Shodan-Lage DACH: Gebäudeautomation, Energie, Wasser
Am 02.11.2026 waren in Deutschland, Österreich und der Schweiz über Shodan 6.562 Dienste der Gebäudeautomation, 6.098 aus Heizungs- und Stromerzeugungstechnik und 77 aus der Wasserwirtschaft belastbar zuzuordnen (Sauter moduWeb zählt in zwei Reports, die Werte lassen sich deshalb nicht einfach addieren), jeder davon mit Weboberfläche oder Protokoll direkt aus dem Internet erreichbar. Die Geräte stehen typischerweise in Handel und Gewerbe, in Bürogebäuden, Schulen und Kliniken, bei PV- und Heizungsanlagen und bei Wasserversorgern. Wer solche Anlagen betreibt, sollte Portfreigaben schließen und Fernwartung nur noch über VPN mit Mehrfaktor-Anmeldung zulassen.
„151 XWEB-Oberflächen in DACH gehören zu genau der Geräteklasse, die in Frankreich und jetzt in fünf weiteren Ländern angegriffen wurde, und fast alle zeigen ihre Startseite ohne Anmeldung und ohne TLS. Kältemanager, GLT-Stationen und KNX-Schnittstellen gehören hinter ein VPN, eine Portfreigabe ist keine Fernwartung“, sagt Max Gilg, OT-Cybersecurity-Experte aus Rosenheim.
Gebäudeautomation
KNX-Server, GLT-Stationen (Saia PCD, Sauter moduWeb), KNXnet/IP, BACnet/IP und Kältemanager (Copeland/Dixell XWEB).
| Dienste | Deutschland | Österreich | Schweiz |
|---|---|---|---|
| belastbar | 4.259 | 1.485 | 818 |
| wahrscheinlich | 4.315 | 1.513 | 838 |
Am wahrscheinlichsten ist eine nachts verstellte Kälteanlage in einem Supermarkt oder Gewerbebetrieb über eine der 151 XWEB-Oberflächen, nach dem Muster der Angriffe in Frankreich (Einschätzung).
Energie: Heizen und Strom
Wärmepumpen-, Solar- und Heizungsregler, PV-Wechselrichter, Datenlogger und Speicher, darunter 1.601 SMA Sunny WebBoxen ohne Herstellersupport seit 31.12.2015.
| Dienste | Deutschland | Österreich | Schweiz |
|---|---|---|---|
| belastbar | 5.283 | 599 | 216 |
| wahrscheinlich | 5.529 | 629 | 234 |
Am wahrscheinlichsten ist eine im Winter abgeschaltete oder verstellte Wärmepumpe bzw. Heizzentrale mit Frostschaden in der Liegenschaft (Einschätzung).
Wasser und Abwasser
Fernwirk- und Leittechnik von Außenstationen, Pumpwerken und Kläranlagen. Dazu kommen rund 670 Fernwartungsrouter sowie Modbus- und S7-Dienste, deren Branche sich mit Shodan nicht bestimmen lässt.
| Dienste | Deutschland | Österreich | Schweiz |
|---|---|---|---|
| belastbar | 29 | 48 | 0 |
| wahrscheinlich | 56 | 75 | 5 |
Am wahrscheinlichsten ist ein per Ransomware verschlüsselter Leitsystemserver, eingedrungen über RDP oder das IT-Netz: Die Anlage läuft lokal weiter, aber oft wochenlang im Handbetrieb (Einschätzung).
So zählen wir
Wir zählen ausschließlich über die Shodan-API (Abfragen mit Facetten, Detaillauf und Gegenprobe am 02.11.2026). Keine eigenen Scans, keine Logins, keine Abfragen einzelner Hosts. Belastbar heißt: nach Gegenprobe über ein zweites Merkmal und nach Abzug von Hostern, Herstellerfirmen und Honeypots. Wahrscheinlich heißt: belastbar plus unsichere Gruppen, die nicht am Gerät geprüft sind. Gezählt werden Dienste, ein Gerät kann mehrere Dienste haben. Bei einem Teil der Dienste ließe sich der Betreiber direkt benennen (Wasser rund 15 %, Energie rund 9 %, Gebäudeautomation rund 9 % allein über die Organisation). Wir veröffentlichen keine Betreiber, keine Adressen. Gruppen unter 5 Diensten in einer Region nennen wir nur als „unter 5“ oder „einzelne“.
Presse und Interviews
Für Rückfragen, Hintergrundgespräche und Interviews zu den Reports steht Max Gilg zur Verfügung, auch kurzfristig und aus dem eigenen Studio in Rosenheim. Die Zahlen dürfen mit Quellenangabe „OT-Cyber.de, Shodan-Lage DACH 11/2026“ zitiert werden.
Zum Pressebereich · Kontakt · OT-Lage
Häufige Fragen
Wie viele Dienste der Gebäude- und Energietechnik sind in Bayern offen im Internet?
In Bayern zählen wir 894 Dienste der Gebäudeautomation und 1.477 Dienste aus Heizungs- und Stromerzeugungstechnik, in der Wasserwirtschaft 19 belastbare Dienste. In Salzburg sind es 188, in Tirol 135 Dienste der Gebäudeautomation (Stand 02.11.2026). Regionen zählen wir ohne Abzug von Hostern und Honeypots, die Werte sind deshalb nicht direkt mit den Länderwerten vergleichbar.
Unser Servicetechniker greift per Portfreigabe auf die Anlage zu. Was sollten wir als Instandhaltung jetzt tun?
Die Portfreigabe schließen und den Zugang über ein VPN mit Mehrfaktor-Anmeldung oder eine Fernwartungslösung mit Freigabe durch den Betreiber umstellen. Danach Werkspasswörter ändern, die Firmware prüfen und den Handbetrieb der Anlage dokumentieren. Der Zugang über VPN entspricht CC4 Secure Remote Access der SANS Five ICS Critical Controls.
Ist meine Anlage betroffen, wenn sie in den Zahlen auftaucht?
Die Reports enthalten nur aggregierte Zahlen. Ob eine einzelne Anlage erreichbar ist, klären wir auf Anfrage für Betreiber vertraulich, etwa im Rahmen eines OT-Lagebilds.
Stand: 02.11.2026. Datenbasis Shodan. Nur aggregierte Zahlen, keine Adressen oder Betreiber.
Zuletzt aktualisiert: 02.11.2026