KNX Secure ausführlich erklärt: Verschlüsselung, Schlüssel und sichere Inbetriebnahme

KNX Secure ist die Verschlüsselung im KNX-Standard. Sie schützt die Nachrichten auf der Busleitung und im Netzwerk vor Mitlesen und Manipulation. Hier erfahren Sie, wie KNX Data Secure und KNX IP Secure funktionieren, welche Schlüssel es gibt, wie die Inbetriebnahme abläuft, was beim Gerätetausch zu beachten ist und wie Sie Ihr Smart Home insgesamt absichern.

Von der KnowNX-Redaktion, aktualisiert am 16. Oktober 2026

Kurz gesagt

KNX Data Secure verschlüsselt und authentifiziert die Nachrichten von Gerät zu Gerät, auf der Busleitung wie über Funk und Netzwerk.
KNX IP Secure schützt die Kommunikation über das Netzwerk, also Verbindungen zu IP-Schnittstellen und zwischen IP-Routern.
Jedes sichere Gerät hat ein Gerätezertifikat mit einem eigenen Schlüssel. Die ETS ersetzt ihn bei der Inbetriebnahme durch Projektschlüssel.
Das ETS-Projekt mit Passwort ist danach der Schlüssel zu Ihrem Haus. Ohne Projekt und Zertifikate lassen sich gesicherte Geräte kaum noch ändern.
Ebenso wichtig wie Secure: ein eigenes Netz für das Smart Home, Updates, Fernzugriff nur verschlüsselt und abgesicherte Geräte außen.

Warum KNX Secure?

KNX wurde ursprünglich für eine Busleitung im Gebäude entwickelt, die von außen kaum erreichbar ist. Heute hängen KNX-Anlagen am Heimnetz, werden per App bedient und haben Geräte an der Fassade, am Gartentor und in der Garage. Ohne Verschlüsselung könnte jemand mit Zugang zur Busleitung oder zum Netzwerk Nachrichten mitlesen oder eigene einschleusen, etwa ein Tor öffnen. KNX Secure schließt diese Lücke im Standard selbst.

Data Secure schützt die Nachricht selbst auf dem ganzen Weg. IP Secure schützt zusätzlich die Verbindungen im Netzwerk.

KNX Data Secure: Schutz von Gerät zu Gerät

KNX Data Secure sichert die Nachrichten zwischen den Geräten Ende zu Ende ab. Jede gesicherte Nachricht wird verschlüsselt und mit einer Prüfsumme versehen, die nur mit dem richtigen Schlüssel erzeugt werden kann. Ein Zähler in jeder Nachricht verhindert, dass eine aufgezeichnete Nachricht später erneut eingespielt wird. Weil der Schutz an der Nachricht selbst hängt, gilt er auf der Busleitung, über Funk und über das Netzwerk gleichermaßen.

Vertraulichkeit: Mitlesen ist ohne Schlüssel nicht möglich.
Echtheit: Ein Aktor reagiert nur auf Nachrichten mit gültiger Prüfsumme.
Schutz vor Wiederholung: Aufgezeichnete Nachrichten werden abgewiesen.

Gesichert wird je Gruppenadresse. Damit eine Gruppenadresse verschlüsselt laufen kann, müssen alle Geräte, die sie nutzen, Data Secure beherrschen. Geräte ohne Secure können in derselben Anlage weiterarbeiten, nur eben an ungesicherten Gruppenadressen.

KNX IP Secure: Schutz im Netzwerk

KNX IP Secure schützt die Kommunikation von KNX über das Netzwerk. Das betrifft zwei Fälle:

Tunneling: Die Verbindung von ETS, App, Server oder Home Assistant zu einer IP-Schnittstelle oder einem IP-Router wird verschlüsselt und mit einem Passwort je Verbindung abgesichert.
Routing: Die Kommunikation zwischen IP-Routern, etwa wenn Linien über das Netzwerk gekoppelt sind, läuft mit einem gemeinsamen Schlüssel verschlüsselt.

Data Secure und IP Secure ergänzen sich: Data Secure schützt die Nachricht selbst, IP Secure zusätzlich den Weg durch das Netzwerk. Mehr zu IP-Schnittstelle und IP-Router im Artikel über die Systemgeräte.

Die Schlüssel verständlich erklärt

Schlüssel	Was er ist	Wo er liegt
Gerätezertifikat (FDSK)	ab Werk eindeutiger Schlüssel jedes sicheren Geräts, für die erste Inbetriebnahme	als Aufkleber oder QR-Code am Gerät und bei den Unterlagen
Werkzeugschlüssel	ersetzt bei der Inbetriebnahme den Werksschlüssel; nur damit kann das Gerät später programmiert werden	im ETS-Projekt
Schlüssel der Gruppenadressen	verschlüsseln die eigentlichen Nachrichten	im ETS-Projekt und in den Geräten
Passwörter und Schlüssel für IP	sichern Tunnelverbindungen und das Routing	im ETS-Projekt und in den IP-Geräten
Projektpasswort	schützt ein ETS-Projekt mit Secure-Geräten	beim Fachbetrieb und bei Ihnen
Schlüsselbund-Export	Datei mit den Schlüsseln, die Visualisierungen und Home Assistant brauchen, selbst passwortgeschützt	wird bei Bedarf aus der ETS exportiert

Das Prinzip ist wie bei einem neuen Türschloss: Der Werksschlüssel öffnet das Gerät genau einmal, danach gelten nur noch die Schlüssel des Projekts. Wer das Projekt hat, hat die Schlüssel.

Inbetriebnahme Schritt für Schritt

Geräte mit Secure wählen: Bei der Planung festlegen, dass KNX Secure genutzt wird, und Geräte wählen, die es unterstützen.
Projektpasswort vergeben: Sobald ein Secure-Gerät in das ETS-Projekt kommt, verlangt die ETS ein Projektpasswort.
Gerätezertifikate einlesen: Der Fachbetrieb scannt den QR-Code oder gibt das Zertifikat jedes Geräts ein.
Gruppenadressen sichern: Die ETS legt fest, welche Gruppenadressen verschlüsselt laufen, abhängig davon, ob alle beteiligten Geräte Secure können.
Programmieren: Beim ersten Programmieren ersetzt die ETS den Werksschlüssel durch den Werkzeugschlüssel und überträgt die Schlüssel der Gruppenadressen.
Visualisierung und Server anbinden: Für Apps, Server und Home Assistant wird bei Bedarf der Schlüsselbund exportiert und dort eingelesen.
Übergabe: ETS-Projekt, Projektpasswort und alle Gerätezertifikate gehen an Sie und werden sicher aufbewahrt.

Mehr zur Software im Artikel über die ETS.

Gerätetausch und Notfall

Gerät defekt: Das Ersatzgerät bringt ein neues Zertifikat mit. Der Fachbetrieb liest es ein, ersetzt das Gerät im ETS-Projekt und programmiert es. Dafür braucht er das Projekt mit Passwort.
Gerät zurücksetzen: Ein Secure-Gerät, das auf Werkseinstellungen zurückgesetzt wird, kehrt zu seinem Werksschlüssel zurück. Zum erneuten Programmieren wird dessen Zertifikat gebraucht.
Projekt oder Passwort verloren: Dann lassen sich die gesicherten Geräte nicht mehr ändern, ohne sie zurückzusetzen und neu in Betrieb zu nehmen. Bei einer großen Anlage wird das schnell aufwendig und teuer.
Zertifikate verloren: Die ETS speichert die Zertifikate im Projekt. Ohne Projekt und ohne Aufkleber wird es schwierig.

Deshalb gilt: ETS-Projekt, Projektpasswort und Zertifikate gehören an zwei getrennte, sichere Orte, etwa verschlüsselt digital und als Ausdruck im Ordner zum Haus.

Welche Geräte KNX Secure können

Viele aktuelle Geräte unterstützen KNX Secure; ältere und manche günstige Geräte nicht. Beispiele aus den Unterlagen der Hersteller:

MDT bietet laut Preisliste alle Komponenten für ein vollständiges Secure-Projekt an; Secure-Varianten tragen ein „S“ am Ende der Artikelnummer, etwa bei Schaltaktoren, Binäreingängen, Tastern, IP-Router und Logikmodul.
Gira: Der Wettersensor mit Wetterzentrale ist laut Katalog Data Secure kompatibel, der Gira S1 unterstützt KNX Secure vollständig, beim Gira X1 ist die Hardware vorbereitet und ein künftiges Firmware-Update nötig. Mehr dazu im Artikel Gira X1 und S1.
Home Assistant kann gesicherte Anlagen einbinden, wenn der Schlüsselbund aus dem ETS-Projekt vorliegt.

Prüfen Sie bei jedem Gerät, ob es Data Secure, IP Secure oder beides unterstützt. Einen Überblick über Hersteller gibt der Artikel KNX-Hersteller.

Was Sie wissen sollten

Etwas mehr Aufwand: Zertifikate einlesen, Passwörter verwalten, Schlüssel an Server weitergeben.
Etwas längere Nachrichten: Gesicherte Nachrichten enthalten zusätzliche Daten. Im Einfamilienhaus spielt die höhere Buslast praktisch keine Rolle.
Visualisierungen und Server: Ältere Server ohne Secure brauchen ungesicherte Gruppenadressen oder ein Update. Das sollte vor der Inbetriebnahme geklärt sein.
Mischbetrieb: Secure und nicht gesicherte Geräte arbeiten nebeneinander. Am meisten bringt Secure dort, wo Geräte von außen erreichbar sind oder sicherheitsrelevante Funktionen steuern.

Das Netzwerk: die zweite Hälfte der Sicherheit

Eigenes Netz für das Smart Home: Smart-Home-Geräte, Kameras und Türsprechanlage in ein eigenes Netzwerksegment (VLAN), getrennt von Computern und Gäste-WLAN.
Keine offenen Ports: keine Weiterleitung am Router direkt auf KNX-Geräte. Fernzugriff nur über VPN oder ein Fernzugriffsmodul, das die Verbindung von innen aufbaut, etwa den Gira S1.
Updates: Firmware von Servern, Routern, Kameras und Netzwerkgeräten regelmäßig aktualisieren.
Passwörter: Standardpasswörter ändern, für jedes Gerät eigene starke Passwörter, wo möglich Zwei-Faktor-Anmeldung.
Lokal statt Cloud: Was im Haus funktionieren muss, sollte nicht von einem Cloud-Dienst abhängen, siehe Smart Home: Vor- und Nachteile.

Geräte außen am Haus

Taster am Eingang, Bewegungsmelder an der Fassade und die Wetterstation sind von außen erreichbar. Bewährt haben sich zwei Maßnahmen: Geräte mit KNX Data Secure verwenden und die Außengeräte in eine eigene Linie legen, deren Koppler nur die nötigen Nachrichten durchlässt. Die Haustür selbst sollte nie allein über einen Taster außen öffnen.

Checkliste für Bauherren

Mit dem Fachbetrieb vereinbaren, dass KNX Secure genutzt wird, wo die Geräte es unterstützen, mindestens außen und bei Tor, Tür und Alarm.
Geräte mit Secure-Unterstützung wählen, auch IP-Schnittstelle oder IP-Router und Server.
ETS-Projekt, Projektpasswort und alle Gerätezertifikate übergeben lassen und an zwei Orten sicher aufbewahren.
Netzwerk mit eigenem Segment für Smart Home und Kameras planen.
Fernzugriff nur über VPN oder ein Fernzugriffsmodul, nie über offene Ports.
Updates einplanen: Wer kümmert sich darum, Sie oder der Fachbetrieb?

Tipp für Bauherren

Fragen Sie im Angebot ausdrücklich nach KNX Secure und nach der Übergabe von Projekt, Passwort und Zertifikaten. Der kostenlose KNX-Planer plant auf Wunsch auch Netzwerk, Kameras und Zutritt mit ein, damit Smart Home und Netzwerk von Anfang an zusammenpassen.

Häufige Fragen

Was ist KNX Secure?

KNX Secure ist die Verschlüsselung im KNX-Standard. KNX Data Secure schützt die Nachrichten zwischen den Geräten, KNX IP Secure die Verbindungen über das Netzwerk.

Was ist der Unterschied zwischen KNX Data Secure und KNX IP Secure?

Data Secure verschlüsselt und authentifiziert die einzelne Nachricht von Gerät zu Gerät, auf jedem Übertragungsweg. IP Secure schützt die Verbindungen im Netzwerk, also Tunnelverbindungen zu IP-Schnittstellen und das Routing zwischen IP-Routern.

Was ist das FDSK bei KNX Secure?

Der Factory Default Setup Key ist der ab Werk eindeutige Schlüssel jedes sicheren Geräts. Er steht auf dem Gerätezertifikat, meist als QR-Code, und wird bei der ersten Inbetriebnahme durch einen Projektschlüssel ersetzt.

Was passiert, wenn das ETS-Projekt oder das Passwort verloren geht?

Dann lassen sich gesicherte Geräte nicht mehr ändern, ohne sie zurückzusetzen und neu in Betrieb zu nehmen. Deshalb gehören Projekt, Passwort und Zertifikate sicher aufbewahrt, am besten an zwei Orten.

Kann ich Secure- und normale KNX-Geräte mischen?

Ja. Beide arbeiten in derselben Anlage. Verschlüsselt laufen nur die Gruppenadressen, deren Geräte alle Data Secure beherrschen.

Funktioniert Home Assistant mit KNX Secure?

Ja, wenn der Schlüsselbund aus dem ETS-Projekt exportiert und in Home Assistant eingelesen wird.

Ist ein Smart Home ohne KNX Secure unsicher?

Ohne Verschlüsselung kann jemand mit Zugang zur Busleitung oder zum Netzwerk Nachrichten mitlesen oder einschleusen. Im Haus ist die Busleitung schwer erreichbar; kritisch sind vor allem Geräte außen und ein offenes Netzwerk.

KnowNX-Redaktion KnowNX ist ein unabhängiges Angebot der Enemies of the good GmbH. Die Redaktion erklärt KNX-Gebäudeautomation herstellerneutral für Bauherren, aus der Praxis mit KNX-Anlagen in Wohn- und Bürogebäuden, und hält die Artikel laufend aktuell.