Smarte Gebäudetechnik: Warum IT-Sicherheit bei der Installation zur Pflicht wird
Das Contractor Magazine zeigt an einem konkreten Schadensbild, wohin das führt, wenn beim Einbau nur an die Funktion, nicht aber an die Sicherheit gedacht wird: Ein vernetzter HVAC-Controller wird…
Gereon Thielen, Experte für ganzheitlichen Gebäudeunterhalt und Handwerksmeister·aktualisiert 22. September 2026
Smart, aber nicht dicht: Wenn die Heizung zum Einfallstor wird
Fakt ist: Wer heute ein vernetztes HVAC-System, smarte Thermostate oder cloudbasierte Gebäudeleittechnik einbauen lässt, holt sich nicht nur Komfort ins Haus, sondern ein Stück IT-Infrastruktur obendrein. Das Contractor Magazine zeigt an einem konkreten Schadensbild, wohin das führt, wenn beim Einbau nur an die Funktion, nicht aber an die Sicherheit gedacht wird: Ein vernetzter HVAC-Controller wird über eine nicht gepatchte Schwachstelle kompromittiert. Aus einem Gerät wird eine Hintertür für Angreifer. Die spannende Frage ist nicht mehr nur, was schiefgelaufen ist, sondern wer am Ende dafür geradesteht.
Drei Risikolinien, die in jeder Anlage lauern
Der Beitrag zerlegt das Problem in drei Ebenen, die mir aus der Praxis bestens bekannt vorkommen:
Erste Linie – der Monteur vor Ort. Techniker ohne Cybersecurity-Schulung umgehen grundlegende Schutzmaßnahmen, weil es schneller geht. Standardpasswörter bleiben aktiv, Default-Konfigurationen werden nie angepasst. Fakt ist: Der Handwerker ist häufig der Erste, der das Gerät ins WLAN hängt.
Zweite Linie – die Politik auf dem Papier. Es existieren Richtlinien, aber keine Kontrolle. Niemand prüft, ob die Vorgaben aus dem Handbuch tatsächlich umgesetzt werden. Klassisches Muster: Was nicht gemessen wird, wird auch nicht gemacht.
Dritte Linie – Reaktion statt Prävention. Audits finden erst statt, wenn der Schaden bereits eingetreten ist. Das ist wie eine Wartung, die erst nach dem Rohrbruch startet.
Wer haftet, wenn der smarte Thermostat zum Sicherheitsrisiko wird?
Genau hier wird es für Eigentümer und Hausverwaltungen unangenehm. Zwischen Generalunternehmer, Subunternehmer, Technologieanbieter und Integrator verschwimmen die Verantwortlichkeiten zusehends. Wer haftet, wenn die Konfiguration schlampig war, die Prüfung des Herstellers oberflächlich oder die Sicherheitsanforderungen gar nicht dokumentiert? Im Streitfall steht der Auftraggeber mit in der Pflicht, denn er bleibt Betreiber der Anlage.
Prüfen Sie zuerst, bevor Sie unterschreiben. Wer ein smartes System einbauen lässt, sollte drei Fragen schriftlich klären:
1. Wer übernimmt die Erstkonfiguration der Netzwerk- und Gerätesicherheit – und dokumentiert sie?
2. Wer patcht das System künftig – und in welchem Wartungsintervall?
3. Wer haftet nachweislich bei einem Sicherheitsvorfall, der über das Gerät ins Hausnetz eindringt?
Ein Wartungsvertrag, der nur die Funktion der Anlage absichert, reicht heute nicht mehr. Wer ein Gebäude smart aufrüstet, kauft sich ein Wartungsthema ein, das mit jedem vernetzten Gerät wächst. Lassen Sie sich nicht mit dem Argument „läuft doch" abspeisen. Jedes IoT-Gerät ist ein potenzielles Kostengrab, sobald die Disziplin bei der Inbetriebnahme fehlt.