Cybersecurity für intelligente Gebäude

Gebäudeautomation

Was ist Cybersecurity?

Cybersecurity ist das Bestreben, Menschen, Systeme und Daten vor Cyberangriffen zu schützen, indem eine Mischung aus Technologien, Prozessen und Richtlinien verwendet wird. Es garantiert die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.

Bei Gebäudeautomationssystemen (BAS) konzentriert sich die Cybersicherheit auf die Absicherung von Betriebstechnik (OT) wie HLK, Beleuchtung und anderen Gebäudesteuerungssystemen. Diese Systeme sind zunehmend mit IT-Netzwerken verbunden und damit anfällig für:

Brute-Force-Angriffe
Denial-of-Service-Angriff 
Ausnutzung vorhandener Protokollschwachstellen.

Warum ist Cybersicherheit für die Gebäudeautomation und Smart Homes wichtig?

Früher wurden Gebäudesysteme auf der Annahme entworfen, dass Bedrohungen ausschließlich physischer Natur sind – ein Eindringling musste anwesend sein, um Schaden zu verursachen. Mit der Einführung intelligenter Gebäude, Fernzugriff und IP & IoT-verbundener Geräte gilt diese Annahme jedoch nicht mehr uneingeschränkt. Cybersicherheit ist inzwischen notwendig, um Folgendes abzusichern:

Steuerungen und Sensoren (z. B. HLK, Beleuchtung, Zutrittskontrolle)
Benutzerdaten
Betriebskontinuität und Gebäudenutzerschutz

Das Hauptziel eines Cyberangriffs ist häufig nicht das Gebäudeleitsystem selbst. Häufig nutzen Angreifer Schwachstellen in IP & IoT-Geräten oder Automatisierungssystemen als Einstiegspunkte, um Zugang zum übergeordneten IT-Netzwerk zu erhalten oder den Betrieb durch Denial-of-Service-Angriffe (DoS) zu beeinträchtigen.

Häufige Cybersecurity-Risiken in der Gebäudeautomation und im Smart Home

Brute-Force-Angriffe:

Wiederholtes Erraten von Passwörtern

Denial-of-Service (DoS):

Überlastung von Systemen, um einen Ausfall zu verursachen

Missbrauch des Systems:

Auslösen von Alarmen oder nicht autorisierten Aktionen

Sabotage:

Ändern von Einstellungen, um den Betrieb zu unterbrechen

Spionage:

Überwachung des Nutzerverhaltens oder der Daten

Unbefugtes Eindringen:

Unbefugtes Verschaffen von Zutritt, z.B. Aufschließen von Türen

Datendiebstahl:

Diebstahl von Passwörtern oder Nutzungsdaten

Schlüsselthemen der Cybersecurity in der Gebäudeautomation

Wachsender Markt für Smart-Buildings
Mit dem zunehmenden Einsatz intelligenter und vernetzter Gebäudetechnologien erweitert sich die potenzielle Angriffsfläche signifikant. Moderne Systeme wie Heizung, Lüftung, Klima (HLK), Beleuchtung, Zugangskontrolle und Energiemanagement sind mittlerweile IP-basiert und können ohne geeignete Schutzmaßnahmen Ziel von Cyberbedrohungen werden.
Kundenvertrauen und Markterwartungen
Sicherheit ist ein wichtiger Aspekt für Planer, Installateure und Endanwender. Verstöße können Auswirkungen auf den Ruf und das Vertrauen haben.
Betriebskontinuität und Sicherheit
Cyberangriffe auf Gebäudesysteme können zu Betriebsunterbrechungen, Geräteschäden oder potenziellen Gefährdungen von Personen führen. Die Gewährleistung der Systemverfügbarkeit und -integrität ist wichtig für die Sicherheit der Bewohner sowie die Geschäftskontinuität.
IT/OT-Konvergenz
Die Integration von Operational Technology (OT) in IT-Netzwerke führt zu zusätzlichen Anforderungen. Gebäudeleitsysteme müssen die Cybersecurity-Richtlinien des Unternehmens berücksichtigen, was Netzwerksegmentierung, Zugriffskontrolle und Überwachung einschließt.

Cybersecurity-Schwachstellen in Bestandssystemen
Viele bestehende Gebäudesysteme nutzen Protokolle, die weder Verschlüsselung noch Authentifizierung einsetzen. Die Umstellung auf sichere IP Protokolle und die Einführung einer geeigneten Netzwerksegmentierung können dazu beitragen, potenzielle Risiken zu verringern.
Fernzugriff und Wartung
Ferndiagnosen und OTA-updates bieten zahlreiche Vorteile, sind jedoch auch mit potenziellen Risiken verbunden. Der Einsatz sicherer Fernzugriffslösungen wie VPNs sowie Multi-Faktor-Authentifizierung ist von entscheidender Bedeutung, um unautorisierten Zugriff wirksam zu verhindern.
Cybersecurity Bedrohungen
Gebäudesysteme werden zunehmend nicht nur Ziel von Cybersecurity-Angriffen, sondern dienen auch als mögliche Zugangspunkte zu größeren IT-Netzwerken oder für Handlungen wie das Deaktivieren von Alarmen oder Entriegeln von Türen. Dadurch steigt ihre Relevanz für Personen, die solche Zugriffe beabsichtigen.
Einhaltung
Durch Regularien wie den EU Cyber Resilience Act (CRA), NIS2 und die DSGVO ergeben sich für Gebäudeautomationssysteme spezifische Anforderungen im Bereich der Cybersicherheit. Diese Regelwerke beinhalten Vorgaben zur Implementierung sicherer Systemarchitekturen, zu einem systematischen Schwachstellenmanagement sowie zu Mechanismen für die Cybersecurity-Incident-Response.

Tipps für die Planung einer sicheren Gebäudeautomation

Gebäudeautomations- und -steuerungssysteme (BACS) dienen der Effizienzsteigerung in Gebäuden, indem sie technische Funktionen wie Heizung, Lüftung, Beleuchtung und Sicherheit automatisieren. Mit der zunehmenden Integration von IT- und industriellen Automatisierungstechnologien rückt das Thema Cybersicherheit angesichts neuer Risiken, veränderter gesetzlicher Rahmenbedingungen und eines höheren Bewusstseins verstärkt in den Fokus.

Cybersicherheit in Planung, Ausschreibung und Betrieb

Cybersicherheit fängt schon bei der Planung an, auch wenn die Nutzer noch unbekannt sind. Gute Dokumentation, Netzwerksegmentierung und lokales Systemdesign vereinfachen Prozesse und machen Systeme sicherer. Überwachung und ein früh eingeführtes Rollen- und Berechtigungsmanagement verhindern Fehler sowie unbefugten Zugriff.

Überlegungen zu IT- und OT-Netzwerken

Die Cybersicherheit von BACS erfordert eine klare Koordination zwischen IT- und OT-Bereichen. Während IT sich auf Datenvertraulichkeit und -integrität konzentriert, steht bei OT die Sicherheit physischer Prozesse im Vordergrund. Für wirksames Cybersecurity-Management müssen diese Prioritäten abgestimmt und Zuständigkeiten eindeutig festgelegt werden.

Bewertung und Verantwortlichkeiten
Eine eindeutige Zuweisung von Aufgaben und Zuständigkeiten an alle Beteiligten, einschließlich Systemintegratoren und Auftragnehmer, unterstützt das Risikomanagement und die Entscheidungsfindung über den gesamten Lebenszyklus des Systems hinweg.

Netzwerksegmentierung und -verwaltung

Eine OT-Sicherheitsstrategie umfasst typischerweise die Definition der Architektur, Netzwerksegmentierung, das Patch- und Asset-Management, Notfallmanagement sowie die Risikobewertung. Die Netzwerksegmentierung dient dazu, BACS-Komponenten in separaten Zonen zu isolieren und die Kommunikation zwischen diesen Segmenten mithilfe von Firewalls und Zugriffskontrolllisten zu steuern. Mikrosegmentierung kann eingesetzt werden, um weniger sichere Geräte oder ältere Systeme getrennt zu halten.

Schlussfolgerung

Ein fehlertolerantes, gut segmentiertes und lokal gesteuertes BACS schützt zuverlässig vor Cyberangriffen und erhöht die Betriebssicherheit. Systeme wie i-bus KNX von ABB setzen genau diesen Ansatz um und verbessern so die Gesamtsicherheit.

Tipps, um KNX-Systeme widerstandsfähiger gegen Cybersicherheit zu machen

Die erste Verteidigungslinie gegen Bedrohungen der Cybersicherheit bildet ein sorgfältig entwickeltes und fehlerresistentes Gebäudesteuerungssystem. Durch eine konsequente Segmentierung des Systems werden zentrale Fehlerquellen vermieden und die Steuerungsfunktionen dezentral sowie möglichst lokal realisiert. Dieser Ansatz trägt wesentlich dazu bei, die Anfälligkeit gegenüber Angriffen zu reduzieren und die Gesamtsicherheit von Automatisierungslösungen – beispielsweise KNX-Systeme von ABB – zu erhöhen. Eine robuste Segmentierung und lokale Kontrolle leisten einen wesentlichen Beitrag zur Minimierung der Risiken im Zusammenhang mit Cyberangriffen.

Um diese Ziele zu erreichen, ist es erforderlich, dass das Systemdesign bereits in der Planungsphase auf Aspekte der Fehler- und Cyber-Resilienz ausgerichtet wird. Dabei sollten insbesondere die beiden Varianten von KNX Secure evaluiert werden, um die spezifischen Anforderungen an Netzwerkstruktur und Sicherheitskonzept optimal abzudecken:

KNX IP Secure: Schützt die Kommunikation über IP-Netzwerke
KNX Data Secure: Sichert Telegramme in Twisted Pair (TP)-Netzwerken

Hier sind einige Punkte, die Sie beachten sollten, bevor Sie das KNX Secure-Projekt starten:

Geräte-Kompatibilität:
Mischsysteme (Secure und Plain Devices) sind möglich, erfordern aber eine sorgfältige Planung, um Sicherheitslücken zu vermeiden. Einen Überblick, welche Geräte KNX Secure unterstützen, sollte sich so früh wie möglich im Planungsprozess verschaffen.

ETS-Anforderungen
ABB empfiehlt die Verwendung von ETS 6.x oder höher, um KNX Secure-Geräte zu konfigurieren.

Stellen Sie sicher, dass die Projektdatei mit einem Kennwort geschützt und sicher gesichert ist

Firmware- und Software-Updates
Halten Sie alle Geräte und ETS-Software auf dem neuesten Stand, um Schwachstellen zu patchen und die neuesten Sicherheitsfunktionen zu unterstützen.

Mit KNX Secure müssen sich die Arbeitsabläufe in der Projektausführung anpassen. Wir haben einige Inhalte und einen Leitfaden vorbereitet, um Sie bei der Planung und Inbetriebnahme zu unterstützen:

KNX Cybersecurity Leitfaden zur Systemhärtung

KNX Cybersecurity Checklist zur Systemhärtung

KNX Secure Technische Details:

Arbeiten mit KNX Secure:

KNX Secure

KNX Secure erweitert den KNX-Standard um Mechanismen, die Daten vor unbefugtem Zugriff schützen und die Integrität der übertragenen Informationen gewährleisten. Es handelt sich um einen herstellerunabhängigen Standard, der eine Ende-zu-Ende-Verschlüsselung (ISO 18033-3, z. B. AES 128 CCM) zur Absicherung der KNX-Kommunikation verwendet.

Die KNX Secure-Technologie bietet Schutz für verschiedene Anwendungsfälle:

Zugriff auf das KNX-System über das IP-Netzwerk (KNX IP Secure)
Konfiguration von Geräten in der Anlage (KNX Data Secure, KNX IP Secure Device Management)
Echtzeitkommunikation zwischen Anwendungen (KNX Data Secure)
KNX-Kommunikation über IP-Netzwerke (KNX IP Secure Routing)
Die Netzwerksegmentierung ist unerlässlich, um die Widerstandsfähigkeit des KNX-Systems gegen Cybersicherheitsbedrohungen und technische Fehler zu erhöhen. Mit der Einführung des Secure Proxy, des KNX-Routers und der Koppler können Kunden bestehende KNX Plain-Geräte behalten und Teile ihres Systems selektiv mit KNX Secure-Komponenten aufrüsten. Dadurch wird eine komplette Systemüberholung vermieden und die Anschaffungskosten gesenkt.

Hauptmerkmale

Ende-zu-Ende-Verschlüsselung:

Nur autorisierte Geräte können auf Daten zugreifen oder diese ändern

Authentifizierung:

Überprüfung der Geräteidentitäten, um Spoofing zu verhindern

Manipulationsschutz:

Erkennt und blockiert geänderte oder Replay- Nachrichten

Abwärtskompatibilität:

Koexistenz vom KNX Data Secure mit nicht Standard KNX-Geräten in derselben Installation

KNX IP Secure

KNX IP Secure ermöglicht die verschlüsselte Übertragung von KNX-Telegrammen über KNX IP Router oder Schnittstellen. Diese Lösung eignet sich insbesondere für bestehende Installationen, bei denen eine vollständige Integration von KNX Data Secure nicht realisiert werden kann.

Hauptvorteile und Funktionen:

Erhöhte Sicherheit: Verschlüsselt die Kommunikation über IP, schützt vor Lauschangriffen und Manipulationen und gewährleistet gleichzeitig die Datenintegrität und -authentizität durch fortschrittliche kryptografische Methoden
Zukunftssicher: Erfüllt internationale Sicherheitsstandards wie z. B. ISO 18033-3, um den steigenden Anforderungen an die Cybersicherheit in intelligenten Gebäuden und kritischen Infrastrukturen gerecht zu werden
Nahtlose Integration: Vollständig kompatibel mit bestehenden KNX-Installationen, was die Integration in neue und nachgerüstete Projekte ohne größere Änderungen ermöglicht. Funktioniert neben der standardmäßigen KNX- und KNX Data Secure TP-Kommunikation
Sicherer Fernzugriff: Voraussetzung für eine sichere Fernkonfiguration und -überwachung von KNX-Systemen über IP-Netzwerke, einschließlich des Internets (VPN)
Schutz vor Cybersecurity Bedrohungen: Abwehr von Man-in-the-Middle-Angriffen, Replay-Angriffen und unbefugtem Zugriff auf Daten.

KNX Data Secure

KNX Data Secure verwendet Verschlüsselungstechnologien, um das Abfangen oder Verändern von Daten zu erschweren, die Privatsphäre der Nutzer zu schützen und Sicherheitsrisiken zu reduzieren. Die Konfiguration findet bei der Inbetriebnahme von KNX Secure-Geräten mit der ETS-Software statt.

KNX Secure-Geräte übertragen authentifizierte und verschlüsselte Daten über ein erweitertes KNX-Telegrammformat (Extended Frames), ohne die Reaktionszeiten der Geräte zu beeinträchtigen. KNX Plain- und Secure-Geräte lassen sich in einer Installation parallel betreiben; beide unterstützen ihren jeweiligen Kommunikationstyp. Verschlüsselte und unverschlüsselte Kommunikation können jedoch nicht dasselbe Kommunikationsobjekt nutzen. Im ETS-Projekt wird festgelegt, welche Gruppenadressen für die verschlüsselte beziehungsweise unverschlüsselte Kommunikation verwendet werden.

Hauptvorteile und Funktionen:

End-to-End-Verschlüsselung: Die Daten werden vom Absender bis zum Empfänger verschlüsselt, um sicherzustellen, dass abgefangene Nachrichten unlesbar und unverändert bleiben
Authentifizierung: Geräte überprüfen gegenseitig die Identität und verhindern so unbefugten Zugriff auf das Netzwerk
Datenintegrität: Die Datenintegrität wird während der Übertragung durch kryptografische Prüfsummen (Message Authentication Codes) sichergestellt.
Extended Frames: Ein modifiziertes Telegrammformat überträgt verschlüsselte Nutzlasten und bleibt gleichzeitig abwärtskompatibel mit der bestehenden KNX-Infrastruktur

Implementierungsschritte:

Ein Gebäudeleitsystem, das so konzipiert ist, dass es gegen lokale Ausfälle widerstandsfähig ist, verfügt von Natur aus über Widerstandsfähigkeit gegen Cybersicherheitsbedrohungen. Dies liegt daran, dass viele Cybersicherheitsbedrohungen darauf abzielen, Systemschwachstellen auszunutzen, was zu Fehlern und Störungen führen kann. Der Hauptunterschied besteht darin, dass lokale Ausfälle auf physische Probleme innerhalb des Systems oder der Umgebung zurückzuführen sind, während Cybersicherheitsbedrohungen von entfernten Angreifern ausgehen, die versuchen, das System zu kompromittieren. Daher kann die Implementierung robuster Sicherheitsmaßnahmen die Gesamtzuverlässigkeit des Gebäudeleitsystems gegenüber beiden Arten von Herausforderungen verbessern.

Fehlerresistente KNX-Systeme entwerfen

Segmentierung: Das System wird in kleinere Subsysteme, KNX-Linien oder -Segmente, unterteilt, um Fehler einzugrenzen. Dieser Ansatz sorgt dafür, dass potenzielle Probleme auf den betroffenen Bereich beschränkt bleiben und nicht das Gesamtsystem beeinflussen.
Vermeidung zentraler Ausfallpunkte: Steuerungsfunktionen werden auf verschiedene Komponenten verteilt, anstatt über einen zentralen Hub zu laufen. Dadurch lässt sich das Risiko eines Single Point of Failure minimieren.
Lokale Steuerungsfunktionen: In den Subsystemen werden Kontrollmechanismen lokal implementiert. Dies ermöglicht eine höhere Betriebssicherheit, da bei einem Ausfall eines Segments andere Bereiche weiterhin unabhängig funktionieren können.

Verschlüsselte IP-Kommunikation mit KNXnet/IP Secure

Zum Schutz vor Remote-Hacking-Versuchen ist es wichtig, die IP-Schnittstelle Ihres Gebäudeleitsystems zu sichern. Die Implementierung von KNX IP Secure erhöht die Sicherheit, indem die Kommunikation verschlüsselt wird und sichergestellt wird, dass die zwischen Geräten übertragenen Daten vor unbefugtem Zugriff geschützt sind.

Cybersecurity-Vorschriften

Cybersecurity-Vorschriften werden weltweit immer wichtiger und orientieren sich oft an NIST- und EU-Standards. Trotz Harmonisierung gibt es regionale Unterschiede. Dieser Abschnitt beschreibt die wichtigsten EU-Regeln für die Gebäudesteuerung und empfiehlt, lokale ABB-Experten für Details zu konsultieren.

Cyber Resilience Act (CRA)

Der Cyber Resilience Act verfolgt das Ziel, die Widerstandsfähigkeit der Cybersecurity für alle innerhalb der EU vertriebenen digitalen Produkte zu erhöhen. Dies umfasst unter anderem intelligente Geräte, Software sowie Systeme zur Gebäudesteuerung. Die Verordnung definiert verbindliche Anforderungen an die Cybersecurity, die Hersteller während des gesamten Produktlebenszyklus – von der Konzeption bis zur Ausmusterung – erfüllen müssen. Das Gesetz ist am 10. Dezember 2024 in Kraft getreten; die zentralen Verpflichtungen gelten ab dem 11. Dezember 2027.

Wichtige Bestimmungen:

Cybersecurity-Vorschriften: Legt Regeln für Produkte mit digitalen Elementen fest, um deren Cybersecurity zu gewährleisten
Design- und Produktionsanforderungen: Beschreibt die grundlegenden Anforderungen an das Design, die Entwicklung und die Produktion digitaler Produkte
Vulnerability Handling: Schreibt Prozesse für das Management von Schwachstellen während der erwarteten Nutzung eines Produkts vor
Marktüberwachung: Umfasst die Überwachung und Durchsetzung der Einhaltung der Cybersicherheitsanforderungen

Kundennutzen:

Verbesserter Schutz vor Cyber-Bedrohungen, da alle vernetzten Produkte Cybersecurity-Standards erfüllen müssen
Rechtzeitige Sicherheitspatches und -updates während des gesamten Lebenszyklus eines Produkts, um Schwachstellenrisiken zu reduzieren
Produkte, die die CE-Kennzeichnung tragen, müssen der CRA entsprechen, so dass die Kunden davon ausgehen können, dass die Produkte sicher sind, sofern nicht anders angegeben

Weitere Informationen zur CRA: digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act

Datenschutz-Grundverordnung (DSGVO)

Die DSGVO ist ein Datenschutzgesetz, das von der Europäischen Union erlassen wurde. Es zählt zu den strengeren Gesetzen im Bereich Datenschutz und Sicherheit. Die Verordnung gilt für Organisationen, die personenbezogene Daten von Personen in der EU verarbeiten. Zu diesen Daten gehören Informationen, mit denen eine Person identifizierbar ist, beispielsweise Namen, E-Mail-Adressen, IP-Adressen und Verhaltensdaten. Organisationen benötigen einen rechtlichen Grund für die Erhebung oder Verarbeitung solcher Daten, und die Zustimmung der betroffenen Personen ist erforderlich. Zudem sind Unternehmen verpflichtet, transparent über die Nutzung personenbezogener Daten zu informieren und ihre Maßnahmen zur Einhaltung der Vorschriften zu dokumentieren.

In KNX-Systemen werden in der Regel keine personenbezogenen Daten gespeichert, ausgenommen Visualisierungen und Gateways, die beispielsweise E-Mail-Adressen enthalten können. Werden diese Komponenten im Rahmen eines Vertrags geliefert, der die Speicherung und Verwendung personenbezogener Daten regelt, kann die Einhaltung der DSGVO-Anforderungen sichergestellt werden.

Weitere Informationen zur DSGVO: digital-strategy.ec.europa.eu/en/policies/digital-privacy

NIS2-Richtlinie: Sicherung von Netz- und Informationssystemen

Die NIS2-Richtlinie verlangt von den EU-Mitgliedstaaten, nationale Anforderungen für das Management von Cybersicherheitsrisiken in kritischen Sektoren wie digitale Infrastruktur, Energie, Verkehr und Gesundheitswesen festzulegen. Die Politik der NIS2 verfolgt das Ziel, die Cyberresilienz von Infrastrukturen und Unternehmen innerhalb der EU zu stärken. Bestimmte Unternehmen und Organisationen sind verpflichtet, Maßnahmen zum Schutz ihrer Netzwerke und IT-Systeme umzusetzen.

NIS2 definiert die Verantwortlichkeiten für die Einhaltung von Cybersecurity-Vorschriften und die Berichterstattung auf Leitungsebene. Die gesetzlichen Vorgaben umfassen Anforderungen an Governance, Transparenz und umfassende Dokumentation, um die fortlaufende Einhaltung nachzuweisen.

Unternehmen müssen einen „All-Hazard-Ansatz“ verfolgen, um Netzwerke, Informationssysteme und physische Umgebungen vor potenziellen Vorfällen zu schützen. Es ist vorgesehen, eine Sicherheitsrichtlinie für Netzwerk- und Informationssysteme zu implementieren, die alle relevanten Systeme, Anlagen und Prozesse abdeckt.

Weitere Informationen zu NIS2: digital-strategy.ec.europa.eu/en/policies/nis2-directive

ABBs Engagement für Cybersecurity

ABB engagiert sich für die kontinuierliche Verbesserung der Cybersecurity in sämtlichen Produkten und Lösungen. Angesichts der zunehmenden Relevanz des Schutzes digitaler Infrastrukturen vor Cyberbedrohungen unterstützt ABB seine Kunden bei der Bewältigung dieser Herausforderungen. Durch die Entwicklung sicherer und hochwertiger Produkte, die internationalen Cybersicherheitsstandards entsprechen, trägt ABB zur Risikominimierung und zum Schutz der Kundensysteme bei.

ABB-Prozess zum Schwachstellenmanagement [EN]

Wie Kunden bekannte Sicherheitslücken (CVEs) einsehen oder an ABB melden können [EN]