Das Projektinterview: Der neue BSI-Standard zur Gebäudetechnik

Thomas, du bist bei ComConsult federführend zuständig für den Themenbereich Smart Buildings. Was war bisher das größte Projekt des Competence Centers Smart Technologies?

Das war der Cube in Berlin. Angefangen haben wir mit einem groben Sicherheitskonzept. Das ging dann weiter in ein Feinkonzept der Netze und am Ende haben wir die gesamte Konfiguration und Inbetriebnahme des Gebäudes aus IT-Sicht begleitet und dokumentiert und das Netzwerk schlüsselfertig dem zukünftigen Betreiber übergeben.

Der Bereich der Smart Commercial Buildings nimmt zunehmend Fahrt auf. Welchen Trend gibt es?

Bei Neubauten ist es immer einen Riesenthema, das Gebäude smart zu planen. Doch auch bei Bestandsimmobilien geht es zunehmend darum, im Rahmen eines Retrofits das Gebäude im Nachhinein zu „smartifizieren“.

Ein zentrales Thema bei der Planung von Smart Buildings ist die Informationssicherheit. ComConsult hat für das BSI neue Standards mit den Bausteinen INF.13 Technisches Gebäudemanagement und INF.14 Gebäudeautomation erarbeitet. Wann werden sie zum Einsatz kommen?

ComConsult wurde vom BSI im Dezember 2020 damit beauftragt, diese Bausteine zu erstellen. Es gab ein Working Draft bis in den Juli. In dieser Zeit hatten wir mit dem BSI regelmäßig Meetings zu den Bausteinen und den Umsetzungshinweisen und haben den Fortschritt besprochen. Im August konnten dann die Ergebnisse vom Working Draft in den Community Draft überführt werden. Die Community hatte 4 Wochen Zeit, das zu kommentieren. Diese Kommentare hat das BSI daraufhin eingearbeitet. Und jetzt sind die Bausteine als Final Draft erschienen. Der Final Draft bedeutet, dass dieser Text in die Novellierung des IT-Grundschutz-Kompendiums übergeht. Das erscheint in der Regel in der ersten Februarwoche.

Der Final Draft ist jetzt schon veröffentlicht und man kann nachlesen, was ab Februar gilt, damit man sich schon einmal darauf vorbereiten kann. [1]

In den Bausteinen gibt es bestimmte Basisanforderungen, die zwingend eingehalten werden müssen.

Ja, es gibt beim Grundschutz unterschiedliche Anforderungsprofile, die man nicht wegdiskutieren kann. Zum Beispiel mag die Anforderung, dass eine Gebäudeautomation zu planen ist, trivial wirken, aber wenn man bedenkt, dass in der Praxis die gewachsenen Strukturen oft nicht geplant sind, ist eine solche Anforderung durchaus sinnvoll.

Es gibt ja auch eine Reihe von Standardanforderungen, die erfüllt werden sollten, aber nicht unbedingt müssen.

Ja, genau. Hier kann man im Einzelfall argumentieren, dass eine Anforderung aus einem bestimmten Grund nicht relevant ist oder anders gelöst wird.

Es existieren ebenfalls Anforderungen mit hohem Schutzbedarf. Kannst du dafür ein Beispiel nennen?

Hier geht es zum Beispiel um die Speicherung personenbezogener Daten. Im Moment ist das große Problem, dass sehr viele Proptech-Startups in dem Umfeld unterwegs sind und erstmal alle verfügbaren Daten sammeln, um nachher zu analysieren, was man mit den Daten machen kann. Dadurch kann eine Vielzahl personenbezogener Daten aufgenommen werden. Hier kommt dann das Thema Datensparsamkeit ins Spiel, das besagt, dass nur so viele Daten erfasst werden sollen, wie unbedingt für den jeweiligen Zweck nötig sind.

In den Bausteinen gibt es jeweils über 30 Umsetzungshinweise. Welcher davon ist am wichtigsten?

Momentan halte ich das Segmentieren von Netzen für sehr wichtig. Wir haben im Augenblick in der Gebäudetechnik die Schwierigkeit, dass es meist ausschließlich flache Layer-2-Netze gibt. Das bedeutet, dass es unter den verschiedenen Gewerken wie zum Beispiel Zugangskontrolle, Fördertechnik, Heizung/Klima/Lüftung keine IT-technische Trennung gibt. Das heißt, dass die Datenpakete des einen Systems auch von dem anderen gesehen werden können beziehungsweise die Systeme untereinander sprechen. Das bedeutet gleichzeitig, dass es Auswirkungen auf das gesamte System hat, wenn eines dieser Systeme einen Fehler produziert oder sogar gehackt würde.

Der erste Schritt sollte daher sein: Das Netzwerk muss segmentiert werden.

Das Netzwerk sollte in kleine Bereiche unterteilt werden und die Kommunikationsbeziehung zwischen diesen Segmenten wird über eine Firewall geregelt. Wenn das Netzwerk segmentiert ist und es jemand schafft, zum Beispiel die Fördertechnik zu hacken, kann er dann nicht im ganzen Gebäude das Licht an- und ausschalten. Und wenn das smarte Licht gehackt ist, wird im besten Fall nur in einer kleinen Ecke und nicht im gesamten Gebäude das Licht ein- und ausgeschaltet.

Was ist in der Gebäudeautomation eines der größten Probleme, auf das in den Umsetzungshinweisen eingegangen wird?

In der Gebäudetechnik existieren kaum abgesicherte, zertifikatsbasierte Komponenten. Wenn ich zum Beispiel in einem großen Konzern als Besucher meinen Laptop in das Netzwerk stecke, sehe ich vielleicht ein Gästenetz und sonst nichts. Vorgaben, die in der IT in großen Unternehmen Standard sind, gibt es fast nicht. Gleichzeitig kann man nicht erwarten, dass sich in den nächsten Jahren alle Komponenten der Gebäudetechnik zertifikatsbasiert authentisieren.

Was ist dabei die größte Herausforderung?

Bei Neubauten kann man die Netzwerke und Kommunikationsbeziehungen von Anfang an planen und dann bei der Inbetriebnahme umsetzen. Dabei ist es nicht immer einfach den ausführenden Firmen zu vermitteln, dass wir erst einmal sämtliche Kommunikation unterbinden und dann nur die wirklich benötigten Verbindungen zulassen.

Wesentlich schwieriger ist es bei gewachsenen Strukturen und in Bestandsimmobilien. Man kann bei einem laufenden Gebäudebetrieb ja nicht zuerst einmal alle Kommunikationsbeziehungen kappen. Problematisch ist auch, dass teilweise gar nicht klar ist, was die einzelnen Komponenten machen. In Kooperation mit unserem Partner Drees & Sommer führen wir sogenannte Digital Ready Checks durch. Wir untersuchen dabei Bestandsimmobilien und schauen uns genau an, was Stand der Dinge ist, das heißt welche Technik verbaut und wie sie abgesichert ist. Hier ist oft überhaupt keine Dokumentation vorhanden.

Worauf ist abschließend noch hinzuweisen?

Der Trend geht dahin, dass die Komponenten der Gebäudeautomation immer mehr miteinander kommunizieren und mit steigender Tendenz Cloud-Dienste eingesetzt werden. Hier gilt es festzuhalten, wo die Komponenten, die eine Kommunikationsbeziehung nach draußen haben wollen, ankommen, wie genau der Austausch aussieht und wie verschlüsselt wird. Im Moment ist das noch ein großes Problem.

Verweise

[1] https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/IT-Grundschutz-Drafts/Final-Drafts/final_drafts_node.html