Das Internet of Things (IoT) wird seit Jahren diskutiert, mit all seinen Vor- und Nachteilen. Die Diskussionen fokussieren sich auf einzelne Geräte und Gerätetypen. Dabei wird gerne ausser Acht gelassen, dass wir schon längst bei den Smart Buildings und Smart Homes angekommen sind: Elektronisch gesteuerte und vernetzte Gebäude. Dieser Artikel bespricht, welchen Einfluss zukünftige Entwicklungen auf unser Wohnen und in diesem Zusammenhang die digitale Sicherheit haben wird.

Was sind Smart Buildings?

Bei Smart Buildings oder Smart Homes handelt es sich um ein Gebäude, das elektronische Sensoren und Vernetzung nutzt, um maximalen Komfort und Effizienz gewährleisten zu können. Die durch die Sensoren anfallenden Daten sollen herangezogen werden, um auf dynamische Gegebenheiten reagieren zu können. Bei einem Wetterwechsel lässt sich die Heizung (Heizkurve) anpassen, beim Betreten eines Raums das Licht einschalten und die Lüftung aktivieren.

Damit diese Dynamik gewährleistet werden kann, müssen die Sensoren korrekte Daten liefern, diese ungehindert weitergereicht und verarbeitet werden, damit schlussendlich die richtige Aktion ausgelöst werden kann.

Ein Angreifer kann diese Dynamik zu seinem Vorteil nutzen, indem er zum Beispiel ein Profil der Bewohner und deren Gewohnheiten anlegt. Dadurch könnten Einbrüche vorbereitet werden. Das Kompromittieren von Geräten kann diese Überwachung vorantreiben. Oder es werden Manipulationen vorgenommen, um im Rahmen einer Erpressung Schaden anzudrohen und diesen schlussendlich auch durchzusetzen.

Bauen mit Fokus Cybersecurity

Aufgrund der zunehmenden Vernetzung der Smart Buildings ist es bei Planung, Bau und Bewirtschaftung zunehmend wichtig, die Aspekte der Cybersicherheit zu berücksichtigen. Dies wird zukünftig ein zentraler Aspekt der noch relativ jungen Berufsgattung Gebäudeinformatik (GIN) sein.

Durch die Vereinigung Bauen digital Schweiz wurde eine Interessensgruppe gebildet, die sich genau mit diesem Thema auseinandersetzt. Durch das sogenannte Netzwerk Digital werden in regelmässigen Sitzungen die Projekte der verschiedenen Mitglieder aufeinander abgestimmt. Daran nehmen unter anderem SIA (Regulierung), CRB (Standardisierung) und KBOB/IPB (öffentliche und private professionelle Bauherren) teil.

Bauen digital Schweiz ist ebenso Mitglied bei buildingSMART International, einer weltweiten Organisation, die sich mit der Entwicklung und Weiterentwicklung von Standards im Bereich des digitalen Bauens auseinandersetzt.

Cybersecurity für Gebäudeinformatiker

Der Beruf des Gebäudeinformatiker ist sehr facettenreich. Einerseits gehören dazu klassische Aspekte wie die Energieversorgung. Darunter finden sich moderne Mechanismen wie Solar-Energie, Smartmeter und Heizung, Lüftungssysteme, Klimaanlagen und Beschattung. Sicherheit ist hierbei kein Fremdwort, denn genauso wichtig sind zum Beispiel Zutrittskontrolle, Torsteuerung, Alarmanlagen und Videoüberwachung.

Dass ein Angreifer grosse Vorteile durch die Manipulation dieser Elemente erlangen kann, ist klar. Aus diesem Grund ist es wichtig, dass die einzelnen Komponenten und ihre Vernetzung geschützt werden muss:

• Endgeräte: Die Endgeräte müssen sicher konfiguriert und gehärtet werden. Ebenso gilt es diese mit aktuellen Updates und Patches auf dem neuesten Stand zu halten. Überall dort, wo es keine offiziellen Massnahmen gibt, müssen komplementäre Möglichkeiten herangezogen werden. Das Sichern eines Geräts über einen längeren Zeitraum hinweg, also auch ausserhalb der durch den Hersteller gewährten Garantie, kann sehr aufwendig sein.
• Kommunikation: Die Kommunikation der Geräte muss geschützt werden. Dies beginnt bei einer sicheren Verkabelung oder der Etablierung einer gesicherten Funkverbindung (Abschirmung). Zusätzlich müssen klassische Netzwerkkonzepte, wie Segmentierung und Firewalling berücksichtigt werden, um das interne Netzwerk des Gebäudes zu sichern. Hier kann man glücklicherweise auf Jahrzehnte an Erfahrung im Netzwerkbereich zurückgreifen. Von dieser kann aber nur profitiert werden, wenn diese von Beginn weg und konsequent verfolgt wird.

Es ist wichtig, dass Cybersecurity schon bei der Planung eines Gebäudes berücksichtigt wird. Wie auch bei klassischer Computer- und Netzwerksicherheit ist es bedeutend schwieriger, Sicherheit nachzurüsten, weder wenn diese von vornherein eingebracht worden wäre. Ein nachträgliches Aufrüsten ist immer mit zusätzlichen bautechnischen und finanziellen Aufwänden verbunden.

Geräte und ihre Risiken

In Smart Buildings gibt es eine Vielzahl verschiedener Geräteklassen, die mit ihren eigenen Risiken daherkommen. Dazu gehören:

• Zutritt: Moderne Zutrittssysteme lassen sich zentral programmieren. Hierfür muss ein durchdachtes Berechtigungskonzept ausgearbeitet werden, welches definiert, wer in welche Bereiche Zutritt hat. Ein fehlerhaftes Berechtigungskonzept kann dazu führen, dass ein Benutzer mehr Zugriff gewährt wird, als nötig ist.
• Alarm: Alarmierungssysteme müssen auf Daten von Sensoren zurückgreifen können, um verdächtige Aktivitäten feststellen zu können (z.B. Türöffnung, Glasbrucherkennung, Bewegungsmelder). Die Kommunikation zwischen Sensoren und Basisstation muss gesichert werden, um Manipulationen verhindern zu können.
• Heizung, Lüftung, Klima: Vernetzte Heizungs-, Lüftungs- und Klimasysteme greifen ebenso auf Sensoren zurück, um auf die dynamischen Gegebenheiten reagieren zu können. Ein Fehler bei der Datensammlung und -übermittlung kann zu unangenehmen oder gar schädlichen Reaktionen führen. Zeigt ein Aussensensor (Thermostat) eine extrem tiefe Temperatur an, kann eine steil eingestellte Heizkurve zu einer hohen Auslastung, Überbelastung (z.B. des Verdichters) und damit zu übermässigen Temperaturen führen. Letztgenannte können zu Schäden, zum Beispiel an Parkettböden, führen. Im Schlimmsten Fall liesse sich damit ein Brand auslösen.
• Strom: Durch die dynamische Auswertung des Stromverbrauchs durch Smart Meter kann die Bereitstellung durch den Stromversorger angepasst werden. Dadurch lassen sich flexible Preismodelle anbieten. Angreifer können die statistischen Daten nutzen, um Aktivitäten im Gebäude zu erkennen und auf diese zu reagieren (z.B. Einbruch bei Ferienabwesenheit). Andererseits kann die Elektronik manipuliert werden, das zu Stromausfällen und Betriebsunterbrüchen führen kann.
• IoT-Geräte: Verschiedene Anbieter haben begonnen ihre Geräte (z.B. Kühlschrank, Backofen, Kaffeemaschine) zu vernetzen. Dadurch können diese über das Netzwerk kontrolliert und gesteuert werden.
• Smart Home Gateways und Server: Überall dort, wo noch immer alte Geräte eingesetzt werden, die nicht vernetzt werden können, lassen sich diese mit Smart Home Gateways teilweise nachrüsten. So können auch klassische Lampen über das Netzwerk gesteuert oder beim Öffnen des Fensters temporär die Heizlast reduziert werden.

Viele Anbieter entsprechender Lösungen setzen auf Cloud-Mechanismen, um eine komfortable und übersichtliche Steuerung gewährleisten zu können. Diese Cloud-Anbindung ist wichtiger Bestandteil der Lösung und eine Absicherung (oder mindestens Risikobeurteilung) ist essentiell.

Fazit

Das Thema IoT ist nicht neu. Aber es wird in unterschiedlichen Bereichen als neu wahrgenommen. In der Medizinaltechnik ist man sich mittlerweile bewusst, dass Cybersecurity ein zentrales Thema geworden ist. Bei Smart Buildings muss man sich dessen ebenfalls bewusst werden. Vernetzte Gebäude und Geräte können missbraucht und im schlimmsten Fall konkrete Schäden verursacht werden.

Bei all den modernen Möglichkeiten sollte man sich dennoch immer wieder fragen:

Braucht es diese Funktionalität wirklich?

Das Risiko der Manipulation der Heizungsanlage ist unter Umständen im Verhältnis zum Nutzen eines Zugriffs über das Internet zu hoch, so dass doch eventuell besser von einer Anbindung abgesehen wird.

Über den Autor

Marc Ruef ist seit Ende der 1990er Jahre im Cybersecurity-Bereich aktiv. Er hat vor allem im deutschsprachigen Raum aufgrund der Vielzahl durch ihn veröffentlichten Fachpublikationen und Bücher – dazu gehört besonders Die Kunst des Penetration Testing – Bekanntheit erlangt. Er ist Dozent an verschiedenen Fakultäten, darunter ETH, HWZ, HSLU und IKF. (ORCID 0000-0002-1328-6357)

Links

• http://www.buildingsmart.org
• http://www.netzwerk-digital.ch
• https://bauen-digital.ch
• https://www.swiss-gin.ch
• https://www.theguardian.com/technology/2016/dec/29/smart-electricity-meters-dangerously-insecure-hackers