Wenn der Fernzugang zur offenen Tür wird – KNX warnt vor offenem Port 3671

Jahrelang war es eine einfache Lösung: Port 3671 am Router freigeben und schon konnte der KNX-Integrator aus der Ferne auf die Anlage zugreifen. Was praktisch war, kann heute zum Sicherheitsproblem werden. Die KNX Association warnt ausdrücklich vor solchen Konfigurationen. Neu ist das Problem allerdings keineswegs: KNX selbst warnte bereits im Jänner 2022 ausdrücklich vor einem Fernzugriff über UDP-Port 3671; in Österreich wurde das Thema 2023 nach der ersten damaligen Hackerattacke aufgegriffen. Für Elektro- und KNX-Fachbetriebe stellt sich damit noch eine andere Frage: Was ist mit jenen Anlagen, bei denen man den Fernzugang einst selbst eingerichtet hat? Passend dazu weist der neue KNX-Standard v3.0.5 bereits den Weg in eine andere Richtung.

Ein Schaltschrank, dessen Tür für jeden zugänglich offensteht, würde wohl kaum ein Elektrotechniker einfach so zurücklassen. In der digitalen Welt dürfte sinngemäß genau das allerdings bei manchen KNX-Anlagen passiert sein. Die KNX Association nimmt sich in einer am 21. September 2026 veröffentlichten Sicherheitsinformation deshalb einer Konfiguration an, die über Jahre eine ausgesprochen bequeme Lösung für den Fernzugriff darstellte: der Weiterleitung von Port 3671 durch den Internetrouter des Kunden.

Port 3671 ist der standardmäßig für KNXnet/IP verwendete UDP-Port. Innerhalb des lokalen Netzwerks ist daran nichts ungewöhnlich. Kritisch wird es dort, wo der Port im Router nach außen weitergeleitet wurde und die KNX-Installation damit unmittelbar aus dem Internet erreichbar ist. Genau diese Vorgehensweise, stellt KNX mittlerweile unmissverständlich fest, sollte nicht mehr Bestandteil einer modernen Installation sein.

Der Hintergrund ist schnell erklärt: Was dem Servicetechniker einen komfortablen Zugriff aus der Ferne ermöglicht, eröffnet unter Umständen auch anderen einen Weg zur Anlage. Und gerade im Bestand können Routereinstellungen weiterleben, an deren ursprünglichen Zweck sich Jahre später niemand mehr erinnert.

Allerdings wäre es falsch, daraus den Eindruck entstehen zu lassen, die Branche werde im September 2026 erstmals mit diesem Problem konfrontiert. Das Gegenteil ist der Fall. Bereits am 21. Jänner 2022 veröffentlichte die KNX Association den Beitrag „Sicherheit: Die Fallstricke eines Hackerangriffs und wie man sie mit grundlegenden IT-Kenntnissen vermeiden kann“. Darin schilderte KNX-Profi Andy Ellis einen Vorfall, bei dem eine mehr als zehn Jahre alte Anlage nach einem mutmaßlichen Fernangriff unbrauchbar geworden war. Julio Díaz García warnte im selben Beitrag ausdrücklich davor, einen Fernzugriff über UDP-Port 3671 einzurichten – dies komme einem „roten Teppich“ für Hacker gleich. Als sichere Wege nannte er unter anderem VPN, verschlüsselte KNX-IP-Zugangsgeräte sowie KNX IP Secure und KNX Data Secure.

Auch in Österreich wurde die Problematik lange vor der aktuellen Warnung aufgegriffen. Ing. Mario Pascal Necker, MBA schrieb 2023 nach der ersten damaligen Hackerattacke erstmals darüber. Am 21. März 2024 veröffentlichte der österreichische KNX-Fachbetrieb E-Necker – aktualisiert am 11. Juni 2024 – den ersten Teil seiner Reihe „Stand der Technik“. Darin verweist Necker auf Hackerangriffe auf KNX-Installationen in den vorangegangenen Jahren; bei Untersuchungen solcher Fälle im Auftrag von Gerichten sei teilweise Fahrlässigkeit festgestellt worden, die unter anderem aus Unwissenheit oder Bequemlichkeit resultiert habe. Als Schutzmaßnahmen wurden unter anderem Projektpasswort und BCU-Schlüssel thematisiert. Der zweite Teil folgte am 4. April 2024 und wurde am 10. Juni 2024 aktualisiert. Er empfiehlt ausdrücklich ein KNX-Programmierschloss sowie die Aktivierung der KNX-Secure-Funktionalität und hebt die Bedeutung der in der ETS hinterlegten Inbetriebnahmeschlüssel und deren Schutz vor dem Zugriff Dritter hervor.

Der Router wird Teil der Wartung

Damit verschiebt sich auch das Verständnis davon, was bei einer KNX-Wartung überprüft werden sollte. Netzteil, Aktoren, Sensoren und Buskommunikation gehören ohnehin zum bekannten Terrain. KNX fordert nun sinngemäß dazu auf, auch den Router und die IP-Seite der Installation auf die Checkliste zu setzen.

Die erste Frage ist denkbar einfach: Ist die KNX-Anlage aus dem Internet direkt erreichbar?

Ist das der Fall, besteht Handlungsbedarf. Das bedeutet allerdings nicht zwangsläufig, dass eine komplette Anlage erneuert werden muss. Genau darin liegt eine der für den Bestand besonders wichtigen Botschaften der KNX Association. Nicht benötigte Portweiterleitungen können geschlossen, Remote-Zugänge neu organisiert, Firewalls kontrolliert und IP-Netze segmentiert werden, ohne deswegen Feldgeräte austauschen zu müssen. KNX-IP-Schnittstellen oder Router können anschließend dort auf KNX-IP-Secure-fähige Lösungen umgestellt werden, wo dies technisch und wirtschaftlich sinnvoll ist.

Die österreichische Auseinandersetzung mit dem Thema begann laut Necker bereits 2023. Besonders konkret wird der Fernzugriff im dritten Teil der E-Necker-Serie „Stand der Technik“, veröffentlicht und aktualisiert am 13. Juni 2024. Die Empfehlung lautet, von außen nur über VPN beziehungsweise eine Remote-Access-Lösung auf die KNX-Anlage zuzugreifen. Beim Port 3671 wird der Beitrag noch deutlicher: Er solle nicht aus dem Internet erreichbar beziehungsweise weitergeleitet sein. E-Necker begründet das damit, dass andernfalls ein Angreifer über diesen Zugang auf die KNX-Installation zugreifen und beispielsweise Schalthandlungen ausführen oder die Anlage umprogrammieren könnte.

Die Warnung der KNX Association vom September 2026 erfindet das Problem damit nicht neu. Sie greift vielmehr eine Warnung auf, die KNX selbst bereits im Jänner 2022 unmissverständlich formuliert hatte, und richtet den Blick erneut auf Bestandsanlagen, bei denen frühere Fernzugriffslösungen bis heute unverändert weiterlaufen können.

Für den Fernzugriff empfiehlt KNX heute VPNs oder dedizierte, authentifizierte Remote-Access-Lösungen. Gleichzeitig rückt die Netzwerkarchitektur stärker in den Mittelpunkt. Gebäudeautomation, Gäste-WLAN, Kameras, PCs, Fernseher und andere IP-Geräte einfach gemeinsam in einem unbeschränkten Netzwerk zu betreiben, mag komfortabel sein, entspricht aber keiner zeitgemäßen Sicherheitsarchitektur. VLANs und entsprechend konfigurierte Firewalls können die Gebäudeautomation von anderen Netzwerkbereichen trennen.

Dabei geht es nicht darum, aus jedem KNX-Programmierer einen Netzwerkadministrator zu machen. Das Prinzip dahinter ist wesentlich einfacher: Ein Gerät sollte nur mit jenen Systemen kommunizieren können, mit denen es tatsächlich kommunizieren muss.

E-Necker ergänzte diese Betrachtung bereits 2024 um einen weiteren Punkt: Filtertabellen in Bereichs- und Linienkopplern sollen dafür sorgen, dass nur jene KNX-Telegramme beziehungsweise Gruppenadressen in andere Bereiche der Installation gelangen, die dort tatsächlich benötigt werden. Das folgt letztlich demselben Prinzip wie die Segmentierung auf IP-Ebene: Kommunikation dort begrenzen, wo sie nicht erforderlich ist.

VPN, VLAN und KNX IP Secure sind keine Alternativen

Entscheidend ist dabei, die unterschiedlichen Maßnahmen nicht gegeneinander auszuspielen. Ein VPN schützt den Weg in das Netzwerk. Die Segmentierung beschränkt die Kommunikationsmöglichkeiten innerhalb der IP-Infrastruktur. KNX IP Secure wiederum schützt die KNX-Kommunikation selbst.

KNX beschreibt diese Maßnahmen ausdrücklich als unterschiedliche Sicherheitsebenen. KNX IP Secure macht damit weder eine sauber konfigurierte Firewall noch einen abgesicherten Fernzugriff überflüssig. Erst ihr Zusammenspiel macht aus einer ehemals einfachen Routerfreigabe ein Sicherheitskonzept.

Interessant ist dabei die fast deckungsgleiche Linie zwischen den aktuellen Empfehlungen der KNX Association, der KNX-Warnung aus Jänner 2022 und den von Necker seit 2023 aufgegriffenen Sicherheitsthemen: KNX Secure aktivieren, den Fernzugriff über VPN oder eine Remote-Access-Lösung absichern, Port 3671 nicht aus dem Internet erreichbar machen und Kommunikationswege innerhalb der KNX-Anlage begrenzen. Was heute von KNX international erneut prominent auf die Agenda gesetzt wird, war fachlich also schon länger bekannt.

Und genau an diesem Punkt erhält die aktuelle Warnung eine zweite, für den Elektrotechniker möglicherweise noch interessantere Dimension: Was geschieht mit jenen Anlagen, bei denen der ausführende Betrieb die Portweiterleitung vor Jahren selbst eingerichtet hat?

Wer hat Port 3671 eigentlich geöffnet?

Eine pauschale Antwort auf eine mögliche Haftung wäre unseriös. Nicht jede ältere Installation, die nach damaliger Praxis errichtet wurde, führt automatisch zu einer Haftung des ausführenden Unternehmens. Entscheidend wären im konkreten Fall unter anderem der Auftrag, der Zeitpunkt der Errichtung, der damalige Wissensstand, spätere Wartungen, getroffene Vereinbarungen, ein tatsächlicher Schaden und dessen Ursache.

Trotzdem lässt sich die Frage nicht einfach wegwischen.

§ 1299 ABGB legt für Personen, die sich zu einem Gewerbe oder Handwerk bekennen beziehungsweise Arbeiten übernehmen, die besondere Kenntnisse verlangen, einen erhöhten fachlichen Sorgfaltsmaßstab zugrunde. Vereinfacht gesagt: Wer Fachkenntnis anbietet, muss sich auch an diesem Anspruch messen lassen.

Daneben kennt das österreichische Werkvertragsrecht Warnpflichten des Unternehmers. § 1168a ABGB hält etwa fest, dass ein Unternehmer unter bestimmten Voraussetzungen für Schäden verantwortlich werden kann, wenn er trotz erkennbarer Probleme nicht warnt. Ob und in welcher Form diese Bestimmungen bei einer konkreten KNX-Konfiguration greifen, ist freilich immer eine Frage des Einzelfalls.

Bemerkenswert ist, dass E-Necker die Verantwortungsfrage bereits im Juni 2024 ebenfalls direkt ansprach. Im dritten Teil der Serie wird ausdrücklich auf Weiterbildung und das Risiko hingewiesen, dass Fehler aufgrund mangelnden aktuellen Fachwissens haftungsrechtliche Konsequenzen nach sich ziehen können. Diese Aussage stammt vom Autor des Fachbeitrags und ist keine juristische Einzelfallbewertung des i-Magazins. Sie zeigt aber, wie früh die Branche selbst die Verbindung zwischen KNX-Sicherheit, aktuellem Fachwissen und Verantwortung des ausführenden Unternehmens hergestellt hat.

Für den Fachbetrieb lässt sich daraus allerdings schon heute eine sehr praktische Konsequenz ableiten: Wer eine ältere KNX-Anlage wartet oder verändert, sollte einen früher eingerichteten Fernzugang nicht einfach als gegeben hinnehmen.

Besonders sensibel wird die Angelegenheit dort, wo der eigene Betrieb die Portweiterleitung ursprünglich selbst eingerichtet hat und auch Jahre später noch für die Anlage zuständig ist. Spätestens wenn KNX selbst ausdrücklich darauf hinweist, dass ein direkt aus dem Internet erreichbarer Port 3671 nicht mehr Bestandteil einer modernen Installation sein sollte, wird Wegsehen schwerer zu argumentieren.

Hinzu kommt ein zeitlicher Aspekt: Spätestens seit dem KNX-Beitrag vom 21. Jänner 2022 lässt sich dokumentieren, dass vor Fernzugriffen über UDP-Port 3671 ausdrücklich gewarnt und VPN als sicherere Lösung empfohlen wurde. Necker griff das Thema 2023 nach der ersten damaligen Hackerattacke auf und vertiefte es in seiner Beitragsreihe 2024. Wie dieser Umstand in einem tatsächlichen Haftungsfall zu bewerten wäre, können und wollen wir daraus nicht ableiten. Für die Frage, was ein Fachbetrieb bei einer heute betreuten Bestandsanlage zumindest überprüfen sollte, ist diese Chronologie allerdings durchaus relevant.

Ausgerechnet jetzt kommt KNX v3.0.5

Dass KNX diese Sicherheitsfrage gerade jetzt aufgreift, hat noch einen weiteren interessanten Aspekt. Nur sechs Tage vor der aktuellen Warnung, am 15. September 2026, veröffentlichte die KNX Association den neuen KNX-Standard v3.0.5 – und eines seiner zentralen Themen ist ausgerechnet der sichere Fernzugriff.

Mit der Integration eines „Cloud Interface“ in den Standard soll auf KNXnet/IP-Installationen künftig standardisiert und sicher aus der Ferne zugegriffen werden können, ohne dafür zwingend eine VPN-Verbindung aufzubauen. KNX nennt Inbetriebnahme, Diagnose und Service ausdrücklich als Anwendungsfälle. Proprietäre Einzellösungen sollen damit zumindest perspektivisch durch einen einheitlicheren Ansatz ergänzt beziehungsweise ersetzt werden können.

Das ist mehr als eine technische Fußnote. Denn damit zeichnet sich ein Wandel beim Fernservice ab: weg von jener pragmatischen Lösung, bei der ein Port im Router geöffnet wurde, hin zu definierten, authentifizierten und standardisierten Zugangswegen.

Wann entsprechende Produkte und Services in der Praxis breit verfügbar sein werden und wie die neue Cloud Interface im Detail umgesetzt wird, wird für Systemintegratoren noch entscheidend sein.

Auch Firmware-Updates werden Teil des Standards

v3.0.5 umfasst allerdings deutlich mehr als Remote Access. Der Standard erweitert unter anderem die Beleuchtungssteuerung um HSV-basierte Farbverarbeitung und standardisierte Funktionen für Identifikation, Messung, Diagnose und Wartung von Beleuchtungsgeräten. Gleichzeitig werden die KNX-IoT-Spezifikationen für 3rd Party API, Point API und KNX IoT Router an die aktuelle Systemarchitektur angeglichen.

Bemerkenswert ist insbesondere ein weiterer Punkt: KNX führt ein standardisiertes Verfahren für sichere Firmware-Updates einzelner Geräte ein. Hersteller sollen Geräte damit über längere Zeiträume warten und Aktualisierungen konsistenter bereitstellen können. KNX stellt diese Funktion ausdrücklich auch in Zusammenhang mit den Anforderungen des europäischen Cyber Resilience Act.

Damit verändert sich auch der Blick auf Gebäudeautomation. Cybersecurity endet nicht mit der Inbetriebnahme. Softwarestände, Zugänge, Routerkonfigurationen und Netzwerkstrukturen werden zunehmend zu Komponenten, die über den gesamten Lebenszyklus einer Anlage betrachtet werden müssen.

Aus dem Fernzugang wird ein Servicethema

Und vielleicht liegt genau darin die Chance für die Branche. Die aktuelle KNX-Warnung muss nicht ausschließlich als neues Risiko verstanden werden. Sie eröffnet Fachbetrieben zugleich ein konkretes Servicefeld.

Wer seit vielen Jahren KNX-Anlagen errichtet, hat möglicherweise eine beträchtliche Zahl an Bestandsprojekten, die unter völlig anderen Voraussetzungen geplant wurden. Ein Security-Check der IP-Seite, die Überprüfung alter Portweiterleitungen, eine saubere Dokumentation des Fernzugangs, Netzwerksegmentierung und gegebenenfalls der Austausch älterer IP-Komponenten könnten künftig ebenso selbstverständlich zu einer Modernisierung gehören wie der Tausch eines Aktors.

Neu ist also weniger die Erkenntnis, dass ein offener KNX-Zugang ein Sicherheitsrisiko darstellt. Schließlich warnte KNX selbst bereits 2022 davor, und Necker griff das Thema 2023 in Österreich auf. Neu ist vielmehr, mit welcher Deutlichkeit es inzwischen vom Standard selbst, von der KNX Association und durch die zunehmenden regulatorischen Anforderungen in Richtung Cybersecurity in den Mittelpunkt rückt. Wer 2026 eine bestehende KNX-Anlage betreut, kann deshalb schwerlich so tun, als wäre die IP-Sicherheit ein Randthema, das mit der eigentlichen Elektrotechnik nichts zu tun hätte.

Denn eine KNX-Anlage kann technisch auch nach vielen Jahren noch hervorragend funktionieren. Nur sollte die digitale Eingangstür nicht deshalb offenstehen, weil vor fünf oder zehn Jahren jemand beschlossen hat, dass Port 3671 die bequemste Abkürzung zum Kunden war.