Eine Frage an alle IT-Experten unter den Heizungsfachleuten

[RBaum]

Ich habe die Vitoconnect OPTO 1 an meine neue Viessmann Brennwertheizung angeschlossen, und festgestellt, dass ein Viessmann Service Techniker sich nach meinem Login über die Vicare App jederzeit unbemerkt von mir auf meine Heizung aufschalten kann, wie es heißt zu Diagnosezwecken, aber Einstellungsänderungen könnten natürlich auch vorgenommen werden.

Ich halte das für extrem merkwürdig, da ich ja der Besitzer der Heizung bin und jederzeit die volle Kontrolle darüber behalten muß.

Fachlich ausgedrückt:

Ein Remote-Zugriff auf Basisinfrastruktur ohne Kenntnis/Zustimmung des Eigentümers ist ein absolutes No-Go in der IT-Sicherheit.

Ich habe bereits mit einem Mitarbeiter der Viessmann Customer Care darüber diskutiert und vor einem Zugriff durch einen Techniker eine 2-Faktor-Authentifizierung vorgeschlagen.

Ich habe jedoch für meinen Vorschlag wenig Verständnis erhalten.

Der einzige Lösungsvorschlag war, die Vitoconnect wieder vom Internet zu trennen.

Meine Meinung ist: So kann das nichts werden mit SmartHome und Internet der Dinge.

Was meint Ihr als Fachleute dazu ?

[Franky]

Glaubst du wirklich, dass ein Heizbetrieb ohne deine Zustimmung an der Therme irgendwelche Änderungen vornimmt ?

Oder lasse es mal eine Anlage eines Mehrparteien-Hauses sein. Eigentümer wäre eine Wohnungsgesellschaft. Wer übernimmt hier die Kontrolle ? Versuche mal, Freitagnachmittag wen von einer Wohnungsgesllschaft ranzukriegen, damit der seine Zustimmung gibt .

[CustomerCareBen]

Hallo RBaum,

wie du korrekt geschrieben hast, haben wir hierzu bereits via E-Mail Kontakt gehabt. Was nicht stimmt, dass du wenig Verständnis erhalten hast, denn wie ich dir dort geschrieben habe, wurde es als Anregung bereits an die Entwickler weitergegeben.

Ich habe dir aber ebenfalls bereits geschrieben, dass du ggf. aufgrund deines doch sehr großen Misstrauens, das System (Vitoconnect/ ViCare) deaktivieren solltest.

Es wird sich niemand bewusst oder unbewusst oder aus Böswillen genau auf deine Anlage aufschalten, um dort die Raumsolltemperatur von beispielsweise 20°C auf 25°C erhöhen. Welchen Sinn sollte das haben?

Gruß °be

[KarlZei]

Es macht keinen Sinn. Aber es ist möglich: böser Viessmann-Mitarbeiter, hohldrehender Heizungsfachbetrieb, Hacker.

Man stimmt zwar bei der Einrichtung der VitoConnect / App den Datenschutz- und Nutzungsbedingungen zu, aus denen hervorgeht, dass Viessmann und ein freigeschalteter Fachbetrieb jederzeit Zugriff auf die Daten der Heizung haben und diese für diverse Zwecke nutzen dürfen.
Es steht aber nirgends explizit, dass man einem Zugriff auf das Gerät zum Zwecke der Veränderung von Einstellungen zustimmt. Es wird noch nicht einmal erwähnt, dass es möglich ist. Erst wenn man über VitoGuide stolpert, erkennt man, dass es möglich ist. Oder habe ich das irgendwo überlesen?

[RBaum]

Ja, es ist möglich und ich habe das selbst erlebt.
Die weniger wahrscheinlichen Möglichkeiten böser Viessmann-Mitarbeiter, hohldrehender Heizungsfachbetrieb, Hacker sind natürlich auch ein Sicherheitsproblem, aber vielmehr stört mich, dass auch ein wohlmeinender Techniker ohne mein Wissen Einstellungen ändern kann (z. B. Heizkennlinie verändern, andere Zeiten für Nachtabsenkung eingeben).

Das ist meine Heizung und es ist ein No-Go, dass mich niemand fragen muß, bevor er etwas verstellt.
Wenn Viessmann hier nich afu das Problem eingeht, werde ich wirklich mein Vitoconnect wieder vom Netz nehmen.

[Hausdoc]

Zitat:

Ein Remote-Zugriff auf Basisinfrastruktur ohne Kenntnis/Zustimmung des Eigentümers ist ein absolutes No-Go in der IT-Sicherheit.

Ohne Kenntnis des Eigentümers dürfte das kaum möglich sein.   Es ist immer so daß der Eigentümer  entsprechende Daten preisgegeben hat.

Ein Fachmann hat zudem kein gesteigertes Intertesse daran an Kundenanlagen nur aus Jux und Trollerei irgendwas zu verstellen.    

Bei fernüberwachten Anlagen bei denen bei Fehlbedienung Schaden entstehen kann sind immer Kennwortgeschützt - meist auch aufgeteilt in unterschiedliche Benutzerebenen ( Kunde, Haustechniker, Servicetechniker....) . Dabei wird protokolliert wer sich wann  eingeloggt hat und  ggf was dann geändert wurde.

Noch heiklere Anlagen benötigen sogar bei Bedienung vor Ort dynamische Passwörter ( Vitobloc z.b.)

[Achat]

War der "Viessmann Service Techniker" Mitarbeiter deines Fachbetriebs, und hast du in der App die Servicefreigabe für deinen Fachbetrieb vorgenommen?

Ansatzweise ist die Möglichkeit des Ferneingriffs in https://www.viessmann.de/de/viessmann-apps/vicare-app.html unter "Was kann die App" am Schluss erwähnt. Meiner Ansicht nach ist aber die Datenschutzerklärung (Stand 1.11.2018) zu diesem Punkt ungenügend und müsste ergänzt werden.