Cybersecurity und physische Sicherheit: Warum beides wichtig ist

Zwei Sicherheitswelten, ein Gebäude

Hausverwaltungen denken Sicherheit traditionell in zwei getrennten Kategorien: Die physische Seite umfasst verschlossene Türen, funktionierende Beleuchtung, intakte Außenanlagen und einen verlässlichen Winterdienst. Die digitale Seite gilt als Sache der IT-Abteilung, der Mieter oder externer Dienstleister. Die 2023 veröffentlichte Studie „Cyber Security in der Immobilienwirtschaft“ des Zentralen Immobilien Ausschusses (ZIA) beschreibt, dass die Dynamik der Bedrohung lange unterschätzt wurde, weil die Branche traditionell eher auf physische Sicherheitsmaßnahmen fokussiert war.

Diese Trennung hält der Realität vernetzter Gebäude nicht mehr stand. Smart-Building-Technologien verbinden die gebaute Umwelt mit dem Cyber-Raum: Zutrittssysteme, Aufzugssteuerung, Heizungsfernsteuerung, Kameras und Verbrauchszähler hängen am Netz und sind damit Teil derselben Angriffsfläche wie Server und Verwaltungssoftware. Ein Gebäude, das physisch offensteht, öffnet damit auch digitalen Angreifern Tür und Tor, und ein kompromittiertes System kann die physische Sicherheit von Menschen gefährden.

Warum getrennte Zuständigkeiten Lücken erzeugen

In vielen Objekten läuft die Verantwortung auseinander: Die technische Gebäudeverwaltung kümmert sich um Aufzüge, Heizung und Schließanlagen, während Informationssicherheit im IT-Bereich oder beim Dienstleister liegt. Niemand hat das Gesamtbild, und genau an den Schnittstellen entstehen Lücken. Wer etwa einen Netzwerkschrank im Treppenhaus als reines Technikthema behandelt, übersieht, dass er zugleich ein physisches Einfallstor ins Netzwerk ist.

• Digitalisierung verbindet jedes Gebäude mit dem Cyber-Raum, ob Neubau oder Bestand.
• Getrennte Zuständigkeiten zwischen Gebäudetechnik und IT lassen Schnittstellen ungeschützt.
• Sicherheit ist ein zusammenhängendes Schutzziel: Cybersecurity und physische Sicherheit schützen dasselbe Objekt und dieselben Menschen.

Die These dieses Artikels lautet daher: Cybersecurity und physische Sicherheit sind keine Alternativen, sondern zwei Seiten desselben Schutzziels. Die folgenden Abschnitte zeigen, wie sich die Bedrohungslage darstellt, wo beide Welten konkret zusammenwachsen und welche Normen und Pflichten den Rahmen setzen.

Die Bedrohungslage für die Immobilienwirtschaft

Panik ist keine gute Grundlage für Entscheidungen, Wohlwollen aber auch nicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kommt in seinem Lagebericht 2025 zu dem Befund, dass die IT-Sicherheitslage in Deutschland weiterhin auf angespanntem Niveau bleibt. Im Berichtszeitraum von Juli 2024 bis Juni 2025 registrierte das Bundeskriminalamt 950 angezeigte Ransomware-Angriffe, ein Niveau, das weitgehend unverändert hoch bleibt. Ein großer Teil der angezeigten Fälle betraf laut BSI kleine und mittlere Unternehmen, denen häufig Mittel und Wissen für die Abwehr fehlen.

Die ZIA-Studie zeichnet dazu ein aufschlussreiches Bild einer Branche, die das Risiko kennt, aber selten handelt: Obwohl 93 Prozent der befragten Unternehmen dem Thema Cyber Security eine hohe Relevanz beimessen, geben nur 20 Prozent an, Strategien zum Schutz ihrer Gebäudetechnik vor Cyberangriffen umgesetzt zu haben. Die Lücke zwischen Wahrnehmung und Handeln ist damit größer als die Lücke zwischen den beiden Sicherheitswelten.

Die typischen Angriffswege sind im Kern unspektakulär: Phishing, Datendiebstahl, Denial-of-Service-Angriffe, Ransomware und Schadsoftware. Das BSI beobachtet zudem, dass Angreifer Schwachstellen in Web-Angriffsflächen zunehmend ausnutzen und mit gestohlenen Daten erpressen. Für Hausverwaltungen heißt das: Nicht der ausgeklügelte Großangriff ist der Normalfall, sondern das schleichende Ausnutzen kleiner, bekannter Schwächen.

Smart Buildings: wo digital und physisch zusammenwachsen

Die Konvergenz beider Sicherheitswelten ist keine Zukunftsvision, sie ist in den meisten Portfolios bereits eingebaut. Laut der ZIA-Studie spielen Smart-Building-Technologien für die große Mehrheit der befragten Immobilienunternehmen eine Rolle, und in vielen Beständen ist bereits mindestens eine solche Technologie verbaut, die es zu schützen gilt. Dazu zählen Smart Metering, Photovoltaikanlagen, Fernzugriffe für die Heizungssteuerung und Sensorik für die vorausschauende Instandhaltung.

Jede Schnittstelle ist eine potenzielle Schwachstelle

Jede dieser vernetzten Komponenten erweitert die Angriffsfläche. Sicherheitsfachleute beschreiben drei besonders praxisnahe Szenarien:

• Manipulierte Kameras und Alarmsysteme: Angreifer versuchen, Zugang zu Überwachungskameras oder Alarmsystemen zu erlangen, um Einbrüche oder Diebstähle zu ermöglichen. Wer eine vernetzte Alarmanlage betreibt, sollte sie daher auch als IT-System behandeln.
• Manipulierte Zutrittssysteme: Die Manipulation von Zugangskontrollsystemen ist möglich und führt zu Sicherheitsrisiken für die Nutzer.
• Lahmgelegte Gebäudeautomation: Angriffe auf die Steuerung von Heizung, Lüftung und Klimaanlage mindern nicht nur den Komfort, sondern können auch Schäden an der Gebäudetechnik verursachen.

Die Folgen reichen vom Datenverlust über Betriebsstörungen und finanzielle Schäden bis hin zu Reputationsschäden; im schlimmsten Fall ist ein Unternehmen nicht mehr betriebsfähig. Umgekehrt gilt dasselbe, wie der nächste Abschnitt zeigt.

Der Weg ins Netz beginnt oft vor der Tür

Cyberangriffe beginnen nicht immer mit einer Phishing-Mail, manchmal beginnt der Angriff am Gebäude selbst. Wer unbefugt Zutritt zu Server-, Netzwerk- und Technikräumen erhält, kann dort Geräte manipulieren, Abhörkomponenten einsetzen oder Netzwerkanschlüsse nutzen. Auch Außenkomponenten wie vernetzte Zutrittsleser, Kameramasten oder Schaltschränke sind erreichbar und damit manipulierbar, wenn sie nicht gesichert sind. Gerade bei leerstehenden Objekten, bei denen unbeobachtete Zugänge zur Regel werden, lohnt sich ein strukturiertes Vorgehen, um Leerstand zu sichern, etwa mit dokumentierten Kontrollgängen.

Dass das Gebäude selbst zum Schutzobjekt der Informationssicherheit gehört, ist kein weicher Appell, sondern in den einschlägigen Rahmenwerken ausdrücklich verankert. Die Gebäudesicherheit ist damit ein fester Bestandteil jedes Informationssicherheitskonzepts, nicht ein Zusatzthema.

Was die Normen vom Gebäude verlangen

• Die ISO/IEC 27001:2022 bündelt im Anhang A die Kategorie der physischen Controls mit 14 Maßnahmen, darunter die physische Zutrittskontrolle (Control 7.2) und die physische Überwachung (Control 7.4), mit der unerlaubter Zutritt erkannt werden soll.
• Der BSI IT-Grundschutz behandelt das Gebäude als eigenständigen Baustein (INF.1 Allgemeines Gebäude) dessen Anforderungen sich auch auf Liegenschaften mit mehreren Gebäuden und auf einzeln genutzte Gebäudeteile übertragen lassen.

Für die Praxis der Hausverwaltung bedeutet das: Zutrittskontrolle, Schlüsselvergabe und die Überwachung sensibler Räume sind Bestandteile anerkannter Sicherheitsstandards. Für Organisationen, die sich an diesen Standards orientieren, sind sie keine optionalen Zusatzleistungen. Wer hier dokumentiert arbeitet, erfüllt gleichzeitig Anforderungen aus beiden Welten und schließt die Lücke, die getrennte Zuständigkeiten sonst offen lassen.

Normen und Regulierung im Überblick

Der regulatorische Rahmen für die Sicherheit vernetzter Gebäude wächst, und er stammt aus unterschiedlichen Quellen: internationale Normen, nationales Rahmenwerk und EU-Produktrecht. Wer als Hausverwaltung Dienstleister beauftragt oder Ausschreibungen formuliert, sollte wissen, welches Werkzeug welchen Geltungsbereich hat.

Der Cyber Resilience Act ist für die Immobilienwirtschaft besonders relevant, weil er Hersteller von Produkten mit digitalen Elementen verpflichtet, Sicherheit von der Entwicklung an mitzudenken, Schwachstellen während des festgelegten Unterstützungszeitraums zu behandeln und Sicherheitsupdates bereitzustellen. Für Betreiber und Verwalter dürfte damit das Sicherheitsniveau neuer Gebäudetechnik steigen. Das ersetzt aber nicht die eigene Verantwortung für einen sicheren Betrieb und eine geschützte Umgebung.

Wichtig zur Einordnung: Keines dieser Rahmenwerke verpflichtet jede Hausverwaltung unmittelbar. Der Cyber Resilience Act richtet sich vor allem an Hersteller, Importeure und Händler, die Normen sind freiwillig. Ob und in welchem Umfang sie anzuwenden sind, hängt von Größe, Branche, Verträgen und Kundenanforderungen ab und ist im Einzelfall zu prüfen. Als Orientierung, welche Maßnahmen als Stand der Technik gelten, sind sie jedoch längst der gemeinsame Nenner beider Sicherheitswelten.

Verkehrssicherungspflicht und Haftung: die physische Seite der Verantwortung

Sicherheit hat auch eine rechtliche Dimension, und die zeigt sich am deutlichsten dort, wo es um die physische Sicherheit von Menschen geht. Der Bundesgerichtshof hat mit Urteil vom 06.08.2025 (Az. VIII ZR 250/23) zum Mietrecht entschieden: Eine Wohnungseigentümerin, die ihre Wohnung vermietet, ist gegenüber ihrer Mieterin aus dem Mietvertrag zum Winterdienst verpflichtet, auch wenn die Wohnungseigentümergemeinschaft den Winterdienst einem Hausmeisterdienst übertragen hat. Für ein Verschulden dieses Dienstes muss die Vermieterin nach Paragraf 278 BGB grundsätzlich einstehen. Der BGH hat die Sache an das Landgericht zurückverwiesen, über die Haftung im konkreten Fall war damit noch nicht abschließend entschieden.

Die Kernbotschaft dieses Urteils lässt sich auf viele Bereiche der Objektbetreuung übertragen:

• Delegation entbindet nicht automatisch von der Verantwortung: Die Beauftragung eines Dienstleisters ersetzt die eigene Sorgfaltspflicht nicht ohne Weiteres.
• Im Verhältnis zwischen Vermieter und Mieter kann die Übertragung des Winterdienstes durch die Gemeinschaft den Vermieter nach dieser Entscheidung nicht entlasten, wenn der Weg tatsächlich nicht ordnungsgemäß geräumt und gestreut war.
• Dokumentation wird zum Schutzinstrument: Wer nachweisen kann, dass Räum- und Streupflichten vereinbart, kontrolliert und erbracht wurden, ist deutlich besser gestellt.

Zwei Einschränkungen sind wichtig: Erstens ist die Haftung immer im Einzelfall zu prüfen. Die Gerichte wägen Umstände wie Verursachung, Mitverschulden und Zumutbarkeit konkreter Sicherheitsmaßnahmen ab, und Räum- und Streupflichten richten sich zudem je nach Landesrecht und Satzung der Gemeinde. Dieser Artikel ersetzt keine Rechtsberatung. Zweitens zeigt das Urteil aber unabhängig vom Streitfall ein Muster, das auch für die Cybersicherheit gilt: Verantwortung lässt sich organisieren und verteilen, aber nicht ohne Weiteres abgeben. Wer Dienstleister steuert, muss deren Leistung prüfen und dokumentieren, ob bei der Objektbetreuung oder bei der Sicherheit vernetzter Systeme.

Ganzheitlich denken: Sicherheitskonzept für Hausverwaltungen

Wenn digitale und physische Sicherheit am selben Schutzziel hängen, dann braucht es auch ein Konzept, das beide Seiten zusammenführt. Die gute Nachricht: Viele Bausteine eines solchen Konzepts sind organisatorischer Natur und lassen sich ohne große Investitionen etablieren. Die ZIA-Studie betont dazu den Faktor Mensch als potenzielles Einfallstor und hält Risikoaufklärung sowie kontinuierliche Schulungen der Mitarbeitenden für essenziell.

• Zutritts- und Schlüsselmanagement als Fundament: kontrollierte Technik-, Server- und Netzwerkräume, dokumentierte Schlüsselvergabe und klare Regeln für Fremdpersonal, wie es auch die physischen Controls der ISO/IEC 27001:2022 vorsehen.
• Regelmäßige Wartung und Dokumentation technischer Anlagen: Wer Prüfungen und Instandhaltungen nachvollziehbar belegt, sichert den Betrieb und schafft die Grundlage, im Schadensfall Verantwortung darzulegen; dazu gehören auch die Prüfung von Brandschutztüren und die Wartung der Brandmeldeanlage.
• Geordnete Außenanlagen und ein zuverlässiger Winterdienst als Bausteine der Verkehrssicherung, mit vereinbarten Räum- und Streupflichten und dokumentierter Erbringung.
• Awareness der Mitarbeitenden: regelmäßige Schulungen zu Phishing und sicheren Passwörtern, denn oft sind es menschliche Fehler, die Sicherheitslücken öffnen.
• Notfall- und Reaktionspläne für den Cyberfall: ein vorab abgestimmter und eingeübter Incident-Response-Plan, der Isolierung infizierter Systeme, Datenwiederherstellung und Kommunikation festlegt.

Ein ganzheitliches Konzept ersetzt die Frage „Cyber oder physisch?“ durch die Frage „Wer schützt was vor welchem Risiko, und wer prüft es?“. Genau an dieser Schnittstelle setzt professionelle Unterstützung an: Ein Gebäudedienstleister, der physische Sicherheitsleistungen und Objektbetreuung aus einer Hand anbietet, kann Zutrittskontrolle, Wartung, Außenanlagen und Winterdienst so organisieren, dass sie die Anforderungen der Informationssicherheit unterstützen. Die IT-Sicherheit selbst bleibt dabei Aufgabe der zuständigen IT-Fachleute. SVEAG begleitet Hausverwaltungen, WEGs und Eigentümer auf diesem Weg, vom Sicherheitsdienst für das Objekt bis zum Winterdienst als Baustein der Verkehrssicherung. Unser Team hilft dabei, beide Sicherheitswelten in einem Gebäude zusammenzuführen.

Stand: Oktober 2026

Häufige Fragen

Was ist der Unterschied zwischen Cybersecurity und physischer Sicherheit?

Cybersicherheit schützt Daten, Systeme und Netzwerke vor digitalen Angriffen wie Phishing oder Ransomware. Physische Sicherheit schützt Gebäude, Anlagen und Menschen vor unbefugtem Zutritt, Diebstahl, Vandalismus oder Witterungsschäden. In vernetzten Gebäuden hängen beide Bereiche zusammen, weil digitale Systeme wie Zutrittskontrolle oder Gebäudeautomation physisch betrieben werden und umgekehrt.

Warum ist Cybersicherheit für Hausverwaltungen wichtig?

Die Immobilienwirtschaft rückt durch Smart-Building-Technologien und Digitalisierung ins Visier von Cyberkriminalität. Laut BSI-Lagebericht 2025 blieb die Lage angespannt, mit 950 angezeigten Ransomware-Angriffen im Berichtszeitraum. Eine Studie des Zentralen Immobilien Ausschusses (ZIA) aus dem Jahr 2023 zeigt zudem, dass nur eine Minderheit der Unternehmen den Schutz ihrer Gebäudetechnik strategisch angegangen ist.

Wie hängen IT-Sicherheit und Gebäudeschutz zusammen?

IT-Sicherheit und Gebäudeschutz greifen in vernetzten Gebäuden ineinander. Wer unbefugt einen Server-, Netzwerk- oder Technikraum betritt, kann Geräte manipulieren, Daten entwenden oder Schadsoftware einbringen. Umgekehrt können digitale Angriffe auf Zutrittssysteme, Kameras oder die Gebäudeautomation Türen öffnen, Alarme ausschalten oder Anlagen stören. Die ISO/IEC 27001:2022 enthält deshalb in Anhang A eine eigene Kategorie mit 14 physischen Controls, darunter die Zutrittskontrolle und die physische Überwachung von Räumlichkeiten. Auch der IT-Grundschutz des BSI behandelt das Gebäude als eigenen Baustein. Für Hausverwaltungen bedeutet das: Schlüsselmanagement, gesicherte Technikräume und dokumentierte Kontrollgänge sind zugleich Beiträge zur Informationssicherheit. Welche Maßnahmen im Einzelnen sinnvoll sind, hängt vom Objekt und seiner Technik ab.

Kann Cybersecurity die physische Sicherheit ersetzen oder umgekehrt?

Nein, keine der beiden Seiten kann die andere ersetzen. Eine gut abgesicherte IT nützt wenig, wenn Unbefugte ungehindert in den Technikraum gelangen und dort Geräte manipulieren oder Netzwerkanschlüsse nutzen. Umgekehrt schützen verschlossene Türen und Kontrollgänge nicht vor Phishing, Ransomware oder einem Angriff auf die Fernsteuerung der Heizung. Beide Bereiche decken unterschiedliche Angriffswege ab und ergänzen sich. Sinnvoll ist daher ein gemeinsames Konzept, das festlegt, wer welches Risiko verantwortet, wer die Maßnahmen prüft und wie Vorfälle dokumentiert werden. Für Hausverwaltungen und Eigentümer heißt das in der Praxis: Gebäudetechnik, Zutritt und IT nicht getrennt planen, sondern Zuständigkeiten an den Schnittstellen klar regeln und regelmäßig überprüfen.

Kann das eine das andere ersetzen?

Nein. Cybersecurity und physische Sicherheit sind keine Alternativen, sondern zwei Seiten desselben Schutzziels: Beide schützen dasselbe Objekt und dieselben Menschen. Eine abgesicherte Verwaltungssoftware hilft wenig, wenn Unbefugte über einen ungesicherten Netzwerkschrank im Treppenhaus oder einen offenen Technikraum Zugang zum Netzwerk erhalten. Umgekehrt verhindern verschlossene Türen weder Phishing noch die Manipulation vernetzter Zutrittssysteme, Kameras oder der Gebäudeautomation. Auch die ISO/IEC 27001:2022 und der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) behandeln den baulichen Schutz als festen Bestandteil der Informationssicherheit. Für Hausverwaltungen, WEGs und Eigentümer empfiehlt sich daher ein gemeinsames Konzept mit klar geregelten Zuständigkeiten an den Schnittstellen. Welche Maßnahmen im Einzelnen sinnvoll sind, ist je nach Objekt und vorhandener Technik zu prüfen.

Welche Normen regeln die physische Sicherheit im Rahmen der Informationssicherheit?

International maßgeblich ist die freiwillige ISO/IEC 27001:2022 für Informationssicherheits-Managementsysteme, deren Anhang A auch physische Controls umfasst. In Deutschland ergänzt der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) diesen Rahmen, etwa mit dem Baustein INF.1 Allgemeines Gebäude. Für Hersteller von Produkten mit digitalen Elementen kommt der Cyber Resilience Act der EU hinzu, dessen Anforderungen überwiegend ab Dezember 2027 gelten.

Haftet der Vermieter, wenn der Winterdienst an einen Dienstleister übertragen ist?

Das ist im Einzelfall zu prüfen. Nach dem Urteil des BGH vom 06.08.2025 (Az. VIII ZR 250/23) bleibt ein vermietender Wohnungseigentümer gegenüber seinem Mieter aus dem Mietvertrag zum Winterdienst verpflichtet, auch wenn die Gemeinschaft einen Hausmeisterdienst beauftragt hat. Für dessen Verschulden muss er grundsätzlich einstehen. Ob im konkreten Fall gehaftet wird, hängt von den Umständen ab, etwa von Witterung, Mitverschulden und den Räum- und Streupflichten je nach Landesrecht und Satzung.

Ab wann gilt der Cyber Resilience Act für Gebäudetechnik?

Der Cyber Resilience Act ist im Dezember 2024 in Kraft getreten. Die Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten seit dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027. Er betrifft Produkte mit digitalen Elementen, also auch vernetzte Gebäudetechnik wie Zutrittssysteme, Kameras oder Gebäudeautomation. Hersteller müssen unter anderem einen Unterstützungszeitraum festlegen, in dem sie Sicherheitsupdates bereitstellen; er beträgt grundsätzlich mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist.

Was gehört in ein ganzheitliches Sicherheitskonzept für Gebäude?

Ein Konzept sollte beide Ebenen verbinden: physisch etwa Zutritts- und Schlüsselmanagement, gesicherte Technikräume, geordnete Außenanlagen, regelmäßige Wartung und einen zuverlässigen Winterdienst zur Erfüllung der Verkehrssicherungspflicht. Digital gehören Firewall, Zugangsbeschränkungen, Updates, Sensibilisierung der Mitarbeitenden sowie ein eingeübter Notfall- und Reaktionsplan dazu.