Cybersicherheit Aufzug: Illustration einer Aufzugstür mit Schutzschild und Vorhängeschloss

Cybersicherheit Aufzug: Welche Fachkunde Betreiber und Service jetzt brauchen

Stand: 25. Oktober 2026

Cybersicherheit am Aufzug ist seit 2023 Teil der Betreiberpflichten und wird bei der Prüfung kontrolliert: Wer keine Gefährdungsbeurteilung zu Cyberrisiken nachweisen kann, bekommt einen Mangel. Die technische Regel TRBS 1115 Teil 1 schreibt vor, dass diese Beurteilung nur fachkundige Personen erstellen dürfen. Für Betreiber, Servicebetriebe und Hersteller ist das Thema deshalb auch eine Personalfrage: Sie brauchen Menschen, die Aufzugstechnik und IT-Sicherheit verbinden.

Wie groß der Handlungsbedarf ist, zeigt der Anlagensicherheitsreport des TÜV-Verbands. Von den 723.270 Aufzügen, die 2025 in Deutschland geprüft wurden, hatten 76,3 Prozent Mängel. Der Verband spricht von einem Höchststand und nennt als Hauptgrund für den Anstieg Lücken bei der Cybersicherheit.

Was der Anlagensicherheitsreport 2026 zeigt

Der TÜV-Verband hat den Report am 17. März 2026 vorgestellt, die Zahlen beziehen sich auf das Prüfjahr 2025. Bei 10,8 Prozent der Aufzüge fanden die Prüfer erhebliche Mängel, bei 0,8 Prozent gefährliche Mängel. Das betraf rund 5.800 Anlagen, etwa 3.000 davon wurden stillgelegt. Typische Befunde sind verschlissene Tragseile, ausgefallene Notrufsysteme und defekte Türverriegelungen.

Den größten Sprung gab es bei den geringfügigen Mängeln. Ihr Anteil lag bei 64,7 Prozent, 4,2 Prozentpunkte mehr als im Vorjahr und 21,6 Prozentpunkte mehr als 2023. Fehlt die Dokumentation der Cyber-Schutzmaßnahmen, wird das als geringfügiger Mangel gewertet. Ein Teil des Anstiegs geht also auf fehlende Unterlagen zurück und nicht auf Defekte an der Mechanik. Verbandsgeschäftsführer Joachim Bühler sagte dazu: „Hersteller und vor allem Betreiber sollten die Cybersicherheit ernst nehmen und ihren Pflichten nachkommen.“

Cybersicherheit Aufzug: was Betreiber nachweisen müssen

Rechtlicher Rahmen ist die Betriebssicherheitsverordnung, konkretisiert durch die TRBS 1115 Teil 1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen“ (Ausgabe November 2022, veröffentlicht 2023). Für Betreiber, deren Anlage wirtschaftlichen Zwecken dient, verlangt außerdem § 4 des Gesetzes über überwachungsbedürftige Anlagen eine Gefährdungsbeurteilung, die alle Gefährdungen berücksichtigt. Eine Ausnahme für Cyberbedrohungen gibt es nach Darstellung von TÜV SÜD nicht.

Praktisch heißt das: Cyberbedrohungen gehören in die Gefährdungsbeurteilung. Der Betreiber legt ein Schutzkonzept fest, setzt Maßnahmen wie Segmentierung, Zugangsregelungen und Härtung um, bestimmt Fristen für Updates und Kontrollen und lässt die Wirksamkeit prüfen. Die TRBS nennt Notruf- und Notbefehlseinrichtungen ausdrücklich als mögliche schutzbedürftige Einrichtungen. Anlagen ohne angreifbare Schnittstellen fallen nicht darunter. Wie tief die Prüfstelle die Maßnahmen inhaltlich bewertet, beschreibt TÜV SÜD nicht ganz einheitlich. Betreiber sollten das im Zweifel mit ihrem Sachverständigen klären.

Welche Fachkunde die TRBS 1115-1 verlangt

Die Gefährdungsbeurteilung zur Cybersicherheit dürfen nur fachkundige Personen erstellen. Zur Fachkunde zählt die Regel Rechtskenntnisse, Grundlagen der Cybersicherheit, Kenntnisse der Branche und des Betriebs sowie Wissen über Schutzmaßnahmen. Wer Cybersicherheitsmaßnahmen eigenständig festlegt, braucht tiefergehende Fachkunde, etwa im Informationssicherheitsmanagement.

Auch darunter gibt es Anforderungen. Beschäftigte, die Komponenten auswählen, beschaffen und integrieren, brauchen eine aufgabenbezogene Fachkunde. Wer die Anlage nur verwendet, muss die für ihn geltenden Maßnahmen kennen. Die Instandhaltung der Cybersicherheit dürfen nur fachkundige, beauftragte und unterwiesene Beschäftigte übernehmen oder Auftragnehmer mit vergleichbarer Qualifikation. Damit beschreibt die Regel selbst ein Anforderungsprofil, das Anlagenkenntnis mit IT- und Netzwerksicherheit verbindet.

Welche Rollen Unternehmen jetzt besetzen müssen

Aus diesen Pflichten ergeben sich konkrete Rollen. Auf Betreiberseite braucht es eine verantwortliche Person, die die Gefährdungsbeurteilung erstellt oder beauftragt, die Dokumentation pflegt und Ansprechpartner für Prüfstelle und Wartungsfirma ist. Das kann zum Beispiel die technische Leitung im Facility Management sein. Bei Servicebetrieben und Herstellern geht es um Servicetechniker mit Kenntnissen in Netzwerk, Mobilfunk und Zugangssicherheit, um Serviceleiter, die Cybersicherheit in Prozesse und Wartungsverträge übersetzen, und um Entwicklungs- und Produktverantwortliche, die sich an der Norm ISO 8102-20 orientieren. Die gibt es seit Mitte 2022. Sie ist laut TÜV SÜD nicht harmonisiert und begründet daher keine Pflicht, beschreibt aber Anforderungen an alle Anlagenteile wie Steuerung und Notrufsystem.

Solche Profile sind schwer zu finden, weil sie zwei Fachwelten verbinden. Die Branchenanalyse der Hans-Böckler-Stiftung nannte schon 2023 den Mangel an Fachkräften und Nachwuchs als größten Engpass der Aufzugsbranche. Gesucht würden Servicemonteure, Techniker und Digitalisierungsspezialisten, und die befragten Fachleute erwarteten neue Jobprofile in Software, Datenanalyse und KI. Wie digitale Werkzeuge den Alltag im Feld verändern, zeigt unser Beitrag KI im Aufzugsservice: Was sich für Servicetechniker ändert.

Für die Besetzung gibt es zwei Wege. Erfahrene Techniker, Serviceleiter oder Projektleiter lassen sich in Cybersicherheit weiterbilden. Sie bringen die Anlagen- und Betriebskenntnis mit, die die TRBS verlangt. Oder IT- und OT-Sicherheitsfachleute werden in die Aufzugstechnik eingearbeitet. Sie bringen das Sicherheitswissen mit, brauchen aber Zeit für Anlagen, Normen und Prüfpraxis. Interne Entwicklung lohnt sich, wenn geeignete Mitarbeitende vorhanden sind und Zeit für die Qualifizierung bleibt. Eine externe Suche ist sinnvoll, wenn die Rolle schnell besetzt werden muss oder Führungsverantwortung trägt. Für Fach- und Spezialistenrollen eignet sich eine gezielte Personalvermittlung, für Leitungsfunktionen ein Executive Search mit Direktansprache.

Vor der Suche steht ein klares Anforderungsprofil: Verantwortung, Schnittstellen zu IT, Service und Prüfstelle, Befugnisse, Budget für Weiterbildung und die Frage, welches Wissen Pflicht ist und was sich in der Einarbeitung lernen lässt. Wer unsicher ist, wie die Rolle zugeschnitten werden soll, kann das in einer Personalberatung klären, bevor ausgeschrieben wird. Im Auswahlgespräch helfen Fragen nach konkreten Erfahrungen mit Gefährdungsbeurteilungen, Netzwerksegmentierung oder Fernzugängen. Weil diese Kombination aus Aufzugs- und Sicherheitswissen erst aufgebaut werden muss, lohnt es sich, Mitarbeitende mit diesem Profil zu halten. Ansätze dazu beschreibt unser Beitrag zur Mitarbeiterbindung in technischen Branchen.

Was Fach- und Führungskräfte daraus mitnehmen sollten

Für Servicetechniker, Projektleiter und Führungskräfte in der Aufzugsbranche wird Wissen über vernetzte Anlagen wertvoller. Ein Beispiel ist die Abschaltung der 2G-Netze. Viele Betreiber stellen Notrufsysteme deshalb auf 4G- oder 5G-fähige Geräte um. Das LIFTjournal hat im August 2026 beschrieben, warum das allein nicht genügt: Ob eine Verbindung steht, hängt von den Verträgen zwischen Betreiber, SIM-Anbieter und Netzbetreibern ab. Ein Gerät kann eingebucht erscheinen, ohne dass ein Notruf möglich ist. Wer solche Zusammenhänge versteht, kann das im Bewerbungsgespräch mit konkreten Beispielen belegen.

Sinnvoll sind Weiterbildungen zu Grundlagen der IT- und OT-Sicherheit, zur TRBS 1115-1 und zur ISO 8102-20. Wer über einen Wechsel nachdenkt, sollte im Gespräch klären, ob die neue Rolle Verantwortung für Cybersicherheit enthält, welche Weiterbildung der Arbeitgeber finanziert und wie die Schnittstelle zur IT organisiert ist. Bei der Einordnung des eigenen Profils und der nächsten Schritte hilft eine Karriereberatung.

Offen ist, wie sich der Rechtsrahmen weiterentwickelt. Die Verordnungen zum Gesetz über überwachungsbedürftige Anlagen lagen nach Angaben von TÜV Rheinland bisher als Arbeitsentwürfe vor. TÜV Rheinland erwartet, dass überwachungsbedürftige Anlagen künftig neben der funktionalen Sicherheit auch auf Cybersicherheit geprüft werden. Wann das kommt, steht nicht fest.

Häufige Fragen zur Cybersicherheit am Aufzug

Müssen Betreiber die Cybersicherheit ihres Aufzugs nachweisen?

Ja. Betreiber müssen Cyberbedrohungen in die Gefährdungsbeurteilung aufnehmen, Schutzmaßnahmen festlegen und beides dokumentieren. Grundlage sind die Betriebssicherheitsverordnung mit der TRBS 1115 Teil 1 und § 4 des Gesetzes über überwachungsbedürftige Anlagen. Kann der Betreiber bei der Prüfung nicht zeigen, dass Cybergefährdungen betrachtet wurden, wird ein Mangel vermerkt.

Wer darf die Gefährdungsbeurteilung zur Cybersicherheit erstellen?

Nur fachkundige Personen. Die TRBS 1115-1 verlangt Rechtskenntnisse, Grundlagen der Cybersicherheit, Branchen- und Betriebskenntnisse sowie Wissen über Schutzmaßnahmen. Betreiber ohne eigene Fachkraft können vergleichbar qualifizierte Auftragnehmer beauftragen. Die Verantwortung bleibt beim Betreiber.

Ist die ISO 8102-20 für Aufzugshersteller verpflichtend?

Nein. Die Norm zur Cybersicherheit von Aufzügen gibt es seit Mitte 2022. Laut TÜV SÜD ist sie nicht harmonisiert und begründet daher keine Pflicht. Verbindliche Cybervorgaben für Hersteller sind im Produktsicherheitsrecht noch in Arbeit.

Welche Qualifikationen werden für Servicetechniker wichtiger?

Neben Mechanik und Elektrik zählen zunehmend Kenntnisse über Netzwerke, Mobilfunk, Fernzugänge und Zugangsschutz. Die TRBS 1115-1 erlaubt Arbeiten an der Cybersicherheit nur fachkundigen, beauftragten und unterwiesenen Beschäftigten. Weiterbildungen zu IT- und OT-Sicherheit verbessern deshalb die Einsatzmöglichkeiten und die Position bei einem Wechsel.

Vertico Executive Search ist ausschließlich auf die Aufzugs- und Fahrtreppenbranche in Deutschland, Österreich und der Schweiz spezialisiert. Wir unterstützen Hersteller, Servicebetriebe und Betreiber dabei, Fach- und Führungspositionen zu besetzen, auch Rollen an der Schnittstelle von Aufzugstechnik und Cybersicherheit. Wenn Sie eine solche Position besetzen oder sich selbst beruflich neu ausrichten wollen, sprechen Sie uns an.

Quellen

Jetzt Teilen

Cybersicherheit Aufzug: Illustration einer Aufzugstür mit Schutzschild und Vorhängeschloss

Cybersicherheit Aufzug: Welche Fachkunde Betreiber und Service jetzt brauchen

Stand: 25. Oktober 2026

Cybersicherheit am Aufzug ist seit 2023 Teil der Betreiberpflichten und wird bei der Prüfung kontrolliert: Wer keine Gefährdungsbeurteilung zu Cyberrisiken nachweisen kann, bekommt einen Mangel. Die technische Regel TRBS 1115 Teil 1 schreibt vor, dass diese Beurteilung nur fachkundige Personen erstellen dürfen. Für Betreiber, Servicebetriebe und Hersteller ist das Thema deshalb auch eine Personalfrage: Sie brauchen Menschen, die Aufzugstechnik und IT-Sicherheit verbinden.

Wie groß der Handlungsbedarf ist, zeigt der Anlagensicherheitsreport des TÜV-Verbands. Von den 723.270 Aufzügen, die 2025 in Deutschland geprüft wurden, hatten 76,3 Prozent Mängel. Der Verband spricht von einem Höchststand und nennt als Hauptgrund für den Anstieg Lücken bei der Cybersicherheit.

Was der Anlagensicherheitsreport 2026 zeigt

Der TÜV-Verband hat den Report am 17. März 2026 vorgestellt, die Zahlen beziehen sich auf das Prüfjahr 2025. Bei 10,8 Prozent der Aufzüge fanden die Prüfer erhebliche Mängel, bei 0,8 Prozent gefährliche Mängel. Das betraf rund 5.800 Anlagen, etwa 3.000 davon wurden stillgelegt. Typische Befunde sind verschlissene Tragseile, ausgefallene Notrufsysteme und defekte Türverriegelungen.

Den größten Sprung gab es bei den geringfügigen Mängeln. Ihr Anteil lag bei 64,7 Prozent, 4,2 Prozentpunkte mehr als im Vorjahr und 21,6 Prozentpunkte mehr als 2023. Fehlt die Dokumentation der Cyber-Schutzmaßnahmen, wird das als geringfügiger Mangel gewertet. Ein Teil des Anstiegs geht also auf fehlende Unterlagen zurück und nicht auf Defekte an der Mechanik. Verbandsgeschäftsführer Joachim Bühler sagte dazu: „Hersteller und vor allem Betreiber sollten die Cybersicherheit ernst nehmen und ihren Pflichten nachkommen.“

Cybersicherheit Aufzug: was Betreiber nachweisen müssen

Rechtlicher Rahmen ist die Betriebssicherheitsverordnung, konkretisiert durch die TRBS 1115 Teil 1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen“ (Ausgabe November 2022, veröffentlicht 2023). Für Betreiber, deren Anlage wirtschaftlichen Zwecken dient, verlangt außerdem § 4 des Gesetzes über überwachungsbedürftige Anlagen eine Gefährdungsbeurteilung, die alle Gefährdungen berücksichtigt. Eine Ausnahme für Cyberbedrohungen gibt es nach Darstellung von TÜV SÜD nicht.

Praktisch heißt das: Cyberbedrohungen gehören in die Gefährdungsbeurteilung. Der Betreiber legt ein Schutzkonzept fest, setzt Maßnahmen wie Segmentierung, Zugangsregelungen und Härtung um, bestimmt Fristen für Updates und Kontrollen und lässt die Wirksamkeit prüfen. Die TRBS nennt Notruf- und Notbefehlseinrichtungen ausdrücklich als mögliche schutzbedürftige Einrichtungen. Anlagen ohne angreifbare Schnittstellen fallen nicht darunter. Wie tief die Prüfstelle die Maßnahmen inhaltlich bewertet, beschreibt TÜV SÜD nicht ganz einheitlich. Betreiber sollten das im Zweifel mit ihrem Sachverständigen klären.

Welche Fachkunde die TRBS 1115-1 verlangt

Die Gefährdungsbeurteilung zur Cybersicherheit dürfen nur fachkundige Personen erstellen. Zur Fachkunde zählt die Regel Rechtskenntnisse, Grundlagen der Cybersicherheit, Kenntnisse der Branche und des Betriebs sowie Wissen über Schutzmaßnahmen. Wer Cybersicherheitsmaßnahmen eigenständig festlegt, braucht tiefergehende Fachkunde, etwa im Informationssicherheitsmanagement.

Auch darunter gibt es Anforderungen. Beschäftigte, die Komponenten auswählen, beschaffen und integrieren, brauchen eine aufgabenbezogene Fachkunde. Wer die Anlage nur verwendet, muss die für ihn geltenden Maßnahmen kennen. Die Instandhaltung der Cybersicherheit dürfen nur fachkundige, beauftragte und unterwiesene Beschäftigte übernehmen oder Auftragnehmer mit vergleichbarer Qualifikation. Damit beschreibt die Regel selbst ein Anforderungsprofil, das Anlagenkenntnis mit IT- und Netzwerksicherheit verbindet.

Welche Rollen Unternehmen jetzt besetzen müssen

Aus diesen Pflichten ergeben sich konkrete Rollen. Auf Betreiberseite braucht es eine verantwortliche Person, die die Gefährdungsbeurteilung erstellt oder beauftragt, die Dokumentation pflegt und Ansprechpartner für Prüfstelle und Wartungsfirma ist. Das kann zum Beispiel die technische Leitung im Facility Management sein. Bei Servicebetrieben und Herstellern geht es um Servicetechniker mit Kenntnissen in Netzwerk, Mobilfunk und Zugangssicherheit, um Serviceleiter, die Cybersicherheit in Prozesse und Wartungsverträge übersetzen, und um Entwicklungs- und Produktverantwortliche, die sich an der Norm ISO 8102-20 orientieren. Die gibt es seit Mitte 2022. Sie ist laut TÜV SÜD nicht harmonisiert und begründet daher keine Pflicht, beschreibt aber Anforderungen an alle Anlagenteile wie Steuerung und Notrufsystem.

Solche Profile sind schwer zu finden, weil sie zwei Fachwelten verbinden. Die Branchenanalyse der Hans-Böckler-Stiftung nannte schon 2023 den Mangel an Fachkräften und Nachwuchs als größten Engpass der Aufzugsbranche. Gesucht würden Servicemonteure, Techniker und Digitalisierungsspezialisten, und die befragten Fachleute erwarteten neue Jobprofile in Software, Datenanalyse und KI. Wie digitale Werkzeuge den Alltag im Feld verändern, zeigt unser Beitrag KI im Aufzugsservice: Was sich für Servicetechniker ändert.

Für die Besetzung gibt es zwei Wege. Erfahrene Techniker, Serviceleiter oder Projektleiter lassen sich in Cybersicherheit weiterbilden. Sie bringen die Anlagen- und Betriebskenntnis mit, die die TRBS verlangt. Oder IT- und OT-Sicherheitsfachleute werden in die Aufzugstechnik eingearbeitet. Sie bringen das Sicherheitswissen mit, brauchen aber Zeit für Anlagen, Normen und Prüfpraxis. Interne Entwicklung lohnt sich, wenn geeignete Mitarbeitende vorhanden sind und Zeit für die Qualifizierung bleibt. Eine externe Suche ist sinnvoll, wenn die Rolle schnell besetzt werden muss oder Führungsverantwortung trägt. Für Fach- und Spezialistenrollen eignet sich eine gezielte Personalvermittlung, für Leitungsfunktionen ein Executive Search mit Direktansprache.

Vor der Suche steht ein klares Anforderungsprofil: Verantwortung, Schnittstellen zu IT, Service und Prüfstelle, Befugnisse, Budget für Weiterbildung und die Frage, welches Wissen Pflicht ist und was sich in der Einarbeitung lernen lässt. Wer unsicher ist, wie die Rolle zugeschnitten werden soll, kann das in einer Personalberatung klären, bevor ausgeschrieben wird. Im Auswahlgespräch helfen Fragen nach konkreten Erfahrungen mit Gefährdungsbeurteilungen, Netzwerksegmentierung oder Fernzugängen. Weil diese Kombination aus Aufzugs- und Sicherheitswissen erst aufgebaut werden muss, lohnt es sich, Mitarbeitende mit diesem Profil zu halten. Ansätze dazu beschreibt unser Beitrag zur Mitarbeiterbindung in technischen Branchen.

Was Fach- und Führungskräfte daraus mitnehmen sollten

Für Servicetechniker, Projektleiter und Führungskräfte in der Aufzugsbranche wird Wissen über vernetzte Anlagen wertvoller. Ein Beispiel ist die Abschaltung der 2G-Netze. Viele Betreiber stellen Notrufsysteme deshalb auf 4G- oder 5G-fähige Geräte um. Das LIFTjournal hat im August 2026 beschrieben, warum das allein nicht genügt: Ob eine Verbindung steht, hängt von den Verträgen zwischen Betreiber, SIM-Anbieter und Netzbetreibern ab. Ein Gerät kann eingebucht erscheinen, ohne dass ein Notruf möglich ist. Wer solche Zusammenhänge versteht, kann das im Bewerbungsgespräch mit konkreten Beispielen belegen.

Sinnvoll sind Weiterbildungen zu Grundlagen der IT- und OT-Sicherheit, zur TRBS 1115-1 und zur ISO 8102-20. Wer über einen Wechsel nachdenkt, sollte im Gespräch klären, ob die neue Rolle Verantwortung für Cybersicherheit enthält, welche Weiterbildung der Arbeitgeber finanziert und wie die Schnittstelle zur IT organisiert ist. Bei der Einordnung des eigenen Profils und der nächsten Schritte hilft eine Karriereberatung.

Offen ist, wie sich der Rechtsrahmen weiterentwickelt. Die Verordnungen zum Gesetz über überwachungsbedürftige Anlagen lagen nach Angaben von TÜV Rheinland bisher als Arbeitsentwürfe vor. TÜV Rheinland erwartet, dass überwachungsbedürftige Anlagen künftig neben der funktionalen Sicherheit auch auf Cybersicherheit geprüft werden. Wann das kommt, steht nicht fest.

Häufige Fragen zur Cybersicherheit am Aufzug

Müssen Betreiber die Cybersicherheit ihres Aufzugs nachweisen?

Ja. Betreiber müssen Cyberbedrohungen in die Gefährdungsbeurteilung aufnehmen, Schutzmaßnahmen festlegen und beides dokumentieren. Grundlage sind die Betriebssicherheitsverordnung mit der TRBS 1115 Teil 1 und § 4 des Gesetzes über überwachungsbedürftige Anlagen. Kann der Betreiber bei der Prüfung nicht zeigen, dass Cybergefährdungen betrachtet wurden, wird ein Mangel vermerkt.

Wer darf die Gefährdungsbeurteilung zur Cybersicherheit erstellen?

Nur fachkundige Personen. Die TRBS 1115-1 verlangt Rechtskenntnisse, Grundlagen der Cybersicherheit, Branchen- und Betriebskenntnisse sowie Wissen über Schutzmaßnahmen. Betreiber ohne eigene Fachkraft können vergleichbar qualifizierte Auftragnehmer beauftragen. Die Verantwortung bleibt beim Betreiber.

Ist die ISO 8102-20 für Aufzugshersteller verpflichtend?

Nein. Die Norm zur Cybersicherheit von Aufzügen gibt es seit Mitte 2022. Laut TÜV SÜD ist sie nicht harmonisiert und begründet daher keine Pflicht. Verbindliche Cybervorgaben für Hersteller sind im Produktsicherheitsrecht noch in Arbeit.

Welche Qualifikationen werden für Servicetechniker wichtiger?

Neben Mechanik und Elektrik zählen zunehmend Kenntnisse über Netzwerke, Mobilfunk, Fernzugänge und Zugangsschutz. Die TRBS 1115-1 erlaubt Arbeiten an der Cybersicherheit nur fachkundigen, beauftragten und unterwiesenen Beschäftigten. Weiterbildungen zu IT- und OT-Sicherheit verbessern deshalb die Einsatzmöglichkeiten und die Position bei einem Wechsel.

Vertico Executive Search ist ausschließlich auf die Aufzugs- und Fahrtreppenbranche in Deutschland, Österreich und der Schweiz spezialisiert. Wir unterstützen Hersteller, Servicebetriebe und Betreiber dabei, Fach- und Führungspositionen zu besetzen, auch Rollen an der Schnittstelle von Aufzugstechnik und Cybersicherheit. Wenn Sie eine solche Position besetzen oder sich selbst beruflich neu ausrichten wollen, sprechen Sie uns an.

Quellen

Cybersicherheit Aufzug: Welche Fachkunde Betreiber und Service jetzt brauchen

Stand: 25. Oktober 2026

Cybersicherheit am Aufzug ist seit 2023 Teil der Betreiberpflichten und wird bei der Prüfung kontrolliert: Wer keine Gefährdungsbeurteilung zu Cyberrisiken nachweisen kann, bekommt einen Mangel. Die technische Regel TRBS 1115 Teil 1 schreibt vor, dass diese Beurteilung nur fachkundige Personen erstellen dürfen. Für Betreiber, Servicebetriebe und Hersteller ist das Thema deshalb auch eine Personalfrage: Sie brauchen Menschen, die Aufzugstechnik und IT-Sicherheit verbinden.

Wie groß der Handlungsbedarf ist, zeigt der Anlagensicherheitsreport des TÜV-Verbands. Von den 723.270 Aufzügen, die 2025 in Deutschland geprüft wurden, hatten 76,3 Prozent Mängel. Der Verband spricht von einem Höchststand und nennt als Hauptgrund für den Anstieg Lücken bei der Cybersicherheit.

Was der Anlagensicherheitsreport 2026 zeigt

Der TÜV-Verband hat den Report am 17. März 2026 vorgestellt, die Zahlen beziehen sich auf das Prüfjahr 2025. Bei 10,8 Prozent der Aufzüge fanden die Prüfer erhebliche Mängel, bei 0,8 Prozent gefährliche Mängel. Das betraf rund 5.800 Anlagen, etwa 3.000 davon wurden stillgelegt. Typische Befunde sind verschlissene Tragseile, ausgefallene Notrufsysteme und defekte Türverriegelungen.

Den größten Sprung gab es bei den geringfügigen Mängeln. Ihr Anteil lag bei 64,7 Prozent, 4,2 Prozentpunkte mehr als im Vorjahr und 21,6 Prozentpunkte mehr als 2023. Fehlt die Dokumentation der Cyber-Schutzmaßnahmen, wird das als geringfügiger Mangel gewertet. Ein Teil des Anstiegs geht also auf fehlende Unterlagen zurück und nicht auf Defekte an der Mechanik. Verbandsgeschäftsführer Joachim Bühler sagte dazu: „Hersteller und vor allem Betreiber sollten die Cybersicherheit ernst nehmen und ihren Pflichten nachkommen.“

Cybersicherheit Aufzug: was Betreiber nachweisen müssen

Rechtlicher Rahmen ist die Betriebssicherheitsverordnung, konkretisiert durch die TRBS 1115 Teil 1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen“ (Ausgabe November 2022, veröffentlicht 2023). Für Betreiber, deren Anlage wirtschaftlichen Zwecken dient, verlangt außerdem § 4 des Gesetzes über überwachungsbedürftige Anlagen eine Gefährdungsbeurteilung, die alle Gefährdungen berücksichtigt. Eine Ausnahme für Cyberbedrohungen gibt es nach Darstellung von TÜV SÜD nicht.

Praktisch heißt das: Cyberbedrohungen gehören in die Gefährdungsbeurteilung. Der Betreiber legt ein Schutzkonzept fest, setzt Maßnahmen wie Segmentierung, Zugangsregelungen und Härtung um, bestimmt Fristen für Updates und Kontrollen und lässt die Wirksamkeit prüfen. Die TRBS nennt Notruf- und Notbefehlseinrichtungen ausdrücklich als mögliche schutzbedürftige Einrichtungen. Anlagen ohne angreifbare Schnittstellen fallen nicht darunter. Wie tief die Prüfstelle die Maßnahmen inhaltlich bewertet, beschreibt TÜV SÜD nicht ganz einheitlich. Betreiber sollten das im Zweifel mit ihrem Sachverständigen klären.

Welche Fachkunde die TRBS 1115-1 verlangt

Die Gefährdungsbeurteilung zur Cybersicherheit dürfen nur fachkundige Personen erstellen. Zur Fachkunde zählt die Regel Rechtskenntnisse, Grundlagen der Cybersicherheit, Kenntnisse der Branche und des Betriebs sowie Wissen über Schutzmaßnahmen. Wer Cybersicherheitsmaßnahmen eigenständig festlegt, braucht tiefergehende Fachkunde, etwa im Informationssicherheitsmanagement.

Auch darunter gibt es Anforderungen. Beschäftigte, die Komponenten auswählen, beschaffen und integrieren, brauchen eine aufgabenbezogene Fachkunde. Wer die Anlage nur verwendet, muss die für ihn geltenden Maßnahmen kennen. Die Instandhaltung der Cybersicherheit dürfen nur fachkundige, beauftragte und unterwiesene Beschäftigte übernehmen oder Auftragnehmer mit vergleichbarer Qualifikation. Damit beschreibt die Regel selbst ein Anforderungsprofil, das Anlagenkenntnis mit IT- und Netzwerksicherheit verbindet.

Welche Rollen Unternehmen jetzt besetzen müssen

Aus diesen Pflichten ergeben sich konkrete Rollen. Auf Betreiberseite braucht es eine verantwortliche Person, die die Gefährdungsbeurteilung erstellt oder beauftragt, die Dokumentation pflegt und Ansprechpartner für Prüfstelle und Wartungsfirma ist. Das kann zum Beispiel die technische Leitung im Facility Management sein. Bei Servicebetrieben und Herstellern geht es um Servicetechniker mit Kenntnissen in Netzwerk, Mobilfunk und Zugangssicherheit, um Serviceleiter, die Cybersicherheit in Prozesse und Wartungsverträge übersetzen, und um Entwicklungs- und Produktverantwortliche, die sich an der Norm ISO 8102-20 orientieren. Die gibt es seit Mitte 2022. Sie ist laut TÜV SÜD nicht harmonisiert und begründet daher keine Pflicht, beschreibt aber Anforderungen an alle Anlagenteile wie Steuerung und Notrufsystem.

Solche Profile sind schwer zu finden, weil sie zwei Fachwelten verbinden. Die Branchenanalyse der Hans-Böckler-Stiftung nannte schon 2023 den Mangel an Fachkräften und Nachwuchs als größten Engpass der Aufzugsbranche. Gesucht würden Servicemonteure, Techniker und Digitalisierungsspezialisten, und die befragten Fachleute erwarteten neue Jobprofile in Software, Datenanalyse und KI. Wie digitale Werkzeuge den Alltag im Feld verändern, zeigt unser Beitrag KI im Aufzugsservice: Was sich für Servicetechniker ändert.

Für die Besetzung gibt es zwei Wege. Erfahrene Techniker, Serviceleiter oder Projektleiter lassen sich in Cybersicherheit weiterbilden. Sie bringen die Anlagen- und Betriebskenntnis mit, die die TRBS verlangt. Oder IT- und OT-Sicherheitsfachleute werden in die Aufzugstechnik eingearbeitet. Sie bringen das Sicherheitswissen mit, brauchen aber Zeit für Anlagen, Normen und Prüfpraxis. Interne Entwicklung lohnt sich, wenn geeignete Mitarbeitende vorhanden sind und Zeit für die Qualifizierung bleibt. Eine externe Suche ist sinnvoll, wenn die Rolle schnell besetzt werden muss oder Führungsverantwortung trägt. Für Fach- und Spezialistenrollen eignet sich eine gezielte Personalvermittlung, für Leitungsfunktionen ein Executive Search mit Direktansprache.

Vor der Suche steht ein klares Anforderungsprofil: Verantwortung, Schnittstellen zu IT, Service und Prüfstelle, Befugnisse, Budget für Weiterbildung und die Frage, welches Wissen Pflicht ist und was sich in der Einarbeitung lernen lässt. Wer unsicher ist, wie die Rolle zugeschnitten werden soll, kann das in einer Personalberatung klären, bevor ausgeschrieben wird. Im Auswahlgespräch helfen Fragen nach konkreten Erfahrungen mit Gefährdungsbeurteilungen, Netzwerksegmentierung oder Fernzugängen. Weil diese Kombination aus Aufzugs- und Sicherheitswissen erst aufgebaut werden muss, lohnt es sich, Mitarbeitende mit diesem Profil zu halten. Ansätze dazu beschreibt unser Beitrag zur Mitarbeiterbindung in technischen Branchen.

Was Fach- und Führungskräfte daraus mitnehmen sollten

Für Servicetechniker, Projektleiter und Führungskräfte in der Aufzugsbranche wird Wissen über vernetzte Anlagen wertvoller. Ein Beispiel ist die Abschaltung der 2G-Netze. Viele Betreiber stellen Notrufsysteme deshalb auf 4G- oder 5G-fähige Geräte um. Das LIFTjournal hat im August 2026 beschrieben, warum das allein nicht genügt: Ob eine Verbindung steht, hängt von den Verträgen zwischen Betreiber, SIM-Anbieter und Netzbetreibern ab. Ein Gerät kann eingebucht erscheinen, ohne dass ein Notruf möglich ist. Wer solche Zusammenhänge versteht, kann das im Bewerbungsgespräch mit konkreten Beispielen belegen.

Sinnvoll sind Weiterbildungen zu Grundlagen der IT- und OT-Sicherheit, zur TRBS 1115-1 und zur ISO 8102-20. Wer über einen Wechsel nachdenkt, sollte im Gespräch klären, ob die neue Rolle Verantwortung für Cybersicherheit enthält, welche Weiterbildung der Arbeitgeber finanziert und wie die Schnittstelle zur IT organisiert ist. Bei der Einordnung des eigenen Profils und der nächsten Schritte hilft eine Karriereberatung.

Offen ist, wie sich der Rechtsrahmen weiterentwickelt. Die Verordnungen zum Gesetz über überwachungsbedürftige Anlagen lagen nach Angaben von TÜV Rheinland bisher als Arbeitsentwürfe vor. TÜV Rheinland erwartet, dass überwachungsbedürftige Anlagen künftig neben der funktionalen Sicherheit auch auf Cybersicherheit geprüft werden. Wann das kommt, steht nicht fest.

Häufige Fragen zur Cybersicherheit am Aufzug

Müssen Betreiber die Cybersicherheit ihres Aufzugs nachweisen?

Ja. Betreiber müssen Cyberbedrohungen in die Gefährdungsbeurteilung aufnehmen, Schutzmaßnahmen festlegen und beides dokumentieren. Grundlage sind die Betriebssicherheitsverordnung mit der TRBS 1115 Teil 1 und § 4 des Gesetzes über überwachungsbedürftige Anlagen. Kann der Betreiber bei der Prüfung nicht zeigen, dass Cybergefährdungen betrachtet wurden, wird ein Mangel vermerkt.

Wer darf die Gefährdungsbeurteilung zur Cybersicherheit erstellen?

Nur fachkundige Personen. Die TRBS 1115-1 verlangt Rechtskenntnisse, Grundlagen der Cybersicherheit, Branchen- und Betriebskenntnisse sowie Wissen über Schutzmaßnahmen. Betreiber ohne eigene Fachkraft können vergleichbar qualifizierte Auftragnehmer beauftragen. Die Verantwortung bleibt beim Betreiber.

Ist die ISO 8102-20 für Aufzugshersteller verpflichtend?

Nein. Die Norm zur Cybersicherheit von Aufzügen gibt es seit Mitte 2022. Laut TÜV SÜD ist sie nicht harmonisiert und begründet daher keine Pflicht. Verbindliche Cybervorgaben für Hersteller sind im Produktsicherheitsrecht noch in Arbeit.

Welche Qualifikationen werden für Servicetechniker wichtiger?

Neben Mechanik und Elektrik zählen zunehmend Kenntnisse über Netzwerke, Mobilfunk, Fernzugänge und Zugangsschutz. Die TRBS 1115-1 erlaubt Arbeiten an der Cybersicherheit nur fachkundigen, beauftragten und unterwiesenen Beschäftigten. Weiterbildungen zu IT- und OT-Sicherheit verbessern deshalb die Einsatzmöglichkeiten und die Position bei einem Wechsel.

Vertico Executive Search ist ausschließlich auf die Aufzugs- und Fahrtreppenbranche in Deutschland, Österreich und der Schweiz spezialisiert. Wir unterstützen Hersteller, Servicebetriebe und Betreiber dabei, Fach- und Führungspositionen zu besetzen, auch Rollen an der Schnittstelle von Aufzugstechnik und Cybersicherheit. Wenn Sie eine solche Position besetzen oder sich selbst beruflich neu ausrichten wollen, sprechen Sie uns an.

Quellen

Weitere Artikel

Niederlassungsleiter Aufzug: Aufgaben, Gehalt und Besetzung

Niederlassungsleiter Aufzug: Aufgaben, Gehalt und Besetzung

November 11th, 2026
Aufzugsmodernisierung: Welche Fachkräfte und Führungskräfte jetzt gefragt sind

Aufzugsmodernisierung: Welche Fachkräfte und Führungskräfte jetzt gefragt sind

November 4th, 2026

Jetzt Teilen

Weitere Artikel

Niederlassungsleiter Aufzug: Aufgaben, Gehalt und Besetzung

Niederlassungsleiter Aufzug: Aufgaben, Gehalt und Besetzung

November 11th, 2026
Aufzugsmodernisierung: Welche Fachkräfte und Führungskräfte jetzt gefragt sind

Aufzugsmodernisierung: Welche Fachkräfte und Führungskräfte jetzt gefragt sind

November 4th, 2026