Sicherheitsrisiko Gebäudeautomation: Warum die Haustechnik ein eigenes Identitätsmanagement benötigt
Heizungssteuerung, IP-Zutrittskontrolle, Alarmanlagen oder digitales Energiemanagement: Vernetzte Operational Technology (OT) ist aus modernen Gewerbeimmobilien und Firmengebäuden nicht mehr wegzudenken. Die Steuerung dieser IoT-Geräte und Smart-Building-Dienste erfolgt fast ausnahmslos über herstellerseitige Onlinekonten, die automatisierte Statusberichte versenden und Fernzugriffe erlauben. Nutzen Administratoren oder Facility Manager für diese Registrierungen jedoch persönliche geschäftliche E-Mail-Adressen oder zentrale Firmenpostfächer (info@, admin@), führt das unweigerlich zu einer unregulierten Schatten-IT – und bei Personalwechseln oder Dienstleister-Fluktuation zu unmittelbarem Kontrollverlust. Gebäudeautomation muss daher von Anfang an als Teil des Identitätsmanagements (IAM) betrachtet und durch strikte Kontentrennung abgesichert werden.
Bildnachweis: https://pixabay.com/de/photos/wlan-technologie-hintergrund-3251871/ (Pixabay, stux)
Keine Shared Accounts: OT-Konten und Firmenpostfach haben nichts miteinander zu tun
Gebäudeautomation benötigt E-Mail-Adressen für Registrierungen, Störungsmeldungen und Account-Wiederherstellungen. Eine Vermischung dieser technischen OT-Daten mit der regulären Geschäftskorrespondenz gefährdet die Übersicht und bricht das Least-Privilege-Prinzip bei den Zugriffsrechten: Externe Techniker oder das Facility Management benötigen keinen Einblick in sensible Kunden-Mails, während Account-Manager nichts in den Systemmeldungen der Gebäudesteuerung zu suchen haben. Ohne eindeutige IAM-Zuständigkeiten, rollenbasierte Zugriffsrechte (RBAC) und isolierte Wiederherstellungswege entstehen unkontrollierte Abhängigkeiten. Im Worst Case verliert das Unternehmen dadurch die administrative Hoheit über seine physischen Gebäudesysteme.
IT-Sicherheit bei der Gebäudetechnik: Drei Grundpfeiler schützen die digitalen Zugänge
Die Absicherung vernetzter Gebäude-Infrastruktur erfordert keine komplexe Architektur, sondern kommt mit wenigen Basismaßnahmen aus. Maßgeblich sind die strikte Kontentrennung auf Identitätsebene, eine zentralisierte Passwortverwaltung und kryptografisch abgesicherte Fernzugriffe. Diese technischen Säulen werden in einem Sicherheitskonzept mit eindeutig definierten administrativen Zuständigkeiten gebündelt.
E-Mail-Infrastruktur für OT: Identitäten sauber trennen
Wer für Betreiberportale von Alarmlagen oder Zutrittssystemen eine sichere E-Mail-Adresse erstellen möchte, sollte schon beim Provider auf Nummer sicher gehen und auf eine starke Verschlüsselung von gespeicherten Nachrichteninhalten achten. Proton Mail etwa bietet als Schutz vor unbefugtem Zugriff eine integrierte Zero-Access-Verschlüsselung. So kann selbst der Provider eingehende vertrauliche Systembenachrichtigungen oder sensible Links zur Passwort-Wiederherstellung nicht im Klartext lesen.
Diese organisationsgebundene, separate Adresse isoliert technische Meldungen komplett von der regulären Geschäftskorrespondenz und bleibt auch bei einem Mitarbeiterwechsel erhalten. Wichtig für die IT-Governance: Reine E-Mail-Aliase bieten keine echte Benutzertrennung und sind daher nur eine Teillösung. Stattdessen empfiehlt sich ein eigenständiges, zentral dokumentiertes Postfach, das ausschließlich für berechtigte Administratoren zugänglich ist.
Passwort-Manager und Mehr-Faktor-Authentifizierung für technische Konten nutzen
Doch eine separate E-Mail-Adresse schützt die Gebäudeautomation erst durch individuelle, sichere Zugangsdaten für die zugehörigen Benutzerkonten: Technische Konten und automatisierte Dienste besitzen eigene digitale Identitäten, deren Zugriffsrechte und Verantwortlichkeiten zwingend geregelt sein müssen. Andernfalls eröffnet man bereits ein neues Problemfeld, das der Artikel Die unsichtbaren Konten: Warum Maschinen-Identitäten 2026 das größte Sicherheitsrisiko sind genauer erläutert.
Um komplexe Passwörter für Herstellerportale und Steuerungssysteme zentral zu verwalten, bietet sich die Nutzung eines Passwort-Managers an. Auf keinen Fall sollte man Zugangsdaten mehrfach verwenden oder gar ungeschützt in Tabellen ablegen. Werden Konten von mehreren Personen genutzt, lassen sich auch abgestufte Zugriffsrechte implementieren. So erhalten Hausmeister, externe Dienstleister und IT-Administratoren jeweils nur die absolut notwendigen Berechtigungen. Eine Mehr-Faktor-Authentifizierung (MFA) bietet hierbei unverzichtbaren Zusatzschutz, um Identitätsdiebstahl effektiv zu verhindern. Ebenso wichtig sind dokumentierte Wiederherstellungsoptionen und ein geregelter Entzug von Zugriffsrechten beim Ausscheiden von Mitarbeitern oder Dienstleistern.
Fernzugriff auf Smart Buildings: Gebäudeautomation per VPN absichern
Viele Steuerungssysteme lassen sich über Webportale oder Apps remote verwalten. Für IT-Verantwortliche gibt es dabei allerdings eine eiserne Regel: Management-Oberflächen der Gebäudetechnik dürfen niemals direkt aus dem Internet erreichbar sein. Um offene Ports im WAN zu vermeiden, sind Wartungszugänge für externe Dienstleister oder Administratoren über ein Virtual Private Network (VPN) zu isolieren, das den Datenverkehr kryptografisch verschlüsselt.
Ein VPN sichert jedoch nur den Transportweg. Es ersetzt weder starke Passwörter noch MFA und schützt nicht vor kompromittierten Endpunkten. Eine strikte Netzwerksegmentierung (VLAN-Trennung von IT und OT) sowie das kontinuierliche Patch-Management aller IoT-Komponenten bleiben daher elementare Säulen eines durchdachten Sicherheitskonzepts.
Ergo: Strukturierte OT-Governance ist ein stabiles Fundament
Isolierte E-Mail-Adressen, eine zentrale Passwortverwaltung und abgesicherte Fernzugriffe lassen sich mit geringem Aufwand implementieren. Entscheidend für die Praxis sind klare IAM-Zuständigkeiten, restriktiv verwaltete Zugangsdaten und die Wahl der passenden Sicherheitslösungen. Bei komplexen Gebäudeautomationssystemen gewährleisten IT-Administratoren und spezialisierte Dienstleister die fachgerechte technische Umsetzung.
