Cyberattacken auf Zutrittskontrollsysteme: Neueste Sicherheitstechnologien von Siemens Smart Infrastructure
Gebäudetechnik wird immer öfter zum Ziel von Cyberattacken. Für Hacker besonders interessant: Zutrittskontrollsysteme. Gelingt es, diese zu knacken, stehen den Kriminellen buchstäblich Tür und Tor offen. Um dieses beunruhigende Szenario zu verhindern, müssen in Sachen Zutrittskontrolle konsequent die neuesten Sicherheitstechnologien zum Einsatz kommen. Ein Beitag von Markus Niederberger, Leiter Portfoliomanagement Security und Dirk Redmann, Portfoliomanager Security Lifecycle Portfolio bei Siemens Smart Infrastructure, Deutschland.
Zutrittskontrollsysteme sind eine bewährte, aber durch den technischen Fortschritt sich ständig verändernde Technologie. Doch wie alle digitalen Systeme stehen auch sie durch Cyberbedrohungen stark unter Druck. Für Hacker sind Zutrittskontrollsysteme offensichtlich ein besonders attraktives Ziel: Ein kompromittiertes Zutrittskontrollsystem ermöglicht Unbefugten den physischen Zutritt zu den entsprechenden Räumlichkeiten. Ein Szenario, das schnell Realität werden kann, da viele Zutrittskontrollsysteme nicht konsequent mit aktuellen Sicherheitsmechanismen ausgestattet werden. Wie so oft, wenn es um das Thema Cybersecurity geht, fehlt es auch hier oft noch am nötigen Risikobewusstsein.
Zumindest für den Bereich der kritischen Infrastrukturen (KRITIS) werden entsprechende Sicherheitsstandards durch die NIS-2-Richtlinie sogar gesetzlich vorgeschrieben. Betroffen sind davon rund 80 Prozent aller Unternehmen und Institutionen in der EU.
Wie sehen zukunftsfähige Zutrittskontrollsysteme aus?
Die stark wachsende Anzahl an Cyberattacken führt auch im Bereich der Zutrittskontrolle zu hohem Innovationsdruck, um das Sicherheitsniveau einer sich immer wieder wandelnden Bedrohungslage anzupassen. Zu den momentan wichtigsten Sicherheitstrends in Sachen Zutrittskontrolle zählen:
Cloudbasierte Systeme: In der Gebäudetechnik, und damit auch in der Zutrittskontrolle, werden IT-Systeme zunehmend als cloudbasierte Lösungen realisiert. Cloudbasierte Zutrittssysteme werden dabei extern auf den Servern des Anbieters gehostet. Solche cloudgestützten SaaS-Lösungen („Security as a Service“) setzen sich aus guten Gründen immer mehr durch, denn sie bieten in der Regel signifikante Vorteile gegenüber einer On-Premise-Infrastruktur: So sind cloudbasierte Systeme in Bezug auf die Softwareversion immer aktuell. Und sie erfüllen höchste Standards bei Verfügbarkeit, Cybersecurity und Datenschutz (by design/built-in).
Der Zugriff auf die Systeme und ihre Steuerung erfolgen über einen Webbrowser oder eine native App. Anhand von Dashboards mit konfigurierbaren Inhalten lässt sich dort unter anderem der Personenkreis definieren, der zu bestimmten Zeiten Zutritt zu bestimmten Räumlichkeiten erhält. Darüber hinaus ermöglichen cloudbasierte Systeme eine orts- und zeitunabhängige Administration und Bedienung von jedem Gerät aus. Nicht zuletzt lassen sich cloudbasierte Systeme einfach in entsprechende Umgebungen integrieren, wodurch sich dann auch andere Cloud Dienste wie Microsoft 365, Teams, X oder PowerBI nutzen lassen.
Standardisierung: Durch das inzwischen sehr hohe Maß an Vernetzung in der Gebäudetechnik wird die Interoperabilität und Vereinheitlichung von Sicherheitssystemen immer mehr zum kritischen Faktor für effektive, ganzheitliche Sicherheitskonzepte.
Mobile Credentials: Der Zutritt über Smartphones und andere Mobilgeräte ist eine sichere und komfortable Option. Dementsprechend setzt sie sich gegenüber der traditionellen Chipkarte oder anderen elektronischen Schlüsselmedien immer weiter durch. „Mobile Access“ gewährleistet ein hohes Sicherheitsniveau, da die eingesetzten Geräte für die Zutrittsgenehmigung zunächst vom Nutzer entsperrt werden müssen und somit eine 2-Faktor-Authentifizierung erfolgt.
Wearables: Immer öfter werden auch Smart Watches als komfortablere Alternative zum Smartphone eingesetzt, um Türen kontaktlos zu entsperren. Der erhöhte Komfort ist offensichtlich, da Smartwatches am Körper getragen und nicht erst aus der Tasche geholt werden müssen.
KI-gestützte Automatisierung: Auch im Bereich der Zutrittskontrolle erweisen sich KI und Machine Learning (ML) zunehmend als disruptive Technologien. Besonders mit Blick auf die Authentifizierung und das automatische Erkennen ungewöhnlicher Verhaltensmuster können lernfähige Algorithmen die Sicherheitsstufe signifikant erhöhen.
Features für zeitgemäße Zutrittskontrollsysteme
Zeitgemäße Zutrittskontrollsysteme zeichnen sich durch eine Reihe moderner Sicherheitsfeatures aus, die in der Gebäudetechnik angesichts der aktuellen Cyberbedrohungslage stark an Bedeutung gewinnen. Dazu zählen insbesondere:
Kennwortlose Anmeldung: Passkeys sind ein neues Konzept, das nach und nach den altbekannten Login per Benutzername und Passwort ersetzen und auch im Rahmen der Zutrittskontrolle an Bedeutung gewinnen wird. Basierend auf FIDO-Standards (Fast Identity Online) ersetzen Passkeys das umständliche Eingeben von Passwörtern und ermöglichen damit eine schnellere, einfachere und sicherere Anmeldung auf Apps und Websites, die mit Zutrittskontrollsystemen in Verbindung stehen. Im Gegensatz zu Passwörtern liefern Passkeys ein konsistent hohes Sicherheitsniveau und sind zudem auch deutlich resistenter gegen Phishing.
Authentifizierung und Autorisierung: Die Integration von Zutrittskontrollsystemen mit kundeneigenen Identitätsanbietern (IdP) via OAuth (Open Authorization) oder SAML (Security Assertion Markup Language) und IAM-Systemen (Identity and Access Management) wird das Sicherheitsniveau im Bereich der Zutrittskontrolle zukünftig fundamental verbessern. Des Weiteren sind moderne Türkontroller in der Lage, sich am Netzwerk, über den IEEE 802.1x Standard, authentisieren zu können. Siemens zählt hier zu den Anbietern der ersten Stunde.
KI-gestützte Erkennung von Anomalien: Traditionelle Zugangssysteme sind nicht in der Lage, automatisiert auf verdächtiges Verhalten zu reagieren. Dadurch entstehen angesichts der aktuellen Bedrohungslage massive Sicherheitslücken. Smart-Access-Lösungen sind dagegen in der Lage, Nutzungsmuster und Routinen im Zusammenhang mit zugangsberechtigten Personen zu analysieren und Abweichungen als potenzielles Sicherheitsrisiko zu erkennen.
Datenverschlüsselung: Alle relevanten Daten werden auf allen Transportwegen, in den Datenbanken sowie in den Identmedien (Karte, Token, Smartphone) verschlüsselt.
Auf dem Transportweg kommen die folgenden Verschlüsselungsstandards zum Einsatz:
- Karte und Lesegerät (128 Bit AES-Verschlüsselung z.B. mit Mifare Desfire);
- Lesegerät und Controller (AES GCM256 Bit); Türsteuereinheit und Zutrittsserver (AES GCM 256 Bit).
Access Control als Feature
Generell sieht man die Zugangskontrolle im Bereich der Gebäudetechnik immer weniger als eigenständige Einheit. Stattdessen wird sie vermehrt als Bestandteil übergeordneter Systemumgebungen gehandhabt. Entsprechend wichtig ist es, dass Lösungen für Zutrittsmanagement sich nahtlos in die entsprechenden Systeme und Cloud-Umgebungen integrieren. Siemens ermöglicht mit dem Security Manager eine NIS-2-konforme Zutrittskontrolle auf dem neuesten Stand der Technik. Als Bestandteil der digitalen Gebäudeplattform Building X kann diese entweder als Stand-Alone-Lösung oder als Hybridlösung in Kombination mit On-Premise Systemen zum Einsatz kommen.
Building X ist eine skalierbare digitale Gebäudeplattform zur Digitalisierung, Verwaltung und Optimierung des Gebäudebetriebs und steht für ein verbessertes Nutzererlebnis, optimierte Leistung und mehr Nachhaltigkeit. Building X beruht auf den Designprinzipien von Siemens Xcelerator und bildet das technologische Fundament für intelligente Gebäudetechnik und Zugangskontrollsysteme mit der nötigen Sicherheitsstufe für dynamische Bedrohungslagen durch Cyberkriminalität.
Fazit: Cybersecurity als Basis für physische Gebäudesicherheit
In kaum einem anderen Bereich verschwimmen die Grenzen zwischen realer und digitaler Sicherheit so sehr wie in der Gebäudetechnik: Digitale Zutrittskontrollsysteme sorgen auf der einen Seite für mehr Sicherheit und Komfort, bieten jedoch auf der anderen Seite auch Angriffsflächen für Cyberattacken. Entsprechend wichtig ist es, dass Sicherheitskonzepte dem aktuellen technischen Stand entsprechen, denn nur so lassen sich Sicherheitslücken vermeiden, die durch Kriminelle mit immer neuen Methoden systematisch ausgenutzt werden.
Fortschrittliche Sicherheitstechnologien für die Zutrittskontrolle bieten nicht nur Schutz vor unbefugtem Zutritt, sondern liefern auch Daten und Einblicke, die zur Optimierung der Sicherheitsstrategien beitragen. In einer Zeit, in denen statistisch gesehen fast jedes Unternehmen früher oder später zum Ziel einer Cyberattacke wird, ist die digitale Zutrittskontrolle ein unverzichtbares Werkzeug für jeden, der die Integrität seiner Gebäude schützen will.
