Cybersecurity (1. Update): Verbände warnen vor Risiken für vernetzte Gebäudetechnik – BWP nimmt Stellung

6. November 2026

Cyberangriffe auf Kühlanlagen werfen auch Fragen zur Sicherheit vernetzter Wärmepumpen auf: Tausende Anlagen sind über das Internet mit Herstellerplattformen verbunden und können aus der Ferne gewartet oder gesteuert werden. ZVEH und ZVSHK fordern mehr IT-Sicherheit, offene Standards und klare Verantwortlichkeiten zwischen Herstellern und Fachhandwerk. Der BWP sieht dagegen derzeit keinen zusätzlichen Handlungsbedarf.

Update vom 6.11.2026: Wir haben diesen Beitrag um eine Stellungnahme des Bundesverbands Wärmepumpe (BWP) ergänzt. Anders als ZVEH und ZVSHK sieht der Verband derzeit keinen zusätzlichen Handlungsbedarf bei der Cybersicherheit vernetzter Wärmepumpen. Die Einschätzung des BWP finden Sie im neu ergänzten Abschnitt weiter unten.

Die zunehmende Vernetzung technischer Anlagen bringt neue Sicherheitsrisiken mit sich. Mitte Oktober wurden Kühlanlagen in Hunderten französischen Supermärkten manipuliert, Anfang November waren auch deutsche Märkte betroffen. Hinzu kommt eine Sicherheitslücke, durch die rund 250 000 Photovoltaikanlagen in Deutschland potenziell angreifbar waren. „Wir nehmen Cyberangriffe vor allem dann wahr, wenn sie spektakuläre Schäden verursachen. Dabei können vergleichbare Schwachstellen in unzähligen weiteren Anlagen bestehen, ohne dass dies Schlagzeilen macht“, erklärt Alexander Neuhäuser, Hauptgeschäftsführer des ZVEH. Der Verband fordert deshalb ein umfassenderes Verständnis digitaler Risiken.

Auch der ZVSHK sieht Handlungsbedarf. „Die Cyberangriffe auf vernetzte Kühlanlagen zeigen, dass wir die IT-Sicherheit technischer Anlagen ernst nehmen müssen. Das gilt selbstverständlich auch für Wärmepumpen“, heißt es in einer Stellungnahme des Verbandes. Wer Anlagen aus der Ferne überwachen und steuern könne, müsse verhindern, dass Unbefugte darauf zugreifen.

Vernetzte Wärmepumpen und PV-Anlagen als mögliche Angriffsziele

Insbesondere Wärmepumpen rücken dadurch in den Fokus: Inzwischen sind Tausende dieser Anlagen über das Internet mit den Systemen ihrer Hersteller verbunden. Sie lassen sich teilweise aus der Ferne überwachen, steuern und warten. Für das SHK-Handwerk stellt sich damit nicht nur die Frage nach einer sicheren Installation, sondern auch danach, wie Zugänge und Herstellerplattformen dauerhaft gegen unbefugte Eingriffe geschützt werden können.

Wärmepumpen, Photovoltaikanlagen, Ladeeinrichtungen und Gebäudeautomationssysteme sind zunehmend mit externen Diensten und digitalen Plattformen verbunden. Dies ermöglicht eine effizientere Steuerung sowie neue Angebote für Fernwartung und Service. Gleichzeitig entstehen zusätzliche Angriffsmöglichkeiten, etwa durch unzureichend geschützte Internetzugänge, veraltete Software, ungeschützte Schnittstellen oder kompromittierte Cloud-Dienste. Besonders kritisch wird es, wenn zahlreiche Anlagen dieselbe Steuerungssoftware oder zentrale Plattform nutzen. Eine einzelne Sicherheitslücke kann dann potenziell eine große Zahl von Betreibern betreffen. Der ZVEH fordert deshalb, Cyberrisiken bereits bei der Planung, Produktauswahl und Vernetzung zu berücksichtigen. Eine stärkere Risikostreuung könne dazu beitragen, die Auswirkungen einzelner Schwachstellen zu begrenzen. Dabei komme es nicht allein auf die Vielfalt der eingesetzten Hersteller an. Entscheidend sei vielmehr, dass Systeme unabhängig voneinander funktionieren und keine gemeinsamen kritischen Schwachstellen aufweisen.

Der ZVSHK weist ebenfalls auf die Gefahren zentraler Plattformen hin. Hersteller müssten sicherstellen, dass ihre Systeme gegen Angriffe geschützt sind und erkannte Sicherheitslücken schnell geschlossen werden können. „Besonders wichtig ist, dass ein Angriff auf eine zentrale Plattform nicht gleichzeitig eine große Zahl von Anlagen beeinträchtigen kann“, betont der Verband.

Offene Standards und sichere Herstellerplattformen gefordert

Um die Abhängigkeit von einzelnen Anbietern zu verringern, spricht sich der ZVEH für offene, standardisierte Kommunikationsprotokolle und Schnittstellen aus. Proprietäre Plattformen könnten den Austausch von Komponenten erschweren und Betreiber langfristig an einen Hersteller binden. Interoperable Systeme sollen dagegen mehr Wahlfreiheit ermöglichen und zugleich die Wartung sowie den langfristigen Betrieb erleichtern. Voraussetzung dafür seien geschützte Kommunikationswege, geregelte Zugriffsrechte, verbindliche Sicherheitsanforderungen und zuverlässige Updates. „Es braucht keine immer stärker abgeschotteten Herstellerwelten, sondern sichere, interoperable Systeme. Erst dadurch werden Risikostreuung und langfristige Betriebssicherheit möglich“, so Neuhäuser.

Auch aus Sicht des ZVSHK dürfen die Vorteile der Vernetzung nicht durch unzureichende IT-Sicherheit gefährdet werden. Der Verband betont, dass die Hersteller für den Schutz ihrer digitalen Plattformen verantwortlich sind.

Mögliche Auswirkungen auf das Stromnetz berücksichtigen

Über die Sicherheit einzelner Gebäude und Anlagen hinaus sieht der ZVSHK mögliche Risiken für die Energieversorgung. Insbesondere bei einer großen Zahl vernetzter Wärmepumpen müssten auch mögliche Auswirkungen eines Cyberangriffs auf das Stromnetz berücksichtigt werden. Neben den Herstellern seien hier die zuständigen Netzbetreiber und Sicherheitsbehörden gefordert, entsprechende Risiken bei der Absicherung zu berücksichtigen.

BWP sieht derzeit keinen zusätzlichen Handlungsbedarf

Der Bundesverband Wärmepumpe (BWP) bewertet die Cyberrisiken vernetzter Wärmepumpen zurückhaltender als ZVEH und ZVSHK. Zwar ließen sich Angriffe auf internetfähige Anlagen grundsätzlich nicht ausschließen. Daraus könne jedoch nicht automatisch auf ein realistisches Szenario für großflächige Störungen geschlossen werden. Für eine belastbare Einschätzung möglicher Auswirkungen koordinierter Angriffe auf die Stromnetze fehlten dem Verband ausreichende Informationen. Zudem verweist der BWP auf bestehende Schutzmechanismen. Mit § 14a EnWG stehe Netzbetreibern bei einer akuten Überlastung des Stromverteilnetzes ein Instrument zur Verfügung, um den Leistungsbezug steuerbarer Verbrauchseinrichtungen wie Wärmepumpen oder Wallboxen zu reduzieren. Die Kommunikation über das Smart-Meter-Gateway (SMGW) erfolge dabei über einen gesicherten Kanal.

Auch hinsichtlich der IT-Sicherheit der Hersteller zeigt sich der BWP zuversichtlich. Diese verfügten über entsprechende Fachkompetenz, etablierte Sicherheitsprozesse sowie Schutzmaßnahmen für Fernwartungszugänge. Erkannte Sicherheitslücken würden im Rahmen der kontinuierlichen Sicherheitsarbeit geschlossen. Zusätzliche Sicherheitsstandards oder weitergehende Handlungsempfehlungen hält der Verband derzeit nicht für erforderlich. Er verweist unter anderem auf die Sicherheitsstandards für die Kommunikation zwischen Stromnetz, Messstelle und Wärmepumpe, bei deren Standardisierung das Bundesamt für Sicherheit in der Informationstechnik (BSI) besonderen Wert auf Sicherheit gelegt habe.

Gleichzeitig empfiehlt der Verband Gebäudeeigentümern, Gerätezugänge, WLAN-Netze und mobile Anwendungen mit sicheren Passwörtern zu schützen und direkte Zugriffe über das Internet zu verhindern.

Konkrete Fälle, in denen vernetzte Wärmepumpen durch Cyberangriffe manipuliert oder in ihrer Funktion beeinträchtigt wurden, sind dem BWP nach eigenen Angaben bislang nicht bekannt. Künftige Vorfälle schließt der Verband allerdings nicht aus. Ein Angriff auf einzelne Anlagen müsse jedoch nicht zwangsläufig weitreichende Folgen für die Stromversorgung haben.

Welche Verantwortung tragen Elektro- und SHK-Fachbetriebe?

Mit der zunehmenden Digitalisierung verändern sich auch die Anforderungen an das Fachhandwerk. Das Elektrohandwerk übernimmt nach Einschätzung des ZVEH eine immer wichtigere Rolle bei der sicheren Integration und Betreuung vernetzter Anlagen. Dazu gehören unter anderem die Planung von Netzwerkarchitekturen, die Trennung kritischer Systembereiche, die Dokumentation sowie die Begleitung von Wartung und Sicherheitsupdates. Cybersecurity und Cyberresilienz müssten künftig stärker in der Aus- und Weiterbildung sowie in den Dienstleistungen der Elektrohandwerke verankert werden. Der 2021 eingeführte Ausbildungsberuf Elektroniker beziehungsweise Elektronikerin für Gebäudesystemintegration trage dieser Entwicklung bereits Rechnung.

Der ZVSHK betont zudem die notwendige Abgrenzung zwischen den Aufgaben der installierenden Betriebe und den Pflichten der Hersteller. Für das SHK-Handwerk sei entscheidend, dass vernetzte Anlagen sicher installiert und betrieben werden können. Dafür brauche es klare Sicherheitsvorgaben, geschützte Zugänge und regelmäßige Updates. „Die Verantwortung für die Sicherheit der Herstellerplattformen kann dagegen nicht bei den installierenden Fachbetrieben liegen“, stellt der Verband klar.

Cybersicherheit: Verbände setzen unterschiedliche Schwerpunkte

Bei der Bewertung der Cyberrisiken vernetzter Gebäudetechnik setzen die Verbände unterschiedliche Schwerpunkte. Während der ZVEH vor allem offene Standards, weniger Herstellerabhängigkeiten und eine stärkere Berücksichtigung der Cybersicherheit bereits bei der Planung fordert, legt der ZVSHK den Fokus auf sichere Herstellerplattformen, klare Verantwortlichkeiten und mögliche Auswirkungen auf die Energieversorgung.

Der BWP sieht dagegen derzeit keinen zusätzlichen Handlungsbedarf und verweist auf bestehende Sicherheitsstandards sowie etablierte Schutzmaßnahmen der Hersteller. Die unterschiedlichen Einschätzungen zeigen, dass insbesondere bei der Bewertung möglicher Risiken für eine große Zahl vernetzter Anlagen weiterer Diskussionsbedarf besteht.

Hinweis der Redaktion: Dieser Beitrag wurde am 6.11.2026 um eine Stellungnahme des Bundesverbands Wärmepumpe (BWP) ergänzt. Die ursprüngliche Berichterstattung basiert auf Aussagen des ZVEH und ZVSHK. Wir haben weitere Verbände und Hersteller um Einschätzungen zu den Cyberrisiken vernetzter Gebäudetechnik gebeten und werden den Bericht bei neuen Erkenntnissen fortschreiben.

Literatur:

[1] Zentralverband der Deutschen Elektro- und Informationstechnischen Handwerke (ZVEH), Mitteilung vom 4. November 2026;

[2] Stellungnahme des Zentralverbandes Sanitär Heizung Klima (ZVSHK) auf Anfrage der IKZ-Redaktion.

[3] Bundesverband Wärmepumpe (BWP), schriftliche Stellungnahme gegenüber der IKZ-Redaktion.