Whitepaper - Trustable

The Schréder lighting and beyond lighting solutions bring meaningful moments to people by enhancing safety, well-being and sustainability in public spaces.

VERTRAUENSWÜRDIGE SYSTEME, INTELLIGENTERE BELEUCHTUNG Let’s get connected

WHITEPAPER

INHALT

OFFEN UND SICHER WARUM VERTRAUENSWÜRDIG? 3 5 5 6

VERTRAUEN DURCH VERTRAUENSWÜRDIGKEIT SCHAFFEN WARUM BELEUCHTUNG?

7 7

CLOUD: GRÖSSER IST BESSER

HINWEISE ZU CONTROLLERN

8 9 10 11

FALLSTUDIE: SEEMETROPOLE

DDOS, ZUGANG VERWEIGERT

LETZTLICH KOMMT ES AUF DIE MENSCHEN AN

FAZIT

Wir von Schréder sind davon überzeugt, dass jedes SMART- System, ganz unabhängig von dessen Anbieter, Simple (einfach), Modular, Automation-driven (automatisiert), Resilient und Trustable (vertrauenswürdig) sein sollte. In dieser Serie aus fünf Whitepapers werden Überlegungen allgemeiner Art angestellt, die für Organisationen hilfreich sind, welche eine Investition in ein intelligentes System für die Straßenbeleuchtung in Betracht ziehen. WARUM VERTRAUENSWÜRDIG? Moderne Städte bauen auf Daten, die von jedem Gerät in der Stadt erfasst werden, von der Straßenbeleuchtung bis hin zu Überwachungskameras. Ob Ampelanlagen oder Verkehrsknotenpunkte – das Internet der Dinge (IoT) ermöglicht die Fernsteuerung von Systemen über intelligente Datenpunkte, mit der eine optimale Betriebseffizienz erzielt wird. Je intelligenter die Städte werden, desto mehr werden diese wesentlichen Technologien in das Netzwerk eingebunden. Diese Informationsströme sind der Schlüssel zur Aufrechterhaltung dieser Effizienz. Mit Chancen gehen jedoch auch stets Risiken einher. Jede öffentliche Infrastruktur, die mit dem Internet verbunden ist, stellt ein potenzielles Ziel für Cyber-Angriffe dar. Im Jahr 2018 legten Ransomware-Angriffe wichtige Infrastrukturbereiche der US-amerikanischen Stadt Baltimore lahm, unter anderem auch die Notrufdienste. Cyberangriffe setzten die Straßenbahn in Dublin und Kraftwerke im südafrikanischen Johannesburg außer Betrieb. Der SolarWinds- Hackerangriff traf das Herz der US-Regierung, während mit der Schadsoftware NotPetya einige der weltweit größten Unternehmen angegriffen und Häfen auf der ganzen Welt lahmgelegt wurden.

Doch trotz der Risiken, welche die Cybersicherheit bedrohen, sollte man nicht auf die zahlreichen Vorteile verzichten, die intelligente Systeme mit sich bringen, denn vernetzte Städte sorgen für eine bessere Lebensqualität der Menschen in aller Welt. Die Aufgabe besteht darin, die Risiken für die Cybersicherheit zu minimieren, indem wir die Best Practices der Branche befolgen und vertrauenswürdige Systeme schaffen. In vielen Regierungsbehörden ist man sich dieser Aufgabe bewusst. Im Zentrum der Cybersicherheitsstrategie der EU steht die NIS-Richtlinie. Sie wurde 2016 eingeführt und stellt sicher, dass die Regierungen der Mitgliedstaaten die Cybersicherheit in besonders wichtigen Bereichen wie etwa im Verkehrswesen überwachen. Im April 2023 veröffentlichten die US- Behörde für Cyber- und Infrastruktursicherheit (CISA) und entsprechende Behörden in anderen Ländern der Welt neue Leitlinien für Best Practices in Bezug auf die Cybersicherheit in Smart Cities: Doch trotz der Risiken, welche die Cybersicherheit bedrohen, sollte man nicht auf die zahlreichen Vorteile verzichten, die intelligente Systeme mit sich bringen, denn vernetzte Städte sorgen für eine bessere Lebensqualität der Menschen in aller Welt. In dem Dokument heißt es wie folgt: „Smart Cities sind attraktive Ziele für Kriminelle und Cyberbedrohungsakteure, die die Schwachstellen anfälliger Systeme ausnutzen, um kritische Infrastrukturdaten und geschützte Informationen zu entwenden, Ransomware-Angriffe durchzuführen oder zerstörerische Cyberangriffe zu starten“. Vertrauenswürdige, sichere Systeme sind heute wichtiger denn je.

WARUM BELEUCHTUNG? Intelligente Beleuchtungssysteme sorgen für bessere Verkehrsverhältnisse, sicherere Fußwege, bessere Sichtverhältnisse für Ersthelfer und liefern eine Infrastruktur für Sensoren, welche wertvolle Informationen für Städte erfassen und bereitstellen. In den vergangenen Jahrzehnten hat sich die Vernetzung dieser Leuchten als bewährtes Verfahren etabliert. Softwaresteuerungssysteme ermöglichen bessere Beleuchtungspläne, Energieeinsparungen, eine Beleuchtung, die sich an die Umgebung anpasst, und unterstützen die Planung von Wartungsmaßnahmen. Vor diesem Hintergrund wird deutlich, warum jede Stadt über Beleuchtungssteuerungssysteme und einen entsprechenden Cybersicherheitsplan verfügen sollte. Sie fragen sich vielleicht, warum jemand Ihre Beleuchtungsanlage angreifen sollte? 2007 wurde gegen zwei Männer in Los Angeles Anklage erhoben, da sie das Ampelsystem der Stadt gehackt hatten. Sie hackten sich in die Computer der Verkehrsleitstelle ein und schalteten vier Ampeln aus. Außerdem sperrten sie die Stadtverwaltung aus dem System aus, so dass die Ampeln nicht wieder eingeschaltet werden konnten. Dies führte zu tagelangen Staus und Verkehrsproblemen in einer Stadt, die ohnehin schon mit Problemen beim Verkehrsmanagement zu kämpfen hatte. Stellen Sie sich nun eine ähnliche Situation und deren Auswirkungen auf Ihre Stadt vor. Was sind die Risiken? Autobahnen, die normalerweise nachts gut beleuchtet sind, sind plötzlich in Dunkelheit gehüllt. An Fußgängerüberwegen in verkehrsreichen Gegenden geht das Licht aus. Fußgänger*innen, die nur darauf hoffen können, dass Autofahrer*innen sie dank ihrer Scheinwerfer sehen können. Dies sind die Folgen, wenn Beleuchtungssteuerungssysteme in die Hände der falschen Personen geraten, und die Unfallgefahren, die daraus entstehen. Die Gefahren sind noch größer, wenn man die Softwaresicherheit einbezieht. Wir möchten uns nun die Schwachstellen von Netzwerken, Anwendungen und insbesondere von Beleuchtungssteuerungssystemen anschauen. Sie erfahren, wie Sie diese wichtige Infrastruktur in Ihrer Stadt besser schützen können.

VERTRAUEN DURCH VERTRAUENSWÜRDIGKEIT SCHAFFEN

Die von Ihnen genutzte Beleuchtungssteuerungssoftware wird nicht nur für die Straßenbeleuchtung in Ihrer Stadt eingesetzt, sondern ist wahrscheinlich auch mit anderen Datenquellen verbunden – beispielsweise mit der Wetter- oder Verkehrsüberwachung – und lässt die so gewonnenen Informationen in bestimmte Beleuchtungsentscheidungen einfließen. In einem sicheren System wird nur berechtigten Personen Zugriff gewährt. Die einzelnen Berechtigungsstufen sollten sich nicht nur auf den reinen Zugriff, sondern auch auf Funktionsbereiche der Software erstrecken. Alle diese Aspekte sollten bei jeder Softwareanwendung für kritische Infrastrukturen zur Standardausstattung zählen. Ein unberechtigter Zugriff auf das System bzw. Schäden an den Daten im System können Ihre Stadt wertvolle Zeit und viel Geld kosten. Es kann Wochen dauern, bis die Beleuchtung wieder richtig funktioniert. Es handelt sich dabei um einen arbeitsintensiven Prozess. Die Software, die in Ihrer Stadt die gesamte Kommunikation regelt, sollte auf Ihrer Prioritätenliste ganz oben stehen.

OFFEN UND SICHER

Städte sind offene Räume, in denen Menschen leben, Neues entdecken und Ideen austauschen. Städte sind die Geburtsstätte von Innovationen, die alle Freiräume bietet. Doch einige Infrastruktursysteme verbieten geradezu diese Gelegenheiten, indem sie Möglichkeiten blockieren, anstatt sie zu eröffnen. Wählen Sie ein System, das mit bereits vorhandenen Beleuchtungssystemen und -anlagen interoperabel ist . Interoperabilität ist entscheidend für Vertrauenswürdigkeit und Sicherheit: Systeme, die nicht ordnungsgemäß integriert werden können, stellen eine Schwachstelle für potenzielle Angriffe dar. Intelligente Systeme sollten ein Höchstmaß an Cybersicherheit bieten und regelmäßig getestet und überprüft werden, da die Daten vertraulich behandelt und stets sicher und geschützt sein müssen. Die Firmware muss regelmäßig aktualisiert werden, am besten per Fernzugriff, um Risiken und Wartungskosten zu minimieren. Es sollten Sicherheitsrichtlinien und -regeln auf allen Lösungsebenen angewendet werden: Geräte, Kommunikation, Daten und die App, mit der der Kunde die Leuchten steuert. Dies wird auch als End-to-End-Sicherheit bezeichnet. Es empfiehlt sich auch zu prüfen, ob das betreffende System nach ISO 27001 zertifiziert ist. ISO 27001 ist die weltweit anerkannteste Norm für Informationssicherheits- Managementsysteme (ISMS). Die Norm bietet Organisationen Orientierungshilfe bei der Einrichtung, Umsetzung, Aufrechterhaltung und der kontinuierlichen Verbesserung eines Informationssicherheitsmanagementsystems.

CLOUD: GRÖSSER IST BESSER Viele zentrale Managementsysteme (CMS) basieren auf externen Clouds wie Microsoft Azure, Google Cloud Platform, IBM Cloud oder Amazon Web Services. In der Infrastrukturbranche wird noch immer darüber diskutiert, was sicherer ist: Server vor Ort oder eine cloudbasierte Lösung. Es ist ein weitverbreiteter Irrglaube, dass Betreiber von Beleuchtungssystemen wie beispielsweise Kommunen eine vor Ort installierte Anwendung besser schützen können als eine in der Cloud gehostete Anwendung. Fragen Sie sich selbst: Wer kann sich bessere Sicherheit leisten? Wer kann sich ein internationales Team leisten, das für die Serverwartung zuständig ist und die Sicherheitsprotokolle aktualisiert? Für den Durchschnittsbürger hören sich Cloud-Systeme weniger sicher an. Doch der Grund dafür, dass die Cloud-Infrastruktur im Laufe der Jahre exponentiell gewachsen ist, sind gerade die dort angewendeten Sicherheitsmaßnahmen. Unternehmen wie Microsoft schützen ihre Azure Server mit modernster Cybersicherheit und sorgen dafür, dass Kund*innen, die ihre Plattformen dort hosten, in der denkbar sichersten Umgebung operieren. Hier ein Beispiel: Die Server von Azure analysieren tagtäglich 8 Billionen Bedrohungssignale. Schréder EXEDRA basiert auf Microsoft Azure und nutzt die Cloud-Sicherheit von Microsoft auf optimale Weise. Wir können die Bereitstellung unserer cloudbasierten Plattform so anpassen, dass sie spezifische lokale Anforderungen bzw. Richtlinien zur Verstärkung der Sicherheit bzw. des Datenschutzes erfüllt. EIN HINWEIS ZU CONTROLLERN Die Cloud ist zwar ein Ort für die sichere Aufbewahrung der Daten, doch sie ist nicht das ganze System. Die Edge des Steuerungssystems ist der Controller. Dabei handelt es sich um Ihr Kommunikationsgerät, das Ihnen die Steuerung der Beleuchtung ermöglicht und Informationen an Ihre Software zurückgibt, damit Sie die Anlage besser verwalten können. Der Controller nutzt die Mobilfunktechnologie und kommuniziert direkt mit Ihrem System, oder er befindet sich in einer Mesh-Konfiguration, in der eine Controller-Gruppe Informationen über einen Mobilfunk-Controller in der Nähe sendet. Ganz unabhängig von der Konfiguration ist die drahtlose Kommunikation die erste Schwachstelle. Bei „Sniffing-Angriffen“ wird der Fluss der drahtlosen Daten unterbrochen, und der Angreifer kann auf Geräte bzw. ein Netzwerk zugreifen und so die Kontrolle über einen Teil Ihres Beleuchtungssystems übernehmen. Auf dieses Problem wurde reagiert, indem diese Geräte verschlüsselt werden. Am gängigsten ist die 128-Bit-Verschlüsselung. Zwar wäre eine Verschlüsselung mit 256 Bit möglich, doch angesichts des höheren Stromverbrauchs ist eine derart hohe Verschlüsselung nicht erforderlich. Ähnlich wie bei anderen IoT-Geräten werden auch hier regelmäßig Firmware-Updates durchgeführt. Dadurch kann der Hersteller die Sicherheitsprotokolle aktualisieren, sobald er Kenntnis von Schwachstellen oder technologischen Änderungen hat. Schréder EXEDRA sorgt als End-to-End-Lösung für die erforderliche Sicherheit und wendet Sicherheitsrichtlinien und -regeln auf allen Lösungsebenen an: Geräte, Kommunikation, Daten und die App, mit der der Kunde das CMS steuert.

FALLSTUDIE Intelligente Lösungen für eine Seemetropole Bristol, eine der größten, pulsierendsten Städte in Großbritannien, investiert in die Modernisierung des städtischen Beleuchtungssystems 12 Million Pfund Sterling . Bei diesen Modernisierungsmaßnahmen werden u. a. rund 29.000 Straßenleuchten auf energiesparende LED-Einheiten umgerüstet und das zentrale Managementsystem Schréder EXEDRA installiert. Nachdem Bristol 2018 den Klimanotstand ausgerufen hatte, stellt die Stadtverwaltung nun die städtische Beleuchtung auf LED-Technologie um, um so langfristig den CO 2 -Ausstoß und die Kosten zu senken. Die Cybersicherheit ist dabei ein wichtiger Aspekt, den es zu beachten gilt. In Großbritannien werden der öffentliche Raum und die Straßenbeleuchtung als kritische Infrastruktur betrachtet. Zu deren Schutz hat Schréder in allen unseren Systemen bauartbedingte Sicherheit integriert („Security by Design“). Mit Schréder profitieren Kund*innen von umfassendem Know-how in puncto Cybersicherheit. Im Juni 2023 wurde beispielsweise eine Sicherheitslücke in der MOVEit App entdeckt , die von der Stadtverwaltung verwendet wird. Dank Schréder EXEDRA konnten wir auf rasche Weise aufzeigen, dass ihre Daten nicht gefährdet waren. Schréder zeichnet sich durch diese schnelle Reaktionsfähigkeit aus, die Teil der kontinuierlichen Kundenbeziehung ist. Schréder EXEDRA ist nach ISO 27001 zertifiziert. Diese bedeutet, dass wir unsere Cybersicherheitsprozesse kontinuierlich verbessern und sicherstellen, dass unsere Mitarbeitenden mit den aktuellsten, in diesem Bereich gehandhabten Best Practices vertraut sind. Weltweit werden mit Schréder EXEDRA mehr als 500.000 Leuchten und weitere Geräte gesteuert. Dabei lernen wir bei jedem einzelnen Datenpunkt dazu und stellen die Cybersicherheit immer an erste Stelle.

DDoS, ZUGANG VERWEIGERT

DDoS-Angriffe (Distributed Denial of Service) sorgten erstmals im Jahr 2007 für weltweites Aufsehen, als Estland einem noch nie dagewesenen Cyberangriff ausgesetzt war, der die Websites von Regierungsbehörden, Finanzinstituten und Medienunternehmen lahmlegte und von der Computerzeitschrift Wired als „Web War One“ bezeichnet wurde. Geldautomaten funktionierten nicht mehr, und wichtige Internet-Infrastrukturen waren zum Erliegen gebracht. In dieser Zeit des Chaos, die sich über mehrere Wochen erstreckte, lernte das baltische Land vieles über Cybersicherheit hinzu. DDoS gilt nach wie vor als Bedrohung, und Beleuchtungssoftware kann Schwachstellen für alle in das Netzwerk einer Stadt eingebundenen Geräte eröffnen, darunter der Verlust der Massenkommunikation. Die Software muss unbedingt den gesamten Datenverkehr an der Edge der Anwendung analysieren, bevor Daten die Chance erhalten, in das System einzudringen. Zudem muss auch die Sicherheit der Anwendung kontinuierlich getestet werden. Hacker feilen ständig an ihren Methoden. Es ist von entscheidender Bedeutung, dass Ihre Software den strengen externen Tests standhält, die regelmäßig von Dritten durchgeführt werden – Microsoft Azure fordert dazu aktiv auf .

LETZTLICH KOMMT ES AUF DIE MENSCHEN AN Die Server selbst stellen nur in seltenen Fällen die eigentliche Sicherheitslücke in Smart-City-Systemen dar. Zwei der häufigsten Schwachstellen in der Cloud-Sicherheit sind menschliches Fehlverhalten und schwache Zugangsdaten. Denken Sie nur an den Virus Anna Kournikova, der sich 2001 ausbreitete: Der Mensch wird immer das schwächste Glied in jeder Cybersicherheitsstrategie sein. Im Durchschnitt tritt alle 39 Sekunden ein Datenleck auf. Systembetreiber*innen können dieser Gefahr entgegenwirken, indem sie Passwörter verschlüsseln, häufig ändern und auf allen Geräten Firewalls einsetzen. Hacker-Angriffe sind ein sehr ernst zu nehmendes Problem. Auch Beleuchtungssteuerungssysteme können davon betroffen sein. Im Folgenden finden Sie einige Methoden, mit denen Sie Ihre Cloudanwendungen besser schützen können: ● Passwörter müssen komplex sein und häufig geändert werden. ● Berechtigungen müssen von einem Ausschuss kontrolliert und regelmäßig überprüft werden. ● Es müssen Verfahrensvorschriften definiert werden und Anwendung finden, wenn Personen zu einem System hinzugefügt bzw. von diesem entfernt werden. ● Es müssen Protokolle über die am System vorgenommenen Änderungen geführt werden. ● Entwickeln Sie ein Datensicherungskonzept für den Fall eines Angriffs, damit das System schneller wiederhergestellt werden kann und die Ausfallzeiten minimiert werden. ● Schulen Sie Ihre Mitarbeitenden. Phishing-E-Mails zählen zu den Haupteinfallstoren von Cyberattacken. Sie sollten daher zur Senkung der Risiken ein entsprechendes System einrichten und geeignete Schulungen anbieten. Mehr als 90 Prozent aller Cyberangriffe beginnen mit Phishing- E-Mails. Es steht niemand an einem Terminal und versucht, Ihr System zu hacken, so wie man es gelegentlich in Filmen sieht. Die Angreifer warten nur darauf, dass jemand auf einen bösartigen Link klickt oder eine bösartige Datei öffnet. Und dann warten sie ab. Sie lassen das Programm im Hintergrund laufen und erfassen dabei jeden Tastenanschlag und jedes Passwort. Monate später haben sie alle Informationen beisammen, die sie für ihren Angriff brauchen. Geeignete Schulungen und Präventivmaßnahmen sind für eine effektive Cybersicherheit entscheidend.

FAZIT

Eine Smart City ist nicht automatisch eine angreifbare Stadt. Städte in aller Welt sind Ziele für Cyberkriminalität, da sie über wichtige Daten ihrer Bürger*innen verfügen. Zum Schutz dieser Daten muss die Cybersicherheit immer auf dem aktuellsten Stand gehalten werden. Da die Anzahl der IoT-Geräte für städtische Aufgaben ständig zunimmt und kontinuierlich neue Anwendungen zur Kontrolle und Analyse der Daten auf diesen Geräten hinzukommen, sollten auch die Anforderungen an die Netzwerksicherheit steigen.

Beim Ausschreibungsverfahren sollte auf die folgenden Punkte geachtet werden: die Zertifizierung des Systems, die Kompatibilität mit vorhandenen Anlagen, den Cloud-Anbieter, die Sicherheit am Systemrand sowie eine solide Schulung für alle Beteiligten, die Zugang zum System haben. Überprüfen Sie die Cybersicherheit Ihres Systems in regelmäßigen Abständen und entscheiden Sie sich für Technologiepartner, die Wert auf die Sicherheit ihrer Anwendungen legen. Denn nur mit sicheren Daten können Sie als Smart City echte Erfolge verzeichnen.

Eric Talley Business Development Manager – Smart Cities

www.schreder.com

Copyright © Schréder S.A. 2023 – Verantwortlich für die Veröffentlichung: Stéphane Halleux - Schréder S.A. - rue de Mons 3 - B-4000 Lüttich (Belgien) Die hierin enthaltenen Informationen, Beschreibungen und Illustrationen haben keinerlei verbindlichen Charakter. Aufgrund fortschreitender Entwicklungen sind wir möglicherweise gezwungen, die Merkmale unserer Produkte unangekündigt zu verändern. Da unsere Produkte je nach den Anforderungen einzelner Länder unterschiedliche Merkmale aufweisen können, bitten wir Sie, Kontakt mit uns aufzunehmen.

Page 1 Page 2 Page 3 Page 4 Page 5 Page 6 Page 7 Page 8 Page 9 Page 10 Page 11 Page 12