BSI IoT-Sicherheit: Leitfaden Industrie 2026

In einem Satz. Der BSI-IT-Grundschutz-Baustein IND.x (Industrielle IT) und der EU Cyber Resilience Act (CRA, Verordnung 2024/2847) schaffen ab 2027 einen verbindlichen Sicherheitsrahmen für vernetzte Produkte und IoT-Geräte — Hersteller, Importeure und Betreiber müssen Security-by-Design, SBOM und 24h-Schwachstellenmeldung implementieren.

IoT-Geräte sind 2026 Top-3-Einfallstor für Cyberangriffe in Deutschland. Siehe ergänzend BSI-Grundschutz, NIS2 Deutschland, DSGVO Art. 32.

Wichtige Punkte

• IT-Grundschutz-Bausteine IND.1 bis IND.3.
• CRA ab Dezember 2027 verbindlich.
• Netzwerksegmentierung IT/OT zwingend.
• SBOM-Pflicht für Hersteller.
• 24h-Meldepflicht aktiv ausgenutzter Schwachstellen.

1. IT-Grundschutz IND-Schichten

Baustein	Inhalt
IND.1	Prozessleit- und Automatisierungstechnik
IND.2.1	Allgemeine IS-Anforderungen
IND.2.2	Speicherprogrammierbare Steuerung (SPS)
IND.2.3	Sensoren und Aktoren
IND.2.4	Maschine (z.B. CNC)
IND.3	Fernwartung industrielle Steuerung

2. Cyber Resilience Act (CRA)

EU-VO 2024/2847, verbindlich ab Dezember 2027. Pflichten für Hersteller “Produkte mit digitalen Elementen”:

• Security-by-Design über gesamten Lifecycle.
• Vulnerability Disclosure Policy.
• SBOM-Pflicht.
• Updates für definierten Support-Zeitraum (default 5 Jahre).
• 24h-Meldung aktiv ausgenutzter Schwachstellen an ENISA.

3. Netzwerksegmentierung IT/OT

• Strikte Trennung zwischen Office-IT und Produktions-OT.
• Demilitarized Zone (DMZ) für Datenflüsse.
• Unidirektionale Gateways (Datendiode) für höchste Sicherheit.
• ISA/IEC 62443-Zonenmodell.

4. Authentisierung in OT

• Keine Default-Credentials.
• Individuelle Konten statt geteilte Logins.
• MFA wo technisch möglich.
• PAM-Lösung für privilegierte Zugriffe.
• Session-Recording bei Fernwartung.

5. Patch-Management OT

• Patch-Windows mit Produktion abstimmen.
• Test in Mirror-Umgebung.
• Notfall-Patches innerhalb 7-30 Tagen.
• Wenn Patch nicht möglich: kompensierende Maßnahmen (Microsegmentation, IPS-Signaturen).

6. Monitoring

• OT-spezifisches IDS (Claroty, Dragos, Nozomi, SCADAfence).
• Network Traffic Analysis.
• Anomaly Detection auf Protokollebene (Modbus, OPC-UA, S7).
• SIEM-Integration.

7. DSGVO-Relevanz

IoT-Geräte verarbeiten oft personenbezogene Daten (Sensor + Standort, Smart Meter, Wearables). DSGVO-Pflichten:

• Verzeichnis nach Art. 30.
• DSFA bei systematischer Beobachtung (Art. 35).
• Datensparsamkeit auf Geräteebene.
• Default-Konfiguration datenschutzfreundlich (Art. 25).

8. Häufige Schwachstellen

• Default-Passwörter (Mirai-Botnetz-Ursache).
• Unverschlüsselte Kommunikation.
• Keine Firmware-Updates möglich.
• Fest verdrahtete Backdoor-Accounts.
• Verwendung obsoleter Bibliotheken (z.B. log4j in IoT-Firmware).

Für die Kommunikationsverschlüsselung gelten die Kryptographie-Empfehlungen der BSI TR-02102 auch auf Geräteebene.

9. NIS2-Pflichten

Hersteller und Betreiber kritischer IoT-Anwendungen (Energie, Wasser, Verkehr) fallen unter NIS2:

• Risikomanagement.
• Vorfallsmeldung (24h Frühwarnung).
• Personal-Schulung.
• Geschäftsleitungs-Verantwortung.

Was das konkret für Produktionsumgebungen bedeutet, zeigt unser Beitrag zu NIS2 für OT und Industrieanlagen.

10. Beispielsektoren

• Smart Meter: Pflicht zur Smart-Meter-Gateway-Zertifizierung BSI TR-03109.
• Connected Vehicles: UN R155/R156 für Cybersecurity und SUMS.
• Medizinische IoT: MDR/IVDR + DSGVO Art. 9.
• Smart Buildings: KNX/BACnet-Härtung.

11. Tool-Unterstützung

Legiscope verknüpft IoT-Pflichten aus CRA, NIS2 und DSGVO in einem Maßnahmenkatalog.

11. Konkrete Implementierungsschritte

1. Bestandsaufnahme der betroffenen Systeme und Datenflüsse (CMDB, Netzplan).
2. Schutzbedarfsfeststellung nach BSI-Standard 200-2 (normal/hoch/sehr hoch).
3. Risikoanalyse mit Bedrohungskatalog des IT-Grundschutz-Kompendiums.
4. Maßnahmenkatalog ableiten aus den relevanten Bausteinen.
5. Pilotierung auf ausgewähltem Subsystem, Lessons Learned dokumentieren.
6. Rollout mit Rollbackplan, Change-Management, Schulungen.
7. Monitoring über SIEM, regelmäßige Vulnerability-Scans.
8. Wirksamkeitsprüfung über interne Audits und Pentests, mindestens jährlich.
9. Dokumentation im ISMS-Tool (verinice., AdaptiveGRC, Compliance Aspekte).
10. Re-Zertifizierung spätestens alle drei Jahre.

12. Tool-Empfehlungen (Open-Source und kommerziell)

Bereich	Open-Source	Kommerziell
ISMS	verinice., OpenVAS	RSA Archer, ServiceNow GRC
SIEM	Wazuh, Graylog, ELK	Splunk, Microsoft Sentinel, IBM QRadar
Pentest	Kali Linux, Metasploit Framework	Burp Suite Pro, Cobalt Strike
Vulnerability-Scan	OpenVAS, Nuclei	Tenable Nessus, Qualys VMDR
Endpoint Detection	Wazuh, OSSEC	CrowdStrike Falcon, SentinelOne
Backup	Bacula, Restic	Veeam, Rubrik

Open-Source-Stacks sind für KMU oft ausreichend, erfordern aber qualifizierte Administration. Kommerzielle Lösungen liefern Support, Hardening-Defaults und Compliance-Reports out-of-the-box.

13. Voraussetzungen und Vorwissen

Für die Umsetzung empfiehlt der BSI mindestens: ISO 27001 Foundation oder BSI IT-Grundschutz-Praktiker-Zertifizierung, praktische Erfahrung mit Netzwerktechnik und Linux/Windows-Administration, Verständnis von Identitäts- und Zugriffsmanagement (IAM), Kenntnisse in Kryptographie nach BSI TR-02102. Für Audits zusätzlich ISO 27001 Lead Auditor oder BSI-zertifizierter Auditor. Mittlere Projekte erfordern ein Team aus DSB, ISB, Netzwerk-Admin und Anwendungsverantwortlichem.

14. ROI-Metriken und Kennzahlen

Typische Kennzahlen zur Erfolgskontrolle:

• Mean Time to Detect (MTTD): Ziel < 24 Stunden, ohne SIEM oft > 200 Tage (IBM Cost of a Data Breach Report).
• Mean Time to Respond (MTTR): Ziel < 4 Stunden für kritische Vorfälle.
• Patch-Compliance-Quote: Ziel > 95 % binnen 30 Tagen nach CVE-Veröffentlichung.
• Schulungsquote: 100 % aller Mitarbeitenden pro Jahr (E-Learning + Phishing-Tests).
• Audit-Befund-Schließung: Critical-Findings binnen 30 Tagen, High binnen 90 Tagen.
• Backup-Wiederherstellungstest: mindestens quartalsweise, RTO/RPO dokumentiert.

Ein durchschnittlicher Datenpannen-Vorfall kostet laut Bitkom-Studie 2024 in Deutschland 4,3 Mio. €. Investitionen in präventive Maßnahmen amortisieren sich typisch nach 18-30 Monaten.

15. Häufige Pitfalls

• Maßnahmen werden eingeführt, aber nicht in Betrieb gehalten (kein Lifecycle-Management).
• Fehlende Asset-Management-Disziplin — Schatten-IT bleibt unberücksichtigt.
• Verlassen auf Standard-Hardening ohne unternehmensspezifische Risikoanalyse.
• Keine Awareness-Schulungen für nicht-technische Mitarbeitende.
• Verträge mit Cloud-Anbietern ohne Sicherheits-SLA und Audit-Recht.
• Pentests ohne Re-Test nach Befundbehebung — Mängel bleiben offen.
• Logmanagement ohne Aufbewahrungspflicht-Konformität (DSGVO Art. 5 Abs. 1 lit. e).

16. Integration mit ISO 27001 und NIS2

ISO 27001:2022 und BSI-Grundschutz sind weitgehend kompatibel; eine Mapping-Tabelle des BSI ordnet die ISO-Controls (Annex A) den Grundschutz-Bausteinen zu. Doppelzertifizierungen sind möglich und reduzieren Audit-Aufwand um ca. 30 %. Für NIS2 Deutschland-pflichtige Einrichtungen (KRITIS, wesentliche/wichtige Einrichtungen nach § 28 NIS2UmsuCG) gilt: BSI-Grundschutz wird als geeigneter Sicherheitsstandard akzeptiert, ISO 27001 ebenso. Wer beides hat, deckt zugleich DORA-Anforderungen (für Finanzinstitute) und DSGVO Art. 32 Sicherheit ab.

17. Vergleich BSI vs ANSSI vs NIST

Aspekt	BSI (DE)	ANSSI (FR)	NIST (US)
Ansatz	Bausteinbasiert (modular)	Risikobasiert (EBIOS)	Funktion-basiert (CSF 2.0)
Hauptstandard	IT-Grundschutz / 200-2	PSSI-E, EBIOS RM	NIST CSF, SP 800-53
Zertifizierung	ISO 27001 auf Basis Grundschutz	LSTI, SecNumCloud	FedRAMP, FISMA
Cloud-Bewertung	C5 (Cloud Computing Compliance Criteria Catalogue)	SecNumCloud	FedRAMP High/Moderate
Pflichtkraft	KRITIS-Verordnung, NIS2UmsuCG	LPM, NIS2-Transposition	FISMA, Executive Orders

In multinationalen Konzernen wird häufig NIST CSF als Mantel verwendet, mit BSI-Grundschutz für DE-Tochterunternehmen und SecNumCloud für FR-Cloudnutzung.

Fazit

IoT-Sicherheit wird ab 2027 keine Kür mehr sein. Hersteller müssen Lifecycle-Sicherheit nachweisen, Betreiber Netzwerksegmentierung und Monitoring etablieren. Wer früh anfängt, kommt günstiger weg.

FAQ

Was ist der Cyber Resilience Act?

EU-Verordnung 2024/2847, ab Dezember 2027 verbindlich. Schafft Sicherheitspflichten für alle “Produkte mit digitalen Elementen”.

Was ist ein SBOM?

Software Bill of Materials — vollständige Liste aller Komponenten und Abhängigkeiten. CRA-Pflicht ab 2027.

Wie segmentiere ich IT/OT richtig?

ISA/IEC 62443-Zonenmodell: separate VLANs, Firewall zwischen Zonen, DMZ für Datenflüsse, Datendiode für höchste Sicherheit.

Welche Branche ist besonders betroffen?

Maschinenbau, Energie, Wasser, Gesundheit, Verkehr, Smart Cities — alle mit großen IoT/OT-Bestandsanlagen.

Was passiert mit Bestandsgeräten?

CRA gilt nur für neue Produkte ab 2027. Bestandsgeräte: NIS2-Anforderungen an Betreiber bleiben (kompensierende Maßnahmen).

Wie integriere ich BSI-Grundschutz mit bestehender ISO 27001?

Mapping-Tabellen des BSI zeigen Äquivalenzen zwischen Annex A und Grundschutz-Bausteinen. Praxis: Ein ISMS-Dokument für beide Standards, Audit kombiniert, Zertifizierungsaufwand sinkt um ca. 30 %. Voraussetzung ist ein zentrales ISMS-Tool wie verinice. mit beiden Profilen. Für die Re-Zertifizierung alle drei Jahre reicht ein gemeinsames Audit-Team.

Welche Kosten entstehen für die Erstimplementierung?

Für ein mittleres Unternehmen (250-500 Mitarbeitende): externe Beratung 80.000-180.000 €, Tooling 15.000-60.000 €/Jahr, interne Personalkosten 1-2 FTE über 12 Monate, Audit-Kosten 25.000-50.000 €. Gesamtprojekt typisch 250.000-450.000 € in Jahr 1, danach jährlich 60.000-120.000 € Betrieb. ROI über reduzierte Vorfallskosten und Versicherungsprämienrabatte (typisch 10-20 % bei Cyber-Versicherungen).

Wie verhält sich BSI-Grundschutz zu NIS2?

Die NIS2 Deutschland-Umsetzung (NIS2UmsuCG) akzeptiert BSI-Grundschutz und ISO 27001 als geeignete Sicherheitsstandards. KRITIS-Betreiber und wesentliche Einrichtungen müssen alle zwei Jahre den Nachweis erbringen. Wer bereits zertifiziert ist, hat den Compliance-Nachweis für NIS2 weitgehend erbracht.

Welche BSI-Technische-Richtlinien sind besonders relevant?

BSI TR-02102 (Kryptographische Verfahren), TR-03116 (eHealth-Sicherheit), TR-03161 (Anforderungen mobile Anwendungen), TR-03145 (Sichere CA-Betriebsprozesse), TR-03150 (Sichere Verarbeitung in der elektronischen Patientenakte). Für Cloud-Nutzung zusätzlich der C5-Katalog (Cloud Computing Compliance Criteria Catalogue) in Version C5:2020.