Seminar MTG PKI für BACnet/SC und Gebäudeautomation

Das Fachseminar behandelt die Verwendung einer PKI für sichere Geräte- und Systemidentitäten in BACnet/SC-basierten Gebäudeautomationsnetzen. Theorie, Demonstrationen und angeleitete Übungen werden so verbunden, dass technische Entscheidungen, Konfigurationen und Betriebsabläufe unmittelbar nachvollziehbar bleiben.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Modul 1: BACnet/SC-Sicherheitsmodell
5. Modul 2: PKI- und Namenskonzept
6. Modul 3: Geräte-Onboarding
7. Modul 4: Vertrauenslisten und Zertifikatswechsel
8. Modul 5: Betriebsprozesse in OT-Umgebungen
9. Modul 6: Diagnose und Sicherheitskontrollen
10. Praxisfälle und Übungen
11. Qualitäts- und Sicherheitskontrollen
12. Kompetenzen nach dem Seminar

Zielsetzung

Ziel ist der methodische Aufbau belastbarer Handlungskompetenz für die Verwendung einer PKI für sichere Geräte- und Systemidentitäten in BACnet/SC-basierten Gebäudeautomationsnetzen. Jede Lerneinheit führt von der Anforderungsanalyse über das technische Sollmodell und die Umsetzung bis zur Prüfung, Fehlerbehandlung und Betriebsdokumentation.

Zielgruppe

Das Seminar richtet sich an OT-Security, Gebäudeautomation, Netzwerkbetrieb, Systemintegratoren, PKI-Teams und technische Betreiber. Die Übungen berücksichtigen Architektur, Administration, Integration, Betrieb und Sicherheitskontrolle in klar getrennten Rollen.

Voraussetzungen

Grundkenntnisse zu Gebäudeautomation, IP-Netzen, TLS und digitalen Zertifikaten. Für praktische Übungen werden ein vorbereitetes Schulungssystem und dokumentierte Beispieldaten verwendet.

Modul 1: BACnet/SC-Sicherheitsmodell

Behandelt werden Knoten, Hubs, Verbindungen, Vertrauensbeziehungen, Zertifikate, TLS und typische OT-Randbedingungen. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Knoten“, „Hubs“ und „Verbindungen“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Vertrauensbeziehungen“ und „Zertifikate“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „TLS und typische OT-Randbedingungen“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Knoten“ und „TLS und typische OT-Randbedingungen“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für BACnet/SC-Sicherheitsmodell Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 2: PKI- und Namenskonzept

Behandelt werden CA-Hierarchie, Geräteklassen, Zertifikatsprofile, Namen, Laufzeiten, Schlüsselverwendung und Verantwortlichkeiten. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „CA-Hierarchie“, „Geräteklassen“ und „Zertifikatsprofile“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Namen“ und „Laufzeiten“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Schlüsselverwendung und Verantwortlichkeiten“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „CA-Hierarchie“ und „Schlüsselverwendung und Verantwortlichkeiten“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für PKI- und Namenskonzept Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 3: Geräte-Onboarding

Behandelt werden Inventarisierung, Identitätsprüfung, Schlüsselerzeugung, Antrag, Ausstellung, Installation und Verbindungstest. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Inventarisierung“, „Identitätsprüfung“ und „Schlüsselerzeugung“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Antrag“ und „Ausstellung“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Installation und Verbindungstest“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Inventarisierung“ und „Installation und Verbindungstest“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Geräte-Onboarding Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 4: Vertrauenslisten und Zertifikatswechsel

Behandelt werden Verteilung, Aktivierung, Überlappung, Erneuerung, Sperrung, Austausch und Rückfall. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Verteilung“, „Aktivierung“ und „Überlappung“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Erneuerung“ und „Sperrung“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Austausch und Rückfall“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Verteilung“ und „Austausch und Rückfall“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Vertrauenslisten und Zertifikatswechsel Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 5: Betriebsprozesse in OT-Umgebungen

Behandelt werden Wartungsfenster, eingeschränkte Erreichbarkeit, Ersatzgeräte, Dienstleisterzugriff, Dokumentation und Notbetrieb. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Wartungsfenster“, „eingeschränkte Erreichbarkeit“ und „Ersatzgeräte“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Dienstleisterzugriff“ und „Dokumentation und Notbetrieb“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Betriebsprozesse in OT-Umgebungen“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Wartungsfenster“ und „Betriebsprozesse in OT-Umgebungen“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Betriebsprozesse in OT-Umgebungen Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 6: Diagnose und Sicherheitskontrollen

Behandelt werden TLS-Handshake, Zertifikatsketten, Zeit, Namen, Ablauf, Widerruf, Logs und Segmentgrenzen. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „TLS-Handshake“, „Zertifikatsketten“ und „Zeit“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Namen“ und „Ablauf“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Widerruf“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „TLS-Handshake“ und „Widerruf“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Diagnose und Sicherheitskontrollen Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Praxisfälle und Übungen

Praxisaufgabe 1

Ein Zertifikatsprofil für eine Gebäudeautomationskomponente entwerfen. Die Bearbeitung folgt den Schritten Analyse, Sollentwurf, Umsetzung, Validierung und Dokumentation. Abweichungen werden nach Ursache, Auswirkung und Korrekturmaßnahme bewertet.

Praxisaufgabe 2

Ein Gerät sicher onboarden und die Vertrauenskette prüfen. Die Bearbeitung folgt den Schritten Analyse, Sollentwurf, Umsetzung, Validierung und Dokumentation. Abweichungen werden nach Ursache, Auswirkung und Korrekturmaßnahme bewertet.

Praxisaufgabe 3

Einen Zertifikatswechsel in einem engen Wartungsfenster planen. Die Bearbeitung folgt den Schritten Analyse, Sollentwurf, Umsetzung, Validierung und Dokumentation. Abweichungen werden nach Ursache, Auswirkung und Korrekturmaßnahme bewertet.

Qualitäts- und Sicherheitskontrollen

• Konfigurationen werden gegen ein dokumentiertes Sollmodell und definierte Akzeptanzkriterien geprüft.
• Administrative und fachliche Berechtigungen werden nach Least-Privilege und Funktionstrennung bewertet.
• Positiv-, Negativ-, Ablauf-, Ausfall- und Wiederanlauffälle werden reproduzierbar getestet.
• Protokolle, Statusinformationen und Bestandsdaten werden auf Vollständigkeit, Zeitbezug und Nachvollziehbarkeit kontrolliert.
• Änderungen, Restrisiken, Rückfalloptionen und wiederkehrende Betriebsaufgaben werden in einer Übergabedokumentation festgehalten.

Kompetenzen nach dem Seminar

• Anforderungen für die Verwendung einer PKI für sichere Geräte- und Systemidentitäten in BACnet/SC-basierten Gebäudeautomationsnetzen strukturiert erheben und priorisieren
• eine technisch und organisatorisch belastbare Zielkonfiguration entwerfen
• Konfigurations- und Integrationsschritte kontrolliert ausführen
• Fehler anhand von Zuständen, Protokollen und Abhängigkeiten eingrenzen
• Betriebs-, Sicherheits- und Auditkontrollen nachvollziehbar dokumentieren