Tim Bauer
FachsprechpartnerSolution Architect für OT- und BAS-Security
Tim Bauer ist unabhängiger Berater und Solution Architect für OT- und BAS-Security. Sein Schwerpunkt liegt an der Schnittstelle von IT, OT, Gebäudeautomation und Security.
Gebäudeautomation ohne blinde Flecken
secnostic® verbindet Gebäudeautomation, Building Management Systeme und technische Gebäudeausrüstung in einer belastbaren OTOT umfasst Hardware und Software, die physische Geräte, Anlagen, Prozesse oder Infrastrukturen überwacht und steuert.-Sicht. Facility Management, ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen. und Security erkennen AssetsEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist., Kommunikationswege, Fernwartung, SchwachstellenEine Schwachstelle ist eine ausnutzbare Schwäche in Software, Hardware, Konfiguration, Prozess oder Architektur. und Zuständigkeiten, ohne den laufenden Gebäudebetrieb unnötig zu belasten.
Für Facility Management, TGA, IT, Security und Immobilienportfolios.
Sehen, was ein Gebäude steuert und wer darauf zugreift
NISTNIST ist eine US-amerikanische Bundesbehörde für Standards, Messwesen und technische Leitlinien. ordnet Building Automation Systems ausdrücklich der Operational TechnologyNIST-Leitfaden zur Sicherheit von Operational Technology und industriellen Steuerungssystemen. zu. Das BSIBSI-Sicherheitsinformation von 2023 zu Dokumentationslücken, Verantwortlichkeiten, Patchmanagement, IT-Übergängen und undokumentierter Fernwartung in Gebäudeautomation und Gebäudemanagement. empfiehlt, zuerst Fernwartungszugänge, ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen.-Übergänge und den Gerätebestand zu erfassen; die Umsetzungshinweise zu INF.14BSI-Umsetzungshinweise zu Dokumentation, Rollen, Fernwartung, Segmentierung und Absicherung von GA-Netzen wie BACnet, KNX und M-Bus. ergänzen SegmentierungSegmentierung teilt ein Netzwerk in abgegrenzte Bereiche, damit Datenflüsse, Zugriffe und Risiken kontrollierbarer werden., Rollen und abgesicherte GA-Netze.
Worum geht es?
Gebäudeautomation ist Operational TechnologyOT umfasst Hardware und Software, die physische Geräte, Anlagen, Prozesse oder Infrastrukturen überwacht und steuert.: NIST SP 800-82NIST-Leitfaden zur Sicherheit von Operational Technology und industriellen Steuerungssystemen. zählt Building Automation Systems ausdrücklich zu OTOT umfasst Hardware und Software, die physische Geräte, Anlagen, Prozesse oder Infrastrukturen überwacht und steuert. und nennt unter anderem HVACHVAC bezeichnet Systeme für Heizung, Lüftung und Klimatisierung., elektrische Systeme, Beleuchtung und Zutrittskontrolle. Der BSI-Baustein INF.14BSI-IT-Grundschutz-Baustein zur Integration von Informationssicherheit in Planung, Realisierung und Betrieb der Gebäudeautomation. ordnet Informationssicherheit in Planung, Realisierung und Betrieb der Gebäudeautomation ein.
Die BSI-SicherheitsinformationBSI-Sicherheitsinformation von 2023 zu Dokumentationslücken, Verantwortlichkeiten, Patchmanagement, IT-Übergängen und undokumentierter Fernwartung in Gebäudeautomation und Gebäudemanagement. empfiehlt, Fernwartungszugänge, ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen.-Übergänge und den Gerätebestand früh zu erfassen. Für die Kommunikation beschreibt ISO 16484-5Offizielle ISO-Seite zum Datenkommunikationsprotokoll für die Überwachung und Steuerung von HVAC/R und weiteren Gebäudesystemen. ein Datenkommunikationsprotokoll für HVACHVAC bezeichnet Systeme für Heizung, Lüftung und Klimatisierung./R und weitere Gebäudesysteme. Der GEG § 71aAktueller Gesetzestext zu Gebäudeautomatisierung und -steuerung in bestimmten Nichtwohngebäuden, einschließlich Energieüberwachung und Interoperabilität. enthält Anforderungen für bestimmte Nichtwohngebäude. Die Anwendbarkeit ist je Gebäude zu prüfen; secnostic® liefert Kontext und Nachweise, ersetzt aber weder das BMS noch eine Konformitätsbewertung.
Managementserver, Automationsstationen, Gateways, Sensoren und Aktoren verbinden HVACHVAC bezeichnet Systeme für Heizung, Lüftung und Klimatisierung., Energie, Beleuchtung, Zutritt und weitere technische Gewerke. In Bestandsgebäuden treffen BACnet, KNX, Modbus, M-Bus, herstellerspezifische Schnittstellen, Fernwartung und CloudCloud bezeichnet bedarfsgerecht bereitgestellte IT-Ressourcen wie Rechenleistung, Speicher, Plattformen oder Software, die über ein Netzwerk genutzt werden.-Anbindungen auf geteilte Zuständigkeiten. Ohne einen aktuellen gemeinsamen Kontext bleiben Abhängigkeiten, Änderungen und Risiken zwischen Gebäude, ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen. und Dienstleistern unsichtbar.
Ergebnisse
- ein aktueller Blick auf BMS, Automations- und Feldkomponenten
- nachvollziehbare Fernwartung und Dienstleisterzugriffe
- SchwachstellenEine Schwachstelle ist eine ausnutzbare Schwäche in Software, Hardware, Konfiguration, Prozess oder Architektur. und EOL/EOSEOL/EOS bezeichnet Lifecycle-Zustände, in denen ein Hersteller ein Produkt, eine Firmware oder ein System nicht mehr regulär pflegt, verkauft oder unterstützt. nach Gebäudewirkung priorisiert
- belastbare Dokumentation für Risikobewertung und Modernisierung
Vier blinde Flecken im Gebäudebetrieb
Die technische Funktion ist sichtbar, aber Gerätebestand, Zugangswege und Zuständigkeit sind oft über mehrere Gewerke verteilt.
Fernwartung ohne Eigner
Ein dauerhafter oder vergessener Dienstleisterzugang bleibt riskant, wenn Zweck, Freigabe und Verantwortlichkeit fehlen.
Plan ohne Betriebsrealität
Umbauten, Gateway-Wechsel und Dienstleisteränderungen lassen Dokumentation und tatsächlichen Bestand auseinanderlaufen.
Alttechnik im flachen Netz
Langlebige Komponenten und ältere Kommunikation brauchen klar begrenzte Übergänge, wenn moderne Schutzfunktionen fehlen.
Fund ohne Gebäudewirkung
Eine SchwachstelleEine Schwachstelle ist eine ausnutzbare Schwäche in Software, Hardware, Konfiguration, Prozess oder Architektur. wird erst steuerbar, wenn Gebäude, Gewerk, Abhängigkeit, Wartungsfenster und Eigentümer bekannt sind.
In der Praxis, vier Gebäudesituationen
Jede Situation beginnt mit einem beobachtbaren Signal oder einer vorhandenen Quelle und endet bei einer zuständigen Person.
- AuffallenEine Beobachtung oder ein Import zeigt ein bislang unbekanntes Gerät oder eine neue Verbindung.
- EinordnenDas AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. wird Gebäude, Raum, Gewerk, ZoneZones & Conduits ist ein IEC-62443-Konzept, das Systeme mit ähnlichem Schutzbedarf in Sicherheitszonen gruppiert und erlaubte Kommunikationswege zwischen diesen Zonen als Conduits beschreibt. und Kommunikationspartnern zugeordnet.
- BewertenVersion, Exposition, Abhängigkeit und vorgesehene Funktion werden gemeinsam geprüft.
- VerantwortenFacility Management, ITIT umfasst Systeme, Netzwerke und Software, die Informationen verarbeiten, speichern, übertragen oder bereitstellen. oder der zuständige Integrator übernimmt die Klärung.
- FreigebenZweck, Zeitfenster, Anbieter und verantwortliche Person werden vor dem Zugriff festgelegt.
- AbgleichenDer erlaubte Weg wird mit den bekannten Gateways, Konten und Kommunikationsbeziehungen verglichen.
- BeobachtenNeue IP-Geräte oder Verbindungen während des Fensters werden sichtbar, ohne Feldgeräte aktiv anzusprechen.
- SchließenAktivität, Änderungen und das Ende des Zugangs bleiben nachvollziehbar dokumentiert.
- Treffer findenHersteller, Modell, Software- oder Firmwarestand werden mit dem Bestand abgeglichen.
- Wirkung klärenGebäude, Gewerk, abhängige Funktion und Wartungsfenster geben den betrieblichen Kontext.
- EntscheidenPatch, Austausch, SegmentierungSegmentierung teilt ein Netzwerk in abgegrenzte Bereiche, damit Datenflüsse, Zugriffe und Risiken kontrollierbarer werden. oder Kompensation werden mit dem Betreiber abgestimmt.
- NachhaltenEntscheidung, Ausnahme, Eigentümer und Review-Termin bleiben am AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist. dokumentiert.
- AufnehmenEin geeignetes Ereignis aus BMS, Monitoring, Netzwerk oder Security wird übernommen.
- Kontext gebenBetroffenes Gebäude, Gewerk, AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist., Abhängigkeiten und Eigentümer werden ergänzt.
- ZustellenfocusAlert übergibt das Ereignis an die richtige Gruppe, Schicht oder Bereitschaft.
- BelegenQuittierung, Eskalation und Bearbeitungsverlauf bleiben nachvollziehbar.
Vom Netzsignal zum Gebäudekontext
Der secnostic® sensor beobachtet freigegebene IP-Segmente passiv. BMS-Exporte, Netzwerkdaten und Wartungsdokumentation ergänzen dormante oder serielle Komponenten; aktive Abfragen erfolgen nur nach technischer Freigabe.
secnostic® inventory verbindet Geräte mit Gebäuden, Gewerken, Kommunikationswegen, Lifecycle und Verantwortlichen. Die secnostic® platform regelt Mandanten, Rollen und den Zugriff auf secnostic®-Anwendungen. focusAlert leitet geeignete Betriebs- und Security-Ereignisse weiter, ersetzt aber keine zertifizierte Brand-, Evakuierungs- oder Safety-Alarmierung. Die Übergabe von sensor-Daten an inventory braucht eine eingerichtete Integration. Eine eingerichtete Webhook/API-Anbindung kann Ereignisse an focusAlert übergeben. Diese Anbindung ist optional.
Welche Produktmodule beteiligt sind
Die Module übernehmen unterschiedliche Rollen im Einsatz: Beobachtung, Inventar, Plattform-Governance und Übergabe an die richtigen Personen.
secnostic inventory
modelliert Gebäude, Gewerke, BMS-Server, Controller, Gateways, Feldkomponenten, Lifecycle, Verantwortliche, Abhängigkeiten und Nachweise.
secnostic sensor
beobachtet freigegebene BMS- und Gebäude-IP-Netze passiv und meldet neue Geräte oder Kommunikationsänderungen; kontrollierte Anreicherung erfolgt nur nach Freigabe.
secnostic platform
regelt Organisationen, Mandanten, Rollen und den Zugriff auf secnostic®-Anwendungen, nicht den direkten Zugriff auf Feldgeräte.
focusAlert
übergibt geeignete BMS-, Monitoring- oder Security-Ereignisse über eine optional eingerichtete Anbindung; Quittierung und Eskalation bleiben nachvollziehbar.
FAQ
Die wichtigsten Fragen vor einem ersten Scope-Gespräch.
Ersetzt secnostic das BMS oder die Gebäudeleittechnik?
Nein. Das BMS bleibt für Steuerung, Regelung und Visualisierung zuständig. secnostic® ergänzt den technischen AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist.-, Kommunikations-, Risiko- und Verantwortlichkeitskontext.
Kann die Umgebung ohne Betriebsunterbrechung erfasst werden?
Der Einstieg ist passiv-first. Dormante, serielle oder nicht beobachtete Komponenten können zusätzliche Exporte, Dokumentation oder freigegebene Abfragen erfordern. Aktive Erfassung wird deshalb nicht pauschal vorausgesetzt.
Welche Systeme gehören in den Scope?
Zum Scope können Management- und Engineering-Systeme, Automationsstationen, Controller, Gateways, Netzwerkkomponenten, Sensoren, Aktoren, Zähler und Fernwartungswege gehören. Safety-Systeme werden nur dort berücksichtigt, wo tatsächlich Schnittstellen bestehen.
Macht secnostic BACnet oder KNX automatisch sicher?
Nein. Sichtbarkeit und Kontext zeigen, wo SegmentierungSegmentierung teilt ein Netzwerk in abgegrenzte Bereiche, damit Datenflüsse, Zugriffe und Risiken kontrollierbarer werden., Zugriffsschutz, sichere Protokollvarianten oder Austausch nötig sind. Die technische Absicherung muss im jeweiligen Gebäudeautomationssystem umgesetzt werden.
Erfüllt die Lösung automatisch GEG, IEC 62443, NIS2 oder BSI-Anforderungen?
Nein. secnostic® kann AssetEin Asset ist ein physisches oder digitales Element, das für Betrieb, Steuerung, Überwachung oder Sicherheit relevant ist.-, Kommunikations-, Maßnahmen- und Verantwortlichkeitsnachweise unterstützen. Anwendbarkeit und Konformität müssen organisations- und systemspezifisch bewertet werden.
Welche Anbindungen müssen eingerichtet werden?
Die Übergabe von sensor-Daten an inventory braucht eine eingerichtete Integration. Eine eingerichtete Webhook/API-Anbindung kann Ereignisse an focusAlert übergeben. Diese Anbindung ist optional. Benutzer melden sich beim eingerichteten externen IdentitätsanbieterEin IdP erstellt und verwaltet Identitätsinformationen und stellt Authentifizierungsdienste für Anwendungen bereit. an. platform verwaltet Mandanten und den Zugriff auf angebundene Anwendungen.
Gebäudeautomation mit einem belastbaren Scope starten
Wir starten mit einem Gebäude, Campus, Gewerk oder Fernwartungsscope und zeigen, welche Betriebs- und Risikodaten bereits nutzbar sind.