Veröffentlicht von Oscar Sjöberg am · 13 min Lesezeit
Loading...
Veröffentlicht von Oscar Sjöberg am · 13 min Lesezeit
Jeder zelluläre Luftqualitätsmonitor, Staubsensor und Schallpegelmesser, der in der EU verkauft wird, unterliegt jetzt Cybersicherheitsanforderungen, die die meisten Hersteller bisher nie erfüllen mussten. EN 18031-1:2024 — die harmonisierte europäische Norm zur Funkanlagenrichtlinie — definiert, was „sicher" für internetverbundene Geräte tatsächlich bedeutet. Sie ist nicht optional, nicht empfehlend, und sie gilt für jede Umwelt-Messstation mit Mobilfunkverbindung.
Wenn Sie Messtechnik beschaffen oder spezifizieren, sollte diese Norm Teil Ihrer Bewertungskriterien sein. Wenn Ihr Anbieter die Konformität nicht nachweisen kann, ist das eine Frage wert.
EN 18031-1:2024 ist eine harmonisierte europäische Norm, veröffentlicht von CENELEC (dem Europäischen Komitee für Elektrotechnische Normung). Sie legt gemeinsame Sicherheitsanforderungen für internetverbundene Funkanlagen nach der EU-Funkanlagenrichtlinie (RED) 2014/53/EU, Artikel 3 Absatz 3 Buchstabe d fest.
Praktisch beantwortet sie eine einfache Frage: Welche Sicherheitsmechanismen muss ein verbundenes Gerät umsetzen, um auf dem europäischen Markt verkauft werden zu dürfen?
Die Norm ist Teil des umfassenderen Vorstoßes der EU zur Sicherung der IoT-Infrastruktur. Der delegierte Rechtsakt zu RED Artikel 3(3)(d) macht die Cybersicherheitskonformität für alle internetverbundenen Funkanlagen verpflichtend — eine Kategorie, die jeden zellulären Umweltmonitor auf dem Markt umfasst.
EN 18031 besteht aus drei Teilen:
| Teil | Geltungsbereich | RED-Artikel | |---|---|---| | EN 18031-1 | Internetverbundene Funkanlagen (Netzwerkschutz) | Art. 3(3)(d) | | EN 18031-2 | Geräte, die kinderbezogene Daten verarbeiten | Art. 3(3)(e) | | EN 18031-3 | Geräte, die Finanz-/Zahlungsdaten verarbeiten | Art. 3(3)(f) |
Für Umweltmesstechnik ist nur Teil 1 relevant. Teile 2 und 3 betreffen Unterhaltungselektronik und Zahlungsterminals.
Die Norm definiert elf Sicherheitsmechanismus-Kategorien. Jede behandelt einen bestimmten Aspekt der Gerätesicherheit. Für Hersteller von Umweltmesstechnik sind in der Regel neun davon anwendbar — zwei (Network Monitoring und Traffic Control) gelten nur für Routing-Hardware wie Router und Gateways, nicht für Endpunkt-Sensorgeräte.
Hier ist, was jeder Mechanismus im Kontext von Umwelt-Messtechnik verlangt:
Das Gerät muss steuern, wer und was auf seine Sicherheitsressourcen — kryptografische Schlüssel, Konfigurationseinstellungen, Firmware — und seine Netzwerkressourcen zugreifen darf. Das bedeutet Zugriffskontrolle auf Protokollebene (etwa LwM2M Access Control Lists), rollenbasierte Zugriffskontrolle auf Anwendungsebene in der Cloud-Plattform und physischen Schutz lokaler Schnittstellen.
Das Gerät muss sich gegenüber dem Server authentifizieren, und der Server muss sich gegenüber dem Gerät authentifizieren, bevor irgendwelche Daten ausgetauscht werden. Dies ist gegenseitige Authentifizierung — beide Seiten weisen ihre Identität nach. Die Norm verlangt zudem Brute-Force-Schutz, Durchsetzung der Passwortstärke und die Möglichkeit, Anmeldeinformationen zu ändern.
Firmware-Updates müssen kryptografisch signiert sein. Das Gerät muss die Signatur vor der Annahme eines jeden Updates prüfen — unabhängig vom Übertragungsweg, ob over-the-air oder physisch. Unsignierte, beschädigte oder manipulierte Firmware muss abgelehnt werden.
Das ist vielleicht die wichtigste Anforderung für die Umweltüberwachung. Ein kompromittiertes Firmware-Update könnte Sensorwerte manipulieren, die Überwachung abschalten oder das Gerät zu einem Angriffsvektor im Baustellen-Netzwerk machen. Wenn Ihr Anbieter nicht erklären kann, wie seine Firmware-Updates signiert und verifiziert werden, ist das eine ernste Lücke.
Kryptografische Schlüssel und sensible Konfiguration müssen sicher gespeichert werden — idealerweise in hardwareisolierter Speicherung, nicht im Klartext im Flash-Speicher. Die Norm verlangt, dass Sicherheitsressourcen nicht von Angreifern mit physischem Zugriff auf das Gerät extrahiert werden können.
Die gesamte Netzwerkkommunikation muss Integrität (Daten wurden nicht verändert), Authentizität (Daten kommen von der angegebenen Quelle), Vertraulichkeit (Daten sind verschlüsselt) und Replay-Schutz (alte Nachrichten können nicht wiederholt werden, um das System zu manipulieren) gewährleisten.
Das Gerät muss seine wesentliche Funktion auch unter widrigen Bedingungen weiter erbringen — Netzausfälle, Stromunterbrechungen oder versuchte Denial-of-Service-Angriffe. Für Umweltmonitore bedeutet das fortlaufende Sensorabtastung und lokale Datenpufferung bei abgebrochener Mobilfunkverbindung.
Gilt für Netzwerkausrüstung (Router, Gateways), die andere Geräte mit dem Internet verbindet. Umwelt-Messstationen sind Endpunktgeräte — sie routen oder leiten keinen Datenverkehr weiter.
Gleiche Begründung wie NMM — gilt für Netzwerk-Routing-Ausrüstung, nicht für Endpunktsensoren.
Alle kryptografischen Schlüssel müssen pro Gerät einzigartig sein. Keine gemeinsamen Standard-Schlüssel über die Produktionscharge hinweg. Schlüssel müssen mit ordnungsgemäßen Entropiequellen (Hardware-Zufallsgeneratoren) erzeugt werden, und es muss einen Mechanismus für die Schlüsselrotation über den gesamten Gerätelebenszyklus geben.
Hier scheitern viele Hersteller. Wenn jedes Gerät mit demselben vorinstallierten Schlüssel ausgeliefert wird oder Schlüssel aus vorhersagbaren Werten wie MAC-Adressen abgeleitet werden, ist die gesamte Flotte verwundbar, sobald ein Gerät kompromittiert wird.
Das Gerät muss seine Angriffsfläche minimieren: keine unnötigen Netzwerkdienste freigegeben, alle Schnittstellen dokumentiert, Eingabevalidierung auf allen Datenpfaden und ein laufender Schwachstellenmanagementprozess (CVE-Scanning).
Alle kryptografischen Algorithmen müssen dem aktuellen Stand der Technik entsprechen. Keine veralteten Algorithmen — MD5, SHA-1, DES, RC4 und 3DES sind ausdrücklich unzulässig. Schlüssellängen müssen Mindestanforderungen erfüllen (256 Bit für ECDSA, 128/256 Bit für AES).
Wenn Sie unseren Artikel Warum LwM2M für Luftqualitätsüberwachung wichtig ist gelesen haben, verstehen Sie bereits, warum wir dieses Protokoll für alle zellulären Sensorbee-Produkte gewählt haben. Doch die Sicherheitsimplikationen reichen weiter, als wir dort beschrieben haben.
LwM2M wurde von OMA SpecWorks mit IoT-Sicherheit als fundamentalem Prinzip entworfen — nicht als nachträglicher Ergänzung. Wenn Sie LwM2M korrekt implementieren, erfüllen Sie inhärent einen erheblichen Teil der EN 18031-1-Anforderungen:
| EN 18031-1-Mechanismus | Wie LwM2M ihn adressiert | |---|---| | Authentifizierung (AUM) | DTLS mit Pre-Shared Keys liefert gegenseitige Authentifizierung zwischen Gerät und Server. Beide Seiten prüfen die Identität vor jedem Datenaustausch. | | Sichere Kommunikation (SCM) | DTLS bietet Verschlüsselung, Integritätsprüfung, Replay-Schutz und Authentizitätsverifizierung für jedes Paket. Alle vier SCM-Unteranforderungen werden durch das Protokoll selbst erfüllt. | | Sichere Updates (SUM) | Das LwM2M Firmware Update Object (Objekt 5) bietet einen standardisierten, servergesteuerten OTA-Update-Mechanismus. In Kombination mit MCUboot-Signaturprüfung wird jedes Update kryptografisch verifiziert. | | Zugriffskontrolle (ACM) | Das LwM2M Access Control Object (Objekt 2) bietet pro-Objekt- und pro-Server-Zugriffskontrolle für alle Geräteressourcen. | | Resilienz (RLM) | LwM2M unterstützt automatische Wiederverbindung mit exponentiellem Backoff, DTLS-Sitzungs-Caching für effiziente Wiederaufnahme und Queue Mode für Geräte, die zwischen Übertragungen schlafen. |
Das ist kein Zufall. LwM2M wurde genau für die Art von Geräten gebaut, die EN 18031-1 reguliert. Die Architektur des Protokolls stimmt mit den Anforderungen der Norm überein, weil beide entwickelt wurden, um dasselbe Problem zu lösen: verbundene IoT-Geräte standardmäßig sicher zu machen.
Der entscheidende Punkt für Beschaffungsteams: Wenn Ihr Überwachungsanbieter LwM2M als Geräteprotokoll verwendet, hat er bereits einen erheblichen Teil von EN 18031-1 auf Protokollebene adressiert. Wenn er MQTT, HTTP oder ein proprietäres Protokoll verwendet, musste er jeden dieser Sicherheitsmechanismen von Grund auf bauen — und Sie sollten ihn auffordern, das nachzuweisen.
EN 18031-1-Konformität ist keine Checkbox-Übung. Wenn Ihr Anbieter für Umweltmesstechnik behauptet, seine Geräte seien sicher, sollte er diese Fragen klar beantworten können:
Zur Firmware-Sicherheit:
Zum Anmeldedaten-Management:
Zur Kommunikationssicherheit:
Zum Geräte-Management:
Wenn eine dieser Fragen vage Antworten, „branchenübliche Sicherheit"-Floskeln oder leeren Blick erzeugt — das sagt Ihnen etwas Wichtiges darüber, wie ernst Ihr Anbieter Cybersicherheit nimmt.
Viele Hersteller von Umweltmesstechnik haben ihre Konnektivität mit MQTT über TCP oder vollständig proprietären Protokollen aufgebaut, weil das der schnellste Weg zur Markteinführung war. Das Gerät sendet Werte an einen Cloud-Broker, die Cloud speichert sie, der Kunde greift auf ein Dashboard zu. Es funktioniert. Aber EN 18031-1 stellt eine schwierigere Frage: Ist es sicher?
Das Problem ist, dass MQTT ein Messaging-Protokoll ist. Es wurde entwickelt, um Daten von A nach B zu bewegen. Es wurde nicht entwickelt, um Geräte zu verwalten.
Wenn Sie ein Umwelt-Messsystem auf MQTT bauen, wird jede EN 18031-1-Anforderung zu einem eigenen Entwicklungsprojekt:
Sichere Firmware-Updates? MQTT hat keinen Firmware-Update-Mechanismus. Sie müssen Ihr eigenes OTA-Update-System entwerfen, bauen, testen und pflegen — einschließlich Signaturprüfung, Rollback-Behandlung und Kampagnenverwaltung.
Geräteauthentifizierung? MQTT unterstützt TLS-Client-Zertifikate oder Benutzername/Passwort. Aber gegenseitige Authentifizierung auf Protokollebene — bei der das Gerät die Identität des Servers prüft, bevor Daten ausgetauscht werden — erfordert zusätzliche Entwicklungsarbeit.
Zugriffskontrolle? MQTT-themenbasierte ACLs bieten etwas Kontrolle, aber es gibt kein standardisiertes Modell für pro-Ressource- und pro-Rolle-Zugriffskontrolle über Geräte hinweg.
Schlüsselrotation? Wenn Ihre Geräte gemeinsame MQTT-Anmeldeinformationen verwenden, bedeutet die Rotation, alle Geräte gleichzeitig zu aktualisieren — oder einen flottenweiten Ausfall in Kauf zu nehmen. Pro-Gerät-Anmeldeinformationen mit Fernrotation erfordern eine Geräte-Management-Ebene, die MQTT nicht bietet.
Resilienz? MQTTs persistente TCP-Verbindung bedeutet, dass das Gerät eine ständig aktive Verbindung aufrechterhalten muss, was Batterien belastet. Warteschlangenbasierte Offline-Pufferung, automatische Wiederverbindung mit Backoff und Sitzungswiederaufnahme müssen alle individuell gebaut werden.
Nichts davon bedeutet, dass MQTT-basierte Systeme nicht sicher gemacht werden können. Können sie — mit erheblichem Engineering-Aufwand. Aber die Frage für Beschaffungsteams lautet: Hat Ihr Anbieter diese Arbeit tatsächlich geleistet? Hat er alle neun anwendbaren EN 18031-1-Mechanismus-Kategorien umgesetzt, getestet und die Nachweise dokumentiert? Oder hat er sich darauf konzentriert, Sensordaten ins Dashboard zu bringen, und Sicherheit als zukünftige Sorge behandelt?
Der Unterschied zwischen einem zweckgebauten IoT-Sicherheitsprotokoll wie LwM2M und einem allgemeinen Messaging-Protokoll wie MQTT ist nicht nur technisch — es ist der Unterschied zwischen Security by Design und Sicherheit als nachträglicher Ergänzung.
Bei Sensorbee haben wir den Air Pro 2 Cellular (Modelle SB8202 und SB8203) gegen EN 18031-1:2024 bewertet und eine Konformitätserklärung veröffentlicht. Hier ist eine Zusammenfassung unseres Konformitätsstatus:
| Mechanismus | Status | |---|---| | Zugriffskontrolle (ACM) | Konform | | Authentifizierung (AUM) | Konform | | Sichere Updates (SUM) | Konform | | Sichere Speicherung (SSM) | Konform | | Sichere Kommunikation (SCM) | Konform | | Resilienz (RLM) | Konform | | Netzwerküberwachung (NMM) | Nicht anwendbar (Endpunktgerät) | | Verkehrssteuerung (TCM) | Nicht anwendbar (Endpunktgerät) | | Vertrauliche kryptografische Schlüssel (CCK) | Konform | | Allgemeine Geräteeigenschaften (GEC) | Konform (laufende CVE-Überwachung) | | Kryptografie (CRY) | Konform |
Wichtige technische Fakten zu unserer Umsetzung:
Das vollständige Konformitätsnachweis-Dokument steht zum Download bereit:
Download: Sensorbee EN 18031-1 Konformitätsnachweis (PDF)
Dieses Dokument liefert detaillierte Nachweise für jede der elf Mechanismus-Kategorien, einschließlich Firmware-Konfigurationsreferenzen, Architekturbeschreibungen und Verifizierungsmethodik.
EN 18031-1 ist keine Zukunftsanforderung — sie ist geltendes Recht. Wenn Sie Umweltmesstechnik mit Mobilfunkanbindung spezifizieren, kaufen oder einsetzen, sollte die Cybersicherheitskonformität neben Genauigkeit, MCERTS-Zertifizierung und Datenplattform-Fähigkeiten Teil Ihrer Bewertung sein.
Drei praktische Schritte:
Fragen Sie Ihren Anbieter nach seinem EN 18031-1-Konformitätsnachweis. Eine berechtigte Konformitätsaussage sollte durch ein detailliertes Nachweisdokument gestützt sein — nicht durch die vage Versicherung, dass Geräte „sicher" seien.
Prüfen Sie, wie das Gerät kommuniziert. Wenn es ein offenes, sicherheitsfokussiertes Protokoll wie LwM2M verwendet, sind viele Sicherheitsmechanismen architekturinhärent. Verwendet es MQTT oder ein proprietäres Protokoll, fragen Sie, wie jeder Sicherheitsmechanismus implementiert und nachgewiesen wird.
Verifizieren Sie die Details. Pro-Gerät-einzigartige Schlüssel? Hardware-gestützte Anmeldedaten-Speicherung? Signierte Firmware mit sicherer Boot-Kette? Das sind keine optionalen Extras — das sind Grundanforderungen unter EN 18031-1.
Umweltüberwachungsdaten informieren regulatorische Entscheidungen, Baustellen-Compliance und gesundheitspolitische Maßnahmen. Die Integrität dieser Daten hängt von der Sicherheit der Geräte ab, die sie erfassen. EN 18031-1 setzt die Mindestschwelle — und bei Sensorbee glauben wir, dass diese Schwelle der Startpunkt sein sollte, nicht die Obergrenze.
Laden Sie unseren Produktkatalog herunter, um mehr über Sensorbees Überwachungslösungen zu erfahren, oder kontaktieren Sie uns, um Ihre Anforderungen zu besprechen.
EN 18031-1:2024 ist eine harmonisierte europäische Norm, die Cybersicherheitsanforderungen für internetverbundene Funkanlagen nach der EU-Funkanlagenrichtlinie (RED) Artikel 3(3)(d) definiert. Sie ist wichtig für die Umweltüberwachung, weil jeder zelluläre Luftqualitätsmonitor, Staubsensor und Schallpegelmesser, der in der EU verkauft wird, dieser Norm entsprechen muss. Sie legt elf Sicherheitsmechanismus-Kategorien fest, die Zugriffskontrolle, Authentifizierung, sichere Firmware-Updates, verschlüsselte Kommunikation, sichere Schlüsselspeicherung und Geräteresilienz abdecken — alle wirken sich direkt auf die Integrität von Umweltüberwachungsdaten aus.
Der delegierte Rechtsakt zu RED Artikel 3(3)(d) macht die EN 18031-1-Konformität verpflichtend für alle neuen internetverbundenen Funkanlagen, die auf dem EU-Markt in Verkehr gebracht werden. Hersteller müssen die Konformität durch Eigenerklärung oder Bewertung durch Dritte nachweisen. Geräte, die diese Anforderungen nicht erfüllen, können keine CE-Kennzeichnung für Cybersicherheit nach der Funkanlagenrichtlinie tragen.
EN 18031-1 und der EU Cyber Resilience Act (CRA) adressieren beide die IoT-Cybersicherheit, aber durch unterschiedliche Regulierungsrahmen. EN 18031-1 gilt speziell für Funkanlagen unter der RED, während der CRA eine breitere Kategorie von Produkten mit digitalen Elementen abdeckt. Für Umweltmesstechnik mit Mobilfunkanbindung ist EN 18031-1 unter der RED die derzeit anwendbare Norm. Der CRA führt zusätzliche Anforderungen ein, die parallel zu den RED-Anforderungen gelten werden, sobald er in Kraft tritt.
Wenn Ihr Luftqualitätsmonitor Mobilfunkanbindung (LTE-M, NB-IoT, 4G oder 5G) nutzt und in der EU verkauft oder eingesetzt wird, dann ja — er fällt als internetverbundene Funkanlage in den Geltungsbereich von EN 18031-1. Monitore, die nur kabelgebundene Verbindungen (Ethernet, RS-485) oder lokale Drahtlosverbindungen (WLAN nur als lokale Schnittstelle ohne direkte Internetverbindung) nutzen, können anderen regulatorischen Erwägungen unterliegen.
ISO 27001 ist eine Informationssicherheits-Management-System-Norm, die für Organisationen und ihre Prozesse gilt. EN 18031-1 ist eine Produktsicherheitsnorm, die für das Gerät selbst gilt — seine Firmware, Kommunikationsprotokolle, Schlüsselspeicherung und Update-Mechanismen. Ein Hersteller kann ISO-27001-zertifiziert für seine Unternehmensprozesse sein, während seine Geräte EN-18031-1-Anforderungen nicht erfüllen. Beide sind wichtig, aber sie adressieren unterschiedliche Sicherheitsaspekte.
LwM2M (Lightweight Machine-to-Machine) ist ein IoT-Protokoll, das mit Sicherheit als fundamentalem Prinzip entworfen wurde. Es bietet nativ DTLS-verschlüsselte Kommunikation (erfüllt SCM-Anforderungen), gegenseitige Geräte-Server-Authentifizierung (AUM), standardisierte sichere Firmware-Updates über Objekt 5 (SUM), Pro-Ressource-Zugriffskontrolle über Objekt 2 (ACM) und Resilienzmechanismen einschließlich Sitzungs-Caching und automatischer Wiederverbindung (RLM). Geräte, die auf LwM2M basieren, adressieren inhärent etwa die Hälfte der EN-18031-1-Mechanismus-Kategorien auf Protokollebene. Für einen detaillierten Vergleich von LwM2M mit anderen IoT-Protokollen lesen Sie unseren Artikel Warum LwM2M für Luftqualitätsüberwachung wichtig ist.
Ja, aber das erfordert erheblich mehr individuelle Entwicklungsarbeit. MQTT ist ein Messaging-Protokoll ohne eingebautes Geräte-Management, Firmware-Update-Mechanismen oder standardisierte Zugriffskontrolle. Jede EN-18031-1-Anforderung — sichere Firmware-Updates, Schlüsselrotation, gegenseitige Authentifizierung, Resilienzmechanismen — muss von Grund auf auf MQTT entworfen und implementiert werden. Die Frage ist nicht, ob es möglich ist, sondern ob Ihr Anbieter die Arbeit tatsächlich geleistet hat und für jede Mechanismus-Kategorie dokumentierte Konformitätsnachweise vorlegen kann.
Wichtige Fragen sind: Können Sie Ihr EN-18031-1-Konformitätsnachweisdokument vorlegen? Wie werden Firmware-Updates kryptografisch signiert? Hat jedes Gerät einzigartige kryptografische Anmeldeinformationen, oder teilen sie sich Standard-Schlüssel? Wo werden Anmeldeinformationen gespeichert — in hardwareisolierter Speicherung oder in Software? Können Anmeldeinformationen remote ohne Geräteaustausch rotiert werden? Welches Protokoll verwendet das Gerät, um mit der Cloud zu kommunizieren? Wie gehen Sie mit CVE-Schwachstellenoffenlegungen für Ihren Firmware-Stack um?
Ja. Sensorbee hat den Air Pro 2 Cellular (Modelle SB8202 und SB8203) gegen EN 18031-1:2024 bewertet und eine Konformitätserklärung veröffentlicht. Neun der elf Mechanismus-Kategorien sind auf den Pro 2 anwendbar (zwei gelten nur für Netzwerk-Routing-Ausrüstung), und alle neun werden als konform bewertet. Der Konformitätsnachweis baut auf dem LwM2M-Protokoll-Stack mit DTLS-Verschlüsselung, hardwaregestützter Anmeldedaten-Speicherung im nRF9160-Modem, ECDSA-P-256-Firmware-Signierung über MCUboot und pro-Gerät einzigartiger Fertigungsprovisionierung auf. Das vollständige Konformitätsnachweisdokument steht zum Download bereit.
Oscar Sjöberg
Partner & Embedded Software Engineering Manager
Kontaktieren Sie uns, um zu besprechen, wie Sensorbee Sie bei Ihren Überwachungsanforderungen unterstützen kann.