Cybersecurity beginnt bei der Basis des Gebäudes

Wer das Wort Cybersecurity hört, denkt an Firewalls, Antivirensoftware, Multifaktor-Authentifizierung, Verschlüsselung, Monitoring und Zero Trust. Alles zu Recht und alles wichtig. Dennoch verschiebt sich dieses Gespräch fast immer sofort in Richtung Software, Cloud und Richtlinien, während eine einfache Frage selten gestellt wird: Wer kann eigentlich an den Patchschrank?

Oder konkreter noch: Wissen Sie, wo die Internetverbindung Ihres Büros physisch ankommt? Wo die Netzwerkgeräte stehen, wer Zugang zum technischen Raum hat und wer die gebäudegebundenen Systeme verwaltet? Digitale Sicherheit existiert nicht nur in der Cloud. Hinter jedem digitalen Arbeitsplatz steckt letztlich physische Infrastruktur: Kabel, Anschlüsse, Netzwerkgeräte, technische Räume, Zugangssysteme, Stromversorgungen und Verbindungen.

Dieser Beitrag dreht sich um eine zugespitzte Positionierung. Cybersecurity beginnt nicht in der Cloud. Das Fundament liegt im Gebäude. Und dieses Fundament ist messbar, sichtbar zu machen und übertragbar, sofern Sie es früher erfassen als an dem Tag, an dem der Mieter sich einloggt.

Beginnen Sie bei der Hardware

Cybersecurity beginnt bei Hardware. Das ist bewusst zugespitzt formuliert, denn Cybersecurity besteht aus weit mehr als nur Hardware. Es ist ein Zusammenspiel aus Menschen, Prozessen, Software, Netzwerken, Zugangsmanagement, Richtlinien und Monitoring. Doch ohne eine sichere und gut eingerichtete physische Basis können softwareseitige Maßnahmen unzureichend bleiben. Ein starkes Schloss an einer falsch eingehängten Tür schützt wenig.

Die physische Basis umfasst mehr Bestandteile, als die meisten Immobilienfachleute im Blick haben. Denken Sie an Modem und Router, wo der Verkehr ankommt, Switches und Access Points, Datenverkabelung und Patchpanels, Server- und technische Räume, physische Zutrittssicherung, Kamera- und Zutrittssysteme, IoT-Geräte, Building-Management-Systeme, Sensoren, kabelgebundene und drahtlose Verbindungen sowie Notstrom- und Backup-Vorrichtungen.

Bei jedem dieser Bestandteile zählt nicht nur, ob er vorhanden ist. Die Anschlussfragen bestimmen die Widerstandsfähigkeit: Wer verwaltet es, wer hat Zugang, wer ist verantwortlich, ist es dokumentiert, und wo liegt die Grenze zwischen gebäudegebundener Infrastruktur und der IT-Umgebung des Mieters? Diese Fragen berühren unmittelbar die Cybersecurity in Immobilien, denn jeder unverwaltete Anschluss bildet einen blinden Fleck.

Ein intelligentes Gebäude bedeutet auch eine größere digitale Angriffsfläche

Gebäude enthalten zunehmend vernetzte Technik. Zutrittskontrolle, Kameras, Klimaanlagen, Sensoren, Beleuchtung, Ladesäulen, Aufzüge, Gebäude-Apps, Reservierungssysteme und IoT-Geräte machen ein Gebäude komfortabler, effizienter und besser steuerbar. Das bietet enorme Möglichkeiten, und diese Entwicklung lässt sich nicht aufhalten.

Gleichzeitig gilt: Mehr vernetzte Systeme verlangen mehr Aufmerksamkeit für Architektur, Verwaltung, Segmentierung, Updates, Zuständigkeiten und Absicherung. Je intelligenter das Gebäude, desto wichtiger wird es zu wissen, was digital in diesem Gebäude vorhanden ist. Das ist keine Botschaft der Angst. Smart Buildings sind nicht per Definition unsicher; Digitalisierung verlangt schlicht nach Transparenz und Verantwortung.

Die zugrunde liegende Regel ist nüchtern und zugleich hart: Sie können nicht schützen, was Sie nicht kennen. Ein Gebäude mit vielen vernetzten Systemen ohne Überblick ist nicht schlecht, aber unbekannt, und das Unbekannte lässt sich nur schwer absichern.

Wir legen bis auf den Millimeter fest, welchen Bodenbelag ein Mieter übergeben bekommt. Die digitale Infrastruktur darunter bleibt in den meisten Verträgen ein leeres Feld.

Wer ist eigentlich verantwortlich?

Bei einem konventionellen Bürogebäude wirkt die Grenze zwischen Vermieter und Mieter relativ klar. Sobald Gebäude digitaler werden, entstehen jedoch neue Fragen, die in keinem Standardvertrag von selbst beantwortet werden.

Wer ist verantwortlich für den Glasfaseranschluss, die gebäudegebundenen Netzwerkgeräte, das WLAN in Gemeinschaftsräumen, die Zutrittskontrolle, die Kameras, die IoT-Sensoren, die Gebäude-Apps, die technischen Räume, die Patches und Firmware gebäudegebundener Systeme, das Monitoring, die Störungsbehebung und die Absicherung der gebäudegebundenen digitalen Systeme? Und wo beginnt anschließend die Verantwortung des Mieters?

Zuständigkeiten im Mietvertrag, genauso detailliert wie Absprachen über Wartung und Installationen. Cybersecurity betrifft nicht nur die Technik. Es geht auch darum zu wissen, wer wofür verantwortlich ist.

Was bekommt der Mieter eigentlich digital übergeben?

Bei der Übergabe von Immobilien treffen wir selbstverständlich Absprachen über Böden, Decken, Beleuchtung, Klimaanlagen, Teeküche, Sanitäranlagen, Malerarbeiten und Elektrik. Das ist in Übergabeprotokollen und Aufmaßdokumenten festgehalten. Aber wie wird das digitale Übergabeniveau festgelegt?

Was ist am ersten Tag vorhanden? Was funktioniert? Was ist abgesichert? Welche Infrastruktur kann der Mieter nutzen, was muss er selbst installieren, welche Einrichtungen werden vom Vermieter verwaltet und welche Verantwortlichkeiten werden übertragen? In der Praxis bleiben diese Punkte oft implizit, obwohl sie die digitale Ausgangsposition des Mieters vollständig bestimmen.

Der Vergleich drängt sich auf. Wir legen genau fest, welchen Bodenbelag ein Mieter übergeben bekommt. Warum tun wir das nicht ebenso klar bei der digitalen Infrastruktur? Wer einen Rohbau oder eine Turn-Key-Fläche mietet, möchte wissen, was digital enthalten ist und was nicht, bevor der Vertrag unterschrieben wird.

Das IT-Label als digitales Übergabeniveau

Hier kommt IT-Label ins Spiel. Wichtig, das sofort zu betonen: IT-Label erhebt nicht den Anspruch, eine Cybersecurity-Zertifizierung zu ersetzen. Es ersetzt kein spezialisiertes Security-Audit, keinen Penetrationstest, keine ISO-Zertifizierung, keine NEN-Norm und keinen Cybersecurity-Spezialisten. Die Rolle ist eine andere. IT-Label macht sichtbar, welche digitale Basis ein Gebäude bietet und wo Zuständigkeiten liegen.

Das geschieht mit einer klaren Klassifizierung, die das digitale Übergabeniveau in einer einzigen Sprache fasst. Die Niveaus reichen von einer vollständig eingerichteten Basis bis zu einem bewusst leer übergebenen Rohbau:

Die Positionierung ist klar: IT-Label sagt nicht, dass eine Organisation cybersicher ist. IT-Label macht sichtbar, auf welcher digitalen Gebäudebasis diese Organisation weiterbaut. Diese Unterscheidung ist wesentlich, und sie macht IT-Label zu einer Übersetzung statt einem Gütesiegel: kein Urteil, aber Einblick.

Vom Gebäude zum Nutzer

Cybersecurity zieht sich durch eine ganze Kette. Diese Kette verläuft vom Gebäude über die physische IT-Infrastruktur zur Konnektivität, zum Netzwerk, zu Systemen und Anwendungen, zu Daten und schließlich zum Nutzer. An jedem Übergangspunkt können Risiken entstehen, und an jedem Übergangspunkt sollte ein Verantwortlicher benannt sein.

IT-Label konzentriert sich primär auf die digitale Gebäudeebene und das Übergabeniveau. Dort beginnt die Basis, auf der Mieter, IT-Anbieter und Cybersecurity-Spezialist anschließend weiterbauen. Eine Firewall kann vieles schützen. Aber sie sagt Ihnen nicht, wer Zugang zu dem technischen Raum hat, in dem die Infrastruktur steht, und gerade diese physische Ebene fällt oft aus dem Sicherheitsgespräch heraus. Das Thema berührt damit auch die Netzwerkredundanz, denn Zuverlässigkeit und Absicherung stehen nicht getrennt voneinander.

Erst inventarisieren, dann absichern

Bevor Sie festlegen können, wie etwas abgesichert werden muss, müssen Sie erst wissen, was vorhanden ist. Welche Systeme, welche Verbindungen, welche Hardware, welche technischen Räume, welche Anbieter, welche Zuständigkeiten und welche gebäudegebundenen digitalen Einrichtungen? Das klingt selbstverständlich, ist aber genau der Schritt, der in der Praxis am häufigsten übersprungen wird.

Die Reihenfolge ist erst Einblick, dann Risiko, dann Absicherung. IT-Label folgt dabei einem erkennbaren Rhythmus:

1. Inventarisieren, was digital vorhanden ist;
2. Kontrollieren, ob es funktioniert und verwaltet wird;
3. Dokumentieren von Systemen und Zuständigkeiten;
4. Klassifizieren in ein klares Übergabeniveau;
5. Verbessern, wo dies gewünscht ist.

Was Sie nicht sehen, können Sie nicht beurteilen. Und was Sie nicht kennen, können Sie schwer schützen. Das Erstellen dieser Bestandsaufnahme ist daher keine Bürokratie, sondern der erste Baustein der Widerstandsfähigkeit.

KI macht die digitale Basis noch wichtiger

Organisationen werden zunehmend abhängig von Cloud-Umgebungen, KI, Echtzeitdaten, vernetzten Geräten, Automatisierung und Smart-Building-Technologie. Dadurch ist digitale Infrastruktur längst keine facility-technische Nebensache mehr. Sie ist Teil der Geschäftskontinuität geworden.

Je digitaler unsere Organisationen werden, desto wichtiger wird die digitale Basis ihrer Unterbringung. Die Diskussion über ein zukunftsfähiges, KI-taugliches Gebäude darf sich daher nicht nur um Geschwindigkeit und Kapazität drehen. Auch Zuverlässigkeit, Verwaltung, Dokumentation, Zuständigkeiten und digitale Widerstandsfähigkeit gehören in dieses Gespräch.

Cybersecurity beginnt vor der Schlüsselübergabe

Cybersecurity sollte kein Thema werden erst in dem Moment, in dem der Mieter seine Rechner aufstellt und seinen IT-Anbieter beauftragt. Zu diesem Zeitpunkt ist ein Teil der digitalen Basis bereits durch das Gebäude festgelegt. Die Fragen, die zählen, müssen daher früher gestellt werden: bei der Entwicklung, bei der Renovierung, bei der technischen Due Diligence, bei der Vermietung, bei der Besichtigung, bei der Vertragsgestaltung und bei der Übergabe.

Digitale Sicherheit beginnt nicht, wenn der Mieter sich einloggt. Sie beginnt bei dem, was das Gebäude liefert. Und der Immobilienprofi muss dafür kein Cybersecurity-Spezialist werden. Er muss aber lernen, die richtigen Fragen zu stellen: Wo kommt die Verbindung an, wo steht die Hardware, wer hat Zugang, welche Gebäudesysteme sind vernetzt, wer verwaltet sie, gibt es Dokumentation, wer ist wofür verantwortlich und was bekommt der Mieter digital übergeben? Der Immobilienprofi muss Cybersecurity nicht selbst umsetzen, aber er muss verstehen, wo digitale Verantwortung beginnt.

Häufig gestellte Fragen

Beginnt Cybersecurity wirklich bei Hardware?

Nicht ausschließlich. Cybersecurity ist ein Zusammenspiel aus Menschen, Prozessen, Software, Netzwerken, Zugangsmanagement, Richtlinien und Monitoring. Die These betont, dass die physische und gebäudegebundene digitale Infrastruktur ein oft unterbelichteter Teil dieser Basis ist.

Bedeutet ein hohes IT-Label, dass ein Gebäude cybersicher ist?

Nein. Ein hohes IT-Label sagt nichts über die Cybersicherheit einer Organisation aus. Es macht sichtbar, welche digitale Basis das Gebäude bietet und wo Zuständigkeiten liegen, als Fundament für weitere Absicherung.

Ersetzt IT-Label ein Security-Audit oder eine ISO-Zertifizierung?

Nein. IT-Label ersetzt keinen Penetrationstest, kein Security-Audit, keine ISO-Zertifizierung und keinen Cybersecurity-Spezialisten. Es liefert den Einblick in die digitale Gebäudeebene, der diesen Prozessen vorausgeht.

Warum ist die Abgrenzung zwischen Mieter und Vermieter so wichtig?

Weil unklare Zuständigkeiten zu Systemen führen, die niemand verwaltet oder aktualisiert. Eine klare Abgrenzung verhindert blinde Flecken in Verwaltung, Monitoring und Absicherung gebäudegebundener Systeme.

Was kann ich als Immobilieneigentümer konkret tun?

Erfassen Sie zunächst, was digital vorhanden ist, und legen Sie das Übergabeniveau fest. So wissen Sie, was Sie verwalten, was Sie übertragen und wo der Mieter weiterbaut. Beginnen Sie bei Einblick in die digitale Basis.

Zurück zu den Grundlagen: Beginnen Sie beim Übergabeniveau

Wir sprechen über KI, Cloud, Zero Trust, Cybersecurity, Smart Buildings und IoT. Aber letztlich beginnt es bei etwas viel Grundlegenderem: Was befindet sich im Gebäude, wie ist es eingerichtet, wer verwaltet es, wer hat Zugang und was bekommt der Nutzer übergeben?

Cybersecurity beginnt bei Hardware. Hardware beginnt beim Gebäude. Und digitale Qualität beginnt bei Einblick in das Übergabeniveau. Möchten Sie diese Basis für Ihre eigene Immobilie sichtbar machen, beginnen Sie mit der Bestandsaufnahme der digitalen Gebäudeebene und entdecken Sie über was IT-Label für Immobilieneigentümer bedeutet, welches Übergabeniveau Sie heute tatsächlich bieten. Die erste Frage, die Sie Ihrem Mieter schulden, ist einfach: Was bekommt er digital übergeben?