Informationssicherheit und Privacy

• Sichere Gestaltung von FM-Anwendungen und digitalen Plattformen: CAFM-Systeme, IWMS-Plattformen, mobile Instandhaltungsanwendungen, Reservierungssysteme, Besucherplattformen und technische Dashboards müssen nach dem Grundsatz „Security by Design“ geplant werden. Dazu gehören sichere Standardkonfigurationen, minimale Berechtigungen, Protokollierung, Verschlüsselung, kontrollierte Schnittstellen und getestete Änderungsverfahren.

• Trennung von Geschäfts- und Gebäudenetzwerken: Unternehmens-IT, Gastnetzwerke, Gebäudetechnik, Sicherheitssysteme, IoT-Geräte und externe Wartungszugänge sollten in getrennten Netzwerksegmenten betrieben werden. Der Datenverkehr zwischen diesen Segmenten darf nur über definierte und überwachte Verbindungen erfolgen.

• Sichere Kommunikation zwischen integrierten Systemen: Schnittstellen zwischen FM-Plattformen, Gebäudemanagementsystemen, Zutrittskontrolle, Energiemanagement und anderen Anwendungen müssen authentifiziert, verschlüsselt und auf erforderliche Daten beschränkt sein. Nicht benötigte Schnittstellen, Protokolle und Kommunikationswege sind zu deaktivieren.

Architekturentscheidungen müssen dokumentiert und vor der Inbetriebnahme geprüft werden. Bei Änderungen ist zu bewerten, ob neue Abhängigkeiten, externe Verbindungen oder zusätzliche Angriffsflächen entstehen.

• Benutzerauthentifizierung: Jede Person benötigt eine eindeutige Benutzerkennung. Administrative Konten und externe Zugriffe sollten durch Mehrfaktor-Authentifizierung geschützt werden. Gemeinsam genutzte Konten sind möglichst zu vermeiden, da sie die Nachvollziehbarkeit von Handlungen einschränken.

• Rollenbasierte Zugriffskontrolle: Berechtigungen werden entsprechend der tatsächlichen Aufgaben vergeben. Ein Gebäudetechniker benötigt andere Zugriffsrechte als ein Empfangsmitarbeiter, Flächenplaner, Sicherheitsdienst oder externer Wartungsanbieter. Das Prinzip der geringsten Berechtigung ist konsequent anzuwenden.

• Verwaltung privilegierter Konten: Konten mit erweiterten Rechten müssen besonders geschützt werden. Geeignete Maßnahmen sind separate Administrationskonten, zeitlich begrenzte Berechtigungen, Passworttresore, Sitzungsprotokollierung und eine regelmäßige Überprüfung privilegierter Aktivitäten.

• Passwort- und Anmeldedatenmanagement: Kennwörter und technische Zugangsdaten dürfen nicht unverschlüsselt gespeichert oder über unsichere Kommunikationswege versendet werden. Standardpasswörter sind vor der Inbetriebnahme zu ändern. Zugangsdaten für Dienstleister müssen personenbezogen, zeitlich begrenzt und nach Abschluss der Arbeiten deaktiviert werden.

Ein geregelter Eintritts-, Wechsel- und Austrittsprozess stellt sicher, dass neue Nutzer rechtzeitig die erforderlichen Rechte erhalten und nicht mehr benötigte Berechtigungen unverzüglich entzogen werden.

Für kritische Systeme sind Wiederanlaufzeit und maximal tolerierbarer Datenverlust festzulegen. Diese Vorgaben bilden die Grundlage für Sicherungsintervalle, Redundanzen und Wiederherstellungsplanung.

• Management von Sicherheitsupdates: Verfügbare Sicherheitsupdates müssen erfasst, bewertet, priorisiert und kontrolliert installiert werden. Kritische, extern erreichbare Systeme benötigen eine besonders schnelle Behandlung. Bei betriebskritischen oder sicherheitsrelevanten Anlagen sind Tests und abgestimmte Wartungsfenster erforderlich.

• Schwachstellenbewertungen: Regelmäßige Schwachstellenscans, technische Prüfungen, Herstellerhinweise und gegebenenfalls Penetrationstests helfen, Sicherheitslücken frühzeitig zu erkennen. Festgestellte Schwachstellen müssen nach Risiko priorisiert und bis zur Behebung nachverfolgt werden.

• Sichere Systemkonfiguration: Systeme sollten anhand genehmigter Sicherheitsstandards eingerichtet werden. Nicht benötigte Dienste, Ports, Konten und Funktionen sind zu deaktivieren. Konfigurationsänderungen müssen genehmigt, dokumentiert und bei Bedarf rückgängig gemacht werden können.

• Softwareaktualisierungsmanagement: Neben Sicherheitsupdates sind Versionsstände, Lizenzen, Kompatibilität, Herstellerunterstützung und das Ende des Produktlebenszyklus zu überwachen. Nicht mehr unterstützte Systeme müssen ersetzt, isoliert oder durch zusätzliche Schutzmaßnahmen abgesichert werden.

Facility Manager sollten für jede Datenkategorie den Verarbeitungszweck, die verantwortliche Stelle, die Zugriffsberechtigten, den Speicherort und die Aufbewahrungsdauer kennen. Daten aus verschiedenen Systemen dürfen nicht ohne Prüfung zu neuen Nutzerprofilen oder Überwachungszwecken zusammengeführt werden.

• Rechtmäßige Erhebung und Verarbeitung: Personenbezogene Daten dürfen nur für eindeutig festgelegte und legitime Zwecke erhoben werden. Vor der Einführung neuer Datenerhebungen müssen Rechtsgrundlage, Informationspflichten, betriebliche Erforderlichkeit und Verantwortlichkeiten geprüft werden.

• Datenminimierung: Es dürfen nur Daten verarbeitet werden, die für den jeweiligen FM-Prozess tatsächlich erforderlich sind. Beispielsweise benötigt eine Arbeitsplatzreservierung in vielen Fällen keine zusätzlichen privaten Kontaktdaten oder detaillierten Bewegungsprofile.

• Richtigkeit und Qualität: Personenbezogene und betriebliche Daten müssen aktuell, vollständig und sachlich richtig sein. Es sind Verfahren für Korrekturen, regelmäßige Datenprüfungen und die Bereinigung veralteter Datensätze einzurichten.

• Sichere Speicherung: Daten müssen in freigegebenen Systemen gespeichert werden. Unkontrollierte lokale Dateien, private Cloud-Speicher, offene Netzlaufwerke oder unverschlüsselte Datenträger sind für schutzbedürftige Daten ungeeignet.

• Kontrollierter Zugriff: Zugriffsrechte werden nach Aufgaben und Erforderlichkeit vergeben. Zugriffe auf Besucher-, Zutritts- und Belegungsdaten müssen regelmäßig überprüft und protokolliert werden.

• Aufbewahrung und Löschung: Für jede Datenkategorie sind nachvollziehbare Aufbewahrungsfristen festzulegen. Nach Ablauf des Zwecks oder der Frist müssen Daten sicher gelöscht, anonymisiert oder ordnungsgemäß vernichtet werden. Dies gilt auch für Sicherungskopien und exportierte Dateien.

• Datenverschlüsselung: Schutzbedürftige Daten sind bei der Übertragung und, soweit erforderlich, bei der Speicherung zu verschlüsseln. Verschlüsselungsschlüssel müssen getrennt, kontrolliert und nur autorisierten Systemen zugänglich verwaltet werden.

• Zugriffsautorisierung: Berechtigungen müssen auf dokumentierten Rollen beruhen. Regelmäßige Rezertifizierungen stellen sicher, dass Beschäftigte und Dienstleister nur auf Daten zugreifen können, die sie für ihre aktuellen Aufgaben benötigen.

• Sichere Speicherlösungen: Verwendete Plattformen müssen angemessene Sicherheitsfunktionen, Protokollierung, Datensicherung, Mandantentrennung und Schutz vor unbefugtem Export bieten. Auch die physische Sicherheit von Serverräumen und Datenträgern ist zu berücksichtigen.

• Kontrollierte Informationsweitergabe: Daten dürfen nur über freigegebene Übertragungswege und an eindeutig bestimmte Empfänger weitergegeben werden. Bei der Zusammenarbeit mit Dienstleistern sind Vertraulichkeit, Datenschutzpflichten, Sicherheitsanforderungen, Rückgabe und Löschung der Daten vertraglich zu regeln.

• Datenschutzdokumentation und Aufzeichnungen: Relevante Verarbeitungstätigkeiten, Datenflüsse, Empfänger, Schutzmaßnahmen, Löschfristen und Verantwortlichkeiten müssen dokumentiert werden. Bei neuen Technologien mit erhöhtem Risiko, etwa umfangreicher Belegungsanalyse, ist vor der Einführung eine vertiefte Datenschutz- und Risikobewertung erforderlich.

Datenschutz sollte bereits bei der Planung eines FM-Prozesses berücksichtigt werden. Systeme sind so zu konfigurieren, dass standardmäßig nur die notwendigen Daten erhoben und nur einem begrenzten Nutzerkreis angezeigt werden.

• Organisatorische Datenschutzrichtlinien: Interne Richtlinien müssen den Umgang mit personenbezogenen Daten, Informationsanfragen, Datenkorrekturen, Löschungen, Sicherheitsvorfällen und der Beauftragung externer Dienstleister regeln.

• Einhaltung regulatorischer Anforderungen: Facility-Management-Prozesse müssen die jeweils geltenden Datenschutz-, Arbeits-, Sicherheits- und Aufbewahrungsvorschriften berücksichtigen. Besondere Aufmerksamkeit ist bei Zutrittsprotokollen, Beschäftigtenüberwachung, Besucherregistrierung und Belegungsanalysen erforderlich.

• Verfahren zur Daten-Governance: Für Datenbestände sind Eigentümer, Qualitätsanforderungen, Klassifizierung, zulässige Nutzung, Speicherorte, Schnittstellen und Löschregeln festzulegen. Datenexporte und die Verknüpfung verschiedener Systeme müssen kontrolliert werden.

• Datenschutzrechtliche Rechenschaftspflicht: Die Organisation muss nachweisen können, dass Datenschutzanforderungen systematisch umgesetzt werden. Dazu gehören dokumentierte Entscheidungen, Schulungen, Kontrollen, Freigaben, Dienstleisterprüfungen und die Bearbeitung datenschutzbezogener Vorfälle.

Facility Management sollte eng mit Datenschutz, Informationssicherheit, Personalwesen, Rechtsabteilung und IT zusammenarbeiten. Dadurch lassen sich technische Betriebsanforderungen und rechtliche Schutzpflichten frühzeitig aufeinander abstimmen.

Operational Technology bezeichnet digitale Systeme, die technische Gebäudeprozesse überwachen, steuern oder unmittelbar beeinflussen. Im Gegensatz zu klassischen Büroanwendungen können Störungen oder Manipulationen von OT-Systemen direkte Auswirkungen auf Raumklima, Zutritt, Energieversorgung, Gebäudesicherheit und den Schutz von Personen haben.

Zu den typischen OT-Systemen gehören:

• Gebäudemanagement- und Gebäudeleitsysteme: Zentrale Überwachung und Steuerung technischer Anlagen, Alarme, Sollwerte und Betriebszustände.

• Heizungs-, Lüftungs- und Klimasteuerungen: Regelung von Temperatur, Luftqualität, Luftmengen, Druckverhältnissen und Betriebszeiten.

• Beleuchtungssteuerungen: Automatische oder zentral gesteuerte Beleuchtung, Präsenzfunktionen und zeitabhängige Schaltungen.

• Zutrittskontrollsysteme: Verwaltung von Türen, Schranken, Berechtigungen, Ausweisen und Zutrittsereignissen.

• Brand- und Personenschutzsysteme: Systeme zur Branddetektion, Alarmierung, Entrauchung, Fluchtwegsteuerung und Unterstützung sicherheitskritischer Abläufe.

• Energiemanagementsysteme: Erfassung, Analyse und Steuerung von Energieverbräuchen, Lasten, Zählern und Optimierungsmaßnahmen.

Viele OT-Systeme verfügen über lange Betriebslebenszyklen und können ältere Betriebssysteme, proprietäre Protokolle oder eingeschränkte Sicherheitsfunktionen verwenden. Deshalb müssen Schutzmaßnahmen an die technischen und sicherheitsbezogenen Rahmenbedingungen angepasst werden.

• Schutz betrieblicher Systeme vor Cyberbedrohungen: Schadsoftware, unbefugte Fernzugriffe, manipulierte Steuerbefehle und kompromittierte Wartungsgeräte dürfen den Gebäudebetrieb nicht gefährden.

• Aufrechterhaltung eines zuverlässigen Gebäudebetriebs: Sicherheitsmaßnahmen müssen die Stabilität und Verfügbarkeit technischer Anlagen unterstützen. Änderungen dürfen keine unkontrollierten Auswirkungen auf Versorgung, Raumklima oder Sicherheitssysteme verursachen.

• Verhinderung unbefugter Systemzugriffe: Nur autorisierte und fachlich qualifizierte Personen dürfen auf Steuerungen, Server, Bedienoberflächen, Netzwerke und Feldgeräte zugreifen.

• Sicherstellung der Betriebskontinuität: Für kritische Anlagen müssen Wiederherstellungsverfahren, gesicherte Konfigurationen, Ersatzgeräte, manuelle Betriebsoptionen und klare Eskalationswege vorhanden sein.

Bei allen Schutzmaßnahmen haben Personensicherheit und der sichere technische Anlagenbetrieb höchste Priorität.

Da aktive Sicherheitsscans oder automatische Eingriffe empfindliche OT-Komponenten beeinträchtigen können, müssen Prüfmethoden mit den Anlagenverantwortlichen und Herstellervorgaben abgestimmt werden.

• Definierte Governance-Verantwortlichkeiten: Es muss eindeutig festgelegt sein, wer für OT-Netzwerke, Anlagenkonfigurationen, Benutzerkonten, Fernwartung, Schwachstellen, Protokollierung und Vorfallbearbeitung verantwortlich ist.

• Sichere Integration zwischen Systemen: Verbindungen zwischen OT-Systemen, Unternehmensanwendungen, Analyseplattformen und Cloud-Diensten müssen geplant, genehmigt und überwacht werden. Datenflüsse und technische Abhängigkeiten sind zu dokumentieren.

• Koordiniertes Cybersecurity-Management: IT-, Informationssicherheits- und OT-Teams müssen Sicherheitswarnungen, Herstellerhinweise, Schwachstellen und geplante Änderungen gemeinsam bewerten. Wartungsfenster sind mit dem Gebäudebetrieb und den Anforderungen der Nutzer abzustimmen.

• Gemeinsames Management betrieblicher Risiken: Technische, digitale und physische Risiken dürfen nicht getrennt betrachtet werden. Eine IT-Störung kann beispielsweise Auswirkungen auf Zutritt, Klima oder Energieversorgung haben. Umgekehrt kann ein physisch zugängliches Steuergerät einen digitalen Angriff ermöglichen.

Gemeinsame Systeminventare, abgestimmte Eskalationswege, regelmäßige Übungen und klar geregelte Notfallentscheidungen verbessern die Zusammenarbeit zwischen IT und OT.

Das Incident Management stellt einen strukturierten Prozess bereit, um Informationssicherheitsvorfälle im Office Facility Management zu erkennen, zu bewerten, einzudämmen, zu beheben und systematisch auszuwerten. Ziel ist es, Gefahren für Personen und Gebäude zu begrenzen, Betriebsunterbrechungen zu reduzieren, Datenverluste zu verhindern und den sicheren Normalbetrieb kontrolliert wiederherzustellen.

Der Prozess muss mit Notfallmanagement, Business Continuity Management, Datenschutz, Krisenkommunikation und technischen Eskalationsverfahren abgestimmt sein. Bei jeder Reaktion sind zunächst Personensicherheit, Gebäudesicherheit und die Stabilität kritischer Anlagen zu berücksichtigen.

Während des gesamten Lebenszyklus sind Entscheidungen, Zeitpunkte, Auswirkungen und durchgeführte Maßnahmen nachvollziehbar zu dokumentieren. Beweismittel und Protokolldaten müssen vor unbeabsichtigter Veränderung geschützt werden.

• Unbefugter Zugriff: Nutzung gestohlener Zugangsdaten, nicht genehmigte Fernzugriffe, missbräuchliche Verwendung von Ausweisen oder Zugriff durch ehemalige Beschäftigte und Dienstleister.

• Schadsoftware- oder Ransomware-Angriffe: Infektionen von FM-Arbeitsplätzen, Servern, Wartungsgeräten oder integrierten Plattformen, die Daten verschlüsseln, Systeme blockieren oder weitere Schadprogramme nachladen.

• Datenschutzverletzungen: Unzulässige Offenlegung, Veränderung, Verlust oder Fehlversand von Besucher-, Beschäftigten-, Zutritts- oder Belegungsdaten.

• Netzwerkstörungen: Ausfall, Überlastung, Fehlkonfiguration oder absichtliche Beeinträchtigung von Kommunikationsverbindungen zwischen FM-, IT- und OT-Systemen.

• Kompromittierung von OT-Systemen: Manipulation von Sollwerten, Steuerbefehlen, Berechtigungen, Zeitprogrammen oder Gerätekonfigurationen sowie die Übernahme von Steuerungs- oder Bedienkomponenten.

• Verlust oder Diebstahl von Geräten: Abhandengekommene Laptops, Mobiltelefone, Tablets, Datenträger, Programmiergeräte oder technische Wartungsgeräte mit gespeicherten Zugangsdaten.

• Insiderbezogene Sicherheitsereignisse: Vorsätzliche oder unbeabsichtigte Handlungen von Beschäftigten, Auftragnehmern oder Partnern, etwa Fehlkonfigurationen, unzulässige Datenexporte oder die Weitergabe von Zugangsdaten.

Jeder Verdachtsfall sollte über einen zentralen Meldeweg aufgenommen und nach festgelegten Kriterien bewertet werden. Beschäftigte dürfen Vorfälle nicht eigenständig vertuschen oder ohne Abstimmung technische Beweismittel verändern.

Abhängig vom Vorfall können zusätzlich Datenschutz, Rechtsabteilung, Personalwesen, Kommunikation, Arbeitsschutz, Gebäudesicherheit, Versicherer und externe Spezialisten eingebunden werden. Vertretungsregelungen und Kontaktdaten müssen aktuell und auch bei einem Ausfall der regulären IT-Systeme verfügbar sein.

• Vorfallmeldung und Dokumentation: Vorfälle, Verdachtsfälle und relevante Beinaheereignisse werden einheitlich erfasst. Die Dokumentation enthält Zeitablauf, betroffene Systeme, Auswirkungen, Entscheidungen, Maßnahmen und verantwortliche Personen.

• Ursachenanalyse: Die Analyse betrachtet nicht nur den unmittelbaren technischen Fehler, sondern auch organisatorische, vertragliche und prozessbezogene Ursachen. Dazu gehören unklare Zuständigkeiten, unzureichende Schulungen, fehlende Kontrollen oder veraltete Systeme.

• Korrektur- und Präventionsmaßnahmen: Verbesserungen können technische Härtung, geänderte Berechtigungen, Netzwerksegmentierung, überarbeitete Verfahren, zusätzliche Überwachung oder die Ablösung nicht mehr unterstützter Systeme umfassen.

• Sicherheitsbewusstsein und Schulung: Erkenntnisse aus Vorfällen werden in zielgruppenspezifische Schulungen und Übungen übernommen. Facility Manager, Empfang, Gebäudetechniker und externe Wartungsunternehmen benötigen jeweils auf ihre Aufgaben zugeschnittene Inhalte.

• Regelmäßige Überprüfung der Sicherheitskontrollen: Kontrollmaßnahmen werden anhand von Vorfällen, Prüfungen, Schwachstellen, technischen Änderungen und neuen Bedrohungen bewertet. Wirksamkeit, Verantwortlichkeit und Umsetzungsstatus müssen nachvollziehbar sein.