KNX im Aussenbereich: Sicherheit?

[KNXNewbie10]

Hallo zusammen,

plane derzeit ein EFH zu bauen, das mit KNX ausgerüstet werden soll.
Dabei denke ich auch über die Anbindung von
- Garage (Licht, evtl schaltbare Steckdose)
- Aussenbereich (Licht [teilweise schaltbar, teilweise mit BWM), schaltbare Steckdose)
nach.
Hierbei stellt sich für mich die Frage nach der Sicherheit: da ja soweit ich das verstehe ein KNX-Netz nicht "password g-geschützt" ist, hat ja jeder, der irgendwie ans grüne Kabel kommt, die Möglichkeit über den Bus auf alle Aktoren etc. zu kommen. Wenn bspw. das Motorschloss am KNX hängt, kann er somit - zumindest theoretisch - auch die Tür öffnen.
Wie seht ihr das?

Aktoren (z.B. Lampen) könnte man ja anschliessen, indem man sie an Schaltaktoren hängt, die als REG-Aktoren im Verteilerkasten sind. Somit wären sie ja im Haus und keine KNX-Leitung würde den Aussenbereich erreichen.
Wie würde man Sensoren (z.B. Taster, BWM) anschliessen?
Sollte man hier "klassische" Geräte nehmen und diese dann auch auf REG-Binäreingänge (sorry, bin kein Techniker) führen?

Gruss
Norbert

[lio123]

Hallo Norbert,

erstmal Grüße nach Karlsruhe.
Viele habe es so gelöst, dass der Aussenbereich eine separate Linie hat und somit von der "Hauslinie" getrennt ist.
Das wird bei mir noch realisiert. Momentan geht die Hauslinie in die Garage. -Keine Prio

Für Schalter werden häufig Tasterschnittstellen oder Binäreingänge benutzt dessen "Adern vom Haus nach aussen geführt werden.

Es ist aber eher unwahrscheinlich, dass sich jemand mit dem Laptop auf dem Grundstück in Dein Haus "einbricht". Vielmehr die Möglichkeit den Bus per einfachen Kurzschluss tot zu machen.

Grüße,
Lio

[manu241]

Hallo Norbert,

wenn du kein grünes Kabel rausführst, dann bist du immer auf der "sicheren" Seite (Was ist schon sicher?).

Es gibt die möglichkeit alles über normale Taster, Bewegungsmelder etc zu machen (Tasterschnittstelle, REG.-Binäreingang)

Was du auch machen könntest wäre eine neue Linie. Dann hast du auch EIB im Außenbereich und wenn du dann die Gruppenadressen filsterst, dann kann eig. auch nichts passieren.

Ich denke auch, dass die wenigsten Einbrecher mit einem Laptop kommen.

Manuel

[netzkind]

Hallo Manuel,

Was du auch machen könntest wäre eine neue Linie. Dann hast du auch EIB im Außenbereich und wenn du dann die Gruppenadressen filsterst, dann kann eig. auch nichts passieren.

wie würde man das umsetzen wenn man gleichzeitig quasi-galvanische Trennung haben will - low-tech-Kurzschluss wäre ja auch ein vorstellbares Angriffsszenario?

Grüße,
Julian

[tbi]

Hallo,

jede Linie und jedes Liniensegment sind galvanisch voneinander getrennt. Die Trennung macht der Linienkoppler.

Das würde also mit einem eigenen Liniensegment ( über Linienverstärker) schon erfüllt sein.

Sicherer ist es nun die Linie dann auch noch mit einer eigenen Sicherung und ggf. FI abzusichern. In eine Fehlerfall würden andere Bereiche ( Linien) also nicht mit abgeschaltet.

Verwendet man eine eigene Außenlinie (über Liniekoppler) hat man noch zwei zusätzliche Sicherheits Feature:

1. Filter Tabellen => Es werden nur die wirklich notwendigen GA übertragen die nach/von außen müssen. Alle anderen sind zu blockieren.
2. Man kann im Linienkoppler die Übertragung physikalischer Addressierung ausschalten. Dann kann von dieser (aussen) Linie nicht mehr programmiert werden. Die Einstellung legt man nach dann Fertigstellen der Programmierung auf der Aussenlinien dann im Linienkoppler ein.

Meine 5 cent dazu

Gruß Tbi

[manu241]

Hallo,

dank tbi ist die antwort schon gekommen.

Danke

Manuel

[tbi]

Hab es mal ins Lexikon übernommen. Die Frage kommt ja immer wieder.

Außenlinie - KNX/EIB - Lexikon - KNX-User-Forum

Bitte mal gegenlesen, ob ich quatsch geschrieben hab

Gruß Tbi

[lio123]

gut, wirklich gut.
Doch was meinst Du mit der FI Absicherung? Doch wohl die Aktoren an der Linie, oder? DAs ggf noch klar stellen.

Grüße,
Lio

[StefanW]

Wie ist es mit Maßnahmen gehen Blitz / Überspannung?

[tbi]

Hallo,

gut, wirklich gut.

Danke Wirklich gut wird es aber immer erst zusammen mit euch.

Doch was meinst Du mit der FI Absicherung? Doch wohl die Aktoren an der Linie, oder? DAs ggf noch klar stellen.

Ich meinte damit die 230V Absicherung der KNX-Spannungsversorgung und anderer Geräte die an der Linie sind. Ja auch Aktoren, wenn vorhanden. Wenn etwas im Berührungsbereich von Benutzern ist, dann ist ein FI sicher nicht übertrieben. Wenn nicht sogar vorgeschrieben.

Überspannungsschutz

mmmh, sollte man auch beachten. Das ist aber nicht in einem Satz erklärt
Ich denke ein Verweis müste hier ausreichen?

Gruß Tbi

[TRex]

Bei der Gelegenheit aber auch daran denken, daß die IP-Cameras eben dann auf einen eigenen Router gehen, welcher nur den Bildport offen hat.
Vernünftigerweise sind EIB und IP ja via Gateway verknüpft.

Mich bewegt die Frage schon lange, was ist gefährlicher, ein EIB-Kabel oder ein Netzwerkkabel.

Schlussendlich sollten sicherheitsrelevante Funktionen ( Türöffnen usw. ) dann nicht über EIB angesteuert werden. Ob da dann mal nach einem Hackerangriff die LIchter brennen oder die Heizung läuft ist m.E. sekundär.

[tbi]

So, zweiter Versuch.

@Trex: Ja, IP in den Außenbereich zu legen ist noch etwas anspruchsvoller, wenn man es absichern will. Soweit ich mich erinnere hat die Mobotix Türstation da einige Konzepte drin.

Am besten kein IP nach draussen. Wenn es sein muß, dann ganz oben ans Haus hängen die Kamera. Wenn es dann an der Tür sein muß, mechanisch sehr gut schützen. Auch Sabotage kontakt ist dann ein muß. So wie bei einem Schlüsselschalter eben.

Am Switch ggf. in separates VLAN verbannen ? Firewall ?

Es gibt schon Möglichkeiten, muß man dann aber beherrschen

Sonst beherrscht es einen

Viele Grüsse

Tbi

[Stevek]

Hallo

also mal meine Meinung:

was bringt es einem Gangsta wenn er am Bus einen Kurschluss macht? Des wegen schick der Bus ja auch keine GA mit Tür auf Bitte?

eine eigene Linie im Aussenbereich hilft sicher um andere Geräte zu schützen (Kurzschluss etc.) aber wenn jemand deinen KNX Scannen will
dann stört den sicher kein Koppler.

die PA vom Koppler hat der sicher in weniger als 10min und wenn er die
Hersteller Datenbank auch hat ist der in weiteren 2,30min auf durchzug Programmiert.

die GA vom Türöffner zu finden ist sicher etwas schwerer als den Koppler zu umgehen.

also Fazit: bei mir kommt entweder kein Türöffner oder Garagentor auf den KNX oder es kommt kein Buskabel nach aussen.

mfg
Stefan

[lio123]

btw: Ich hab' mich mal umgehört:

In unserer Umgebung wurden hauptsächlich mit einem Flachschraubendreher die Fenster aufgehebelt. Meist waren es Jugend- oder Kinderbanden.

Weiss jetzt aber auch nicht ob die KNX kennen und das für die einfacher gewesen wäre.

Grüße,
Lio

[callidomus]

Netzsicherheit & EIB

Bei der Gelegenheit aber auch daran denken, daß die IP-Cameras eben dann auf einen eigenen Router gehen, welcher nur den Bildport offen hat.
Vernünftigerweise sind EIB und IP ja via Gateway verknüpft.

Mich bewegt die Frage schon lange, was ist gefährlicher, ein EIB-Kabel oder ein Netzwerkkabel.

Das hängt von der Topologie ab. Meiner Meinung nach braucht man EIB nicht direkt mit IP koppeln. Macht die Sache für das Programmieren aber natürlich komfortabler.
Wenn man seinen EIB schon direkt mit IP koppelt, sollte man wenigstens sein IP-Netz mit einer Firewall segmentieren. Viele haben ja auch ein WLAN mit "sicherer" Verschlüsselung.
Btw. so sehen in Zukunft die Streiche der Nachbarskinder aus. Sie hacken sich in dein WLAN und schalten beim Länderspiel deinen Fernseher aus. :-)

Schlussendlich sollten sicherheitsrelevante Funktionen ( Türöffnen usw. ) dann nicht über EIB angesteuert werden. Ob da dann mal nach einem Hackerangriff die LIchter brennen oder die Heizung läuft ist m.E. sekundär.

Full ACK!

Bis bald

Marcus