Sicherheitstechnik und Cyber Security: warum beides in ein Konzept gehört

Warum Sicherheitstechnik heute Teil der IT ist

Sicherheitstechnik und Cyber Security gehören in ein gemeinsames Konzept, weil beide heute auf derselben Technik beruhen. Eine moderne Kamera, ein Türcontroller oder eine Alarmzentrale ist kein abgeschlossenes System mit eigener Verkabelung mehr, sondern ein Gerät mit IP-Adresse, Weboberfläche, Betriebssystem und oft einer App- oder Cloud-Anbindung. Auch die Gebäudeautomation für Heizung, Lüftung, Licht und Beschattung läuft zunehmend über dasselbe Netzwerk wie die Büro-IT.

Damit lassen sich physische Sicherheit und Cyber Security nicht mehr getrennt planen. Ist eine Kamera schlecht abgesichert, gefährdet sie das Büronetz. Wird das IT-Netz angegriffen, können auch Türen, Aufzeichnungen und Alarmmeldungen betroffen sein. Wer nur eine Seite schützt, lässt die andere offen.

Welche Geräte zur vernetzten Sicherheitstechnik gehören

• Videoüberwachung: IP-Kameras, Rekorder (NVR), Videomanagement-Server und Apps zur Bildansicht.
• Zutrittskontrolle: Kartenleser, Türcontroller, Verwaltungssoftware, Gegensprechanlagen und Schrankensteuerungen.
• Alarmanlagen: Zentralen mit Netzwerk- oder Mobilfunkmodul, Bedien-Apps und die Anbindung an eine Alarmempfangsstelle.
• Gebäudeautomation: Steuerungen für Heizung, Lüftung, Licht, Beschattung und Aufzüge, etwa über KNX IP oder BACnet/IP.
• Infrastruktur: PoE-Switches, WLAN-Access-Points, Router und die Verkabelung, die alles miteinander verbindet.

Wo die Lücken zwischen den Gewerken entstehen

An einem Gebäude arbeiten meist mehrere Firmen: Der Elektriker verlegt die Kabel, der Errichter montiert Kameras und Leser, ein IT-Dienstleister betreut das Netzwerk, und die Gebäudeautomation kommt von einem weiteren Unternehmen. Jeder erledigt seinen Teil sorgfältig. Die Lücken liegen dazwischen, bei Aufgaben, die niemand ausdrücklich übernommen hat.

Typische Angriffswege aus der Praxis

Die folgenden Szenarien sind bewusst einfach gehalten, denn viele Vorfälle beginnen ähnlich unspektakulär. Keines davon erfordert ausgefeilte Werkzeuge, nur eine Lücke, die niemandem aufgefallen ist.

Von der Kamera ins Büronetz

Eine Kamera mit Standardpasswort ist über eine Portfreigabe aus dem Internet erreichbar. Automatisierte Scanner finden sie, und weil sie im selben Netz wie PCs und Server hängt, wird sie zum Ausgangspunkt für weitere Angriffe. Das Botnetz Mirai hat schon 2016 gezeigt, wie viele Kameras und Rekorder sich allein mit Standardpasswörtern übernehmen lassen.

Über Fernzugänge von Errichtern und Dienstleistern

Für die Wartung hat der Errichter der Alarmanlage oder der Gebäudeautomation oft einen dauerhaften Zugang ins Gebäude, manchmal über einen eigenen Mobilfunkrouter an der Firewall vorbei. Werden seine Zugangsdaten gestohlen, sind Angreifer im Netz. Ein viel zitiertes Beispiel ist ein Angriff auf eine US-Handelskette im Jahr 2013: Medienberichten zufolge verschafften sich die Täter den ersten Zugang mit gestohlenen Zugangsdaten eines Kälte- und Klimatechnik-Dienstleisters. Dieser Zugang diente nicht der Fernwartung, sondern der Abrechnung und Projektabwicklung. Jeder externe Zugang ist also nur so sicher, wie der Dienstleister seine Zugangsdaten schützt.

Physischer Zugang zum Netzwerk

Eine ungenutzte, aber aktive Netzwerkdose im Besprechungsraum, ein offener Netzwerkschrank oder eine Außenkamera mit erreichbarem Kabel: Wer dort einen Laptop ansteckt, landet womöglich direkt im internen Netz. Auch Kartenleser können ein Schwachpunkt sein. Ältere 125-kHz-Karten lassen sich leicht kopieren, und die klassische Wiegand-Verbindung zwischen Leser und Controller ist unverschlüsselt. Aktuelle verschlüsselte Kartentechnik und eine gesicherte Leseranbindung, etwa OSDP mit Secure Channel, verringern dieses Risiko.

Vom IT-Netz zu Türen und Aufzeichnungen

Auch der umgekehrte Weg kommt vor. Verschlüsselt Ransomware den Server mit der Videomanagement- oder Zutrittssoftware, können Aufzeichnungen verloren gehen, und Berechtigungen lassen sich nicht mehr ändern, etwa um eine verlorene Karte zu sperren. Sicherheitstechnik ist nur so verfügbar wie die IT, auf der sie läuft.

Das gemeinsame Sicherheitskonzept in fünf Bausteinen

Ein gemeinsames Konzept muss kein dickes Dokument sein. Entscheidend ist, dass physische und IT-Sicherheit zusammen betrachtet werden und jede Aufgabe eine zuständige Person hat.

1. Bestandsaufnahme: Erfassen Sie jedes vernetzte Gerät mit Standort, Modell, Firmware-Stand, IP-Adresse, Zuständigkeit und Supportzeitraum. Ohne diese Liste funktioniert nichts anderes.
2. Segmentierung: Trennen Sie Kameras, Zutrittskontrolle, Alarmanlage und Gebäudeautomation von der Büro-IT und voneinander. Jedes System erhält ein eigenes Netzsegment, Verbindungen dazwischen laufen nur über Firewall-Regeln. Wie das geht, erklärt unser Beitrag zu VLANs und Netzwerksegmentierung.
3. Zuständigkeiten: Legen Sie für jedes System schriftlich fest, wer für Firmware, Passwörter, Netzwerkkonfiguration und Fernzugriff verantwortlich ist, auch bei externen Firmen.
4. Dokumentation: Halten Sie Netzpläne, Gerätelisten, Konten und Firewall-Regeln an einem Ort und aktualisieren Sie sie nach jeder Änderung.
5. Monitoring: Überwachen Sie die Erreichbarkeit der Geräte, Sabotagemeldungen, fehlgeschlagene Anmeldungen und ungewöhnliche Verbindungen, etwa wenn eine Kamera plötzlich Kontakt ins Internet aufnimmt.

Für die Kameras selbst listet unser Leitfaden zum Absichern von IP-Kameras zehn konkrete Maßnahmen auf. Auch NIS2 verbindet beide Welten: Die Richtlinie verlangt Risikomanagementmaßnahmen nach einem gefahrenübergreifenden Ansatz, der ausdrücklich auch die physische Umgebung der IT-Systeme schützt. In Österreich wurde sie mit dem NISG 2026 umgesetzt. Ob Ihr Unternehmen betroffen ist, erklärt unser Beitrag NIS2 für KMU; für Ihren konkreten Fall empfiehlt sich eine rechtliche Beratung.

Checkliste: Arbeiten Sicherheitstechnik und IT bei Ihnen zusammen?

Mit diesen Fragen sehen Sie schnell, wo in Ihrem Unternehmen Handlungsbedarf besteht:

1. Gibt es eine vollständige Liste aller vernetzten Geräte der Sicherheits- und Gebäudetechnik?
2. Sind Kameras, Zutrittskontrolle und Gebäudeautomation von der Büro-IT getrennt?
3. Ist für jedes System klar, wer Firmware-Updates einspielt und Passwörter ändert?
4. Wie greifen externe Firmen aus der Ferne zu, und wird dieser Zugriff protokolliert?
5. Sind ungenutzte Netzwerkdosen deaktiviert und Netzwerkschränke sowie Rekorder versperrt?
6. Würden Sie bemerken, wenn eine Kamera ausfällt oder eine unbekannte Adresse kontaktiert?
7. Kennen sich IT-Dienstleister und Errichter, und stimmen sie Änderungen miteinander ab?

Fazit: ein Konzept, klare Zuständigkeiten

Physische Sicherheit und Cyber Security schützen dasselbe Unternehmen, dieselben Daten und oft dasselbe Netzwerk. Wer beides gemeinsam plant, schließt die Lücken zwischen den Gewerken und macht Zuständigkeiten sichtbar. Am besten beginnt das bereits bei der Planung eines Gebäudes oder einer Anlage. Q-entra verbindet Videoüberwachung und weitere Sicherheitstechnik mit Cyber Security, sodass beide Seiten als ein Konzept geplant und umgesetzt werden können.