Fernzugriff auf eine KNX-Anlage ist praktisch: Störungen lassen sich eingrenzen, ohne anzufahren, kleine Änderungen dauern Minuten statt eines halben Tages. Er ist zugleich der Punkt, an dem aus einer Gebäudeautomation ein Sicherheitsproblem wird – und an dem Sie als Betrieb in der Verantwortung stehen.
Diese Übersicht ordnet die Zugangswege und benennt, was geregelt sein muss.
Was schiefgehen kann
Eine KNX-Anlage steuert Licht, Beschattung, Heizung – und in vielen Fällen auch Zutritt und Alarm. Wer Zugriff auf den Bus hat, kann die Anlage bedienen. Bei einer Anlage mit Zutrittskontrolle bedeutet das im Extremfall: Türen öffnen.
Dazu kommt der Datenschutzaspekt: Präsenzmelder und Verbrauchsdaten lassen Rückschlüsse auf Anwesenheit zu. Das sind personenbezogene Daten.
Die Zugangswege, geordnet nach Risiko
Nicht vertretbar: Portweiterleitung auf das IP-Interface
Ein KNX-IP-Interface, das über eine Portweiterleitung aus dem Internet erreichbar ist. Kommt in Bestandsanlagen vor, oft als „schnelle Lösung" eingerichtet.
Warum nicht: KNXnet/IP kennt in der Grundform keine Authentifizierung. Wer den Port findet, hat Vollzugriff auf den Bus. Solche Interfaces sind über Suchmaschinen für vernetzte Geräte auffindbar.
Wenn Sie das bei einer Bestandsanlage vorfinden: dokumentieren, den Kunden schriftlich informieren und die Portweiterleitung schließen.
Vertretbar mit Einschränkungen: Herstellercloud
Viele Hersteller bieten Fernzugriff über ihre eigene Infrastruktur an. Bequem und ohne Netzwerkkenntnisse einzurichten.
Vorteile: Kein offener Port, verschlüsselte Verbindung, Zugriffskontrolle über ein Konto.
Nachteile: Sie sind vom Hersteller abhängig – technisch und rechtlich. Die Verbindung läuft über dessen Server. Für gewerbliche Objekte ist zu prüfen, wo diese Server stehen und was in den Nutzungsbedingungen steht.
Was Sie klären müssen: Wer hat Zugang zum Konto? Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt?
Empfohlen: VPN zum Kundennetz
Ein VPN-Zugang auf den Router des Kunden, von dort aus Zugriff auf das IP-Interface im lokalen Netz.
Vorteile: Kein offener KNX-Port. Der Zugang ist an ein Zertifikat oder einen Schlüssel gebunden. Der Kunde kann ihn jederzeit deaktivieren. Kein Dritter dazwischen.
Nachteile: Setzt einen VPN-fähigen Router voraus und etwas Netzwerkkenntnis. Und: Sie sind im Kundennetz, nicht nur an der Anlage – das sollte im Vertrag stehen.
Best Practice: Zugang für den Termin freischalten, danach schließen. Nicht dauerhaft offen halten.
Am sichersten: Begleitete Bildschirmfreigabe
Der Kunde oder Ihr Monteur sitzt vor Ort am Laptop, Sie schauen per Bildschirmfreigabe zu und geben Anweisungen oder übernehmen kurzzeitig.
Vorteile: Kein permanenter Zugang, volle Transparenz, der Kunde sieht jeden Schritt. Rechtlich der unproblematischste Weg.
Nachteile: Es muss jemand vor Ort sein. Für die klassische Fernwartung ohne Personal ungeeignet.
KNX Secure
Seit einigen Jahren gibt es KNX Data Secure (verschlüsselte Telegramme auf dem Bus) und KNX IP Secure (verschlüsselte Kommunikation über IP).
Was es bringt: Schutz gegen Mitlesen und Einspielen von Telegrammen. Für Anlagen mit Zutrittskontrolle oder Alarm sinnvoll.
Was es nicht ersetzt: Einen sicheren Fernzugang. Secure schützt die Kommunikation, nicht den Zugangsweg.
Praktische Einschränkung: Alle beteiligten Geräte müssen Secure unterstützen. In gemischten Anlagen ist das oft nicht der Fall, und eine teilweise Absicherung bringt begrenzten Nutzen.
Was vertraglich geregelt sein muss
Fernzugriff ist nicht nur ein technisches Thema:
Auftragsverarbeitungsvertrag (AVV). Wenn Sie Zugriff auf Daten haben, die Rückschlüsse auf Personen zulassen – und Präsenzdaten tun das –, brauchen Sie einen AVV mit dem Kunden. Das gilt auch bei privaten Bauherren, wenn Sie gewerblich handeln.
Umfang des Zugriffs. Was dürfen Sie, was nicht. Nur lesen oder auch ändern. Nur die KNX-Anlage oder das ganze Netz.
Protokollierung. Wann wurde zugegriffen, von wem, was wurde geändert. Das schützt beide Seiten.
Beendigung. Was passiert mit den Zugangsdaten, wenn die Zusammenarbeit endet. Diese Regelung fehlt fast immer und ist genau die, die im Streitfall gebraucht wird.
Eine Empfehlung für den Alltag
Für die meisten Betriebe reicht diese Kombination:
- VPN zum Kundennetz, vom Kunden für den Termin freigeschaltet
- Keine dauerhaft offenen Zugänge – auch nicht bei Wartungsverträgen
- AVV vor dem ersten Zugriff, als Standarddokument
- Protokoll über jeden Zugriff, formlos genügt
- Bei sicherheitsrelevanten Anlagen zusätzlich KNX Secure
