Informationstechnik braucht Rundumschutz

11.10.2024 | Veröffentlicht in Ausgabe 08-2024 GEB

Alles was vernetzt ist, lässt sich auch angreifen. Daher müssen Systeme für die Gebäudeautomation möglichst umfassend abgesichert werden. - © Bild: emil - stock.adobe.com — © Bild: emil - stock.adobe.com

Alles was vernetzt ist, lässt sich auch angreifen. Daher müssen Systeme für die Gebäudeautomation möglichst umfassend abgesichert werden.

Für die Systemsicherheit im Gebäudemanagement gelten hohe Anforderungen. Betreiber müssen eine ganze Reihe von verschiedenen technischen und organisatorischen Vorgaben umsetzen. Dabei spielt der Kommunikationsstandard Bacnet eine wichtige Rolle. Christian Wild

Störungen der Systeme für die Gebäudeautomation (GA) können von innen und von außen auftreten. Von innen indizierte Störungen der Authentizität, Integrität, Verfügbarkeit und Vertraulichkeit betreffen die grundsätzliche Betriebssicherheit der Infrastruktur. Bei von außen indizierten Störungen handelt es sich in der Regel um Sabotage, Spionage oder unerlaubten Zutritt.

Die üblichen Angriffspunkte auf Automatisierungssysteme befinden sich vor allem auf Automations- und Managementebene eines Gebäudes, weniger auf der Feldebene oder den übergeordneten Ebenen im technischen Gebäudemanagement (Abb. 1). Darum besteht hier besonderer Handlungsbedarf.

Grundlegende Regelwerke in Deutschland sind die Standards und das Grundschutzkompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI). Die Grundschutzbausteine Infrastruktur für Gebäudemanagement (INF.13) und Gebäudeautomation (INF.14) sind verpflichtend für Bundesbehörden und Betreiber kritischer Infrastrukturen. Das Einheitsblatt VDMA 24774 (2023-03) beschreibt die aktuellen Vorgaben zur IT-Sicherheit in der Gebäudeautomation (Leitfaden für die Gebäudeautomation) und die EU-Verordnung 2016/679 informiert über die Datenschutzgrundverordnung für den Schutz personenbezogener Daten in der Gebäudeautomation.

Schwachstellen finden sich in vielen Bereichen

Welche Vorkehrungen im Gewerk Gebäudeautomation konkret zu treffen sind, müssen aus einer Risikoanalyse für die jeweilige Nutzung abgeleitet werden. Im BSI-Standards- und Grundschutzkompendium werden folgende bedeutende Gefährdungslagen für die Gebäudeautomation genannt:

unzureichende Planung der Gebäudeautomation, zum Beispiel durch fehlende Redundanzen oder hohe Komplexität der Zusammenarbeit unterschiedlicher Gewerke,

fehlerhafte Integration von TGA-Anlagen in die Gebäudeautomation beziehungsweise fehlerhafte Konfiguration der Gebäudeautomation,

Nutzung unsicherer Systeme und Protokolle in der Gebäudeautomation, wie es zum Beispiel das „alte“ Bacnet-Protokoll sowie KNX oder Modbus sind, sowie

Manipulation der Schnittstellen von eigenständigen TGA-Anlagen zur Gebäudeautomation, zum Beispiel über eine manipulierte Brandmeldung, die alle Türen öffnet.

Auch Defizite im Technischen Gebäudemanagement (TBM) können Risikoquellen darstellen:

Fehlende Grundlagen der IT-Sicherheit für die Planung des TBM, da beispielsweise bei der Planung die Betreiber häufig noch nicht feststehen,

mangelnde Dokumentation beim TBM führt zu Unklarheiten über den Status quo der IT-Sicherheit,

bewusste oder unbewusste Kompromittierung der Schnittstellen mit dem TBM, insbesondere wenn schützenswerte Bereiche an das TBM angeschlossen sind, zum Beispiel Einbruch- oder Brandmeldeanlagen,

unzureichendes Monitoring der TGA, sodass zum Beispiel systemkritische Fehlfunktion nicht erkannt werden, und

unzureichendes Rollen- und Berechtigungsmanagement, wenn zum Beispiel mehrere Personen sich ein Benutzerkonto teilen.

Lange Lebenszyklen erschweren Sicherheitskonzept

Hinzu kommen die langen Lebenszyklen gebäudetechnischer Anlagen, die ein besonderes Maß an vorausschauender Planung von GA-Systemen erfordern. Dazu zählen eine verschlüsselte Datenübertragung und Kommunikation – Bacnet/SC, KNX-Secure oder ähnliche – sowie die Deaktivierung aller nicht benötigter Dienste und Zugänge ab Werk – „gehärtete“ Geräte und Software – samt Dokumentation der verwendeten Ports.

Wichtig ist auch der Einsatz einer Managementsoftware mit Funktionen zur Aufzeichnung der Benutzeraktivitäten (Audit Trial). Zudem sollte das GA-Systems mit der aktuellen Firmware beziehungsweise Softwareversion laufen. Letzteres betrifft beispielsweise Software für die Management- und Bedieneinrichtung (MBE) sowie die Beobachtungs- und Bedieneinheit (BBE). Zumindest alle security-relevanten Updates sollten installiert sein, insbesondere die aktuellen Patches von Windows sowie die aktuellen Versionen der eingesetzten Softwaresysteme.

**1 Viele Angriffspunkte auf Automatisierungssysteme befinden sich auf Automations- und Managementebene eines Gebäudes.**

Netzwerke sollten getrennt werden

Bei Umsetzung und Ausführung der Gebäudeautomationssysteme gilt es, folgende Vorgaben zu beachten:

Einrichtung physikalisch oder virtuell getrennter IP-Netzwerke für die Gebäudeautomation samt Absicherung besonders gefährdeter Netzwerksegmente durch Firewalls,

gesicherter Zugriff für Fernwartung,

Festlegung eines Back-up-Konzepts für Automationsstationen und Managementebene samt Anweisungen für ein Recovery,

physische Sicherung von Schaltschränken, Technikräumen etc. samt Deaktivierung von USB- oder Ethernet-Zugängen,

Malwareschutz und aktuelle Sicherheitspatches für Engineering-Werkzeuge,

projektspezifische Anpassung der Zugriffsberechtigungen und Änderung der Passwörter (insbesondere auf Automationsstationen, BBE, MBE) sowie Aktivierung von Auto-Logoff-Funktionen,

Nachhärtung der Systeme durch Deaktivierung beziehungsweise Löschen aller ungenutzter Dienste, physikalische Zugänge, Benutzerkonten, Prozesse und Programme (insbesondere auf Automationsstationen, BBE, MBE).

Erstellen der Arbeitsvorschriften und Verhaltensanweisungen zum dauerhaften Erhalt der IT-Sicherheit durch den Errichter (Standard Operating Procedure, SOP),

Erstellen und Übergabe einer GA-Netzwerk-Dokumentation mit Modellbezeichnungen der Komponenten, MAC-Adressen, Einbauort und Firmware-Versionsständen,

IT-Sicherheitsschulung für die Bediener.

Updates nicht vergessen

Beim Betrieb der GA-Systeme gibt es ebenfalls Vorgaben, die umgesetzt werden sollten, um die IT-Sicherheit zu erhöhen:

Individuelle Benutzernamen und Passwörter,

regelmäßige security-relevante Updates/Upgrades, dabei sicherstellen, dass Updates ausschließlich unverfälscht von Quellen mit Zertifikat heruntergeladen werden,

Regelmäßige Back-ups von Anlagenprogrammierung, Konfiguration, Konfigurationsänderungen der MBE-Software sowie der gespeicherten Betriebsdaten.

Einhaltung der Arbeitsvorschriften und Verhaltensanweisungen samt regelmäßiger Aktualisierung des IT-Sicherheitskonzeptes im Rahmen der Wartung des GA-Systems.

Regelmäßige IT-Sicherheitsschulungen.

Die Verantwortlichen für die Gebäudeautomation sollten für jedes Gebäude den Schutzbedarf auf Basis einer Risikoanalyse feststellen. Dies müssen Fachplaner, Bauherr und Betreiber gemeinsam ausführen. Sie sollten sich außerdem bewusst machen, dass sich die größten Risiken für die GA-Systeme aus der Anbindung an das Internet ergeben, zum Beispiel aufgrund von Cloud-Computing.

Bezüglich der konkreten IT-Sicherheitsvorgaben für Planung, Umsetzung und Betrieb gibt die VDMA 24774 eine verlässliche Orientierung. Für neu zu errichtende und bei Sanierung vorhandener GA-Systeme sollten verschlüsselte Protokolle wie Bacnet eingesetzt werden. Wichtig sind außerdem Arbeitsvorschriften und Verhaltensanweisungen (Policies) zur Schadensvermeidung und -minderung. Im Zuge regelmäßiger Wartung sollte nicht nur die Einhaltung dieser Policies, sondern auch die Aktualität des Sicherheitskonzeptes geprüft werden.

In der Gebäudeautomation gibt es zwar keine hundertprozentige IT-Sicherheit. Durch Vorgabe und Beachtung einfacher technischer und organisatorischer Maßnahmen kann jedoch ein gutes Sicherheitsniveau erreicht werden. Der konsequente Einsatz von Bacnet ist dabei nur ein, wenn auch wichtiger Baustein.