Wenn der digitale Zwilling zum Angriffsziel wird

Die Digitalisierung der Bauwirtschaft ist längst mehr als die Umwandlung analoger Pläne in digitale Dateien. BIM verändert die Zusammenarbeit über Planung, Beschaffung, Ausführung und Betrieb hinweg. Informationen werden gemeinsam genutzt, Daten über Unternehmensgrenzen hinweg ausgetauscht und immer mehr technische Systeme miteinander verbunden.

Darin liegt ein erheblicher Mehrwert. Mit der wachsenden Abhängigkeit von digitalen Informationen entsteht aber auch eine neue Verantwortung. Je stärker wir uns bei Entscheidungen auf digitale Modelle und Daten verlassen, desto wichtiger werden deren Verfügbarkeit, Vertraulichkeit und Verlässlichkeit. Eine manipulierte Information oder ein nicht verfügbares System kann in einem vernetzten Bauprozess deutlich größere Auswirkungen haben als eine verlorene Datei auf einem einzelnen Rechner. Cybersecurity darf deshalb nicht allein Aufgabe der IT bleiben. Sie betrifft Planung, Bau und Betrieb und damit den gesamten digitalen Lebenszyklus eines Gebäudes.

Die Angriffsfläche endet nicht beim BIM-Modell

Zu schützen ist nicht nur die BIM-Datei. Digitale Bauwerksmodelle enthalten Informationen über Konstruktion, Räume, technische Anlagen oder Zugänge. Projektteams tauschen Dokumente über Common Data Environments aus. Software und Netzwerke verbinden zahlreiche Unternehmen miteinander. Später kommen Gebäudeautomation, Sensoren, IoT-Anwendungen und weitere Smart-Building-Systeme hinzu. Auf der Baustelle wächst gleichzeitig die Zahl vernetzter Geräte.

Dormakaba

Hinzu kommt die organisatorische Ebene: Projektteams verändern sich, Mitarbeiter wechseln und externe Partner erhalten zeitweise Zugriff auf Systeme. Damit verändern sich auch Zugriffsrechte und Verantwortlichkeiten während eines Projekts.

Bauprojekte sind von Natur aus arbeitsteilig. Auftraggeber, Planer, Bauunternehmen, Nachunternehmer, Hersteller und Betreiber arbeiten über längere Zeiträume zusammen und greifen auf gemeinsame Informationen zu. Jeder zusätzliche Projektpartner kann einen weiteren Übergabepunkt für Daten und Zugriffsrechte schaffen. Gleichzeitig führen Unternehmen laufend neue digitale Werkzeuge ein. Das Bewusstsein für die damit verbundenen Sicherheitsrisiken entwickelt sich jedoch nicht zwangsläufig im gleichen Tempo.

Besonders deutlich wird das bei kritischer Infrastruktur. Digitale Modelle können dort Informationen über sicherheitsrelevante Gebäudebereiche, technische Systeme oder Zugangslösungen enthalten. Solche Informationen sind für Planung und Betrieb wertvoll. Sie können aber ebenso für Sabotage oder Spionage interessant sein. Der Schutz des digitalen Gebäudes wird damit zu einem Teil des Schutzes seiner physischen Infrastruktur.  Damit rücken digitale Gebäudedaten auch in den Bereich der betrieblichen und regulatorischen Risikovorsorge.

BIM kann Resilienz unterstützen

Das bedeutet nicht, dass wir weniger digital arbeiten sollten. Im Gegenteil. BIM kann beispielsweise detaillierte Informationen über Gebäudestruktur, Materialien und technische Anlagen bereitstellen und dadurch Risikobewertungen unterstützen. Sicherheits- und Resilienzmaßnahmen lassen sich früher in der Planung berücksichtigen. Auch Perimeterschutz und Zutrittslösungen können Teil der digitalen Planung werden. Mit dem Übergang zum digitalen Zwilling steigt der Nutzen weiter. Aktuelle Betriebsinformationen können mit dem Gebäudemodell verbunden und beispielsweise für Betrieb, Wartung oder Krisenmanagement verwendet werden.

Allerdings gilt: Je wichtiger diese Informationen für reale Entscheidungen werden, desto wichtiger ist ihre Integrität. Ein digitaler Zwilling hilft uns nur, wenn wir seinen Daten vertrauen können. Wir müssen deshalb verhindern, dass Informationen unbemerkt verändert oder von Personen eingesehen werden, die keinen Zugriff darauf benötigen.

Dormakaba

Wer braucht welche Daten?

BIM lebt von Zusammenarbeit. Trotzdem bedeutet Zusammenarbeit nicht, dass sämtliche Projektbeteiligten Zugriff auf sämtliche Informationen erhalten sollten. Ein Fachplaner hat andere Informationsbedürfnisse als ein ausführendes Unternehmen. Ein Wartungsdienstleister braucht Angaben zu den Anlagen, für die er verantwortlich ist. Daraus folgt nicht automatisch, dass er vollständigen Zugriff auf sicherheitskritische Bereiche eines Gebäudemodells benötigt.

Wir müssen deshalb genauer darüber nachdenken, welche Informationen wir erzeugen und wie wir sie klassifizieren. Welche Daten sind sensibel? Wer braucht sie für seine Aufgabe? Wer darf sie verändern? Wie lange sollen sie verfügbar bleiben? Und wie gehen wir mit Zugriffsrechten um, wenn Personen ein Projekt verlassen? Diese Fragen gehören an den Anfang eines BIM-Projekts und bilden zugleich die Grundlage für die technische Sicherheitsplanung.

Aus meiner Sicht gehört ein frühzeitiges Risiko-Assessment zu jedem digitalen Bauprojekt. Dabei geht es zunächst um einfache Fragen: Welche Daten entstehen? Wo liegen sie? Welche Systeme greifen darauf zu? Welche Unternehmen sind beteiligt? Wer erhält welche Zugriffsrechte? Was würde passieren, wenn Informationen verloren gehen, öffentlich werden oder manipuliert werden?

Die Antworten werden je nach Projekt sehr unterschiedlich ausfallen. Ein Wohngebäude benötigt ein anderes Sicherheitskonzept als ein Flughafen, eine militärisch genutzte Liegenschaft oder eine Anlage der Energieversorgung. Sicherheitsanforderungen sollten sich deshalb an der Sensibilität des jeweiligen Projekts und seiner Daten orientieren.

Für Betreiber kritischer Infrastruktur ist das Thema inzwischen auch regulatorisch deutlich relevanter geworden. Das deutsche NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft und verschärft die Anforderungen an die Cybersicherheit betroffener Einrichtungen. Das KRITIS-Dachgesetz trat im März 2026 in Kraft und setzt die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen in deutsches Recht um.

Sicherheit ist kein nachträgliches Feature

Wir müssen dabei aber nicht bei null anfangen. Normen und Standards schaffen zwar nicht automatisch Sicherheit, sie können aber helfen, Verantwortlichkeiten, Informationsflüsse und Prozesse nachvollziehbar zu organisieren. Sie entfalten ihren Wert allerdings erst, wenn sie in den Projekten tatsächlich angewendet werden. Das ist in komplexen Projektlandschaften besonders wichtig. Wenn zahlreiche Beteiligte mit unterschiedlichen Anwendungen arbeiten, brauchen wir gemeinsame Regeln für Datenaustausch, Zugriffe und Verantwortlichkeiten.

Die zunehmende Digitalisierung macht Gebäude nicht automatisch unsicher. Sie verändert aber die Risiken. Informationen, die früher über Aktenordner, einzelne Pläne und voneinander getrennte Systeme verteilt waren, können heute zentral verfügbar, miteinander verbunden und teilweise direkt mit dem realen Gebäudebetrieb verknüpft sein. Damit wächst nicht nur ihr Nutzen, sondern auch ihre Bedeutung für den sicheren Betrieb eines Gebäudes. Cybersecurity muss deshalb über denselben Lebenszyklus gedacht werden wie die digitalen Informationen selbst: von der Planung über die Ausführung bis in den Betrieb.

Dabei wird kein einzelnes Unternehmen alle Antworten allein finden. Technologien entwickeln sich weiter, regulatorische Anforderungen verändern sich und mit neuen digitalen Anwendungen entstehen auch neue Risiken. Für Akteure der Bau- und Immobilienwirtschaft bedeutet das, sich kontinuierlich mit dem Thema auseinanderzusetzen.

Mein Appell lautet deshalb: Machen Sie Cybersecurity und den Schutz digitaler Gebäudedaten zum Thema in Ihrem Unternehmen. Tauschen Sie sich mit Planern, Betreibern, Herstellern und IT-Spezialisten aus. Nutzen Sie Verbände, Fachorganisationen und Standardisierungsgremien nicht nur als Informationsquelle, sondern bringen Sie dort auch Ihre eigenen Erfahrungen ein.

Dieser Austausch hilft uns, Erfahrungen zu teilen, Standards gemeinsam weiterzuentwickeln und neue Risiken früher zu erkennen. Die Digitalisierung der Bauwirtschaft wird weitergehen. Beim Thema Sicherheit müssen wir mit ihr Schritt halten.