Cybersecurity der Viessmann Lösungen für Privatkunden

[SeniorPrincipalQA]

Hallo zusammen,

Mein Hintergrund: Ich bin Qualitätsingenieur in einem größeren Cloud-Unternehmen, wo ich mir täglich selbst "die Hände schmutzig mache" - auch in Hinsicht auf Cybersecurity. In den knapp 35 Jahren in der Entwicklung und Qualitätssicherung habe ich in genug Abgründe gestarrt, um zu wissen, ab wann es brenzlig wird.

Leider habe ich bislang - erfolglos - nach Informationen gesucht, die mich überzeugen könnten, eine mir angebotene Installation einer Viessmann Wärmepumpe durchzuführen und diese dann auch noch mit der Viessmann Cloud verbinden zu lassen, um durch Bezahlen mit meinen Daten in den Genuß einer längeren Garantie zu gelangen. Mein möglicher Heizungsbauer ( der auch 1999 die aktuelle Eurola Brennwertheizung installiert hat ) zuckte angesichts meiner Fragen nur hoffnungslos mit den Schultern ...

Gefunden habe ich auf meiner Suche lediglich diverse Sicherheitslücken im Kontext von Vitogate 300

• https://nvd.nist.gov/vuln/detail/CVE-2023-5222 ( Score 9.8 CRITICAL )
• https://nvd.nist.gov/vuln/detail/CVE-2023-5702 ( Score 6.3 MEDIUM )
• https://nvd.nist.gov/vuln/detail/CVE-2023-45852 ( Score 9.8 CRITICAL )

The vendor was contacted early about this disclosure but did not respond in any way.

( Offensichtlich auch nicht nach Aktualisierungen der Einträge 2024 ... )

... und im Netz findet sich nirgends ein Hinweis, daß diese Schwachstellen behoben wurden.

Nun ist Vitogate 300 kein Produkt für's Eigenheim. Wenn aber die Behebung von erheblichen Schwachstellen in Produkten für kommerzielle Kunden nach Jahren noch unklar ist, was kann ich für Produkte erwarten, die in Eigenheimen eingesetzt werden?

Da meine Anfrage via eMail aus mir unverständlichen Gründen abgewiesen und ich hierher verwiesen wurde, wiederhole ich meine Fragen also hier öffentlich an die Firma Viessmann:

1. Wie stellen Sie sicher, dass Software-Updates für Ihre Heizungen sicher und vertrauenswürdig sind?

   • Welche Verfahren haben Sie implementiert, um die Integrität und Authentizität der Software-Updates zu überprüfen?

2. Welche Maßnahmen haben Sie ergriffen, um Ihre Systeme und Daten vor Erpressungsangriffen zu schützen?

   • Gibt es regelmäßige Sicherheitsüberprüfungen und Penetrationstests, um Schwachstellen zu identifizieren und zu beheben?
   • Werden Mitarbeiter regelmäßig zum Thema Cybersicherheit weitergebildet?

3. Wie gewährleisten Sie den Schutz sensibler Daten, die während der Nutzung Ihrer Heizungen gesammelt werden?

   • Welche Verschlüsselungstechnologien, Chiffrieralgorithmen ( Transfer und Speicherung!) und Zugriffskontrollen setzen Sie ein, um die Datensicherheit zu gewährleisten?

4. Was sind Ihre Richtlinien und Verfahren im Falle eines sicherheitsrelevanten Vorfalls?

   • Wie informieren Sie betroffene Kunden und welche Schritte unternehmen Sie, um den Vorfall zu beheben und zukünftige Vorfälle zu verhindern?

5. Wie regeln Sie die Haftung im Falle von Schäden, die durch Sicherheitsvorfälle oder Softwarefehler verursacht werden?

   • Gibt es klare Haftungsausschlüsse oder -beschränkungen in Ihren Nutzungsbedingungen, und wie kommunizieren Sie diese an Ihre Kunden?

Sobald der britischem Cybersecurity Bill in Großbritannien voll in Kraft getreten ist, kosten dort Verstöße bis zu 100000 Pfund / Tag. Eine Firma, die auch dort tätig ist, hat sicherlich auch Antworten auf obige Fragen bereits in der Schublade.

[Oberberger]

Ich Frage mich gerade,  ob Sie diese Fragen auch an die Hersteller bzw. den Anbieter Ihrer/Ihres

- Smartphones

- Routers

- SmartWatch

- Smart TV

- PV-Wechselrichter

- Autos

- NAS

- Überwachungskamera

- Videotürklingel

- Loyalitätsprogramme (Payback, Miles&More...)

- Internetservices (Cloud, Social Media...)

- E-Commerce Plattformen

- Webbrowser

- etc. pp

stellen und welche bzw. wie viele Antworten Sie darauf erhalten haben.

Von sensiblen Dingen wie Banken, Gesundheitstelematik und Steuerportalen ganz zu schweigen.

[Küstenpumpe]

Sehr gute Thematik. Bin mal gespannt ob VM überhaupt antwortet. Wenn dann nur in einigen Monaten Blabla aus der Rechtsabteilung. 

Aber eher nichts konkretes, du bist bei VM  als Endkunde ein ganz kleines Licht. 

Der Zwang zur Cloud kot*** mich auch an.

Intranet am besten mit LAN  wäre mir lieber, aber das kann VM nicht.

Ärmlich, an sich peinlich. Ebenso der spärlich Umfang der Möglichkeiten meiner Software Stand 2024, jeder Gameboy anno 2000 kann mehr.

Wenn ich das früher gewußt hätte wäre es keine VM WP geworden. Jede chinesische IP Cam für 49 Euro kann man im Intranet betreiben, nur eine VM WP für 10.000 Euro nicht. 

[SeniorPrincipalQA]

Ich frage mich nicht, ob ich meine digitale Souveränität aufgeben soll und mein Schicksal komplett anderen überlassen soll. Das damit verbundene Lamentieren über die Welt überlasse ich anderen und tue etwas, wenn es mir wichtig und es machbar ist.

Was ich tue, kommt auf das Risikoprofil des Geräts an. Eine Heizung ist für mich systemkritisch - knapp unter einem PKW.

Mein Netzwerk ist gehärtet und 

ca. 50% der DNS Anfragen ( SmartTV, unsocial media, etc.) werden derzeit blockiert. Auf meinem Telefon läuft CalyxOS ohne Google Playstore, und, und ...

Viel mehr Erklärung hat dieser ablenkende  Einwurf kaum verdient.

[_RF_]

Ich finde die Fragen sinnvoll und auch wichtig. Da ich selbst früher bei meinem Arbeitgeber den Bereich Datenschutz überwacht habe, sind mir die Themen vertraut und plausibel.

Und, bestimmt hat jedes renomiertes Unternehmen - dazu zähle ich auch Viessmann - eine Antwort auf die Fragen. Nur diese werden meist von Juristen so allgemein formuliert, dass man daraus keine handfesten Information ableiten kann.

Vielleicht ist es bei Viesmann ja anders und es kommen klare Aussagen? - Würde mich daher freuen, diese hier zu lesen...

[Küstenpumpe]

Die Rechtsabteilung wird über Flo oder sonst wen wischiwaschi antworten :

(Wenn überhaupt den Endkunden geantwortet wird..) 

"Die Sicherheit unserer Kunden liegt uns am Herzen und wir tun alles......" 

Etc. ppp.

Dann sind sie damit durch. Die werden einen Teufel tun auf Einzelheiten explizit ein zu gehen. 

[SeniorPrincipalQA]

Ich alleine, kann nur einen kleinen Pieks mit der Nadel setzen, das ist mir klar. 😉

Aber allein aus UK weht jetzt ein anderer Wind - und die haben ein fettes Schwert!

Vielleicht sieht aus die EU mittlerweile ein, daß etwas geändert werden muß.

Immerhin ist jetzt - nach Monaten - auch das Thema chinesischer Wechselrichter & PV Module angekommen.

Bin eigentlich zuversichtlich, daß sich was tut. 

[Oberberger]

Deine digitale Souveränität gibst Du quasi täglich mit jeder Nutzung Deiner EC-/Kreditkarte auf. Meiner Erfahrung nach sind es gerade diejenigen, die hinsichtlich des Datenschutzes kritische Fragen stellen, die selbst bei jeder Gelegenheit einen Ausverkauf ihrer Daten bei Payback, Facebook, Google/Apple Health und Amazon Alexa starten.

Ich persönlich spiele da lieber gedanklich eine Datenschutzfolgeabschätzung durch und da stehen z.B. Gesundheits-, Bewegungs-, und Finanzdaten auf meiner Prioritätenliste. Was wäre der Worstcase bei einer Heizung? Jemand verändert die Betriebsparameter so, dass sie kaputt geht. Oder, um Mal ein die bösen chinesischen Hacker zum Einsatz kommen zu lassen, alle Heizungen laufen auf maximaler Last, um das Stromnetz zu überlasten. Ob ich das für wahrscheinlich halte? Nein, tue ich nicht.

Das Du 50% Deiner DNS Anfragen blockst ist löblich aber interessiert Dich gar nicht, was mit den übrigen 50% passiert? Wenn Du ähnlich wie ich 1 Mio+ DNS Anfragen pro Monat generierst, bleiben immerhin 500k Anfragen übrig, die ganz sicher nicht vollständig unter Deiner Kontrolle sind. Allein schon deshalb, weil der z.B. der Provider immer weiß, über welchen Zugangsknoten Du ins Netz gehst.

Isoliert auf ein Unternehmen lässt sich vielleicht Zero Trust umsetzen, als Privatperson in einer vernetzten Welt ist das unmöglich. Das solltest Du in Deiner Position/Funktion eigentlich wissen.

Damit wars das dann auch von meiner Seite. Viel Erfolg beim Hochziehen der Schutzwälle, pass nur auf, dass es Dir nicht ergeht wie Troja. Die hielten sich auch für gut abgesichert 😉

[Franky]

Ich werfe es mal einfach so in den Raum: Ihr wisst hoffentlich,dass die Wärmepumpensparte nun fest in amerikanischer Hand ist? 

Wer ist nun für die Cloud verantwortlich ? Viessmann, Carrier oder beide ?

[SeniorPrincipalQA]

Arbeite selbst für eine amerikanische Firma.

Ob das ein Problem ist?

Gegebenenfalls so sehr wie chinesische e-Autos, Wechselrichter und Solarmodule mit nicht dokumentierten Funkempfangsmodulen.

Aber konkret hier und heute will ich erstmal einigermaßen sicher sein, daß es absehbar keinen Salt Typhoon-Vorfall geben wird, wie die Haftung geregelt ist und daß ich im Zweifel offline gehen kann.

[Franky]

Und denke dran: so sicher wie nötig. Nicht,wie möglich. 

Es geht hier nur um Heizungen. Das Interesse am Heizverhalten wird sich in engen Grenzen halten.

Und am Sichersten ist immer der,welcher sich gar nicht erst einbindet.

Ich frag mich eh,warum eine verlängerte Garantie davon abhängig ist,ob online oder offline.

[SeniorPrincipalQA]

Eine Firma, die herausgibt, 1 Million Heizungen in der Cloud zu haben ist ein exzellentes Ziel für Supply chain und Ransomware Attacken.

In diesen Zeiten leben wir:

https://www.security-incidents.de/sicherheitsvorfall-datenbank/

[SeniorPrincipalQA]

1 Million Heizungen wären auch ein ansehnliches Botnet ...

[SeniorPrincipalQA]

Es wäre sicher für die Community hilfreich, wenn die Firma Viessmann sich zur Beantwortung der Fragen durchringen könnte.

https://www.security-incidents.de/sicherheitsvorfaelle/ransomware_angriff_hersteller-von-fl%C3%A4che...

[Heizing]

Im schlimmsten Fall kann jemand deine Anlage in den Abschaltbetrieb bringen. Frostschutz ist immer noch gewährleistet. Dann trennst du einfach die Verbindung zum Internet und schaltest manuell wieder ein.

Die sicherheitskritischen Dinge sind sowieso über mechanische Schalter abgesichert, da kannst du aus der Ferne nichts manipulieren.

Weiter gab es vor einigen Jahren diese Antwort:

https://community.viessmann.de/t5/Konnektivitaet/Datensicherheit-bei-Viessmann/td-p/180111

[Stefan871]

Du kannst schon über ViGuide Sachen verstellen und Viessmann konnte zu vor schon aus der Ferne in der Codierung Daten ändern.

Es gibt also die Möglichkeit etwas zu ändern und wenn man dann den Code ändert, dann kannst du sicher auch mehr verändern oder einfach die Funktion sperren.

Thermostat 

GLT 

Ist ja auch das selbe mit dem Auto, wenn die Hardware noch willig ist, aber die Software dich nicht lässt, dann fährt es auch nicht mehr los.

Stell dir vor auf deiner Onebase steht plötzlich das du 5.000€ in Bitcoin überweisen sollst, sonst bleibt die gesperrt. 

[Heizing]

Na ja, Thermostat auf 99°C stellen.🤣 Keine Sorge, du wirst nicht gekocht, die Leistung bringt deine WP gar nicht.😄

Da ist viel Angstmache dabei, selbst wenn in der Codierung was sein sollte, kannst du sie wieder in den Anlieferungszustand bringen. Und Viessmann kann sicher wieder alle OneBases auf den ursprünglichen Zustand zurückbringen. Sind ja keine persönlichen Daten, für die man Lösegeld zahlen würde. 

Außerdem habe ich ja oben zahlreiche Sicherheitsmaßnahmen verlinkt.

[Stefan871]

Klar ist manches erstmal ein Kinderspiel, aber man sollte diesen Gefahrenpunkt nicht unterschätzen.

Guck dir Fasana an und was sowas für folgen haben kann. 

Nun stell dir einfach vor das 50% der Regler danach unbrauchbar werden und ersetzt werden müssten. Wer zahlt das? Auch wenn Viessmann hier nur vor Ort ein Update aufspielen müsste, wird das schon ordentlich Geld kosten.

Deswegen sollte es schon wichtig sein, das stetig in Sicherheit investiert wird und Sicherheitslücken geschlossen werden. 

Wir haben immer mehr "kleine" Sachen im Heimnetzwerk und jedes davon kann eine Schwachstelle sein.

Man bekommt es vielleicht selber nicht mit, aber wenn dein Kühlschrank plötzlich beim DDoS dabei ist und eine Website/Server lahm legt, dann ist das nicht so geil.

Klar, wenn man nicht selber betroffen ist, dann nimmt man sowas auch nicht ernst.

Einem Kunden von uns hat ein Hackerangriff ein zweistelligen Millionenbetrag gekostet und die dachten die wären auch "sicher".

Allein letztes Jahr gab es für die deutsche Wirtschaft ein Schaden von 266 Milliarden und davon alleine 13 Milliarden wegen Erpressung. 

Das ganze hat ja auch nichts mit Angst zu tun, aber man sollte mögliche Folgen nicht außer Acht lassen.

Logischerweise wären unsere Heizungen nur Bauernopfer, weil wir uninteressant sind.

[SeniorPrincipalQA]

Das ist nicht der schlimmste, sondern der einfachste Fall.

Im schlimmsten Fall wird die Infrastruktur, über den das Update läuft korrumpiert ( was natürlich nur geht, wenn die Updates nicht signiert sind ) oder die Entwicklungsumgebung des Herstellers infiziert ( siehe: Solarwinds Fall ) und Du bekommst ein korrumpiertes Update.

Danach kannst Du so oft starten wie Du möchtest.

Mit etwas mehr Pech geht es Dir wie dem Iran mit Stuxnet: Die korrumpierte Software beschädigt oder zerstört die Hardware.

Viessmann ist kein schlechtes Ziel dafür, damit eine Ransomware-Attacke zu kombinieren - nicht zu klein (um sich zu lohnen) und nicht zu groß ( um nicht staatliche Akteure auf den Plan zu rufen ). Am Ende bin ich dann gespannt, wie lange es dauern würde, bis jede Heizung einen 'Besuch' von einem Heizungsinstallateur bekommen hat - ggf. mit Hardwaretausch - und wieder sicher läuft.

OK, in Deutschland spielt der Staat als Akteur keine Rolle - dort würde der zuständige Minister mit den Schultern zucken und sagen: 'Ich kann nicht verhindern, dass Solaranlagen Wärmepumpen ferngesteuert werden ...'

Deswegen kann ich nur erneut Viessmann bitten, zu diesem Thema Stellung zu nehmen - auch wenn's "nervt".

Ich kenne mich genug in dem Thema aus und werde dran bleiben!

... und die Regulierungen in UK bleiben auch und können Viessmann finanziell ziemlich wehtun.

[Heizing]

---

@SeniorPrincipalQA  schrieb:

Mit etwas mehr Pech geht es Dir wie dem Iran mit Stuxnet: Die korrumpierte Software beschädigt oder zerstört die Hardware.

Ja, diese Zentrifugen liefen zu schnell. Wenn das zu einem Schaden führen kann, hätten sie mit einem rein mechanischen Fliehkraftschalter zusätzlich überwacht werden müssen. Übertragen auf die Heizung heißt das, die mechanischen Temperaturregler und Pressostaten würden abschalten.

Ich denke, vor Ort müsste nichts getauscht werden. Vi würde seinen Server neu aufsetzen und die Anlagen würden die Firmware komplett neu ziehen.

Aber sind die Maßnahmen, die im verlinkten Post von 2021 genannt werden, nicht ausreichend?

[SeniorPrincipalQA]

Sagen wir mal so: Wenn nicht die CVE's von 2023 / 2024 danebenstehen würden, wären zumindest der erste und zweite Punkt in Teilen abgehakt.

(Wobei klar ist, daß einmaliges Prüfen bei einer weiterentwickelten Software nicht reicht.

Nach meiner Erfahrung, ist das mindestens jährlich - auch weil sich die Bedrohungslagen ändern. Hier würde ich davon ausgehen und darauf vertrauen, daß das auch passiert.)

Alle weiteren Punkte bleiben mit der Antwort von 2021 weiter offen.

Und seit Solarwinds, Colonial Pipeline und Kaseya 2021 hat sich das "Spiel" signifikant geändert.

Seitdem werden Systeme eben auch von innen angegriffen. Dann würde die infizierte Lieferung signiert von Band rollen. Und dann sind die Heizungbesitzer nur die Verhandlungsmasse, über die Schaden und damit Lösegeldhöhe bestimmt wird.

In diesem Kontext auch noch Level 9.x Patzer wie hard coded credentials zu sehen, auf die eine Firma nach Ankündigung der "responsible disclosure" nicht einmal reagiert - da bleibt mir die Spucke weg und ich frage mich, was das Wedeln mit signierten Images wert ist, wenn die handwerklichen Klopper selbst geliefert und ein Lernprozess nicht sichtbar ist.

Fehler passieren, werden gefunden und werden (hoffentlich) behoben ... oder eben nicht.

Geheimniskrämerei in Sachen Security - die Zeiten, in denen das akzeptabel war, sind aus meiner Sicht dahin ...

[SeniorPrincipalQA]

Was stuxnet angeht, vertraue auf die desruktive Kreativität von Angreifern und versetze Dich in ihre Welt:

• Wie lange wird es wohl dauern, bis Teile wie Pumpen versagen, wenn sie im Sekundetakt ein- und ausgeschaltet werden?
• Oder wie lange hält der SD Speicher in der Steuerung, wenn ein bösartiger Prozess ihn wieder und wieder überschreibt?

Jetzt stell' Dir vor, die Änderung ist raus, 100 Anlagen gehen aus unerfindlichen Gründen zur gleichen Zeit kaputt.

[Heizing]

---

@SeniorPrincipalQA  schrieb:

• Wie lange wird es wohl dauern, bis Teile wie Pumpen versagen, wenn sie im Sekundetakt ein- und ausgeschaltet werden?

---

Hm, da müsste die Pumpe intern abschalten, da ist schon ein Überlastungsschutz drin. 

Oder wie lange hält der SD Speicher in der Steuerung, wenn ein bösartiger Prozess ihn wieder und wieder überschreibt?

Ja, das könnte ich mir tatsächlich vorstellen. Könnte man aber auch mit einer von außen nicht zugänglichen Schreibbegrenzung abfangen.

Was mich bei der Pipelinegeschichte interessieren würde, warum zahlen die Lösegeld? Ich kann doch alle Schieber auch manuell öffnen.😉 Oder wäre der Einnahmeverlust höher gewesen, in der Zeit, die die Techniker zum Rausfahren brauchen?

Die kompromittierten elektronischen System müssen doch ohnehin alle neu aufgesetzt werden.

[SeniorPrincipalQA]

Schonmal gut zu lesen, daß Hardware-seitig gewisse Begrenzungen z.B. für Pumpen

Also, ich kenne zumindest keine Microcontroller, die Schreibzugriffe begrenzen.

Da ist kein Betriebsystem drin, mit dem was sowas ggf. tun könnte.

Aber ich weiß ja nicht, was da verbaut ist ...

Bei Colonial Pipeline waren es die Abrechnungssysteme. Wenn das Geld von vielen Orten nicht mehr reinkommt nutzen die laufenden Pumpen nichts - vielleicht sogar im Gegenteil - das Geld kommt nicht mehr rein. Also wurde die Auslieferung gestoppt.

Es geht um maximalen möglichen Schaden. Datenverlust wird bei Heizungen eher ausfallen:

• Reputationsverlust, wenn Kunden die Lösung nicht mehr kaufen - insbesondere auch Kunden mit Großanlagen.
• Schadenersatzforderungen bei beschädigten Geräten und Gerichtsprozesse ( Was gilt, wenn Gewährleistung und Garantie weggefallen sind und meine Heizung durch eine solche Attacke kaputtgegangen ist? Wird alles abgewiesen, um Trittbrettfahrer abzuwehren?)
• Kosten für Vor-Ort-Service ( Wer zahlt was? Viessmann? Heizungsmonteur? Kunde? Nicht immer 100% klar und logisch für juristische Laien. )
• DOS Attacken, wenn die Heizungen, denen man ja genuin vertraut (und deswegen keine Rate-Limits vorschiebt), plötzlich die eigene Infrastruktur fluten und zum Absturz bringen.
• Und, und, und ...

Jedenfalls danke, für Infos von Deiner Seite!

Noch besser wäre es natürlich, wenn die Firma Viessmann definitive Antworten gäbe.

[SeniorPrincipalQA]

Ich finde es übrigens interessant, daß Mitbewerber von Viessmann 5 Jahre Garantie auch ohne Online-Anschluß anbieten und lediglich einen Wartungsvertrag voraussetzen.

Den habe ich seit 1999 mit einem Heizungsinstallateur sowieso ...

Auch aus dieser Perspektive wäre es interessant, wenn die Firma Viessmann sich entschlösse, mit offenen Karten zu spielen und die 5 Fragen zu beantworten.