Zugriff auf das gesamte Netzwerk durch Internet fähige Viessmann Vitodens 300-W (2022)

[klro_5014]

ALLE,

ich verfüge über eine AVM Fritz!Box 7490 im ersten OG. Um die WLan fähige Gas-Brennwertanlage im Keller anzusteuern bedarf es eines AVM Fritz!WLAN Mesh Repeater 600. Somit kann die Geräte Firmware automatisch aktualisiert werden und auch der Heizungstechniker auf die Anlage zugreifen, um z. Bsp. eine Ferndiagnose durchführen oder erforderliche Einstellungen anzupassen. Die Servicefreigabe für den Installationsbetrieb wurde erteilt und bestätigt.

Die Frage, ob er somit auch auf mein gesamtes Heimnetzwerk zugreifen könnte, um Daten von einem PC/Notebook/Tablet im Heimnetz zu erfassen, wurde von AVM bejaht.

AVM Support hat die folgende Antort gegeben:
„Die FRITZ!Box und der FRITZ!Repeater bieten keine Möglichkeit, einen solchen Zugriff auf Ihr Heimnetz grundsätzlich zu unterbinden. Wenn ein Gerät im Heimnetz der FRITZ!Box verbunden ist, hat es grundsätzlich auch auf das gesamte Heimnetz-Zugriff. Ihre Heizungssteuerung ist in Ihrem Heimnetz verbunden.“

Ich bitte  um Unterstützung/Ratschlag, damit ein Zugriff auf meine Daten verhindert wird.

klro_5014

[rofl0R · Accepted solution]

Hallo,

ich bin kein Heizungsfachmann, verfüge aber über IT-Kenntnisse.

Mir ist nicht bekannt, wie genau der Zugriff des Fachbetriebs und mögliche Konfigurationsänderungen (technisch) funktionieren. Vielleicht gibt es dazu eine Beschreibung.

Zunächst einmal ist für die Internetverbindung nach draußen keine Firewall-Regel nötig. Die Heizung baut aus dem sicheren Heimnetz eine Verbindung zu einem Viessmann-Server auf und weil der Verbindungsaufbau von innen nach außen erfolgt ist, würde die Fritzbox die Kommunikation grundsätzlich zulassen. Es kann aber kein Externer mit einer anderen IP-Adresse (z.B. der Heizungsbetrieb) einfach auf dein Heimnetz zugreifen. Die Kommunikation muss über den Viessmann-Server laufen, zu dem aus dem Heimnetzwerk die Verbindung aufgebaut wurde. Man nennt das establish mode, der Router beantwortet nur Anfragen von IP-Adressen die von innen (aus dem Heimnetzwerk) heraus initiiert wurden.

Grundsätzlich sollte man sich aber Gedanken beim Einsatz von WLAN Smart-Home Geräten machen. Ich verwende eine WLAN-Lösung von TP-Link (Deco) und habe ein extra "Gast-WLAN" mit eigenem IP-Bereich für solche Geräten, die vielleicht böse Sachen tun könnten.

[klro_5014]

rofl0R,

zunächst einmal vielen Dank für den Rat. Ich habe in der Fritz!Box die Möglichkeit, einen Gast-WLAN -Zugang zu vergeben. Ist diese Option sinngemäß derselbe Lösungsansatz wie der von Ihnen vorgeschlagene von TP-Link (Deco)?

mfG

klro_5014

[rofl0R · Accepted solution]

Also ich verwende das WLAN meiner Fritzbox 7590 nicht. Die TP-Link Deco Mesh Lösung hatte ich kurz vorher gekauft und dann ging das mit dem Glasfaseranschluss doch schneller als gedacht und die Fritzbox hat einen Vodafone-Router abgelöst. Ich habe auf die Schnelle bei meiner Fritzbox keine Möglichkeit gefunden für das Gast-WLAN einen eigenen IP-Bereich zu verwenden. Also Beispielsweise verwendet das normale WLAN den IP-Bereich 192.168.a.x und das Gast-WLAN das eigene Subnetz/VLAN 192.168.b.x. So habe ich das bei meinen Decos gelöst.

Bei meiner Fritzbox gibt es aber die Einstellung für Geräte im Gastzugang:
Die WLAN-Geräte der Nutzer können sich untereinander
im Netzwerk des WLAN-Gastzugangs erreichen (kann auf ja/nein eingestellt werden).

Wenn das auf nei eingestellt wird, können die Geräte im Gast-WLAN

[meinereiner]

Hallo,

mein Stand ist, dass die Heizungsanlage ihre Daten Richtung Viessmann Server schickt. Wenn jemand (Heizungsbauer/Viessmann APP) die Daten abrufen möchte, bekommt er die Daten vom Viessmann Server. Nicht von deiner Heizung.

Trotzdem ist der Ansatz mit dem GAST WLAN (FritzBox) ein guter. Das Gast WLAN ist vom normalen Netz getrennt. Hier kann man z.B. auch WLAN fähige Smart TVs connecten.  

[Dreman]

Bist du dir da sicher? Sowie ich das verstanden habe, kann der 'Fachbetrieb' auch Remote über die ViGuide App Funktionen/Parameter der Anlage programmieren, sofern man ihm die 'Servicefreigabe' für die Anlage erteilt hat. Demnach müsste aber die Kommunikation in beide Richtungen möglich sein.

[rofl0R · Accepted solution]

Ein direkte Zugriff des Fachbetriebs auf ein Heimnetzwerk ist aber nur möglich, wenn in der Firewall des Router entsprechende Ports geöffnet werden. das ist hier ja nicht der Fall. Demnach plaudert die Vitodens mit dem Remote-Server von Viessmann. Der Heizungsfachbetrieb meldet sich ebenfalls per ViGuide beim Viessmann-Remoteserver an und sieht alle Anlagen die für ihn freigegeben wurden. Wenn er Änderungen an einer Anlage vornehmen möchte, geht das nur über Viessmann. Er kann nicht direkt (mit einer fremden/bösen IP-Adresse) in ein Heimnetzwerk eingreifen. Ob Viessmann jetzt die Einstellungsänderung im Auftrag sofort ausführt oder ob die Konfigurationsänderung hinterlegt und von der Vitodens abgerufen wird kann nur Viessmann sagen. Der Heizungsbetrieb kann aber nicht an der Firewall vorbei mit einer fremden IP-Adresse in euer Heimnetzwerk.

Die Kommunikation erfolgt zwischen der Vitodens und dem Viessmann-Remoteserver weil diese Verbindung von der Vitodens aus dem sicheren Heimnetzwerk nach draußen in die böse weite Welt initiiert wurde. Der Router zuhause lässt nach dem Verbindungsaufbau durch die Vitodens die Kommunikation mit Viessmann durch die Firewall als Antwort auf die vorausgegangene Anfrage zu. Die Kommunikation ist demnach entweder Vitodens->Viessmann-Remoteserver->Heizungsfachbetrieb oder in umgekehrter Reihenfolge...aber immer ist der Viessmann-Remoteserver zwischen eurer Vitodens und dem Heizungsbetrieb.

Ich hoffe die Beschreibung ist verständlich. Router/Firewalls erlauben nur das quatschen mit Geräten die sie kennen. Also entweder es muss extra eine Regel im Router konfiguriert werden (ist hier ja nicht) oder das anquatschen muss von innen nach außen erfolgt sein. Nur dann wird eine Antwort auf das anquatschen vom angequatschten zugelassen...und zwar nur von dem angequatschten, nicht von einem Anderen (z.B. Heizungsbetrieb).

[klro_5014]

rofl0R,

prima. Dann kann ich mich beruhigt zurücklegen und muss auf meiner Seite nichts mehr "veranlassen"/konfigurieren.

mfg

klro_5014