LuxHawk.lu (+352) 27 52 67 45

← Zurück zu Wissen

Gebäudeleittechnik und Smart Home: das Gehirn des Gebäudes, dem Internet ausgeliefert

Gebäude und Miteigentum 11 min Autor : Arnaud Colin Aktualisiert : 06/10/2026

Zusammenfassung

Eine Gebäudeleittechnik oder die Hausautomation eines Gebäudes wird angreifbar, sobald ihr Gateway oder ihre Leitsystem-Oberfläche aus dem Internet antwortet. 2021 wurden KNX-Anlagen durch einen vom Angreifer gesetzten Schlüssel gesperrt (CVE-2023-4346, Wert 7,5, ohne möglichen Patch); 2013 wurde das Leitsystem eines Google-Gebäudes in Sydney über Lücken ausgelesen, die neun Monate zuvor behoben worden waren. Vor der Unterschrift sind zu verlangen: eine Fernwartung hinter einem VPN, ein gesetzter BCU-Schlüssel, der dem Eigentümer mit dem Projekt übergeben wird, der Ausbau der Gateways aus der Bauphase und eine benannte verantwortliche Person für die Updates.

Ein Gebäude wird heute über das Netzwerk gesteuert

In einem neueren Gebäude sind die Beleuchtung der Gemeinschaftsflächen, die Rollläden, die Lüftung, die Heizung und manchmal auch die Türen an eine gemeinsame Anlage angeschlossen: die Gebäudeleittechnik (GLT) im Gewerbebau, die Hausautomation im Wohnbau. Diese Anlage hat ein Gehirn – Steuerungen, ein Leitsystem – und immer häufiger ein Gateway, über das der Installateur eingreifen kann, ohne vor Ort zu sein. Der Komfort ist real. Die Frage, die sich ein Verwalter, ein Geschäftsführer oder ein Unternehmensleiter stellen muss, liegt woanders: Was geschieht, wenn dieses Gateway aus dem Internet von jemand anderem als dem Installateur erreichbar ist, und wie lässt sich das vor der Unterschrift prüfen?

Zwei dokumentierte Fälle beantworten sie präzise. Der erste, im deutschsprachigen Europa ab 2021, machte drei Viertel der Komponenten eines Bürogebäudes unbrauchbar, ohne dass ein Lösegeld gefordert wurde. Der zweite, 2013 in Sydney, gab zwei Forschern die Kontrolle über das Leitsystem eines Google-Gebäudes – neun Monate nach der Veröffentlichung des Patches, der genügt hätte, dies zu verhindern.

KNXlock: das Gebäude, durch seinen eigenen Schlüssel gesperrt (2021–2026)

KNX ist ein in Europa weit verbreiteter Standard für die Gebäudeautomation, wie Dark Reading in Erinnerung ruft. Jede Komponente – Schalter, Bewegungsmelder, Rollladensteuerung – kann durch einen „BCU-Schlüssel“ geschützt werden, ein vier Byte langes Programmierpasswort, das verhindern soll, dass ein Dritter die Anlage umprogrammiert. Die sogenannte KNXlock-Kampagne kehrt diesen Schutz gegen den Eigentümer.

Im Oktober 2021 wendet sich laut Dark Reading ein deutsches Ingenieurbüro an das österreichische Unternehmen Limes Security, nachdem es die Kontrolle über die KNX-Anlage eines Bürogebäudes seines Kunden verloren hat – „ein mittelgroßer Standort“, schreibt Limes in seinem Bericht. Mitte Dezember 2021 meldet ein zweites europäisches Ingenieurbüro einen identischen Fall; der Angreifer ist über ein vergessenes IP-Gateway aus der Bauphase eingedrungen, berichtet Dark Reading. Am 30. März 2023 wird die Technik in die Datenbank MITRE ATT&CK for ICS unter der Kennung T0892, „Change Credential“, aufgenommen. Am 24. August 2023 veröffentlicht die US-Behörde CISA den Sicherheitshinweis ICSA-23-236-01: Die Schwachstelle erhält die Kennung CVE-2023-4346, CVSS-Wert 7,5, und die Behörde schreibt, Meldungen über aktive Ausnutzung erhalten zu haben. Am 30. Januar 2024 beschreibt Limes eine Variante der Kampagne mit zufälligen Schlüsseln und Meldungen „system hacked bcu key …“, die Privatpersonen ebenso wie Betreiber trifft; das Unternehmen veröffentlicht bei dieser Gelegenheit das Werkzeug KNXunlocker. Am 15. Juli 2026 schließlich nimmt die CISA CVE-2023-4346 in ihren Katalog der ausgenutzten Schwachstellen auf, mit einer Frist zur Behebung bis zum 29. Juli 2026 (Richtlinie BOD 26-04).

Der Angriffsweg passt in eine Zeile: ein im Internet exponiertes KNXnet/IP-Gateway. Der Angreifer „entlädt“ die Komponenten und setzt anschließend einen BCU-Schlüssel, den nur er kennt. Die CISA stuft den Fehler als zu restriktiven Sperrmechanismus ein (CWE-645) und präzisiert, dass er alle KNX-Geräte betrifft, die den Autorisierungsmodus „Option 1 Style“ verwenden und auf denen noch kein Schlüssel gesetzt ist, über alle Versionen hinweg. Ein Software-Patch wird nicht angeboten: Der Sicherheitshinweis führt nur betriebliche Maßnahmen auf. Ist der Schlüssel einmal von einem Dritten gesetzt, lassen die meisten Geräte weder ein Zurücksetzen noch ein Auslesen zu, selbst mit physischem Zugang, schreibt Limes. Was den Angriff möglich machte, ist also keine technische Meisterleistung, sondern zweierlei, das fehlte: ein Gateway, das nie von außen erreichbar hätte sein dürfen, und ein Schlüssel, den der Integrator nicht gesetzt hatte.

Die Auswirkung im ersten Gebäude ist materiell. Rund drei Viertel von mehreren hundert Komponenten – Schalter, Melder, Rollladensteuerungen; keine Quelle nennt Heizung oder Lüftung – wurden unbrauchbar. Das Gebäude lief mehrere Wochen über seine Sicherungsautomaten, und einige Komponenten wurden neu verkabelt. Die vier betroffenen Hersteller antworteten, sie könnten den Schlüssel nicht wiederherstellen. Limes schätzt, dass der Austausch der Hardware, Installation und Prüfung eingeschlossen, mehr als hunderttausend Euro gekostet hätte. Es wurde kein Lösegeld gefordert und kein Hinweis auf Ransomware gefunden; Limes nennt die Hypothese eines digitalen Vandalismus oder eines Angreifers, der den Betreiber nicht identifizieren konnte. Im August 2023 zählten von Limes zitierte Scans von Alpha Strike Labs mehr als 16 000 potenziell verwundbare, im Internet exponierte KNX-Systeme im deutschsprachigen Raum.

Die Antwort war Handarbeit. Peter Panholzer und Felix Eberstaller von Limes haben den Speicher des Prozessors einer Komponente physisch ausgelesen – was nur bei Geräten ohne Prozessorschutz möglich ist –, den Suchraum eingegrenzt und den Schlüssel in 45 Minuten per Brute-Force wiedergefunden, da derselbe Schlüssel auf allen Komponenten gesetzt worden war; die Anlage wurde anschließend in dreißig Minuten neu programmiert. KNXunlocker, das 2024 veröffentlichte Werkzeug, ermöglicht eine Wiederherstellung „in wenigen Stunden auf einem gewöhnlichen PC“, wenn der Schlüssel einem vorhersehbaren Muster folgt; lässt er sich nicht wiederfinden, bleibt die Hardware endgültig unbrauchbar. Die Empfehlungen der KNX Association, von der CISA übernommen, passen in zwei Sätze: den BCU-Schlüssel in jedem KNX-Projekt immer setzen, und ihn dem Gebäudeeigentümer zusammen mit der Projektdokumentation übergeben.

Tridium Niagara: das Leitsystem eines Google-Gebäudes aus dem Internet ausgelesen (2013)

Tridium Niagara (Honeywell) ist die am weitesten verbreitete Integrationsplattform in der Gebäudeleittechnik: Sie führt Heizung, Lüftung, Beleuchtung, Energie und Zutrittskontrolle hinter einer Web-Oberfläche zusammen. Der folgende Fall ist keine Labordemonstration: Zwei Forscher haben die Kontrolle über das Leitsystem eines in Betrieb befindlichen Gebäudes übernommen.

Die Chronologie beginnt ein Jahr vor dem Eindringen. Am 13. Juli 2012 veröffentlicht das US-amerikanische ICS-CERT die Warnmeldung ICS-ALERT-12-195-01 im Anschluss an eine Recherche der Washington Post, die die Forscher Billy Rios und Terry McCorkle zitiert. Am 15. August 2012 beschreibt der Sicherheitshinweis ICSA-12-228-01 die Schwachstellen im Detail, und Tridium veröffentlicht im selben Monat einen Patch. Im Mai 2013 entdecken Rios und McCorkle, damals bei Cylance, im Internet die Gebäudeleittechnik des Google-Gebäudes Wharf 7 in Sydney, berichtet The Register am 6. Mai: Sie läuft auf einer alten Version von Niagara AX, eingebettet auf QNX, die den Patch nicht erhalten hat – rund neun Monate nach dessen Veröffentlichung.

Der Angriffsweg erfordert keine neue Schwachstelle: Die Lücken von 2012 genügen. Ein Directory Traversal auf der Web-Oberfläche (CVE-2012-4027) verschafft Zugang zur Konfigurationsdatei config.bog, in der die Zugangsdaten aller Konten gespeichert sind (CVE-2012-4028). Der Sicherheitshinweis nennt zwei weitere: base64-kodierte Zugangsdaten in einem Cookie (CVE-2012-3025) und vorhersehbare Sitzungskennungen (CVE-2012-3024). Öffentliche Exploits waren im Umlauf, für mehr als 300 000 Installationen weltweit. Was den Angriff möglich machte, ist auch hier zweierlei, das fehlte: eine Oberfläche, die nicht aus dem Internet hätte antworten dürfen, und ein seit neun Monaten verfügbares Update, das nicht eingespielt worden war.

Den Ablauf beschreibt SecurityWeek. Die Forscher holen sich die Konfigurationsdatei – das Administratorpasswort lautete „anyonesguess“ – und gelangen auf die Bildschirme des Leitsystems: den Plan der dritten Ebene mit dem Verlauf der Wasserleitungen, den Zustand der Küchen, darunter ein laufendes Leck in der Südküche, und eine mit einem Hammer markierte Schaltfläche „after hours“, die sie sich zu testen hüten. Laut demselben Artikel verfügten sie über die vollständige Kontrolle über die Sicherheits-, Heizungs- und Lüftungssteuerung des Gebäudes; sie haben nichts verändert. Die Auswirkung beschränkt sich also auf eine nachgewiesene Übernahme der Kontrolle, ohne Schaden. Cylance gab damals an, mehr als 25 000 im Internet exponierte Niagara-Systeme gefunden zu haben, gegenüber mehr als 2 500 bei der Offenlegung von 2012. Die Forscher meldeten ihre Entdeckung Google über dessen Programm zur Belohnung von Schwachstellenmeldungen. Der Fall wird auch von Infosecurity Magazine und The Register berichtet. Die eingesehenen Quellen berichten weder von einer Stellungnahme von Google noch von einem Datum, an dem das System vom Netz genommen wurde.

Sicherheitshinweise, die weiter erscheinen

Diese beiden Fälle gehören nicht der Vergangenheit an. Am 23. Juli 2025 hat Nozomi Networks dreizehn Schwachstellen veröffentlicht, verteilt auf zehn Kennungen (CVE-2025-3936 bis CVE-2025-3945, Höchstwert 7,7 für CVE-2025-3937), in den Versionen 4.10u10 und 4.14u1 des Niagara Framework und früher. Sie sind nur auf einem fehlerhaft konfigurierten System ausnutzbar, mit deaktivierter Verschlüsselung oder unverschlüsselter Syslog-Protokollierung; Tridium hat sie behoben, und eine Ausnutzung wurde nicht festgestellt. Am 10. März 2026 hat die CISA den Sicherheitshinweis ICSA-26-069-03 zu den Honeywell-Steuerungen IQ4x veröffentlicht: CVE-2026-3611, Wert 9,8, eine Web-Oberfläche standardmäßig ohne Authentifizierung, ohne bekannte öffentliche Ausnutzung. Das sind Risiken, keine Vorfälle; sie erinnern daran, dass die Frage der Updates nicht ein für alle Mal geregelt ist.

Das BSI, das deutsche Bundesamt für Sicherheit in der Informationstechnik, beschreibt dieselbe Landschaft in einer Warnung vom 4. April 2023, die aus einem Feldtest hervorgegangen ist, ohne KNX zu nennen: von Dienstleistern eingerichtete und nicht dokumentierte Fernwartungszugänge, ein fehlendes Patch-Management, eine Gebäudeleittechnik, die außerhalb des Sicherheitsperimeters der Organisation belassen wurde, und ein Risiko der Manipulation von Türsteuerungen und Brandmeldung – wobei es zugleich angibt, bislang keine schwerwiegenden Vorfälle zu beobachten.

Was ein Gebäude oder eine Miteigentümergemeinschaft in Luxemburg daraus lernt

Zum 18. September 2026 ist kein luxemburgischer Fall eines Angriffs auf eine Gebäudeleittechnik oder die Hausautomation eines Gebäudes in einer Quelle ersten Ranges dokumentiert. Die 16 000 potenziell verwundbaren KNX-Systeme, die im benachbarten deutschsprachigen Raum exponiert waren, waren es nicht wegen ihres Landes, sondern weil ihr Gateway aus dem Internet antwortete. Die folgenden Schritte ergeben sich unmittelbar aus den beiden Fällen.

  • Im Vertrag und bei der Abnahme: verlangen, dass der Integrator den BCU-Schlüssel auf jeder Komponente setzt und ihn dem Eigentümer dokumentiert zusammen mit der ETS-Projektdatei übergibt. Die KNX Association und die CISA formulieren es so; andernfalls setzt der Erstbeste den Schlüssel an Ihrer Stelle, und ihn wiederzuerlangen ist nicht garantiert.
  • Das „vorübergehende“ Gateway der Bauphase: Über dieses erfolgte der Zugang im zweiten Fall von 2021. Es ins Inventar aufnehmen und seinen Ausbau im Abnahmeprotokoll verlangen.
  • Kein KNX/IP-Gateway und keine Leitsystem-Oberfläche aus dem Internet erreichbar: Die Fernwartung läuft über ein VPN, und das technische Netz ist von der Büro-IT des Verwalters ebenso getrennt wie vom WLAN der Bewohner. Ein von außen zugängliches Leitsystem kann von einer Suchmaschine für Geräte gefunden werden; das in Sydney wurde aus dem Internet entdeckt.
  • Die Updates haben einen Verantwortlichen: Der Niagara-Patch existierte seit August 2012 und war neun Monate später nicht eingespielt. Die Frage an den Verwalter oder den technischen Betreiber ist einfach: Wer aktualisiert das Leitsystem, und wann?
  • Die Konfigurationsdatei ist der Schlüsselbund des Gebäudes: Ein Administratorpasswort wie „anyonesguess“ oder eine ohne Authentifizierung ausgelieferte Oberfläche, wie die CISA sie bei den Honeywell IQ4x feststellt, wird vor der Inbetriebnahme geändert, nicht danach.
  • Eine Kopie des Projekts und des Schlüssels außerhalb der Anlage: vom Eigentümer aufbewahrt, nicht nur vom Installateur, damit die Anlage neu programmiert werden kann, wenn dieser verschwindet oder seine Tätigkeit einstellt.
  • Ein allen bekannter Notbetrieb: Das Gebäude von 2021 lebte mehrere Wochen über seine Sicherungsautomaten. Zu wissen, wer ohne Hausautomation das Licht wieder einschaltet, die Rollläden öffnet und die Lüftung wieder in Gang setzt, gehört zum Kontinuitätsplan, genauso wie der mechanische Schlüssel einer Tür.
  • Für CVE-2023-4346 gibt es keinen Patch: Nur die Architektur schützt – keine Exposition im Internet, gesetzter Schlüssel und KNX Secure für Neuanlagen.
  • Digitalen Vandalismus gibt es: 2021 wurde kein Lösegeld gefordert, und das Gebäude war dennoch außer Betrieb. Wer nur in Kategorien von Betrug oder Lösegeld denkt, lässt dieses Szenario außer Acht.
  • Eine von einer Behörde anerkannte Ausnutzung: Die CISA hat es bereits im August 2023 geschrieben und die Schwachstelle erst im Juli 2026 in ihren Katalog aufgenommen. Mit dem Handeln auf die offizielle Aufnahme zu warten, hätte bedeutet, drei Jahre zu warten.

Die Begriffe Schwachstelle, Bewertung und Patch erläutert der Artikel Was ist eine IT-Sicherheitslücke?.

Quellen