KNX Secure einrichten: Data Secure & IP Secure mit MDT & ETS

KNX Secure schließt die letzte große Sicherheitslücke im KNX-Standard: Statt unverschlüsselter Telegramme auf dem Bus und im Netzwerk sorgen Data Secure und IP Secure für authentifizierte und verschlüsselte Kommunikation. In diesem Deep-Dive erfährst du, wie sich beide Verfahren unterscheiden, wie du sie in der ETS Schritt für Schritt einrichtest und wie du den Fernzugriff sauber über ein VPN absicherst. Passend dazu zeigen wir, welche MDT-Komponenten sich für ein modernes, sicheres Projekt eignen.

KNX Secure verstehen: Data Secure vs. IP Secure

KNX Secure ist kein einzelnes Produkt, sondern ein Sicherheitskonzept, das auf zwei Ebenen ansetzt. Beide Verfahren lassen sich getrennt oder gemeinsam einsetzen – und beide werden vollständig in der ETS konfiguriert. Wichtig ist, dass du von Anfang an weißt, welches Verfahren welche Angriffsfläche abdeckt.

Data Secure: Schutz auf Telegramm-Ebene

KNX Data Secure schützt die eigentliche Gruppenkommunikation. Telegramme werden authentifiziert und verschlüsselt, sodass ein Angreifer den Bus weder mitlesen noch manipulierte Befehle einspielen kann. Das ist besonders relevant, sobald Buslinien Gebäude verlassen – etwa zu einer Außenleuchte, einem Klingeltableau oder einem Taster im Außenbereich. Data Secure arbeitet Ende-zu-Ende zwischen den beteiligten Geräten und benötigt Geräte, die den Standard explizit unterstützen.

IP Secure: Schutz auf Netzwerk-Ebene

KNX IP Secure verschlüsselt die KNXnet/IP-Kommunikation, also Tunneling (Fernzugriff, ETS-Verbindung) und Routing zwischen IP-Linien. Sobald KNX über dein LAN oder gar über das Internet läuft, ist IP Secure Pflicht: Es verhindert, dass jemand im selben Netzwerk den KNX-Verkehr abhört oder Verbindungen kapert. IP Secure ergänzt Data Secure, ersetzt es aber nicht – erst zusammen ergibt sich ein durchgängiges Schutzkonzept vom Sensor bis zum Router.

Vorbereitung in der ETS

Grundvoraussetzung ist eine aktuelle ETS-Version, die KNX Secure unterstützt. Bevor du loslegst, solltest du drei Dinge griffbereit haben: die Gerätezertifikate (der sogenannte FDSK – Factory Default Setup Key, meist als Aufkleber und QR-Code am Gerät), ein starkes Projektpasswort und eine geordnete Struktur deiner Gruppenadressen. Der FDSK ist der Schlüssel, mit dem die ETS ein Secure-Gerät erstmalig in Betrieb nimmt.

Schritt 1: Projekt absichern

Lege für jedes Projekt ein Projektpasswort fest. Ohne dieses Passwort lässt sich das Projekt – inklusive aller Secure-Schlüssel – nicht öffnen. Bewahre es sicher auf, denn es gibt keinen Weg, ein verschlüsseltes Projekt ohne Passwort wiederherzustellen. Ein Passwortmanager ist hier dringend zu empfehlen.

Schritt 2: Gerätezertifikate hinterlegen

Trage die FDSK jedes Secure-Geräts in die ETS ein – entweder manuell oder komfortabel per QR-Code-Scan. Die ETS erzeugt daraus intern die benötigten Schlüssel und tauscht bei der Erstinbetriebnahme das werkseitige Passwort gegen einen projektspezifischen Schlüssel aus. Ab diesem Moment ist das Gerät nur noch mit deinem Projekt ansprechbar.

Schritt 3: Secure aktivieren

In den Geräteeigenschaften aktivierst du „Secure Inbetriebnahme“. Für Data Secure markierst du zusätzlich die Gruppenadressen, die verschlüsselt übertragen werden sollen. Für IP Secure aktivierst du die sichere Kommunikation direkt an der IP-Schnittstelle bzw. am IP-Router und vergibst dort ein Backbone- und ein Tunneling-Passwort.

MDT-Komponenten für ein sicheres Projekt

Ein durchdachtes KNX-Projekt lebt von der Kombination aus Bedienung, Sensorik und Aktorik. MDT bietet hier ein sehr breites, aufeinander abgestimmtes Portfolio. Die folgenden Geräte bilden das Rückgrat vieler Installationen – von der Wohnung bis zum Einfamilienhaus.

Bedienung: Glastaster & Tastsensoren

Der MDT Glastaster II Smart mit Temperatursensor und Farbdisplay ist mit seinen 6 Sensorflächen als 4/6/8/12-fach Taster einsetzbar und lässt sich über bis zu drei Ebenen mit Funktionen belegen. Er misst zusätzlich die Raumtemperatur und kann als Raumtemperaturregler dienen. Wer die dunkle Variante bevorzugt, greift zum

MDT Tastsensor 6-fach KNX Angebot in schwarz glänzend – funktional identisch, mit RGB-Statusanzeige je Sensorfläche und aktivem Farbdisplay. Beide Taster tragen einen integrierten Busankoppler und werden mit 30 V DC über den KNX-Bus versorgt.

Möchtest du vorhandene konventionelle Taster oder Fensterkontakte in den Bus einbinden, ist die MDT Tasterschnittstelle BE 2-fach kaufen die günstige Lösung: Sie erfasst Zustandsänderungen an bis zu zwei potentialfreien Eingängen und löst daraus KNX-Telegramme aus. Jeder Eingang lässt sich alternativ als Ausgang für Status-LEDs nutzen, und dank vier integrierter Logikmodule sind auch einfache Verknüpfungen direkt im Gerät möglich.

Sensorik: Präsenz und Bewegung

Für die bedarfsgerechte Steuerung sorgt Sensorik. Der MDT Präsenzmelder 360° L3 Angebot ist mit drei Sensoren und Temperatursensor für die Montage in abgehängte Decken vorgesehen, bietet 3 Lichtkanäle sowie einen HLK- und einen Alarm-/Meldekanal und erreicht eine Erfassungsreichweite von 11 m Ø. Über die einstellbare Empfindlichkeit für Tag, Nacht und Alarm lässt er sich exakt an den Raum anpassen.

In 55-mm-Schalterprogrammen kommt der MDT Bewegungsmelder Angebot zum Einsatz. Mit zwei Sensoren, Lichtsensor, Temperatursensor und zwei frei belegbaren Sensortasten deckt er einen Erfassungswinkel von 180° horizontal bei 6 bis 10 m Reichweite ab und eignet sich mit einer Montagehöhe von 1,05 bis 1,20 m für Flure und Nebenräume. Beide Melder verfügen über ein integriertes weißes LED-Nachtlicht.

Aktorik: Licht, Heizung, Beschattung

Auf der Aktorseite sitzt die eigentliche Schaltleistung im Verteiler. Der

MDT Dimmaktor AKD 4-fach Angebot steuert als 6TE-Reiheneinbaugerät bis zu vier Verbraucher unabhängig und ist für dimmbare 230-V-LED-Leuchtmittel optimiert – pro Kanal bis 250 W, mit Funktionen wie uhrzeitabhängigem Dimmen und astronomischer Steuerung.

Für die Einzelraumregelung übernimmt der MDT Heizungsaktor AKH 8-fach Angebot die Ansteuerung von elektrothermischen Stellantrieben (24–230 VAC) über bis zu 8 Regelkreise, jeweils mit eigener LED-Anzeige und integriertem PI-Temperaturregler für Heizen und Kühlen. Die Beschattung erledigt der MDT Jalousieaktor 8-fach Angebot mit Fahrzeitmessung: Er fährt bis zu 8 Jalousien oder Rollläden für Motoren bis 300 W, misst die Fahrzeiten automatisch und beschattet dank Sonnenstandsberechnung dort, wo es tatsächlich nötig ist. Das Zusammenspiel dieser Komponenten planst und verschlüsselst du komplett in der ETS. Weitere passende Geräte findest du in der Kategorie MDT.

Fernzugriff sicher über VPN

Ein häufiger Fehler ist es, KNXnet/IP-Ports direkt im Router freizugeben, um von unterwegs auf die Anlage zuzugreifen. Das ist grob fahrlässig – selbst mit IP Secure. Der richtige Weg führt immer über ein VPN.

Warum VPN statt Portfreigabe

Ein VPN baut einen verschlüsselten Tunnel zwischen deinem Endgerät und dem Heimnetz auf. Erst innerhalb dieses Tunnels sprichst du mit deiner KNX-Schnittstelle – von außen ist kein einziger KNX-Port sichtbar. Damit reduzierst du die Angriffsfläche auf ein Minimum, weil im Internet nur der VPN-Zugang exponiert ist, nicht aber der Bus.

Empfohlener Aufbau

Nutze das VPN deines Routers oder eine dedizierte VPN-Instanz im Heimnetz. Zusätzlich aktivierst du IP Secure für die Tunneling-Verbindung, sodass die KNX-Kommunikation auch innerhalb deines Netzwerks verschlüsselt bleibt. Diese doppelte Absicherung – VPN plus IP Secure – ist heute der Standard für seriösen KNX-Fernzugriff. Data Secure schützt darüber hinaus die Telegramme selbst, falls einzelne Buslinien besonders exponiert sind.

Passendes Set & Zubehoer

• MDT Glastaster II Smart – hochwertige Raumbedienung mit Farbdisplay und Temperatursensor
• MDT Tastsensor 6-fach KNX Angebot – die schwarz glänzende Variante mit RGB-Statusanzeige
• MDT Tasterschnittstelle BE 2-fach kaufen – zum Einbinden konventioneller Taster und Kontakte
• MDT Präsenzmelder 360° L3 Angebot – Deckenmelder mit drei Sensoren für präzise Präsenzerfassung
• MDT Bewegungsmelder Angebot – kompakter Melder für 55-mm-Schalterprogramme
• MDT Dimmaktor AKD 4-fach Angebot – Reiheneinbaugerät für dimmbare 230-V-LEDs
• MDT Heizungsaktor AKH 8-fach Angebot – Einzelraumregelung für bis zu acht Regelkreise
• MDT Jalousieaktor 8-fach Angebot – Beschattung mit Fahrzeitmessung und Sonnenstandsberechnung

Haeufige Fragen zu KNX Secure

Brauche ich für KNX Secure spezielle Geräte?

Data Secure setzt voraus, dass die beteiligten Geräte den Standard unterstützen. IP Secure benötigst du an der IP-Schnittstelle bzw. am IP-Router. Prüfe vor dem Kauf immer die Angaben des jeweiligen Geräts, ob und welche Secure-Funktion es bietet.

Kann ich Data Secure und IP Secure gleichzeitig nutzen?

Ja, beide Verfahren ergänzen sich und werden häufig kombiniert. Data Secure schützt die Telegramme auf dem Bus, IP Secure die Kommunikation im Netzwerk. Für maximalen Schutz solltest du beide aktivieren.

Was passiert, wenn ich das Projektpasswort verliere?

Ein mit KNX Secure verschlüsseltes ETS-Projekt lässt sich ohne Projektpasswort nicht mehr öffnen. Bewahre Passwort und Gerätezertifikate deshalb unbedingt sicher auf, idealerweise in einem Passwortmanager mit Backup.

Ist ein VPN für den Fernzugriff wirklich nötig?

Ja. Eine direkte Portfreigabe der KNXnet/IP-Ports ins Internet ist ein hohes Risiko. Ein VPN ist der einzige empfohlene Weg für den Fernzugriff und sollte zusätzlich mit IP Secure kombiniert werden.

Wo finde ich den FDSK meines Geräts?

Der Factory Default Setup Key ist üblicherweise als Aufkleber mit Klartext und QR-Code am Gerät oder auf einer beiliegenden Karte zu finden. Scanne ihn beim Anlegen in der ETS ein und hinterlege die Karte anschließend an einem sicheren Ort.

Preisvergleich

Produkt	smartkram
MDT Glastaster II Smart Tipp	smartkram
MDT Tastsensor 6-fach KNX	smartkram
MDT Tasterschnittstelle BE 2-fach	smartkram
MDT Präsenzmelder 360° L3	smartkram
MDT Bewegungsmelder	smartkram
MDT Dimmaktor AKD 4-fach	smartkram
MDT Heizungsaktor AKH 8-fach	smartkram
MDT Jalousieaktor 8-fach	smartkram

→ alle MDT KNX-Produkte im smartkram-Shop ansehen