Zugriff und Fernparametriesierung?

[Ollik]

Moin zusammen!

Naja, wirklich "sinnlos" finde ich bislang keinen der Beiträge hier.
'Merkwürdig' finde ich allerdings den Ansatz von MadSec, sich in einem (also unserem) Forum nach Grundlagen für seinen Auftrag zu erkundigen. Ich schiebe das vorerst mal auf eine gewisse 'Verzweifelung', die sich eingestellt haben mag, weil er nirgendwo sonst entsprechende Informationen beschaffen kann/ konnte (falsch gegoogelt?).

Aus dieser Sicht wäre diese Anfrage in einem Forum zwar also durchaus 'legitim' (falls ihm die Antworten dann weiterhelfen sollten), aber (für mich) noch immer 'merkwürdig'.
Denn wenn ich einen bestimmten Auftrag bekomme (bzw. mich um einen solchen 'bewerbe'), sollte ich mir doch zuallererst die Frage stellen, ob ich diesen bei einer Auftragserteilung auch überhaupt ausführen kann.

Wenn ich also u.a. eine Hiplex 'prüfen' soll, brauche ich auch das Wissen und techn. Ausrüstung (wie z.B. die passende Parametrier-Software) über eben diese Anlage.
Habe ich irgendetwas davon nicht, muss ich mir entweder einen Hiplex-Errichter extern dazukaufen oder den Auftrag leider sausen lassen, um mich beim Kunden nicht 'komplett zum Löffel zu machen'.
Aber vielleicht ist das ja sogar Teil des Plans und ein 'Nicht-Telenot-Facherrichter' soll das System angreifen - wer weiß es schon außer MadSec?!

Immerhin macht sich der Kunde Gedanken über seine (elektronische) Sicherheit und hat dafür sogar ein gewisses Budget eingeplant - das ist ja schon mal super.
Wenn dieses Budget dann allerdings so klein ist, dass es nicht mal zum Erwerb der Software oder für den Einsatz eines externen Errichters reichen sollte, dann ist/sind in meinen Augen das Budget, die Aufgabenstellung und/oder die Prioritäten falsch gesetzt.
Denn als zahlender Kunde hätte ich auch den Anspruch an den Auftragnehmer, dass der dann auch weiß, um welche evtl. vorhandenen Schwachstellen des zu prüfenden Systems er sich am zielführendsten 'kümmern' sollte.

Dank der fundierten und sehr schön dargestellten Auflistung von 5624 hat MadSec ja nun auch einen Eindruck davon bekommen, dass wir uns bei einer Hiplex definitiv nicht mehr in der 'Baumarktschiene' befinden.
Gut, man kann als 'ungeschickter' Errichter selbst eine Hiplex anfällig für Angriffe von extern machen, aber das wäre für mich dann auch schon nahezu Vorsatz (und Blasphemie).

@MadSec:
100%ige Sicherheit gibt es nicht und jedes System ist angreifbar, es ist alles nur eine Frage des Aufwandes...

Errichter können lediglich dafür sorgen, dass die Systeme ihre Möglichkeiten voll ausspielen können, und hoffen, dass uns der Kunde dabei keinen Strich durch Rechnung macht, indem er irgendwelche Posten aus einer Projektierung wieder herausstreicht.
Das ist in meinen Augen der einzige Grund, warum eine (gute) Anlage in ihren technischen Möglichkeiten 'ausgebremst' werden darf (das ist dann zwar noch immer schice, aber wenigstens ist der Errichter mit entsprechender Doku aus seiner Haftung für eine Fehlprojektierung raus)..

Das größte Risiko für die Funktionsfähigkeit einer (sauber projektierten und errichteten!) ernstgemeinten Einbruchmeldeanlage ist und bleibt der Nutzer (wie oben schon erwähnt: 123456 als Passwort oder auch Phishing von Zugangsdaten usw.).
Wenn dein Kunde sicherstellen kann (besser 'könnte'), dass ein Nutzer-Versagen nicht vorkommen kann (erfahrungsgemäß ein nicht erreichbarer Zustand), dann könnt ihr euch sinnvoll über die technische Absicherung einer Hiplex gegen Angriffe (von extern) unterhalten.

Eine EMA ist immer ein komplexes Zusammenspiel aus einem 'vernünftigen' Sicherheitskonzept inkl. einer Zutrittsplanung (wer darf wann wohin und warum?), der (hoffentlich sinnvoll) installierten EM-Technik, der Kundentechnik, die dann z.B. die Energieversorgung und die Verbindung zur Außenwelt bereitstellt, eine fehlerfrei 'funktionierende' NSL bzw. AEZ mit dahintergeschaltetem 'zurechnungsfähigem' Interventionsdienstleister und den Nutzern, die im Nullkommanichts alles andere (teure) Vorgenannte folgenschwer 'torpedieren' können, indem sie z.B. 'Vergessen haben' scharfzuschalten, als sie Feierabend gemacht haben.

Bei solchen Fällen kann die NSL dann zwar noch eingreifen, indem sie einen 'Verantwortlichen' informiert, dass die EMA z.B. um 22.00 Uhr noch immer im Zustand 'unscharf' ist, aber bis dann wirklich ein Schlüsselträger die Scharfschaltung nachgeholt hat, hast du halt eine riesengroße Sicherheitslücke.
Nachgelagert muss der Kunde auch Prozesse etabliert haben, die sicherstellen, dass evtl. 'Verstöße' hinterher auch aufgearbeitet werden und Verbesserungen nach sich ziehen.
Und unter all dem steht dann noch Martinas Signatur.

Ich wünsche dir viel Erfolg in deinem Berufsfeld (dessen Dasein ich begrüße, wenn ich auch die Umsetzung nicht immer nachvollziehen kann).

Viele Grüße
Olli

---------
Nachtrag: Die letzte Rückmeldung von MadSec hatte ich beim Verfassen noch nicht gesehen.