IT Security in der Gebäudeautomation 2

24.10.2022

Auch wenn ich Herausforderungen liebe, so kann ich doch auf die eine oder andere Erfahrung dankend verzichten. So zum Beispiel, wenn ich zu einer GA-Überprüfung gerufen werde und das völlige Chaos und vor allem riesige Sicherheitslücken vorfinde. Und dabei kann das so leicht vermieden werden, wann man von Anfang man sich vor Aufbau eines Netzwerks entsprechende Gedanken macht. Die Anforderungen an die IT-Sicherheit bei Gebäuden, Gebäudeautomation und Gefährdungslagen finden sich super aufgearbeitet in dem IT Grundschutz Kompendium 2022. Letzte Woche schrieb ich über die INF 13, heute geht es an die INF 14.

Shutterstock.com | David Tadevosian

INF.14 Gebäudeautomation

Die INF. 14 hat zum Ziel, die Informationssicherheit sowohl bei der Planung, als auch der Realisierung und im Betrieb einer GA zu etablieren.

Thema: Gefährdungslage

Wer meine Blogs und Potzcasts schon eine Weile verfolgt, weiß, dass ich immer darauf verweise, dass es nicht DIE eine Gebäudeautomation gibt, sondern diese stets individuell ist. Daher befasst sich das IT-Grundschutz-Kompendium in INF.14 exemplarisch mit typischen Szenarien, die immer wieder auftauchen.

Schon fast gebetsmühlenartig verweise ich immer wieder darauf, wie katastrophal eine unzureichende Planung der GA ist. Daher wundert es mich nicht, dass dies der erste genannte Punkt in dem Kompendium ist.
Das Ganze kann nur so gut funktionieren wie jedes einzelne Teil des Gesamtpuzzles. Werden jedoch TGAAnlagen gar nicht oder fehlerhaft in die GA integriert, kann die GA gar nicht einwandfrei funktionieren. Folge: es kommt zu Beeinträchtigungen in den Betriebsabläufen.
Nicht alles, was alt ist, ist schlecht. Bei der GA bzw. den einzelnen TGAAnlagen stellen jedoch veraltete Anlagen bzw. veraltete Controller und Netze eine große Sicherheitslücke dar. Dies sollte verhindert werden und alle Anlagen sollten dem aktuellen Stand von Updates, Upgrades usw entsprechen. Nur so kann eine gute Sicherheit gewährleistet werden.
…

Thema: Basis-Anforderungen, die sein MÜSSEN

Auch hier wird eines meiner absoluten Lieblingsthemen direkt zu Anfang genannt: Bei der Planung einer Gebäudeautomation MUSS zwingend darauf geachtet werden, dass alle Gewerke mit einbezogen werden, um eine sichere Gestaltung der GA durch alle Gewerke hinweg sicherzustellen.
Ich könnte mittlerweile ein ganzes Buch dazu schreiben, wie unglaublich zeit und kostenaufwendig es ist, wenn die GA nicht schon bei der Planung von Neubau, Umbau, Erweiterung und Sanierung eines Gebäudes berücksichtigt wird. Sie MUSS von Anfang an Teil der Planungs- und Bauprozesse sein.
Bereits während der Planungsphase MUSS festgelegt werden, in welchem Umfang TGAAnlagen über das GA-System automatisiert gesteuert werden sollen. Hier nachträglich wieder was „dranzubasteln“ führt erstens zu Sicherheitslücken, zweitens kostet das wieder und drittens wäre es völlig unnötig, wenn im Vorfeld ein Profi die Planung vorgenommen hätte. Und bitte – die Planung MUSS immer penibel dokumentiert und aktualisiert werden – nicht selten trifft man auf eine Doku die mit dem gebauten Zustand nichts mehr zu tun hat und die schon über 20 Jahre keiner mehr im Schaltschrank angefasst hat.
Eines meiner Lieblingsthemen ist die Festlegung eines Inbetriebnahme und Schnittstellenmanagements der GA. An ein GA-System sind viele verschiedene TGA-Anlagen angebunden. Wenn da die Schnittstellen nicht sauber laufen, funktioniert die ganze Anlage nicht richtig. Daher, alles MUSS fachmännisch aufeinander abgestimmt und koordiniert werden.
…

Thema: Standard-Anforderungen, die sein SOLLTEN

Um die Sicherheitsanforderungen an die GA einzuhalten, empfiehlt es sich, GASicherheitsrichtlinien zu konkretisieren und allen Personen, die an Planung, Beschaffung, Implementierung und Betrieb der GA beteiligt sind, bekannt zu machen. Die Sicherheitsrichtlinien SOLLTEN unbedingt regelmäßig nach ihrer Aktualität überprüft, angepasst und dokumentiert werden. Weiterhin ist es ratsam, keine eigene „Suppe“ zu kochen, sondern IT-Abteilung mit einzubeziehen.
Das Gleiche gilt für die Anforderungsspezifikation des GASystems.
Bei der Planung der GA SOLLTE darauf geachtet werden, dass die einzelnen GABereiche nicht in zu großer Abhängigkeit zueinanderstehen. Dadurch lässt sich leicht verhindern, dass bei einer Störung von Anlage x nicht auch noch Anlage z ausfällt.
Dass die Netzzugänge ausreichend gesichert sein müssen – Stichwort Cyber Security – brauche ich hoffentlich nicht ausführlich erläutern. Das gilt natürlich auch für jegliche Arten und Funkverbindungen!
Damit nicht jeder an der GA rumpfuschen kann, SOLLTE ein entsprechendes Berechtigungskonzept erstellt werden.
…

Auch bei der INF 14 ist die Liste unendlich lang. Ich empfehle jedem, der in diesem Bereich ein gewisses Maß an Wissen braucht, sich das mal im Detail durchzulesen: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2022.pdf?__blob=publicationFile&v=3

Sie haben so ein Bauchgefühl, dass Ihre GA eventuell diesen Anforderungen nicht genügt? Dann melden Sie sich einfach bei mir und wir schauen gemeinsam einmal nach.

zurück