Zum Hauptinhalt springen

Blatt 26 / 79 · Ratgeber Smart Business & IoTBetriebsIT by NovaHaus

Ratgeber Smart Business & IoT

Vernetzte Räume brauchen zuerst eine Betriebslogik. Geräte, Daten, Sicherheit und manueller Betrieb müssen zusammenpassen.

Wie kleine Unternehmen Smart Office, Smart Building und IoT vom realen Prozess aus planen, Herstellergrenzen respektieren und Ausfall sowie Anbieterwechsel beherrschbar halten.

BSI- und EU-PrimärquellenCRA-Grenzen klar benanntFail-safe vor Komfort
Blatt
26 / 79 · Ratgeber Smart Business & IoT
Stand
25.09.2026
Verantwortlich
Giorgi Okropiridze
Zusagen
Umfang & Preis vor Auftrag · Übergabe dokumentiert · Verantwortlicher benannt

Fortsetzung Blatt 27 →

Orientierung mit klarer EmpfehlungErst verstehen, dann sauber entscheiden.
23 Ratgeberkonkrete FragenAntwort + Checkliste
PrimärquellenBSI · EU · Anbietersichtbar zugeordnet
1 AutorQualifikation sichtbarfachlich verantwortet
AktualisiertDatum je Beitragnachvollziehbarer Stand
Digital-Check BeispieldatenSichtbarkeitteilweiseSicherheitpriorisierenProzessestabil
Kurzantwort

Vernetzte Räume brauchen zuerst eine Betriebslogik.

Smart Business ist kein Gerätepaket, sondern ein dokumentierter Betriebsprozess für Räume, Sensoren, Zutritt, Energie oder andere vernetzte Komponenten. Vor dem Kauf müssen Nutzen, Netz, Konten, Updates, Datenzugriff, Ausfallmodus, Supportende und Zuständigkeiten geklärt sein. Der Cyber Resilience Act richtet Pflichten je nach konkreter Rolle vor allem an Hersteller sowie auch an Importeure und Händler. Eine normale Planung oder Installation macht einen Dienstleister nicht pauschal zum Hersteller; eigener Name, Marktbereitstellung, Import, Vertrieb oder eine substanzielle Änderung können die Einordnung jedoch verändern und müssen projektbezogen geprüft werden.

Smart BusinessIoT-SicherheitSmart Office und Smart BuildingCyber Resilience ActEU Data ActFallback und Anbieterwechsel
Praxisnah und nachvollziehbar

Empfehlungen, Abgrenzungen und Prüfpunkte sind nachvollziehbar aufgebaut. Quellenbezüge stehen an den belegten Prüfaussagen und vollständig im Quellenverzeichnis.

Direkt anwendbar

Smart Business in acht belastbaren Schritten planen

8 Prüfpunkte, mit denen Sie den aktuellen Stand im eigenen Betrieb konkret einordnen können.

  1. 01
    Den Betriebsnutzen vor dem Gerät beschreiben

    Starten Sie mit Raum, Ablauf, Störung und gewünschtem Ergebnis: etwa Energieverbrauch sichtbar machen oder eine definierte Meldung auslösen. Komfortfunktionen ohne verantwortlichen Prozess erzeugen zusätzliche Technik, aber keinen belastbaren Betrieb.

    QuellenBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-Gerät
  2. 02
    Geräte, Gateways, Konten und Datenflüsse inventarisieren

    Erfassen Sie Hersteller, Modell, Firmware, Netzwerkverbindung, Cloud-Dienst, Administrator, Standort, Datenarten und Abhängigkeiten. IoT-Geräte können die Sicherheit des gesamten Informationsverbunds beeinflussen.

    QuellenBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-GerätEU-Kommission · Data Act explained
  3. 03
    Support, Updates und sichere Produktinformationen prüfen

    Vergleichen Sie Updateweg, Supportzeitraum, bekannte Abhängigkeiten, sichere Standardkonfiguration und Herstellerkontakt. Für Produkte mit digitalen Elementen führt der CRA stufenweise verbindliche Produkt- und Schwachstellenpflichten ein; aktuelle Herstellerangaben bleiben trotzdem konkret zu prüfen.

    QuellenEU-Kommission · Cyber Resilience Act – Summary of the legislative textEUR-Lex · Verordnung (EU) 2024/2847 – Cyber Resilience ActBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-Gerät
  4. 04
    Netz und Zugänge begrenzen

    Trennen Sie IoT-Komponenten soweit angemessen von Büro- und Administrationssystemen, ersetzen Sie voreingestellte Zugangsdaten, vergeben Sie individuelle Rollen und deaktivieren Sie ungenutzte Schnittstellen. Fernzugriff wird ausdrücklich freigegeben und dokumentiert.

    QuellenBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-Gerät
  5. 05
    Datenzugriff, Export und Anbieterwechsel vor Vertrag klären

    Dokumentieren Sie, welche Roh- und vorverarbeiteten Nutzungsdaten verfügbar sind, wer darauf zugreifen kann, wie sie exportiert werden und was beim Vertragsende geschieht. Der Data Act gibt Nutzern vernetzter Produkte Rechte, erfasst aber nicht pauschal alle abgeleiteten Daten und ersetzt bei personenbezogenen Daten keine DSGVO-Rechtsgrundlage.

    QuellenEU-Kommission · Data Act explainedEUR-Lex · Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung
  6. 06
    Ausfall, manuellen Betrieb und Rückbau testen

    Prüfen Sie Strom-, Netzwerk-, Cloud- und Geräteausfall. Legen Sie fest, welche Funktion sicher aussetzt, welche lokal weiterläuft, wie Menschen übernehmen und wie ein fehlerhaftes Update oder eine Integration zurückgebaut wird.

    QuellenBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-Gerät
  7. 07
    Datenschutz- und Sicherheitsgrenzen je Funktion behandeln

    Sensorik, Kamera, Zutritt und Präsenzdaten sind nicht austauschbar. Zweck, Datenminimierung, Aufbewahrung, Zugriffsrechte und Information Betroffener werden pro Funktion geprüft; physische Sicherheits-, Elektro- und Montagearbeiten bleiben im vereinbarten Fach-Scope qualifizierter Beteiligter.

    QuellenEUR-Lex · Verordnung (EU) 2016/679 – Datenschutz-GrundverordnungBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-Gerät
  8. 08
    CRA-Rolle und Termine nicht pauschal behaupten

    Klären Sie, wer Produkt mit digitalen Elementen herstellt, unter eigenem Namen vermarktet, importiert, vertreibt oder substanziell verändert. Am Prüfdatum beginnen die CRA-Meldepflichten für Hersteller am 11. September 2026; die Hauptpflichten gelten grundsätzlich ab 11. Dezember 2027. Diese Prüfung ist keine CE-Zertifizierung oder Rechtsberatung.

    QuellenEUR-Lex · Verordnung (EU) 2024/2847 – Cyber Resilience ActEU-Kommission · Cyber Resilience Act – Summary of the legislative textEU-Kommission · Cyber Resilience Act – Reporting obligations
Typisches Betriebsszenario

Büro, Zutritt und Energie sollen über mehrere Cloud-Geräte verbunden werden

Ein Betrieb hat bereits WLAN, einzelne Kameras, elektronische Zugänge und smarte Thermostate verschiedener Hersteller. Niemand kann vollständig sagen, welche Konten, Gateways, Daten oder Updatewege dazugehören.

QuellenBSI · IT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-GerätEU-Kommission · Data Act explainedEU-Kommission · Cyber Resilience Act – Summary of the legislative text
EinordnungDer Engpass ist nicht fehlende Automation, sondern fehlende Objekt- und Betriebsdokumentation. Eine neue zentrale Steuerung würde unbekannte Abhängigkeiten verbinden und den Ausfallradius vergrößern.
Sinnvoller erster SchrittEin Objekt- und Systeminventar mit Netz, Konten, Datenflüssen, Supportzeiträumen, manuellen Betriebswegen und Verantwortlichen erstellen; erst danach genau einen nicht sicherheitskritischen Pilot auswählen.
Noch nicht nötigHerstellerübergreifende Vollintegration, autonome Zutrittsentscheidung, Kameraauswertung oder Austausch sicherheitsrelevanter Technik ohne Fach-, Datenschutz- und Rollenprüfung.
Prüfbares ZielDer Pilot verbessert einen messbaren Ablauf, bleibt bei Cloud- oder Netzausfall beherrschbar, hat benannte Administratoren und lässt Datenexport sowie Rückbau praktisch zu.
Eigenes Prüfmodell · kein Kundenfall

Raumsensor-Pilot ohne Zutritt oder Kamera

Ein interner Test kann Temperatur- und Statusdaten eines einzelnen Raums mit synthetischen Raumbezeichnungen nutzen. Er ist weder Referenz für ein fremdes Objekt noch Nachweis einer CRA-, CE-, Elektro- oder Datenschutzkonformität.

  1. 1Gerät, Gateway, Konto, Firmware, Datenfelder und Updateweg im Inventar dokumentieren
  2. 2Getrennten Netzzugang, Rollen, Datenexport und definierten Löschweg prüfen
  3. 3Netz- und Cloud-Ausfall, manuellen Betrieb sowie vollständigen Rückbau testen
ErgebnisDas Prüfprotokoll belegt nur, dass der begrenzte Pilot und sein Rückfallweg wie definiert funktionieren. Objektfreigabe, Herstellerrolle und weitere Gewerke werden vor einer realen Umsetzung separat geklärt.
Projekt- und Beschaffungsgrenzen prüfen

Vier Fragen vor jedem vernetzten Gerät

Welcher Ablauf?

Das Gerät löst einen benannten betrieblichen Engpass statt nur einen Komfortwunsch.

Welche Abhängigkeit?

Netz, Cloud, Konto, Gateway, App und Supportende sind sichtbar.

Welche Daten?

Zugriff, Zweck, Export, Aufbewahrung und Vertragsende sind geklärt.

Welcher Ausfallweg?

Menschen können sicher übernehmen, stoppen und zurückbauen.

Wissen, das einordnet

CRA-Readiness ist keine pauschale Herstellererklärung

Der CRA unterscheidet konkrete Wirtschaftsrollen. BetriebsIT kann Objekt, Integration, Konfiguration und Dokumentation im vereinbarten Scope unterstützen, erklärt damit aber weder ein Produkt für CRA- oder CE-konform noch übernimmt es automatisch Herstellerpflichten. Eigene Vermarktung, Import, Vertrieb oder substanzielle Änderung müssen vorab fachlich und rechtlich eingeordnet werden.

Produktrolle

Hersteller, Importeur, Händler, Betreiber und Integrator haben unterschiedliche Pflichten.

Projektrolle

Konzept und Integration ersetzen keine Produktkonformität, Elektroplanung oder Rechtsberatung.

Zeitachse

Hersteller-Reporting ab 11.09.2026; CRA-Hauptpflichten grundsätzlich ab 11.12.2027.

Praxisergänzung · · BetriebsIT

Mit einem messbaren Vorgang und einem Ausfallplan starten

Beschreiben Sie zuerst, welcher Zustand erfasst oder welche Arbeit erleichtert werden soll: etwa eine Raumbelegung oder eine technische Zustandsmeldung. Bestimmen Sie, wer auf die Information reagiert. Ein Sensorwert ohne zuständigen Bearbeiter ist noch keine Verbesserung des Betriebs.

Der Check erfasst Geräte, Stromversorgung, Netzwerk, Datenwege und mögliche personenbezogene Daten. Ein Pilot wird auch ohne Internetverbindung und bei fehlenden Messwerten betrachtet. Sicherheitskritische Steuerungen brauchen eine dafür geeignete fachliche Planung; ein allgemeiner IoT-Pilot ersetzt diese nicht.

Ein Raum, ein Signal und ein überprüfbares Ergebnis

Im Funktionsbeispiel meldet Sensor S-01 die Belegung des fiktiven Raums R-1042. Eine feste Beispielregel gibt für Leuchte L-01 den Befehl zum Ein- oder Ausschalten vor. Erst die anschließende Rückmeldung zeigt einen bestätigten Zustand. Ein gesendeter Befehl allein ist kein Nachweis dafür, dass das Licht tatsächlich reagiert hat.

Fehlt die Verbindung, meldet die Anzeige einen unbekannten Lichtzustand. Sie setzt fehlende Daten weder mit einem leeren Raum noch mit ausgeschaltetem Licht gleich. Über den lokalen Schalter lässt sich die Leuchte im Beispiel vor Ort bedienen. Diese lokale Beobachtung ersetzt keine fehlende Fernmeldung. Die Automatik bleibt angehalten, bis der Besucher sie ausdrücklich neu startet.

Der Ablauf erläutert die Leistung, steuert aber keine Geräte. Die Regel „leer → Licht aus“ ist bewusst vereinfacht: Ob sie für ein reales Objekt passt, welche Verzögerung nötig ist und wie ein örtlicher Schalter unabhängig funktioniert, wird vor einem Pilotbetrieb geprüft. Das Beispiel ist keine Freigabe für Notbeleuchtung, Zutritt oder andere sicherheitskritische Anlagen.

Vor dem Kauf prüfen: Gerät und Schnittstelle, Stromversorgung, Netzwerk, Rückmeldung und dokumentierter lokaler Bedienweg.

Im Pilot abnehmen: Signal löst die vereinbarte Aktion aus; fehlende Rückmeldung bleibt sichtbar; Bediener können vor Ort eingreifen.

Vermeiden: Aus dem letzten Messwert einen aktuellen Zustand ableiten oder nach einem manuellen Eingriff ungefragt wieder automatisch schalten.

Signal, Ausfall und lokalen Schalter ausprobieren

Objektanalyse und Kompatibilität klären

Was eine Objektanalyse vor dem Gerätekauf klärt

Im Objektanalyse-Beispiel bleibt Raum R-1042 mit Sensor S-01, Steuerung G-01 und Leuchte L-01 in allen drei Fällen derselbe. Es ändern sich die Nachweise zur Verbindung zwischen Sensor und Steuerung. A und B sind erfundene Schnittstellenbezeichnungen; sie sagen nichts über die Kompatibilität realer Hersteller aus.

Die Analyse unterscheidet drei Ergebnisse: Schnittstellen und Rückmeldung sind im Beispiel bestätigt; Nachweise fehlen und die Verbindung bleibt ungeprüft; oder die Schnittstellen passen nicht zusammen. Gleiche Bezeichnungen ohne Rückmeldung reichen nicht für eine positive Bewertung. Die zweite Verbindung G-01 → L-01 ist in den Beispieldaten mit A/A und bestätigter Rückmeldung dokumentiert.

Der Bericht nennt für jede Verbindung den Befund und den nächsten Schritt. Bei fehlenden Angaben werden zuerst Modell und Schnittstelle aufgenommen und die Verbindung getestet. Bei einer unpassenden Verbindung wird eine geeignete Anbindung gesucht und erneut geprüft. Ein bestätigter Beispielpfad erlaubt nur, den Pilot einzugrenzen: lokaler Bedienweg, Netzausfall und Betriebsverantwortung bleiben vor Umsetzung zu prüfen.

Für die reale Bestandsaufnahme vorbereiten: Raumliste, Gerätemodelle, vorhandene Unterlagen, Zuständigkeiten und erlaubte Zugänge. Das Ergebnis enthält einen Plan der Systeme und Verbindungen, belegte Befunde, offene Fragen sowie priorisierte Maßnahmen. Fehlende Unterlagen werden als offene Punkte ausgewiesen.

Vermeiden: allein wegen eines gemeinsamen Funkstandards Geräte kaufen, eine fehlende Rückmeldung als Erfolg ansehen oder einen Beispielbericht mit einer tatsächlichen Objektprüfung verwechseln. Das Website-Beispiel scannt keine Geräte und ersetzt keine Aufnahme Ihres Objekts.

Objektschema und Prüfbericht ausprobieren

Umfang der bezahlten Objektanalyse ansehen

Vor dem Auftrag vereinbaren

Woran Sie das Ergebnis prüfen können

  • Messziel und verantwortlicher Bearbeiter sind festgelegt.
  • Ausfall von Verbindung oder Sensor führt zu einem erkennbaren Zustand.
  • Datenzugriffe, Betriebsverantwortung und Erweiterungsgrenzen sind dokumentiert.

Quellen und fachliche Grundlagen

Die Quellen erläutern die jeweils genannten Grundlagen. Die vorgeschlagenen Abläufe und Abnahmepunkte sind Praxisempfehlungen von BetriebsIT. Beschriebene Beispiele sind keine nachgewiesenen Kundenergebnisse.

EDPB: Datenschutzgrundlagen für kleine Unternehmen

Der EDPB erläutert Zweckbindung, Rechtsgrundlagen und Schutz personenbezogener Daten für kleine Unternehmen.

Transparente Grundlage

Offizielle Quellen und Vertiefung

Die Empfehlungen dieses Ratgebers wurden mit diesen offiziellen Materialien abgeglichen. Herstellerangaben gelten jeweils für die dort genannten Produkte und Tarife.

Bundesamt für Sicherheit in der InformationstechnikIT-Grundschutz-Baustein SYS.4.4 Allgemeines IoT-Gerät

Offizielle BSI-Anforderungen und Gefährdungseinordnung für vernetzte Geräte, unter anderem zu Inventarisierung, Authentisierung, Updates, Schnittstellen, Netzanbindung und sicherem Betrieb.

Offizielle Quelle öffnen
Europäische Union · EUR-LexVerordnung (EU) 2024/2847 – Cyber Resilience Act

Offizieller Rechtstext zu Produkten mit digitalen Elementen, Rollen der Wirtschaftsakteure, grundlegenden Cybersicherheitsanforderungen, Schwachstellenbehandlung, Konformität und Übergangsregeln.

Offizielle Quelle öffnen
Europäische KommissionCyber Resilience Act – Summary of the legislative text

Offizielle Zusammenfassung zu Geltungsbereich, Hersteller-, Importeur- und Händlerpflichten, Supportzeiträumen, substanziellen Änderungen und Anwendungsdaten des CRA.

Offizielle Quelle öffnen
Europäische KommissionCyber Resilience Act – Reporting obligations

Offizielle aktuelle Erläuterung der ab 11. September 2026 geltenden Hersteller-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.

Offizielle Quelle öffnen
Europäische KommissionData Act explained

Offizielle Übersicht zum seit 12. September 2025 anwendbaren Data Act und zu Zugangs-, Nutzungs- und Weitergaberechten für Daten aus vernetzten Produkten und verbundenen Diensten.

Offizielle Quelle öffnen
Europäische Union · EUR-LexVerordnung (EU) 2016/679 – Datenschutz-Grundverordnung

Offizieller Rechtstext für die Verarbeitung personenbezogener Daten, einschließlich Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechten und Sicherheit.

Offizielle Quelle öffnen

Häufige Fragen

Macht die Installation eines IoT-Geräts BetriebsIT zum Hersteller?

Nicht pauschal. Entscheidend sind die konkrete Tätigkeit und die gesetzlichen Rollen: etwa Entwicklung oder Vermarktung unter eigenem Namen, Import, Vertrieb oder eine substanzielle Änderung. Diese Einordnung erfolgt projektbezogen; die technische Integration ist keine automatische Hersteller- oder Konformitätserklärung.

Gilt der CRA am 31. August 2026 schon vollständig?

Nein. Der CRA ist in Kraft, aber die Hersteller-Meldepflichten nach Artikel 14 beginnen nach der aktuellen EU-Übersicht am 11. September 2026. Die Hauptpflichten gelten grundsätzlich ab 11. Dezember 2027. Einzelne Vorschriften gelten früher, und Übergangsregeln sind produktbezogen zu prüfen.

Gibt der Data Act Zugriff auf sämtliche Herstellerdaten?

Nein. Er erfasst unter anderem bestimmte Roh- und vorverarbeitete Daten aus der Nutzung vernetzter Produkte, die dem Dateninhaber ohne unverhältnismäßigen Aufwand verfügbar sind. Abgeleitete Inhalte, Geschäftsgeheimnisse, Sicherheit und personenbezogene Daten haben eigene Grenzen.

Womit sollte ein kleiner Betrieb beginnen?

Mit einem Objekt- und Systeminventar und genau einem nicht sicherheitskritischen Pilot. Zutritt, Kamera, Brandschutz, feste Elektroanlagen oder andere sensible Funktionen brauchen zusätzliche Fach-, Datenschutz- und Rechtsprüfung.

Ist das Objekt schon planbar – oder nur voller Einzelgeräte?

Die Smart Business Objektanalyse ordnet Räume, Systeme, Netze, Daten, Risiken und einen sinnvollen Pilot vor der Beschaffung.