# Shodan-Lage DACH: offene Gebäude-, Energie- und Wassertechnik

Von Max Gilg · 02.11.2026 · 2 Min. Lesezeit

Kurz gesagt: Am 02.11.2026 habe ich über Shodan in Deutschland, Österreich und der Schweiz 6.562 Dienste der Gebäudeautomation, 6.098 aus Heizungs- und Stromerzeugungstechnik und 77 aus der Wasserwirtschaft belastbar zugeordnet, alle direkt aus dem Internet erreichbar. Wer solche Anlagen betreibt, sollte Portfreigaben schließen und Fernwartung nur noch über VPN mit Mehrfaktor-Anmeldung zulassen.
Ich habe am 02.11.2026 gezählt, wie viele Dienste aus Gebäudeautomation, Heizen und Strom sowie Wasser und Abwasser in Deutschland, Österreich und der Schweiz offen im Internet stehen. Das Ergebnis sind drei Lage-Reports als PDF. Alle Zahlen, die Tabellen je Land und die Downloads stehen auf der Sammelseite Shodan-Lage DACH (/berichte/shodan-lage-dach/).

[Bild: Infografik: Shodan-Lage DACH: offene Anlagentechnik]

Sauter moduWeb zählt in zwei Reports. Die Werte lassen sich deshalb nicht einfach addieren.

## Gebäudeautomation: KNX, GLT und Kältemanager

Belastbar zugeordnet habe ich 4.259 Dienste in Deutschland, 1.485 in Österreich und 818 in der Schweiz. Darunter sind KNX-Server, GLT-Stationen (Saia PCD, Sauter moduWeb), KNXnet/IP, BACnet/IP und Kältemanager von Copeland/Dixell (XWEB).

Die 151 XWEB-Oberflächen in DACH machen mir am meisten Sorgen. Es ist genau die Geräteklasse, die in Frankreich und in der Nacht zum 02.11.2026 in weiteren europäischen Ländern angegriffen wurde. Fast alle zeigen ihre Startseite ohne Anmeldung und ohne TLS. Am wahrscheinlichsten ist nach meiner Einschätzung eine nachts verstellte Kälteanlage in einem Supermarkt oder Gewerbebetrieb.

Kältemanager, GLT-Stationen und KNX-Schnittstellen gehören hinter ein VPN. Eine Portfreigabe ist keine Fernwartung.

## Energie: Wärmepumpen, PV und Heizungsregler

Hier sind es belastbar 5.283 Dienste in Deutschland, 599 in Österreich und 216 in der Schweiz: Wärmepumpen-, Solar- und Heizungsregler, PV-Wechselrichter, Datenlogger und Speicher. Allein 1.601 davon sind SMA Sunny WebBoxen, für die es seit dem 31.12.2015 keinen Herstellersupport mehr gibt.

Das wahrscheinlichste Schadensbild ist für mich eine im Winter abgeschaltete oder verstellte Wärmepumpe oder Heizzentrale, mit Frostschaden in der Liegenschaft.

## Wasser und Abwasser: wenige, aber kritische Dienste

In der Wasserwirtschaft sind die Zahlen klein: belastbar 29 Dienste in Deutschland, 48 in Österreich, keiner in der Schweiz. Es geht um Fernwirk- und Leittechnik von Außenstationen, Pumpwerken und Kläranlagen. Dazu kommen rund 670 Fernwartungsrouter sowie Modbus- und S7-Dienste, deren Branche sich mit Shodan nicht bestimmen lässt.

Am wahrscheinlichsten ist hier kein raffinierter OT-Angriff, sondern Ransomware auf dem Leitsystemserver, eingedrungen über RDP oder das IT-Netz. Die Anlage läuft lokal weiter, aber oft wochenlang im Handbetrieb.

[Bild: Diagramm: Belastbar offene Dienste je Land und Bereich (Quelle: Eigene Zählung über die Shodan-API, 02.11.2026)]

## Bayern, Salzburg und Tirol

In Bayern zähle ich 894 Dienste der Gebäudeautomation und 1.477 aus Heizungs- und Stromerzeugungstechnik, in der Wasserwirtschaft 19 belastbare Dienste. In Salzburg sind es 188, in Tirol 135 Dienste der Gebäudeautomation. Regionen zähle ich ohne Abzug von Hostern und Honeypots, die Werte sind deshalb nicht direkt mit den Länderwerten vergleichbar.

## So habe ich gezählt

Ausschließlich über die Shodan-API, mit Facetten, Detaillauf und Gegenprobe. Keine eigenen Scans, keine Logins, keine Abfragen einzelner Hosts. Belastbar heißt: nach Gegenprobe über ein zweites Merkmal und nach Abzug von Hostern, Herstellerfirmen und Honeypots. Gezählt werden Dienste, ein Gerät kann mehrere haben. Betreiber und Adressen veröffentliche ich nicht.

[Bild: Schema: Was Betreiber jetzt tun sollten]

## Was Betreiber jetzt tun sollten

Portfreigaben schließen und Fernwartung über VPN mit Mehrfaktor-Anmeldung oder eine Lösung mit Freigabe durch den Betreiber umstellen. Das ist CC4 Secure Remote Access aus den SANS Five ICS Critical Controls. Danach Werkspasswörter ändern, Firmware prüfen und den Handbetrieb dokumentieren.

Wer wissen will, ob die eigenen Anlagen offen erreichbar sind, bekommt das bei uns vertraulich im Rahmen eines OT-Lagebilds (/leistungen/ot-lagebild/) geklärt.

Alle drei Reports als PDF: Shodan-Lage DACH (/berichte/shodan-lage-dach/)

## Häufige Fragen

**Wie viele Dienste der Gebäude- und Energietechnik sind in Bayern offen im Internet?**
Am 02.11.2026 waren es in Bayern 894 Dienste der Gebäudeautomation und 1.477 aus Heizungs- und Stromerzeugungstechnik, dazu 19 belastbare Dienste aus der Wasserwirtschaft.

**Unser Servicetechniker greift per Portfreigabe auf die Anlage zu. Was sollten wir als Instandhaltung jetzt tun?**
Die Portfreigabe schließen und den Zugang über VPN mit Mehrfaktor-Anmeldung oder eine Fernwartungslösung mit Freigabe durch den Betreiber umstellen. Danach Werkspasswörter ändern und die Firmware prüfen.

**Ist meine Anlage betroffen, wenn sie in den Zahlen auftaucht?**
Die Reports enthalten nur aggregierte Zahlen. Ob eine einzelne Anlage erreichbar ist, klären wir für Betreiber vertraulich, etwa im Rahmen eines OT-Lagebilds.

[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 02.11.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fshodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fshodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fshodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fshodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html&text=Shodan-Lage%20DACH%3A%20offene%20Geb%C3%A4ude-%2C%20Energie-%20und%20Wassertechnik)WhatsApp (https://wa.me/?text=Shodan-Lage%20DACH%3A%20offene%20Geb%C3%A4ude-%2C%20Energie-%20und%20Wassertechnik%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fshodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html)E-Mail (mailto:?subject=Shodan-Lage%20DACH%3A%20offene%20Geb%C3%A4ude-%2C%20Energie-%20und%20Wassertechnik&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fshodan-lage-dach-offene-gebaeude-energie-und-wassertechnik.html)