-Management-Prozesse, Verantwortlichkeiten und Zeitfenster zu definieren. Entscheiden Sie auch, ob Sie Microsoft-zertifizierte Hardware direkt über Partner beziehen oder eigene Server nutzen möchten.
In der Vorbereitung erfolgt die technische Einbindung der Sensorik. Sie konfigurieren SPAN- oder TAP-Ports an den relevanten Switches, um eine verlustfreie Spiegelung des Datenverkehrs zu gewährleisten. Parallel vergeben Sie dedizierte Management-IPs für die Weboberfläche und die Kommandozeile. Für eine cloudbasierte Verwaltung müssen Sie DNS-Auflösung, Proxy-Einstellungen und Zertifikatsketten überprüfen und gegebenenfalls anpassen.
In der Bereitstellung wird die Software entweder auf zertifizierter Hardware vorinstalliert geliefert oder als ISO-Abbild zur Installation auf eigener Infrastruktur verwendet. Nach der Installation erfolgt die Verbindung zum Azure-Tenant über ein Aktivierungsfile. Die Integration mit Azure Arc erlaubt die zentrale Registrierung der Sensoren als ARM-Ressourcen.
Anschließend beginnt die Kalibrierung und Parametrisierung. Hier definieren Sie die Subnetze, in denen Geräte als intern zu betrachten sind, und hinterlegen DHCP-Adressbereiche, um unnötige Alarme durch dynamische Adressen zu vermeiden. Auch lokale Benutzer oder Active-Directory-Anbindungen konfigurieren Sie in dieser Phase. Nach Abschluss der Grundkonfiguration beginnt eine mehrwöchige Tuning-Phase. Sie analysieren empfangene Daten, passen Schwellenwerte an, aktivieren Transformationsregeln und optimieren die Datenflüsse für die Integration in Microsoft Sentinel oder Data Explorer.
Testumgebung mit Raspberry Pi aufbauen
Für erste Tests eignet sich ein Raspberry Pi als Edge-Gerät, um zentrale Funktionen von Azure IoT Edge risikofrei zu evaluieren. Natürlich lassen sich auch andere PCs nutzen, auf denen Linux installiert werden kann. Sie können ein aktuelles Raspberry Pi OS Lite verwenden und darauf das Azure-IoT-Edge-Runtime-Paket installieren. Voraussetzung ist ein 64-Bit-Betriebssystem sowie Docker als Container-Engine. Nach dem Einrichten des Geräts registrieren Sie es im Azure IoT Hub, binden es über den Device Provisioning Service ein und spielen Beispielmodule wie Simulated Temperature Sensor oder Kamera-Datenerfassung auf. Damit lassen sich Datenflüsse, Modellbereitstellung, lokale Entscheidungslogik und Anbindung an Azure-Dienste unter realitätsnahen Bedingungen testen. Auch Defender for IoT können Sie simulativ einbinden, etwa durch künstlich erzeugten Netzwerkverkehr.
Sichere Edge-zu-Cloud- Konnektivität
Zero-Trust-Komponenten wie Zscaler können eine wichtige Rolle bei der sicheren Integration industrieller Netzwerke in die Azure-Infrastruktur spielen. In vielen Produktionsumgebungen bestehen strikte Anforderungen an den Perimeterschutz, häufig in Form restriktiver Firewalls und isolierter Subnetze. Zscaler bietet hier einen Ansatz, um ausgehenden Datenverkehr vom OT-Netzwerk in die Azure-Cloud zu ermöglichen, ohne eingehende Verbindungen zuzulassen oder Ports dauerhaft freizuschalten. Statt klassischem VPN oder statischen IP-Freigaben wird der Zugriff über ein cloudbasiertes Zscaler-Gateway gesteuert. Dieses lässt sich auch direkt im Azure-Portal bereitstellen.
Der Datenverkehr wird an einen definierten Zscaler-Endpunkt übergeben, der die Kommunikation verschlüsselt, überprüft und kontrolliert zur Azure-Plattform weiterleitet. Alle Richtlinien lassen sich zentral im Zscaler-Portal konfigurieren und für verschiedene Sensorgruppen oder Standorte individuell steuern. Sie behalten die Kontrolle über jede Verbindung, können granulare Regeln pro Region, Standort oder Datenquelle definieren und vermeiden gleichzeitig potenzielle Angriffsflächen am Edge.
Sie sollten Zscaler frühzeitig in Ihre Netzwerktopologie einplanen, um spätere Anpassungen an Firewallregeln oder Netzsegmentierungen zu vermeiden.
Gründliche Einarbeitung nötig
Trotz der breiten Funktionalität bringt Azure IoT und damit IoT Edge auch Einschränkungen mit sich. Die initiale Einrichtung erfordert tiefes Verständnis für Netzwerktopologien, Containerisierung und Azure-spezifische Dienste. Viele OT-Umgebungen verfügen weder über stabile IP-Infrastrukturen noch über standardisierte Namensräume, was die Integration verzögern kann. Die Komplexität der Sicherheitskonfiguration, insbesondere im Zusammenspiel mit Defender for IoT, Entra ID und Zscaler, setzt fundierte Kenntnisse in Azure-Security voraus.
Auch die Container-Orchestrierung über Kubernetes bringt zusätzlichen Betriebsaufwand mit sich, insbesondere bei Updates, Zertifikatswechseln oder Monitoring. In netzwerkisolierten Umgebungen ist zudem mit erhöhtem Aufwand für Offline-Betrieb, Remote-Updates und automatisiertes Recovery zu rechnen. Ohne einheitliche Governance-Strategie drohen heterogene Rollouts, unübersichtliche Konfigurationen und fehlende Skalierbarkeit.
Fazit
Azure IoT Edge verbindet lokale Produktionssysteme mit zentralen Cloudiensten. Sie verarbeiten damit Daten direkt an der Quelle, integrieren KI, überwachen Systeme zentral und setzen Sicherheitsrichtlinien um. Mit Azure Arc, Defender for IoT und Zscaler verwalten Sie auch verteilte oder abgeschottete Umgebungen über eine zentrale Steuerungsebene.
Das modulare Konzept, die API-first-Architektur und die umfangreiche Deployment-Struktur machen Azure IoT Edge zur guten Grundlage für den Aufbau einer IoT-Umgebung. Dennoch sollten Unternehmen die Komplexität nicht unterschätzen und sich rechtzeitig auf einen Einsatz vorbereiten.
(ln)
Link-Codes
[1] NVIDIA Omniverse: https://www.nvidia.com/en-us/omniverse/