Ein Hotelgast, ein Schraubenzieher und eine USB-Schnittstelle genügen, um sich hinter einem abgenommenen Taster an den KNX-Bus zu hängen, und wer es bequemer mag, findet per Suchmaschine mehr als 800 österreichische KNX-Installationen, die offen im Internet erreichbar sind. Im KNX Austria Profi Talk zeigte Fritz Praus von der FH Technikum Wien, wie wenig ein Angreifer dafür heute braucht und wie KNX Secure diese Türen schließt. Die Praktiker im Chat hielten dagegen, dass ein Update, für das zehn Minuten geplant waren, auch vier Stunden dauern kann. Genau zwischen diesen beiden Erfahrungen entscheidet sich, wie sicher die Anlagen der kommenden 20 Jahre sein werden.
Am 4. November 2026 lud KNX Austria zum Webinar „Gesperrt, gehackt, gehaftet? KNX sicher planen und betreiben“, und der Titel erwies sich als präziser, als es eine Einladung gewöhnlich ist. FH-Prof. Mag. Dipl.-Ing. Dr. Friedrich „Fritz“ Praus, Studiengangsleiter Informations- und Kommunikationssysteme an der FH Technikum Wien, beobachtet die Sicherheitslage von KNX-Anlagen nach eigenen Angaben seit rund 20 Jahren. Moderiert wurde die Stunde von Ing. Armin Gassinger von der Siemens AG Österreich (Smart Infrastructure, Automation), der parallel im Chat eine Frage nach der anderen beantwortete. Den Rahmen setzen zwei Regelwerke, die in diesem Herbst wirksam geworden sind: das österreichische Cybersicherheitsgesetz NISG 2026, das seit 1. Oktober 2026 in Kraft ist, und der Cyber Resilience Act der EU, dessen Meldepflichten für Hersteller seit 11. September 2026 gelten. Praus stellte gleich zu Beginn klar, worum es ihm nicht geht: Einzelne Hersteller als mehr oder weniger betroffen hinzustellen, sei nicht möglich, „wir sind alle betroffen“, und Totschweigen sei „definitiv nicht der richtige Ansatz“.
Kühlregale auf 50 Grad und ein Bürogebäude im Handbetrieb
Wie nahe das Thema inzwischen gerückt ist, machte Praus an Beispielen fest, mit deren Aktualisierung er nach eigenen Worten kaum noch nachkommt. Er erinnerte an den Stephansdom, dessen Glocken um Mitternacht wegen eines Cybersecurity-Vorfalls geläutet hätten, und an die Angriffe auf Kühlanlagen im französischen Handel am 12. und 13. Oktober, denen laut Praus ein europaweiter Angriff folgte. Betroffen gewesen seien vor allem ältere, nicht mehr gewartete Kältemanagementsysteme von Danfoss, deren Parameter per Fernzugriff überschrieben wurden, sodass die Anlagen nicht mehr kühlten, sondern auf 50 Grad heizten, mit dem Ergebnis leerer Regale und vernichteter Lebensmittel. Der französische Finanzminister habe von einem Weckruf gesprochen. Praus nannte außerdem einen Angriff auf Loxone vom 18. Oktober, bei dem Daten kopiert, veröffentlicht und Drohungen ausgesprochen worden seien. Das Unternehmen habe den Vorfall offiziell bestätigt und erklärt aber, der klassische Miniserver und Remote Connect seien nicht betroffen. Praus bescheinigte Loxone, „eigentlich ganz gut reagiert“ zu haben, weil die Systeme isoliert, der Vorfall rasch dokumentiert und beim Miniserver die Zwei-Faktor-Authentifizierung nachgeschärft worden sei. Errichtern empfahl er, nach einem solchen Vorfall Passwörter zu ändern und zu prüfen, wer auf die Anlagen zugreift.
Dass auch KNX-Anlagen nicht nur theoretisch angreifbar sind, belegt ein Fall aus Deutschland aus dem Jahr 2021, den Praus ausführlich schilderte. In einem Bürogebäude hatte ein Angreifer über einen offenen UDP-Port ohne jede Authentifizierung Verbindung zur Anlage aufgenommen, die Geräte entladen und einen fremden BCU-Key gesetzt. Drei Viertel der Geräte waren damit gesperrt, und der Betrieb lief wochenlang über manuell geschaltete Sicherungen. Für Praus folgt daraus ein Grundsatz, den er in den Mittelpunkt stellte: Gebäudetechnik ist OT, und ein Angriff auf die KNX-Anlage, den Wechselrichter oder die Alarmanlage hat physische Folgen. Das Einfallstor seien meist Fernzugänge sowie veraltete und nicht gepatchte Steuerungen, und das in einer Branche, in der Systeme 15 bis 20 Jahre laufen sollen. „Die Frage ist, wer macht nach 15 Jahren ein Security-Update?“
Eine Suchmaschine, ein Laptop und die ETS-Demoversion
Wie trivial der Zugriff geworden ist, demonstrierte Praus mit der Suchmaschine Shodan, die das gesamte Internet nach erreichbaren Geräten durchsucht. Für Österreich zeigte sie mehr als 800 KNX-Installationen, aufgeschlüsselt nach Orten, bei einem Klick auf Kitzbühel etwa samt IP-Adresse, teils mit Namen, Seriennummer und MAC-Adresse, alle am bekannten Port 3671. „Ein möglicher Angreifer braucht eigentlich nur die ETS und die IP-Adresse“, sagte Praus und zeigte, wie wenige Klicks dazwischen liegen: Verbindung in der ETS anlegen, IP-Adresse eintragen, testen, verbinden, und man sei auf der Anlage. Die Demoversion der ETS reiche dafür aus. Bei Loxone-Miniservern, die ebenfalls in der Trefferliste auftauchen, führe der Weg über einen DNS-Dienst, in dessen Adresse die MAC-Adresse steckt, und wer die MAC-Adresse „statt 9 ein A“ hochzähle, lande auf der nächsten Installation. Wechselrichter von Fronius ließen sich auf dieselbe Weise finden.
Wie schnell das geht, rechnete Praus anhand eines eigenen Versuchs vor: Alle österreichischen IP-Adressen nach Port 3671 zu durchsuchen, dauere mit seinen bescheidenen Ressourcen keine drei Stunden, und Shodan schaffe das weltweit in weniger als einem Tag. Wer eine Schnittstelle mit offenem Port 3671 ins Internet hängt, wird also gefunden. Ein zweiter Weg führe über das Gäste-WLAN, das in vielen Gebäuden im selben Netz hängt wie die KNX-Installation, und Praus erinnerte daran, dass dort jeder mit einem frei verfügbaren Werkzeug wie Wireshark den Netzwerkverkehr mitschneiden kann. Eine Grafik von Siemens, die Praus zitierte, zeigt, wohin die Entwicklung geht: 3,25 Milliarden IT/OT-Geräte in gewerblichen Gebäuden bis 2028 und alle zwei Sekunden ein Cyberangriff auf OT. Eine Installation einmal in Betrieb zu nehmen und nie wieder zu aktualisieren, werde unter diesen Bedingungen nicht mehr funktionieren.
Gehaftet über die Lieferkette
Damit war Praus bei der Frage, wer am Ende dafür geradesteht. Das NISG 2026 definiert 18 Sektoren, deren Einrichtungen sich registrieren und Sicherheitsmaßnahmen umsetzen müssen, und die Aufsicht liegt beim neuen Bundesamt für Cybersicherheit, das die bisher auf mehrere Ministerien verteilten Zuständigkeiten bündelt. KNX-Errichter seien in aller Regel nicht direkt NIS-pflichtig, was laut Praus aber nicht bedeutet, dass sie das Gesetz nicht betrifft: Die NIS-pflichtigen Betriebe würden ihre Lieferanten vertraglich in die Pflicht nehmen, und wer künftig eine Installation baut, werde nachweisen müssen, dass er sich mit Security beschäftigt hat. Für die Details verwies er auf das Informationsangebot der WKO.
Auf der Herstellerseite greift der Cyber Resilience Act. Hersteller müssen ausgenutzte Schwachstellen melden, und ab Dezember 2027 umfasst die CE-Kennzeichnung auch den Softwareteil eines Produkts, verbunden mit der Pflicht, mindestens fünf Jahre lang Sicherheitsupdates zu liefern. Verschärft wird die Lage laut Praus durch künstliche Intelligenz, die Lücken schneller findet und deren Ausnutzung beschleunigt. Was das für den Alltag bedeutet, sprach er offen an: Updates für Geräte im Netzwerk werden kommen, doch für ein Update, das fünf Minuten dauert, werde man kaum Anfahrt und Stunden verrechnen können. „Wer zahlt Ihnen das?“ Sichere Wartung und sicherer Fernzugriff seien deshalb, wie auch das deutsche BSI betone, die zentrale Herausforderung der Gebäudeautomation.
Secure pro Gruppenobjekt und die Rechnung der Praktiker
Nach so viel Bedrohung folgte die Beruhigung, denn KNX bringt die Werkzeuge mit. KNX IP Secure verschlüsselt und authentifiziert die Telegramme auf dem IP-Backbone, sodass niemand mitlesen oder Telegramme wieder einspielen kann, und eine Secure-Schnittstelle verlangt beim Tunneling ein Passwort. KNX Data Secure schützt die Kommunikation Ende zu Ende zwischen den Geräten, über Linienkoppler und Medien hinweg. Entscheidend für den Bestand ist, dass Security pro Gruppenobjekt aktiviert wird und nicht pro Anlage, sodass alte und neue Geräte im Mischbetrieb arbeiten können. Die ETS aktiviert Security in der Standardeinstellung automatisch, sobald alle beteiligten Geräte sie unterstützen, und warnt deutlich, wenn eine sichere Gruppenadresse auf ein Altgerät gelegt wird und damit die ganze Gruppe in den Klartext fällt. Bei der Inbetriebnahme kommen der QR-Code des Geräts als Initialschlüssel und ein Projektpasswort hinzu, im Gegenzug lassen sich Secure-Geräte per Seriennummer adressieren, und die ETS lädt parallel in mehrere Linien. Praus’ Fazit: Die Inbetriebnahme sei „meines Erachtens ein bisschen einfacher geworden“.
Im Chat sah man das anders. Die Inbetriebnahme dauere länger, weil man auf mehrere Gerätedownloads warten müsse, schrieb ein Errichter, und es sei nicht zu unterschätzen, was passiert, wenn bereits mit Secure aufgebaute Projekte später bearbeitet werden, weil ein defektes Gerät getauscht, ein Update eingespielt oder die Anlage erweitert wird. Ein Systemintegrator schilderte in der Fragerunde den ungünstigsten Fall: Wird ein einfacher Taster getauscht, der an einer Zentralfunktion hängt, muss der Download unter Umständen bei fast allen Geräten der sicheren Linie angestoßen werden. Die Folge sind gleichzeitige Neustarts, und wer das Anlaufverhalten nicht berücksichtigt, erlebt unplausible Zustände bei DALI-Gateways und Schaltaktoren, die je nach Parametrierung ihren Zustand halten, ein- oder ausschalten. Unterlagen dazu gebe es weder bei KNX Austria noch bei der KNX Association, „da kommt man eigentlich nur drauf, indem man selber auf die Nase fällt“. Er selbst habe gerade eine Anlage zehn Minuten lang aktualisieren wollen und vier Stunden für die Reparatur gebraucht. Praus nahm es mit Humor und verriet, dass seine Demo-Videos deutlich schneller abgespielt worden waren, als die Downloads in Wirklichkeit dauern. Mehr Komfort verspricht die ETS mit Firmware-Updates für mehrere Geräte gleichzeitig, die laut Praus vorgesehen sind.
Das Hotelzimmer als Einfallstor
Wie ein Angriff von innen aussieht, zeigte Praus in der Rolle eines etwas versierteren Angreifers, der im Hotelzimmer den Lichtschalter abnimmt und sich mit der eigenen USB-Schnittstelle an den Bus hängt. Solange ein Altgerät beteiligt ist, liest er die Telegramme im Klartext mit, samt Quell- und Zieladresse. Sobald Data Secure aktiv ist, sieht er nur noch, dass kommuniziert wird, aber nicht mehr, was. Die naheliegende Frage kam prompt im Chat: Was tun, wenn ein Gast über diesen Weg die Linie lahmlegt? Armin Gassinger beantwortete sie für Neuanlagen kurz, weil dort ohne Passwort kein Zugriff mehr möglich sei. Für den Bestand nannte er zwei Wege, nämlich die Linienkoppler gegen Secure-Geräte zu tauschen oder Programmierschlösser einzubauen, die als Reiheneinbau- oder Unterputzgerät jeden Programmierversuch sofort unterbinden, solange sie abgesperrt sind. Ein Teilnehmer gab zu bedenken, dass das gerade in einem älteren Bestandshotel sehr aufwändig sei. Die Antworten aus dem Chat reichten vom Tausch aller Koppler gegen einen neuen Linienkoppler mit integriertem Programmierschloss bis zum Umbau auf einen zentralen Binäreingang in der versperrten Unterverteilung, sodass Gäste gar keinen Zugang mehr zur Busleitung haben.
Ebenso praxisnah war der Hinweis, Tastsensoren gegen Abziehen zu sichern, eine Einrichtung, die viele Hersteller Diebstahlschutz nennen. Nicht alle Tastsensoren haben sie, kam postwendend zurück, und die Schrauben würden meist nicht verwendet oder gingen verloren. Die Antwort im Chat weist in die Zukunft: Solche Geräte könnten auf einem eigenen Segment oder einer eigenen Linie zusammengefasst und über die Secure-Proxy-Funktion mit dem Rest verbunden werden. Diese Funktion, die moderne Linienkoppler beherrschen, nutzt Praus genau für solche Fälle. Der Proxy lässt die Kommunikation in der alten Linie unverschlüsselt, verschlüsselt sie aber auf dem Backbone und ermöglicht so, kritische Bereiche gezielt abzusichern, etwa im Außenbereich, wo vielleicht auch das Garagentor hängt. Wetterstation und Gartentaster gehören für Praus auf eine eigene Linie, die Verteiler abgesperrt. Bei Bestandsanlagen komme auch ein BCU-Key in Frage, der Umprogrammieren verhindert, allerdings mit einer deutlichen Warnung: „Wenn Sie den BCU-Key vergessen oder verlieren, sind die Geräte Schrott.“
Dann kam die Frage, die das Thema auf den Kopf stellte. Was passiert, wenn jemand die Linie mit zyklisch gesendeten Gruppenadressen überlastet? Dagegen helfe auch Secure nicht. Gassinger bestätigte, dass die Filtertabellen der Linienkoppler künftig geschlossen sein müssen, auch weil Secure-Telegramme etwas größer sind und die Bandbreite knapper wird, und riet, sich bei jedem Objekt zu fragen, was überhaupt zyklisch gesendet werden muss. Praus lieferte dazu ein Beispiel aus einem großen Hotel, in dem ein Feuchtesensor auf „Senden bei Änderung um 5 Prozent“ eingestellt war, obwohl er ständig um rund 10 Prozent schwankte. Dieser eine Sensor machte die gesamte Linie zu, ganz ohne Angreifer. „Das ist kein Security-Problem“, betonte Praus, der den Effekt gerade auch in einer Masterarbeit an der FH Technikum Wien untersuchen ließ. Wer zusätzlich die Linienkoppler auf Durchzug geschaltet habe, weil im Hintergrund eine Visualisierung hängt, dem tue ein solches Gerät „ziemlich weh“, und dasselbe gelte für einen Angreifer, der so freie Bahn bekomme.
Drei Wege für die Visualisierung
Gerade die Visualisierung ist der Grund, warum viele Filtertabellen offenstehen, und deshalb zeigte Praus drei Wege, sie sicher anzubinden. Der erste führt über eine Tunnelverbindung, wobei die betreffenden Gruppenadressen in der ETS auf die Schnittstelle gezogen und der Keyring für diese Schnittstelle exportiert werden muss, denn ohne diese Schlüssel kann die Visualisierung nicht mitsprechen. Der zweite Weg bindet eine Secure-fähige Visualisierung als eigenes KNX-Gerät auf der IP-Linie ein, wobei die ETS die Filtertabellen über alle Koppler selbst setzt. Der dritte, bekannte Weg nutzt ein Dummy-Gerät in der Linie, an der die Visualisierung hängt. Dabei müsse allerdings ein Gerät am Bus die Telegramme quittieren, sonst entstünden Busfehler. Im Chat wollte jemand wissen, ob ein dedizierter Secure-Dummy Vor- oder Nachteile gegenüber der direkten Verknüpfung mit der Tunneling-Adresse der Schnittstelle habe. Die Antwort: nein, denn auch der Dummy brauche eine fixe Verbindung zur IP-Schnittstelle, und die Gruppenadressen landen so oder so in der Filtertabelle. Als Optimum bezeichnete Praus eine Visualisierung, die Secure selbst unterstützt.
Eine weitere Frage betraf den Unterschied zwischen Authentifizierungs- und Inbetriebnahme-Passwort beim IP-Secure-Tunneling. Gassinger erklärte den Authentifizierungscode als eine Art Benutzerkennung für den Tunnel, während sich das Inbetriebnahme-Passwort auf die Schnittstelle selbst bezieht. Praus riet, bei neuen Projekten früh festzulegen, wie viele Tunnelverbindungen pro Schnittstelle gebraucht werden, weil jedes eingebundene Display eine eigene Verbindung erhält.
Kein Generalschlüssel, nirgends
So wirksam KNX Secure Angreifer aussperrt, so konsequent sperrt es auch den aus, der seine Unterlagen verliert. „Die KNX hat sicher keinen Generalschlüssel. Niemand hat einen Generalschlüssel“, sagte Praus. Ohne Projektpasswort lässt sich ein Projekt weder öffnen noch exportieren, und der Verlust ist endgültig. Früher habe man sich nach zehn Jahren einfach auf die Anlage hängen und notfalls ohne Projekt Geräte tauschen können, mit Secure gehe ohne Projekt und Passwort gar nichts mehr. Ist beides verloren, bleibt nur der Master-Reset jedes einzelnen Geräts und das erneute Einlesen der QR-Codes, was Praus „bitter“ nannte, vor allem wenn die Geräte bereits verbaut sind. Für mehr Komfort beim Passwort sorgt der Project Access Assistant der KNX Association, der das Projektpasswort geschützt hinterlegt. Er setzt mindestens ETS 6.3 sowie ein KNX-Konto mit Zwei-Faktor-Authentifizierung voraus und ist kostenpflichtig.
Genau beim Master-Reset hakte der Systemintegrator nach. Muss jeder Hersteller ihn ermöglichen, damit der Tool Key bei verlorenem Projekt auf den FDSK zurückgesetzt werden kann, oder gibt es Hersteller, bei denen das Gerät eingeschickt werden muss? Praus und Gassinger waren sich einig, dass der Master-Reset bei jedem Secure-Gerät möglich sein muss, was Gassinger auf die Anforderungen des Cyber Resilience Act zurückführte. Man brauche danach allerdings wieder den mitgelieferten Inbetriebnahmeschlüssel. Offen blieb in der Fragerunde zunächst nur, ob sich ein Gerät auch dann zurücksetzen lässt, wenn ein BCU-Key gesetzt ist, eine Frage, die Praus und Gassinger im Nachgang des Webinars geklärt haben. Am QR-Code zeigte sich zudem ein Zielkonflikt zwischen Sicherheit und Wartbarkeit. Sitzt der Code seitlich am Gerät, muss im Schaltschrank unter Umständen alles ausgebaut werden, um ihn zu lesen. Praus fotografiert die Codes deshalb bei der Inbetriebnahme und legt die Fotos in der Dokumentation ab. Der Systemintegrator verwies darauf, dass viele Hersteller verlangen, den FDSK-Aufkleber nach dem Einbau zu entfernen, und Praus ergänzte selbst den Grund: Sonst bringe die Security nichts, wenn ein Angreifer davon ein Foto machen kann. Derselbe Code ist für den Errichter die Rettung und für den Angreifer der Schlüssel.
Die Dokumentation wird damit zur eigenen Disziplin. Zu ihr gehören laut Praus das ETS-Projekt mit Passwort, der Keyring, Schlüsseldateien und Gerätezertifikate, gesetzte BCU-Keys, die Zugangsdaten für Schnittstellen und Visualisierung und heute auch ein Netzwerkplan. Praus selbst verwaltet alles in einem Passwortmanager, er nennt KeePass, legt das ETS-Projektarchiv mit automatischem Backup in einer privaten Cloud ab und übergibt dem Kunden am Ende die verschlüsselte Passwortdatei, damit dieser die Passwörter ändern und auf Wunsch andere Firmen vom Zugriff ausschließen kann.
Ein Kurs, den es noch nicht gibt
Für die Planung empfahl Praus, IT und OT von Anfang an gemeinsam zu denken, weil in fast jedem Haus mit Wechselrichter oder Wallbox ohnehin IP-Geräte hängen und die Netzwerkseite für Errichter auch ein neues Geschäftsfeld sein kann. Die Regeln dafür sind klar: nie eine KNX-IP-Schnittstelle per Port-Forwarding auf 3671 ins Internet hängen, Fernzugriff nur über VPN mit starken Passwörtern und Mehrfaktor-Authentifizierung, das KNX-Netz vom Gäste-WLAN trennen und Fernwartungszugänge nach Bauende entfernen. Hilfe bietet KNX selbst mit einer Newsletter-Serie zur Absicherung der IP-Seite und des Busses, einer Secure-Checkliste, einer kostenlosen Online-Schulung auf MyKNX und einem Online-Security-Check, der von außen prüft, ob eine Anlage erreichbar ist. Praus empfahl, ihn „auch einmal zu probieren, wenn Sie irgendwo in einem Hotel sitzen“. Auf die Frage, warum es um KNX IoT und KNX over Thread still geworden sei, widersprach Gassinger: Beides sei in der ETS integriert, ein Border Router und erste Geräte seien am Markt, die Auswahl allerdings noch eingeschränkt. Praus sieht darin den Weg zu Secure by Design über den gesamten Lebenszyklus.
Was den Praktikern fehlt, formulierten sie selbst, und zwar mehrfach. Ein Teilnehmer hatte das Thema nach eigenen Angaben schon mit mehreren KNX-Herstellern angesprochen und wünschte sich einen praxisnahen KNX-Secure-Kurs, am besten herstellerneutral über KNX Austria, mit Schwerpunkt auf Planung, laufendem Betrieb, Wartung und späteren Erweiterungen. Ein anderer wollte dabei sein, wenn man dort auch Angriffe und die Tücken von Secure selbst testen kann, und der Systemintegrator aus der Fragerunde meldete denselben Bedarf an, nachdem er sich mit einem zweiten Gerät in die Teams-Sitzung kämpfen musste, um überhaupt zu Wort zu kommen. Praus bat, den Wunsch ins Feedback zu schreiben, man nehme ihn mit. Ob daraus ein Kurs wird, ist offen. Sein Schlusswort war trotzdem eine Ermutigung: „Das Geschäft bricht bei Ihnen sicher nicht weg.“ Sicherheit sei realisierbar, auch im Bestand, und KNX sei mit einer herstellerübergreifenden ETS eher Chance als Risiko.
Der Hotelgast mit dem Schraubenzieher bleibt trotzdem eine reale Figur. Ob er hinter dem Taster eine verschlüsselte Linie, ein Programmierschloss oder offenen Klartext vorfindet, entscheidet sich nicht im nächsten Webinar, sondern bei der nächsten Inbetriebnahme, beim nächsten Tausch eines Tasters und bei der Frage, wo in zehn Jahren das Projektpasswort liegt.
Was Errichter jetzt tun können
- Eigene Anlagen mit dem Online-Security-Check von KNX auf Erreichbarkeit von außen prüfen; Port 3671 nie per Port-Forwarding freigeben.
- Fernzugriff ausschließlich über VPN mit starken Passwörtern und Mehrfaktor-Authentifizierung; Fernwartungszugänge nach Bauende entfernen.
- KNX-Netz vom Gäste-WLAN und anderen nicht vertrauenswürdigen Clients trennen.
- Neuanlagen konsequent mit KNX Secure errichten; im Bestand kritische Linien über Secure-Koppler, Secure Proxy oder Programmierschlösser absichern.
- Filtertabellen der Koppler schließen und zyklisches Senden sowie „Senden bei Änderung“ auf Sinnhaftigkeit prüfen.
- Projektpasswort, Keyring, Gerätezertifikate, Fotos der QR-Codes, BCU-Keys, Zugangsdaten und Netzwerkplan verschlüsselt dokumentieren und geordnet an den Kunden übergeben.
- Angebote von KNX nutzen: Secure-Checkliste, Newsletter-Serie zur Absicherung von IP und Bus, kostenlose Online-Schulung auf MyKNX. Fragen an KNX Austria:
Quelle: KNX Austria