Cybersicherheit im Facility Management: Warum Gebäudedaten geschützt werden müssen

Facility-Management-Betriebe verwalten weit mehr als Reinigungspläne und Wartungstermine. Sie kennen Zutrittscodes, Schließpläne und Alarmanlagen ihrer Auftraggeber, verwalten Objekt- und Vertragsdaten für zahlreiche Liegenschaften gleichzeitig und führen Personaleinsatzpläne mit sensiblen Mitarbeiterdaten. Diese Bündelung macht Hausmeisterdienste und Gebäudedienstleister zu einem lohnenderen Angriffsziel, als viele im Tagesgeschäft wahrnehmen. Wer für mehrere Kunden gleichzeitig Schlüssel, Codes und digitale Zugänge verwaltet, trägt eine Verantwortung, die weit über die eigene IT-Infrastruktur hinausreicht.

Warum Gebäude- und Zutrittsdaten besonders schützenswert sind

Ein Großteil der Informationen, die im FM-Alltag anfallen, sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung. „Personenbezogene Daten" sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich einer identifizierten oder identifizierbaren natürlichen Person zuordnen lassen – das schließt bereits Zutritts- und Schließdaten ein, sobald sie Rückschlüsse auf Anwesenheiten, Bewegungsmuster oder Arbeitszeiten einzelner Personen zulassen. Hinzu kommen Objektpläne, Alarmcodes und Schließsysteme der Auftraggeber sowie die Personaldaten der eigenen Belegschaft. Ein einzelner Datenabfluss betrifft damit selten nur ein System, sondern potenziell mehrere Gebäude, mehrere Auftraggeber und mehrere Personengruppen gleichzeitig. Verschärft wird die Lage durch die zunehmende Vernetzung von Gebäudetechnik: Sind Zutrittskontrollen, Aufzugssteuerungen oder Gebäudeleitsysteme an das Netzwerk angebunden, betrifft ein erfolgreicher Angriff nicht mehr nur Daten, sondern potenziell auch die physische Sicherheit eines Gebäudes. Das unterscheidet FM-Betriebe von vielen anderen Dienstleistern: Sie sitzen an einer Schnittstelle zwischen physischer und digitaler Sicherheit.

Typische Bedrohungen: Phishing und Ransomware

Nach dem Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur IT-Sicherheit in Deutschland 2025 bleibt die Bedrohungslage angespannt: Unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum weiterhin verwundbar. Im Berichtszeitraum Juli 2024 bis Juni 2025 wurden durchschnittlich 119 neue Schwachstellen pro Tag bekannt – ein Anstieg von rund 24 Prozent gegenüber dem Vorjahr. Bei den erfassten Ransomware-Angriffen waren laut den im Lagebericht zitierten Zahlen des Bundeskriminalamts rund 80 Prozent kleine und mittlere Unternehmen betroffen, häufig mit der Folge von Datenlecks oder deren Androhung. Auch Phishing bleibt ein zentraler Angriffsweg: Weltweit entstehen täglich mehrere hundert neue Phishing-Seiten, die oft nur wenige Stunden aktiv bleiben, bevor sie wieder verschwinden. Für kleinere FM-Betriebe ohne eigene IT-Abteilung ist das gefährlich: Ein einziger unbedachter Klick auf eine gefälschte Rechnung oder ein manipuliertes Auftragsformular kann ausreichen, um Zugriff auf Kunden- und Objektdaten zu verlieren.

„Die Lage der IT-Sicherheit in Deutschland bleibt weiterhin auf angespanntem Niveau. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar." – BSI-Lagebericht 2025

Grundschutz-Maßnahmen für den Alltag

Ein vollständiger Schutz vor Cyberangriffen existiert nicht, doch ein Großteil der Vorfälle lässt sich mit überschaubarem Aufwand deutlich unwahrscheinlicher machen. Das BSI empfiehlt dafür unter anderem folgende Basismaßnahmen:

• Multi-Faktor-Authentisierung (MFA): für alle schützenswerten Konten und Systeme, insbesondere für den Zugriff auf Kunden- und Objektdaten. Für NIS2-regulierte Einrichtungen gehört der Einsatz von MFA oder vergleichbaren Verfahren inzwischen zu den vorgeschriebenen Risikomanagementmaßnahmen.
• Regelmäßige Backups nach der 3-2-1-Regel: mindestens drei Kopien wichtiger Daten auf zwei unterschiedlichen Speichermedien, davon eine räumlich getrennt aufbewahrt – im IT-Grundschutz-Baustein CON.3 des BSI als Basisschutz gegen Ransomware verankert.
• Zeitnahe Updates: Betriebssysteme, Apps und eingesetzte Software aktuell halten, da viele Angriffe bekannte, aber ungepatchte Lücken ausnutzen.
• Rechte- und Rollenkonzept: Zugriff auf Objekt-, Kunden- und Personaldaten nur für die Personen, die ihn für ihre Aufgabe tatsächlich benötigen.

Technik allein reicht nicht: Ebenso wichtig ist die regelmäßige Sensibilisierung der Mitarbeitenden für Phishing-Versuche und ein kurzer, unkomplizierter Meldeweg für verdächtige E-Mails oder ungewöhnliche Systemzugriffe. Gerade in Betrieben ohne eigene IT-Abteilung ersetzt eine solche Aufmerksamkeit im Alltag oft die technische Erkennung, die sich größere Unternehmen leisten können.

Cloud-Sicherheit und Serverstandort

Viele FM-Betriebe scheuen den Schritt in die Cloud aus Sorge um die Datensicherheit – dabei zeigt der Bitkom Cloud Report 2025, dass Sicherheit längst zum entscheidenden Auswahlkriterium geworden ist: 99 Prozent der befragten Unternehmen nennen Vertrauen in IT-Sicherheit, Datenschutz und Compliance als zwingendes Kriterium bei der Wahl eines Cloud-Anbieters, 96 Prozent fordern Verschlüsselungsmöglichkeiten, und 67 Prozent gewichten das Herkunftsland des Anbieters. Auffällig ist zudem, dass bei der Cloud-Nutzung die Private Cloud mit 74 Prozent deutlich vor Public-Cloud-Angeboten mit 59 Prozent liegt – ein Hinweis darauf, dass deutsche Unternehmen bei sensiblen Daten bewusst auf mehr Kontrolle setzen. Ein Serverstandort in Deutschland oder der EU erleichtert zusätzlich die datenschutzrechtliche Bewertung, weil internationale Datentransfers samt zusätzlicher Garantien entfallen. JP FM setzt als cloudbasierte Software genau hier an: Die Anwendung wird in Deutschland gehostet, ohne dass Betriebe eigene Server oder eine eigene IT-Sicherheitsabteilung aufbauen müssen.

NIS2 und BSIG: Betrifft das auch Facility-Management-Betriebe?

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Es verpflichtet nach Angaben des BSI rund 29.500 Unternehmen und Institutionen der Bundesverwaltung zu neuen Pflichten in der IT-Sicherheit. Betroffen sind Betriebe aus 18 regulierten Sektoren, sofern sie zusätzlich bestimmte Schwellenwerte überschreiten: Nach § 28 BSIG gelten Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und -bilanzsumme in aller Regel als „wichtige Einrichtung", größere Betriebe als „besonders wichtige Einrichtung". Klassische Gebäudereinigung, Hausmeisterdienste oder allgemeines Facility Management zählen meist nicht direkt zu diesen 18 Sektoren. Indirekt relevant werden kann NIS2 für FM-Betriebe dennoch: § 30 BSIG verpflichtet regulierte Einrichtungen ausdrücklich zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern". Wer als FM-Dienstleister für regulierte Auftraggeber – etwa Energieversorger, Kliniken oder Behörden – Zutritt zu Technikräumen oder sensiblen Bereichen hat, muss daher zunehmend mit vertraglichen Sicherheitsanforderungen rechnen, auch ohne selbst unmittelbar reguliert zu sein. Dieser Abschnitt bietet eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.

Sicherheit als Teil der Sorgfaltspflicht

Cybersicherheit ist damit kein IT-Thema am Rand, sondern Teil der Sorgfaltspflicht gegenüber Auftraggebern, Mitarbeitenden und den Menschen, die die verwalteten Gebäude nutzen. Wer Dokumentation und Nachweise durchgängig digital führt und dabei auf eine zentrale Lösung statt auf verstreute Excel-Dateien setzt, reduziert die Angriffsfläche fast nebenbei. Ergänzt um ein Kundenportal mit rollenbasierten Zugriffsrechten lässt sich Transparenz gegenüber Auftraggebern schaffen, ohne Daten unnötig weit zu streuen.

Quellen & weiterführende Informationen

• BSI: Die Lage der IT-Sicherheit in Deutschland 2025 (Zusammenfassung)
• Security-Insider: BSI-Lagebericht 2025 im Detail
• BSI: Häufige Fragen zu NIS-2
• § 30 BSIG – Risikomanagementmaßnahmen und Lieferkettensicherheit
• Bitkom: Cloud Report 2025
• Art. 4 DSGVO – Begriffsbestimmungen (dejure.org)