BSI-IT-Grundschutz für Gebäudeinfrastrukturen – wie soll man das denn umsetzen?

Dabei haben wir uns stark an den praktischen Erfahrungen der letzten Jahre orientiert, die wir bei der Realisierung unterschiedlichster „Smart Commercial Buildings“ gesammelt haben. Die Maßnahmen der Umsetzungshinweise orientieren sich an den Bausteinen und geben für jeden einzelnen Baustein praxisnahe Hinweise, die bei der Umsetzung helfen und damit letztendlich nicht nur das (smarte) Gebäude gegenüber Hackerangriffen sicherer machen sollen, sondern auch gegen versehentlich herbeigeführte Probleme.

Aktuell beobachten wir gerade bei Bestandsgebäuden große, gewachsene Strukturen, die weder zentral geplant wurden noch aktuell dokumentiert sind. Unterschiedlichste Gewerke haben Zugriff auf gemeinsam genutzte aktive Komponenten, die zwecks problemlosen Zugriffs nicht geschützt sind oder sogar besonders einfach zugänglich gemacht werden. Abbildung 1 zeigt einen solchen Fall, bei dem man für einen problemlosen Zugriff eine WLAN-Komponente verbaut hat, die dem Techniker einen schnellen und einfachen Zugriff auf das gesamte Netzwerk ermöglicht. Allerdings ebenso jedem anderen, der die Möglichkeit hat, physisch auf diese Komponente zuzugreifen. Dabei ist das Gefahrenpotential riesig, da mit diesem Zugang auf das gesamte Netz der Gebäudeautomation zugegriffen und auch im gesamten Netzwerk Schaden angerichtet werden kann!

In einem flachen Layer-2-Netz, bei dem sich alle Komponenten „sehen“ können, reicht schon ein einzelner defekter oder fehlkonfigurierter Sensor, der permanent Daten ins Netz schickt, um das gesamte Netzwerk zu stören.

So hatten wir in der Vergangenheit bereits Erfahrungen mit unterschiedlichsten Sensoren und Aktoren gesammelt und beispielsweise im Bereich der Predictive Maintenance (vorausschauenden Instandhaltung) den Einbau von Sensoren begleitet. Oftmals werden hier Vibrationssensoren verbaut, die an drehenden Achsen, wie sie an Wellen von Aufzügen oder an Ventilatoren vorkommen, die Vibration messen. Sollte diese zunehmen, ist das ein sicheres Indiz dafür, dass hier demnächst Handlungsbedarf entsteht. Einige dieser Sensoren messen die Vibration mit einer Frequenz von 1kHz, also 1000 Messwerte pro Sekunde.

Wenn dieser Sensor dann für jeden Messwert ein Datenpaket ins interne Netz schickt und man typischerweise zudem noch mehrere dieser Sensoren verbaut hat, schafft man sich leicht einen selbstgebauten Denial-of-Service-Angriff, der in einem flachen Netz das gesamte Netzwerk lahmlegen kann. Hier ist es daher wichtig, dass man nicht nur das Netz in unterschiedliche Bereiche wie VLANs aufteilt, sondern zusätzlich die Sensoren so konfiguriert oder die Messwerte aggregiert, dass keine Gefahr für das Netzwerk besteht. Der Mittelwert der letzten tausend Messungen lässt vermutlich ebenfalls erkennen, dass bald etwas ausgetauscht werden muss.

Die Trennung der Gewerke ist in der IT schon lange ein absoluter Mindeststandard, doch in den Netzen der Gebäudeautomation leider noch nicht sonderlich verbreitet. Dies ist überwiegend zwei Umständen geschuldet: Erstens sind die bisherigen TGA-Netze häufig Insellösungen, die wenig bis gar keinen Datenfluss nach draußen haben. Zweitens ist die Datenmenge bisheriger Installationen gering. Doch beide Umstände ändern sich zurzeit rasant. Einerseits müssen nahezu alle Komponenten mit anderen Komponenten im Netz Daten austauschen, sollte das Gebäude smart sein oder werden. Andererseits nehmen die Datenmengen stetig zu. Die Gebäudeautomation macht gerade die Entwicklung durch, die die IT in den letzten Jahrzehnten bereits durchgemacht hat und die aus Sicht der IT-Sicherheit zu begrüßen ist, jedoch aus Sicht der ausführenden Firmen und Auftraggeber als extrem schwierig eingestuft wird. Das Wissen ist in den Firmen aktuell nicht in der benötigten Breite vorhanden. Experten zu den Themen sind rar und bereits gut beschäftigt. Gleichzeitig wächst der Druck durch Hackerangriffe drastisch. Aktuelle Studien sehen dies als größte Herausforderung. So listet das aktuelle Allianz Risk Barometer 2022[1] Cyberattacken als größtes Betriebsrisiko, noch vor Naturkatastrophen oder Pandemien. Dies sind leider sehr schlechte Nachrichten für Betreiber von Gebäuden, da dort teilweise jahrzehntealte Hardware im Einsatz und für den Betrieb kritischer Gewerke verantwortlich ist. Bei beauftragten Penetrationstests stellten wir teilweise gravierende Sicherheitslücken in häufig verbauten Komponenten für Direct-Digital-Control-Gebäudeautomation (DDC-GA) fest. So werden hier nicht selten Betriebssysteme aus dem letzten Jahrzehnt verwendet, die unzählige, gut dokumentierte Sicherheitslücken aufweisen, die wir in Tests auch ausnutzen konnten. Ein Prozess zum Updaten der Systeme ist leider nicht vorhanden. Normalerweise gibt es die nächste Softwareversion mit der neuen Hardware. Und das geschieht in der Gebäudeautomation nur in sehr langen Zyklen, die in der IT nahezu undenkbar sind.

Umsetzung und Betrieb werden durch den Umstand ein wenig vereinfacht, dass ein Gebäudetechnik-Netz im Vergleich zu normalen Office-IT-Netzen relativ statisch ist, und wenn es einmal in Betrieb genommen wurde, recht wenige Änderungen erfordert.

Gleichzeitig ist es allerdings sehr schwierig, bei einem laufenden Gebäude nachträglich IT-Sicherheit zu realisieren. In der Regel hat das Gebäude keine Wartungsfenster. Der Ausfall einzelner Gewerke, wie beispielsweise Klimatisierung oder Fördertechnik, hat schwerwiegende Einschränkungen zur Folge. Dies macht Retrofits zu einer Herausforderung, die die Zusammenarbeit aller Gewerke erfordert. Bei solchen Nachrüstungen wird zusätzlich noch eine verlässliche Projektsteuerung und Dokumentation der Änderungen und Einschränkungen benötigt. In Gebäuden gibt es durchaus Prozesse und Kommunikationsbeziehungen, die nur sehr selten genutzt werden und aufgrund der schlechten Dokumentationslage der gewachsenen Strukturen schlicht vergessen werden können.

Dabei ist insbesondere die Nachrüstung einer Firewall für die Kommunikation des Netzes der Gebäudetechnik ein schwieriges Unterfangen, das gleichzeitig die Sicherheit der zu betreibenden Infrastruktur stark erhöht. Dafür muss der Zugriff auf die GA-Komponenten aus unsicheren Netzen durch beispielsweise Firewalls kontrolliert, gesteuert und gegebenenfalls entkoppelt werden. Hier hat das BSI auch schon in anderen Bausteinen wie NET.1.1 Netzarchitektur und -design und OPS.1.2.5 Fernwartung wichtige Hinweise zur richtigen Umsetzung geliefert, die leider im Umfeld der Gebäudeautomation selten berücksichtigt wurden.

Unter INF.14.M6 Separierung von Netzen der GA (B) findet man nun umfangreiche Leitplanken für die Umsetzung einer P-A-P-Struktur, die aus Paketfilter, Application Layer Gateway bzw. Sicherheits-Proxies und Paketfilter besteht.

Abbildung 2 verdeutlicht dieses Vorgehen, das je nach Schutzbedarf eine Virtualisierung der inneren und äußeren Firewalls erlaubt, mit zunehmendem Schutzbedarf jedoch separate Hardware sowohl für Firewalls als auch für Switches erfordert. In Anbetracht der Tatsache, dass Sicherheitstechnik in Form von Firewalls nicht so verbreitet ist, stellt die richtige Konfiguration der aktiven Komponenten und die konkrete Nutzung dieses reglementierten Zugriffs für viele Nutzer ebenfalls eine vermeintlich unnötige Hürde dar. Die Argumente „haben wir noch nie gebraucht“ und „kostet nur unnötig Zeit und Geld“ gehören leider zu meinem Alltag im Umfeld moderner Gebäude. Da jedoch die Angriffe auf Infrastrukturen in den letzten Monaten drastisch zugenommen haben, sinkt auch sukzessive der Widerstand gegen die IT-Sicherheit. Und wenn man die Investitionskosten der Komponenten dem potentiellen Risiko und Schaden gegenüberstellt, ist auch das Argument der Kosten immer schneller vom Tisch.

Planung, Konfiguration und Dokumentation sind einige unserer Leistungen, die in der letzten Zeit immer häufiger angefragt werden. Das lässt hoffen, dass das Thema IT-Sicherheit von Gebäudeinfrastrukturen zunehmend ins Bewusstsein rückt und auch umgesetzt wird. Ich hoffe daher, dass diese Entwicklung so weitergeht und in einigen Jahren die meisten Gebäude zumindest grundlegend gegen Cyberattacken geschützt sind. Hier bieten die Umsetzungshinweise der neuen BSI Bausteine einen guten Einstieg. Im Folgenden sind alle aktuellen Maßnahmen der Umsetzungshinweise für die Bausteine INF.13 und INF.14 aufgelistet. Die vollständigen und teilweise sehr umfangreichen Umsetzungshinweise finden Sie hier.