Tim Bauer
FachsprechpartnerSolution Architect für OT- und BAS-Security
Tim Bauer ist unabhängiger Berater und Solution Architect für OT- und BAS-Security. Sein Schwerpunkt liegt an der Schnittstelle von IT, OT, Gebäudeautomation und Security.
Gebäudeautomation ohne blinde Flecken
secnostic eingetragene Marke verbindet Gebäudeautomation, Building Management Systeme und technische Gebäudeausrüstung in einer belastbaren OT-Sicht. Facility Management, IT und Security erkennen Assets, Kommunikationswege, Fernwartung, Schwachstellen und Zuständigkeiten, ohne den laufenden Gebäudebetrieb unnötig zu belasten.
Für Facility Management, TGA, IT, Security und Immobilienportfolios.
Sehen, was ein Gebäude steuert und wer darauf zugreift
NIST ordnet Building Automation Systems ausdrücklich der Operational Technology zu. Das BSI empfiehlt, zuerst Fernwartungszugänge, IT-Übergänge und den Gerätebestand zu erfassen; die Umsetzungshinweise zu INF.14 ergänzen Segmentierung, Rollen und abgesicherte GA-Netze.
Worum geht es?
Gebäudeautomation ist Operational Technology: NIST SP 800-82 zählt Building Automation Systems ausdrücklich zu OT und nennt unter anderem HVAC, elektrische Systeme, Beleuchtung und Zutrittskontrolle. Der BSI-Baustein INF.14 ordnet Informationssicherheit in Planung, Realisierung und Betrieb der Gebäudeautomation ein.
Die BSI-Sicherheitsinformation empfiehlt, Fernwartungszugänge, IT-Übergänge und den Gerätebestand früh zu erfassen. Für die Kommunikation beschreibt ISO 16484-5 ein Datenkommunikationsprotokoll für HVAC/R und weitere Gebäudesysteme. Der GEG § 71a enthält Anforderungen für bestimmte Nichtwohngebäude. Die Anwendbarkeit ist je Gebäude zu prüfen; secnostic liefert Kontext und Nachweise, ersetzt aber weder das BMS noch eine Konformitätsbewertung.
Managementserver, Automationsstationen, Gateways, Sensoren und Aktoren verbinden HVAC, Energie, Beleuchtung, Zutritt und weitere technische Gewerke. In Bestandsgebäuden treffen BACnet, KNX, Modbus, M-Bus, herstellerspezifische Schnittstellen, Fernwartung und Cloud-Anbindungen auf geteilte Zuständigkeiten. Ohne einen aktuellen gemeinsamen Kontext bleiben Abhängigkeiten, Änderungen und Risiken zwischen Gebäude, IT und Dienstleistern unsichtbar.
Ergebnisse
- ein aktueller Gebäude- und Portfolioblick auf BMS, Automations- und Feldkomponenten
- nachvollziehbare Kommunikationswege, IT-Übergänge, Fernwartung und Dienstleisterzugriffe
- Priorisierung von Schwachstellen und EOL/EOS nach Gebäude-, Gewerke- und Betriebswirkung
- schnellere Zuordnung von Störungen und Security-Funden zur zuständigen Person
- belastbare Dokumentation für Risikobewertungen, Modernisierung und anwendbare Prüfanforderungen
Vier blinde Flecken im Gebäudebetrieb
Die technische Funktion ist sichtbar, aber Gerätebestand, Zugangswege und Zuständigkeit sind oft über mehrere Gewerke verteilt.
Fernwartung ohne Eigner
Ein dauerhafter oder vergessener Dienstleisterzugang bleibt riskant, wenn Zweck, Freigabe und Verantwortlichkeit fehlen.
Plan ohne Betriebsrealität
Umbauten, Gateway-Wechsel und Dienstleisteränderungen lassen Dokumentation und tatsächlichen Bestand auseinanderlaufen.
Alttechnik im flachen Netz
Langlebige Komponenten und ältere Kommunikation brauchen klar begrenzte Übergänge, wenn moderne Schutzfunktionen fehlen.
Fund ohne Gebäudewirkung
Eine Schwachstelle wird erst steuerbar, wenn Gebäude, Gewerk, Abhängigkeit, Wartungsfenster und Eigentümer bekannt sind.
In der Praxis, vier Gebäudesituationen
Jede Situation beginnt mit einem beobachtbaren Signal oder einer vorhandenen Quelle und endet bei einer zuständigen Person.
- AuffallenEine Beobachtung oder ein Import zeigt ein bislang unbekanntes Gerät oder eine neue Verbindung.
- EinordnenDas Asset wird Gebäude, Raum, Gewerk, Zone und Kommunikationspartnern zugeordnet.
- BewertenVersion, Exposition, Abhängigkeit und vorgesehene Funktion werden gemeinsam geprüft.
- VerantwortenFacility Management, IT oder der zuständige Integrator übernimmt die Klärung.
- FreigebenZweck, Zeitfenster, Anbieter und verantwortliche Person werden vor dem Zugriff festgelegt.
- AbgleichenDer erlaubte Weg wird mit den bekannten Gateways, Konten und Kommunikationsbeziehungen verglichen.
- BeobachtenNeue IP-Geräte oder Verbindungen während des Fensters werden sichtbar, ohne Feldgeräte aktiv anzusprechen.
- SchließenAktivität, Änderungen und das Ende des Zugangs bleiben nachvollziehbar dokumentiert.
- Treffer findenHersteller, Modell, Software- oder Firmwarestand werden mit dem Bestand abgeglichen.
- Wirkung klärenGebäude, Gewerk, abhängige Funktion und Wartungsfenster geben den betrieblichen Kontext.
- EntscheidenPatch, Austausch, Segmentierung oder Kompensation werden mit dem Betreiber abgestimmt.
- NachhaltenEntscheidung, Ausnahme, Eigentümer und Review-Termin bleiben am Asset dokumentiert.
- AufnehmenEin geeignetes Ereignis aus BMS, Monitoring, Netzwerk oder Security wird übernommen.
- Kontext gebenBetroffenes Gebäude, Gewerk, Asset, Abhängigkeiten und Eigentümer werden ergänzt.
- ZustellenfocusAlert übergibt das Ereignis an die richtige Gruppe, Schicht oder Bereitschaft.
- BelegenQuittierung, Eskalation und Bearbeitungsverlauf bleiben nachvollziehbar.
Vom Netzsignal zum Gebäudekontext
Der secnostic eingetragene Marke sensor beobachtet freigegebene IP-Segmente passiv. BMS-Exporte, Netzwerkdaten und Wartungsdokumentation ergänzen dormante oder serielle Komponenten; aktive Abfragen erfolgen nur nach technischer Freigabe.
secnostic eingetragene Marke inventory verbindet Geräte mit Gebäuden, Gewerken, Kommunikationswegen, Lifecycle und Verantwortlichen. Die secnostic eingetragene Marke platform regelt Mandanten, Rollen und den Zugriff auf secnostic eingetragene Marke-Anwendungen. focusAlert leitet geeignete Betriebs- und Security-Ereignisse weiter, ersetzt aber keine zertifizierte Brand-, Evakuierungs- oder Safety-Alarmierung.
Welche Produktmodule beteiligt sind
Die Module übernehmen unterschiedliche Rollen im Einsatz: Beobachtung, Inventar, Plattform-Governance und Übergabe an die richtigen Personen.
secnostic inventory
modelliert Gebäude, Gewerke, BMS-Server, Controller, Gateways, Feldkomponenten, Lifecycle, Verantwortliche, Abhängigkeiten und Nachweise.
secnostic sensor
beobachtet freigegebene BMS- und Gebäude-IP-Netze passiv und meldet neue Geräte oder Kommunikationsänderungen; kontrollierte Anreicherung erfolgt nur nach Freigabe.
secnostic platform
regelt Organisationen, Mandanten, Rollen und den Zugriff auf secnostic eingetragene Marke-Anwendungen, nicht den direkten Zugriff auf Feldgeräte.
focusAlert
übergibt geeignete BMS-, Monitoring- oder Security-Ereignisse an Verantwortliche und macht Quittierung und Eskalation nachvollziehbar.
FAQ
Die wichtigsten Fragen vor einem ersten Scope-Gespräch.
Ersetzt secnostic das BMS oder die Gebäudeleittechnik?
Nein. Das BMS bleibt für Steuerung, Regelung und Visualisierung zuständig. secnostic eingetragene Marke ergänzt den technischen Asset-, Kommunikations-, Risiko- und Verantwortlichkeitskontext.
Kann die Umgebung ohne Betriebsunterbrechung erfasst werden?
Der Einstieg ist passiv-first. Dormante, serielle oder nicht beobachtete Komponenten können zusätzliche Exporte, Dokumentation oder freigegebene Abfragen erfordern. Aktive Erfassung wird deshalb nicht pauschal vorausgesetzt.
Welche Systeme gehören in den Scope?
Zum Scope können Management- und Engineering-Systeme, Automationsstationen, Controller, Gateways, Netzwerkkomponenten, Sensoren, Aktoren, Zähler und Fernwartungswege gehören. Safety-Systeme werden nur dort berücksichtigt, wo tatsächlich Schnittstellen bestehen.
Macht secnostic BACnet oder KNX automatisch sicher?
Nein. Sichtbarkeit und Kontext zeigen, wo Segmentierung, Zugriffsschutz, sichere Protokollvarianten oder Austausch nötig sind. Die technische Absicherung muss im jeweiligen Gebäudeautomationssystem umgesetzt werden.
Erfüllt die Lösung automatisch GEG, IEC 62443, NIS2 oder BSI-Anforderungen?
Nein. secnostic eingetragene Marke kann Asset-, Kommunikations-, Maßnahmen- und Verantwortlichkeitsnachweise unterstützen. Anwendbarkeit und Konformität müssen organisations- und systemspezifisch bewertet werden.
Gebäudeautomation mit einem belastbaren Scope starten
Wir starten mit einem Gebäude, Campus, Gewerk oder Fernwartungsscope und zeigen, welche Betriebs- und Risikodaten bereits nutzbar sind.
BACS-Scope besprechen