Systeme der Gebäudeautomation sind heute Teil einer hochvernetzten technischen Infrastruktur. HLK, Energiemanagement, Gebäudeleittechnik oder Zutrittskontrollsysteme kommunizieren mit IT-Netzwerken, Leitebenen, Cloud-Diensten und externen Servicepartnern. Mit dieser Vernetzung steigt auch die Verantwortung für einen sicheren und resilienten Betrieb. Mit dem Cyber Resilience Act (CRA) und der NIS2-Richtlinie schafft die Europäische Union einen neuen Ordnungsrahmen für Cybersicherheit. Beide Regelwerke adressieren unterschiedliche Akteure, verfolgen jedoch dasselbe Ziel: Sicherheitsrisiken über den gesamten Lebenszyklus digitaler Systeme hinweg zu reduzieren.
Neue regulatorische Anforderungen verändern die Verantwortung
Für Hersteller von Produkten mit digitalen Elementen – darunter zahlreiche Automatisierungs- und Gebäudeautomationskomponenten – bedeutet der CRA, dass Cybersicherheit bereits bei Entwicklung und Konstruktion berücksichtigt werden muss. Das Prinzip ‚Security by Design‘ wird zur verbindlichen Anforderung. Hersteller müssen Sicherheitsrisiken systematisch bewerten, Schwachstellen managen, Sicherheitsanforderungen über den gesamten Produktlebenszyklus berücksichtigen und Sicherheitsupdates über einen definierten Zeitraum bereitstellen.
Für Betreiber sogenannter wesentlicher und wichtiger Einrichtungen ergeben sich aus NIS2 konkrete Pflichten. Dazu gehören regelmäßige Risikoanalysen, die Umsetzung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen sowie die Fähigkeit, Sicherheitsvorfälle strukturiert zu erkennen, zu bewerten und zu melden. Darüber hinaus rücken die Cybersicherheit von Lieferanten und die Sicherheit eingesetzter Komponenten stärker in den Fokus. Unternehmen müssen nachweisen können, dass ihre Systeme angemessene Sicherheitsstandards erfüllen. Integratoren und Dienstleister sind zwar nicht unmittelbar Adressaten der NIS2-Richtlinie, werden jedoch zunehmend in Sicherheitsanforderungen, Nachweispflichten und Bewertungen von Lieferketten einbezogen. Hinzu kommt eine deutlich stärkere Management-Verantwortung. Die Umsetzung von Sicherheitsmaßnahmen muss dokumentiert und gegenüber Behörden nachweisbar sein. Verstöße können erhebliche finanzielle und organisatorische Konsequenzen nach sich ziehen. Ob Altbau oder Mietwohnung: Smart Home muss nicht kompliziert sein. Mit dem MDT homeXpert® Server lassen sich Jalousien kabellos automatisieren und weitere Funktionen Schritt für Schritt ergänzen – für mehr Komfort und Energieeffizienz. ‣ weiterlesen
Mehr Komfort. Einfach smart.
Vernetzte Gebäude schaffen neue Angriffsflächen
Die fortschreitende Digitalisierung eröffnet neue Möglichkeiten für den Betrieb intelligenter Gebäude – schafft jedoch gleichzeitig zusätzliche Angriffsvektoren. Jede Schnittstelle, über die Daten ausgetauscht werden, kann potenziell zum Einfallstor für Angreifer werden. Zu den häufigsten Schwachstellen zählen unzureichend abgesicherte Fernwartungszugänge, ein fehlende Netzwerksegmentierung, veraltete Softwarestände sowie unverschlüsselte Kommunikationswege. Besonders kritisch sind Systeme, die keine ausreichenden Mechanismen zur Authentifizierung und Autorisierung bereitstellen. Gelingt Angreifern der Zugriff auf solche Komponenten, können sie sich häufig innerhalb der gesamten Infrastruktur ausbreiten. Die Folgen beschränken sich längst nicht mehr auf die digitale Ebene. Cyberangriffe auf Gebäudeautomationssysteme können unmittelbare physische Auswirkungen haben. Heizungs-, Kühl- oder Lüftungssysteme lassen sich manipulieren, Zutrittskontrollen außer Kraft setzen oder sicherheitsrelevante Funktionen beeinträchtigen. In sensiblen Umgebungen wie Krankenhäusern, Rechenzentren oder Industrieanlagen können daraus erhebliche Betriebsunterbrechungen oder sogar Gefährdungen für Menschen entstehen. Die Trennung zwischen digitaler und physischer Sicherheit wird damit zunehmend aufgehoben. Moderne Sicherheitskonzepte müssen beide Bereiche gemeinsam betrachten.
Transparenz als Grundlage jeder Sicherheitsstrategie
Eine wirksame Cybersecurity-Strategie beginnt mit der Transparenz über die vorhandenen Systeme. Betreiber müssen wissen, welche Automatisierungskomponenten, Kommunikationsschnittstellen, Softwarestände und externen Verbindungen in ihren Gebäuden vorhanden sind. Erst auf dieser Grundlage lassen sich Risiken bewerten, Schwachstellen identifizieren und geeignete Schutzmaßnahmen umsetzen. Die vollständige Inventarisierung von Geräten und Software gewinnt daher zunehmend an Bedeutung. Sie bildet die Basis für ein wirksames Schwachstellen-, Patch- und Risikomanagement und unterstützt zugleich die Erfüllung regulatorischer Anforderungen.
Physische Sicherheit wird Teil der Cybersecurity-Strategie
Ein häufiges Missverständnis besteht darin, Cybersicherheit ausschließlich als IT-Aufgabe zu betrachten. Die Anforderungen moderner Sicherheitsstandards gehen jedoch deutlich weiter und verlangen einen ganzheitlichen Schutzansatz. Wer physischen Zugriff auf Steuerungen, Server oder Netzwerkkomponenten erhält, kann digitale Schutzmechanismen häufig umgehen. Deshalb gehören auch bauliche und organisatorische Maßnahmen zu einer wirksamen Sicherheitsstrategie. In der Praxis bedeutet dies u.a., dass sicherheitskritische Automatisierungskomponenten in geschützten Technikräumen oder abschließbaren Schaltschränken installiert werden. Elektronische Zutrittskontrollsysteme helfen dabei, Zugriffe nachvollziehbar zu dokumentieren und unbefugte Zutrittsversuche frühzeitig zu erkennen. Ergänzend unterstützen Videoüberwachungslösungen die Aufklärung sicherheitsrelevanter Ereignisse. Ebenso wichtig sind organisatorische Regelungen. Klare Prozesse für die Vergabe von Zugangsberechtigungen, die Verwaltung von Schlüsseln sowie die Steuerung und Begleitung externer Dienstleister tragen wesentlich dazu bei, Risiken nachhaltig zu reduzieren. Ein wirksames Sicherheitskonzept verbindet daher IT-Sicherheit, Operational Technology (OT) und physischen Schutz zu einem integrierten Gesamtsystem.
Security by Design als Grundlage moderner Gebäudeautomation
Die Umsetzung regulatorischer Anforderungen beginnt bereits auf Ebene der eingesetzten Automatisierungsplattformen. Bosch Rexroth verfolgt deshalb bei seinem Automatisierungsbaukasten ctrlX Automation den Ansatz ‚Security by Design‘. Kern der Lösung ist das Betriebssystem CtrlX OS, das auf Linux basiert und dadurch die Nutzung etablierter Sicherheitsmechanismen ermöglicht. Regelmäßige Sicherheitsupdates, eine gehärtete Systemarchitektur und die Nutzung bewährter Open-Source-Technologien schaffen die Grundlage für einen sicheren Betrieb. Zusätzliche Sicherheitsfunktionen wie integrierte Firewall-Mechanismen, VPN-Anbindungen oder rollenbasierte Benutzerverwaltung unterstützen Betreiber und Integratoren bei der Umsetzung ihrer Sicherheitsanforderungen. Für die Kommunikation kommen moderne Sicherheitsstandards wie OPC UA mit entsprechenden Security Policies sowie BACnet Secure Connect zum Einsatz. Durch verschlüsselte Kommunikation und Authentifizierungsmechanismen lassen sich Datenübertragungen zwischen Feldgeräten, Automatisierungsebene und Leitsystemen wirksam absichern. Ein weiterer Vorteil liegt in der App-basierten Architektur des OS. Einzelne Funktionen können gezielt aktualisiert werden, ohne das Gesamtsystem zu beeinflussen. Dies erleichtert das Patch- und Schwachstellenmanagement und unterstützt die langfristige Wartbarkeit der Installation. Gleichzeitig ist die Plattform offen für zusätzliche Sicherheitsanwendungen. Integratoren können beispielsweise Intrusion-Detection-Systeme oder weitere Security-Apps direkt in die Automatisierungsumgebung integrieren und so das Sicherheitsniveau an die jeweiligen Anforderungen anpassen.
Fazit
Cybersecurity entwickelt sich in der Gebäudeautomation von einer optionalen Zusatzfunktion zu einer zentralen Grundvoraussetzung für den sicheren Gebäudebetrieb. Mit NIS2 und dem Cyber Resilience Act steigen die Anforderungen an Hersteller, Integratoren und Betreiber gleichermaßen. Gefordert sind ganzheitliche Sicherheitskonzepte, die digitale und physische Risiken gemeinsam betrachten. Moderne Automatisierungsplattformen können dabei einen entscheidenden Beitrag leisten. Mit Security-by-Design-Ansätzen, sicheren Kommunikationsstandards und einer flexiblen Integrationsfähigkeit schaffen sie die Voraussetzungen dafür, regulatorische Anforderungen effizient umzusetzen und Gebäude langfristig sicher, resilient und zukunftsfähig zu betreiben.
