Mit der Neufassung der VdS-Norm 3841 und dem folgenden Update der EN 1300 soll das Sicherheitsniveau von Hochsicherheitsschlössern und verteilten Systemen steigen. Doch reichen diese Anforderungen aus? Und was passiert mit bestehenden Installationen?
Der Bargeldverkehr unterliegt ökonomischen Zwängen: Prozesse müssen effizient und kostensparend organisiert werden, doch die Sicherheit darf nicht darunter leiden. Als Lösung für Geldautomaten, Tresore und Schließfächer haben sich elektronische Schlösser bewährt, die häufig sogar vernetzt sind. Neben den Schutzklassen für Hochsicherheitsschlösser gibt es deshalb weitere Richtlinien und Normen, die insbesondere die Elektronik und die IT-Netzwerke in den Blick nehmen, um ein hohes Sicherheitsniveau zu gewährleisten. Hier ist beispielsweise die Norm EN 1300 zu nennen.
Aber auch VdS hat sich des Themas angenommen und eine eigene Richtlinie erarbeitet. „Die VdS-Norm 3841 umfasst die Anforderungen an Schlösser und Schließsysteme sowie verdrahtete oder drahtlose Übertragungssysteme“, erläutert Vertriebsleiter Detlef Lücke von INSYS locks, der in der Arbeitsgruppe WG3 an der neuen Norm EN 1300 mitwirkt.
Veränderte Bedrohungslage
Angesichts des technischen Wandels und der sich verändernden Bedrohungsszenarien ist es unerlässlich, diese Normen regelmäßig anzupassen, um ein weiterhin hohes Sicherheitsniveau zu halten. So verweist VdS in seinem Entwurf zur VdS 3841 unter anderem auf die kurzen Innovationszyklen elektronischer Anwendungen, insbesondere aber im Bereich IT. Dementsprechend könnten Prüfmethoden bei Bedarf kurzfristig an aktuelle Entwicklungen angepasst werden.
Zugleich ist man sich bei VdS bewusst, dass vernetzte Systeme komplex und multifunktional ausgelegt sein können. Die Richtlinie nimmt daher auch auf weitere Anforderungen Bezug, die möglicherweise tangiert sein können, unter anderem auf die VdS-Richtlinien für Brandschutz und Sicherungstechnik sowie für Einbruch- und Meldeanlagen.
Technik bereits an kommenden Standard angepasst
Im Rahmen der Novellierung führt VdS für Netzwerk-Schließsysteme eine neue Zertifizierungsstufe ein. Neben die bisherigen Kategorien 1/2/3/4 treten für vernetzte Systeme die Kategorien 1+/2+/3+/4+. Die aktuellen Versionen der TwinLock®-Produktserie von INSYS locks sollen dieser neuen Stufe entsprechend geprüft und zertifiziert werden.
„Wir streben eine Einstufung gemäß 2+/3+/4+ an“, so Entwicklungsleiter Mario Bauer. Der Zertifizierungsprozess läuft und soll bis Mitte des Jahres abgeschlossen werden. Um diese Zertifizierungen zu erhalten, hat der Hersteller die Software der Schlösser überarbeitet, um neue Funktionalitäten und höhere Sicherheitsstandards zu implementieren.
Eine Änderung betrifft den Update-Prozess: Mit der Forderung, Systeme auf dem Stand der Technik zu halten, sei es nun unerlässlich, dass ein Schloss mit neuer Firmware ausgestattet werden kann, betont Bauer. Darüber hinaus müsse Sorge dafür getragen werden, dass dieser Prozess auch wirklich sicher sei und nicht selbst ein Angriffsrisiko eröffne.
Betriebssicherheit im Auge behalten
Die VdS-Richtlinie legt unter anderem fest, dass bei einem Ausfall der Spannungsversorgung historische Daten, wie die Protokollierung von Zugriffen oder Firmware-Updates, sicher gespeichert werden müssen. Dennoch birgt ein Ausfall der Netzwerk-Verbindung – sei es durch einen Stromausfall oder Probleme im netzwerk bzw. bei einem zentralen Server – Risiken. Unter Umständen ist das Schloss dann nicht mehr in der Lage, mit anderen Schlössern oder einer zentralen Datenbank zu kommunizieren.
Die Technik der Netzwerk-Schlösser von INSYS locks geht in einem solchen Fall in einen autarken Offline-Modus. Da die Zugangscodes im Schloss gespeichert sind und nicht über das Netzwerk bezogen oder verglichen werden müssen, können die Schlösser trotzdem mit den bisherigen Codes geöffnet und geschlossen werden und sind in ihrer Funktion nicht beeinträchtigt.
„Zwar werden heute hohe Netzwerk-Verfügbarkeiten garantiert. Aber eine Verfügbarkeit von 99,99 Prozent bedeutet pro Jahr eine zulässige Ausfallzeit von insgesamt 52 Minuten“, erläutert Detlef Lücke. „Und wenn im entscheidenden Moment die Tresortür des Kunden nicht auf- oder der Safe nicht zugeht, dann hat die Bank ein Problem“.
Die Zugriffe werden im Offline-Betrieb richtlinienkonform in einem internen Speicher protokolliert und automatisch an den Zentralserver übertragen, sobald die Netzwerkverbindung wieder zur Verfügung steht.
Bestandsschutz versus Komplexität
Für die installierte Basis sind die neuen Normen zunächst einmal nicht relevant – hier greift der Bestandsschutz. Werden jedoch neue Schlösser hinzugefügt, die bereits der neuen Richtlinie entsprechen, könnte es kompliziert werden. Denn dann sind Geräte mit unterschiedlicher Funktionalität im gleichen Netz verbaut.
Ein solcher Mischbetrieb ist zwar technisch problemlos möglich. Für die IT-Administration und das Handling in der Praxis wäre aber eine einheitliche Plattform wesentlich effizienter. Lücke nennt dies „Convenience“ und meint damit die Verknüpfung von hohen Sicherheitsstandards mit Komfort für Kunden und Nutzer. Dabei geht es nicht etwa um Bequemlichkeit, sondern um Kosten- und Zeitvorteile, die sich aus der eindeutigen und schnellen Bedienbarkeit ergeben.
Da die nötigen Änderungen rein auf Software basieren, können installierte Systeme mittels Update den neuen Sicherheitsanforderungen angepasst werden. Bei INSYS locks hat man sich daher entschieden, bestehenden Kunden diese Möglichkeit zur Aktualisierung anzubieten. Je nach Kundenwunsch können alle Schlösser mit einer kompletten oder schrittweisen Umstellung auf einen einheitlichen Funktionsumfang und zugleich auf das aktuelle, höhere Sicherheitsniveau umgerüstet werden. Ebenso können künftige Änderungen nachträglich eingespielt werden.
EN 1300 wird aktualisiert
Die „Arbeitsgruppe Tresorschlösser“, die eine Aktualisierung der aktuell gültigen EN 1300 vorbereitet, verweist ebenso wie VdS auf immer neue Einbruchsmethoden. Die jüngste Aktualisierung widmete sich verstärkt Angriffen auf die elektronische Steuerung mit verschiedensten Mitteln, darunter Attacken mittels elektromagnetischer Strahlen oder unter gezielter Anwendung elektrischer Spannungen. So wurden neue Immersions-, EMV- und Schockprüfungen definiert. Zudem verschärften sich die Anforderungen für die Firmware der elektronischen Schlösser.
Zukünftig werden Angriffe über das Netzwerk verstärkt berücksichtigt. Eine entsprechende Würdigung der Sicherheit verteilter Systeme ist in Vorbereitung. Darunter fällt beispielsweise der Anspruch, die aktuellsten Kryptoverfahren bei der Erzeugung von Schlüsseln sowie beim Pairing von Komponenten im Netzwerk einzusetzen. Diese Neufassung wird vermutlich im übernächsten Jahr als EN 1300:2021 veröffentlicht. Auch hier hat INSYS locks bereits reagiert und die Verschlüsselungsalgorithmen berücksichtigt.
Investition in die Kundensicherheit
INSYS locks lässt seine eigene Management-Software TwinNet®, die mit den Schließsystemen TwinLock® zusammenarbeitet, regelmäßig von anerkannten deutschen Prüfinstituten für IT-Security testen. Mittels Penetrationstests wird ermittelt, ob die Software angreifbar ist. Gefundene Schwachstellen werden somit sofort eliminiert.
Weitere Belege für die Sicherheit der Management-Software bieten unter anderem die Unbedenklichkeitsbescheinigungen von Fiducia-IT und GAD, der IT-Dienstleister bei den Volks- und Raiffeisenbanken, sowie die OPDV-Freigabe der Sparkassen-Finanzgruppe. „Diese Prüfungen und Zertifizierungen bedeuteten für uns erhebliche Investitionen, sind aber angesichts der heutigen Cyber-Angriffe unerlässlich“, unterstreicht Detlef Lücke.
„Die Funktionalität einer Lösung, also von Schlössern, Netzwerk und Software-Anwendung, ist ein bedeutendes Argument bei der Entscheidungsfindung. Neben den Schlössern und der Management Software TwinNet® spielt die IT-Sicherheit des Gesamtsystems eine entscheidende Rolle“, ergänzt Mario Bauer.
Dieser Artikel wurde ursprünglich im IT-Banker – Ausgabe 01, 2020 (Erscheinungstermin: 26.02.2020) veröffentlicht: