Azure IoT Hub vs. Event Hubs: Authentifizierung mit symmetrischen Schlüsseln und X.509-Zertifikaten in der Fertigung

Von Mirko Peters · 2026-10-23

Vergleichen Sie die Authentifizierung von Azure IoT Hub und Event Hubs für industrielle Umgebungen. Erfahren Sie, wann Sie symmetrische SAS-Schlüssel und wann X.509-Zertifikate einsetzen sollten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Wahl des richtigen Azure-Ingestion-Dienstes für industrielle Maschinen hängt stark von Ihrer Authentifizierungsarchitektur und den Anforderungen an den Gerätelebenszyklus ab. Beide Dienste nehmen Ereignisstreams auf. Wenn Sie die entscheidenden Unterschiede bei der Verwaltung von Anmeldeinformationen in IoT Hub und Event Hubs kennen, vermeiden Sie gravierende Sicherheitslücken in der Produktion und ungeplante Produktionsausfälle.

Das Wichtigste in Kürze

• Azure IoT Hub bietet Identitätsregistrierungen und Gerätezwillinge pro Gerät. Event Hubs setzt dagegen auf SAS-Richtlinien auf Namespace-Ebene und bietet keine native Verwaltung des Gerätelebenszyklus.
• Symmetrische Schlüssel mit Shared Access Signatures (SAS) eignen sich ideal für leistungsschwache Industriehardware. Werden die Schlüssel jedoch über mehrere Gateways hinweg kompromittiert, entstehen Sicherheitsrisiken.
• X.509-Zertifikate bieten eine robuste Vertrauenskette auf Basis einer Zertifizierungsstelle für größere Fertigungsflotten. Sie erfordern allerdings strikte Prozesse für die Rotation im Lebenszyklus.
• Die Vermischung von Geräteidentitätsarchitektur und reiner Stream-Verarbeitung führt bei Sicherheitsvorfällen häufig zu katastrophalen Abschaltungen der gesamten Anlage.
• Eine hybride Azure-Architektur nutzt IoT Hub an der Verbindungsgrenze für Identität und Vertrauen. Ergänzend verarbeitet Event Hubs nachgelagert große Datenmengen in Streams.

Das Authentifizierungsdilemma in der Produktion

Wenn Engineering-Teams Prozesstelemetrie erstmals in die Microsoft-Cloud einbinden, bewerten sie Dienste oft nur nach Durchsatzkapazität oder einfachen Einstiegs-Tutorials. Diese Nachlässigkeit führt häufig zu grundlegenden Sicherheitsmängeln. In einer realen Produktionshalle mit speicherprogrammierbaren Steuerungen (SPS), Manufacturing-Execution-Systemen (MES) und lokalen Edge-Gateways stellt jede verbundene Komponente einen potenziellen Angriffsvektor dar. Die zentrale Herausforderung besteht darin, eine grundlegende betriebliche Frage zu beantworten: Wem gehört die Maschinenverbindung, und wem gehört die Anmeldeinformation?

In vielen gewachsenen Umgebungen kennt das OT-Team (Operational Technology) die physische Anlage und deren genauen Standort an Linie vier. Das Cloud-Entwicklungsteam verwaltet dagegen eine Verbindungszeichenfolge in einer Konfigurationsdatei. Oft weiß keines der Teams, ob diese Anmeldeinformation zu einem isolierten Liniengateway, einer außer Betrieb genommenen Testeinheit oder einem vor Jahren erstellten Übergangsskript gehört. Tritt ein Vorfall auf, etwa auffällige Nutzlastanomalien oder vermutete Schlüsselabflüsse, muss das Sicherheitsteam ein einzelnes verdächtiges Gateway isolieren können, ohne die gesamte Produktionsstätte lahmzulegen. Wenn Ihre Architektur auf gemeinsam genutzte Anmeldeinformationen an mehreren Standorten setzt, wird aus einem Identitätsproblem sofort ein kostspieliger Produktionsstillstand.

IoT Hub als kontrollierte Identitätsschranke

Um Produktionsumgebungen wirksam abzusichern, sollten Architekten Azure IoT Hub nicht nur als Ereignisempfänger betrachten, sondern als strikte Identitätsschranke. IoT Hub führt eine explizite Geräteregistrierung für jedes einzelne Gerät. Jedes Edge-Gateway, jeder Computer einer Verpackungslinie und jeder direkt angebundene Feldsensor baut eine eigene, authentifizierte Verbindung zur Cloud auf. Diese individuelle Identitätsregistrierung ermöglicht es Cloud-Sicherheitsadministratoren, einzelne Hardwarekomponenten unabhängig voneinander zu aktivieren, zu deaktivieren oder zu isolieren.

Darüber hinaus unterstützt IoT Hub nativ Gerätezwillinge (Device Twins), die gewünschte und gemeldete Konfigurationszustände erfassen. Fällt ein Linien-Gateway aus, bleibt sein Konfigurationszustand in der Cloud erhalten. So kann das System die gewünschten Einstellungen abgleichen, sobald die Verbindung wiederhergestellt ist. Hochfrequente Sensortelemetrie sollte jedoch niemals mit dem Gerätezustand gleichgesetzt oder in Gerätezwillingen gespeichert werden. IoT Hub konzentriert sich klar auf den Lebenszyklus von Geräten, die Authentifizierung, sichere Nachrichtengrenzen und die Verwaltung der Remotekonfiguration.

Symmetrische Schlüssel vs. X.509-Zertifikate im Produktivbetrieb

Bei der Authentifizierung in IoT Hub müssen Ingenieure zwischen zwei grundlegenden kryptografischen Verfahren wählen:

• Symmetrische Schlüssel (SAS-Token): Sehr praktisch für ressourcenbeschränkte Hardware und einfache Edge-Gateways ohne spezielle kryptografische Hardware. Sie erfordern jedoch eine außergewöhnlich sichere lokale Speicherung. Wenn symmetrische Schlüssel fest codiert oder über mehrere Linien-Gateways hinweg geteilt werden, legt die Rotation eines kompromittierten Schlüssels unbeabsichtigt mehrere Produktionslinien lahm.
• X.509-Zertifikate: Der Goldstandard für Gerätflotten im industriellen Unternehmensmaßstab. Durch eine vertrauenswürdige interne oder externe Zertifizierungsstelle (Certificate Authority, CA) entstehen saubere kryptografische Vertrauensketten. X.509-Zertifikate erfordern zwar eine automatisierte Lebenszyklusverwaltung und robuste Rotationspläne, beseitigen aber die Schwachstellen, die mit statischen, gemeinsam genutzten Schlüsseln einhergehen.

Event Hubs und Sicherheit auf Namespace-Ebene

Im Gegensatz zu IoT Hub funktioniert Azure Event Hubs als Hochgeschwindigkeits-Datenautobahn. Es verwaltet keine Geräteidentitäten, Firmware-Versionen, gewünschten Konfigurationseigenschaften oder Lebenszyklen einzelner Hardwarekomponenten. Stattdessen konzentriert sich Event Hubs vollständig auf die Aufnahme großer Datenmengen per Stream, Partitionen, Consumer Groups und die parallele Stream-Verarbeitung für unabhängige nachgelagerte Konsumenten wie Data Lakes, OEE-Berechnungen und Ingestion-Pipelines in Microsoft Fabric.

Die Sicherheit in Event Hubs wird auf Namespace-Ebene über Shared Access Signatures (SAS) oder Azure-RBAC-Richtlinien mit Microsoft Entra ID gesteuert. Da Event Hubs eingehende Nutzdaten als anonyme Nachrichtenströme behandelt, fehlen die Mechanismen, um eine einzelne physische Maschine zu deaktivieren oder ein fehlerhaftes Edge-Gateway zu isolieren, ohne die weitreichenden Berechtigungsregeln für Publisher zu ändern. Deshalb verliert man die Kontrolle über Gerätevertrauen und Sicherheitsgrenzen, wenn ungeschützte Maschinen in der Produktion direkt an einen Event Hub angebunden werden.

Architektur-Best-Practices: Beide Dienste kombinieren

Die widerstandsfähigsten Fertigungsarchitekturen erzwingen keine falsche Entweder-oder-Entscheidung zwischen IoT Hub und Event Hubs. Stattdessen kombinieren sie beide Dienste, um deren jeweilige Stärken zu nutzen. Indem Azure IoT Hub an der Verbindungsgrenze platziert wird, setzen Unternehmen eine strikte Geräteidentität durch, verwalten X.509-Zertifikate oder SAS-Schlüssel, isolieren kompromittierte Hardware während Sicherheitsprüfungen und überwachen die Konfigurationszustände am Edge.

Sobald der Datenverkehr das IoT Hub-Tor sicher passiert hat, kann er nachgelagert sicher an Azure Event Hubs weitergeleitet werden. Dieser Übergang ermöglicht es mehreren unabhängigen nachgelagerten Systemen, wie Analysen für die vorausschauende Wartung, Machine-Learning-Modelle und Echtzeit-Betriebsdashboards, den hochvolumigen Ereignisstrom über eigene Consumer Groups zu nutzen, ohne die Geräteverwaltung, die Sicherheitskontrollen oder die Sicherheitsprotokolle der Anlage zu beeinträchtigen.

Um diese architektonischen Feinheiten zu vertiefen und zu erfahren, wie sich widersprüchliche Dashboards für Anlagentelemetrie vermeiden lassen, hören Sie sich unbedingt die vollständige Episode an. Schalten Sie ein für die komplette Diskussion mit praxisnahen Strategien, mit denen Sie Ihre Microsoft-Cloud-Umgebungen und moderne Arbeitsplatzinfrastruktur optimieren.

Häufige Fragen

Warum kann Event Hubs die Authentifizierung einzelner Fabrikgeräte nicht übernehmen?

Event Hubs ist als Datenautobahn mit hohem Durchsatz konzipiert. Dabei kommen Verbindungszeichenfolgen auf Namespace-Ebene und SAS-Richtlinien zum Einsatz. Eine detaillierte Verwaltung einzelner Hardwaregeräte, Firmware-Versionen oder Lebenszyklusstatus der Geräte ist dafür nicht vorgesehen.

Sind symmetrische Schlüssel für industrielle Edge-Gateways sicher?

Symmetrische Schlüssel über SAS-Token eignen sich gut für ressourcenbeschränkte Hardware. In Produktionsanlagen entstehen dabei jedoch erhebliche betriebliche Risiken, sobald mehrere Gateways denselben Schlüssel verwenden. Wird ein kompromittierter Schlüssel widerrufen, unterbricht das unbeabsichtigt die Kommunikation der gesamten Produktionslinie.

Wie verbessern X.509-Zertifikate die Cybersicherheit in der Produktion?

X.509-Zertifikate nutzen eine vertrauenswürdige Zertifizierungsstelle, um jedes Gateway in der Anlage einzeln zu validieren. So können Sicherheitsteams ein einzelnes kompromittiertes Liniengateway isolieren, deaktivieren oder ersetzen, ohne den Telemetriestrom für den restlichen Standort zu stören.

Kann ich Azure IoT Hub und Event Hubs in einer einzigen Produktionsarchitektur kombinieren?

Ja. Das optimale Muster für Unternehmen in der Fertigung platziert IoT Hub an der Edge-Grenze, um Geräteidentität, sichere Authentifizierung und Konfigurationsstatus zu verwalten. Normalisierte Telemetriedaten werden anschließend an Event Hubs weitergeleitet, um sie parallel in Streams zu verarbeiten.