36,5 Millionen ans Internet angeschlossene IoT-Geräte hat der Device Security Threat Report 2025 für Deutschland erfasst, damit liegt die Bundesrepublik weltweit auf Platz zwei hinter den USA. Noch brisanter ist der operative Blick dahinter, 48,2 % der IoT-Verbindungen zu IT-Systemen stammen von hochriskanten Geräten, und 32,5 % aller Geräte laufen außerhalb der IT-Kontrolle, darunter Smart-TVs, Thermostate und private Laptops (Device Security Threat Report 2025 für Deutschland). Für Geschäftsführung und IT-Leitung ist das keine Randnotiz, sondern ein Hinweis auf eine Angriffsfläche, die längst größer ist als viele klassische Serverlandschaften.
Die reale Bedrohungslage für vernetzte Geräte in Deutschland
Die deutsche IoT-Landschaft ist nicht nur breit, sie ist auch unübersichtlich. Wenn fast jede zweite Verbindung aus einem hochriskanten Gerät kommt, dann ist das in der Praxis kein theoretisches Risiko, sondern ein Hinweis auf reale Einfallstore im Tagesgeschäft. Dazu kommt das Schatten-IT-Problem, denn Geräte laufen oft außerhalb zentraler Kontrolle, obwohl sie direkt mit Unternehmenssystemen sprechen.
Was die Zahlen für KMU wirklich bedeuten
In einem KMU mit Büro, Homeoffice und vielleicht noch Produktions- oder Gebäudetechnik ist die Grenze zwischen IT und IoT oft unscharf. Eine Kamera, ein Konferenzraumsystem oder ein vernetzter Thermostat wirkt harmlos, bis genau dieses Gerät als Brücke ins interne Netz dient. Die aktuelle deutsche Datenlage zeigt vor allem eines, die eigentliche Gefahr steckt nicht im einzelnen Sensor, sondern in der Masse heterogener Endpunkte und in den unbekannten Verbindungen dazwischen.
Wer IoT-Sicherheit nur als Technikfrage behandelt, verfehlt den Punkt. Die Zahlen belegen, dass es um Governance, Sichtbarkeit und Zuständigkeiten geht, also um Fragen wie, wer Geräte freigibt, wer Updates prüft und wer riskante Ausnahmen akzeptiert. Ohne diese Antworten bleibt jedes Netzwerksegment nur eine teilweise Lösung.
Praktische Regel: Wenn ein Gerät geschäftlich relevant ist und Netzverkehr erzeugt, gehört es in die Sicherheitsbetrachtung, auch dann, wenn es niemand als „klassische IT“ wahrnimmt.
Für den deutschen Markt ist das besonders relevant, weil viele Unternehmen Geräte aus Gebäudeautomation, Collaboration und Produktion nebeneinander betreiben. Genau dort entsteht die Mischung aus Komfort, Integrationsdruck und Sicherheitslücke. Wer tiefer in die betriebliche Seite von Absicherung einsteigen will, findet einen nützlichen Bezugspunkt im Bereich OT-Sicherheit, denn die Denkmuster sind oft ähnlich, auch wenn die Umgebungen unterschiedlich sind.
Der historische Druck hat sich verschärft
Frühe Telemetriedaten aus Smart-Home-Umgebungen zeigen, wie schnell sich die Lage zugespitzt hat. Bitdefender dokumentierte pro Haushalt im Schnitt 21 vernetzte Geräte und mehr als 10 Angriffe pro 24 Stunden, später wurden 22 Geräte und rund 29 Angriffe pro Tag genannt (Bitdefender-Analyse zu Smart-Home-Umgebungen). Für Unternehmen ist diese Entwicklung nicht deshalb wichtig, weil Heimnetze identisch wären, sondern weil die gleichen Gerätekategorien, Router, Kameras, Smart-TVs und Thermostate, auch in Firmenumgebungen auftauchen.
Die eigentliche Lehre ist einfach. Je mehr IoT-Geräte in den Betrieb integriert werden, desto mehr Zustände, Schnittstellen und Updatepfade müssen kontrolliert werden. Wer das nicht zentral organisiert, produziert unbewusst ein Sicherheitsmodell auf Zuruf.
Typische Schwachstellen und Angriffsvektoren im IoT-Umfeld
Ein typisches KMU-Szenario sieht oft so aus, ein Gebäude hat IP-Kameras, ein Produktionsbereich läuft mit Sensorik, und im Büro hängen digitale Displays, Smart-TVs und Meeting-Hardware im selben Netz oder in schlecht getrennten Segmenten. Das Problem beginnt nicht bei „dem einen Gerät“, sondern bei den Gemeinsamkeiten zwischen ihnen. Genau dort greift das BSI mit seinem Grundschutz-Kompendium an, denn für allgemeine IoT-Geräte fordert es eine technische Auslegung auf das notwendige Minimum und nennt als zentrale Schwachstellenklassen unsichere Weboberflächen, unzureichende Authentisierung und Berechtigung, unsichere Netzwerkdienste sowie fehlende Transportsicherung (BSI-Grundschutz-Kompendium zu allgemeinen IoT-Geräten).
Die Kamera mit Weboberfläche, die niemand mehr prüft
Eine Gebäudekamera hat oft eine bequeme Weboberfläche für Wartung und Konfiguration. Wenn diese Oberfläche schwach geschützt ist, wird aus einem Verwaltungswerkzeug schnell ein Angriffsvektor. Das ist kein exotischer Fall, sondern der typische Einstiegspunkt bei schlecht gepflegten IoT-Installationen.
Der Thermostat, der zu viel darf
Vernetzte Thermostate oder Raumcontroller scheitern in der Praxis selten an ihrer Grundfunktion, sondern an zu breiten Berechtigungen. Fehlt saubere Authentisierung oder Berechtigungstrennung, kann ein kleines Komfortgerät plötzlich in Betriebsprozesse hineinwirken, die eigentlich nicht von ihm abhängen sollten. Für Entscheider ist wichtig, dass solche Geräte oft nicht laut auffallen, aber weitreichende Folgeeffekte haben.
Der Sensor, der unverschlüsselt sendet
Ein Sensor, der unverschlüsselt kommuniziert, liefert Angreifern zwei Chancen, Mithören und Manipulation. In verteilten Umgebungen ist das besonders unangenehm, weil Datenpfade oft über mehrere Systeme gehen, bevor sie in einer Anwendung sichtbar werden. Wer hier nicht absichert, macht aus einer simplen Messkette eine offene Datenspur.
Ein IoT-Gerät ist nicht deshalb gefährlich, weil es „smart“ ist, sondern weil es Teil einer Kette ist, die oft schlechter kontrolliert wird als klassische Clients.
Auch die Schnittstellenfrage ist relevant. Viele Probleme entstehen nicht am Gerät selbst, sondern zwischen Gerät, Backend, Cloud und Betrieb. Genau dort sind Integrationsfehler, veraltete Software und unsaubere Protokolle die eigentliche Angriffsfläche, und darum lohnt sich ein Blick auf Software Supply Chain Security, wenn Geräte, Firmware und externe Dienste zusammenkommen.
Drei Sicherheitsprinzipien für den wirksamen IoT-Schutz
Wer IoT absichern will, braucht kein Sammelsurium aus Einzelmaßnahmen, sondern ein Schutzkonzept, das im Alltag tragfähig bleibt. Drei Prinzipien funktionieren in der Praxis besonders gut, weil sie sich gegenseitig ergänzen, Netzsegmentierung, Zugriffskontrolle und Verschlüsselung. Das BSI beschreibt genau diese Richtung indirekt über die Forderung nach notwendigen Funktionen, sauberer Authentisierung und gesicherter Übertragung, und im Betrieb ist das die Basis für belastbare Härtung.
Netzsegmentierung begrenzt den Schaden
Segmentierung ist wie Brandschutztüren im Gebäude. Ein Vorfall bleibt dort, wo er entsteht, statt sich frei auszubreiten. In einem KMU heißt das, Kameras, Sensoren, Büro-Clients und Verwaltungsserver nicht blind in denselben Bereich zu legen, sondern Verbindungen gezielt zu erlauben.
Der wichtige Trade-off ist simpel, Segmentierung kostet anfangs Planung und Disziplin. Dafür sinkt die Wahrscheinlichkeit, dass ein kompromittiertes Gerät seitlich ins restliche Netz springt. Wer das sauber umsetzt, gewinnt Zeit, und Zeit ist im Incident-Fall oft der eigentliche Sicherheitsgewinn.
Zugriffskontrolle trennt legitime Nutzung von bloßem Zugriff
IoT-Geräte brauchen nicht nur ein Passwort, sie brauchen nachvollziehbare Identitäten, Rollen und klare Freigaben. Das gilt für Menschen genauso wie für Management-Systeme, die Geräte steuern oder auslesen. Multi-Faktor-Authentifizierung gehört dort hin, wo Admin-Zugänge, Fernwartung und Cloud-Anbindungen zusammenlaufen, weil gerade diese Stellen häufig am stärksten missbraucht werden.
Verschlüsselung schützt die Strecke, nicht nur das Gerät
Viele Teams sichern Geräte gut ab, vergessen aber den Weg der Daten. Verschlüsselung schützt die Kommunikation zwischen Sensor, Backend und Management-Plattform und ist damit kein optionales Extra, sondern eine Grundbedingung. TLS 1.3 ist hier ein sinnvoller Zielpunkt, wenn die jeweilige Gerätegruppe und das Hersteller-Ökosystem es zulassen.
- Für Netzwerkbereiche gilt: IoT nie pauschal ins Produktions- oder Office-Netz hängen.
- Für Zugänge gilt: Admin-Rechte nur über nachvollziehbare Identitäten vergeben.
- Für Datenflüsse gilt: Nur verschlüsselte Protokolle dort erlauben, wo Geräte und Backend miteinander sprechen.
Compliance-Anforderungen durch NIS-2 und ISO 27001 erfüllen
Viele Firmen sichern Geräte technisch ab, können aber gegenüber Geschäftsführung, Auditoren oder Vertragspartnern nicht sauber belegen, was sie eigentlich kontrollieren. Genau hier liegt der Unterschied zwischen „wir haben Maßnahmen“ und „wir haben prüfbare Governance“. Für die Praxis heißt das, NIS-2- und ISO-27001-Anforderungen so zu übersetzen, dass sie an Geräteinventar, Rollen, Risiken und Nachweise gebunden sind.
Die eigentliche Schwachstelle sitzt oft an der Schnittstelle zwischen Gerät, Backend, Cloud und Betrieb. Das Impulspapier zur IoT-Sicherheit beschreibt diese Übergänge als typische Quelle für Schwachstellen, gerade wegen veralteter Software, unsicherer Protokolle und fehlender Integration (Impulspapier IoT-Sicherheit). Für Unternehmen in Deutschland ist das wichtig, weil eine Audit-Frage selten lautet „Ist das Gerät sicher?“, sondern meist „Können Sie zeigen, wie Sie das System als Ganzes beherrschen?“.
Welche Nachweise im Audit praktisch zählen
Gefragt sind in der Regel keine schönen Folien, sondern belastbare Artefakte. Dazu gehören ein vollständiges Geräteinventar, eine dokumentierte Risikoeinstufung, ein Patch- und Update-Konzept, geregelte Verantwortlichkeiten und Nachweise für Drittanbieter- oder Cloud-Anbindungen. Wer mit externen Dienstleistern arbeitet, muss außerdem zeigen können, wie Freigaben, Wartung und Zugriffe gesteuert werden.
Audit-tauglich ist nur, was jemand im Team wiederholen kann. Wenn eine Maßnahme nicht dokumentiert, zugeordnet und überprüfbar ist, bleibt sie im Ernstfall nur Behauptung.
Für Geschäftsführer ist besonders die Risikobegründung entscheidend. Warum ist ein Gerät in einem Netzsegment, wer akzeptiert das Restrisiko, und wie oft wird die Entscheidung überprüft? Wer diese Fragen nicht beantworten kann, hat meist keine Techniklücke, sondern eine Governance-Lücke.
Hilfreich ist dabei auch ein Blick auf NIS-2-Compliance-Software, wenn operative Nachweise, Verantwortlichkeiten und Reporting zusammengeführt werden sollen. Nicht jede Organisation braucht dafür gleich komplexe Werkzeuge, aber jede Organisation braucht ein System, das diese Nachweise nicht jedes Mal neu zusammensuchen lässt.
Implementierungs-Roadmap für KMU in vier Phasen
Die beste Sicherheitsarchitektur bringt wenig, wenn sie im Alltag nicht umgesetzt wird. Für KMU funktioniert eine phasenbasierte Einführung besser als der Versuch, alles gleichzeitig perfekt zu machen. Entscheidend ist, dass jede Phase ein klares Ergebnis liefert und nicht nur neue Aufgaben erzeugt.
Phase 1 Inventarisierung
Am Anfang steht die Liste aller vernetzten Geräte. Nicht nur die, die die IT freiwillig kennt, sondern auch Geräte aus Gebäudetechnik, Produktion, Besprechungsräumen und mobilen Arbeitsplätzen. Ohne diese Sichtbarkeit kann keine Priorisierung funktionieren.
Der wichtigste Stolperstein ist nicht Technik, sondern Zuständigkeit. Oft weiß die Fachabteilung, was angeschlossen ist, aber niemand überführt dieses Wissen in ein zentrales Verzeichnis. Das Ziel der ersten Phase ist daher nicht Perfektion, sondern ein belastbarer Ausgangspunkt.
Phase 2 Segmentierung
Danach folgt die Trennung kritischer Systeme vom Internet und von unkritischen Endgeräten. Wer hier sauber arbeitet, reduziert die Angriffsfläche sofort, auch wenn noch nicht jedes Gerät perfekt gehärtet ist. Das ist in KMU besonders nützlich, weil man damit schnell Risiko aus dem Netz nimmt, ohne auf jede Herstellerfreigabe warten zu müssen.
Phase 3 Härtung
In dieser Phase geht es um Konfiguration, Updates und Passwortrichtlinien. Jetzt wird aus der Liste ein kontrollierter Bestand, und hier zeigt sich, welche Hersteller gut mitspielen und welche ihre Geräte nur schwer verwaltbar machen. Genau deshalb muss Patch-Fähigkeit schon beim Einkauf mitgedacht werden, nicht erst im Betrieb.
Phase 4 Überwachung
Am Ende braucht es laufendes Monitoring und Alerts. IoT-Geräte liefern oft wenig eigene Logs, deshalb muss das Umfeld beobachtet werden, also Netzverkehr, ungewöhnliche Verbindungen und Zustandsänderungen. Der Fehler vieler Unternehmen ist, Monitoring als Zusatzprojekt zu sehen, obwohl es der dauerhafte Kontrollmechanismus ist.
- Inventarisierung, grob 1 bis 2 Wochen: Alle Geräte erfassen und Verantwortliche benennen.
- Segmentierung, grob 2 bis 4 Wochen: Kritische Verbindungen trennen und Freigaben reduzieren.
- Härtung, grob 1 bis 2 Monate: Konfigurationen, Updates und Zugänge vereinheitlichen.
- Überwachung, laufend: Auffälligkeiten erkennen, melden und nachhalten.
Wer innerhalb von 90 Tagen nur ein Ergebnis braucht, sollte mit Inventar und Segmentierung anfangen. Beides senkt das Risiko schneller als jede spätere Detailoptimierung.
So unterstützt Deeken.Technology bei der IoT-Absicherung
In der Praxis scheitert IoT-Sicherheit selten an guten Absichten, sondern an fehlender Kapazität, unklaren Zuständigkeiten und heterogenen Geräteflotten. Genau dort setzt Deeken.Technology GmbH an, mit Security-Assessment, technischer Umsetzung und laufender Betreuung rund um Unternehmens-IT, Cloud und Sicherheitsprozesse. Das ist besonders relevant, wenn IoT nicht isoliert betrachtet werden kann, sondern mit Netzwerk, Identitäten und Compliance zusammenhängt.
Als zertifiziertes Unternehmen mit ISO 27001-Ausrichtung und NIS-2-Fokus bringt Deeken.Technology die Governance-Perspektive mit, die viele Projektteams im Alltag fehlt. In der Umsetzung geht es dann um konkrete Fragen, etwa wie Geräte sichtbar gemacht, segmentiert und regelmässig überprüft werden. Die Partnerschaften mit Herstellern wie WatchGuard, IONOS und Acronis sind dabei vor allem deshalb relevant, weil sie Integrationen und Betriebskonzepte in bestehende Infrastrukturen erleichtern.
Für KMU ist externe Unterstützung besonders sinnvoll, wenn mehrere Standorte, Cloud-Dienste und technische Fremdsysteme zusammenkommen. Dann reicht eine isolierte Sicherheitsmaßnahme nicht mehr aus, weil jedes neue Gerät neue Abhängigkeiten schafft. Ein erfahrener Partner hilft vor allem dort, wo Sicherheitsanforderungen, Betrieb und Audit-Nachweise ineinandergreifen.
Häufige Fehlannahmen zur IoT-Sicherheit und was wirklich zählt
Die erste Fehlannahme lautet, IoT-Geräte seien zu unwichtig, um Ziel eines Angriffs zu sein. In der Praxis nutzen Angreifer gerade solche Geräte als Einstiegspunkt, weil sie oft schlechter überwacht werden als klassische Clients. Unauffällig heißt nicht ungefährlich.
Die zweite Fehlannahme ist, ein starkes Passwort reiche aus. Passwortschutz ist wichtig, aber er löst weder Segmentierungsprobleme noch unsichere Protokolle, und er hilft auch nicht gegen veraltete Firmware. IoT-Sicherheit ist immer mehrschichtig, sonst bleibt der Schutz an der Oberfläche.
Die dritte Fehlannahme ist, IoT-Sicherheit sei ein einmaliges Projekt. Das Gegenteil ist der Fall, denn Geräte altern, Hersteller ändern Supportmodelle und Integrationen verschieben sich ständig. Wer das Thema als Lifecycle-Management versteht, bekommt deutlich mehr Stabilität als mit einmaligen Härtungsaktionen.
Der realistische Maßstab ist nicht „absolut sicher“, sondern „jederzeit nachvollziehbar beherrscht“.
Wenn Sie IoT-Sicherheit in Ihrem Unternehmen endlich operativ lösen wollen, statt nur punktuelle Einzelmaßnahmen zu sammeln, sprechen Sie mit der Deeken.Technology GmbH über Inventarisierung, Segmentierung, Härtung und prüfbare Governance. Besuchen Sie Deeken.Technology GmbH, wenn Sie eine belastbare Einschätzung für Ihre Geräteflotte, NIS-2-Anforderungen und den nächsten Audit-Schritt brauchen.
