Mangel 834: Warum plötzlich Cybersicherheit im Prüfbericht steht

Der Aufzug fährt, die Türen schließen sauber, der Notruf kommt an. Trotzdem steht im Prüfbericht ein Mangel. Nummer 834, geringfügig, im Wortlaut: „Eine Dokumentation zur Cybersicherheit nach TRBS 1115 Teil 1 liegt nicht vor.“ So hat ihn der Erfahrungsaustauschkreis der Prüfstellen, kurz EK ZÜS, in seine Mängelliste aufgenommen, berichtete das LIFTjournal. Für viele Hausverwaltungen war das der erste Kontakt mit einer Regel, die schon ein Jahr vorher erschienen war.

Was die Regel verlangt

Die Technische Regel für Betriebssicherheit 1115 Teil 1 behandelt Cyberbedrohungen für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen. Beim Aufzug heißt das konkret: Bauteile mit Software und Schnittstellen nach außen, etwa der Fernnotruf, müssen gegen Angriffe geschützt sein. Der TÜV-Verband nennt die Folgen, um die es geht: eingeschlossene Personen, ein ausfallender Notruf, eine manipulierte Steuerung, eine Anlage, die einfach stehen bleibt.

Verantwortlich ist der Betreiber. Er muss die relevanten Komponenten bestimmen, die möglichen Gefährdungen und ihre Folgen bewerten, daraus den Schutzbedarf ableiten und passende Maßnahmen umsetzen. Festhalten kann er das in der Gefährdungsbeurteilung oder in einem eigenen Dokument, eine feste Form gibt es bisher nicht. Ein Cybersicherheitszertifikat des Herstellers kann dabei helfen, ersetzt aber nicht den Blick auf die konkrete Anlage.

Was die Prüfstelle sehen will

Bei der wiederkehrenden Prüfung schaut der Sachverständige zuerst, ob sich der Betreiber mit dem Thema überhaupt befasst hat und ob die Maßnahmen plausibel sind. Die Unterlagen müssen dafür vor Ort vorliegen. TÜV Rheinland beschrieb das im Juni 2024 so: Geprüft wird, ob die IT-Systeme richtig erfasst, der Schutzbedarf korrekt bestimmt und passende Maßnahmen gewählt wurden. Fehlt die Dokumentation, wird ein geringfügiger Mangel notiert. Die Anlage darf weiterfahren. Erledigt ist der Punkt aber erst, wenn die Unterlagen da sind.

Dass das in der Statistik sichtbar wird, zeigt der Anlagensicherheitsreport, den die Prüforganisationen im März 2026 vorgestellt haben. Bei 723.270 wiederkehrenden Prüfungen im Jahr 2025 hatten 64,7 Prozent der Aufzüge geringfügige Mängel, so PC-WELT. Mitgezählt sind darin auch Anlagen, die technisch in Ordnung sind und denen nur das Papier zur Cybersicherheit fehlt.

So verschwindet der Mangel wieder

• Eine Liste aller vernetzten Teile anlegen: Steuerung, Notrufsystem, Fernüberwachung und Anbindungen an die Gebäudetechnik wie Zutritt oder Brandschutz.
• Für jedes Teil festhalten, was ein Angriff oder Ausfall auslösen könnte, und wie wahrscheinlich das ist.
• Die Maßnahmen benennen und begründen. Eine Herstellererklärung allein reicht nach Einschätzung des Deutschen Ingenieurblatts nicht mehr.
• Das Ergebnis in die Gefährdungsbeurteilung aufnehmen oder als eigenes Dokument führen und zur nächsten Prüfung bereitlegen.
• Nach jeder Änderung an der Anlage prüfen, ob das Dokument noch stimmt.

Was offen bleibt

Weil die Form der Dokumentation nicht festgelegt ist, sehen die Unterlagen von Betreiber zu Betreiber sehr unterschiedlich aus, und auch die Erwartungen der Prüfstellen sind nicht überall gleich. Wer unsicher ist, fragt am besten vor dem nächsten Termin bei der eigenen Prüfstelle nach, was sie sehen möchte. Das kostet einen Anruf und spart im Zweifel einen Eintrag im Bericht.