Höhere Cybersicherheit in der Immobilienwirtschaft Smart Buildings vor Cyberangriffen schützen

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Von sensorgesteuerter Hausautomation bis hin zur Photovoltaikanlage: In Gebäuden steckt immer mehr Technologie, die sowohl Bestandsimmobilien als auch Neubauten zum Smart Building werden lässt. Die Vernetzung von Geräten und Systemen bringt jedoch nicht nur Annehmlichkeiten mit sich, sondern erfordert auch mehr Sicherheit. Wie Immobilienunternehmen sich jetzt bestmöglich vor Cyberangriffen schützen.

Für 89 Prozent der Immobilienunternehmen spielen Smart-Building-Technologien eine Rolle und bei 69 Prozent ist in den Immobilien mindestens eine Smart-Building-Technologie verbaut, die es zu schützen gilt. Zu diesem Ergebnis kommt die aktuelle Studie „Cyber Security in der Immobilienwirtschaft“, die KPMG gemeinsam mit dem ZIA Zentraler Immobilien Ausschuss e. V. umgesetzt hat. Die in der Immobilienwirtschaft integrierten Technologien reichen dabei von ERP-Systemen und weiteren, oftmals vernetzten IT-Systemen und -Applikationen bis hin zu technischen Einbauten in den Gebäuden, die über einen webbasierten Zugang verfügen, und daher relevant in Bezug auf Cybersicherheit sind. Beispiele dafür sind Lösungen für Verbrauchsmessungen (Smart Metering), Photovoltaikanlagen, Fernzugriffe für Heizungssteuerung oder Sensorik für Predictive Maintenance (vorausschauende Instandhaltung).

Gebäudetechnik vor Cyberangriffen selten geschützt

Die Cyberrisiken, die mit dem vermehrten Einsatz von Smart-Building-Technologie einhergehen, werden jedoch häufig noch unterschätzt. So haben laut der aktuellen Studie fast 80 Prozent der Unternehmen keine unternehmensweite Strategie zum Schutz der Gebäudetechnik vor Cyberangriffen. Und dass, obwohl derlei Attacken zur Alltag gehören: Konkret hat jedes der befragten Unternehmen (100 Prozent) mit mehr als 500 Mitarbeitenden Kenntnis darüber, dass die unternehmenseigenen Systeme oder Systeme der (IT-)Dienstleister bereits Ziel von Cyberattacken waren. Bei Unternehmen mit mehr als 150 Mitarbeitenden sind es immerhin 70 Prozent. Doch trotz des steigenden Risikos, dessen sich die meisten der befragten Immobilienunternehmen bewusst sind (93 Prozent), ergreifen sie nur selten proaktiv Maßnahmen zur Verbesserung ihrer IT-Sicherheit. Das muss sich angesichts der Gefahrenlage dringend ändern.

Zwar sind die unmittelbaren Bedrohungen wie Datendiebstahl, Phishing, Denial-of-Service-Angriffe und Ransomware-Angriffe und Malware leicht erkennbar. Mit der zunehmenden Digitalisierung und Vernetzung von Gebäuden und Anlagen steigt jedoch auch das Risiko von Cyberangriffen auf die Infrastruktur. Ein Beispiel sind Angriffe auf die Gebäudeautomation, welche die Steuerung von Heizung, Lüftung und Klimaanlage stören können. Dies mindert nicht nur den Komfort für die Nutzer, sondern führt auch zu Schäden an der Gebäudetechnik. Ein weiteres Beispiel sind Angriffe auf die Sicherheitssysteme von Gebäuden. Hier können Hacker versuchen, Zugang zu Überwachungskameras oder Alarmsystemen zu erlangen, um Einbrüche oder Diebstähle zu ermöglichen. Auch die Manipulation von Zugangskontrollsystemen ist möglich, was zu Sicherheitsrisiken für die Nutzer führen kann. Die Folgen von Cyberangriffen können dabei gravierend sein, angefangen vom Datenverlust über Betriebsstörungen bis hin zu finanziellen Schäden und Reputationsschäden. Im schlimmsten Fall ist das Unternehmen nicht mehr betriebsfähig.

Sicherheit für Immobilien technisch und organisatorisch erhöhen

Unternehmen der Immobilienwirtschaft, aber auch Unternehmen, die Immobilien besitzen in Form von Filialen oder Ähnlichem, sollten nun in den verschiedenen Handlungsfeldern – Unternehmen, Immobilie und Mitarbeitende – geeignete Cyber-Sicherheitsmaßnahmen ergreifen, um Angriffe auf ihre IT-Infrastruktur zu verhindern. Dazu gehören eine Reihe technischer Standard-Schutzmaßnahmen wie einer Firewall, die den Datenverkehr zwischen dem internen Netzwerk und dem Internet überwacht und unautorisierte Zugriffe blockiert. Außerdem erhöhen eine Antivirus-Software, die Verschlüsselung von Daten, regelmäßige Updates von Betriebssystemen und Anwendungen sowie Zugangsbeschränkungen etwa durch Zwei-Faktor-Authentifizierung oder Zugangskontrollen, um den Zugriff auf sensible Daten und Systeme zu beschränken, die Sicherheit. Neben den technischen Maßnahmen sind auch organisatorische Vorkehrungen zu treffen. So sollten die Mitarbeitenden für die Cyber Security im eigenen Unternehmen sensibilisiert werden. Denn oft sind es menschliche Fehler, die zu Sicherheitslücken führen. Mitarbeitende sollten daher regelmäßig geschult werden, um sichere Passwörter zu verwenden, verdächtige E-Mails zu erkennen und auf Phishing-Attacken zu reagieren. Im Fall der Fälle hilft dann auch ein vorab abgestimmter und vor allem eingeübter Incident-Response-Plan. Der entscheidende Notfallplan legt fest, wie auf Cyberangriffe reagiert werden soll. Er umfasst Maßnahmen wie die Isolierung von infizierten Systemen, die Wiederherstellung von Daten und die Kommunikation mit betroffenen Parteien.

Regulatorische Anforderungen erfüllen

Neben den selbst zu initiierenden Schutzmaßnahmen fordert auch der Gesetzgeber in vielen Konstellationen den Schutz von Daten und Systemen. Es existieren verschiedene regulatorische Anforderungen für Cyber Security von der EU-Datenschutzverordnung (DSGVO) bis hin zum IT-Sicherheitsgesetz, die je nach Branche und Region variieren. Wichtigste EU-Regulierung auf diesem Gebiet ist der Digital Operational Resilience Act (DORA). Im Januar 2023 in Kraft getreten, ist die Verordnung Teil des digitalen Finanzpakets der EU-Kommission und hat das Ziel, die digitale Widerstandsfähigkeit des europäischen Finanzmarkts zu erhöhen. DORA soll sicherstellen, dass Marktteilnehmer auch bei größeren Vorfällen, die die Informations- und Kommunikationstechnologie (IKT) betreffen, sicher und zuverlässig weiterarbeiten können. Die gesetzlichen Anforderungen an Cybersicherheit wie Verschlüsselungen im Netzwerk müssen nicht nur Finanzdienstleister, Versicherungen und IKT-Drittanbieter selbst künftig erfüllen, sondern auch eine große Anzahl von Marktteilnehmern aus der Immobilienwirtschaft, da sie die Infrastruktur für diese Unternehmen bereitstellen. Sie sollten daher nun die Übergangsfrist bis Januar 2025 bis zur vollständigen Umsetzung von DORA nutzen und End-to-end-Sicherheit breiter denken als bislang.

Cybersecurity als Business-Chance

Wer sich jetzt im Bereich Cybersicherheit gut aufstellt, erfüllt nicht nur regulatorische Anforderungen und schützt seine Immobilien vor den stetig wachsenden Risiken durch Cyberangriffe. Unternehmen der Immobilienwirtschaft können sich zudem weiterentwickeln und für Mieter attraktiver werden, wenn sie Immobilien mit dem höchsten Sicherheitsstandard bieten. Mithilfe des Ansatzes Security by Design etwa, können sie selbst Sicherheits­an­for­de­rung­en definieren und diese bei der Einrichtung ihrer IT-Infrastruktur von Beginn an berücksichtigen. Darüber hinaus definieren sie, wie sich bestehende Anwendungen zu einem späteren Zeitpunkt entsprechend der Sicherheitsvorgaben weiterentwickeln oder ergänzen lassen. Security by Design ermöglicht dadurch eine integrierte und nahtlose Zusammenarbeit zwischen operativem Management sowie IT und Security und minimiert Sicherheitslücken. Auch neue regulatorische Anforderungen lassen sich bei derart aufgebauten IT-Strukturen leichter und schneller umsetzen.

Über die Autoren

Christian Nern ist Partner und Head of Security bei KPMG im Bereich Financial Services in München. Vor seiner Tätigkeit bei KPMG hat der Diplom-Kaufmann 25 Jahre lang in exponierten Leadership-Positionen verschiedener Bereiche in der IT-Industrie gearbeitet.

Robert Betz ist Partner und Head of Digital Real Estate bei KPMG im Bereich Financial Services in München. Sein Schwerpunkt ist die Steigerung der Operational Excellence durch die intelligente Verknüpfung der Daten von Unternehmen, Gebäuden und Menschen.

(ID:49957463)