Wie sicher ist das smarte Gebäude? IoT von der Basis bis zur IT-Label Inspektion

Zuerst die Basis: Was ist IoT in einem Gebäude?

IoT steht für Internet of Things: Geräte, die über ein Netzwerk messen, schalten und Daten senden. In einem Bürogebäude sind das oft Hunderte. Zum Beispiel:

• Sensoren, die messen, ob ein Raum belegt ist und wie warm oder stickig es dort ist;
• die Gebäudeleittechnik (GLT), die Heizung, Kühlung, Lüftung und Beleuchtung steuert;
• Zugangsschleusen, Kartenleser und smarte Schlösser;
• Kameras und der Rekorder, der die Bilder speichert;
• Aufzüge, Sonnenschutz und Ladestationen in der Tiefgarage;
• Smart Meter und die Wechselrichter von Solaranlagen;
• Drucker, Bildschirme in Besprechungsräumen und Buchungssysteme.

Zusammen machen sie ein Gebäude komfortabel, sparsam und einfach zu verwalten. Wie das funktioniert, lesen Sie in unserer Wissensdatenbank unter Smart-Building-Technologie. In diesem Artikel geht es um eine andere Frage: Wie sicher ist das alles?

Warum IoT angreifbar ist

Ein Laptop bekommt jeden Monat Updates und wird von der IT-Abteilung verwaltet. Bei smarten Geräten in einem Gebäude ist das oft anders. Die häufigsten Schwachstellen:

• Standardpasswörter. Viele Geräte werden mit einem Passwort wie „admin“ geliefert. Das wird bei der Installation nicht immer geändert.
• Keine Updates. Der Hersteller bringt Updates heraus, aber niemand installiert sie. Oder der Hersteller hört nach ein paar Jahren mit Updates auf.
• Eine lange Lebensdauer. Ein Gebäude und seine Anlagen halten oft zwanzig Jahre. Die Software eines Geräts ist oft viel früher veraltet.
• Kein Verantwortlicher. Der Installateur baut das Gerät ein, das Facility Management nutzt es und die IT-Abteilung weiß nichts davon. Niemand fühlt sich verantwortlich.
• Ein gemeinsames Netzwerk. Kameras, Sensoren und Laptops hängen alle im selben Netzwerk. Ein schwaches Gerät wird dann zur Tür zum Rest.
• Fernzugriff. Lieferanten melden sich für die Wartung von außen an. Wenn dieser Zugang schlecht gesichert ist, kann das auch ein anderer.
• Unsichtbar. Geräte sitzen in Decken, Technikräumen und Schränken. Was man nicht sieht, kontrolliert man auch nicht.

Was kann schiefgehen?

Zwei bekannte Beispiele zeigen, was passieren kann.

Mirai, 2016. Im Oktober 2016 waren große Websites wie Twitter, Netflix und Spotify stundenlang schlecht erreichbar. Der Angriff kam von Hunderttausenden Kameras, Rekordern und Routern, die übernommen worden waren. Die Angreifer kamen mit einer kurzen Liste von Standardpasswörtern hinein. Die Besitzer der Geräte merkten nichts davon.

Target, 2013. Bei der amerikanischen Handelskette Target wurden Ende 2013 die Daten von rund 40 Millionen Zahlungskarten gestohlen. Die Täter kamen mit den Zugangsdaten eines Lieferanten für Klimaanlagen hinein. Dieser Lieferant hatte für die Wartung Zugang zum Netzwerk. Von dort aus konnten die Täter weiter in das Netzwerk vordringen.

Die Lehre aus beiden Beispielen: Das Risiko liegt nicht im Gerät allein, sondern darin, wie es angeschlossen ist, wer Zugang hat und ob jemand es im Blick behält.

Was sagen die Regeln?

Auch der Gesetzgeber schaut immer öfter auf smarte Geräte:

• Cyber Resilience Act. Dieses europäische Gesetz stellt Anforderungen an Produkte mit Software, zum Beispiel sichere Standardeinstellungen und Updates. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Lücken melden. Ab dem 11. Dezember 2027 gelten alle Anforderungen. Mehr dazu lesen Sie in Cyber Resilience Act: was bedeutet die CRA für Immobilien?
• Europäische Anforderungen an Funkgeräte. Seit dem 1. August 2025 müssen neue Funkgeräte mit Internetverbindung Sicherheitsanforderungen erfüllen, zum Beispiel bei Passwörtern.
• Das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet). Seit dem 15. August 2026 verlangt dieses Gesetz von vielen Organisationen, ihre Netzwerk- und Informationssysteme zu schützen. Das gilt auch für die physische Umgebung, in der diese Systeme stehen.

Die neuen Regeln gelten vor allem für neue Produkte. Für die Geräte, die heute schon in einem Gebäude hängen, bleiben Eigentümer und Nutzer verantwortlich.

So prüft eine IT-Label Inspektion das IoT

Wie sieht das in der Praxis aus? Wir gehen durch ein erdachtes Bürogebäude mit vier Etagen, einigen Mietern, einer Tiefgarage und einer Gebäudeleittechnik. Das ist ein Beispiel, kein Bericht über eine echte Inspektion. Die Schritte zeigen, worauf ein Inspektor achtet.

Schritt 1: der Überblick

Der Inspektor beginnt mit einer Frage an den Verwalter: Welche smarten Systeme gibt es, und wer verwaltet sie? In unserem Beispiel gibt es eine Liste der Anlagen. Die Kameras in der Tiefgarage und die Ladestationen stehen aber nicht darauf. Sie wurden später von einem anderen Lieferanten installiert. Ein vollständiger Überblick ist die Basis von allem: Was nicht auf der Liste steht, wird auch nicht aktualisiert.

Schritt 2: das Netzwerk

Haben die Gebäudesysteme ein eigenes Netzwerk, getrennt vom Büronetzwerk, von den Gästen und von den anderen Mietern? In unserem Beispiel hat die Gebäudeleittechnik ein eigenes Netzwerk. Aber die Bildschirme in den Besprechungsräumen und die Drucker eines Mieters hängen im selben Netzwerk wie die Laptops. Das ist ein Punkt, der Aufmerksamkeit braucht.

Schritt 3: der physische Zugang

Sind die Schaltschränke, der Kamerarekorder und die Netzwerkschränke abgeschlossen? Hängen Geräte dort, wo jeder herankommt? In unserem Beispiel steht der Rekorder der Kameras in einem offenen Schrank im Fahrradraum. Ein abgeschlossener Schrank oder ein anderer Ort löst das.

Schritt 4: der Fernzugriff

Wie melden sich Lieferanten für die Wartung an? Ist das abgesprochen, gesichert und dokumentiert? Und lässt sich dieser Zugang abschalten, wenn er nicht gebraucht wird? In unserem Beispiel hat der Installateur der Klimaanlage eine feste Verbindung, die immer offen ist. Niemand weiß genau, wer sie nutzt.

Schritt 5: Passwörter und Updates

Wurden die Standardpasswörter geändert? Gibt es eine Absprache, wer Updates installiert und wie oft? In unserem Beispiel wurden die Passwörter der Gebäudeleittechnik geändert, die der Ladestationen aber nicht. Eine Absprache zu Updates gibt es nicht.

Schritt 6: Strom und Ausfall

Was funktioniert noch, wenn das Netzwerk oder der Strom ausfällt? Gehen die Türen dann auf oder bleiben sie zu? Kommen Menschen noch in das Gebäude hinein und wieder hinaus? In unserem Beispiel laufen die Zugangsschleusen über eine Notstromversorgung, der Netzwerk-Switch, der sie steuert, aber nicht.

Schritt 7: dokumentieren

Steht alles in der Dokumentation? Und ist in der Demarkationsliste festgelegt, wer wofür verantwortlich ist: der Eigentümer, der Mieter oder der Lieferant? Das verhindert, dass ein Problem zwischen zwei Parteien liegen bleibt.

Am Ende des Rundgangs weiß der Eigentümer, was gut läuft und was besser sein kann. In unserem Beispiel sind die Verbesserungen einfach: die fehlenden Geräte auf die Liste, ein eigenes Netzwerk für die Geräte des Mieters, ein Schloss am Schrank, eine bessere Absprache mit dem Installateur und neue Passwörter.

Zehn Fragen für Eigentümer und Mieter

Möchten Sie selbst anfangen? Gehen Sie diese Fragen mit Ihrem Verwalter oder IT-Partner durch:

1. Gibt es eine Liste aller smarten Systeme im Gebäude?
2. Ist für jedes System bekannt, wer es verwaltet?
3. Haben die Gebäudesysteme ein eigenes Netzwerk?
4. Sind Mieter und Gäste von den Gebäudesystemen getrennt?
5. Wurden alle Standardpasswörter geändert?
6. Gibt es eine Absprache zu Updates?
7. Bekommen die Geräte noch Updates vom Hersteller?
8. Wie melden sich Lieferanten an, und lässt sich dieser Zugang abschalten?
9. Sind Schaltschränke, Rekorder und Netzwerkschränke abgeschlossen?
10. Was funktioniert noch, wenn das Netzwerk oder der Strom ausfällt?

Können Sie eine Frage nicht beantworten? Dann wissen Sie, wo Sie anfangen können.

Häufig gestellte Fragen

Ist ein smartes Gebäude weniger sicher als ein normales Gebäude?

Nicht automatisch. Ein smartes Gebäude hat mehr Geräte im Netzwerk und damit mehr Stellen, auf die man achten muss. Mit einem eigenen Netzwerk für die Gebäudesysteme, guten Passwörtern, Updates und klaren Absprachen lässt sich ein smartes Gebäude gut schützen.

Wer ist für die IoT-Systeme verantwortlich: der Vermieter oder der Mieter?

Das hängt von den Absprachen ab. Oft ist der Eigentümer für die Gebäudesysteme verantwortlich, etwa Klima und Zugang, und der Mieter für die eigenen Geräte. Legen Sie das in einer Demarkationsliste fest, damit nichts zwischen zwei Parteien liegen bleibt.

Muss die Gebäudeleittechnik ein eigenes Netzwerk haben?

Das ist sehr zu empfehlen. Ein eigenes, getrenntes Netzwerk verhindert, dass ein Problem im Büronetzwerk auch das Klima oder den Zugang des Gebäudes trifft, und umgekehrt.

Prüft das Security Audit auch Kameras und Sensoren?

Ja. Das IT-Label Security Audit prüft Drucker, Kameras und andere Geräte, die ungeschützt oder unbekannt im Netzwerk hängen. Und es prüft, ob das Büronetzwerk von den Gebäudesystemen wie Zugang und Klima getrennt ist.

Zählt IoT für das IT-Label?

Das IT-Label bewertet ein Gebäude in sechs Bereichen: Konnektivität, Infrastruktur, Performance, Skalierbarkeit, Integration und Smart Building. Smarte Gebäudesysteme gehören zu Integration und Smart Building. Das IT-Label prüft dabei die digitale Infrastruktur, auf der diese Systeme laufen.

Beginnen Sie bei der Basis

Smarte Systeme machen ein Gebäude besser, wenn die Basis stimmt. Möchten Sie wissen, wie sicher die IT und die smarten Systeme in Ihrem Büro sind? Fordern Sie ein Security Audit an. Möchten Sie wissen, wo Ihr Gebäude digital steht? Beginnen Sie mit einer Vorinspektion. Und möchten Sie, dass jemand die IT Ihres Gebäudes dauerhaft im Blick behält? Lesen Sie mehr über IT-Label Smart Control.

Quellen: Europäische Kommission, Cyber Resilience Act; Nationaal Cyber Security Centrum; CISA, über Mirai.