Gibt es einen Bezug zwischen Smart Meter Gateway Administration (GWA) und Beschränkungen aufgrund der Corona-Pandemie? Aber klar doch, fordert doch die Technische Richtlinie des BSI – die TR-03109-6 –, dass der GWA-Arbeitsplatz auf gar keinen Umständen von unterwegs oder aus dem Homeoffice genutzt werden darf. Diese Anforderung wurde vom BSI in Zeiten von Corona nun gelockert. Was das bedeutet und wie die Sicherheit dennoch zu gewährleisten ist, darüber handelt dieser Beitrag.

Natürlich gibt es in Zeiten von Corona Wichtigeres als Smart Metering. Dennoch sind die Vorgaben nun einmal da; in der BSI-TR-03019-6 heißt es dazu in Abs. 4.5.6.3: „Die Nutzung der Benutzeroberfläche einer SMGW Admin Software an einem häuslichen Arbeitsplatz ist zu untersagen. Mobile Geräte dürfen ausschließlich stationär innerhalb der vom ISMS erfassten Betriebsorte des SMGW Admin genutzt werden.

Nun gab es vom BSI die Mitteilung, dass die „TR-Anforderung, dass der GWA grundsätzlich nicht von zu Hause oder mobil arbeiten darf, […] aus den bekannten Gründen derzeit ausgesetzt“ ist, vgl. BSI-FAQ-Seite zum GWA.

Was bedeutet das?

Kann man jetzt gänzlich ungeschützt Gateway-Administration vom heimischen Küchentisch aus betreiben, während die Kinder drumherum tänzeln?

Unter Sicherheitsgesichtspunkten ist aus unserer Sicht folgendes zu beachten:

  • Zunächst einmal sind abweichende Sicherheitsmaßnahmen im Rahmen der Risikoanalyse zu betrachten.
  • Die abweichenden Regelungen sind – trotz Corona-Krise – zu dokumentieren.

Ungeachtet der konkreten Ergebnisse der konkreten Risikobetrachtung sollten insbesondere folgende Maßnahmen in Betracht gezogen werden:

  • Policy für Heimarbeitsplätze
  • Verpflichtungserklärung der Mitarbeiter zur Einhaltung der Vorgaben
  • Nutzung nur durch dezidierte Geräte
  • Nutzung nur durch firmeneigene Geräte
  • sichere Kommunikationsverbindung
  • sichere Laptops: aktuell gepatchtes Betriebssystem, Festplattenverschlüsselung, Integritätsschutz, Firewall, Virenschutz, maximale Reduktion anderen Anwendungen, Systemen, Ports, Diensten, 2-Faktor-Authentisierung
  • kein Adminrechte für den GWA-Mitarbeiter am Gerät
  • geschützte häusliche Umgebung; keine Einsichtnahme durch unbefugte Dritte – auch nicht für Familienmitglieder
  • Rechner muss bei Nichtbenutzung gesperrt werden
  • Rechner muss bei längerer Nichtbenutzung heruntergefahren und nicht sichtbar – oder noch besser: verschlossen – verwahrt werden
  • tägliche Sichtprüfung auf potentielle Manipulationen

Bleiben Sie gesund!

| | | , ,