Gebäudeleittechnik (GLT / BMS) teilt sich heute dieselben Netzwerke wie Ihre Unternehmens-IT, nutzt Protokolle ohne integrierte Sicherheitsmechanismen und wurde im Oktober 2026 genutzt, um Lebensmittel in Hunderten europäischer Supermärkte zu verderben. Erfahren Sie hier, was sich in diesem Jahr verändert hat und welche Maßnahmen ein CISO ergreifen sollte. 

Warum die Sicherheit der Gebäudeleittechnik ein OT-Problem ist 

Ein Gebäudeleitsystem (Building Management System, BMS) ist ein Netzwerk aus Steuerungen (Controllern), das die technische Gebäudeausrüstung (TGA) überwacht und steuert: Heizung, Lüftung, Klimatechnik (HVAC), Beleuchtung, Aufzüge, Brandmeldeanlagen, Zutrittskontrolle sowie Wasser- und Energiemessung. Krankenhäuser, Rechenzentren, Flughäfen und Hotels sind vollständig darauf angewiesen. Sieht man vom Facility-Management-Jargon ab, handelt es sich schlicht um Operational Technology (OT): Sie steuert physische Prozesse, beeinflusst die funktionale Sicherheit (Safety) und kann für Patching-Prozesse nicht einfach abgeschaltet werden. 

Das Kernproblem liegt darin, dass die meisten Organisationen dies verkennen. Die Zuständigkeit liegt meist beim Facility Management oder einem externen Dienstleister, dem IT-Sicherheitsteam fehlt das Asset-Inventar dafür, und der Fernzugang des Herstellers wurde vor Jahren von Mitarbeitenden eingerichtet, die das Unternehmen längst verlassen haben. Wenn die Verantwortung weder bei der IT noch bei der OT verortet ist, werden Sicherheitsmaßnahmen und Controls selten auditiert oder überprüft. 

Drei Faktoren verschärfen die Gefährdungslage von Jahr zu Jahr: 

• IT/OT-Konvergenz. Cloud-Dashboards, Mieter-Apps, Energieanalysen und Support-Zugänge der Hersteller leiten BMS-Datenverkehr in Netzwerke weiter, für die er nie konzipiert wurde. 

• Veraltete Protokolle. BACnet und Modbus wurden entwickelt, bevor Cybersicherheit ein Thema war; ihnen fehlen Verschlüsselung und Authentisierung. Jeder mit Netzwerkzugang kann direkt mit den Endgeräten kommunizieren. 

• Physisches Schadensausmaß (Blast Radius). Ein kompromittiertes BMS kann Türverriegelungen, Aufzüge, Brandschutzsysteme und die Kühlung beeinträchtigen und dient als Einfallstor in weitere Unternehmenssysteme. 

Für einen CISO lautet die praktische Schlussfolgerung: Wenn ein Gebäudesystem den Betrieb einer Krankenhausstation, eines Handelsraums oder einer Kühlkette lahmlegen kann, gehört es neben den Produktionsanlagen zwingend in Ihr OT-Risikoregister. 

Was sich 2026 geändert hat: Die aktuellen Entwicklungen 

In diesem Jahr sind Angriffe auf Gebäudesysteme von theoretischen Konferenzvorträgen zu realen physischen Schäden mit enormen finanziellen Folgen eskaliert. Die folgenden Ereignisse sollten CISOs kennen (chronologisch absteigend sortiert): 

Ein Muster zieht sich durch alle Vorfälle: Die Angreifer müssen keine Gebäudespezialisten sein. Sie benötigen lediglich eine erreichbare Steuerung, Standard- oder geleakte Zugangsdaten und einen unüberwachten Wartungstunnel des Herstellers. 

Die Sicherheitslage der Gebäudeleittechnik in Zahlen 

Zwei umfangreiche Datensätze – von Clarotys Team82 und von Armis – zeigen das gleiche Bild. Da sich Stichproben und Definitionen unterscheiden, sollten sie als zwei unabhängige Bestandsaufnahmen desselben Risikobildes verstanden werden. 

Clarotys Zusammenfassung benennt die typischen Ursachen: veraltete Geräte und Betriebssysteme, unzureichende Authentisierung, Exponierung im Internet sowie unkontrollierte Remote-Access-Tools von Drittanbietern und offene Ports. Keines dieser Probleme ist exotisch. Alle lassen sich durch standardmäßige OT-Hygiene beheben – die Lücke ist folglich primär ein Governance-Versäumnis und kein Technologieproblem. 

Warum ein BMS schwerer abzusichern ist als eine Fertigungsanlage 

Es liegt nahe, das bestehende ICS-Sicherheitskonzept unverändert zu übertragen. Das funktioniert jedoch nur bedingt. IoT Agenda von TechTarget betont, dass BMS-Netzwerke weitaus stärker vernetzt sind als traditionelle ICS-Netze. Ein flaches Segmentierungsmodell für Produktionslinien lässt sich daher nicht ohne Weiteres auf eine Liegenschaft anwenden. 

Unterschiede zwischen Gebäudeautomation und industrieller Fertigung: 

1. Vielzahl spezialisierter Dienstleister. HVAC, Aufzüge, Brandschutz, Beleuchtung, Zutrittskontrolle und Metering stammen jeweils von unterschiedlichen Herstellern, mit eigenen Steuerungsfamilien und Wartungsverträgen. 

2. Dauerhafte Dienstleisterzugänge. Fernwartungszugänge wurden oft aus Bequemlichkeit eingerichtet und selten auditiert. So begann der Target-Sicherheitsvorfall 2013 – ein Muster, das unverändert aktuell ist. 

3. Lange Lebenszyklen, fehlende Wartungsfenster. Steuerungen, die vor zehn Jahren installiert wurden, regeln nach wie vor Empfangsbereiche und Kältemaschinen. Viele unterstützen moderne Endpoint-Agenten nicht; andere dürfen im Regelbetrieb nicht neu gestartet werden. 

4. Öffentlich zugängliche Dokumentation. Wie Branchenexperte Ernie Hayden darlegt, enthalten online verfügbare Handbücher häufig Standardpasswörter, die Angreifer unmittelbar verwenden können. 

5. Auffindbarkeit über das Internet. Suchmaschinen wie Shodan indexieren vernetzte Gebäudesysteme nach Typ und Standort, was den Aufwand für das Reconnaissance aufseiten der Angreifer minimiert. 

6. Fehlende zentrale Verantwortung. Das Facility Management verwaltet die Hardware, die IT das Netzwerk, der Dienstleister besitzt die Zugangsdaten und die Informationssicherheit trägt das Risiko. Niemand steuert alle vier Dimensionen. 

Der letzte Punkt erfordert die höchste Priorität. Eine eindeutig benannte Verantwortung und eine gemeinsame Asset-Inventory stärken Ihr Sicherheitsniveau wirksamer als jedes Einzelwerkzeug. 

Vier Sicherheitsvorfälle im Fokus 

Target (2013): Der Seiteneinstieg. Angreifer entwendeten Zugangsdaten eines HLK-Dienstleisters, der zur Überwachung von Energieverbrauch und Temperaturen Netzwerkzugriff hatte. Dieser Zugriff war nicht von den Zahlungsverarbeitungssystemen segmentiert – Kartendaten von über 110 Millionen Datensätzen wurden kompromittiert. Die Lehre daraus betrifft Dienstleisterzugänge und Netzwerksegmentierung, nicht die Klimatechnik selbst. 

Lappeenranta, Finnland (2016): Kalte Wohnungen. Ein DDoS-Angriff legte die Gebäudeleitsysteme zweier Wohnblöcke von Ende Oktober bis zum 3. November lahm, wodurch Heizung und Warmwasser ausfielen. Die Steuerungen von Fidelix gerieten in eine Endlos-Reboot-Schleife, und der Fernzugriff brach ab. Für finnische Verhältnisse herrschte eine milde Woche – im Januar hätte dies zu einem sicherheitskritischen Notfall (Safety Incident) geführt. 

Danfoss-Kühlungen (Oktober 2026): Verdorbene Waren. Hacker nutzten webbasierte Steuerungssysteme, um Kühlanlagen in europäischen Supermärkten abzutauen, was Schäden in zweistelliger Millionenhöhe verursachte. Sean Tufts von Claroty bezeichnete den Sektor als Zeitbombe und betonte, dass Sollwert-Manipulationen genau das Szenario darstellen, vor dem Sicherheitsforscher seit Jahren warnen. Danfoss teilte der AFP mit, Kunden seit Langem zu Firmware-Updates und zur Migration von Altsystemen geraten zu haben. Berichte variieren: Facilities Dive spricht von Hunderten Supermärkten in Europa, während The Register den Schwerpunkt auf französische Filialen legt und Brände erwähnt. 

Kanadisches Krankenhaus (August 2026): Verriegelte Türen. Ein Ransomware-Angriff blockierte Türzutrittskontrollen, die zentrale HVAC-Überwachung und die Kartenausgabe für das Personal. Die klinischen IT-Systeme blieben unberührt, dennoch war der Klinikbetrieb aufgrund der ausgefallenen Gebäudeinfrastruktur massiv eingeschränkt. Armis Labs unterstreicht: Die Blockade von Zutrittssystemen und Aufzügen erzeugt denselben Erpressungsdruck wie der Diebstahl von Daten. 

Zusammengenommen verdeutlichen diese Vorfälle drei primäre Angriffsziele, die in Bedrohungsmodellen berücksichtigt werden müssen: das BMS als Einstiegsvektor in die Unternehmens-IT (Target), die Unterbrechung kritischer Dienste (Lappeenranta, Krankenhaus) oder physische Zerstörung und Sachschäden (Danfoss). 

Schwachstellen nach Herstellern: Aktuelle Forschungsergebnisse 

Ziel dieses Abschnitts ist kein Naming-and-Shaming. Für jede etablierte Plattform existieren Security Advisories. Entscheidend ist, dass dieselben Schwachstellenklassen wiederkehren und sich direkt den Maßnahmen im folgenden Playbook zuordnen lassen. 

Tridium erfordert besondere Aufmerksamkeit: Laut Honeywell sind weltweit über eine Million Niagara-Instanzen im Einsatz, die als Bindeglied zwischen TGA und Unternehmensanwendungen fungieren. Die von Nozomi aufgedeckte Kette war nur auf fehlkonfigurierten Systemen vollständig ausnutzbar – eine Bestätigung dafür, dass Systemhärtung eine essenzielle Sicherheitsmaßnahme nach dem Stand der Technik und keine Formalie darstellt. 

Das Metasys-Advisory offenbart zudem eine deutliche zeitliche Diskrepanz: Version 15.0 wurde bereits im März 2026 gepatcht, die offizielle Warnung der CISA erfolgte jedoch erst im August. Organisationen, die für ihre Patch-Prozesse ausschließlich auf Behördenmeldungen warten, hinken Monaten hinterher. 

Regulierung: Gebäudeleitsysteme sind bereits im Geltungsbereich 

Smart Buildings werden in Gesetzestexten selten namentlich aufgeführt, dennoch fordern Aufsichtsbehörden nachweisbare technische und organisatorische Maßnahmen überall dort, wo physische Systeme die Gesundheit, Sicherheit oder Betriebskontinuität berühren. Drei Regelwerke sind aktuell maßgeblich: 

• NIS-2-Richtlinie. Die Richtlinie erstreckt ihre Anforderungen ausdrücklich auf OT-Umgebungen, inklusive systematischem Risikomanagement gemäß Artikel 21 und verbindlichen Meldepflichten für Sicherheitsvorfälle. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025 – ein relevanter Referenzpunkt für weitere EU-Mitgliedstaaten. Sofern Ihr BMS den Betrieb einer besonders wichtigen oder wichtigen Einrichtung unterstützt, fällt es vollumfänglich in den Anwendungsbereich. 

• EU Cyber Resilience Act (Verordnung (EU) 2024/2847). Am 10. Dezember 2024 in Kraft getreten, gelten Meldepflichten für Hersteller seit dem 11. September 2026; grundlegende Produktanforderungen folgen gestaffelt. Obwohl primär an Hersteller gerichtet, betont Forescout die Pflichten der Betreiber: Wer im NIS-2-Geltungsbereich bereitgestellte Sicherheitsupdates nicht einspielt, verstößt gegen Sorgfaltspflichten und erhöht das Haftungsrisiko. 

• CISA- und NIST-Leitfäden. Die aktuellen OT-Vorgaben der CISA (evaluiert im August 2026) fordern die Trennung von OT-Assets vom öffentlichen Internet, sichere Fernzugänge, starke Mehrfaktor-Authentisierung, das Least-Privilege-Prinzip, die Deaktivierung inaktiver Konten sowie Notfallpläne für den manuellen Handbetrieb. Die Richtlinie NIST SP 800-82 Rev. 3 gilt hierbei als international anerkannter Standard für OT-Sicherheitsprogramme. 

Als normative Rahmenwerke etablieren sich IEC 62443 und ISO/IEC 27001 als de-facto-Standards in OT-Infrastrukturen. Dieser Leitfaden stellt keine Rechtsberatung dar; prüfen Sie den individuellen Geltungsbereich mit Ihrer Rechtsabteilung. 

CISO-Playbook für die Sicherheit der Gebäudeleittechnik 

Die folgenden zehn Maßnahmen sind nach ihrem Kosten-Nutzen-Verhältnis bezüglich der Risikominimierung strukturiert. Die ersten vier Schritte erfordern keine Investitionen in neue Technologien. 

1. Verantwortlichkeiten verbindlich festlegen. Nehmen Sie das BMS in das OT-Risikoregister auf und bestimmen Sie eine verantwortliche Person für Entscheidungen, wenn Patches, externe Verbindungen oder Firewall-Regeln gleichermaßen funktionale Sicherheit (Safety) und IT-Sicherheit berühren. 

2. Vollständiges Asset-Inventar aufbauen. Erfassen Sie alle Controller, Gateways, Feldgeräte, Leitrechner (SCADA/HMI) und übergeordnete Cloud-Konnektoren. Nur bekannte Systeme lassen sich segmentieren oder patchen. Setzen Sie auf passive Netzwerkerkennung, um instabile BACnet- und Modbus-Systeme nicht durch aktive Scans zu stören. 

3. BMS-Systeme vom öffentlichen Internet trennen. Prüfen Sie Ihre IP-Adressbereiche aus Angreiferperspektive mittels externer Scan-Dienste. Fernwartungszugänge müssen restriktiv, bedarfsorientiert und stark authentisiert realisiert werden. 

4. Dienstleister- und Wartungszugänge kontrollieren. Etablieren Sie dedizierte Fernzugänge mit Multi-Faktor-Authentisierung (MFA), personenbezogenen Benutzerkonten, zeitlich befristeten Sitzungen und vollständiger Protokollierung. Nicht nachvollziehbare Tunnel und geteilte Sammelkonten sind sofort außer Betrieb zu nehmen. 

5. Gebäudenetze konsequent segmentieren. Richten Sie dedizierte Sicherheitszonen für das BMS ein, getrennt von der Corporate IT. Schützen Sie Systeme für Zutrittskontrolle, Brandschutz und Aufzüge hinter kontrollierten Übergangspunkten (Conduits nach IEC 62443). Johnson Controls empfiehlt für Metasys explizit diese Segmentierung. 

6. Identitäts- und Berechtigungsmanagement härten. Ändern Sie Standardpasswörter auf Systemen, Workstations und Feldgeräten, deaktivieren Sie verwaiste Konten und isolieren Sie Komponenten mit fest codierten Zugangsdaten netzwerkseitig, da diese passwortseitig nicht gehärtet werden können. 

7. OT-spezifisches Patch-Management etablieren. Überwachen Sie Hersteller-Bulletins und CERT-Meldungen, priorisieren Sie nach Ausnutzungsgrad (KEV) sowie Exponierung, testen Sie Updates vorab und planen Sie Rollouts sorgfältig. Kann ein Gerät nicht aktualisiert werden, sind kompensierende Kontrollen verbindlich zu dokumentieren. 

8. Monitoring auf Protokollebene implementieren. Überwachen Sie Netzwerke auf unbekannte Endgeräte, unautorisierte Schreibzugriffe auf Sollwerte, abweichende Scan-Muster und verdächtiges Gateway-Verhalten. Manipulationen von Betriebsparametern fallen im Standard-Monitoring nicht auf, solange keine Baselines für normales Verkehrsaufkommen existieren. 

9. Betriebskontinuität ohne Leittechnik sicherstellen (Notbetrieb). Definieren Sie Prozesse für den manuellen Vor-Ort-Betrieb, sichere Betriebszustände, Eskalationswege und schulen Sie das Personal. Notfallsteuerungen variieren je nach Anlage und bergen Gefahrenpotenziale – binden Sie qualifizierte Ingenieure in die Notfallplanung ein. 

10. Sicherheitskriterien in der Beschaffung verankern. Fordern Sie vertraglich verbindliche Patch-Support-Zeiträume, transparente Prozesse zur Offenlegung von Schwachstellen sowie Security-by-Default-Konfigurationen ein. Verpflichten Sie Lieferanten auf die Einhaltung des Cyber Resilience Act und etablieren Sie feste Lifecycle-Strategien für Legacy-Steuerungen. 

Leitfragen für den Vorstand im kommenden Quartal 

• Wie viele unserer Gebäudeleitsysteme sind aus dem Internet erreichbar, und wer hat diese Freigaben autorisiert? 

• Welche externen Dienstleister verfügen über Fernzugriffsrechte, und wann erfolgte die letzte Berechtigungsprüfung? 

• Wie lange könnte unser kritischster Standort im Falle eines vollständigen BMS-Ausfalls manuell weiterbetrieben werden? 

• Wie schnell erfassen und implementieren wir Sicherheitswarnungen der Hersteller für unsere installierten Gebäudesteuerungen? 

OT-Sicherheit für Liegenschaften mit Shieldworkz 

Shieldworkz ist ein spezialisierter Anbieter für ganzheitliche industrielle OT-Cybersicherheit. Wir sichern SCADA-, OT- und IoT-Infrastrukturen ab und vereinen Plattformen, Managed Services und Integrationslösungen aus einer Hand. So muss die Gebäudeleittechnik nicht als isoliertes Projekt neben Ihrer übrigen kritischen Infrastruktur betrachtet werden. 

Dies bietet einen entscheidenden operativen Vorteil: Das vorgestellte Maßnahmenpaket umfasst mehrere Fachdisziplinen. Asset Visibility, Netzwerksegmentierung, sichere Fernwartung, Patch-Management und Notfallbereitschaft werden häufig über fragmentierte Anbieter und Teams abgewickelt. Ein spezialisierter OT-Sicherheitspartner bündelt diese Disziplinen in einem kohärenten Programm – mit zentraler Asset-Erfassung und einem einheitlichen Risikobild für Produktion, Campus und Gebäude. 

Als ersten Schritt empfehlen wir ein qualifiziertes Assessment: Verschaffen Sie sich Klarheit darüber, welche Geräte vernetzt, welche Schnittstellen erreichbar und welche Zugriffsrechte vergeben sind. Kontaktieren Sie das Team von Shieldworkz für eine fundierte Standortanalyse der Gefährdungslage Ihrer Gebäude- und OT-Infrastruktur. 

Häufig gestellte Fragen (FAQ) 

Was umfasst die Sicherheit von Gebäudeleitsystemen? 

BMS-Sicherheit bezeichnet den Schutz der Steuerungen, Netzwerke, Softwarelösungen und Fernwartungsverbindungen, die Heizung, Kälte, Lüftung, Beleuchtung, Aufzüge, Brandschutz und Zutrittskontrolle regeln. Sie überträgt bewährte Methoden der OT-Sicherheit – wie Asset-Inventarisierung, Segmentierung und protokollbasiertes Monitoring – auf Einrichtungen der TGA. 

Warum geraten Gebäudeleitsysteme zunehmend ins Visier von Angreifern? 

Sie sind häufig internetweit exponiert, selten gepatcht und unzureichend überwacht; ein Systemausfall baut unverzüglich massiven Handlungsdruck auf. Angreifer nutzen sie als Brückenkopf in Unternehmensnetze, zur Sabotage kritischer Dienste oder zur Herbeiführung physischer Schäden, wie der Vorfall bei Supermarktkühlungen im Oktober 2026 demonstrierte. 

Ist ein BMS Bestandteil der Operational Technology (OT)? 

Ja. Ein BMS steuert und überwacht physische Prozesse und hat unmittelbare Auswirkungen auf die funktionale Sicherheit (Safety) – was der Definition von OT entspricht. Es gehört in denselben Governance-Rahmen und dasselbe Risikoregister wie industrielle Steuerungssysteme (ICS). 

Welches sind die gravierendsten Schwachstellen in BMS-Infrastrukturen? 

Zu den typischen Schwachstellen gehören die direkte Internet-Exponierung, werkseitige oder fest codierte Zugangsdaten, ungepatchte Firmware, unsichere Feldbus- und Netzwerkprotokolle wie BACnet und Modbus (ohne Verschlüsselung und Authentisierung) sowie unkontrollierte Remote-Access-Schnittstellen externer Dienstleister. 

Wie wird ein sicherer Fernzugriff auf das BMS gewährleistet? 

Trennen Sie das System vom öffentlichen Internet und führen Sie Zugriffe über ein zentral gemanagtes Gateway mit Multi-Faktor-Authentisierung und personalisierten Benutzerkonten. Begrenzen Sie Sitzungen zeitlich auf den tatsächlichen Wartungsbedarf, protokollieren Sie alle Aktivitäten revisionssicher und sperren Sie inaktive Konten unverzüglich. 

Fällt die Gebäudeleittechnik unter die NIS-2-Regulierung? 

NIS-2 schließt operative Technologien ausdrücklich ein. Unterstützt ein BMS den Betrieb einer regulierten Einrichtung („wichtige“ oder „besonders wichtige Einrichtung“), unterliegt es den gesetzlichen Risikomanagement- und Meldepflichten. Prüfen Sie die spezifischen nationalen Umsetzungsvorschriften (z. B. BSIG) gemeinsam mit Ihrer Rechtsabteilung. 

Können BMS-Systeme im laufenden Betrieb unterbrechungsfrei gepatcht werden? 

Vielfach ist dies nicht möglich, da Steuerungen kontinuierlich laufen und im regulären Gebäudebetrieb oft nicht neu gestartet werden können. Definieren Sie geplante Wartungsfenster und testen Sie Patches vorab. Ist ein Einspielen nicht möglich, müssen Netzwerkisolierung und kontinuierliches Monitoring als dokumentierte, kompensierende Kontrollen greifen.