Hersteller im Portfolio
Owl Cyber Defense: Daten weitergeben, ohne einen Rückweg zu öffnen
Owl baut Datendioden, bei denen die Senderichtung in der Schaltung festliegt: Die Sendeseite hat keine Empfangsschaltung, die Empfangsseite keine Sendeschaltung. Die aktuelle Reihe heißt Owl Talon. Aqaio liefert Owl Cyber Defense im deutschsprachigen Raum.
- Einwegübertragung in Hardware erzwungen
- Talon One bis 1 Gbit/s, Talon Torrent bis 100 Gbit/s
- Diodenmodul nach Common Criteria EAL4+ zertifiziert
Einwegübertragung, in Hardware erzwungen
Die Richtung ergibt sich nicht aus einer Regel, die sich umkonfigurieren ließe, sondern aus der Schaltung. Owl beschreibt das Gerät als Hardware mit zwei Schaltkreisen: einem, der nur senden kann, und einem, der nur empfangen kann.
Zwei getrennte Schaltungen statt einer Regel
Eine Owl-Diode besteht aus einem Sende- und einem Empfangsmodul. Die Sendeseite hat keine physische Möglichkeit, Daten zu empfangen, die Empfangsseite keine, zu senden. Ein Rückkanal lässt sich nicht freischalten, weil die Leitung dafür nicht existiert.
Protokollbruch mit Neuaufbau der Pakete
Die Diode leitet keine Originalpakete weiter. Die Nutzlast wird aus dem Ursprungspaket entnommen, über die Diode geschickt und auf der Zielseite in ein neu gebildetes Paket desselben Protokolltyps eingesetzt. Header und Verbindungszustand des Quellnetzes erreichen das Zielnetz damit nicht.
Filterung im FPGA
Die Talon-Generation ist als Protocol Filtering Diode ausgelegt. Jedes Paket wird im FPGA geprüft und gefiltert, nicht nur einseitig durchgelassen. Die Logik liegt in Hardware, nicht in einem Dienst des Betriebssystems.
Nicht umprogrammierbar
Owl begründet den Hardwareansatz damit, dass sich das Gerät nicht umprogrammieren, umgehen oder zu unbeabsichtigtem Verhalten bringen lässt. Für Prüfungen ist das der Unterschied zu einer Firewall-Regel, deren Fehlstellung die Trennung aufheben kann.
Produktlinien und Modellreihen
Owl führt zwei Stränge: Datendioden für den Einwegtransfer und Cross Domain Solutions für geprüften Verkehr zwischen Domänen unterschiedlicher Einstufung.
Owl Talon One
Protocol Filtering Diode mit PCIe-Diodenkarte und FPGA-Filterung, Durchsatz bis 1 Gbit/s. Drei Bauformen: 1U-Rackgerät, gehärtete Hutschienenvariante für Schaltschränke und eine bidirektionale Ausführung aus zwei gepaarten Einwegpfaden.
Owl Talon Torrent
Hochdurchsatzvariante für Backbone-Strecken mit bis zu 100 Gbit/s, verfügbar als 1U und als Paar aus zwei 1U-Geräten, verbunden über eine Lichtwellenleiterstrecke mit nur einer Richtung.
Talon-Plattform
Gemeinsame Hardware- und Softwarebasis der Reihe. Die Härtung umfasst TPM-Bindung, SELinux-Richtlinien nach STIG, Dateiintegritätsprüfung, BIOS-Absicherung und Festplattenverschlüsselung.
XDE Radium, das zertifizierte Diodenmodul
Das Einwegmodul in der Talon-One-Karte. Es liegt in einer optischen und einer digitalen Ausführung vor und trägt die Common-Criteria-Zertifizierung EAL4+.
Incident Response Diode
Tragbare USB-Diode für die Forensik an kompromittierten Endgeräten, bis 1 Gbit/s. Das Gerät erscheint beiden Seiten als Massenspeicher, ohne Rückweg ins saubere Netz.
ReCon
Bidirektionale Diodenlösung für Netzsegmentierung und abgesicherte Fernwirkung: zwei Dioden in einem Gehäuse, je eine Richtung.
XD Bridge und XD Bridge ST
Cross Domain Solutions für Dateien und strukturierte Daten. XD Bridge überträgt Dateien mit Virenprüfung und Dateitypkontrolle bis 1 Gbit/s über FTP, SFTP und FTPS. XD Bridge ST filtert strukturierte Formate über DFDL und XML bis 10 Gbit/s.
XD Vision und V2CDS
Übertragung von Sprache, Videokonferenz und Bewegtbild zwischen mehreren Netzen. XD Vision verbindet nach Herstellerangabe 2 bis über 20 Netze mit bis zu 10 Gbit/s und unterstützt MPEG-2, MPEG-4, H.263, H.264 sowie SIP und RTP.
Zertifizierungen und Zulassungen
Owl belegt zwei unterschiedliche Prüfwege: Common Criteria für das Diodenmodul und die Bewertung durch das NCDSMO für Cross Domain Solutions. Beides ist produktbezogen.
Common Criteria EAL4+
Das Security Target zum Modul XDE Radium weist EAL4 mit der Ergänzung AVA_VAN.4 aus, geprüft gegen Common Criteria 3.1 Revision 5. Owl bezieht diese Zertifizierung ausdrücklich auf die Diodenkarte in Owl Talon One.
Bewertung als Protocol Filtering Diode
Für die Talon-Reihe und die Incident Response Diode führt Owl die Formulierung, dass das Gerät von US-Behörden als Protocol Filtering Diode bewertet und gelistet ist. Das ist eine Bewertung, keine Zertifizierung nach einem Protection Profile.
Raise the Bar und NCDSMO
Raise the Bar ist eine Vorgabe des NCDSMO zur Verbesserung von Cross Domain Solutions. Das NCDSMO führt die Lab Based Security Assessment durch und pflegt die Liste zugelassener Lösungen. Für XD Vision meldet Owl im Mai 2025 die bestandene Prüfung.
NERC CIP und IEC 62443
Owl gibt an, dass die Talon-Reihe die Anforderungen aus NERC CIP und IEC 62443 an Datendioden erfüllt. Das ist eine Herstellerangabe. Konkret wird Owl bei NERC CIP: Ein nicht routingfähiger Übergang beseitigt die externe routingfähige Konnektivität und erzeugt einen definierten Perimeter nach CIP-005 ohne Zugangspunkt.
Typische Einsatzszenarien
Prozessdaten aus der OT ins Unternehmensnetz
Messwerte, Alarme und Statusmeldungen verlassen das Leitsystem über die Diode in Richtung Auswertung, während aus dem Büronetz kein Paket zurück in die Anlage gelangt.
Historian-Daten replizieren
Owl Talon überträgt AVEVA PI Transfer und replizierte Historian-Daten in ein zweites, getrenntes Netz, sodass Analyse und Berichtswesen ohne Zugriff auf die Anlagenebene arbeiten.
Umspannwerk und Kraftwerk nach NERC CIP
Die Diode ersetzt den routingfähigen Übergang am Perimeter. Die Systeme bleiben ohne externe routingfähige Konnektivität, die Datenausleitung für das Monitoring läuft weiter.
Syslog und SNMP-Traps ins SOC
Protokoll- und Trap-Daten aus der abgeschotteten Zone erreichen SIEM und Monitoring, ohne dass das SOC-Netz eine Verbindung in die Zone aufbauen kann.
Forensik am kompromittierten Endgerät
Mit der Incident Response Diode ziehen Einsatzteams Proben und Beweisdaten per USB vom betroffenen Rechner ab, ohne Rückkanal und damit ohne Rückruf ins Analysenetz.
Backup-Tresor
Daten laufen über die Diode in den Tresor hinein, Rückverkehr ist hardwareseitig ausgeschlossen. Owl liefert dafür eine 1U-Datendiode als Baustein einer Recovery-Umgebung.
Auf einen Blick
Unterlagen zu Owl Cyber Defense
Die Dokumente liegen auf unserem Server. Nach Eingabe Ihrer E-Mail-Adresse starten sie direkt.
Häufige Fragen zu Owl Cyber Defense
Was unterscheidet eine Datendiode von einer Firewall?
Eine Firewall entscheidet anhand von Regeln, welche Pakete in welche Richtung dürfen. Die Richtung ist konfigurierbar und damit auch falsch konfigurierbar. Bei einer Owl-Diode fehlt der Rückkanal physisch: Die Sendeseite hat keine Empfangsschaltung, die Empfangsseite keine Sendeschaltung.
Wie kommen Daten verlässlich an, wenn TCP Quittungen braucht?
Die Diode bricht das Protokoll auf. Die Nutzlast wird aus dem Paket entnommen, über die Diode geschickt und auf der Zielseite in ein neues Paket desselben Protokolltyps eingesetzt. Die TCP-Verbindung endet auf der Quellseite und wird auf der Zielseite neu aufgebaut. Bei Dateitransfers kommt eine Prüfsummenkontrolle über den Dienst RFTS dazu.
Welche Protokolle und Datenflüsse unterstützt Owl Talon?
Owl nennt TCP, UDP als Unicast, Multicast und Broadcast, NTP, Syslog, SMTP, SNMP-Traps, Dateitransfer über SFTP und RFTS, OPC in den Varianten DA, A&E und UA, AVEVA PI Transfer für Historian-Replikation, Remote Screen View, Remote Desktop sowie HTTP, HTTPS und MQTT.
Gibt es eine bidirektionale Variante, und bleibt die Trennung erhalten?
Ja, über zwei gepaarte Einwegpfade. Owl Talon One Bidirectional nutzt zwei Geräte, ReCon fasst zwei Dioden in einem Gehäuse zusammen. Jeder Pfad bleibt für sich hardwareseitig einseitig. Es entsteht kein durchgehender Rückkanal auf einer Leitung, sondern ein zweiter, getrennt gefilterter Weg.
Was genau ist zertifiziert und was ist Herstellerangabe?
Zertifiziert ist das Diodenmodul XDE Radium nach Common Criteria EAL4 mit der Ergänzung AVA_VAN.4; Owl bezieht das auf die Diodenkarte in Talon One. Die Bewertung als Protocol Filtering Diode durch US-Behörden ist eine Listung. Die Erfüllung von NERC CIP und IEC 62443 ist eine Herstellerangabe aus dem Datenblatt, keine erteilte Zertifizierung.
Was bedeutet Raise the Bar?
Eine Vorgabe des NCDSMO zur Verbesserung von Cross Domain Solutions. Das NCDSMO führt die Lab Based Security Assessment durch und pflegt die Liste zugelassener Lösungen. Die Vorgabe verlangt, dass Verkehr zu und von Netzen mit hoher Bedrohungslage über hardwareseitig erzwungene Einwegmechanismen läuft.
Welche Bauform passt in einen Schaltschrank?
Für Schaltschränke gibt es Talon One als gehärtete Hutschienenvariante mit demselben Durchsatz von bis zu 1 Gbit/s wie die 1U-Ausführung. Für Rechenzentrum und Backbone stehen 1U- und 2x1U-Geräte bereit, bei Talon Torrent mit Lichtwellenleiter zwischen beiden Hälften.
Wie planen wir die Anschaltung?
Beschreiben Sie uns die Netze, die getrennt bleiben sollen, und die Daten, die trotzdem fließen müssen, mit Protokollen und Mengen. Wir schlagen Modell und Topologie vor.
Owl Cyber Defense mit Aqaio planen
Beschreiben Sie uns die Netze, die getrennt bleiben sollen, und die Daten, die trotzdem fließen müssen. Wir schlagen die passende Lösung vor.
E-Mail eintragen, danach öffnet sich das PDF.
Es gilt unsere Datenschutzerklärung. Die Einwilligung können Sie jederzeit widerrufen.
Partner werden
Das Aqaio Partner-Programm bietet exklusive Vorteile für Reseller, Systemintegratoren und OEMs. Sichern Sie sich jetzt Ihre Vorteile:
Rechtliches
Social Media
Kontaktieren Sie uns
- +49 89 2000296-10
- +49 89 2000296-96
- Mo-Fr 8-17 Uhr
- info@aqaio.com
- Office Adresse: Ridlerstraße 57, 80339 München
- Buchhaltungsadresse: Karl-Theodor-Straße 29a, 80803 München