Zugriff als verantworteten Vorgang behandeln
Fernwartung kann Störungen schneller bearbeitbar machen, eröffnet aber zugleich einen zusätzlichen Zugangsweg zu betrieblich wichtigen Funktionen. Deshalb sollte sie nicht als dauerhaft verfügbare Komfortfunktion betrachtet werden. Jeder Zugriff braucht einen Zweck, eine verantwortliche Freigabe und einen abgegrenzten Umfang. Der Sicherheitsansatz für betriebliche Technik muss neben Vertraulichkeit und Integrität auch Verfügbarkeit und physische Auswirkungen berücksichtigen, wie es NIST SP 800-82 für OT-Systeme herausstellt. Für die Gebäudeautomation bedeutet dies: Ein technisch erfolgreicher Zugang ist erst dann betrieblich akzeptabel, wenn auch seine zulässige Wirkung eindeutig geregelt ist.
Fernwartung zeitlich und technisch sicher begrenzen
Identitäten und Zugangswege beherrschen
Personenbezogene Konten erleichtern die Zuordnung von Handlungen; gemeinsam genutzte Dienstleisterzugänge erschweren sie. Ein geeignetes Konzept nutzt starke Authentisierung, soweit technisch möglich Mehrfaktorauthentisierung, und einen kontrollierten Übergang in das Automationsnetz. Zugriff wird nur auf die benötigten Systeme und Funktionen gewährt. Eine VPN-Verbindung allein macht einen Wartungsprozess noch nicht sicher. Auch Wartungsendgerät, erreichbare Ziele und bestehende Berechtigungen sind zu berücksichtigen. Für ältere Systeme ohne entsprechende Funktionen werden geeignete vorgeschaltete Schutzmaßnahmen und klar benannte Restrisiken benötigt. Direkte, ungeprüfte Zugänge aus externen Netzen sind keine belastbare Dauerlösung.
|
| Identität | Zugriffe persönlich und stark absichern | Nachvollziehbares Berechtigungsprofil |
| Auftrag | Zweck und Umfang vorab freigeben | Verknüpfter Wartungsvorgang |
| Sitzung | Zeit und erreichbare Ziele begrenzen | Dokumentierter Zugriffsverlauf |
| Abschluss | Änderungen prüfen und Rechte entziehen | Bestätigter Betriebs- und Zugangsstatus |
Sitzung mit Auftrag und Freigabe verbinden
Vor Beginn werden Anlass, betroffene Anlage und geplante Tätigkeiten mit einem Auftrag oder Änderungsvorgang verknüpft. Lesende Diagnose und schreibende Eingriffe erhalten bei Bedarf unterschiedliche Freigaben. Das Betriebsteam kennt mögliche Auswirkungen und kann die Sitzung nach dem vereinbarten Verfahren beenden. Berechtigungen werden zeitlich begrenzt und nach Abschluss wieder entzogen, soweit sie nicht ausdrücklich für einen anderen genehmigten Zweck benötigt werden. Unvorhergesehene Änderungen werden nicht im laufenden Zugriff beiläufig erweitert. Sie erfordern eine erneute Bewertung, insbesondere wenn Schutzfunktionen, Produktionsversorgung oder mehrere Anlagen gleichzeitig betroffen sein könnten.
Nachvollziehbarkeit ohne unnötige Überwachung schaffen
Geeignete Protokolle dokumentieren Identität, Zeitpunkt, Zielsystem und wesentliche administrative Handlungen. Umfang, Aufbewahrung und Zugriffsrechte werden mit Datenschutz und gegebenenfalls Mitbestimmung abgestimmt. Eine vollständige Bildschirmaufzeichnung ist nicht automatisch für jeden Wartungsfall erforderlich oder angemessen. Wichtiger ist, dass relevante Eingriffe nachvollziehbar und geschützte Informationen nicht unnötig verbreitet werden. Nach der Sitzung werden Änderungen, offene Punkte und der tatsächliche Anlagenzustand bestätigt. Projektdateien und Konfigurationen werden über vorgesehene sichere Wege aktualisiert, statt in persönlichen Verzeichnissen oder unkontrollierten Übertragungskanälen des Dienstleisters zurückzubleiben.
Notfallzugang vorbereitet erproben
Für Störungen außerhalb üblicher Zeiten kann ein gesondertes Notfallverfahren notwendig sein. Es benennt Entscheidungsbefugnis, erreichbare Personen, erforderliche Mindestkontrollen und nachträgliche Prüfung. Der Notfall ist kein pauschaler Grund für unbegrenzte Dauerzugänge. Das Verfahren wird kontrolliert erprobt, einschließlich der Frage, wie ein vermuteter kompromittierter Zugang gesperrt werden kann, ohne andere wichtige Funktionen unbedacht zu beeinträchtigen. Regelmäßige anlassbezogene Kontrollen entfernen veraltete Konten und nicht mehr benötigte Verbindungen. Gute Fernwartung ist dadurch jederzeit erklärbar: Wer darf warum auf welches System zugreifen, mit welcher Wirkung und bis wann?
