Cybersecurity der Viessmann Lösungen für Privatkunden

[SeniorPrincipalQA]

Hallo zusammen,

Mein Hintergrund: Ich bin Qualitätsingenieur in einem größeren Cloud-Unternehmen, wo ich mir täglich selbst "die Hände schmutzig mache" - auch in Hinsicht auf Cybersecurity. In den knapp 35 Jahren in der Entwicklung und Qualitätssicherung habe ich in genug Abgründe gestarrt, um zu wissen, ab wann es brenzlig wird.

Leider habe ich bislang - erfolglos - nach Informationen gesucht, die mich überzeugen könnten, eine mir angebotene Installation einer Viessmann Wärmepumpe durchzuführen und diese dann auch noch mit der Viessmann Cloud verbinden zu lassen, um durch Bezahlen mit meinen Daten in den Genuß einer längeren Garantie zu gelangen. Mein möglicher Heizungsbauer ( der auch 1999 die aktuelle Eurola Brennwertheizung installiert hat ) zuckte angesichts meiner Fragen nur hoffnungslos mit den Schultern ...

Gefunden habe ich auf meiner Suche lediglich diverse Sicherheitslücken im Kontext von Vitogate 300

• https://nvd.nist.gov/vuln/detail/CVE-2023-5222 ( Score 9.8 CRITICAL )
• https://nvd.nist.gov/vuln/detail/CVE-2023-5702 ( Score 6.3 MEDIUM )
• https://nvd.nist.gov/vuln/detail/CVE-2023-45852 ( Score 9.8 CRITICAL )

The vendor was contacted early about this disclosure but did not respond in any way.

( Offensichtlich auch nicht nach Aktualisierungen der Einträge 2024 ... )

... und im Netz findet sich nirgends ein Hinweis, daß diese Schwachstellen behoben wurden.

Nun ist Vitogate 300 kein Produkt für's Eigenheim. Wenn aber die Behebung von erheblichen Schwachstellen in Produkten für kommerzielle Kunden nach Jahren noch unklar ist, was kann ich für Produkte erwarten, die in Eigenheimen eingesetzt werden?

Da meine Anfrage via eMail aus mir unverständlichen Gründen abgewiesen und ich hierher verwiesen wurde, wiederhole ich meine Fragen also hier öffentlich an die Firma Viessmann:

1. Wie stellen Sie sicher, dass Software-Updates für Ihre Heizungen sicher und vertrauenswürdig sind?

   • Welche Verfahren haben Sie implementiert, um die Integrität und Authentizität der Software-Updates zu überprüfen?

2. Welche Maßnahmen haben Sie ergriffen, um Ihre Systeme und Daten vor Erpressungsangriffen zu schützen?

   • Gibt es regelmäßige Sicherheitsüberprüfungen und Penetrationstests, um Schwachstellen zu identifizieren und zu beheben?
   • Werden Mitarbeiter regelmäßig zum Thema Cybersicherheit weitergebildet?

3. Wie gewährleisten Sie den Schutz sensibler Daten, die während der Nutzung Ihrer Heizungen gesammelt werden?

   • Welche Verschlüsselungstechnologien, Chiffrieralgorithmen ( Transfer und Speicherung!) und Zugriffskontrollen setzen Sie ein, um die Datensicherheit zu gewährleisten?

4. Was sind Ihre Richtlinien und Verfahren im Falle eines sicherheitsrelevanten Vorfalls?

   • Wie informieren Sie betroffene Kunden und welche Schritte unternehmen Sie, um den Vorfall zu beheben und zukünftige Vorfälle zu verhindern?

5. Wie regeln Sie die Haftung im Falle von Schäden, die durch Sicherheitsvorfälle oder Softwarefehler verursacht werden?

   • Gibt es klare Haftungsausschlüsse oder -beschränkungen in Ihren Nutzungsbedingungen, und wie kommunizieren Sie diese an Ihre Kunden?

Sobald der britischem Cybersecurity Bill in Großbritannien voll in Kraft getreten ist, kosten dort Verstöße bis zu 100000 Pfund / Tag. Eine Firma, die auch dort tätig ist, hat sicherlich auch Antworten auf obige Fragen bereits in der Schublade.

[Oberberger]

Gegenvorschlag: Geh doch einfach einem anderen Hersteller auf den S... 😉

Keiner zwingt Dich ein Sicherheitsrisiko mit Viessmann Logo zu kaufen.

Alternativ kannst Du hier weiter Selbstgespräche führen.

[Heizing]

@Oberberger bisschen grenzwertig deine Ausdrucksweise für dieses Forum, auch wenn ein Smiley dran ist.

[Heizing]

---

@SeniorPrincipalQA  schrieb:

Bei Colonial Pipeline waren es die Abrechnungssysteme. Wenn das Geld von vielen Orten nicht mehr reinkommt nutzen die laufenden Pumpen nichts - vielleicht sogar im Gegenteil - das Geld kommt nicht mehr rein. Also wurde die Auslieferung gestoppt.

---

Ja, so ergibt es dann Sinn, leider wurde dies in der Presse immer falsch dargestellt.

@CustomerCareChris Bitte schreibt doch was zu den Fragen im ersten Beitrag, sonst wird wohl keine WP verkauft.

[SeniorPrincipalQA]

Immer schön entspannt bleiben, mein Lieber. 

Sicherheit ist halt schwer und unangenehm...

[Heizing]

Mir ist noch was für dich eingefallen: Wir haben hier eine sehr rührige Community, die einen lokalen Zugang über den CAN-Bus ermöglicht hat. Schau dir mal hier die Posts an. Das wäre die beste Lösung für dich, dann hast du die Sicherheit selbst in der Hand.

https://community.viessmann.de/t5/Konnektivitaet/CAN-Bus-Home-Automation-E3-Generation-lokal-und-kos...

Gewährleistung hast du trotzdem 5 Jahre, s. hier. Allerdings liegt die Beweislast nach sechs Monaten bei dir.

Fünf Jahre Gewährleistung für Heizung

[Stefan871]

Bei Verträgen ab 1.1.22 wurde das ganze auf 12 Monate erhöht.

[Heizing]

Ja, stimmt. Ganz vergessen.

[SeniorPrincipalQA]

Wow, interessant, vielen, vielen Dank!

Ich habe jetzt nicht alle 1647 Antworten gelesen und verstehe derzeit noch nicht, ob mittlerweile klar ist, wie Viessmann im Zweifel auf ein am CAN-Bus angeschlossenes Gerät reagiert?

Also ich lese daraus zweierlei:

• Die Firma Viessmann benutzt (für sie im Wesentlichen kostenlosen) den "Kniff" mit dem Garantieversprechen vom 3. - 5. Jahr, um möglichst viele Kunden in ihre Cloud zu bekommen. Sie wäre aber in der Zeit sowieso im Rahmen der gesetzlichen Gewährleistung verpflichtet, Defekte zu beheben, die nicht vom Eigentümer verursacht sein können. ( Kann natürlich evtl. kniffliger sein als Garantie, aber trotzdem gut! )
• Für jemand mit "OpenSource im Blut" klingt ein github Projekt für Connectivity ohne Internet natürlich wie Musik in den Ohren! Denn die offizielle Rest-API ist sicher nur über den Umweg der Viessmann Cloud benutzbar. Projekt & Code überflogen: Sehr guter erster Eindruck! 

[JoL]

Die gesetzliche Gewährleistung gegenüber Privatpersonen beträgt in D 24 Monate, wenn ich nicht irre.

Man könnte ja auch ganz einfach den Internetzugang sperren, oder wegnehmen.

Aber auch dann bleibt die Frage, inwiefern so ein System über das verbaute Mobilfunkmodul infiltriert werden könnte.

So lange solche Geräte mit dem Internet verbunden sind- ist IMMER ein pot. Risiko für eine nutzbare Schwachstelle vorhanden.
Bei vielen Geräten kann man mit diesem Risiko klar kommen - bei einem KfZ, oder einer Heizungsanlage sehe ich das eher kritischer.

Dazu muss man sich nur einmal vorstellen, wenn es im tiefsten Winter zu einer "Übernahme mit Abschaltung" durch Hacker kommen sollte...

Wenn ich daran denke, wie das Handling im letzten (u. diesem) Jahr mit der ausgerollten, fehlerhaften Software war ... dann behaupte ich mal, dass da monatelang nichts mehr gehen würde!

Schlimmstenfalls auch nicht mehr im Notbetrieb.

Eine Erklärung, mit welchen Maßnahmen man dem entgegen wirkt, würde ich auch nicht öffentlich machen- rein aus Sicherheit!

Man kann also nur hoffen, dass die Hersteller die Sache ernst nehmen und ihr Online-System im Griff haben.

[Franky]

Werft Garantie und Gewährleistung nicht in einen Topf. Die Gewährleistung gibt immer der HB. Und sie ist nicht davon abhängig,ob die Anlage online ist oder nicht. 

Die Garantie hingegen gibt immer der Hersteller. Und bei Viessmann ist es eben so geregelt,dass eine verlängerte Garantie auf 5 Jahre bei einer Aufschaltung mit einem Kom.modul gewährt wird. Über Sinn oder Unsinn muss man hier nicht drüber reden. 

Die Kom.module sind wohl auch so ausgelegt,dass sie nur mit Servern von Viessmann ,,reden,, können. Es ist kein Zugriff auf andere Daten des jeweiligen Handys möglich.

Das Szenario eines Worst Cases bringt auch nichts. Denn selbst,wenn es einem Hacker gelänge,die Anlage im tiefsten Winter abzuschalten( was übrigens mit dem Kommodul nicht funktioniert),geht man einfach an die Anlage und schaltet sie wieder ein. Notfalls über den Inbetriebnahme- Assi.

Selbst eine Generierung eines Defektes,welcher dann ein Abschalten nach sich zieht,kann am Gerät wieder zurückgesetzt werden.

[Heizing]

Nein, das ist ein Werkvertrag, du hast 5 Jahre Gewährleistung. Beweislast liegt nach 12 Monaten allerdings beim Käufer.

[Franky]

Kann ja sein,trotzdem gibt der HB die Gewährleistung.   Und wohlgemerkt,keine Garantie. Weiter vorne wird da aber gar nicht unterschieden. 

[Heizing]

@Franky ja, stimmt schon, meine Antwort bezog sich auf @JoL .

[JoL]

Auch beim "Werkvertrag" sind es bei einem Heizungstausch 2 Jahre!

[Franky]

Die Betonung liegt hier auf Tausch.

[JoL]

Das geht am Thema vorbei- ich gehe einmal stark davon aus, dass die Mehrheit der Käufer eine Bestandsanlage gegen eine WP getauscht haben.

[Franky]

Könnt ja auch ein Hausneubau sein.

Im Übrigen sind wir eh off Topic. Es ging ursprünglich um die Sicherheit im Cyberspace.

[Heizing]

---

@JoL  schrieb:

Auch beim "Werkvertrag" sind es bei einem Heizungstausch 2 Jahre!

---

Nein, s. hier

Denn der vor vier Jahren erneuerte Heizkessel fiel unter die Begrifflichkeit „Arbeiten an einem Bauwerk“. Dies sind Arbeiten, die für die Erneuerung und den Bestand von wesentlicher Bedeutung sind. Voraussetzung ist, dass eine feste Verbindung mit dem Gebäude hergestellt wird. Indizien, die alle bei einer umfassenden Sanierung einer Heizungsanlage auszumachen sind. Dann gilt eine Verjährungsfrist von fünf Jahren.

aus

Verjährung nach Erneuerung der Heizungsanlage – Gewährleistung – Nacherfüllungspflicht oder Abschlus...

[Franky]

Das ist nur ein Gerichtsfall. Das Urteil kann bei einem anderen Prozess schon wieder ganz anders aussehen.

[Heizing]

Gibt auch noch andere, die Tendenz geht schon deutlich in die Richtung, auch den Kesseltausch mit 5 Jahren Gewährleistung zu sehen.

[Franky]

Was fällt eigentlich noch unter die Gewährleistung ,wenn die Garantiezeit von 2 Jahren überschritten ist? Ich meine,Verschleissteile und feuerberührte Teile gehören eh nicht dazu. Installationsfehler kann man nach über zwei Jahren wohl auch ausschließen . Und beim Rest noch nachzuweisen,dass der Fehler von Anfang an vorhanden war,ist ein Ding der Unmöglichkeit.

[Heizing]

Ja, es muss nach 12 Monaten nachgewiesen werden, dass der Fehler im Ansatz schon bei Lieferung bestand, also Konstruktionsfehler, Materialfehler, Monatagefehler usw.

[Heizing]

---

@SeniorPrincipalQA  schrieb:

Wow, interessant, vielen, vielen Dank!

Ich habe jetzt nicht alle 1647 Antworten gelesen und verstehe derzeit noch nicht, ob mittlerweile klar ist, wie Viessmann im Zweifel auf ein am CAN-Bus angeschlossenes Gerät reagiert?

---

 Die können das wohl nicht verhindern:

Wenn Viessmann da einen Riegel vorschieben würde, würden sie sich selber aussperren, da wir genau die Kommunikationsmechanismen nutzen, die auch für die Viessmann-Server Kommunikation genutzt wird.

aus 

https://community.viessmann.de/t5/Gas/Internet-der-Dinge-offener-Brief-an-Max-Viessmann/m-p/356177/h...

[SeniorPrincipalQA]

Eine Erklärung, mit welchen Maßnahmen man dem entgegen wirkt, würde ich auch nicht öffentlich machen- rein aus Sicherheit!

Das Argument wird zuweilen von der ClosedSource Fraktion gemacht, ist aber aus meinem Verständnis überholt. 

Im IT Umfeld gilt i.d.R. Offenheit und Dokumentation als der beste Weg.

• Einerseits sollte der Hersteller dokumentieren, wie man das Produkt korrekt und sicher installiert ( und was dafür vorausgesetzt wird ).
• Andererseits wird der Hersteller wird vor einer Veröffentlichung einer Schwachstelle unterrichtet, damit sie behoben und ein Update ausgerollt werden kann. Das Verheimlichen oder Ignorieren im Kontext der Produkthaftung wird dann ein heißes Eisen ...

Womit wir wieder bei den - zumindest öffentlich- ignorierten CVEs wären. Und der Frage, ob die Schwachstellen behoben wurden oder nach wie vor existieren.

[John_Doe]

Danke für den Hinweis – aber genau diese Fragen stelle ich mir tatsächlich bei allen genannten Geräten und Diensten. Der Unterschied ist: ich setze gezielt Maßnahmen ein, um Angriffsflächen zu reduzieren und Daten nicht unnötig preiszugeben. Ein paar Beispiele:

- Smartphones = läuft ohne Google-Dienste, Apps aus vertrauenswürdigen Quellen (F-Droid), Sicherheitsupdates regelmäßig eingespielt. Keine unnötige Telemetrie.
- Routers = Spielkram. Firewall SFP+, 10gbit fibre switche, vlans, Segmentierungen, IPS, DNS-Sinkholes + SIEM
- SmartWatch = Gadgetbridge
- Smart TV = Nix TCP/IP, => updates via USB
- PV-Wechselrichter = Steht noch an wegen Hauskauf. Daher die Recherche!
- Autos = abschalten.
- NAS = RAID 6, nur local zu erreichen in der Regel. Ansonsten VPN + 2FA + Firewall Rule
- Überwachungskamera = hängen in einem separaten VLAN, galvanische Trennung über Fiber-Switch, PoE. Kein Cloudzugriff, nur lokales NVR.
- Videotürklingel = hängen in einem separaten VLAN, galvanische Trennung über Fiber-Switch, PoE. Kein Cloudzugriff, nur lokal
- Loyalitätsprogramme (Payback, Miles&More...) = Für Cent Beträge selbst nur in Betracht ziehen solche Services zu nutzen? Witzlos
- Internetservices (Cloud, Social Media...) = Hostet man selbst. Socialwas?
- E-Commerce Plattformen = ...
- Webbrowser = Ahja, die bösen Browser...
- etc. pp = Ahja....

Mein Anspruch ist simpel: MEINE Hardware = MEINE Daten. Und wenn ein Hersteller meint, ohne seine Cloud gehe es nicht, dann will ich nachvollziehbar erklärt haben, warum. Und nebenher, wenn jemand meine Daten will, muss er mich dafür fürstlich entlohnen.

Mehr als Whataboutism par excellence und ein Versuch von Trolling kann Ihr Kommentar kaum verstanden werden.


Und um etwas konstruktives beizutragen.. Denn auch ich habe diese Fragen. Kurzum würde ich gerne alles local haben via Home Assistant. Meine Fragen bezgüglich des WAGO GWs und der Cloud an Viessmann:

Fragenkatalog Viessmann / WAGO MB/TCP-Gateway und xxxx Gebäudetechnik

1. Welche Viessmann-Geräte sind mit dem Gateway kompatibel (Wärmepumpe, Warmwasserspeicher, PV, Batteriespeicher, kontrollierte Be- und Entlüftung)?
2. Gibt es eine vollständige Modbus-Registerliste für mein konkretes Gerät?
3. Welche Register sind nur lesend (R), welche auch schreibbar (R/W)?
4. Werden Sollwerte (z. B. Heizkurve, Warmwasser-Temperatur, Betriebsarten) setzbar abgebildet?
5. Unterstützt das Gateway neben Modbus TCP auch andere Standards wie Modbus RTU oder BACnet/IP?
6. Welche Konfigurationsmöglichkeiten gibt es im Gateway (z. B. WebVisu)?
7. Was passiert bei Firmwareupdates – bleiben die Konfigurationen erhalten?

Cloud vs. Lokale Steuerung
8. Können Sie belegen, wo im EnWG oder in einer Verordnung die Nutzung der Viessmann-Cloud vorgeschrieben ist?
9. Welche Funktionen kann ich ausschließlich lokal über das Gateway bedienen (auch ohne Internet)?
10. Gibt es Funktionen, die nur über die Cloud laufen – und wenn ja, warum sind diese nicht lokal verfügbar?
11. Hat der Netzbetreiber technisch irgendeinen Zugriff über die Viessmann-Cloud auf meine Geräte?
12. Kann ich alle gesetzlich geforderten Funktionen (einschließlich § 14a EnWG) vollständig ohne Cloud erfüllen?

§ 14a EnWG / Netzbetreibersteuerung
13. Über welche Schnittstellen können Viessmann-Wärmepumpen die Vorgaben aus § 14a EnWG umsetzen (z. B. SG-Ready-Kontakte, externe Steuereingänge, Anbindung über eine Steuerbox)?
14. Erfolgt die Steuerung nach § 14a ausschließlich über die Infrastruktur des Netzbetreibers (Smart Meter Gateway und Steuerbox), oder ist dafür zusätzlich die Viessmann-Cloud erforderlich?
15. Falls die Viessmann-Cloud als notwendig dargestellt wird: Auf welcher rechtlichen Grundlage basiert diese Behauptung?

Warmwasserspeicher
16. Wie wird der Warmwasserspeicher in der Modbus-Registerliste abgebildet (Temperaturen, Ladezyklen, Sollwerte)?
17. Kann ich die Warmwasser-Solltemperatur direkt über das Gateway setzen?
18. Gibt es Unterschiede in der Ansteuerung zwischen Pufferspeicher und Brauchwasserspeicher?

PV, Batteriespeicher, Wechselrichter
19. Werden PV-Anlagen von Viessmann über das Gateway vollständig abgebildet (Einspeisung, Erzeugung, Status)?
20. Werden Batteriespeicher über Modbus TCP unterstützt (Ladezustand, Lade-/Entladeleistung, Betriebsmodi)?
21. Falls nicht: Wie wird die Integration in Gebäudeautomation (z. B. Home Assistant) realisiert?
22. Sind Fremdwechselrichter (z. B. SMA, Fronius) weiterhin direkt über deren eigene Modbus-Schnittstelle sinnvoller einzubinden?

Kontrollierte Be- und Entlüftung
23. Sind Viessmann-Lüftungsgeräte (Vitovent etc.) in der Modbus-Registerliste enthalten?
24. Können Parameter wie Lüfterstufen, Volumenstrom, Filterstatus, Wärmerückgewinnung über das Gateway ausgelesen oder gesteuert werden?
25. Falls nicht: Welche Schnittstellen stellt Viessmann für Lüftungsgeräte bereit?

Sicherheit auf Enterprise-Niveau für OT-Anlagen
26. Wie ist das Gateway & Cloudanbindung gegen unbefugten Zugriff abgesichert (z. B. Passwortschutz, Benutzerverwaltung, rollenbasierte Zugriffskontrolle / RBAC)?
27. Unterstützt das Gateway verschlüsselte Kommunikation (z. B. TLS für Modbus TCP)?
28. Gibt es einen festen Zyklus für Sicherheitsupdates (z. B. quartalsweise)?
29. Führen Sie regelmäßige Security-Audits oder Penetrationstests durch (intern und extern)?
30. Orientieren Sie sich an anerkannten Standards wie IEC 62443 (OT-Security) oder ISO 27001 (Informationssicherheit)?
31. Gibt es ein eigenes Security-CERT bei Viessmann, oder arbeiten Sie mit CERT-Bund / BSI zusammen?
32. Wie läuft das Vulnerability Management bei Viessmann ab (regelmäßige Scans, Patch-Management, Monitoring)?
33. Unterstützt Viessmann ein Responsible-Disclosure-Programm für externe Sicherheitsforscher?
34. Gibt es dokumentierte SLAs oder feste Zeitziele, innerhalb derer kritische Schwachstellen behoben werden?
35. Werden sicherheitsrelevante Ereignisse (Logins, Konfigurationsänderungen, fehlgeschlagene Loginversuche) protokolliert und können diese vom Betreiber eingesehen werden?
36. Orientieren Sie sich bei der Bedrohungsmodellierung an Frameworks wie MITRE ATT&CK (ICS) oder NIST CSF?
37. Gibt es eine interne oder externe Risikomatrix, um Bedrohungen systematisch einzuordnen?
38. Welche Maßnahmen sind definiert, um typische Angriffsvektoren (z. B. Credential Access, Lateral Movement, Command & Control) zu mitigieren?
39. Welche Maßnahmen gibt es gegen Supply-Chain-Risiken (z. B. unsichere Bibliotheken, manipulierte Firmware)?

Kosten / Betrieb
40. Was kostet das Gateway (Einmalpreis)?
41. Gibt es laufende Kosten oder Lizenzmodelle (z. B. für bestimmte Register oder Funktionen)?
42. Wer ist Support-Ansprechpartner: Viessmann direkt oder WAGO?

Fragen zu xxxx / Gebäudetechnik
43. Sind die Luftkanäle bei xxxx standardisiert oder proprietär?
44. Wie sieht es mit Reinigungs- und Wartungsmöglichkeiten der Luftkanäle aus?
=> Gibt es sonstige Wartungszyklen für die Technik oder das Haus die man im Blick haben muss?

Datenschutz und Privatsphäre
45. Werden durch die Viessmann-Cloud oder das Gateway Anwesenheitsdaten erfasst, aus denen hervorgeht, wann Personen zu Hause sind? => Profiling
46. Erfolgt eine Auswertung oder Profilbildung (z. B. Tagesrhythmen, Verbrauchs- oder Nutzungsgewohnheiten) auf Basis dieser Daten?
47. Welche personenbezogenen Daten werden lokal gespeichert und welche in die Cloud übertragen?
48. Gibt es Möglichkeiten, sämtliche Datenverarbeitung lokal zu betreiben, ohne Übertragung in externe Clouds?
49. Wie lange werden personenbezogene Daten (z. B. Anwesenheits- oder Nutzungsprofile) gespeichert?
50. An welche Dritten (z. B. Energieversorger, Partnerunternehmen) werden Daten weitergegeben?
51. Gibt es Transparenzberichte oder Dokumentationen, wie oft und durch wen auf die Daten zugegriffen wird?
52. Welche technischen und organisatorischen Maßnahmen stellen sicher, dass diese Daten DSGVO-konform verarbeitet werden?