PKI für die Gebäudeautomation
BACnet/SC automatisieren

Wird für die Einrichtung oder den Austausch eines Zertifikats pro Gerät mit nur 10 Minuten gerechnet – ein durchaus optimistischer Wert – ergibt sich bei 100 Controllern in einer mittleren Liegenschaft bereits ein Aufwand von 1.000 Minuten pro Durchlauf.
Bei zwei erforderlichen Zertifikatswechseln pro Jahr entspricht das rund 2.000 Minuten bzw. über 30 Stunden jährlich. Gleichzeitig ist in der IT-Welt eine klare Entwicklung hin zu deutlich kürzeren Zertifikatslaufzeiten zu beobachten. Entscheidungen des CA/Browser Forum sehen perspektivisch Laufzeiten von deutlich unter 100 Tagen vor, ab 2029 nur noch 47 Tage. Für dieselbe Liegenschaft würde das bedeuten: Der manuelle Aufwand steigt von rund 30 Stunden auf deutlich über 120 Stunden jährlich. Damit wird eine Größenordnung erreicht, die manuell kaum noch zuverlässig beherrschbar ist.

Auch wenn diese Vorgaben nicht unmittelbar auf die Gebäudeautomation übertragbar sind, zeigen sie die Richtung: Kürzere Laufzeiten reduzieren das Risiko kompromittierter Schlüssel und erhöhen die Sicherheit von Systemen nachhaltig. In der Praxis werden daher häufig Laufzeiten von sechs bis zwölf Monaten gewählt – als bewusster Kompromiss zwischen Sicherheitsanforderungen und operativem Aufwand. Mit zunehmender Anzahl vernetzter Geräte und steigenden Anforderungen an die IT-Sicherheit wird jedoch deutlich: Manuelle Prozesse stoßen schnell an ihre Grenzen.

In der Praxis kommt neben dem rechnerischen Aufwand weitere Komplexität hinzu, weil unterjährig ausgetauschte Geräte und zeitlich verteilte Bearbeitungsfenster häufig zu unterschiedlichen Zertifikatslaufzeiten führen. Umso wichtiger werden Transparenz, Kontrolle und die automatisierte Erneuerung von Zertifikaten, um das Risiko unbeabsichtigt abgelaufener Zertifikate und von Fehlkonfigurationen zu reduzieren.

Mit einer geeigneten PKI ist die Automatisierung der Zertifikatsbeantragung und Zertifikatsverlängerung grundsätzlich möglich. Standardprotokolle wie EST, CMP oder SCEP schaffen dafür die Grundlage. BACnet/SC ermöglicht zwar sichere Kommunikation mit Zertifikaten, unterstützt aber keine direkte Automatisierung der Zertifikatsprozesse über Standardprotokolle wie EST oder CMP, die üblicherweise für Geräte genutzt werden.

Auch die eingesetzte PKI kann zum limitierenden Faktor werden, wenn sie diese Automatisierungsprotokolle nicht unterstützt. Eine weit verbreitete Microsoft-PKI kann zwar Zertifikate ausstellen, ohne Unterstützung von Protokollen wie beispielsweise EST ist jedoch keine durchgängige Automatisierung möglich.