Ein Immobilienmakler, der allein am Ende des Tages eine leerstehende Immobilie besichtigt, ein Verwalter, der Hunderte von Mieterdossiers auf einem schlecht geschützten Server speichert, eine Baustelle für Renovierungen, die ohne Absperrung zur Straße hin offen ist: Sicherheit im Immobiliensektor beschränkt sich nicht auf einen Alarm an der Eingangstür. Sie umfasst den physischen Schutz von Personen, die Sicherheit der Gebäude und seit kurzem auch den Schutz der digitalen Systeme, die alles andere steuern.
Technische Systeme im Gebäude: Ausstattungen wie Server behandeln
Haben Sie schon einmal diese Zugangskontrollkästen oder IP-Kameras bemerkt, die in der Lobby eines neueren Gebäudes installiert sind? Diese Geräte sind keine einfachen Accessoires mehr. Videoüberwachung, technische Gebäudeausrüstung (TGA), Zugangsausweise: Alle kommunizieren mittlerweile über das Computernetzwerk des Gebäudes.
Das Problem ist, dass viele Eigentümergemeinschaften und Verwalter diese Geräte immer noch wie herkömmliche elektrische Geräte behandeln. Niemand aktualisiert ihre Firmware, niemand isoliert sie vom restlichen Netzwerk. Ein Angreifer, der eine schlecht konfigurierte IP-Kamera kompromittiert, kann potenziell auf die Daten des Verwalters zugreifen oder die Zugangskontrolle für ein ganzes Gebäude deaktivieren.
Die beste Praxis besteht darin, jedes technische System in einem eigenen Netzwerk zu isolieren (ein separates VLAN) und diese Datenströme dann in eine zentrale Überwachung zu integrieren, die manchmal als SIEM bezeichnet wird. Konkret bedeutet das, dass die Kamera im Parkhaus und die Software für die Mietverwaltung niemals denselben Kanal teilen. Spezialisierte Ressourcen wie die Immobilien-Seite von Blueprint For Safety erläutern diesen einheitlichen Ansatz zwischen physischer Sicherheit und Cybersicherheit, die auf Gebäude angewendet wird.
Richtlinie NIS2 und Resilienzgesetz: Was sich für Immobilienprofis ändert
Die europäische Richtlinie NIS2, die in Frankreich durch das Gesetz über die Resilienz kritischer Infrastrukturen und die Stärkung der Cybersicherheit umgesetzt wird, wird direkt mehrere Kategorien von Akteuren im Immobilienbereich betreffen. Immobilienverwalter, Immobiliengesellschaften, bestimmte Verwaltungsgesellschaften: Die Immobilienbranche wird zu einem Sektor mit formalen Cybersicherheitsverpflichtungen.
Was bedeutet das im Alltag? Drei Hauptverpflichtungen sollten vor ihrem Inkrafttreten verstanden werden:
- Eine Registrierung bei der ANSSI, der nationalen Agentur für die Sicherheit von Informationssystemen, für die betroffenen Entitäten.
- Eine obligatorische Meldung jedes Sicherheitsvorfalls innerhalb von 24 Stunden, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden.
- Die Implementierung einer dokumentierten Cyber-Risikomanagementpolitik, einschließlich Schulungen für Führungskräfte zu diesen Themen.
Die vorgesehenen Sanktionen können bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes betragen. Dies ist kein Thema mehr, das nur die IT-Abteilungen großer Unternehmen betrifft. Ein mittelständisches Mietverwaltungsunternehmen, das Tausende von Mietverträgen, Bankverbindungen und Ausweisdokumenten speichert, ist ein attraktives Ziel und nun ein regulierter Akteur.
Governance und Krisenkommunikation
Der am wenigsten sichtbare Aspekt von NIS2 ist die Dimension der Governance. Die Führungskräfte müssen die Cyber-Risikopolitik persönlich validieren und eine angemessene Schulung absolvieren. Im Falle eines Vorfalls ist Krisenkommunikation nicht improvisierbar: Der Text legt einen genauen Rahmen für die Benachrichtigung der Behörden und, je nach Fall, der betroffenen Personen fest.
Für einen Verwalter oder Immobilienverwalter bedeutet dies, ein Szenario für einen Datenleck von Mietern vorherzusehen, bevor es eintritt. Ein Reaktionsprotokoll vorbereiten, einen technischen Ansprechpartner identifizieren, sensible Datenströme dokumentieren: All dies sind Aufgaben, die nun der gesetzlichen Compliance unterliegen.
Schutz personenbezogener Daten in Immobilienagenturen
Bereits vor NIS2 legt die DSGVO einen strengen Rahmen für Immobilienprofis fest. Eine Agentur bearbeitet täglich Ausweisdokumente, Steuerbescheide und Gehaltsabrechnungen. Jedes gesammelte Dokument muss einem bestimmten Zweck dienen und sofort gelöscht werden, sobald es nicht mehr benötigt wird.
In der Praxis bewahren viele Agenturen Mietbewerbungsunterlagen über Jahre hinweg auf, auf gemeinsam genutzten Servern ohne Zugangsbeschränkungen. Ein Mitarbeiter, der das Unternehmen verlässt, behält manchmal seine Zugangsdaten wochenlang aktiv.
Einige konkrete Maßnahmen reduzieren das Risiko erheblich:
- Die Unterlagen von nicht akzeptierten Bewerbungen innerhalb eines angemessenen Zeitrahmens nach der Unterzeichnung des Mietvertrags zu löschen.
- Den Zugang zu sensiblen Daten nur auf die Mitarbeiter zu beschränken, die sie für ihre Aufgaben benötigen.
- Die Konten von Mitarbeitern, die das Unternehmen verlassen, sofort zu deaktivieren.
- Die gespeicherten Ausweisdokumente, selbst auf einem internen Server, zu verschlüsseln.
Physische Sicherheit auf Baustellen und Renovierungen
Sicherheit im Immobilienbereich spielt sich nicht nur hinter einem Bildschirm ab. Baustellen und Renovierungen sind nach wie vor Hochrisikoumgebungen. Stürze aus der Höhe, partielle Einstürze, der Verkehr von Maschinen in Fußgängerzonen: Die Mehrheit der schweren Unfälle auf Baustellen resultiert aus einem Organisationsmangel, nicht aus einer Unvermeidlichkeit.
Der SPS-Koordinator (Sicherheit und Gesundheitsschutz) greift bereits in der Planungsphase bei Operationen ein, die mehrere Unternehmen umfassen. Seine Aufgabe besteht darin, die Risiken im Zusammenhang mit der Koaktivität zu identifizieren, d.h. dass mehrere Gewerke gleichzeitig am selben Ort arbeiten.
Zugangskontrolle und Absicherung der Baustelle
Eine Baustelle, die ohne feste Umzäunung zur Straße hin offen ist, gefährdet sowohl die Arbeiter als auch die Passanten. Die Einrichtung von Bauzäunen, einem kontrollierten Zugang und einem Ein- und Ausweiseregister ist bei größeren Projekten keine Option. Der Präventionsplan muss vor dem ersten Spatenstich erstellt werden, nicht im Laufe der Vorfälle angepasst werden.
Die provisorischen Geländer an Treppenöffnungen, die Schutznetze an der Fassade, die Markierung von Hebezonen: Jedes Gerät reagiert auf ein während der vorherigen Analyse identifiziertes Risiko. Diese Phase zu vernachlässigen, bedeutet, die Verantwortung auf das Feld zu übertragen, wo die Handlungsspielräume am geringsten sind.
Sicherheit im Immobiliensektor basiert auf drei sich überschneidenden Säulen: dem physischen Schutz von Gebäuden und Baustellen, der Sicherung der von den Fachleuten bearbeiteten personenbezogenen Daten und der Einhaltung von Vorschriften, die an Anforderungen zunehmen.
Das Resilienzgesetz und die Richtlinie NIS2 markieren einen Wendepunkt. Die Akteure im Immobilienbereich, die ihre umfassende Sicherheitsstrategie vor dem Fristablauf der Umsetzung nicht strukturiert haben, setzen sich erheblichen finanziellen Sanktionen und schwer zu bewältigenden Reputationskrisen aus.