7.4 KNX Secure – Sicher ist sicher

KNX Secure ist die Antwort auf Cyberangriffe, Funkgeräte und den neuen EU-Cyber-Resilience-Act: Martin Mohr zeigt praktisch, wie Sie KNX-Installationen mit Ende-zu-Ende-Verschlüsselung und modernen kryptografischen Mechanismen ausstatten, indem Sie einfach beim Projektaufbau Passwörter und Gerätezertifikate eingeben – ohne den gewohnten ETS-Ablauf zu verkomplizieren. Inklusive Hinweisen zu kritischen Details wie der Dokumentation von FDSK-Schlüsseln und dem neuen Cyber-Resilience-Act (CRA) zeigt der Artikel, warum professionelle Elektrohandwerker jetzt umschwenken müssen, um künftig CRA-konform und rechtssicher zu arbeiten.

Mehr zum Thema:

• Michael Körmer, Willi Meyer: KNX/EIB Engineering Tool Software. Sicherer Ein- und Umstieg von ETS5 auf ETS6.

Transcript

Copy Transcript Copied

SPEAKER_00 0:00

Hinweis: Dieses Audio enthält KE-generierte Stimmen. KNX Secure sicher ist sicher. Von Diplominformatiker Martin Mohr. Die digitale Gebäudeautomation entwickelt sich rasant weiter, und mit ihr steigen die Anforderungen an Sicherheit und Zuverlässigkeit. Heute sind KNX-Systeme längst nicht mehr nur innerhalb geschützter Gebäudestrukturen im Einsatz, sondern kommunizieren zunehmend über Funk- und IP-Netze. Damit rückt die Frage in den Mittelpunkt, wie sich Installationen wirksam gegen Manipulation, unerlaubten Zugriff und Cyberangriffe absichern lassen. KNX Secure wurde genau dafür geschaffen, es erweitert das etablierte KNX-System, um moderne kryptografische Mechanismen ohne den gewohnten Planungs- und Projektierungsablauf zu verkomplizieren. Der folgende Text zeigt praxisnah, wie KNX Data Secure funktioniert, welche Schritte in der ETS notwendig sind und warum sorgfältige Dokumentation ein zentraler Erfolgsfaktor bleibt. Zudem ordnen wir das Thema in den aktuellen regulatorischen Rahmen ein, insbesondere im Hinblick auf den Cyber Resilience Act, abgekürzt CRA. Cyber Resilience Act. Der Cyber Resilience Act ist eine EU-Verordnung, die ein einheitliches Mindestniveau an Cybersicherheit für alle Produkte mit digitalen Elementen vorschreibt. Dazu zählen sämtliche Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Netzwerk verbunden werden können. Von Smart-Home-Geräten über Steuerungen bis zu industriellen IT-Systemen. Ziel ist es, Sicherheitsrisiken zu verringern und die digitale Infrastruktur in Europa robuster zu machen. Hersteller müssen ihre Produkte künftig nach den Grundsätzen Security by Design und Security by Default entwickeln. Bekannte Schwachstellen vor der Markteinführung beseitigen und während des gesamten Produktlebenszyklus Sicherheitsupdates bereitstellen. Zudem sind Risikobewertungen, technische Dokumentationen und die Meldung relevanter Sicherheitsvorfälle verpflichtend. Die Verordnung gilt seit dem 10. Dezember 2024. Die wichtigsten Pflichten jedoch erst ab 11. Dezember 2027, wodurch Herstellern und Unternehmen eine Übergangsfrist eingeräumt wird. Verstöße können empfindliche Strafen nach sich ziehen. Was bedeutet das für Elektrohandwerker? Sie müssen künftig stärker darauf achten, dass eingesetzte Produkte CRA-konform sind, regelmäßig Sicherheitsupdates erhalten und sicherheitstechnisch korrekt eingebunden werden. Zudem gewinnt die Dokumentation an Bedeutung, insbesondere wenn vernetzte Geräte in Gebäudeautomation und KNX-Systeme integriert werden. Für Handwerksbetriebe wird der CRA damit zu einem wichtigen Qualitäts- und Beratungsthema. Grundlagen von KNX Secure. KNX Secure gliedert sich in zwei Bereiche. KNX Data Security und KNX IP Security. Bei KNX Data Security erfolgt die Verschlüsselung auf Telegramm-Ebene. Die Geräte kommunizieren Punkt zu Punkt verschlüsselt. IP Security schützt IP-Backbone-Verbindungen und berücksichtigt auch die Kommunikation über öffentliche IP-Netze. In diesem Beitrag konzentrieren wir uns auf KNX Data Secure, da eine umfassende Darstellung beider Bereiche den Rahmen sprengen würde. Ziel ist es, die wichtigsten Grundlagen für das Aufsetzen eines ETS-Projekts darzustellen. Warum ist KNX Secure inzwischen so wichtig? Früher galten KNX-Anlagen als geschützt, weil die Busleitungen im Gebäude lagen, eine Art physische Firewall. Doch mit zunehmend exponierten Komponenten wie Außenbewegungsmeldern, Wetterstationen oder Türtastern sowie dem vermehrten Einsatz von KNXRF und IP-Backbones stieg das Risiko unerlaubter Zugriffe deutlich. Somit gibt es einige Gründe, sich mit dem Thema zu beschäftigen. Im KNX Data Secure Umfeld besitzt jedes Gerät ein Zertifikat, bestehend aus einer 36-stelligen alphanumerischen Zeichenkette. Sie enthält Seriennummer und den Factory Default Setup Key, kurz FDSK. Zur Inbetriebnahme muss das Zertifikat in die ETS eingegeben oder per QR-Code gescannt werden. Der FDSK ermöglicht den Erstzugriff auf das Gerät. Geht er verloren, ist das Gerät praktisch nicht mehr nutzbar. Eine lückenlose Dokumentation ist daher essentiell. Beim ersten sicheren Download ersetzt die ETS den initialen Schlüssel durch einen gerätespezifischen neuen Schlüssel. Dadurch bliebe der Zugriff auch dann geschützt, wenn der FDSK später kompromittiert würde. Wird ein Gerät auf Werkseinstellung zurückgesetzt, wird wieder der initiale Schlüssel aktiv. Dank der Seriennummer kann die ETS jederzeit den passenden Schlüssel zuordnen. Das System verwaltet alle Schlüssel automatisch. Zur Absicherung sind KNX-Secure-Projekte zusätzlich Passwortgeschützt. Ohne dieses Passwort lässt sich das Projekt nicht öffnen. Geht es verloren, müssen alle Geräte auf Werkseinstellung gesetzt und das Projekt neu aufgebaut werden. In der ETS finden sich unter Projekt Bereich Details, unter Bereich Security, alle vergebenen Schlüssel. Sie können dort weitere Schlüssel hinzufügen, entfernen oder den Keyring, den Speicher sämtlicher Schlüssel, sichern. Zusätzlich lassen sich Zertifikate von Geräten einscannen, die noch nicht im Projekt hinterlegt sind. KNX Data Secure sorgt für Authentifizierung und Ende-zu-End-Verschlüsselung der Telegramme. Jedes Telegramm enthält einen Authentifizierungscode und eine Sequenznummer, so werden Replay-Angriffe mittels Wiederholung eines Telegramms zuverlässig verhindert. Am Markt sind inzwischen zahlreiche KNX-Secure-fähige Geräte verfügbar. Sie sind mit einem X im Typenschild gekennzeichnet. Sie können Secure- und Nicht-Secure-Geräte problemlos mischen. Testaufbau Unser Testaufbau umfasst alle Komponenten, die für ein KNX-Secure-Projekt erforderlich sind. 2. KNXTP Pushbutton 420.1 Secure und ein KNXIO 511.1 Secure von Weinziel, das mit einer der Leuchten verbunden ist. Weitere vorhandene Geräte bleiben unberücksichtigt. Ihre bestehenden physikalischen Adressen übernehmen wir für das Projekt. ETS-Projekt Vor dem Anlegen des ETS-Projekts definieren wir die gewünschte Funktion. Für das Beispiel entscheiden wir uns für einen einfachen Treppenhausautomaten mit zwei Schaltstellen. Die Secure-Konfiguration ist unabhängig von der konkreten Funktion. Im neuen ETS-Projekt fügen wir die Geräte wie gewohnt hinzu. Beim ersten Secure-Gerät fordert uns die ETS zur Vergabe eines Projektpassworts auf. Ohne dieses Passwort kann das Projekt nicht geöffnet werden. Anschließend wird das Gerätezertifikat abgefragt. Die ETS prüft die Eingabe auf Plausibilität. Alternativ lässt sich der QR-Code scannen. Da die QR-Codes sehr klein sind, ist eine Kamera mit echtem Autofokus oder manueller Fokussierung empfehlenswert. Diesen Vorgang wiederholen wir für alle Geräte. Denken Sie daran, die physikalischen Adressen an die bereits gespeicherten Adressen der Geräte anzupassen. Weitere Sondermaßnahmen sind nicht notwendig. Alle folgenden Schritte entsprechen dem gewohnten ETS-Ablauf. Die beiden Push-Button 420.1 Secure parametrieren wir als Taster, das KNXIO 511.1 Secure als Treppenhausautomat. Anschließend verbinden wir die Kommunikationsobjekte in einer gemeinsamen Gruppe. In der ETS kennzeichnet ein blaues Schild Secure-Elemente. Beim Laden des Programms genügt es, zunächst nur das Anwendungsprogramm zu übertragen, sofern die bestehenden physikalischen Adressen beibehalten werden. Bei einer Neuvergabe müssen die Programmiertasten betätigt werden. Bei Tastern bedeutet das meist, die Wippen zu entfernen. Wird versehentlich eine bereits vergebene physikalische Adresse programmiert, kann erheblicher manueller Aufwand entstehen. Der Download entspricht dem eines Nicht-Secure-Projekts, jedoch benötigen Secure-Geräte sogenannte KNX-Longframes. Fehlt diese Unterstützung, zum Beispiel bei einem älteren Interface, erscheint eine Fehlermeldung. Nach dem Laden lässt sich das System wie gewohnt testen. Die ETS kann Secure-Telegramme nur innerhalb des entsprechenden Projekts entschlüsseln. Ohne Projekt sind lediglich Header und der Hinweis SEC sichtbar. Sorgfalt. Am 12. März 2024 hat das EU-Parlament den Cyber Resilience Act CRA verabschiedet. Wie wir bereits gehört haben, definiert der CRA umfassende Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, darunter auch KNX-Geräte. Hersteller müssen während der gesamten Produktlebensdauer für ausreichende Sicherheit sorgen. Dazu gehören Widerstandsfähigkeit gegen Angriffe, Verschlüsselung und Zugriffsschutz. Mit KNX Secure erfüllen Anwender bereits zentrale Vorgaben des CRA. Je nach Projekt können jedoch zusätzliche Maßnahmen sinnvoll sein. Ein weiterer Vorteil ist die Updatefähigkeit vieler Geräte, sodass auch zukünftige Bedrohungen adressiert werden können. Weitere Informationen bietet die Webseite des Fraunhofer Instituts. Über den im Buch abgedruckten QR-Code können Sie sich ein kostenloses Whitepaper herunterladen. Fazit. Für ein KNX-Secure-Projekt sind nur wenige zusätzliche Schritte nötig. Projektpasswort setzen und Gerätezertifikate eingeben bzw. scannen. Danach erfolgt der Projektaufbau wie gewohnt. Der Aufwand ist gering, gemessen am Sicherheitsgewinn durch durchgängige Ende-zu-End-Verschlüsselung. Unser Beispiel zeigt ein kleines Projekt. In größeren Installationen mit IP-Backbones kommen weitere Anforderungen hinzu, die sich jedoch mit guter Planung beherrschen lassen. Besonders wichtig ist eine vollständige Dokumentation. Sowohl Passwort als auch Geräteschlüssel müssen sicher verwahrt werden. Infos zum Autor. Martin Mohr ist ausgebildeter Elektroniker. Nach seinem Studium der Informatik arbeitete er schwerpunktmäßig in der Entwicklung von Java-Applikationen. Mit Erscheinen des Raspberry Pi wurde auch sein Interesse an der Elektronik wieder geweckt. Aktuell liegt sein beruflicher Schwerpunkt in der Ausbildung und im Prüfungswesen.