Cybersicherheit bei Aufzügen: was Betreiber wirklich tun müssen

Worum es geht, und worum nicht

Es geht nicht um Datenschutz und nicht um Ihre Unternehmens-IT, sondern um die Frage, ob jemand über einen digitalen Weg Menschen gefährden kann.

Die Logik dahinter ist einfacher, als der Begriff vermuten lässt. Die Betriebssicherheitsverordnung verlangt vom Betreiber, alle Gefährdungen zu beurteilen, die von seiner Anlage ausgehen können. Enthält eine Aufzugssteuerung digitale Bauteile, die sich aus der Ferne erreichen oder umprogrammieren lassen, dann ist die Manipulation dieser Bauteile eine mögliche Gefährdung für Personen. Damit ist sie zu beurteilen wie jede andere Gefährdung auch.

Aus dieser Logik folgen zwei Dinge, die in der Praxis oft durcheinandergehen. Erstens ist das Thema in der Gefährdungsbeurteilung zu Hause und nicht in der IT-Abteilung. Zweitens hat es mit der Datenschutz-Grundverordnung nichts zu tun. Personenbezogene Daten spielen keine Rolle, es geht ausschließlich um Personensicherheit.

Wie es dazu kam

Das Thema ist älter, als viele denken. Der praktisch entscheidende Stichtag liegt im Sommer 2023.

2019 veröffentlichte das Bundesministerium des Innern die EmpfBS 1115, zunächst als Empfehlung ohne bindende Wirkung.

Im November 2022 fasste der Erfahrungsaustauschkreis der zugelassenen Überwachungsstellen den Beschluss EK-ZÜS B 002 zur Prüfung der Maßnahmen des Betreibers gegen Cyberbedrohungen. Damit war geklärt, wie die ZÜS das Thema in der wiederkehrenden Prüfung behandelt.

Im März 2023 erschien die TRBS 1115 Teil 1, Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen. Sie konkretisiert seither, was von Betreibern überwachungsbedürftiger Anlagen erwartet wird.

Seit dem 1. Juli 2023 wird eine fehlende Dokumentation zur Cybersicherheit als geringfügiger Mangel in die Prüfbescheinigung eingetragen. Seit 2024 wird zusätzlich gerügt, wenn ein einmal festgestellter Mangel nicht abgestellt wurde.

Wo die digitalen Wege in eine Aufzugsanlage führen

In einer typischen Bestandsanlage gibt es drei bis vier davon. Die meisten Betreiber kennen nur einen.

Die Notrufanbindung über die Steuerung. Das Zwei-Wege-Notrufsystem braucht eine Telekommunikationsverbindung, meist über Mobilfunk. Ist sie über die Steuerung geführt, besteht darüber ein Weg in die Anlage. Dieser Punkt betrifft praktisch jede Bestandsanlage, weil die Nachrüstpflicht flächendeckend umgesetzt wurde.

Die Internetanbindung für Fernwartung. Viele Steuerungen sind für den Hersteller oder das Wartungsunternehmen aus der Ferne erreichbar. Das ist betrieblich sinnvoll und wirft zwei Fragen auf: Wer hat Zugang, und ist diese Liste noch aktuell?

Serielle und drahtlose Schnittstellen. Serviceschnittstellen, teils auch Bluetooth- oder WLAN-Module, die für die Inbetriebnahme gedacht waren und danach nie deaktiviert wurden.

Nachgerüstete elektronische Bauteile. Sensorik, Zugangskontrolle, Displays, Anzeigesysteme. Ob von ihnen ein Risiko ausgeht, hängt davon ab, ob sie mit sicherheitsrelevanten Funktionen verbunden sind oder unabhängig davon arbeiten. Genau diese Unterscheidung ist in der Praxis der häufigste Streitpunkt.

Was die zugelassene Überwachungsstelle prüft

Geprüft wird nicht die Qualität Ihres Sicherheitskonzepts, sondern ob Sie das Thema erkennbar betrachtet und plausible Maßnahmen ergriffen haben.

Das ist die für Betreiber wichtigste Klarstellung. Die ZÜS ist kein IT-Auditor. Sie prüft im Rahmen der wiederkehrenden Prüfung, ob eine Dokumentation zu möglichen Risiken aus Cyberbedrohungen für die jeweilige Anlage vorliegt und ob die daraus abgeleiteten Maßnahmen geeignet, funktionsfähig und dokumentiert sind.

Einzelne ZÜS-Organisationen liefern inzwischen als Ergebnis ihrer Prüfung eine Ersteinschätzung zu den wesentlichen Sachverhalten je Anlage, von denen eine Bedrohung ausgehen kann. Wenn Ihre ZÜS das anbietet, ist das der günstigste Weg zu einer belastbaren Grundlage, weil sie ohnehin vor Ort ist.

Selbstcheck: sechs Fragen zu Ihrer Anlage

Diese sechs Fragen bilden ab, worauf in der Praxis geschaut wird. Sie ersetzen keine Gefährdungsbeurteilung, zeigen Ihnen aber in zwei Minuten, ob Sie ein Thema haben.

Wer nicht betroffen ist

Ausgenommen sind Anlagen, deren Sicherheitsfunktionen rein mechanisch oder analog aufgebaut sind und bei denen auch die betrieblichen Einrichtungen durch Cyberbedrohungen nicht zu Gefährdungen führen können. Analog bedeutet in diesem Zusammenhang: Es gibt keine Bauteile, die digital Daten verarbeiten und umprogrammiert werden können.

Im Bestand ist das selten geworden. Wo die Ausnahme aber greift, genügt eine kurze dokumentierte Feststellung, und das Thema ist erledigt. Diese Feststellung sollten Sie treffen und aufschreiben, statt sie stillschweigend vorauszusetzen.

Die drei Schritte, die reichen

Ein Kapitel in einem Dokument, das ohnehin fortgeschrieben wird, plus einige organisatorische Maßnahmen. Mehr ist derzeit nicht verhältnismäßig.

Erstens: Ersteinschätzung im Rahmen der nächsten Aktualisierung der Gefährdungsbeurteilung. Kein eigenes Projekt. Für einen typischen Wohnungsbestand ist das überschaubar, weil sich die Anlagen technisch stark ähneln und die Einschätzung deshalb weitgehend übertragbar ist.

Zweitens: niederschwellige Maßnahmen umsetzen und dokumentieren. Schaltschrank und Triebwerksraum verschlossen halten und die Schlüsselvergabe regeln. Nicht benötigte Funkschnittstellen abschalten lassen, am besten im Rahmen der nächsten Wartung. Klären, wer Fernzugriff auf die Steuerung hat, und diese Liste aktuell halten. Zugänge ausgeschiedener Dienstleister entziehen. Das sind organisatorische Maßnahmen, die nichts kosten außer Aufmerksamkeit, und sie decken den größten Teil des realistischen Risikos ab.

Drittens: festhalten, dass Sie es betrachtet haben. Das ist der Punkt, an dem die Prüfung ansetzt. Eine nicht dokumentierte Betrachtung ist im Prüfungsfall eine nicht durchgeführte Betrachtung.

Was Sie vorerst nicht tun müssen

Es gibt eine deutliche Parallele zur Einführung der Gefährdungsbeurteilung selbst zwischen 2015 und 2019.

Auch damals war zunächst unklar, welche Tiefe erwartet wird, und auch damals haben Betreiber, die früh sehr aufwendig gearbeitet haben, ihre Unterlagen später noch einmal anfassen müssen. Mehrere Umsetzungsfragen sind bis heute in den Gremien in Diskussion. Offen ist zum Beispiel, ob das Schloss eines Schaltschranks als betriebliche Einrichtung im Sinne der Regel gilt, wie festgestellte Mängel genau abzuwickeln sind und welche Konsequenzen sich in welcher Zeit daraus ergeben.

Häufige Fragen