„Ist mein Smart Home hackbar?“ – eine berechtigte Frage, die uns Bauherren und Betreiber regelmäßig stellen. Die KNX Association hat darauf mit KNX Secure geantwortet. Aber wie bei vielen Sicherheitsthemen gilt: Die Technik ist nur ein Teil der Antwort. Hier die ehrliche Einordnung aus der Praxis.
Zwei Dinge, die oft verwechselt werden
KNX Secure ist ein Oberbegriff für zwei unterschiedliche Mechanismen:
| KNX IP Secure | KNX Data Secure | |
|---|---|---|
| Schützt | die Kommunikation über IP-Netzwerke (Tunneling, Routing zwischen Linien, ETS-Zugriff) | die Nutzdaten auf dem Bus – Ende-zu-Ende zwischen Geräten, auch auf TP und RF |
| Wo relevant | IP-Schnittstellen, IP-Router, Visualisierungsserver, Gateways | Geräte, die verschlüsselt miteinander sprechen sollen (Taster ↔ Aktor) |
| Voraussetzung | Secure-fähige IP-Geräte | Secure-fähige Geräte auf beiden Seiten jeder Gruppenadresse |
| Wirkung | Niemand im Netzwerk kann mitlesen oder Telegramme einspeisen | Telegramme sind verschlüsselt und authentifiziert – auch wer Zugang zur Busleitung hat, kann nichts Sinnvolles senden |
IP Secure ist in fast jeder Anlage mit IP-Anbindung sinnvoll – der Mehraufwand ist gering, die Geräte gibt es von allen Herstellern, und das Netzwerk ist nun einmal der häufigste Angriffsweg.
Data Secure lohnt sich dort, wo die Busleitung physisch zugänglich ist: Außenbereich, Tiefgarage, Hotelflure, Mietobjekte, öffentliche Gebäude. Ein Bewegungsmelder an der Fassade oder ein Taster im Treppenhaus ist ohne Data Secure ein potenzieller Eintrittspunkt für alles, was am selben Bus hängt – inklusive Tor und Haustür.
Wann ist KNX Secure Pflicht?
Eine gesetzliche Pflicht gibt es für Wohngebäude nicht. In der Praxis wird Secure aber zunehmend vorausgesetzt:
- bei Türkommunikation, Zutritt und Toren über KNX (Versicherungen fragen nach),
- in Gewerbe, Praxen und öffentlichen Gebäuden mit IT-Sicherheitsrichtlinien,
- bei Fernzugriff über das Internet – hier zusammen mit einem VPN,
- in Ausschreibungen größerer Objekte zunehmend als Standardforderung.
Für das Einfamilienhaus lautet unsere Empfehlung: IP Secure ja, Data Secure für alle Außen- und sicherheitsrelevanten Funktionen – Innenbeleuchtung muss nicht verschlüsselt werden.
Was kostet es?
- Geräte: Secure-fähige Taster, Aktoren und Schnittstellen kosten je nach Hersteller 0–20 % mehr als ihre Pendants ohne Secure. Viele aktuelle Serien (MDT, Gira, JUNG, ABB, Theben, Weinzierl …) sind ohnehin Secure-fähig.
- Planung & Programmierung: Secure erfordert ETS 5.7+ bzw. ETS 6, sauberes Schlüsselmanagement (Gerätezertifikate/FDSK, Projektpasswort) und bei Data Secure die gezielte Zuordnung pro Gruppenadresse. Wir kalkulieren dafür wenige Stunden Mehraufwand – nicht Tage.
- Nachrüstung im Bestand: teuer, weil Data Secure auf beiden Seiten einer Gruppenadresse Secure-Geräte braucht. Im Bestand konzentrieren wir uns daher auf IP Secure, Netzwerkabsicherung und die Außenlinie.
Drei Dinge, die wichtiger sind als KNX Secure
In rund neun von zehn Anlagen, die wir übernehmen, liegt das reale Risiko nicht auf dem Bus – sondern hier:
1. Kein offener Port ins Internet
Der Klassiker: Die IP-Schnittstelle oder der Visualisierungsserver wurde per Portweiterleitung im Router erreichbar gemacht, „damit die App von unterwegs geht“. Oft mit Standardpasswort. Das ist das Äquivalent zum offenen Fenster im Erdgeschoss. Lösung: VPN (WireGuard auf Fritz!Box, UniFi oder einem kleinen Gateway) – oder ein herstellerseitiger Cloud-Zugang mit Zwei-Faktor-Authentifizierung, wenn Sie ihm vertrauen.
2. Eigenes Netz für die Gebäudetechnik
KNX-IP-Geräte, Visualisierung, Kameras und Wärmepumpe gehören in ein separates VLAN oder mindestens in einen eigenen IP-Bereich – getrennt von Laptops, Smart-TVs und Gästen. Der Fernseher mit ungepatchter Firmware sollte den KNX-Router nicht sehen können.
3. Passwörter und Firmware
Standardpasswörter auf IP-Schnittstellen, Visu-Servern und Gateways ändern, Firmware-Updates einplanen, nicht benötigte Dienste (Telnet, FTP, UPnP) abschalten. Klingt banal, wird aber bei der Inbetriebnahme am häufigsten vergessen.
Unsere Empfehlung in einem Satz
Neuanlage: IP Secure immer, Data Secure für Außen-, Zutritts- und Sicherheitsfunktionen, VPN statt Portweiterleitung, eigenes Netz für die Gebäudetechnik, Schlüssel in der Doku. Bestand: Zuerst Netzwerk und Fernzugriff absichern, dann IP Secure, Data Secure nur bei Gelegenheit (Außenlinie, Erweiterung).
Wenn Sie unsicher sind, wie es um Ihre Anlage steht: Ein Blick ins Projekt und in die Router-Konfiguration genügt uns meist, um das Risiko realistisch einzuschätzen.
