Sicherheit¶

Sicherheit und Datenschutz der Cloud-Plattform Emalytics Collector.

Übersicht¶

Die Cloud-Plattform Emalytics Collector bietet cloudbasierte Datenerfassung und -analyse sowie eine cloudbasierte Steuerung. Diese Dienste erfordern zwangsläufig eine Verbindung zwischen Ihrem Gebäudeautomationsnetzwerk (d.h. dem des Kunden) und der Cloud-Plattform Emalytics Collector, sowie die Speicherung und Verarbeitung von Daten auf dieser Plattform.

Einige unserer Kunden haben anfangs Bedenken, ihr Gebäudenetzwerk mit dem Internet zu verbinden, und sei es nur mit unserer Plattform. Typische Bedenken sind:

"Aus Sicherheitsgründen ist das Gebäudeautomationsnetzwerk nicht mit dem Internet verbunden."

- Großer deutscher Immobilienbetreiber

"80 % unserer Kunden bestehen auf einer physikalischen Trennung von Gebäudeautomationsnetzwerk und Internet, zum Beispiel über serielle Kommunikation."

- Anbieter von Cloud-basierten Steuerungsalgorithmen

"Wir brauchen mehr Informationen, um den Gebäudebetreiber zu überzeugen."

- Energiedienstleister

Viele Bedenken unserer Bestandskunden konnten ausgeräumt werden, nachdem sie genau verstanden haben, welche Verbindungen hergestellt werden, wie sie hergestellt werden und aus welchen Gründen. In diesem Artikel erläutern wir daher, welche Vorkehrungen und Sicherheitsmaßnahmen Phoenix Contact trifft, um Ihr Gebäudenetzwerk und Ihre Daten zu schützen.

Der Emalytics Connector¶

Betriebssystem und Software¶

Der Emalytics Connector läuft mit Ubuntu 20.04 LTS Server und ist nach den Industriestandards des dev-sec Projekts gehärtet. Vor der Inbetriebnahme muss jeder Emalytics Connector eine umfangreiche Reihe von Funktions- und Penetrationstests bestehen. Während des Betriebs wird jeder Emalytics Connector auf Hardware-, System- und Anwendungsebene strengstens überwacht und erhält täglich automatische Sicherheitsupdates.

Anschluss an das Gebäudenetzwerk¶

Der Emalytics Connector hat zwei eingebaute Netzwerkadapter. Der erste Netzwerkadapter muss direkt mit dem lokalen Gebäudeautomationsnetzwerk verbunden sein. Dies ist wichtig, um die automatische Erkennung von Geräten und deren Datenpunkten zu unterstützen, da viele Gebäudekommunikationsprotokolle wie BACnet Übertragungen im lokalen Netzwerk zur automatischen Erkennung verwenden und diese Übertragungen standardmäßig nicht außerhalb des lokalen Netzwerks weitergeleitet werden. Der Emalytics Connector kommuniziert nur über den/die Port(s), der/die dem Zielprotokoll des Gebäudeautomationsnetzwerks entspricht/entsprechen, z.B. Port 47808 für BACnet.

Wenn bestimmte Datenpunkte oder ganze Gebäudebereiche nicht ausgelesen werden dürfen, kann dies entweder technisch im Vorfeld verhindert werden (z.B. durch Netzwerkmasken oder VLANs) oder flexibel in den Einstellungen des Emalytics Connectors gehandhabt werden. Gemeinsam mit Ihnen wählen wir aus, welche Datenpunkte geschrieben oder gespeichert werden sollen und welche nicht, da sie als kritisch oder datenschutzsensibel eingestuft werden können.

Verbindung zum Emalytics Collector¶

Der zweite Netzwerkadapter des Emalytics Connectors muss an ein Netzwerk mit Internetzugang angeschlossen werden. Über diese Netzwerkschnittstelle stellt der Emalytics Connector eine Verbindung zu den Servern her, die die Plattform Emalytics Collector hosten. Diese Verbindung wird z.B. für die Datenerfassung und Fernverwaltung benötigt. Die gesamte Kommunikation zwischen dem Emalytics Connector und Emalytics Collector ist über TLS oder SSH gesichert.

In den meisten Einsatzszenarien befinden sich lokale Netzwerke mit Internetzugang hinter einer Firewall, die ausgehende Verbindungen begrenzt. In dieser Firewall müssen die folgenden Ports geöffnet werden, wie im Admins Abschnitt beschrieben ist.

Für Einsätze mit kritischen Sicherheitsanforderungen, z.B. in Krankenhäusern oder Banken, können die aufgeführten Anforderungen auf die Öffnung von Port 443/TCP für HTTPS-Verkehr reduziert und zusätzliche Sicherheitsmaßnahmen wie VPN-Tunnel eingesetzt werden.

Die gesamte Kommunikation erfolgt unidirektional, d.h. vom Emalytics Connector zur Emalytics Collector Plattform, und kann in Ihren Firewalls entsprechend freigegeben oder gesperrt werden. Es findet niemals ein externer Zugriff auf Ihr Netzwerk statt. Ihre Netzwerke können durch Ihre bestehenden Firewalls komplett geschlossen und somit vor externen Zugriffen geschützt bleiben. Somit gibt es keine direkte Verbindung des Gebäudeautomationsnetzes und der Hardware mit dem Internet.

Die Emalytics Collector Plattform¶

Hosting¶

Die Emalytics Collector Plattform und alle darauf aufbauenden Dienste werden auf dedizierten und virtuellen Servern von der Hetzner Online GmbH mit Sitz in Gunzenhausen gehostet. Hetzner ist nach DIN ISO/IEC 27001 für seine IT-Sicherheitsstandards zertifiziert und hat zahlreiche Auszeichnungen erhalten. Hetzner betreibt Rechenzentren in Deutschland und Finnland. Emalytics Collector wird auf Servern in den Rechenzentren in Nürnberg und Falkenstein, Deutschland, gehostet.

Server Authentifizierung¶

Alle unsere Server und Dienste werden mit Standard-X.509-Zertifikaten authentifiziert, die von Let's Encrypt ausgestellt und jedes Quartal erneuert werden. Mit Stand vom Januar 2019 hat Let's Encrypt einen Marktanteil von mehr als 50 %.

Serviceverfügbarkeit¶

Alle Server verfügen über DoS-Schutz und mehrfach redundante Verbindungen, um eine hohe Verfügbarkeit zu gewährleisten. {{ company_name }} garantiert 97% Betriebszeit für die Emalytics Collector Plattform.

Speicherung und Verarbeitung¶

Die gesamte Speicherung und Verarbeitung der Daten auf dem Emalytics Collector ist streng gekapselt und getrennt - bis auf die Systemebene. In der Praxis bedeutet dies in erster Linie, dass für jeden Kunden eine eigene Datenbank betrieben wird - die Kundendaten sind also getrennt. In zweiter Instanz bedeutet dies, dass virtuelle Nutzer im Backend, wie z.B. Microservices, aber auch reale Nutzer, standardmäßig nur die Rechte (Privilegien) erhalten, die sie für ihren Verwendungszweck benötigen. Zum Beispiel darf ein datenauswertender, also lesender Dienst standardmäßig keine Datenpunkte schreiben. In der dritten Instanz werden alle Prozesse auf Systemebene mit Hilfe von Docker-Containern voneinander getrennt und nur bei Bedarf in dedizierten virtuellen Netzen miteinander verbunden. So wird beispielsweise die Analyse der Daten eines Kunden strikt von der Analyse der Daten eines anderen Kunden getrennt.

Benutzerauthentifizierung und -autorisierung¶

Die Benutzerauthentifizierung erfolgt standardmäßig über Benutzernamen und Passwort. Andere Identitätsanbieter, z.B. LDAP und Active Directory, können über OpenID connect, OAuth und SAML integriert werden. So sind unternehmensweite Single Sign-ons und die Integration bestehender Benutzerdatenbanken möglich.

Nach der Authentifizierung eines Benutzers werden alle seine Zugriffe auf die Emalytics Collector Cloud-Plattform durch ein umfassendes rollenbasiertes Zugriffskontrollsystem (RBAC) autorisiert. Es stehen vordefinierte, standardisierte Rollen zur Verfügung, es können aber auch neue Rollen mit individuellen Berechtigungen feingranular über die APIs frei definiert werden.

Unser Sicherheitsversprechen¶

Wir sind davon überzeugt, dass die Digitalisierung und insbesondere der Einsatz von Cloud- und IoT-Technologie der Schlüssel sind, um ressourcenschonende, energieeffiziente und nutzererweiternde Lösungen zu ermöglichen und umzusetzen. Dabei sind Sicherheit und Datenschutz kein Nice-to-have, sondern eine nicht verhandelbare Anforderung, die von Anfang an bei der Konzeption von IT-Systemen berücksichtigt und eingebaut werden muss.

Deshalb verpflichtet sich Phoenix Contact, höchste Sicherheits- und Datenschutzstandards dauerhaft zu gewährleisten. Sollten zu irgendeinem Zeitpunkt Unklarheiten über die Funktion unserer Dienste, die Gewährleistung von Sicherheit und dem Datenschutz bestehen, können Sie sich mit Ihren Fragen jederzeit gerne an uns wenden.

Darüber hinaus lassen wir auch Taten sprechen: Phoenix Contact befindet sich derzeit im Prozess der Zertifizierung nach DIN ISO 27001.