Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Lange galt die Immobilienbranche als digitaler Nachzügler – und damit, so die Annahme, als wenig interessant für Cyberkriminelle. Diese Annahme ist gefährlich falsch. Mit der rasanten Digitalisierung der Branche, dem Aufkommen von PropTech-Plattformen und der Vernetzung ganzer Gebäude hat sich die Immobilienwirtschaft in ein attraktives Angriffsziel verwandelt. Teichmann hat die spezifischen Cyberrisiken dieser Branche und die passenden Schutzkonzepte systematisch analysiert (Teichmann, Digitale Immobilienwirtschaft (PropTech) – Cyber-Bedrohungen und Schutzkonzepte, InTeR 2025, S. 109–116).

Die Zahlen sprechen eine deutliche Sprache

Die Bedrohungslage in der Immobilienwirtschaft hat eine Dimension erreicht, die viele Marktteilnehmer noch nicht realisiert haben. Inzwischen messen 93 Prozent der Immobilienunternehmen der Cybersicherheit eine hohe Relevanz bei. Mehr als die Hälfte der befragten Firmen haben bereits Cyberattacken auf die eigenen Systeme oder die ihrer IT-Dienstleister erlebt. Große Immobilienkonzerne müssen mit durchschnittlich über 280 Cyberangriffen pro Jahr rechnen (Teichmann, InTeR 2025, S. 109–116).

Besonders aufschlussreich ist die Lücke zwischen Bewusstsein und Vorbereitung: Zwar haben rund 51 Prozent der Immobilienunternehmen mittlerweile eine Cybersicherheitsstrategie etabliert – aber knapp 80 Prozent verfügen über keine umfassende Strategie zum Schutz ihrer Gebäudetechnik. Genau hier, an der Schnittstelle zwischen klassischer IT und vernetzter Gebäudeinfrastruktur, liegt die größte und am wenigsten verstandene Verwundbarkeit (Teichmann, InTeR 2025, S. 109–116).

Wo die neuen Angriffsflächen entstehen

Teichmann identifiziert drei zentrale Bereiche, in denen die Digitalisierung der Immobilienwirtschaft neue Einfallstore schafft.

PropTech-Plattformen und digitale Marktplätze verarbeiten hochsensible Daten – Kunden- und Vertragsdaten, Zahlungsinformationen – und sind über das Internet zugänglich. Das Problem: Startups priorisieren häufig schnellen Markteintritt und Wachstum, während IT-Sicherheit anfangs nicht im Mittelpunkt steht. Unzureichend geschützte Webanwendungen werden so zum Ziel von SQL-Injection-Angriffen, Datenlecks oder Account-Übernahmen. Hinzu kommen Betrugsszenarien wie gefälschte Inserate oder die Manipulation von Zahlungsströmen (Teichmann, InTeR 2025, S. 109–116).

Cloudbasierte Verwaltungssysteme bieten hohe Effizienz, schaffen aber kritische Abhängigkeiten: Die Sicherheit der Daten liegt in hohem Maße in den Händen des Cloud-Dienstleisters. Fehlkonfigurationen oder Schwachstellen in Cloud-Umgebungen können Angreifern den Zugang zu umfangreichen Datenbeständen ermöglichen. Datengetriebene Plattformen, die mittels Big Data und KI Immobilienbewertungen erstellen, aggregieren zudem große Datenmengen über Objekte, Nutzer und Transaktionen – konzentrierte Datenpools, die ein lukratives Ziel darstellen (Teichmann, InTeR 2025, S. 109–116).

Die vielleicht unterschätzteste Gefahr liegt in der Gebäudetechnik selbst. In modernen Gebäuden sind Heizung, Lüftung, Klima, Aufzüge, Beleuchtung, Zugangskontrollen und Videoüberwachung digital vernetzt und oft fernsteuerbar. Jedes zusätzliche IoT-Gerät ist ein potenzielles Einfallstor. Viele dieser Geräte verwenden veraltete Gebäudeautomationsprotokolle wie BACnet oder KNX, die oft weder verschlüsselt noch authentifiziert sind. Erschwerend kommt hinzu, dass die Verantwortung für IT-Sicherheit und für Gebäudetechnik in der Praxis oft getrennt ist – Sicherheitsbeauftragte wissen mitunter gar nicht, welche Anlagen überhaupt online sind (Teichmann, InTeR 2025, S. 109–116).

Die Folgen eines erfolgreichen Angriffs auf Gebäudetechnik reichen von der Manipulation der Klimasteuerung über physische Schäden bis hin zu Angriffen auf Sicherheitssysteme wie Alarmsensoren und elektronische Schließanlagen – wodurch Hacker Einbrüche erleichtern oder unbefugten Zutritt ermöglichen könnten.

Die rechtliche Dimension

Für die Immobilienwirtschaft gelten mehrere überlappende Regelwerke. Die DSGVO verpflichtet alle Unternehmen, die personenbezogene Daten von Mietern, Käufern oder Interessenten verarbeiten, zu angemessenen technischen und organisatorischen Schutzmaßnahmen. Datenpannen sind innerhalb von 72 Stunden zu melden.

NIS-2 erfasst größere Immobilienunternehmen und insbesondere solche, die kritische Infrastrukturen betreiben oder als digitale Anbieter eine relevante Größenordnung erreichen. Der Cyber Resilience Act trifft Hersteller vernetzter Gebäudetechnik: Smart-Building-Komponenten und IoT-Geräte müssen ab 2027 die CRA-Anforderungen erfüllen. Das verschiebt einen Teil der Verantwortung von den Betreibern zu den Technologieherstellern – entbindet die Betreiber aber nicht (Teichmann, InTeR 2025, S. 109–116).

Cyberangriffe auf Immobilientransaktionen: Eine eigene Bedrohung

Besonders perfide ist der sogenannte Payment Diversion Fraud: Angreifer kompromittieren die E-Mail-Kommunikation zwischen Käufer, Verkäufer, Makler und Notar und schleusen im entscheidenden Moment gefälschte Zahlungsanweisungen mit geänderten Kontodaten ein. Der Käufer überweist den Kaufpreis – an die Betrüger. Da bei Immobilientransaktionen oft sechs- oder siebenstellige Beträge im Spiel sind, ist der Schaden im Erfolgsfall enorm. Der Schutz liegt in klaren Prozessen: Zahlungsdaten werden niemals allein per E-Mail übermittelt und akzeptiert, sondern immer über einen zweiten, unabhängigen Kanal verifiziert (Teichmann, Cyberangriffe auf Immobilientransaktionen – Betrugsmaschen und Absicherung von Kaufprozessen, Swiss Real Estate Journal 2025, S. 4–11).

Schutzkonzepte: Was Immobilienunternehmen tun müssen

Auf technischer Ebene gehören dazu: Verschlüsselung sensibler Daten, Multi-Faktor-Authentifizierung für alle kritischen Systeme, regelmäßige Sicherheitsupdates und – besonders für die Gebäudetechnik wichtig – die Netzwerksegmentierung. Gebäudeautomationssysteme sollten strikt von der allgemeinen Unternehmens-IT getrennt sein.

Auf organisatorischer Ebene ist die Zusammenführung der Verantwortung entscheidend. Die künstliche Trennung zwischen IT-Sicherheit und Gebäudetechnik muss aufgehoben werden. Es braucht eine zentrale Stelle, die weiß, welche Geräte online sind und welche Schwachstellen existieren.

Auf rechtlicher Ebene müssen Verträge mit PropTech-Anbietern, Cloud-Dienstleistern und Technologieherstellern Sicherheitsanforderungen, Prüfrechte und Haftungsregelungen enthalten. Wer unsichere Drittkomponenten integriert, haftet im Schadensfall mit (Teichmann, InTeR 2025, S. 109–116).

Fazit: Die gebaute Welt wird Teil des Cyberraums

Die Digitalisierung der Immobilienwirtschaft ist unumkehrbar – und mit ihr die Verschmelzung der physischen Gebäude mit dem Cyberraum. Wer ein vernetztes Gebäude betreibt, betreibt ein IT-System, das angegriffen werden kann. Die gute Nachricht: Die Schutzkonzepte sind bekannt und umsetzbar. Die schlechte: Knapp 80 Prozent der Branche haben sie für ihre Gebäudetechnik noch nicht implementiert. Wer hier vorangeht, schützt nicht nur sein Unternehmen, sondern verschafft sich einen echten Wettbewerbsvorteil in einer Branche, die gerade erst beginnt, das Thema ernst zu nehmen.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.