KNX Secure für Planer & Systemintegratoren

Neue Regelwerke wie NIS2, DSGVO oder der Cyber Resilience Act stellen Planer vor klare Anforderungen: IT-Sicherheit ist in der Gebäudeautomation kein optionales Extra mehr – sondern ein verpflichtender Teil der Projektplanung.

KNX Secure bietet die technische Grundlage, um diese Vorgaben regelkonform umzusetzen – und gleichzeitig Projekte sicher, nachvollziehbar und zukunftsfähig zu gestalten.

Diese Seite zeigt Ihnen:

• Wie sich gesetzliche Anforderungen in konkrete Planungsentscheidungen übersetzen lassen

• Worauf Sie bei Ausschreibungen, Gerätedesign und Schlüsselmanagement achten müssen

• Wie Sie mit klarer Struktur und sicherer Dokumentation unnötige Risiken vermeiden

Denn nur wer die Sicherheitsanforderungen von Anfang an mitdenkt, kann KNX-Projekte wirklich zukunftsfähig planen.

Gebäudeautomation wird zunehmend vernetzt – und angreifbar. Sicherheit muss heute von Anfang an mitgedacht werden.

Die klassische Vorstellung vom abgeschotteten KNX-System ist überholt. IP-Schnittstellen, Visualisierungen, mobile Endgeräte und Remote-Zugriffe gehören heute zum Standard – und eröffnen potenzielle Schwachstellen. Wer Sicherheit erst bei der Inbetriebnahme berücksichtigt, kommt oft zu spät. 

Ein Beispiel: Wird eine Präsenzmeldung im Klassenzimmer nicht verschlüsselt übertragen, kann daraus ein Datenschutzproblem entstehen – oder eine potenzielle Schwachstelle im System.

Auch rechtlich geraten Projektverantwortliche stärker in die Pflicht: Vorschriften wie NIS 2, DSGVO oder der Cyber Resilience Act machen IT-Sicherheit in der Gebäudeautomation zur verbindlichen Aufgabe.

Tipp: Einen Überblick dazu finden Sie auf unserer Seite zu den gesetzlichen Anforderungen an KNX Secure.

Für die Planung bedeutet das:

• Sicherheitsaspekte müssen frühzeitig berücksichtigt werden – nicht erst bei der Inbetriebnahme.
• Auftraggeber erwarten klare Angaben zu Verschlüsselung und Zugriffskonzepten.
• Projektbeteiligte müssen Zertifikate und Schlüssel sicher verwalten.

Wer hier keine Antworten liefern kann, riskiert Probleme bei Ausschreibungen und Übergaben.

Bei KNX Secure werden alle sicherheitsrelevanten Daten werden zentral in der ETS verwaltet – und sind dort das Rückgrat jedes Secure-Projekts.

Die ETS ist nicht nur das Planungswerkzeug für KNX, sondern auch die zentrale Sicherheitsinstanz für KNX Secure. Hier werden:

• die Projektstruktur angelegt,
• alle FDSK-Zertifikate (Factory Default Setup Keys) eingelesen,
• Tool Keys und Gruppenschlüssel generiert,
• und alle sicherheitsrelevanten Einstellungen verwaltet.

Nur wer Zugriff auf die vollständige ETS-Projektdatei hat, kann Secure-Geräte einrichten, verändern oder bei Bedarf wieder in Betrieb nehmen. Geht diese Datei verloren oder ist unvollständig dokumentiert, kann das gesamte System unbrauchbar werden.

Für besonders schützenswerte Installationen kann zusätzlich ein sogenannter BCU Key hinterlegt werden – ein herstellerspezifischer Geräteschlüssel, der Änderungen an der Konfiguration verhindert. Nur wer diesen Schlüssel kennt, kann das Gerät neu programmieren. Das schützt zuverlässig vor unbefugter Re-Konfiguration. Solche Schutzmechanismen greifen jedoch nur, wenn auch das übergeordnete Schlüsselmanagement sauber aufgesetzt ist.

Wichtig ist daher:

• FDSK-Zertifikate zentral und digital archivieren,
• Projektdateien regelmäßig sichern (verschlüsselt & versioniert),
• klare Zuständigkeiten und Zugriffskonzepte definieren.

Die ETS ist der Sicherheitsanker von KNX Secure – wer hier nachlässig arbeitet, riskiert langfristig die Integrität des Systems.

In KNX Secure-Projekten reicht es nicht aus, einzelne Geräte mit Secure-Funktion einzusetzen. Entscheidend ist, ob die gesamte Kommunikationsgruppe – also alle Geräte, die an einer verschlüsselten Gruppenadresse beteiligt sind – KNX Secure unterstützt. Ist auch nur ein Teilnehmer nicht Secure-fähig, bleibt die gesamte Verbindung unverschlüsselt – und damit anfällig.

Für Anwendungen mit hohen Sicherheitsanforderungen, etwa in öffentlichen Gebäuden oder bei Fernzugriff, sollten deshalb ausschließlich Secure-fähige Geräte eingesetzt werden. Ebenso wichtig ist, dass das Projekt auf einer stabilen, klar strukturierten Infrastruktur basiert und alle Sicherheitsfunktionen der eingesetzten Geräte vollständig genutzt werden.

Je nach Systemarchitektur kommen KNX Data Secure (für TP oder RF) oder KNX IP Secure zum Einsatz. Wichtig ist auch die Softwarebasis: Die ETS muss mindestens in Version 5.7 vorliegen, um alle Secure-Funktionen zu unterstützen. Geräte mit Secure-Funktionalität sind in der Regel vom Hersteller entsprechend gekennzeichnet, oft mit einem „S“ oder „X“ in der Bezeichnung.

Die Geräteauswahl sollte also nicht nur funktional, sondern auch sicherheitsstrategisch erfolgen. Wer frühzeitig definiert, welche Telegramme geschützt werden sollen, kann gezielt die passenden Komponenten einplanen – und damit die Grundlage für ein durchgängig sicheres KNX-System schaffen.

Viele Probleme entstehen nicht durch die Technik, sondern durch fehlende Planung, Dokumentation und Kommunikation.

KNX Secure eröffnet neue Sicherheitsstandards, aber nur, wenn das Projekt auch organisatorisch durchdacht ist. Häufige Fehler entstehen nicht bei der Installation, sondern lange vorher. Typische Stolpersteine sind zum Beispiel:

• Der KNX Secure Code (FDSK) geht verloren, etwa weil der Aufkleber bei der Installation entfernt oder entsorgt wurde. Ohne diesen individuellen Schlüssel ist keine sichere Einbindung des Geräts möglich. Der Code wird nur einmal mit dem Gerät ausgeliefert und befindet sich auf einem abziehbaren Etikett. Er muss daher sorgfältig und sicher aufbewahrt werden und gehört zur Projektdokumentation.
• Telegramme werden verschlüsselt, obwohl nicht alle Teilnehmer Secure-fähig sind (Ein häufiger Irrtum: In gemischten Gruppen erfolgt die Übertragung dennoch unverschlüsselt).
• die Projektdatei wird nicht gesichert.
• das ETS-Passwort ist nicht bekannt – wodurch keine Erweiterung oder Wartung mehr möglich ist.

Besonders kritisch wird es, wenn mehrere Gewerke beteiligt sind, aber keine klare Struktur für Schlüsselverwaltung und Übergabe besteht. Dann drohen nicht nur Sicherheitslücken, sondern auch Projektverzögerungen, Kosten und Vertrauensverluste beim Kunden.

Auch nach der Inbetriebnahme sollte das System regelmäßig beobachtet werden. Bleiben Telegramme aus, funktionieren Geräte unerwartet oder treten Störungen auf, kann das auch auf Konfigurationsfehler oder sicherheitsrelevante Probleme hinweisen. KNX Secure Geräte bieten hierfür erweiterte Diagnosefunktionen wie Failure Logs oder Download Counter – wer sie kennt und nutzt, erkennt frühzeitig, ob unbefugte Zugriffe versucht wurden.

Pro Tipp:
Erstellen Sie bereits vor Projektbeginn eine strukturierte Checkliste für KNX Secure mit Vorgaben zu FDSK, Geräteauswahl, ETS-Version, Gruppenadressierung, Schlüsselmanagement und Projektdokumentation. Stimmen Sie diese Liste mit Auftraggebern und Projektpartnern ab – und sorgen Sie für eine nachvollziehbare Übergabe. Das schützt nicht nur die Technik, sondern auch Ihre Position als Integrator.