1.500 offene GLT-Dienste: Lage Bayern und DACH
Was ich mir angesehen habe
Gebäudeleittechnik (GLT) ist alles, was ein Gebäude am Laufen hält: Heizung, Lüftung, Klima und Kälte, Licht und Jalousien, Energiezähler, Zutritt und die Leitebene, die das bündelt. In vielen Betrieben gehört diese Technik weder der IT noch der Produktion. Sie liegt beim Facility Management oder beim Elektro-Dienstleister, und deshalb schaut selten jemand hin.
Am 02.11.2026 habe ich mit der Suchmaschine Shodan ausgewertet, wie viel davon in Deutschland direkt aus dem Internet erreichbar ist. Shodan scannt das Internet laufend und erkennt Dienste an ihrer Antwort. Für BACnet und KNX hat Shodan eigene Erkennungen, Niagara Fox erkennt Shodan an den Ports 1911 und 4911. Dazu kommen Weboberflächen typischer GLT-Produkte. Ich habe nur Gesamtzahlen gezählt und keine einzelnen Anlagen angesehen. Wichtig für das Verständnis: Shodan zählt erreichbare Dienste, nicht Geräte, und sagt nichts darüber, ob ein Gerät zusätzlich geschützt ist.
Wie viel Gebäudetechnik ist in Deutschland erreichbar?
Rund 1.500 Dienste der Gebäudeleittechnik. Die größten Gruppen:
| System | erreichbar in Deutschland | davon Bayern |
|---|---|---|
| KNXnet/IP (Licht, Jalousie, Raumsteuerung) | 1.134 | 295 |
| Saia PCD Webserver | 154 | 31 |
| Sauter moduWeb | 121 | 20 |
| BACnet/IP (mit BACnet-Antwort) | 56 | 12 |
| Tridium Niagara (ohne Cloud-Hoster) | 37 | 12 |
| BAB eibPort (KNX-Server) | 17 | 7 |
Dazu kommen 176 WAGO-Steuerungen mit Weboberfläche. WAGO läuft in Gebäuden und in der Industrie, deshalb zähle ich sie nicht in die 1.500.
Zwei Dinge haben mich überrascht. Beim BACnet-Port 47808 meldet Shodan 596 Treffer, aber nur 56 antworten wirklich mit BACnet. Wer nur den Port zählt, überschätzt die Lage um den Faktor zehn. Und 20 der 56 melden als Produkt HikCentral Professional, also keine klassische Gebäudesteuerung. Ich habe sie trotzdem in den 56 gelassen. Meine Einschätzung: Wer sie per BACnet anbindet, verbindet sie mit der Gebäudetechnik. Bei Niagara standen über 100 der 152 Treffer bei Linode und Alibaba Cloud. Meine Einschätzung: Das sind eher Test- oder Forschungssysteme als Gebäude, deshalb zähle ich nur die 37 außerhalb dieser Clouds.
Wie sieht es in Bayern, Salzburg und Tirol aus?
Bayern hat mit rund 390 erreichbaren GLT-Diensten die meisten in Deutschland, vor Nordrhein-Westfalen mit 241 und Baden-Württemberg mit 180. 295 der bayerischen Dienste sind KNXnet/IP. In Österreich ist die Lage bei KNX noch deutlicher: 858 erreichbare KNXnet/IP-Dienste, gemessen an der Einwohnerzahl fast sieben Mal so viele wie in Deutschland. 55 davon stehen im Land Salzburg, 53 in Tirol. Die Schweiz kommt auf 471.
Für unsere Grenzregion rund um Rosenheim heißt das: KNX ist das wichtigste Thema in der Gebäudetechnik. Ein Hinweis zur Genauigkeit: Shodan ordnet den Ort über die IP-Adresse zu, das kann auch der Sitz des Providers sein.
Wie gefährlich ist das?
Ich stufe die Lage als hoch ein. KNXnet/IP ohne KNX Secure kennt keine Anmeldung. Wer so ein Gateway über Port 3671 erreicht, kann direkt mit dem KNX-Bus des Gebäudes sprechen. Ob ein Gateway KNX Secure nutzt, zeigt die Shodan-Zählung nicht.
Dass das ausgenutzt wird, ist belegt. Im Oktober 2021 meldete sich ein deutsches Ingenieurbüro bei Limes Security, weil es die Kontrolle über die Gebäudeautomation eines Kunden verloren hatte. Limes Security nennt die Angriffswelle KNXlock. Laut Tech Times, das sich auf die Analyse von Limes beruft, hat ein Angreifer über das Internet Hunderte Geräte gelöscht und ein eigenes Passwort gesetzt, den sogenannten BCU-Key. Licht, Jalousien, Heizung, Lüftung und Klima sowie Bewegungsmelder fielen aus, das Gebäude lief wochenlang über manuelle Sicherungsschalter. Die geschätzten Kosten für den Austausch lagen laut dem Bericht über 100.000 Euro. Zu dieser Schwachstelle hat die US-Behörde CISA am 24.08.2023 das Advisory ICSA-23-236-01 veröffentlicht (CVE-2023-4346, CVSS 7,5).
Bei den Weboberflächen sieht es nicht besser aus. Alle gefundenen Panels von Saia PCD, Sauter moduWeb, eibPort und WAGO antworten laut Shodan unverschlüsselt per HTTP. Wer sich dort anmeldet, riskiert, dass sein Passwort im Klartext übertragen wird. 75 von 121 moduWeb-Panels laufen laut Shodan auf einem Jetty-Webserver der Version 7.6.16 aus dem Jahr 2014. Bei Niagara habe ich den Software-Stand mit einer etwas breiteren Abfrage geprüft (nur Linode und Alibaba ausgeschlossen, 41 Dienste). Davon melden 31 noch Version 3.7 oder 3.8, also die alte Generation Niagara AX.
Wen trifft es am härtesten?
Nicht jedes erreichbare KNX-Gateway ist ein Drama. Gut zwei Drittel hängen an Anschlüssen der fünf größten Zugangsanbieter, überwiegend normale Internetanschlüsse. Meine Einschätzung: Ein guter Teil davon steht in Privathäusern. Kritisch wird es dort, wo Gebäudetechnik den Betrieb sichert:
- Rechenzentren: Kälte und Lüftung entscheiden über die Verfügbarkeit.
- Lebensmittel, Kühlhäuser, Pharma: Fällt die Temperaturführung aus, verdirbt Ware.
- Krankenhäuser und Pflege: Lüftung, Wärme und Zutritt.
- Produktionshallen im Maschinenbau: Hallenklima, Druckluft und Energie. Ein verstelltes Lüftungs- oder Kältesystem kann die Fertigung stoppen.
Ein Produktionsleiter denkt hier zu Recht in Stillstand und Wiederanlauf. Die Frage ist nicht, ob jemand das Licht flackern lässt, sondern wie lange die Halle steht, wenn die Kälte ausfällt und niemand den Schlüssel für die gesperrten Geräte hat.
Was ich Betreibern jetzt empfehle
Meine Empfehlungen folgen den SANS Five ICS Cybersecurity Critical Controls:
- Fernwartung absichern (CC4 Secure Remote Access): Gebäudetechnik nie direkt ins Internet. Elektriker und Systemintegratoren kommen nur über VPN oder einen gesicherten Remote-Access-Weg mit eigener Anmeldung je Person.
- Netz trennen (CC2 Defensible Architecture): GLT in ein eigenes Segment, getrennt vom Büronetz und von der Produktion. Gateways aus der Bauphase nach der Abnahme abbauen.
- Wissen, was da ist (CC5 Risk-Based Vulnerability Management): Alle KNX-Gateways, DDC-Controller und Web-Panels ins OT-Asset-Inventar. Firmware prüfen, Standardpasswörter ändern, alte Panels und Niagara AX ersetzen. Bei KNX den BCU-Key setzen und mit der Projektdokumentation an den Eigentümer übergeben, so empfiehlt es die KNX Association im CISA-Advisory. Bei Neubauten KNX Secure fordern.
- Hinschauen (CC3 ICS Network Visibility & Monitoring): KNX- und BACnet-Verkehr mitschneiden und Schreibzugriffe von unbekannten Stationen melden. Das leistet eine Angriffserkennung in OT-Netzen.
- Notfall planen (CC1 ICS Incident Response): Wer schaltet vor Ort von Hand? Wo liegen Projektdaten und Schlüssel? Wer ist beim Integrator erreichbar? Für den Ernstfall gibt es unsere OT-Notfallhilfe.
„Ein KNX-Gateway ohne KNX Secure, das aus dem Internet erreichbar ist, fragt nach keinem Passwort. Wer seine Gebäudetechnik nicht im Asset-Inventar hat, weiß im Ernstfall nicht einmal, welche Anlage gerade fremdgesteuert wird.“ Max Gilg, OT-Cybersecurity-Experte aus Rosenheim
Was NIS2 und der CRA damit zu tun haben
Für Betreiber im Geltungsbereich von NIS2 gehören die Netz- und Informationssysteme, die ihren Dienst am Laufen halten, zum Risikomanagement. Meine Einschätzung: In Rechenzentren, Krankenhäusern und der Lebensmittelproduktion zählt die Gebäudetechnik dazu. Hersteller neuer vernetzter GLT-Produkte fallen unter den Cyber Resilience Act und müssen künftig sichere Standardeinstellungen und Sicherheitsupdates liefern. Für den Bestand im Keller hilft beides nur, wenn jemand die Anlagen kennt.
Wer wissen will, wie es um die eigene Gebäudetechnik steht, findet bei OT-Security in Bayern einen Ansprechpartner. Für Salzburg und Tirol gilt dasselbe.
So habe ich gezählt
Grundlage ist die Shodan-API mit Abruf am 02.11.2026. Gezählt sind Dienste, die beim letzten Scan geantwortet haben. Ein Gerät mit zwei offenen Diensten kann doppelt vorkommen, Geräte hinter einem Router ohne Portfreigabe fehlen. Der Ort folgt der IP-Adresse. Die Herstellerzuordnung beruht auf Banner und Seitentitel. Einzelne Adressen oder Anlagen veröffentliche ich nicht.
Häufige Fragen
Wie viele Dienste der Gebäudeleittechnik sind in Deutschland aus dem Internet erreichbar?
Laut meiner Shodan-Auswertung vom 02.11.2026 rund 1.500, darunter 1.134 KNX-Gateways, 154 Saia-PCD-Webserver, 121 Sauter moduWeb und 56 BACnet-Systeme. Bayern liegt mit rund 390 vorne. Gezählt sind Dienste, nicht Geräte.
Kann ein Angreifer über ein erreichbares KNX-Gateway unsere Halle lahmlegen?
Ja, wenn das Gateway ohne KNX Secure und ohne gesetzten BCU-Key läuft. 2021 wurde so ein Gebäude in Deutschland gesperrt, die Technik lief wochenlang von Hand. Für Produktionshallen heißt das: Lüftung, Kälte und Licht können ausfallen, bis die Geräte ersetzt oder neu programmiert sind.
Darf der Elektriker per Fernwartung auf unsere Gebäudetechnik?
Ja, aber nur über einen gesicherten Zugang wie VPN mit eigener Anmeldung je Person und nie über ein direkt erreichbares Gateway. Zugänge aus der Bauphase gehören nach der Abnahme abgeschaltet.
Wer hilft bei der Absicherung von Gebäudetechnik in Bayern, Salzburg und Tirol?
Max Gilg und OT-Cyber.de aus Rosenheim unterstützen Betreiber in Bayern, Salzburg, Tirol und ganz DACH mit Asset-Inventar, Segmentierung, Angriffserkennung und Notfallhilfe.