BACnet-Sicherheit: Jetzt segmentieren, BACnet/SC für Neubauten spezifizieren
BACnet/IP und MS/TP wurden 1995 ohne Authentifizierung oder Verschlüsselung entworfen — auf einem isolierten BAS-VLAN unproblematisch, aber ein echtes Risiko, sobald das Netz mit der normalen Büro-IT verbunden wird. Wir schließen diese Lücke mit sauberer Segmentierung im Bestand und BACnet/SC in Neuprojekten.
So sichern wir Ihr BACnet-Netzwerk ab
Netzwerk-Audit
Wir kartieren Ihre BACnet/IP- und MS/TP-Segmente, prüfen die aktuelle Verbindung zur Büro-IT und identifizieren Broadcast-Traffic, der weiter reicht als nötig.
Eigenes BAS-VLAN
Das BACnet-Netz erhält ein eigenes VLAN, getrennt von Büro- und Gastnetz, mit Firewall-Regeln, die nur den tatsächlich benötigten UDP-47808-Traffic zum BMS-Server zulassen.
BBMD- und Foreign-Device-Kontrolle
Die Foreign-Device-Registrierung wird auf bekannte BBMD-IP-Adressen beschränkt, damit die Broadcast-Weiterleitung zwischen Subnetzen nicht von unbekannten Geräten gekapert werden kann.
BACnet/SC für Neuprojekte spezifizieren
Bei neuen Schaltschränken und Controllern spezifizieren wir BACnet/SC — ein TLS-1.3-verschlüsselter WebSocket-Transport mit X.509-Zertifikatsauthentifizierung — überall dort, wo das BAS-Netz nicht vollständig isoliert bleiben kann.
Was echte BACnet-Sicherheit umfasst
BACnet/SC finalisiert
BACnet Secure Connect ergänzt das klassische BACnet-Objektmodell um einen TLS-1.3-verschlüsselten WebSocket-Transport und zertifikatsbasierte Geräteauthentifizierung nach X.509.
Isoliertes BAS-VLAN
Der Gebäudeautomations-Traffic bleibt vom allgemeinen Büro- und Gastnetz getrennt — per Design, nicht nur per Konvention.
Firewall-Regeln nur für UDP 47808
Nur der BACnet/IP-Traffic, den Ihr BMS-Server benötigt, passiert die Firewall — nichts darüber hinaus.
BBMD-/Foreign-Device-Whitelist
Die Broadcast-Weiterleitung zwischen Subnetzen ist auf explizit freigegebene BBMD-Adressen begrenzt.
BACnet/SC für Neuprojekte
TLS-1.3-Verschlüsselung und X.509-Gerätezertifikate dort, wo das BAS nicht vollständig von der IT getrennt bleiben kann.
Ehrliche Priorisierung
Segmentierung ist die kurzfristige Lösung für Bestandsanlagen, BACnet/SC die langfristige Antwort für Neuprojekte — wir verkaufen das eine nicht als Ersatz für das andere.
Leistungsumfang
Ein Segmentierungs- und Sicherheitsreview, zugeschnitten auf Ihre bestehende BACnet-Anlage oder die Spezifikation Ihres nächsten Projekts.
- Kartierung des BACnet/IP- und MS/TP-Netzwerks
- VLAN- und Firewall-Regelwerk (UDP 47808)
- BBMD-/Foreign-Device-IP-Whitelist
- Unterstützung bei der BACnet/SC-Spezifikation für neue Controller und Schaltschränke
- Übergabedokumentation für Ihr IT- und BMS-Team
Häufige Fragen
Ist BACnet standardmäßig sicher?
Nein. BACnet wurde 1995 als ANSI/ASHRAE 135 standardisiert — ohne eingebaute Authentifizierung oder Verschlüsselung. Klassisches BACnet/IP und MS/TP senden offen im jeweiligen Segment; auf einem isolierten BAS-VLAN ist das unproblematisch, verbunden mit der Büro-IT wird daraus ein echtes Risiko.
Was unterscheidet Segmentierung von BACnet/SC?
Segmentierung ist eine Netzwerkmaßnahme: eigenes VLAN, Firewall-Regeln beschränkt auf UDP 47808, kontrollierte BBMD-/Foreign-Device-Liste. BACnet/SC ist eine Protokoll-Maßnahme: TLS-1.3-verschlüsselter WebSocket-Transport mit X.509-Zertifikatsauthentifizierung, 2020 finalisiert.
Brauche ich BACnet/SC für eine bestehende Anlage?
Nicht zwingend sofort. Segmentierung ist die praktikable kurzfristige Lösung für Bestandsanlagen. BACnet/SC lohnt sich bei Neuprojekten oder beim Geräteaustausch, besonders wenn das BAS-Netz nicht vollständig von der IT isoliert bleiben kann.
Welchen Port nutzt BACnet/IP?
UDP-Port 47808 (hexadezimal 0xBAC0). Firewall-Regeln zwischen BAS-VLAN und dem übrigen Netz sollten genau auf diesen Traffic zum und vom BMS-Server begrenzt sein.
Was ist ein BBMD und warum ist es sicherheitsrelevant?
Ein BACnet Broadcast Management Device leitet Broadcasts zwischen IP-Subnetzen weiter, da Router sie standardmäßig nicht durchreichen. Die Foreign-Device-Registrierung sollte auf bekannte BBMD-IP-Adressen beschränkt werden — eine offene Registrierung lässt jedes Gerät im Netz sich in Ihre BAS-Broadcasts einklinken.
Sprechen Sie mit einem Ingenieur über Ihr BACnet-Netzwerk
Schicken Sie uns Ihre aktuelle Topologie oder die Spezifikation Ihres nächsten Projekts — wir sagen Ihnen ehrlich, wo Segmentierung reicht und wo sich BACnet/SC lohnt.