Wenn die Cloud ausfällt, muss die Heizung weiterlaufen

Neun Anforderungen, die Wohnungsunternehmen bei vernetzter Gebäudetechnik schon in die Ausschreibung schreiben sollten

Gateways, Regler, Messsysteme und Energiemanagement werden zu IT-Infrastruktur. Damit ändern sich auch die Anforderungen an die Beschaffung: Eine Anlage, die 15 oder 20 Jahre betrieben werden soll, braucht nicht nur Ersatzteile, sondern ebenso lange Sicherheitsupdates, kontrollierte Fernzugriffe und einen Plan für den Fall, dass Hersteller oder Cloud-Dienst verschwinden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zeigt, was Bestandshalter bereits heute verlangen sollten.

Ein Heizungstausch wurde lange vor allem nach Leistung, Effizienz, Wartbarkeit und Lebensdauer entschieden. Mit digitaler Gebäude- und Energietechnik kommt eine zusätzliche Ebene hinzu: Regler kommunizieren mit Plattformen, Gateways übertragen Betriebsdaten, Dienstleister greifen aus der Ferne auf Anlagen zu und Optimierungsfunktionen laufen teilweise in der Cloud. Aus technischer Gebäudeausrüstung wird damit zunehmend auch IT-Infrastruktur.

Für Wohnungsunternehmen ist das nicht erst ein Thema der späteren IT-Sicherheit. Viele Risiken werden bereits in der Ausschreibung angelegt – oder dort vermieden. Das BSI nennt drei grundlegende Problembereiche: unklare Verantwortlichkeiten über Planung, Bau und Betrieb hinweg, unkontrollierte Fernzugriffe etwa über Mobilfunkrouter sowie flache Netzwerke, über die ein erfolgreicher Zugriff weit in weitere Anlagenbereiche hineinreichen kann. Hinzu kommt die Betriebsdauer: Sicherheitsupdates müssen nicht nur beim Einbau verfügbar sein, sondern möglichst über die gesamte Nutzungszeit der Technik.

Die Anlage hält 20 Jahre – der IT-Support auch?

Hier liegt einer der entscheidenden Unterschiede zwischen klassischer Gebäudetechnik und digitaler Infrastruktur. Das BSI weist darauf hin, dass Gebäudetechnik häufig zehn, 15 oder sogar 20 Jahre genutzt wird. Das passe nicht automatisch zu den deutlich kürzeren Lebenszyklen vieler IT-Produkte. Deshalb sollte der Zeitraum für Sicherheitsupdates nach Empfehlung des BSI bereits heute vertraglich ab Inbetriebnahme festgelegt werden. Ebenso muss geklärt sein, wer Updates tatsächlich einspielt und wie sie für das jeweilige Objekt freigegeben werden.

Für einen Bestandshalter ist die Frage damit einfach: Was passiert mit einer Anlage im Jahr zwölf, wenn der Hersteller Sicherheitsupdates nur fünf Jahre lang liefert?

Die Antwort darauf gehört vor der Vergabe in den Vertrag – nicht erst in die IT-Abteilung, wenn der Support bereits ausgelaufen ist.

Nicht nur das Produkt, auch sein Lebenszyklus gehört in die Ausschreibung

Auf die Frage nach konkreten Anforderungen nennt das BSI eine Reihe von Punkten, die sich sowohl auf das Produkt selbst als auch auf dessen späteren Betrieb beziehen. Dazu gehören sichere Authentisierung, die Protokollierung sicherheitsrelevanter Ereignisse, sichere Grundeinstellungen, verbindliche Updateprozesse, Schwachstellenmanagement, kontrollierte Fernzugriffe und eine Segmentierung des Gebäudenetzes. Auch die Abhängigkeit von einer Hersteller-Cloud soll begrenzt werden. Für die Beschaffung lässt sich daraus eine kompakte Prüfliste ableiten:

1. Secure by Design verlangen: Sicherheitsmechanismen, Authentisierung und Protokollierung müssen Bestandteil des Produkts sein.
2. Secure by Default verlangen: keine unsicheren Werkseinstellungen und keine standardisierten Zugangsdaten.
3. Supportzeitraum festschreiben: Dauer und Verfahren für Sicherheitsupdates müssen bereits bei Vertragsabschluss bekannt sein.
4. Schwachstellenmanagement regeln: Meldung, Bewertung und Behebung müssen innerhalb definierter Fristen erfolgen.
5. Digitale Souveränität sichern: Der Betrieb darf nicht von unkontrollierbarem Herstellerzugriff oder einer nicht ersetzbaren Cloud abhängen.
6. Betriebskonzept mitbestellen: Schon in der Planung muss feststehen, wie die Anlage nach der Übergabe sicher betrieben wird.
7. Sicherheitsinformationen verlangen: Hersteller und Integratoren sollten Informationen über Schwachstellen und Updates strukturiert bereitstellen.
8. Fernzugriffe zentral steuern: Nicht jeder Dienstleister sollte mit eigener Einzellösung auf das Gebäudenetz zugreifen.
9. Netze segmentieren: Gebäudetechnik sollte in funktionale Bereiche getrennt werden, damit ein Angriff nicht automatisch weitere Systeme erreicht.

Der entscheidende Perspektivwechsel dabei: Cybersicherheit wird vom späteren Betriebsproblem zur Beschaffungseigenschaft.

Die Cloud darf Komfort schaffen, aber nicht die Grundfunktion übernehmen

Besonders konkret wird das BSI bei cloudbasierter Gebäudetechnik. Die Kernfunktionen einer Heizungs- oder Gebäudeanlage sollten demnach auch ohne Cloud-Verbindung nutzbar bleiben. Die Cloud könne Zusatz- oder Komfortfunktionen übernehmen, dürfe aber nicht zum „Single Point of Failure“ für die eigentliche Anlagenfunktion werden. Für den Ausfall einer Cloud oder der Kommunikationsverbindung sollte ein Notfallkonzept vorhanden sein.

Das klingt selbstverständlich. In der Praxis ist es aber eine zentrale Beschaffungsfrage. Kann die Anlage lokal weiter geregelt werden, wenn die Internetverbindung ausfällt? Kann der Betreiber Parameter ändern, ohne dass der Hersteller zunächst einen Account freischalten muss? Lassen sich Konfigurationen sichern? Sind die Betriebsdaten auch lokal verfügbar?

Das BSI empfiehlt ausdrücklich eine lokale Managementschnittstelle und die Möglichkeit, eigene Daten und Konfigurationen unabhängig vom Anbieter zu sichern. Damit wird aus dem abstrakten Begriff der digitalen Souveränität eine sehr praktische Frage: Kann der Eigentümer seine eigene Anlage noch bedienen, wenn der Hersteller nicht erreichbar ist?

Auch die Insolvenz des Herstellers gehört in die Planung

Noch weiter geht das BSI beim sogenannten Exit. Bei Cloud-Anwendungen sollte bereits bei der Beschaffung geklärt werden, wie eine Anwendung von einem Anbieter zu einem anderen migriert werden kann. Interoperable Standards sollen verhindern, dass Betreiber dauerhaft an proprietäre Lösungen gebunden sind. Für den Fall von Herstellerinsolvenz oder Produktabkündigung soll ein Migrationspfad bestehen. Bei der Übergabe empfiehlt das BSI außerdem eine aktuelle Assetliste sowie einen aktuellen Netzplan. Für Wohnungsunternehmen ist das besonders relevant, weil Gebäude länger leben als viele Technologieanbieter und Plattformen.

Die eigentliche Frage lautet deshalb nicht nur: Funktioniert das System heute? Sondern auch: Können wir es in zehn Jahren noch betreiben, warten oder auf einen anderen Anbieter übertragen? Eine technisch leistungsfähige Lösung kann langfristig teuer werden, wenn Daten, Konfigurationen und Zugänge nicht übertragbar sind oder zentrale Funktionen nur über einen nicht ersetzbaren Cloud-Dienst verfügbar bleiben.

Der Cyber Resilience Act erhöht den Druck

Der europäische Cyber Resilience Act (CRA) verstärkt diese Entwicklung. Nach Darstellung des BSI gilt er vollständig ab 11. Dezember 2027 für entsprechend neu in Verkehr gebrachte Produkte mit digitalen Elementen. Hersteller müssen dann unter anderem einen Unterstützungszeitraum festlegen, in dem Schwachstellen behandelt und Sicherheitsupdates bereitgestellt werden. Das BSI hebt hervor, dass gerade bei langlebiger Gebäudetechnik dieser Supportzeitraum für Beschaffer besonders relevant ist.

Der CRA ist damit nicht nur eine Herstellerregulierung. Für professionelle Käufer liefert er schon heute eine Orientierung dafür, welche Fragen bei einer Ausschreibung gestellt werden sollten: Wie lange wird das Produkt sicher unterstützt? Wie werden Schwachstellen behandelt? Welche Informationen bekommt der Betreiber für Installation und Betrieb? Wer heute Technik beschafft, die 2040 noch laufen soll, kann kaum sinnvoll bis 2027 warten, bevor diese Fragen gestellt werden.

Verantwortung endet nicht mit der Abnahme

Ein weiterer Punkt ist weniger technisch, aber mindestens ebenso wichtig: Wer ist nach der Übergabe verantwortlich?

Das BSI nennt unklare Zuständigkeiten bereits als eigenes Sicherheitsrisiko. Bei komplexer Gebäudetechnik können Hersteller, Systemintegrator, Wartungsunternehmen, Messdienst, IT-Dienstleister und Wohnungsunternehmen gleichzeitig beteiligt sein. Ohne klare Regeln bleibt schnell offen, wer Sicherheitsupdates überwacht, wer auf Warnmeldungen reagiert, wer Fernzugänge freigibt und wer dafür sorgt, dass ausgeschiedene Dienstleister ihren Zugriff verlieren.

Das Betriebskonzept gehört deshalb aus Sicht des BSI bereits in die Planungsphase. Für Bestandshalter ist das eine wichtige Konsequenz: Mit der Abnahme endet die Cybersecurity nicht – dort beginnt der längste Teil ihres Lebenszyklus.

Es gibt Vorlagen – Wohnungsunternehmen müssen nicht bei null anfangen

Für die praktische Umsetzung verweist das BSI unter anderem auf die IT-Grundschutz-Bausteine INF.13 Technisches Gebäudemanagement und INF.14 Gebäudeautomation. Ergänzend nennt es das VDMA-Einheitsblatt 24774 „IT-Sicherheit in der Gebäudeautomation“ sowie Ausschreibungstextmodule des VDMA, einen Leitfaden von BIG-EU und das GEFMA-Whitepaper 944 zur Cybersicherheit im Facility Management.

Damit ist die Botschaft für die Wohnungswirtschaft eindeutig: Cybersicherheit beginnt nicht erst mit einer Firewall im Heizungskeller. Sie beginnt bei der Entscheidung, welche Technik gekauft wird, wie lange sie unterstützt werden muss, wer darauf zugreifen darf und ob das Gebäude auch ohne Hersteller-Cloud weiterläuft.

Die wahrscheinlich wichtigste Anforderung an eine neue digitale Heizungs- oder Gebäudeanlage lässt sich deshalb ohne IT-Fachbegriff formulieren: Wenn Internet, Cloud oder Anbieter ausfallen, muss das Gebäude trotzdem weiter funktionieren.

Kristof Warda