Smart Buildings verdienen smarte Sicherheit

Zum ersten Mal bewarben Architekten und Städteplaner das Konzept der Smart Buildings (intelligente Gebäude) bzw. Building Automation Systems (BAS, Gebäudeautomationssysteme) vor rund zehn Jahren. Smart Buildings sollten unsägliche Vorteile liefern: von Energieeffizienz und einem umweltverträglicheren Lebensstil bis hin zu Kosteneinsparungen und einem verbesserten Lebensstandard für alle. Die ersten IP-vernetzten Geräte waren jedoch nicht dafür konzipiert, den Anforderungen einer sich kontinuierlich entwickelnden Bedrohungslandschaft gerecht zu werden. Mit dem Eintritt in die Ära des Internets der Dinge (IoT) will man verständlicherweise mehr und mehr Geräte miteinander verbinden – trotz mangelnder integrierter Sicherheit. Zur Abwendung der Gefahren können Immobiliengesellschaften eine Reihe von Sicherheitsmaßnahmen ergreifen. Dazu gehört unter anderem eine vermehrte Nutzung von Virtual Private Networks (VPNs).

Technisch ist der Bau von Smart Buildings bereits seit geraumer Zeit möglich. Trotzdem wurden Bauträger bei Gebäudesanierungen oder neuen Bauprojekten häufig durch die relativ hohen Kosten von der Installation einer High-Speed-Datenverkabelung abgehalten. Die zusätzlichen Ausgaben schienen wenig sinnvoll, insbesondere in Anbetracht der erheblich begrenzten Auswahl an verfügbaren IP-fähigen Geräten. Stattdessen erfolgte der Betrieb von Beleuchtungs-, Heiz-, Kühl- und Sicherheitssystemen bei der überwiegenden Mehrheit von Gebäuden weiterhin über herkömmliche Leitungen. Die Einführung der Ethernetfähigkeit mittels Erweiterung der traditionellen zweiadrigen Kupferkabelnetze sollte zu Einsparungen führen.

Die smarten Geräte der ersten Generation, wie beispielsweise Thermostate oder Automaten, verfügten zwar vielleicht über eine eingebettete intelligente Komponente, waren aber nicht wirklich so smart. Beispielsweise waren sie nicht so konzipiert, dass sie, waren sie erst einmal installiert, einfach aktualisiert werden konnten. Wurde ein Sicherheitsproblem entdeckt, wurde standardmäßig die gesamte Einheit ersetzt. Die Kosten waren so hoch, dass in den meisten Fällen der Leitsatz galt: „Man soll nicht reparieren, was nicht kaputt ist.“

Aus diesem Grund sind viele der ersten Geräte immer noch im Einsatz. Konzipiert für vollkommen eigenständige Netzwerke, besitzen sie eine sehr einfache Managementoberfläche mit geringer Sicherheit. Zweifellos sind sie nicht dafür geschaffen, den Arten von Angriffen standzuhalten, denen die meisten Websites täglich ausgesetzt sind.

Da die Hersteller mit dem Einbau neuer, erschwinglicherer mit dem Internet verbundener Geräte in Gebäude beginnen, gibt es erneut Optimismus hinsichtlich der Zukunft von Smart Buildings. Angesichts der Vielzahl an Gebäuden, in denen eine Vernetzung von alten und neuen intelligenten Geräten erfolgt, werden Hacker vielleicht zwangsläufig aus sämtlichen auffindbaren Schwachstellen ihren Profit ziehen wollen. Glücklicherweise sind die Angriffe bisher selten: Der letzte (bekannte) hochkarätige Angriff dieser Art erfolgte Ende des Jahres 2013 beim Einzelhandelsunternehmen Target. Damals brachen Hacker über einen Lieferanten von HLK-Systemen in das System des Unternehmens ein. Mit der Wertsteigerung der in Smart Buildings vorhandenen Daten werden die Risiken jedoch konkreter.

Einige Gerätehersteller scheinen die Art und Weise der Vernetzung in vielen Gebäuden nicht wohlüberlegt zu haben. Ohne geeignete Verschlüsselung am Access-Point können Hacker noch immer relativ leicht einbrechen und persönliche Daten stehlen. Das Stopfen von Löchern durch den vernünftigen Einsatz von VPNs in Datenübertragungsnetzen, bei der Datenverarbeitung und bei Verbindungen im Zusammenhang mit der Datenaggregation war für die Designer von Smart Buildings bisher nie vordringlich.

So kann beispielsweise mit einem VPN ein Gebäudeautomationssystem mit vielen verschiedenen Stationen eingerichtet werden, die sich mit einem zentralen Control-Server verbinden. Administratoren können sich am zentralen Server anmelden, um Echtzeitzugriff auf Sensordaten zu erhalten und verschiedene Geräte sicher aus der Ferne zu steuern.

In vielen Fällen lassen sich die Schwachstellen, die für den Zugriff auf Smart Buildings ausgenutzt werden, leicht verhindern. Möglich wird dies, indem Gerätehersteller verstärkt auf sichere Verfahren bei Technik und Software-Codierung achten. Die Implementierung besserer Kontrollen für diejenigen, die in der Entwurfsphase der IoT-Geräte Zugriff zur Software benötigen, trägt ebenfalls zur Vermeidung von Informationslecks und zur verbesserten Passwortverschlüsselung bei.

VPNs ermöglichen die sichere Erweiterung des privaten Netzwerks eines Gebäudes über das öffentliche Internet. Ein VPN ermöglicht einem Smart-Building-Gerät den sicheren Datenaustausch mit beliebigen Geräten des Internets. VPNs sind zudem flexibel und können ohne weiteres zum Schutz spezifischer Anforderungen an den Datenaustausch angepasst werden.

Zur besseren Absicherung können Verwaltungsgesellschaften und Hersteller im Bereich Gebäudeautomation eine Reihe weiterer elementarer Maßnahmen ergreifen:

• Vor Inbetriebnahme können Tools für einen Sicherheits-Scan der Anwendungen zum Auffinden von Software-Schwachstellen verwendet werden
• Einschränkungen bei IP-Adressen bei Verbindungen über das Internet zu Geräten des Gebäudeautomationssystems
• Zusätzliche Kontrollen wie Zwei-Faktor-Authentisierung und Login-Anomalieerkennung bei WLAN-Access-Points und, wo keine Kontrollen erforderlich sind, Deaktivierung sämtlicher Funktionen für die Fernadministration
• Scan der Netzwerkaktivitäten mit einem SIEM-System (Security Information and Event Management) zur Identifikation verdächtiger Aktivitäten im Netzwerk
• Einführung von Regeln für eine hohe Netzwerksicherheit auf sämtlichen Geräten — insbesondere sicherere Passwortpraktiken, wie beispielsweise keine Wiederverwendung und keine gemeinsame Nutzung von Passwörtern zwischen Geräten
• Geräte-Software auf dem neuesten Stand halten

Die Veränderung von Denkweisen, Richtlinien und Technologien zur Sicherung vernetzter Gebäude ist aufwendig, d. h. zeit-, kapital- und arbeitsintensiv. Unterdessen müssen Unternehmen endlich mehr auf potentielle Cybersecurity-Risiken innerhalb ihrer physischen Räume achten – zum Schutz ihrer Gebäude, Mitarbeiter und Daten. Die Verwendung von VPNs stellt einen wichtigen ersten Schritt zu einer erheblichen Verbesserung der Sicherheit von Smart Buildings zum Wohle aller dar.