BACnet/SC: So wird Gebäudeautomation sicher vor Cyberangriffen.

Wieso steigt eigentlich das Risiko von Cyberangriffen in der Gebäudeautomation und wo verbergen sich die Gefahren? 

Malte Reitzer: Moderne Gebäudeautomation nutzt für den interoperablen Datenaustausch standardisierte Kommunikationsprotokolle wie das Internet Protocol (IP), um Betreibern und Nutzern neue umfangreiche und intuitive Bedienmöglichkeiten zu bieten, beispielsweise über Handy-Apps oder die Cloud. Für diese neuen Funktionalitäten reicht es aber nicht mehr, die Daten wie bisher abgeschottet auf Anlagenebene auszutauschen. Vielmehr müssen zumindest einige Daten jetzt auch ihren Weg durch die IT-Welt finden. Und genau hier verbirgt sich eine Gefahr. Denn die OT-Sicherheit, unter die zum Beispiel Anlagen fallen, hat als oberstes Ziel die Sicherstellung der Verfügbarkeit, also den zuverlässigen Betrieb der Anlagen. Bei der IT-Sicherheit hingegen geht es um den Schutz der Daten, also darum, die Vertraulichkeit, sicherzustellen. Wachsen diese Welten zusammen, man spricht auch von IT/OT-Konvergenz, steigen die Gefahren eines Angriffes deutlich, da die erforderlichen Sicherheitskonzepte der IT-Welt (Anm.: Schutz der Daten) bisher nicht in der OT-Welt (Anm.: sicherer Betrieb der Anlage) abgebildet wurden.

Die Bedrohungslage im Bereich der Gebäudeautomation ist dabei recht vielfältig. Neben den klassischen Angriffsmöglichkeiten über Schwachstellen in der Gerätefirmware, Remote-Angriffen oder DDOS-Angriffen stellt insbesondere das Gebäudeautomationsprotokoll BACnet, über die die Kommunikation von Geräten und Systemen im Gebäude läuft, im Rahmen der IT/OT-Konvergenz ein neues Sicherheitsrisiko da. Hier setzt dann auch die Erweiterung BACnet/SC an.

Es hängt also an der Durchlässigkeit moderner Gebäudeautomationssysteme in Richtung IT-Landschaft. Welche Vorteile bieten denn die damit verbundene Vernetzung und Konnektivität für Nutzer und Betreiber der Gebäude? 

Malte Reitzer: Die Vorteile der Vernetzung sind enorm: Sie ermöglichen eine höhere Energieeffizienz und mehr Komfort, die übergreifende Überwachung und optimierte Wartung sowie – nicht zu vergessen – die Einhaltung gesetzlicher Vorschriften. Aus all dem resultiert ein hoher Bedarf effizienter Steuerlogik und leistungsstarker Anlagenautomation. Dabei spielen auch intelligente Feldgeräte eine Rolle, die eine Cloud-Anbindung über Ethernet ermöglichen und eine WLAN-Schnittstelle besitzen.

Durch die Vernetzung verschiedener Gewerke lässt sich die Energieeffizienz weiter steigern. Zudem ist es Gebäudenutzern heute möglich, für sich optimale Einstellungen zu Temperatur, Luftqualität und Beleuchtung vorzunehmen und somit ein gesundes Raumklima zu schaffen – und das über einfach zu bedienende mobile Anwendungen wie Handy-Apps.

Gebäude und Liegenschaften werden heute auch nicht mehr isoliert betrachtet, es sind zunehmend Lösungen für verteilte Liegenschaften und komplexe Gebäude jeder Größe gefragt. Dafür wiederum benötigt man Lösungen, die aus der Ferne zu betreiben und zu verwalten sind. Und auch für die Realisierung der Wartung, der Steuerung und der Inbetriebnahme einzelner GA-Komponenten können Cloud-Verbindungen eine wichtige Rolle spielen. Alles in allem bringt diese Weiterentwicklung also viele Chancen für Gebäudenutzer und Betreiber mit sich.

Mit welchen Risiken müssen Nutzer, Betreiber und Eigentümer von Gebäuden zukünftig rechnen?

Malte Reitzer: Sollte es einem Hacker gelingen in das Netzwerk einer Organisation einzudringen, droht der Ausfall der Gebäudeautomation, die Nutzung des Gebäudes wird unter Umständen unmöglich. Das kann die Produktion stilllegen und einen erheblichen finanziellen Schaden hervorrufen. Ein gezielter Angriff kann aber auch zum Verlust wertvoller Daten oder dem Diebstahl geistigen Eigentums führen und so für die Organisation sogar existenzgefährdend werden.

Insbesondere mit dem Blick auf das Kommunikationsprotokoll sind hier durch Datenmanipulation verschiedenste Schadenszenarien denkbar. Mit dem Ausführen von Schaltbefehlen oder Änderungen von Werten kann es zur Störung von kritischen Betriebsabläufen kommen, man denke nur an das Ausschalten der Kühlung eines Serverraumes oder eines Kühlraumes. Aber selbst lebenskritische Situationen sind denkbar, etwa beim Ausfall der Beleuchtung in einem Operationssaal.

Das Risikopotenzial im Bereich Kommunikationsprotokoll ist daher groß. Dies gilt umso mehr, wenn man bedenkt, dass allein etwa 70 Prozent der kommerziellen Gebäudeautomation noch immer über den nicht mit allen Sicherheitsfunktionalitäten ausgestatteten BACn et-Standard kommunizieren. Dieses Protokoll wurde Ende der 80er Jahre entwickelt und hatte damals die Interoperabilität innerhalb der Geräte im Fokus. Das diese unverschlüsselte Kommunikation einmal zu einem Problem werden könnte, war damals noch nicht vorstellbar. Heute sollte jedoch vor dem Hintergrund der IT/OT-Konvergenz für den Datenaustausch innerhalb der Gebäudeautomation die gesamte Kommunikation für ausschließlich autorisierte Teilnehmer verschlüsselt stattfinden, um Datenmanipulationen ausschließen zu können.

Welche Lösung bietet die Branche nun, um sich gegen durch das Kommunikationsprotokoll auftretende Gefahren zu wappnen?

Malte Reitzer: Einfach gesagt wurden mit dem neuen BACnet Secure Connect, kurz BACnet/SC, die fehlenden Sicherheitsfunktionalitäten in BACnet nachgerüstet, ohne BACnet als Anwendung selbst zu verändern. Es müssen also keine Anlagengrafiken oder ganze Programme neu geschrieben werden. Es wurde eine neue, sichere Art der Datenverbindung zum BACnet Standard hinzugefügt. Es ist wichtig zu wissen, dass BACnet/SC damit das klassische BACnet/IP nicht direkt ersetzt, sondern beide auch parallel in einem System existieren können und dies in der Regel auch übergangsweise tun werden. Das ist vergleichbar mit dem Word Wide Web, wo auch http und HTTPS parallel bestehen, ohne dass der Anwender dies direkt wahrnehmen würde.

Bei der Implementierung von BACnet/SC wurde neben den reinen Sicherheitsfunktionen auch darauf geachtet, dass sich die Methoden gut in die IT-Sicherheitskonzepte integrieren lassen. Konkret wird der gesamte Datenverkehr mit BACnet/SC verschlüsselt und nicht-autorisierte Teilnehmer mit Hilfe von zeitlich befristen Zertifikaten von der Kommunikation ausgeschlossen. Da BACnet/SC nur ein Addendum zum gültigen Standard ist, ist BACnet/SC komplett abwärtskompatibel. Es kann also unabhängig von der BACnet Revision implementiert werden.
 

Gehen wir mal näher auf die Details ein. Worauf basiert die Sicherheitsarchitektur von BACnet/SC und wieso ist das eine gute Lösung?

Malte Reitzer: Damit sich die Kommunikation in die etablierten IT-Sicherheitskonzepte integrieren lässt, wurde bei BACnet/SC die Art der Kommunikation gegenüber BACnet/IP grundlegend verändert. Zur einfachen Einrichtung der Firewall wird die gesamte Kommunikation dahingehend angepasst, dass sich einzelne Clients (Anm.: Knoten) zu einem Server (Anm.: Hub) verbinden.

Als Voraussetzung, dass Teilnehmer miteinander kommunizieren können, benötigen diese jeweils zwei X.509 Zertifikate. Das eine Zertifikat, das Root-Zertifikat, ist bei jedem Teilnehmer im System gleich und berechtigt die Kommunikation des Teilnehmers innerhalb des Systems. Das zweite Zertifikat ist ein individuelles Zertifikat, das unter anderem zum Entschlüsseln der jeweiligen Nachrichten erforderlich ist. Beide Zertifikate sind zeitlich befristet und müssen bei Bedarf mit Hilfe einer Zertifizierungsstelle erneuert werden. Um vor der Manipulation von Daten zu schützen, wird der gesamte Datenverkehr über TLS1.2 bzw. TLS1.3 verschlüsselt.

Besonders erfreulich ist für Verantwortliche aus der IT-Welt auch die Umstellung von dem verbindungslosen UDP-Protokoll zu dem verbindungsorientierten TCP Protokoll, was den unbeliebten Massenbroadcasts von BACnet entgegen wirkt.

Unabhängig davon, ist BACnet/SC technologisch eine deutliche Weiterentwicklung zu BACnet/IP, da es die Sicherheitsstandards für das Kommunikationsprotokoll und damit in der OT-Welt deutlich erhöht und somit zum Werterhalt der Gebäude beiträgt.
 

Was müssen Betreiber, Nutzer und Eigentümer bei der Integration dieser neuen Lösung beachten?

Malte Reitzer: Damit die Sicherheit ganzheitlich erhöht werden kann, muss die OT-Welt (Anm.: Anlagenebene) in die IT-Sicherheitskonzepte der Unternehmen integriert werden. Hierzu sollte der Eigentümer mit den zuständigen IT-Verantwortlichen als eine wichtige Maßnahme frühzeitig eine Sicherheits-Gap-Analyse durchführen lassen, um Schwachstellen und Risiken in den Sicherheitsmaßnahmen zu erkennen.

Ein gemischtes System in Neu- und Erweiterungsprojekten sollte vermieden werden, da dies nicht zu einem sicheren Gesamtsystem führt. Ziel muss stets sein, einzelne Bereiche komplett BACnet/SC-fähig zu machen. Insbesondere im Neu- und Erweiterungsprojekt sind neue Gebäudeautomations-Komponenten zu wählen, die über BACnet/SC kommunizieren können.

Beim Einsatz neuer Komponenten muss darauf geachtet werden, dass diese neben BACnet/SC auch die neusten technischen Sicherheitsfunktionen und Methodiken unterstützen und entsprechend zertifiziert sind. Eine Zertifizierung ist oft auch als Nachweis von Richtlinien notwendig. Eine Zertifizierung nach dem Standard IEC62443-4-x bescheinigt beispielsweise, dass bei der Entwicklung der Komponenten berücksichtigt wurde, dass sie angemessene Sicherheitsfunktionen enthalten und sicher in industriellen Umgebungen eingesetzt werden können.

Auch bei reinen BACnet/SC-Projekten ist jedoch eine frühzeitige Koordination zwischen Systemintegratoren, IT-Experten, Planern und ausführenden Firmen erforderlich, da zum Beispiel sich Anforderungen an Topologien, dem Zertifikatmanagement und Systemlimits von klassischen Projekten unterscheiden. Speziell bei größeren Projekten steigt die Komplexität schnell an.

Für die Betreiber ist vor allem der Umgang mit Zertifikaten zur Sicherstellung einer sicheren Kommunikation zu Geräten ein wesentlicher Faktor. Es handelt sich dabei die X.509-Zertifikate, die im Prinzip IT-Standard sind. Alle Zertifikate sind befristet und müssen vor dem Ablauf rechtzeitig und regelmäßig erneuert werden, zudem müssen sie von der Zertifizierungsstelle korrekt akzeptiert werden.
 

Wie sieht es mit Bestandsbauten und den darin bereits installierten Systemen aus

Malte Reitzer: Der Umstieg von BACnet/IP auf BACnet/SC kann auf Grund der riesigen installierten Basis in der Praxis nur schrittweise erfolgen. Glücklicherweise wird dies mit BACnet auf zwei verschiedene Wege effizient ermöglicht.

Der erste Weg ist die Nachrüstung von BACnet/SC über ein FW-Update. Da es sich bei BACnet/SC nur um eine Erweiterung zum BACnet Standard, ist dies für viele Geräte möglich. Diese sind dann sozusagen BACnet/SC-ready. Es ist jedoch zu beachten, dass neueste Komponenten der Gebäudeautomation eine Vielzahl von zusätzlichen Sicherheitsfunktionen beinhalten, die sich zum Beispiel auch aus Performance-Gründen nicht flächendeckend auf Bestandsgeräte übertragen lassen. Eine Erweiterung der BACnet/SC-Funktionalität auf Geräte mit fehlenden Sicherheitsfunktionen ist in der Regel nicht zweckmäßig und wird entsprechend von den Herstellern auch nicht implementiert werden. Deswegen sollten neue Geräte auf jeden Fall neben BACnet/IP auch BACnet/SC unterstützen und entsprechend zertifiziert sein.

Der zweite Weg basiert darauf, dass BACnet/SC zu BACnet/IP kompatibel ist. Dies wird mit einer im Standard definierten Routing-Funktion ermöglicht. Diese Kompatibilität zu BACnet/IP sollte jedoch als Übergangstechnologie betrachtet werden, die einen schrittweisen Umstieg zwar effizient ermöglicht, aber Sicherheitseinschränkungen mit sich bringt. Grundsätzlich sollte das langfristige Ziel daher der ganzheitliche Umstieg auf BACnet/SC sein. Nur damit wird die Sicherheit im Gesamtsystem erhöht.

Bei der Modernisierung zu BACnet/SC muss deswegen versucht werden, einzelne abgeschlossene Abschnitte zu identifizieren, um diese dann ganzheitlich auf BACnet/SC zu modernisieren und auf BACnet/SC-Routing zu verzichten.
 

Soweit zur aktuellen Situation. Blicken wir mal voraus: Was erwartet die Branche in Sachen Cybersicherheit in Zukunft?

Malte Reitzer: Neben den Themen Nachhaltigkeit und Energieeffizienz wird Cybersicherheit das zweite wichtige Thema werden. Gebäudeautomation steuert kritische Versorgungsprozesse in kritischen Infrastrukturen und ist damit ein potentielles Angriffsziel. In Zukunft werden die beiden Welten IT und OT sogar noch weiter zusammenwachsen. Gesamtheitliche Lösungen mit Cloud-Verbindungen werden weiter zunehmen. Damit steigt natürlich auch der Bedarf an Cybersicherheit immer weiter an. Dies spiegelt sich auch immer mehr in verbindlichen Richtlinien wider. Die NIS2-Direktive zum Beispiel, die auf die Stärkung der Cybersicherheit und Erhöhung der Widerstandsfähigkeit der EU gegenüber Cyberbedrohungen abzielt, wird bis zum Oktober 2024 in nationales Recht überführt. Das betrifft dann erstmals auch kleine und mittlere Unternehmen. Wir spüren deswegen schon jetzt eine erhöhte Nachfrage der Kunden zum Thema Cybersicherheit.
 

Als Fazit lässt sich festhalten: Es passiert viel, und die Branche der Gebäudeautomation ist darauf gut vorbereitet?

Malte Reitzer: Genau. Die Vernetzung und die damit verbundene IT/OT-Konvergenz bringt für die Cybersicherheit in Gebäuden neue Herausforderungen mit sich. Außerdem zwingen die aktuellen branchenspezifischen Sicherheitsstandards B3S, zukünftige EU-Richtlinien wie der Cyber Resilience Act oder die bereits erwähnte NIS2-Direktive alle Akteure zusätzlich zum Handeln.

Mit dem Kommunikationsprotokoll BACnet/SC steht den Anbietern von Gebäudeautomations-Systemen ein ganz wichtiger Baustein zur Verfügung, um heutige und zukünftige Sicherheitsanforderungen an die Cybersicherheit in Gebäuden zu erfüllen. Dazu müssen die entsprechenden Komponenten und Systeme aber in eine ganzheitliche Strategie zur Cybersicherheit eingebunden werden. Eine spannende Aufgabe, bei der wir die Eigentümer, Betreiber und Nutzer von Gebäuden natürlich umfassend unterstützen und beraten.

Vielen Dank für das Gespräch.