Gebäudeautomation mit System

Der Wunsch nach Abschottung bei Gefahr liegt wohl in der Natur des Menschen. Egal ob in Politik, Wirtschaft oder Technik: Die Versuchung scheint groß, in großräumig vernetzten Strukturen wieder Barrieren einzuziehen. Das gilt sogar für die EDV und führt zuweilen dazu, dass auch die moderne Gebäudeautomation infrage gestellt wird. Die standardisierte, vernetzte Infrastruktur sei ein ideales Einfallstor für Hacker und Cracker, postulieren digitale Isolationisten.

Mehr Standards – mehr Hacks?

Und in der Tat scheinen ihre Bedenken auf den ersten Blick berechtigt: Denn seit mehr als 15 Jahren geht in der Gebäudeautomation der Trend eindeutig in Richtung Integration: Offene Kommunikationsstrukturen wie BACnet, KNX oder LonWorks sind Trumpf, genauso wie standardisierte Controller. Die grundsätzliche Systemarchitektur liegt dabei offen, so dass auch Hacker und Cracker schnell und einfach potentielle Angriffsvektoren nachschlagen können. Steuer- und Regeleinrichtungen in Gebäuden und Anlagen sind heute – rein technisch gesehen – angreifbarer als zu Zeiten von Koaxialverkabelung und Folientastatur.

Sich, gerade in der Gebäudetechnik, nach den „guten alten Zeiten“ zurückzusehnen, ist allerdings illusorisch: Die standardisierte und vernetzte Technik bietet schließlich Vorteile, ohne die heute kein Hersteller, Errichter oder Betreiber mehr konkurrenzfähig wäre. In puncto Kommunikations- und Systemarchitektur braucht man nicht mehr das Rad ständig neu zu erfinden oder sich von einem bestimmten System abhängig zu machen.

Mehr Integration – mehr Sicherheit!

Integrierte Gebäudeautomationssysteme wie „Metasys“ führen alle wichtigen Systeme auf einem Automationsserver und einer Konsole zusammen. Das spart nicht nur Zeit sowie Wartungs- und Energiekosten, sondern ermöglicht auch systemische Reaktionen auf Sicherheitsverletzungen. So kann beispielsweise die Veränderung der Lichtfarbe weithin sichtbar melden, wenn ein Zutritt mit einer ungültigen Keycard versucht wird. Das System kann aber auch ausgelöste Brandmelder auf einem schematisierten Gebäudeplan anzeigen und bei der Alarmverifizierung helfen, in dem es hochauflösende IP-Überwachungskameras automatisch ausrichtet. Aus „Sicherheitsgründen“ auf vernetzte Technik zu verzichten, würde hier kein Mehrwert an Sicherheit bringen.

Die Gebäudeautomation abzusichern, scheint auf den ersten Blick schwierig, trifft doch hier „kurzlebige“ IT- auf „langlebige“ Gebäudetechnik. Komponenten der Automations- oder der Feldebene sind nicht selten mehr als 20 Jahre im Einsatz, die Rechner, auf denen die Gebäudeautomation läuft, haben manchmal zehn Jahre auf dem Buckel. Die Innovations- und Austauschzyklen der IT bemessen sich dagegen eher im Zwei- bis Drei-Jahres-Rhythmus. Betrachtet man allerdings gängige Angriffsstrategien, stellt man fest, dass „veraltete“ Hardware in den seltensten Fällen das Einfallstor für Hacker ist. Als Risiko erweisen sich meist neu entdeckte Schwachpunkte in der Software – und der Faktor Mensch!

IT als dynamisch gehärtetes System

Wen es darum geht, die Automationssoftware gegen Bedrohungen zu härten, dann ist eine – gesicherte – Verbindung nach außen sogar durchaus nützlich: Per Fernwartung können potentielle Angriffe sofort identifiziert und Softwareupdates problemlos eingespielt werden. Dadurch kann das System auch morgen noch Bedrohungen abwehren, die heute noch gar nicht bekannt sind. Dabei erweist sich die standardisierte Technik als ausgesprochen sinnvoll. Denn wie in der herkömmlichen Büro-EDV sind zwar neue Angriffsvektoren auf eine Vielzahl von Systemen anwendbar – die Abwehrstrategien aber genauso. 

Dies gilt z.B. für das Gebäudeautomationssystem „Metasys“, das mit in jeder neuen Version nicht zuletzt in puncto Sicherheit kontinuierlich verbessert und weiterentwickelt wird. Im gesamten Gebäudenetzwerk kommt ausschließlich verschlüsselte HTTPS-Kommunikation zum Einsatz. Die Benutzervalidierung erfolgt durch „RADIUS“-Server-Authentifizierung (Remote Authentication Dial-In User Service). Die integrative Architektur ermöglicht umfassende Reports, die inaktive und nicht mehr verwendete Benutzerkonten sowie eine Vielzahl anderer potenzieller Sicherheitslücken aufspüren. Die Software selbst lässt sich problemlos auf neue Bedrohungslagen einstellen und erweitern.

Sicherheit geht alle an

Es hilft allerdings wenig, die Software kontinuierlich zu verbessern, wenn Malware über infizierte Wartungsrechner direkt in die Controller eingeschleust wird, wie das nicht nur bei dem Stuxnet-Angriff [1] auf das iranische Atomprogramm der Fall war. Dieser gilt als digitaler Erstschlag gegen standardisierte Controller. 

Ein ganzheitliches Sicherheitskonzept muss also nicht nur die Software auf dem neuesten Stand halten, sondern auch den Kenntnisstand von Errichtern und Betreibern. Sie müssen über gängige Sicherheitsstrategien informiert sein, wie z.B.:

Die Liste ließe sich noch beliebig weiter fortsetzen und würde den Rahmen dieses Beitrags sprengen. Wertvolle Hinweise für die IT-Sicherheit in Gebäuden findet man zum Beispiel in den Grundschutzkatalogen des BSI (www.bsi.bund.de) sowie im VDMA Einheitsblatt 24774.

Dass es aber gerade in puncto Awareness in vielen Bereichen noch Luft nach oben gibt, bemerkt Wolfgang Kiener, Business Development Manager für Cybersecurity beim TÜV Rheinland: „Im Schnitt dauert es 199 Tage, ehe ein Unternehmen überhaupt bemerkt, dass es Opfer eines Hackerangriffs geworden ist.“ [2]

Die Schnittstelle zwischen „langlebiger“ Gebäudetechnik und „kurzlebiger“ EDV ist in puncto Sicherheit ein allgemein überschätztes Risiko. Dies liegt unter anderem daran, dass das Problem oft auf ein rein technisches reduziert wird. Die Erfahrung zeigt allerdings, dass Netzwerktrennung, Router und Firewalls – oder gar das Kappen sämtlicher Verbindungen nach außen – die Gefahr allein nicht bannen können.

Fazit

Sicherheit ist weniger ein isoliertes technisches Projekt, sondern vielmehr ein ganzheitliches System, das Entwickler, Planer, Errichter, Betreiber und Servicedienstleister gleichermaßen in die Pflicht nimmt. Daher sollte man bei der Auswahl des Systempartners darauf achten, dass dieser ein integratives Gesamtkonzept aus Planung, Installation, Service und Schulung zu bieten hat. Nicht neue Grenzen schaffen mehr Sicherheit, sondern mehr Integration und Kooperation.

Quellen