Stellen Sie sich vor, Sie sitzen in einem Labor an einer wichtigen Forschungsarbeit. Es ist noch früh am Abend. Plötzlich spielt die Lüftungsanlage verrückt. Mal geht sie aus, dann wieder an. Auf einmal fällt dann noch der Strom aus. Die Ersatzstromversorgungsanlage springt nach kurzer Zeit an, die Notbeleuchtung gibt wieder Licht und wenigstens die Tiefkühlschränke mit den wertvollen Proben laufen weiter. Der Versuch für Ihre Arbeit heute ist leider hin. Ein Neuaufbau ist nicht ganz so aufwändig, sonst hätten Sie das Ganze natürlich schon besser gesichert. Ärgerlich ist es trotzdem. Die Arbeit eines Tages ist verloren. Nach einer Viertelstunde ist der Strom wieder da. Eine Stunde später wiederholt sich das Geschehen. Die Lüftung fängt an hoch- und wieder runterzufahren, der Strom ist weg. Und dann schafft es die Ersatzstromanlage auf einmal nicht mehr. Das für die Technik zuständige Personal ist bereits zuhause. Ihnen wird langsam mulmig, wenn Sie an die Tiefkühlschränke und die Proben denken. Vielleicht ist am nächsten Tag ja alles wieder in Ordnung, vielleicht aber auch nicht.
Das gerade beschriebene Ereignis ist nur eine Fiktion. Die Ursache „ein Hacker-Angriff von außen“ ausgedacht. Und im Beispiel geht es gar nicht einmal um erpresserische Tätigkeiten mit Hilfe von Schadsoftware (Ransomware), wie sie in letzter Zeit häufiger in der Presse zu verfolgen sind – dabei waren auch Hochschulen und Kliniken betroffen. Die beschriebene Aktion war vielleicht nur so zum Spaß angelegt. Irgendjemand ist in die Steuerung der Anlage eingedrungen und hat einfach ausprobiert, was so geht: Die Anlagen einfach mal hoch und runterfahren. Ein wenig hin- und herschalten. Das Szenario ist wie gesagt ausgedacht, aber es ist gar nicht so unwahrscheinlich. Immer wieder gibt es Informationen zu Hackerangriffen. Meistens geht es dabei tatsächlich um die Verschlüsselung von Daten und daraufhin durchgeführte Erpressungen. Datenentschlüsselung gegen Bitcoins. Seltener steht dagegen die Gebäudetechnik im Fokus. Das hat vielleicht auch den Grund, dass die Gebäudeautomation bisher weitgehend getrennt von allen anderen Datennetzen betrieben wurde. Sogar eigene Datenkabel hat man dafür extra verlegt, auch wenn es technisch gar nicht erforderlich war. Nur kein Risiko eingehen war die Devise.
Die Zeiten haben sich geändert und die Entwicklung geht weiter. Natürlich gilt das Ziel, Risiken zu minimieren, nach wir vor. Automation findet aber nicht mehr nur im „stillen Kämmerlein“ der eigenen Liegenschaften statt, sondern ist wie viele andere Bereiche mittlerweile auch drahtlos vernetzt und Teil der digitalen „Außenwelt“. Auch Cloud-basierte Systeme sind bereits im Einsatz. Die Gebäudeautomation folgt in dieser Beziehung mit etwas Verzögerung der Industrieautomation. Das ist auch nicht per se unsicherer. Nur die Gefahr, dass etwas passiert, wenn eine Lücke übersehen, oder ein sicherheitsrelevantes Update verpasst wurde, wird größer. Und hier ist ein Umdenken erforderlich. Viele ältere Systeme beherrschen zwar die Zugangstechniken zum Internet, aber nicht mehr die erforderlichen aktuellen Sicherheitsmechanismen. Und dann kann es gefährlich werden. In einem Klinikum beispielsweise sogar sehr gefährlich.
Was ist zu tun? Die Sensibilität für Sicherheitsprobleme muss noch größer werden. Nicht mehr nur der Umgang mit der Anlagen- und Regelungstechnik und den Anwendungsprogrammen, sondern auch IT-Kenntnisse insbesondere zur Sicherheit, sind hier nicht nur im Bereich der Gebäudeautomation gefragt [1], [2]. Wer diese Kompetenzen nicht hat, muss nicht verzweifeln. Es gibt auch Dienstleister. Sparen kann hier sehr teuer werden. Teilen Sie uns gern Ihre Erfahrungen mit.
[1] VDMA IT-Sicherheit in der Gebäudeautomation http://industrie40.vdma.org/viewer/-/v2article/render/48915461 (Infos-Seite)
[2] Bundesamt für Sicherheit in der Informationstechnik (BSI) https://www.bsi.bund.de/DE/Home/home_node.html (u. a. IT-Grundschutz, Industrielle Steuerungs- und Automatisierungssysteme (ICS), Kritische Infrastrukturen)
Bildquelle: Pixabay/ChristophMeinersmann
