Cybersicherheit für Gebäudeleittechnik: Neue NIST-Empfehlungen für Immobilienbetreiber

NIST veröffentlicht Tipps zur Cybersicherheit von Gebäudeautomationssystemen

Das US-amerikanische National Institute of Standards and Technology (NIST) hat Ende August 2026 neue Praxishinweise zur Cybersicherheit von Gebäudeautomations- und Leitsystemen veröffentlicht - ein Thema, das in deutschen Hausverwaltungen allzu oft unter "machen wir später" abgelegt wird. Wer heute ein Gebäude betreibt, betreibt zugleich ein Netzwerk aus Lüftung, Klima, Zutritt und Beleuchtung. Gebäudeleittechnik ist längst kein geschlossenes System mehr, sondern Knotenpunkt im Internet. Und das lässt sich inzwischen genauso angreifen wie jeder Büro-PC.

Was NIST veröffentlicht hat - und warum es Sie betrifft

OT-Systeme haben ganz eigene Anforderungen an Leistung, Zuverlässigkeit und Sicherheit, die sich nicht mit den Regeln eines klassischen Büroarbeitsplatzes abdecken lassen. Die jetzt veröffentlichten Tips & Tactics setzen genau dort an und richten sich an alle, die Gebäudeautomation und Leitsysteme im Bestand betreiben. Die Handreichung baut auf der bekannten NIST Special Publication 800-82 auf, deren Hauptautor Keith Stouffer das Team für OT-Cybersicherheit am NIST leitet und sich seit dem Jahr 2000 mit der Absicherung industrieller Steuerungssysteme beschäftigt. Eine Klimaanlage lässt sich nicht mal eben für ein Update vom Netz nehmen, ohne dass im Sommer die Serverräume warmlaufen - genau diese ganz praktische Seite meinen wir, wenn wir von OT sprechen. Wer im Hausmeisteralltag für die Gebäudeleittechnik verantwortlich ist, sollte das Dokument kennen, auch wenn es aus den USA stammt. Die Grundprobleme sind überall die gleichen.

Wo auf der Baustelle das eigentliche Risiko lauert

Fakt ist: Die meisten Schwachstellen stecken nicht im Regler selbst, sondern in der Schnittstelle nach außen. Standardpasswörter, offene Fernwartungszugänge und monatelang nicht gepatchte Kompaktsteuerungen sind die typischen Einfallstore, die ich bei Objektbegehungen regelmäßig finde. Prüfen Sie zuerst, wer überhaupt Zugriff auf Ihre Gebäudeleittechnik hat, welche Ports wirklich offen sind und ob ein dokumentiertes Patch-Konzept existiert. Nehmen Sie jedes Gewerk einzeln unter die Lupe: Aufzugsteuerung, Lüftung im Keller, Ladeinfrastruktur im Hof, Brandmeldezentrale, Zutrittskontrolle - überall sitzen heute kleine Steuerungen mit eigener IP-Adresse, und jede ist ein potenzielles Schlupfloch.

Was jetzt konkret auf der To-Do-Liste steht

Stellen Sie sich folgende Fragen: Wer hat das letzte Firmware-Update eingespielt, und wann war das? Sind Fernwartungszugänge mit Zwei-Faktor-Authentifizierung abgesichert oder läuft alles über ein geteiltes Passwort im Klemmkasten? Gibt es eine Netzwerktrennung zwischen Gebäudeleittechnik und Büro-WLAN, oder hängt alles am selben Switch? Existiert ein Notfallplan, wenn nachts um drei das Leitsystem ausfällt? Fragen Sie Ihren Wartungspartner gezielt, ob OT-Komponenten sauber von der Büro-IT getrennt sind, ob es ein separates Passwort- und Patch-Konzept gibt und wer im Störfall überhaupt reagiert. Dokumentieren Sie die Antworten schriftlich - und zwar so, dass auch Ihr Nachfolger im Amt damit arbeiten kann. Wer bei diesen Fragen nur mit Achselzucken antwortet, hat in Ihrem Leitsystem nichts verloren. Das ist kein Kostengrab, sondern die Grundlage jedes professionellen Gebäudeunterhalts - und genau das, was NIST mit der aktuellen Veröffentlichung in den Fokus rückt.